Acordo de Processamento de Dados (DPA)

1. Partes

Controlador: A clínica ou profissional de saúde que contrata a plataforma FlexLabs.

Operador: MFFN Soluções Digitais Ltda, CNPJ 61.895.381/0001-09, operando como FlexLabs.

2. Objeto

Este DPA estabelece as obrigações da FlexLabs como operadora de dados pessoais no tratamento de dados dos pacientes e profissionais da clínica, em conformidade com a LGPD (Lei nº 13.709/2018), vinculando-se aos Termos de Uso da plataforma.

3. Dados Processados

• Dados cadastrais de pacientes: nome, CPF, data de nascimento, contato, endereço.

• Dados de saúde (sensíveis): prontuário, avaliações, reavaliações, evoluções, prescrições, transcrições de consultas.

• Dados financeiros: cobranças, pagamentos, faturas, dados bancários.

• Dados de comunicação: mensagens via WhatsApp (FlexChat) e e-mails transacionais.

• Dados de áudio (temporários): gravações de consultas processadas em tempo real pelo FlexScribe, não armazenadas.

• Dados técnicos de suporte: descrição do problema, com dados pessoais mascarados por regras automáticas, e contexto técnico de reportes enviados pela clínica (tela, versão, erros), sem prontuário, anexos ou mídia.

• Conteúdo enviado aos provedores de IA: na IA clínica, a IA recebe o conteúdo necessário para a tarefa (textos do prontuário, exames, imagens e áudios), que pode conter dados que identificam o paciente. Não enviamos os campos de cadastro que a análise não usa (nome, CPF, telefone, e-mail e endereço). O profissional revisa o resultado antes de usar. Na Lia, a Lia lê as conversas do WhatsApp da clínica e os dados necessários para atender (cadastro, agenda, cobranças e documentos que a clínica liberar) para responder, agendar e enviar lembretes, dentro das permissões que a clínica configurar. As respostas e ações são geradas por um dos provedores de IA da Cláusula 7: a FlexLabs escolhe um deles como principal, e os demais entram como reserva quando o principal falha ou demora; os dados enviados e as garantias são os mesmos em qualquer um deles, e a ordem pode mudar sem nova versão deste acordo. A clínica vê tudo o que a Lia faz e pode corrigir, pausar ou desligar a Lia a qualquer momento. A Lia não acessa o prontuário.

4. Finalidade do Tratamento

Os dados são processados exclusivamente para:

• Prestação dos serviços contratados pela clínica (gestão clínica, agendamento, prontuário, financeiro, comunicação, assistentes de IA e operação e suporte técnico da plataforma).

• Cumprimento de obrigações legais e regulatórias aplicáveis.

• Melhoria da segurança e estabilidade da plataforma.

5. Obrigações do Operador

• Processar dados pessoais apenas conforme instruções documentadas do Controlador, inclusive as configurações que ele faz na plataforma, e para as finalidades previstas neste DPA.

• Garantir que pessoas autorizadas a processar dados estejam sujeitas a obrigação de confidencialidade contratual.

• Implementar e manter medidas técnicas e organizacionais adequadas de segurança, conforme Cláusula 8.

• Auxiliar o Controlador no atendimento aos direitos dos titulares (Art. 18, LGPD), respondendo a solicitações encaminhadas em até 5 (cinco) dias úteis.

• Notificar o Controlador sobre incidentes de segurança conforme Cláusula 9.

• Manter atualizada a lista de subprocessadores (Cláusula 7) e exigir deles obrigações de proteção de dados compatíveis com este DPA.

• Não usar os dados de uma clínica para atender outra clínica, nem para treinar modelos de inteligência artificial.

• Excluir ou devolver todos os dados pessoais ao término do contrato, conforme solicitação do Controlador, respeitados os prazos legais de retenção.

• Disponibilizar informações necessárias para demonstrar conformidade e permitir auditorias razoáveis pelo Controlador, com aviso prévio de 30 dias.

• Não subcontratar subprocessadores adicionais sem aviso prévio de 30 dias ao Controlador.

6. Responsabilidades do Controlador

• Definir a base legal adequada para cada tratamento dos dados dos pacientes, incluindo consentimento quando exigido (ex.: gravação de consultas).

• Informar os pacientes de que usa a plataforma FlexLabs como operadora e de que usa inteligência artificial no atendimento e nas mensagens, quando ativar esses recursos. A FlexLabs oferece um modelo de aviso na plataforma.

• Atender às solicitações dos titulares no prazo legal (Art. 18, §5º, LGPD), com auxílio do Operador quando necessário.

• Obter a autorização dos pacientes para mensagens de marketing, quando exigida.

• Configurar a Lia (papel, modo, permissões e lembretes), acompanhar o que ela faz e revisar os resultados da IA clínica antes de usá-los.

• Registrar na plataforma apenas os dados necessários às finalidades do tratamento.

• Fornecer instruções claras e lícitas ao Operador sobre o tratamento dos dados.

• Responder pelo uso que faz da plataforma e indenizar o Operador por danos decorrentes de tratamento ilícito, de instruções ilícitas ou do descumprimento das obrigações desta Cláusula, nos limites da lei.

7. Subprocessadores

O Operador utiliza os seguintes subprocessadores, previamente aprovados pelo Controlador ao aceitar estes termos:

Fornecedor	Finalidade	Local
Fly.io	Hospedagem da aplicação	Brasil (São Paulo)
Neon	Banco de dados	Brasil (São Paulo)
Cloudflare	Armazenamento de arquivos (anexos, documentos e cópias de segurança)	Estados Unidos
Vultr	Servidor da conexão do WhatsApp da clínica	Brasil (São Paulo)
Asaas Gestão Financeira S.A., CNPJ 19.540.550/0001-21, instituição de pagamento autorizada pelo Banco Central do Brasil	Pagamentos e cobranças (FlexPay): dados cadastrais, financeiros e documentos de identificação (KYC)	Brasil
Meta (WhatsApp)	Envio e recebimento de mensagens	Estados Unidos e Brasil
YCloud	Provedor parceiro da Plataforma do WhatsApp Business	Singapura
OpenAI	Inteligência artificial: assistentes de IA clínica e transcrição (conteúdo clínico necessário à tarefa, que pode identificar o paciente); na Lia, respostas e ações (como principal ou reserva), sugestões, assistente da equipe, transcrição de áudios, busca nos documentos e aprendizado (conversas e dados liberados pela clínica); e suporte técnico	Estados Unidos
Anthropic	Inteligência artificial da Lia: respostas e ações (como principal ou reserva) (conversas e dados liberados pela clínica); e suporte técnico	Estados Unidos
Focus NFe	Emissão de notas fiscais	Brasil
ClickSign	Assinatura eletrônica (FlexVerify): documento a assinar e nome, e-mail, telefone e CPF de quem assina	Estados Unidos
CertControl	Venda e emissão do certificado digital A1 da clínica: dados da clínica e do representante legal	Brasil
OpenStreetMap (Nominatim)	Localização do endereço da clínica no mapa (só o endereço da clínica, sem dado de paciente)	Fora do Brasil
Resend	E-mails transacionais	Estados Unidos
Google	Integração com Google Agenda e login com Google, quando ativados pelo usuário	Estados Unidos

Alterações na lista de subprocessadores serão comunicadas ao Controlador com antecedência mínima de 30 (trinta) dias. O Controlador pode se opor à inclusão de novo subprocessador, hipótese em que as partes buscarão solução alternativa ou, não sendo possível, o Controlador poderá rescindir o contrato.

8. Medidas de Segurança

• Criptografia em repouso (AES-256, nos provedores de banco de dados e de armazenamento) e TLS 1.2+ para dados em trânsito.

• Controle de acesso baseado em papéis (RBAC) com princípio do menor privilégio.

• Autenticação de dois fatores (2FA/TOTP) disponível para todos os usuários.

• PIN de 4 dígitos para operações financeiras (FlexPay), com bloqueio após tentativas erradas.

• Backup automático diário, cifrado (AES-256-GCM) e com verificação de integridade SHA-256.

• Minimização dos dados enviados às APIs de IA dos provedores listados na Cláusula 7 (os campos de cadastro que a IA clínica não usa não são enviados; na Lia, números de CPF, cartão e conta são ocultados) e registro de auditoria das operações sensíveis.

• Testes periódicos de segurança e correção de vulnerabilidades.

• Segregação lógica de dados entre clínicas (multi-tenancy seguro).

9. Incidentes de Segurança

Em caso de incidente de segurança que envolva acesso não autorizado, destruição, perda, alteração ou vazamento de dados pessoais, o Operador seguirá o seguinte protocolo:

9.1 Notificação ao Controlador

O Operador notificará o Controlador em até 48 (quarenta e oito) horas após tomar conhecimento do incidente, informando: natureza do incidente e dados potencialmente afetados; volume aproximado de titulares e registros; medidas técnicas já adotadas para contenção; avaliação preliminar de risco aos titulares.

9.2 Notificação à ANPD

O Controlador é responsável por notificar a Autoridade Nacional de Proteção de Dados (ANPD) em prazo razoável, recomendado em até 72 (setenta e duas) horas após tomar conhecimento do incidente, conforme Art. 48 da LGPD e orientações da ANPD. O Operador fornecerá todas as informações necessárias para esta notificação e apoiará o Controlador na comunicação à ANPD e aos titulares no prazo da regulamentação vigente.

9.3 Notificação aos Titulares

Quando o incidente puder acarretar risco ou dano relevante aos titulares, o Controlador, com cooperação do Operador, comunicará os titulares afetados, descrevendo o incidente, os dados envolvidos, as medidas adotadas e as recomendações para mitigação de riscos pessoais.

9.4 Documentação

O Operador documentará todos os incidentes de segurança, independentemente de sua gravidade, incluindo fatos, efeitos e ações corretivas adotadas, mantendo registro por no mínimo 5 (cinco) anos.

10. Transferência Internacional

Os subprocessadores com infraestrutura fora do Brasil são OpenAI, Anthropic, Resend, Cloudflare, Google, ClickSign e Meta/WhatsApp (Estados Unidos), YCloud (Singapura) e OpenStreetMap (Nominatim, fora do Brasil, só com o endereço da clínica). A aplicação (Fly.io), o banco de dados (Neon) e o servidor de mensageria (Vultr) ficam em São Paulo, Brasil. No caso da Cloudflare, a transferência internacional é coberta pelo acordo de processamento de dados padrão do provedor. Dados transferidos para fora do Brasil são protegidos por Cláusulas-Padrão Contratuais (CPCs) ou pelo acordo de processamento de dados padrão de cada subprocessador internacional, nos termos da Resolução CD/ANPD nº 19/2024, além de medidas técnicas suplementares (criptografia em trânsito e envio só do necessário para cada tarefa). Os provedores de IA recebem conteúdo que pode identificar o paciente, conforme a Cláusula 3, e não o usam para treinamento.

11. Limitação de Responsabilidade

Cada parte responde pelos danos que causar por descumprimento deste DPA ou da LGPD, na medida da sua participação. Fora dos casos de dolo, culpa grave e das hipóteses do Art. 42 da LGPD, a responsabilidade total do Operador por este DPA fica limitada ao valor pago pelo Controlador nos 12 (doze) meses anteriores ao fato, e nenhuma das partes responde por lucros cessantes ou danos indiretos. Esta Cláusula não afasta os direitos dos titulares.

12. Vigência

Este DPA permanece em vigor enquanto o Operador processar dados pessoais em nome do Controlador. As obrigações de confidencialidade, segurança e cooperação em incidentes sobrevivem ao término do contrato por prazo indeterminado.

13. Alterações

Cada nova versão deste DPA é informada aos administradores da clínica por aviso na plataforma, com o resumo do que muda, e entra em vigor na data indicada no aviso, sem novo aceite. Quando a nova versão reduzir direitos do Controlador ou aumentar custos, ela pede aceite expresso na plataforma e só entra em vigor 30 (trinta) dias após a publicação. Até a data de vigência, a versão anterior permanece disponível e em vigor. O histórico de versões anteriores fica disponível em Configurações › Legal ou mediante solicitação ao DPO.

14. Prevalência

Em matéria de proteção de dados pessoais, este documento prevalece sobre os Termos de Uso e qualquer outro documento da FlexLabs que disponha de forma diferente.