Acordo de tratamento de dados (DPA)

Entre a clínica contratante (controladora) e a Fala Luna (operadora). Aceito pela dona da clínica no primeiro acesso, com data, versão e IP registrados.

1. Objeto

A operadora trata dados pessoais de pacientes e da equipe da controladora só para prestar o atendimento virtual, a agenda, os lembretes e os relatórios contratados, seguindo as instruções da controladora registradas no painel.

2. Dados e titulares

Pacientes: nome, telefone, mensagens, agendamentos e preferências de contato. Equipe: nome, e-mail, papel e registros de acesso. Não são tratados CPF, prontuário nem dados de pagamento das pacientes.

3. Obrigações da operadora

• Não usar os dados para outra finalidade nem vendê-los.
• Manter isolamento por clínica, controle de acesso por papel, criptografia em trânsito e registros de auditoria.
• Ajudar a controladora a responder pedidos de titulares (exportação e anonimização pelo painel).
• Comunicar incidente de segurança relevante em até 48 horas da descoberta [VERIFICAR prazo].
• Excluir ou devolver os dados ao fim do contrato, em até 90 dias.

4. Obrigações da controladora

• Ter base legal para o tratamento e informar as pacientes (a assistente se apresenta como atendimento virtual).
• Manter o catálogo e as informações da base de conhecimento corretos.
• Responder às pacientes nos casos passados para a equipe.

5. Subprocessadores

A controladora autoriza os subprocessadores abaixo; mudanças são avisadas com 15 dias de antecedência.

• Supabase: Banco de dados e login (Brasil (São Paulo))
• Vercel: Hospedagem do painel (EUA e Brasil)
• DigitalOcean: Servidor da integração (n8n) (EUA [VERIFICAR região])
• Meta (WhatsApp Business): Envio e recebimento das mensagens (EUA)
• Anthropic: Inteligência artificial das respostas (EUA)
• Asaas: Cobrança da mensalidade (Brasil)
• Resend: E-mails do sistema (convites, avisos) (EUA)
• Cloudflare: Proteção de formulários e cópia de segurança (Global)
• Sentry: Registro de erros (sem conteúdo de conversa) (EUA)
• Better Stack: Monitoramento de disponibilidade (UE)

6. Transferência internacional

Feita com as cláusulas-padrão contratuais da ANPD ou outra base do art. 33 da LGPD [VERIFICAR].