Acordo de Tratamento de Dados

Operador: REDE STECH DESENVOLVIMENTO DE SOFTWARE CUSTOMIZAVEL LTDA, CNPJ 69.611.843/0001-20, com sede em Rua Maria Monteiro, 1286, apto 71, Cambuí, Campinas/SP, CEP 13025-152, responsável pelo Stech. Contato para assuntos de dados: contato@stech.app.br.

Controladora: a profissional ou a clínica que contrata o Stech, identificada no cadastro ("a clínica").

Este acordo faz parte dos Termos de Uso e vale enquanto a clínica usar o Stech e, depois disso, até os dados serem apagados como explicado na seção 10. Se algo aqui conflitar com os Termos, sobre dados pessoais vale este acordo.

Finalidade

Prestar o serviço contratado: guardar, organizar, mostrar e enviar os dados que a clínica cadastra, para ela gerir agenda, atendimentos, fichas, documentos, cobranças e o relacionamento com as clientes dela.

Pessoas a quem os dados se referem

Clientes da clínica (inclusive menores de idade, quando a clínica os atende), pessoas da equipe da clínica e fornecedores que a clínica cadastra.

Tipos de dados

• identificação e contato: nome, telefone, e-mail, data de nascimento, CPF, Instagram, foto;
• agendamentos, atendimentos, valores, pagamentos, combos, mensalidades e anotações da profissional;
• dados sensíveis de saúde: fichas de anamnese, evoluções e fotos de antes e depois;
• contratos e vistos assinados por link, com nome, CPF, assinatura, data, hora, IP e aparelho.

O que fazemos com eles

Armazenamento, organização, consulta, exibição para quem a clínica autoriza, envio por link e e-mail quando a clínica pede, cópia de segurança e eliminação.

O Stech trata os dados só conforme as instruções da clínica. As instruções são o que ela faz no sistema (cadastrar, editar, enviar, excluir, dar acesso a alguém da equipe) e o que pedir por escrito pelo e-mail acima.

Não usamos os dados das clientes da clínica para nenhuma finalidade nossa: não vendemos, não usamos em publicidade, não cruzamos com dados de outras clínicas e não usamos para treinar inteligência artificial. Números agregados de uso do sistema (quantos agendamentos existem, quais telas são usadas) não identificam ninguém e servem só para melhorar o Stech.

Se uma instrução parecer contrária à LGPD, avisamos a clínica antes de cumprir.

• ter base legal para tratar os dados de cada cliente e informar a ela que os dados ficam no Stech;
• para dados de saúde, ter uma base do art. 11 da LGPD. A ficha de anamnese do Stech pede o consentimento específico da cliente e guarda quando ela autorizou;
• distinguir o consentimento para tratar os dados, a autorização de uso de imagem e o consentimento para o procedimento estético, porque um não substitui o outro;
• ter a autorização da cliente para divulgar fotos de antes e depois (redes sociais, site, propaganda), separada do registro feito para acompanhar o tratamento. A ficha de anamnese do Stech pergunta isso à parte;
• tratar dados de crianças e adolescentes no melhor interesse deles, com a base legal que se aplica ao caso (LGPD arts. 7º, 11 e 14 e Enunciado CD/ANPD 1/2023). Com crianças, o normal é ter o consentimento de um dos pais ou do responsável;
• dar a cada pessoa da equipe só o acesso de que ela precisa, e tirar o acesso de quem sai;
• responder aos pedidos das clientes dela (com a nossa ajuda, seção 8);
• guardar o prontuário pelo prazo que a profissão dela exige, baixando a cópia antes do fim do prazo da seção 10.

Só as pessoas da Rede Stech que precisam, para suporte, segurança ou correção de falhas, podem acessar dados de uma clínica, e todas têm dever de sigilo. Não abrimos fichas, anamneses ou fotos sem necessidade. Os acessos administrativos ao Stech exigem verificação em duas etapas.

• conexão sempre criptografada (HTTPS) e dados criptografados no armazenamento do fornecedor de banco de dados;
• separação dos dados de cada clínica no próprio banco de dados, que recusa entregar dados de uma clínica para outra;
• fotos, fichas e contratos em armazenamento privado, abertos só por links temporários de 1 hora;
• senhas guardadas de forma que nem nós conseguimos ler;
• permissões por pessoa da equipe, definidas pela clínica;
• limite de tentativas no login e nos links públicos;
• cópia de segurança diária do banco e cópia contínua das fotos e documentos, num provedor separado do principal;
• registro de acessos ao sistema por 6 meses;
• monitoramento de erros e avisos automáticos quando algo falha.

A clínica autoriza o Stech a usar os fornecedores listados na Política de Privacidade, cada um só para a sua parte. Cada fornecedor está sujeito a um acordo de proteção de dados com obrigações de segurança e sigilo pelo menos iguais às deste acordo, e o Stech responde perante a clínica pelo que eles fizerem com os dados.

Antes de incluir um fornecedor novo que receba dados das clientes das clínicas, avisamos por e-mail com pelo menos 15 dias de antecedência. Se a clínica não concordar, pode cancelar sem custo e receber de volta o valor proporcional ao período pago que não vai usar.

Parte desses fornecedores guarda dados fora do Brasil, principalmente nos Estados Unidos. A transferência segue o art. 33 da LGPD, como explicado na seção 6 da Política de Privacidade.

Quando uma cliente da clínica pedir acesso, correção, cópia, portabilidade ou exclusão dos dados dela, a clínica pode atender pelo próprio sistema: editar a ficha, excluir a cliente ou usar Baixar tudo da cliente (ficha da cliente, aba Documentos), que gera um arquivo com tudo o que existe sobre ela.

Se o pedido chegar direto para nós, encaminhamos para a clínica em até 2 dias úteis e não respondemos no lugar dela, a menos que ela peça. No que o sistema não resolver sozinho, ajudamos sem custo.

Se descobrirmos um incidente de segurança que atinja dados da clínica (acesso indevido, vazamento, perda ou alteração sem autorização), avisamos a clínica pelo e-mail da conta sem demora e no máximo em 2 dias úteis, para que ela consiga cumprir o prazo de comunicação à ANPD e às clientes previsto na Resolução CD/ANPD 15/2024.

O aviso diz, no que já se souber: o que aconteceu e quando, que dados e quantas pessoas foram atingidos, os riscos, o que já foi feito para conter e o que a clínica pode fazer. Completamos as informações à medida que a investigação avança e ajudamos na comunicação à ANPD.

Todo incidente, mesmo o que não traz risco, fica registrado por nós por pelo menos 5 anos.

A clínica pode exportar os dados a qualquer momento: clientes e financeiro em planilha, e cada cliente completa em Baixar tudo da cliente. Uma cópia da clínica inteira pode ser pedida pelo e-mail.

Depois que o acesso acaba (fim do período pago após o cancelamento, ou fim do teste sem assinar), guardamos os dados por 1 ano para a clínica poder voltar, avisamos por e-mail cerca de 30 dias antes e então apagamos os dados e os arquivos. As cópias de segurança são substituídas sozinhas e somem em até 90 dias depois disso. A clínica pode pedir para apagarmos antes.

Só guardamos depois disso o que a lei obrigar (por exemplo, dados de cobrança da assinatura para a lei fiscal), e nada dos dados das clientes da clínica.

Mediante pedido por escrito, uma vez por ano (ou a qualquer tempo depois de um incidente ou por ordem da ANPD), enviamos à clínica as informações necessárias para mostrar que cumprimos este acordo: as medidas de segurança, a lista de fornecedores e os registros que mantemos. Não damos acesso aos sistemas, porque isso exporia os dados das outras clínicas.

Cada parte responde pelo que fizer em desacordo com a LGPD ou com este acordo, como prevê o art. 42 da LGPD. O Stech responde quando descumprir a lei ou não seguir as instruções da clínica; a clínica responde pelas decisões sobre os dados e pela base legal de cada tratamento. Os limites da seção 12 dos Termos valem aqui, salvo em caso de dolo ou culpa grave e quando a lei não permitir. Esses limites valem só entre a clínica e o Stech e não diminuem os direitos das pessoas a quem os dados se referem.

O aceite no cadastro já vale como aceite deste acordo, e o Stech guarda qual versão foi aceita, quando e de onde. Se a clínica precisar de uma versão assinada pelas duas partes, ou de um acordo próprio dela revisado por nós, é só pedir em contato@stech.app.br.