Acordo de Processamento de Dados (DPA)

1.1. MOVOON ("Operador de Dados"): SCALO TECH LTDA, pessoa jurídica de direito privado, inscrita no CNPJ sob o nº 61.301.885/0001-53, com sede em Belo Horizonte/MG, neste ato denominada MOVOON, responsável pela operação da plataforma Movoon Clinic OS e pelo processamento de dados pessoais em nome da Clínica Cliente, na qualidade de Operador de Dados nos termos do Art. 5º, VII da LGPD.

1.2. Clínica Cliente ("Controlador de Dados"): A clínica, consultório ou profissional de saúde identificado no Contrato de Prestação de Serviços firmado com a MOVOON, na qualidade de Controlador de Dados nos termos do Art. 5º, VI da LGPD, responsável pelas decisões referentes ao tratamento de dados pessoais de seus pacientes.

As partes são conjuntamente denominadas "Partes" e, individualmente, "Parte".

2.1. O presente Acordo de Processamento de Dados ("DPA") tem por objeto estabelecer as condições e responsabilidades relativas ao processamento de dados pessoais de pacientes realizado pela MOVOON em nome da Clínica Cliente, no âmbito da operação da plataforma Movoon Clinic OS.

2.2. Este DPA complementa e faz parte integrante do Contrato de Prestação de Serviços celebrado entre as Partes. Em caso de conflito entre o Contrato e este DPA, prevalecerão as disposições deste DPA no que se refere à proteção de dados pessoais.

2.3. O tratamento abrange todas as operações realizadas com dados pessoais no contexto da plataforma, incluindo coleta, armazenamento, consulta, utilização, transmissão, classificação e eliminação, conforme definido no Art. 5º, X da LGPD.

3.1. A MOVOON processará dados pessoais exclusivamente conforme as instruções documentadas da Clínica Cliente. As instruções iniciais são aquelas estabelecidas neste DPA e no Contrato de Prestação de Serviços. Instruções adicionais devem ser formalizadas por escrito.

3.2. Finalidades permitidas: O processamento de dados está autorizado exclusivamente para as seguintes finalidades:

• Gestão de cadastro e informações de pacientes
• Agendamento de consultas e procedimentos
• Registro e manutenção de prontuários eletrônicos
• Gestão financeira (faturamento, cobranças, recibos)
• Comunicação com pacientes via WhatsApp e agentes de Inteligência Artificial
• Geração de relatórios operacionais e gerenciais
• Envio de notificações e lembretes de consulta

3.3. Proibições expressas: A MOVOON NÃO poderá, em nenhuma hipótese:

• Vender, comercializar ou monetizar dados pessoais dos pacientes
• Utilizar dados pessoais para marketing próprio da MOVOON ou de terceiros
• Compartilhar dados com terceiros não autorizados neste DPA ou pela Clínica Cliente
• Utilizar dados de pacientes para treinar, ajustar ou aprimorar modelos de Inteligência Artificial, próprios ou de terceiros
• Acessar dados pessoais para qualquer finalidade que não esteja expressamente prevista neste DPA

3.4. Caso a MOVOON receba qualquer instrução que considere violar a LGPD ou outras disposições legais aplicáveis, deverá informar imediatamente a Clínica Cliente e poderá se recusar a executar tal instrução até que a questão seja resolvida.

A MOVOON, na qualidade de Operador de Dados, compromete-se a:

1. Processar dados conforme instruções: Tratar dados pessoais exclusivamente de acordo com as instruções documentadas da Clínica Cliente, não realizando qualquer operação de tratamento que extrapole as finalidades definidas neste DPA.
2. Garantir confidencialidade: Assegurar que todas as pessoas autorizadas a processar dados pessoais estejam sujeitas a obrigações de confidencialidade, formalizadas por meio de Acordo de Confidencialidade (NDA) ou cláusula contratual equivalente.
3. Implementar medidas de segurança: Adotar medidas técnicas e organizacionais apropriadas para garantir um nível de segurança adequado ao risco, conforme detalhado na Seção 9 deste DPA e nos termos do Art. 46 da LGPD.
4. Notificar incidentes em até 72 horas: Comunicar à Clínica Cliente, no prazo máximo de 72 (setenta e duas) horas após tomar conhecimento, qualquer incidente de segurança que envolva dados pessoais, conforme procedimento descrito na Seção 12.
5. Auxiliar no atendimento a direitos dos titulares: Cooperar com a Clínica Cliente no atendimento a solicitações de titulares de dados, incluindo direitos de acesso, correção, exclusão, portabilidade, anonimização e revogação de consentimento (Art. 18 da LGPD).
6. Não subcontratar sem autorização: Não contratar subprocessadores adicionais sem autorização prévia e por escrito da Clínica Cliente, exceto aqueles já autorizados na Seção 7 deste DPA.
7. Disponibilizar informações para auditorias: Disponibilizar à Clínica Cliente todas as informações necessárias para demonstrar conformidade com as obrigações previstas neste DPA, permitindo e contribuindo para a realização de auditorias, conforme Seção 11.
8. Devolver ou destruir dados ao final do contrato: Ao término da relação contratual, devolver todos os dados pessoais à Clínica Cliente em formato estruturado e interoperável, ou proceder à exclusão segura, conforme Seção 10.
9. Manter registro das atividades de tratamento: Manter registro atualizado de todas as categorias de atividades de tratamento realizadas em nome da Clínica Cliente, em conformidade com o Art. 37 da LGPD.
10. Designar Encarregado de Dados (DPO): Manter um Encarregado de Proteção de Dados designado e acessível, conforme Art. 41 da LGPD. Contato: dpo@movoon.com.br.
11. Treinar equipe em proteção de dados: Promover treinamentos periódicos sobre proteção de dados pessoais e segurança da informação para todos os colaboradores que tenham acesso a dados processados em nome da Clínica Cliente.
12. Cooperar com a ANPD: Cooperar com a Autoridade Nacional de Proteção de Dados (ANPD) sempre que necessário, fornecendo informações e esclarecimentos solicitados no âmbito de suas competências.

A Clínica Cliente, na qualidade de Controlador de Dados, compromete-se a:

1. Ter base legal para o tratamento: Garantir que todo tratamento de dados pessoais realizado por meio da plataforma esteja amparado por base legal válida, conforme Art. 7º e Art. 11 da LGPD, incluindo, mas não se limitando a, execução de contrato, cumprimento de obrigação legal/regulatória e tutela da saúde.
2. Obter consentimento quando necessário: Obter o consentimento livre, informado e inequívoco dos pacientes para o tratamento de seus dados pessoais, quando essa for a base legal aplicável, especialmente para dados pessoais sensíveis nos termos do Art. 11, I da LGPD.
3. Informar pacientes sobre o uso do SaaS: Informar seus pacientes, de forma clara e acessível, sobre a utilização da plataforma Movoon Clinic OS para gerenciamento de seus dados, incluindo informações sobre o uso de agentes de Inteligência Artificial nas comunicações.
4. Não inserir dados além do necessário: Observar o princípio da minimização de dados (Art. 6º, III da LGPD), inserindo na plataforma apenas os dados pessoais estritamente necessários para as finalidades de atendimento clínico.
5. Manter dados atualizados: Zelar pela qualidade, exatidão e atualização dos dados pessoais inseridos na plataforma, conforme Art. 6º, V da LGPD.
6. Responder por uso indevido da plataforma: Responsabilizar-se por qualquer uso indevido da plataforma por seus colaboradores, incluindo acessos não autorizados, compartilhamento de credenciais e inserção de dados inadequados.
7. Designar responsável interno: Designar um responsável interno pela proteção de dados pessoais, que servirá como ponto de contato com a MOVOON para questões relacionadas a este DPA.
8. Notificar MOVOON sobre solicitações de titulares: Comunicar à MOVOON, no prazo de 5 (cinco) dias úteis, qualquer solicitação recebida de titulares de dados que demande ação por parte da MOVOON na plataforma, para que esta possa tomar as providências técnicas necessárias.

7.1. A MOVOON utiliza os seguintes subprocessadores previamente autorizados pela Clínica Cliente para o processamento de dados pessoais:

7.2. A Clínica Cliente, ao aceitar este DPA, autoriza expressamente o uso dos subprocessadores listados acima. Todos os subprocessadores possuem contratos ou termos de serviço que incluem cláusulas de proteção de dados equivalentes às previstas neste DPA.

7.3. A MOVOON notificará a Clínica Cliente com, no mínimo, 30 (trinta) dias de antecedência sobre a inclusão de novos subprocessadores ou substituição dos existentes. A Clínica Cliente terá o direito de se opor à alteração no prazo de 15 (quinze) dias após a notificação, caso em que as Partes buscarão uma solução alternativa.

8.1. Em razão da localização dos subprocessadores listados na Seção 7, dados pessoais poderão ser transferidos para os Estados Unidos da América (EUA) para fins de armazenamento, processamento e operação da plataforma.

8.2. A transferência internacional de dados é realizada com base nos seguintes mecanismos de proteção, em conformidade com o Art. 33 da LGPD:

• Cláusulas Contratuais Padrão (SCCs): Todos os subprocessadores operam com Standard Contractual Clauses que garantem nível adequado de proteção de dados pessoais.
• Certificações de segurança: Os subprocessadores mantêm certificações reconhecidas internacionalmente, incluindo ISO 27001 e SOC 2 Type II, que atestam a adoção de práticas robustas de segurança da informação.
• Criptografia ponta a ponta: Dados em trânsito entre a plataforma e os subprocessadores são protegidos por criptografia TLS 1.3.

8.3. A MOVOON compromete-se a manter um nível adequado de proteção de dados pessoais em todas as transferências internacionais, conforme exigido pelo Art. 33 da LGPD, e a informar a Clínica Cliente caso haja qualquer alteração nos mecanismos de proteção utilizados.

A MOVOON implementa as seguintes medidas técnicas e organizacionais de segurança para a proteção dos dados pessoais processados, em conformidade com o Art. 46 da LGPD:

• Criptografia TLS 1.3 em trânsito (HTTPS): Todas as comunicações entre o navegador do usuário e os servidores da plataforma são protegidas por criptografia de última geração, impedindo interceptação de dados em trânsito.
• Criptografia AES-256 em repouso (Supabase): Os dados armazenados no banco de dados são criptografados com o padrão AES-256, amplamente reconhecido como nível militar de proteção.
• RBAC — Controle de Acesso Baseado em Função: Cada usuário da plataforma possui permissões definidas de acordo com sua função (administrador, profissional de saúde, recepção, financeiro), garantindo acesso apenas às informações necessárias para o exercício de suas atividades.
• RLS — Row Level Security: Implementação de isolamento de dados por organização no nível do banco de dados, garantindo que uma clínica jamais tenha acesso aos dados de outra clínica, mesmo em ambiente compartilhado.
• Autenticação segura com JWT + 2FA opcional: Sistema de autenticação baseado em tokens JWT com suporte a autenticação de dois fatores (2FA) para camada adicional de proteção ao login.
• Backups automáticos diários: Cópias de segurança são realizadas automaticamente todos os dias, com retenção mínima de 30 dias, permitindo recuperação em caso de incidente.
• Monitoramento de segurança 24/7: Infraestrutura monitorada continuamente por ferramentas automatizadas que detectam e alertam sobre atividades suspeitas, tentativas de acesso não autorizado e anomalias.
• Logs de auditoria imutáveis (audit_log): Todas as ações relevantes na plataforma são registradas em logs de auditoria que não podem ser alterados, garantindo rastreabilidade completa para fins de conformidade e investigação.
• Revisão periódica de vulnerabilidades: Avaliações regulares de segurança são conduzidas para identificar e corrigir potenciais vulnerabilidades na plataforma, incluindo testes de penetração.
• Política de senhas fortes: A plataforma exige senhas com requisitos mínimos de complexidade e incentiva a adoção de gerenciadores de senhas e autenticação de dois fatores.

10.1. Durante a vigência do contrato: Enquanto o Contrato de Prestação de Serviços estiver ativo, todos os dados pessoais permanecerão disponíveis e acessíveis à Clínica Cliente na plataforma, podendo ser consultados, editados e exportados a qualquer momento.

10.2. Cancelamento e período de exportação: Após o cancelamento do contrato, a Clínica Cliente terá um prazo de 90 (noventa) dias para exportar todos os seus dados da plataforma em formato estruturado e interoperável. Durante este período, a conta permanecerá em modo somente leitura.

10.3. Exclusão após período de exportação: Decorridos os 90 (noventa) dias após o cancelamento, a MOVOON procederá à exclusão segura e definitiva de todos os dados pessoais da Clínica Cliente. A exclusão será confirmada por escrito.

10.4. Exceções legais à exclusão: Determinados dados poderão ser retidos além do prazo acima mencionado em cumprimento a obrigações legais e regulatórias:

• Prontuários médicos: retenção mínima de 20 (vinte) anos, conforme Resolução CFM nº 1.821/2007 e Art. 6º da Lei nº 13.787/2018.
• Dados fiscais e financeiros: retenção mínima de 5 (cinco) anos, conforme legislação tributária aplicável.

10.5. Método de exclusão: A exclusão de dados segue um processo em duas etapas: (i) soft delete — marcação dos dados como excluídos, tornando-os inacessíveis; seguido de (ii) purge definitivo — remoção irreversível dos dados de todos os sistemas, backups e logs, salvo exceções legais.

10.6. Certificado de exclusão: Após a conclusão do processo de exclusão definitiva, a MOVOON enviará à Clínica Cliente um certificado de exclusão de dados por e-mail, confirmando que todos os dados pessoais foram eliminados de forma segura e irreversível.

11.1. A Clínica Cliente tem o direito de auditar as práticas de processamento de dados da MOVOON para verificar o cumprimento das obrigações previstas neste DPA. A solicitação de auditoria deve ser formalizada por escrito com, no mínimo, 30 (trinta) dias de antecedência.

11.2. Como alternativa à auditoria presencial, a MOVOON poderá apresentar certificações de segurança reconhecidas internacionalmente (SOC 2 Type II, ISO 27001) ou relatórios de auditoria emitidos por terceiros independentes, que comprovem a conformidade de suas práticas.

11.3. Os custos de auditoria presencial — incluindo deslocamento, hospedagem e honorários de auditores — serão de responsabilidade da Clínica Cliente, salvo nos casos em que a auditoria revele não conformidade material com este DPA.

11.4. A MOVOON compromete-se a cooperar plenamente com auditores independentes contratados pela Clínica Cliente, fornecendo acesso razoável a documentos, registros e sistemas necessários para a condução da auditoria, desde que mantida a confidencialidade e a segurança dos dados de outras clínicas.

12.1. Prazo de notificação: A MOVOON notificará a Clínica Cliente no prazo máximo de 72 (setenta e duas) horas após tomar conhecimento de qualquer incidente de segurança que possa afetar dados pessoais processados em nome da Clínica, conforme Art. 48 da LGPD.

12.2. Conteúdo da notificação: A notificação de incidente conterá, no mínimo, as seguintes informações:

• Descrição da natureza do incidente de segurança
• Categorias e número aproximado de titulares de dados afetados
• Categorias e volume aproximado de dados pessoais comprometidos
• Medidas técnicas e organizacionais já adotadas para conter e remediar o incidente
• Medidas recomendadas à Clínica Cliente para mitigar possíveis efeitos adversos
• Nome e dados de contato do Encarregado de Dados (DPO) da MOVOON

12.3. Canal de comunicação: As notificações de incidentes de segurança serão encaminhadas para o e-mail de contato da Clínica Cliente cadastrado na plataforma. A Clínica Cliente também pode reportar incidentes ou suspeitas pelo e-mail seguranca@movoon.com.br.

12.4. Cooperação na notificação à ANPD: A MOVOON auxiliará a Clínica Cliente na elaboração e envio da notificação à Autoridade Nacional de Proteção de Dados (ANPD) e, quando necessário, na comunicação aos titulares de dados afetados, conforme exigido pelo Art. 48 da LGPD.

13.1. Este DPA entra em vigor na data de aceitação dos Termos de Uso da plataforma Movoon Clinic OS e permanecerá válido durante todo o período de vigência do Contrato de Prestação de Serviços firmado entre as Partes.

13.2. As obrigações de confidencialidade previstas neste DPA sobreviverão ao término ou rescisão do contrato pelo período de 5 (cinco) anos, independentemente do motivo do encerramento.

13.3. Na rescisão ou término do contrato, a MOVOON procederá conforme as disposições da Seção 10 (Retenção e Exclusão de Dados), garantindo a devolução ou exclusão segura de todos os dados pessoais processados em nome da Clínica Cliente.

13.4. A rescisão do Contrato de Prestação de Serviços não isenta as Partes das obrigações decorrentes de incidentes de segurança ocorridos durante a vigência do contrato, que continuarão sendo tratados conforme este DPA.

14.1. A MOVOON responde na qualidade de Operador de Dados, nos termos do Art. 42 da LGPD, pelos danos causados ao titular de dados em decorrência de violação das obrigações previstas neste DPA ou na legislação aplicável.

14.2. A Clínica Cliente responde na qualidade de Controlador de Dados, sendo a principal responsável pelo tratamento de dados pessoais de seus pacientes, incluindo a definição das finalidades, bases legais e instruções de processamento.

14.3. Limitação de responsabilidade do Operador: A MOVOON não será responsabilizada por danos decorrentes de:

• Instruções incorretas, incompletas ou ilegais fornecidas pela Clínica Cliente
• Uso indevido da plataforma por colaboradores da Clínica Cliente
• Inserção de dados inadequados ou desnecessários na plataforma
• Falha da Clínica Cliente em obter consentimento ou base legal válida

14.4. Indenização mútua: Cada Parte indenizará e isentará a outra Parte de quaisquer perdas, danos, custos e despesas (incluindo honorários advocatícios razoáveis) decorrentes de violação comprovada de suas obrigações previstas neste DPA, na LGPD ou em outras normas aplicáveis de proteção de dados.

15.1. Foro: Fica eleito o foro da Comarca de Belo Horizonte, Estado de Minas Gerais, para dirimir quaisquer controvérsias decorrentes deste DPA, com renúncia expressa a qualquer outro, por mais privilegiado que seja.

15.2. Lei aplicável: Este DPA é regido pelas leis da República Federativa do Brasil, em especial a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD), o Marco Civil da Internet (Lei nº 12.965/2014) e o Código Civil Brasileiro (Lei nº 10.406/2002).

15.3. Alterações: Qualquer alteração neste DPA somente será válida se formalizada por escrito e assinada por representantes autorizados de ambas as Partes. A MOVOON poderá atualizar este DPA para refletir mudanças na legislação aplicável, notificando a Clínica Cliente com 30 (trinta) dias de antecedência.

15.4. Prevalência: Em caso de conflito entre as disposições deste DPA e quaisquer cláusulas do Contrato de Prestação de Serviços ou de outros documentos contratuais, prevalecerão as disposições deste DPA no que se refere à proteção de dados pessoais.

15.5. Independência das cláusulas: Caso qualquer disposição deste DPA seja considerada inválida ou inexequível, as demais disposições permanecerão em pleno vigor e efeito.

15.6. Comunicações: Todas as comunicações formais relativas a este DPA deverão ser realizadas por escrito, por meio dos canais indicados neste documento.