Responsabilidades definidas para proteger dados clínicos.

1. Partes e prevalência

“Controladora” é a profissional ou organização que contratou o Nutricionista Online e define o cuidado de seus pacientes. “Operadora” é a pessoa jurídica identificada como Contratada no documento comercial. Este DPA prevalece sobre cláusula conflitante dos Termos Profissionais quanto a proteção de dados; a LGPD e normas obrigatórias prevalecem sobre ambos.

2. Objeto, natureza e duração

A Operadora coleta, organiza, armazena, consulta, transmite, protege, recupera, exporta e elimina dados para fornecer agenda, formulários, prontuário, documentos, portal, teleconsulta, transcrição, avaliação corporal, comunicação, pagamento e recursos contratados. O tratamento dura enquanto o contrato estiver ativo e pelo período posterior necessário à devolução, eliminação segura, obrigações legais, continuidade e defesa de direitos.

3. Titulares e categorias de dados

• Titulares: pacientes, responsáveis legais, acompanhantes autorizados, profissionais e usuários da equipe.
• Dados comuns: identificação, contato, agenda, mensagens, autenticação, documentos, pagamentos e logs.
• Dados sensíveis: saúde, anamnese, exames, prescrições e orientações nutricionais, evolução, medidas, imagens corporais, transcrições e informações associadas ao prontuário.
• Dados de menores: somente quando necessários ao cuidado e sob regras de melhor interesse e representação aplicáveis.

4. Instruções documentadas

Os Termos, a configuração da conta, as ações dos usuários autorizados, chamados de suporte e instruções lícitas constituem instruções documentadas. A Operadora tratará dados apenas para executá-las, salvo dever legal próprio. Se uma instrução aparentar violar a lei, ética profissional, direitos do titular ou segurança, a Operadora poderá suspendê-la e solicitar correção antes de prosseguir.

5. Obrigações da Controladora

A Controladora deverá:

• definir finalidades legítimas, bases legais e avisos transparentes;
• coletar dados adequados, necessários e corretos, incluindo autorizações e TCLE quando exigidos;
• administrar usuários, permissões, sigilo e segurança de seus dispositivos;
• responder solicitações dos titulares e comunicar à Operadora quando precisar de auxílio técnico;
• cumprir regras do CFN/CRN, de prontuário, telenutrição e guarda documental;
• não inserir dados ilícitos, excessivos ou de pessoa sem vínculo legítimo;
• avaliar riscos, elaborar RIPD quando aplicável e manter registro de suas operações;
• comunicar suspeita de incidente ou credencial comprometida imediatamente.

6. Obrigações da Operadora

A Operadora deverá:

• tratar dados conforme instruções e assegurar confidencialidade de pessoas autorizadas;
• adotar medidas técnicas e administrativas proporcionais ao risco;
• auxiliar, considerando a natureza do serviço, no atendimento de direitos, incidentes, RIPD e consultas à autoridade;
• manter registros necessários para demonstrar cumprimento e disponibilizar informações razoáveis;
• corrigir ou comunicar falha relevante de que tenha conhecimento;
• devolver, exportar, bloquear ou eliminar dados ao fim, observadas limitações técnicas e obrigações legais;
• não vender dados, não fazer publicidade comportamental com prontuários e não reutilizar conteúdo clínico para finalidade própria incompatível.

7. Segurança

As medidas incluem, conforme aplicabilidade, conexão segura, autenticação, separação lógica por conta, políticas de acesso no banco, armazenamento privado, links com expiração, auditoria, validação de entrada e webhooks, gestão de segredos, cópias de segurança, atualização e resposta a incidentes. Controles evoluem segundo risco e estado da técnica; detalhes que aumentem risco de ataque poderão ser fornecidos sob confidencialidade.

8. Pessoas autorizadas

Empregados, colaboradores e prestadores com acesso recebem somente a permissão necessária e ficam sujeitos a dever de confidencialidade, treinamento e procedimentos internos. A Controladora é responsável por sua própria equipe e deve revogar acesso imediatamente em desligamento ou mudança de função.

9. Suboperadores

A Controladora concede autorização geral para os fornecedores descritos na página de Fornecedores e Suboperadores. A Operadora celebrará instrumentos com proteção substancialmente compatível e continuará responsável por selecionar e supervisionar suboperadores no âmbito de suas obrigações. Mudança que aumente materialmente o risco será informada por meio razoável; a Controladora poderá apresentar objeção fundamentada, e as partes buscarão alternativa técnica ou encerramento do recurso afetado.

10. Transferência internacional

Quando um suboperador tratar dados fora do Brasil, a Operadora adotará mecanismo válido sob a LGPD e a regulamentação da ANPD, inclusive cláusulas-padrão contratuais quando aplicáveis, e documentará a cadeia. A transferência será limitada ao necessário e sujeita a medidas complementares proporcionais ao risco.

11. Direitos dos titulares

Se a Operadora receber pedido sobre prontuário controlado pela profissional, confirmará sua condição de operadora e encaminhará o pedido à Controladora, salvo autorização para responder diretamente. Fornecerá ferramentas e apoio razoável para localizar, acessar, corrigir, exportar, bloquear ou eliminar dados, sem prejudicar direitos de terceiros, integridade do registro ou obrigação de guarda.

12. Incidentes de segurança

A Operadora notificará a Controladora sem demora injustificada após confirmar incidente envolvendo dados sob sua responsabilidade. A notificação trará, na medida disponível, natureza, categorias e volume, possíveis consequências, controles existentes, medidas adotadas e contato. Atualizações poderão ser enviadas por etapas para não atrasar o primeiro aviso. A Controladora decide comunicações à ANPD e aos titulares, salvo quando a Operadora também tiver obrigação direta como controladora.

13. Auditoria e evidências

Uma vez por ano, ou após incidente relevante, a Controladora pode solicitar questionário, relatório, certificação disponível ou reunião técnica razoável. Auditoria presencial exige justificativa, antecedência, confidencialidade, não pode expor dados de outros clientes nem comprometer segurança, e será custeada pela solicitante salvo descumprimento material confirmado da Operadora.

14. Devolução, portabilidade e eliminação

Durante o contrato, a Controladora deve usar exportações disponíveis e manter plano de continuidade. Após o término, a Operadora fornecerá meio razoável de recuperação dentro do período técnico e comercial informado no encerramento e, em seguida, eliminará ou anonimizará os dados, exceto registros sujeitos a lei, defesa de direitos, prevenção a fraude ou backups isolados até sua rotação. Dados conservados deixam de ser usados para fins ordinários.

15. Responsabilidade

Cada parte responde pelo descumprimento de suas obrigações e coopera para reduzir danos. As limitações dos Termos Profissionais aplicam-se na extensão permitida, sem excluir direitos de titulares, sanções da autoridade ou responsabilidade que não possa ser limitada. A qualificação contratual não afasta eventual reclassificação pela ANPD baseada nas decisões efetivamente tomadas.

16. Contato e término

Este DPA termina com o contrato principal, mas confidencialidade, segurança, cooperação, responsabilidade e regras de retenção sobrevivem enquanto houver dados. Dúvidas e solicitações devem ser enviadas a contato@nutricionistaonline.app com o assunto “PRIVACIDADE / LGPD”.