Contrato de Operação de Dados (DPA)

Este Contrato de Operação de Dados (“DPA”) regula o tratamento de dados pessoais realizado pelo Deepo em nome da clínica assinante do Serviço, nos termos da Lei nº 13.709/2018 (LGPD).

Este documento é parte integrante dos Termos de Uso e da Política de Privacidade. Ao contratar o Deepo, a clínica assinante aceita este DPA na versão vigente.

1. Partes

• Controladora: a clínica assinante, pessoa jurídica ou profissional autônomo, que trata dados de seus próprios pacientes.
• Operadora: Deepo, operado por Lucas Figueira, pessoa física, que trata dados em nome e por instrução da Controladora pra prestar o Serviço contratado.

2. Objeto e finalidade

A Operadora trata dados pessoais dos pacientes/contatos da Controladora com a única finalidade de prestar o Serviço Deepo contratado: recepção e classificação de mensagens de WhatsApp, sugestão de respostas, gestão de anamnese digital, agenda, micro-site branded, follow-up automático, BI operacional. A Operadora não usa esses dados pra finalidade própria ou pra treinar modelos genéricos de IA.

3. Categorias de dados e titulares

Titulares:

• Pacientes atuais e potenciais da Controladora.
• Contatos que interagem via WhatsApp com o número conectado da clínica.

Categorias de dados pessoais:

• Identificação: nome, telefone (E.164), CPF quando fornecido, e-mail quando fornecido.
• Contato: histórico de mensagens de WhatsApp, áudios, mídias enviadas.
• Operacionais: agendamentos, vendas, valores pagos.

Categorias de dados sensíveis (Art. 11 LGPD):

• Dados de saúde: anamneses, queixas clínicas, medicações, alergias, procedimentos anteriores.
• Fotografias antes/depois (dado biométrico + saúde) quando publicadas com consentimento.
• Áudios descrevendo queixas clínicas.

4. Duração

Este DPA vigora enquanto a Controladora mantiver assinatura ativa do Serviço, e por 90 dias após o encerramento pra permitir eventual reativação. Após esse prazo, a Operadora procede à exclusão ou anonimização dos dados, ressalvadas as obrigações fiscais (retenção mínima de 5 anos para dados contábeis, conforme Art. 16 LGPD).

5. Obrigações da Operadora

1. Tratar os dados apenas conforme instruções documentadas da Controladora, exceto quando obrigada por lei.
2. Adotar medidas técnicas e administrativas razoáveis pra proteger os dados: HTTPS obrigatório, isolamento multi-tenant por camada de banco (Firestore rules), controle de acesso por função (RBAC), princípio de menor privilégio pra equipe operacional.
3. Manter registro (log) das operações de acesso a dados sensíveis pra fins de auditoria e resposta a incidente.
4. Manter sigilo profissional sobre os dados tratados, inclusive por parte de qualquer prestador ou colaborador.
5. Auxiliar a Controladora no atendimento aos direitos de titular (Art. 18 LGPD): fornecer exportação de dados, efetuar deleção ou anonimização quando solicitado, dentro de 15 dias úteis do pedido formal.
6. Comunicar à Controladora, em prazo não superior a 24 horas, qualquer incidente de segurança que envolva dados por ela tratados, com informações suficientes pra que a Controladora cumpra suas obrigações de notificação à ANPD e aos titulares.
7. Ao término do contrato, devolver ou eliminar os dados, à escolha da Controladora, salvo obrigação legal de conservação.
8. Acesso individual a dados pelo pessoal da Operadora: o acesso a mensagens ou dados específicos de paciente pelo time técnico do Deepo — incluindo eventuais ferramentas de IA utilizadas como assistente de engenharia, sempre sob supervisão humana — ocorre apenas nas seguintes hipóteses:
   1. atendimento a chamado de suporte técnico aberto pela Controladora;
   2. diagnóstico e correção de bug identificado em produção;
   3. avaliação e ajuste da qualidade das decisões automáticas da IA (revisão de casos específicos pra calibrar heurísticas, prompts e bundles de ferramentas);
   4. cumprimento de obrigação legal ou determinação de autoridade competente.
   Todo acesso é registrado em log com identificação do operador, data/hora e finalidade. Aplica-se o princípio da necessidade: apenas o mínimo suficiente pra atender à finalidade é acessado. Nenhum conteúdo é usado pra treinar modelos genéricos de IA.

6. Obrigações da Controladora

1. Ter base legal adequada pra tratar os dados dos titulares que fornece ao Deepo (execução de contrato, consentimento, legítimo interesse, obrigação legal etc).
2. Obter consentimento explícito da paciente pra tratamento de dados sensíveis (anamnese, foto pra publicação). O Deepo disponibiliza infraestrutura de coleta desse consentimento nos formulários (anamnese digital, site branded).
3. Informar aos seus pacientes sobre o tratamento realizado pelo Deepo em seu nome, incluindo referência a esta Política de Privacidade.
4. Não usar o Serviço pra fins ilícitos ou pra tratar dados que não sejam de seus próprios pacientes/contatos.
5. Manter atualizados os dados de contato pra receber notificações da Operadora (incluindo incidentes).

7. Subprocessadores autorizados

A Controladora autoriza expressamente a Operadora a utilizar os seguintes subprocessadores, cada um sob DPA próprio com o Deepo:

• Google Cloud / Firebase: hospedagem, banco de dados, autenticação. Região São Paulo (southamerica-east1).
• uazapi: gateway de integração com a API oficial do WhatsApp Business.
• Anthropic (Claude): análise textual de mensagens. Configurado com Zero Data Retention quando disponível.
• OpenAI (Whisper): transcrição de áudios de WhatsApp.
• Stripe: processamento de pagamentos da assinatura.
• Resend: envio de e-mails transacionais.
• Sentry: registro técnico de erros da aplicação. Configurado com scrubbing de dados pessoais.

A Operadora notificará a Controladora com antecedência mínima de 30 dias antes de contratar novo subprocessador com acesso a dados pessoais. Alterações estarão sempre listadas nesta URL + na Política de Privacidade.

8. Transferência internacional

Alguns subprocessadores (Anthropic, OpenAI, Stripe) processam dados fora do Brasil. A Operadora garante que essas transferências ocorrem com cláusulas contratuais que asseguram nível de proteção compatível com a LGPD (Art. 33, II).

9. Direito à auditoria

A Controladora tem direito a solicitar, uma vez por ano civil, relatório de conformidade da Operadora, contemplando: políticas de segurança, registro de acessos a dados de seus pacientes, histórico de incidentes (se houver) e cópia de contratos com subprocessadores. Solicitações podem ser feitas via dpo@deepo.app.br.

10. Responsabilidade

Cada parte responde por descumprimento de suas próprias obrigações. A Operadora não assume responsabilidade por finalidades de tratamento decididas unilateralmente pela Controladora fora do escopo previsto neste DPA.

11. Alterações

Alterações neste DPA serão comunicadas à Controladora por e-mail com antecedência mínima de 30 dias. Se a Controladora discordar da nova versão, poderá encerrar o contrato sem multa antes da entrada em vigor. Uso continuado do Serviço após essa data implica aceitação da nova versão.

12. Foro

Fica eleito o foro da Comarca de Brasília/DF pra dirimir quaisquer controvérsias oriundas deste DPA, com renúncia expressa a qualquer outro, por mais privilegiado que seja.

13. Contato do Encarregado

Encarregado interino: dpo@deepo.app.br. Prazo de resposta: até 15 dias úteis para solicitações relativas a este DPA e a direitos de titulares.