Contrato de tratamento de dados

1. Partes e papéis

A organização (clínica, consultório ou terapeuta) é a controladora dos dados dos pacientes e responsáveis. A ATI é a operadora e trata esses dados apenas em nome da organização e conforme as instruções dela, dadas pelo uso da plataforma e por este contrato (LGPD, art. 39).

2. Finalidade e limites

• A ATI trata os dados só para prestar o serviço à organização: guardar, exibir à equipe autorizada, enviar as mensagens que a organização dispara ou configura e gerar os documentos e sugestões que a equipe pede.
• A ATI não usa os dados para fins próprios, não os vende, não os usa para treinar IA nem os combina com dados de outras organizações.
• Dados de pacientes ficam isolados por organização.

3. Suboperadores

A organização autoriza os suboperadores listados na política de privacidade (Supabase, Vercel, Resend, Anthropic e Upstash). A ATI exige deles obrigações de proteção de dados equivalentes, inclusive para a transferência internacional (art. 33), e avisa a organização antes de incluir um novo.

4. Inteligência artificial

A IA só funciona depois que o administrador aceita o termo da IA. A ATI envia ao provedor só o necessário (texto clínico, tipo de terapia e idade), sem o nome do paciente, e mantém o recurso "Sem IA" por paciente. A ATI contrata o provedor com a condição de não usar os dados para treinar modelos.

5. Segurança

• Acesso por convite, com papéis e regras de acesso no banco de dados; a recepção não lê conteúdo clínico.
• Dados em trânsito criptografados (HTTPS) e banco hospedado no Brasil.
• Registro de quem vê ou altera dados clínicos, consultável pelo administrador.
• Documentos finalizados protegidos contra alteração.

6. Incidentes

Se houver incidente de segurança que possa afetar os dados da organização, a ATI avisa a organização sem demora injustificada, com o que se sabe (o que aconteceu, quais dados, o que foi feito), para que a organização avalie a comunicação à ANPD e aos titulares (art. 48). Prazos a confirmar com a regulamentação da ANPD.

7. Direitos dos titulares

A ATI dá à organização as ferramentas para atender os pedidos dos titulares: exportar os dados de um paciente, corrigir, anonimizar, marcar "Sem IA" e registrar os pedidos e as respostas. Pedidos que chegarem diretamente à ATI são encaminhados à organização.

8. Fim do contrato

Ao fim do uso, a organização pode exportar os dados. Depois de um prazo combinado, a ATI elimina os dados, exceto o que a lei a obrigue a guardar, e confirma a eliminação à organização.

9. Auditoria e cooperação

A ATI fornece à organização as informações necessárias para demonstrar o cumprimento deste contrato e colabora com o relatório de impacto (RIPD) da organização.