Acordo de tratamento de dados (DPA).

1. Objeto

A Theravus, na qualidade de operadora, tratará dados pessoais fornecidos pelo Cliente (controlador) — em especial dados de pacientes — estritamente para a execução dos serviços da plataforma: agendamento, prontuário eletrônico, teleconsulta, cobrança, mensageria e relatórios.

2. Papéis e responsabilidades

O Cliente é o controlador dos dados de pacientes e é responsável por: (i) coletar bases legais válidas; (ii) informar os titulares; (iii) responder a solicitações de exercício de direitos. A Theravus é operadora e atua somente conforme as instruções documentadas no Contrato e nesta DPA.

3. Categorias de dados tratados

Identificação (nome, CPF, e-mail, telefone), dados clínicos (prontuário, anamneses, prescrições, anexos de áudio e foto), dados financeiros (pagamentos, faturas) e dados de uso (logs).

4. Medidas técnicas e organizacionais

• Criptografia em trânsito (TLS 1.2+) e em repouso (AES-256-GCM com envelope encryption)
• Controle de acesso por perfil (RBAC) com auditoria por requisição
• Hospedagem no Brasil para dados de pacientes (data residency BR)
• Backups diários cifrados, retenção de 30 dias, testes de restore mensais
• Monitoramento de segurança 24/7, resposta a incidentes em até 24h
• SOC 2 Type II e ISO 27001 — controles em implementação contínua

5. Subcontratados (sub-operadores)

A Theravus utiliza os seguintes sub-operadores. A lista completa está no Trust Center e o Cliente é notificado com 30 dias de antecedência de qualquer adição:

• Cloud (infraestrutura): provedor com data center no Brasil
• E-mail transacional
• Processamento de pagamentos (Mercado Pago, Stripe)
• Mensageria WhatsApp Business (Evolution API)
• IA / transcrição (modelos próprios via Cloudflare Workers AI)

6. Incidentes de segurança

Em caso de incidente envolvendo dados pessoais sob tratamento da Theravus, o Cliente será notificado em até 72 horas da detecção, com (i) descrição do incidente, (ii) categorias e volumes afetados, (iii) medidas tomadas e (iv) recomendações ao controlador.

7. Direitos dos titulares

A Theravus disponibiliza, sem custo adicional, ferramentas para o controlador atender solicitações de acesso, correção, anonimização, portabilidade e eliminação — incluindo o módulo DPO em Configurações → Compliance e o portal público em /portal-paciente/lgpd.

8. Retenção, cancelamento e descarte

Os prazos de retenção seguem a Política de Retenção publicada. O cancelamento ou a inadimplência da assinatura não autorizam o apagamento imediato do prontuário: a obrigação legal de guarda (até 20 anos, CFP/CFM) é do Cliente (controlador). Em caso de falta de pagamento, a conta passa a somente leitura mantendo acesso à exportação, e o Cliente dispõe de uma janela de 90 dias para exportar integralmente os dados (PDF/JSON). Exportados e confirmados, a custódia retorna ao Cliente e a Theravus elimina a sua cópia, retendo o registro da entrega. Não havendo exportação, os dados são arquivados e o descarte só ocorre quando permitido pela lei. O detalhamento está na Política de Cancelamento, Inadimplência e Portabilidade .

9. Transferências internacionais

Dados de pacientes residem em servidores no Brasil. Quaisquer transferências internacionais (ex: subprocessadores de IA com nós globais) são feitas com base em garantias adequadas (cláusulas contratuais padrão + criptografia ponta-a-ponta) nos termos do art. 33 da LGPD.

10. Auditoria

O Cliente pode solicitar, com 30 dias de antecedência e no máximo uma vez por ano, evidências de conformidade (relatórios SOC 2, pen-tests). Auditorias presenciais são permitidas mediante NDA e custos do Cliente.

11. Vigência e rescisão

Esta DPA tem a mesma vigência do Contrato de assinatura e se extingue automaticamente com ele. Cláusulas de confidencialidade, retenção, descarte e descontinuidade (cláusula 12) sobrevivem à rescisão.

12. Descontinuidade da plataforma (wind-down)

Caso a Theravus encerre suas operações, a obrigação de guarda do prontuário permanece com o Cliente (controlador) — a plataforma não é custódia perpétua. Antes de qualquer desligamento, a Theravus: (i) notifica todos os controladores com antecedência mínima de 60 dias, por e-mail e no aplicativo; (ii) garante uma janela de exportação completa de no mínimo 90 dias, em formato aberto; e (iii) quando viável, oferece migração assistida ou entrega de dump cifrado ao controlador. Estas obrigações sobrevivem à rescisão e estão detalhadas na Política de Cancelamento, Inadimplência e Portabilidade .