Contrato de tratamento de dados (DPA)
Versão: 2026-11-02
Acordo entre a clínica (controladora) e a acomerce (operadora) sobre os dados de pacientes no OdontoLia.
01Partes e papéis (controladora e operadora)
Este contrato faz parte da assinatura do OdontoLia e vale entre a clínica contratante, como controladora, e a acomerce, como operadora, nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018, LGPD).
A clínica decide quais dados registra e para quê. A acomerce trata esses dados só para prestar o serviço, em nome da clínica e conforme as instruções dela.
02Objeto, natureza e finalidade do tratamento
Objeto: os dados pessoais que a clínica registra ou recebe pelo OdontoLia, na agenda, no cadastro de pacientes, no prontuário, no financeiro e nas conversas da assistente Lia pelo WhatsApp.
Natureza: guardar, organizar, consultar, transmitir e apagar dados na instância da clínica; enviar e receber mensagens pelo WhatsApp; processar as conversas com modelos de inteligência artificial para que a Lia responda e agende; fazer e restaurar cópias de segurança.
Finalidade: permitir que a clínica gerencie o atendimento e o relacionamento com os pacientes. Duração: enquanto a assinatura estiver ativa, mais o prazo de exportação e eliminação da cláusula "Fim do contrato".
03Categorias de dados e de titulares (inclui dados de saúde)
Titulares: pacientes e seus responsáveis legais, pessoas que escrevem para a clínica pelo WhatsApp e os profissionais e funcionários da clínica que usam o sistema.
Dados: identificação e contato (nome, telefone, e-mail, CPF, data de nascimento, endereço), agenda, valores e pagamentos de atendimentos, conteúdo das conversas e, no prontuário, dados de saúde (anamnese, procedimentos, exames, imagens e anotações clínicas).
Dados de saúde são dados pessoais sensíveis (LGPD, art. 5º, II, e art. 11). Cabe à clínica ter base legal para tratá-los, como a tutela da saúde em procedimento feito por profissional de saúde (art. 11, II, f).
04Instruções da controladora
As instruções da clínica são este contrato, os Termos de uso e o uso que ela faz do sistema: configurações, cadastros e integrações que ativa.
A acomerce não usa os dados da clínica para fins próprios, não os vende e não os usa para treinar modelos de inteligência artificial. Se receber uma instrução que considere contrária à lei, avisa a clínica.
A equipe da acomerce só acessa os dados de uma clínica quando é necessário para suporte, correção de falha ou cumprimento de obrigação legal, e no mínimo necessário.
05Suboperadores
A clínica autoriza a acomerce a contratar estes suboperadores: Railway (hospedagem do sistema e dos bancos de dados, nos Estados Unidos); Cloudflare (rede, DNS e proteção contra ataques); Anthropic (modelos de inteligência artificial da assistente Lia, nos Estados Unidos); Meta, pelo WhatsApp (envio e recebimento de mensagens); Resend (e-mails transacionais, como dados de acesso e avisos); Asaas (cobrança da assinatura por Pix, boleto e cartão; dados de cartão são digitados direto na Asaas); Google (Agenda e Drive, só quando a clínica ativa essas integrações). A Asaas trata dados da clínica para a cobrança da assinatura, não dados de pacientes.
Cada suboperador recebe só o necessário para a sua função e está sujeito a obrigações de proteção de dados compatíveis com este contrato. A acomerce responde perante a clínica pelos suboperadores que contrata.
Para incluir ou trocar um suboperador, a acomerce atualiza esta lista e avisa a clínica com antecedência. Havendo objeção fundamentada, a clínica pode encerrar a assinatura nas condições dos Termos de uso.
Como parte dos suboperadores está fora do Brasil, principalmente nos Estados Unidos, há transferência internacional de dados, feita conforme o art. 33 da LGPD e com as garantias contratuais oferecidas por esses fornecedores.
06Medidas de segurança
A acomerce mantém: instância própria para cada clínica, isolada das demais; tráfego cifrado (HTTPS); cópias de segurança diárias e cifradas, guardadas por 14 dias; acesso ao sistema por usuário e senha; e acesso administrativo restrito às pessoas que precisam dele.
A clínica também cuida da segurança: decide quem tem acesso, remove usuários que saem da equipe e protege as senhas.
07Incidentes de segurança
Se a acomerce identificar um incidente de segurança que afete dados da clínica, avisa a clínica sem demora injustificada, pelos contatos cadastrados, com o que se sabe: o que aconteceu, quais dados e titulares podem ter sido afetados, o que já foi feito e o que se recomenda.
Cabe à clínica, como controladora, avaliar o risco e comunicar a ANPD e os titulares quando exigido (LGPD, art. 48). A acomerce fornece as informações e o apoio necessários.
08Direitos dos titulares e cooperação
Os pedidos dos pacientes (acesso, correção, eliminação, portabilidade e outros) são atendidos pela clínica. A maior parte pode ser resolvida no próprio sistema; quando não for possível, a acomerce ajuda.
Se um titular procurar a acomerce diretamente sobre dados de uma clínica, a acomerce encaminha o pedido à clínica e não responde no lugar dela, salvo por instrução da clínica ou obrigação legal. O contato com a acomerce é pelos canais de contato do rodapé deste site (WhatsApp e, quando disponível, e-mail).
A acomerce também coopera com a clínica em relatórios de impacto e em pedidos da ANPD sobre o tratamento feito no OdontoLia.
09Fim do contrato: devolução e eliminação
A clínica pode pedir a exportação dos seus dados até 30 dias depois do fim da assinatura, e nós enviamos o arquivo.
Depois desse prazo, a acomerce elimina os dados da instância da clínica. As cópias de segurança são eliminadas ao fim dos 14 dias de guarda e não são restauradas, salvo para cumprir obrigação legal.
A guarda do prontuário pelo prazo exigido em lei e pelas normas da odontologia é obrigação da clínica: se ela precisar dos dados por mais tempo, deve exportá-los antes do fim do prazo.
10Auditoria e responsabilidade
Mediante pedido por escrito, a acomerce fornece à clínica as informações razoáveis para demonstrar o cumprimento deste contrato, como a descrição das medidas de segurança e a lista atualizada de suboperadores.
Cada parte responde pelos danos que causar ao descumprir a LGPD ou este contrato, nos termos dos arts. 42 a 45 da LGPD. Os limites de responsabilidade dos Termos de uso valem no que a lei permitir.
Este contrato vale enquanto a acomerce tratar dados da clínica, mesmo depois do fim da assinatura.