Contrato de tratamento de dados

Este contrato faz parte dos Termos de uso e vale entre você, profissional que usa o Entrelinhas para atender seus pacientes ("Controlador"), e [razão social], CNPJ [CNPJ] ("Entrelinhas" ou "Operador"). Ele cumpre o art. 39 da LGPD, que pede instruções claras do controlador ao operador.

1. Objeto

O Entrelinhas trata dados pessoais dos seus pacientes, inclusive dados sensíveis de saúde, apenas para prestar o serviço descrito nos Termos de uso: guardar o cadastro e o prontuário, gravar e transcrever sessões quando houver consentimento, preparar rascunhos, operar a sala de vídeo e o app do paciente, gerar cobranças, recibos e documentos e enviar os avisos que você ativar.

2. Suas instruções

• As instruções do Controlador são estes documentos e as escolhas que você faz no sistema: quem cadastrar, o que registrar, quais funções do app ligar, quanto tempo guardar o áudio, o que exportar ou apagar.
• O Entrelinhas não trata os dados para nenhuma finalidade própria: não vende, não usa em publicidade, não cruza com outras bases e não usa para treinar modelos de IA.
• Se uma instrução sua parecer contrária à lei, avisaremos antes de cumprir.

3. Suas responsabilidades como Controlador

• Ter base legal para cada tratamento e informar os pacientes sobre ele, inclusive sobre o uso do Entrelinhas.
• Colher e guardar os consentimentos exigidos (gravação, rascunho com IA, uso do app), do paciente ou do responsável legal, e respeitar a revogação.
• Atender os pedidos dos pacientes sobre os dados deles, com as ferramentas do sistema.
• Cumprir a guarda mínima do prontuário exigida pelo CFP.

4. Sigilo

Todas as pessoas do Entrelinhas que possam ter contato com os dados estão obrigadas a sigilo por contrato. O acesso a dados de contas é restrito ao mínimo necessário para suporte técnico pedido por você ou para resolver falhas, e fica registrado. O conteúdo clínico é cifrado e não é lido pela equipe no dia a dia.

5. Segurança

O Entrelinhas mantém as medidas descritas na Política de privacidade, entre elas: cifra AES-256 com chave própria por conta, isolamento entre contas no banco de dados, conexões seguras, verificação em duas etapas, bloqueio do app do paciente, registro de acessos e cópias de segurança. As medidas podem evoluir, mas nunca para um nível menor de proteção.

6. Suboperadores

Você autoriza o Entrelinhas a contratar os fornecedores listados abaixo, cada um limitado ao necessário para o serviço e obrigado por contrato a proteger os dados em nível equivalente a este:

Empresa	Para quê	Onde	Quais dados
Neon	Banco de dados	Brasil (São Paulo)	Todos os dados do sistema, com os campos sensíveis cifrados
Fly.io	Servidores da aplicação	Brasil (São Paulo)	Dados em trânsito durante o uso
Amazon Web Services	Armazenamento de arquivos	Brasil (São Paulo)	Áudios, fotos e anexos, cifrados antes do envio
Vercel	Hospedagem das telas (painel, app e site)	Estados Unidos e rede global	Endereço IP e dados em trânsito
Deepgram	Transcrição do áudio das sessões	Estados Unidos	Áudio da sessão, só com consentimento do paciente; a fala do profissional na conversa por voz com o assistente
Anthropic	Rascunho da evolução e assistente	Estados Unidos	Transcrição com os nomes trocados por códigos; dados de agenda no assistente
ElevenLabs	Voz do assistente	Estados Unidos	Texto das respostas do assistente, só quando o profissional conversa por voz
LiveKit	Sala de vídeo	Estados Unidos e rede global	Áudio e vídeo em tempo real, sem gravação de imagem
Resend	Envio de e-mails	Estados Unidos	Nome, e-mail e o texto do aviso ou do lembrete
Asaas	Cobrança da assinatura	Brasil	Dados de cobrança do profissional
Google	Google Agenda, só se o profissional conectar	Estados Unidos e rede global	Horário das sessões, com o nível de detalhe escolhido

Antes de incluir ou trocar um fornecedor que trate dados de pacientes, avisaremos com pelo menos 30 dias de antecedência. Se não concordar, você pode encerrar o contrato sem custo, com o período de exportação garantido.

7. Transferência internacional

Parte dos fornecedores trata dados fora do Brasil, principalmente nos Estados Unidos. O Entrelinhas só faz essas transferências com as garantias do art. 33 da LGPD e da regulamentação da ANPD. O banco de dados e os arquivos ficam no Brasil.

8. Pedidos dos titulares

Se um paciente nos procurar diretamente, encaminharemos o pedido a você em até 5 dias úteis e não responderemos por conta própria, a não ser para indicar o caminho. Também ajudaremos você, no que for razoável, a cumprir os pedidos dentro dos prazos da lei.

9. Incidentes de segurança

Se o Entrelinhas souber de um incidente que envolva dados dos seus pacientes, avisará você em até 48 horas, com o que já for conhecido: o que aconteceu, quais dados e quantos titulares foram afetados, os riscos e as medidas tomadas. As informações serão completadas conforme a apuração avançar. Assim você terá tempo de comunicar a ANPD e os pacientes nos prazos da lei. O Entrelinhas não comunicará os pacientes em seu nome sem combinar com você, salvo obrigação legal.

10. Comprovação

Mediante pedido por escrito, o Entrelinhas fornecerá informações razoáveis que mostrem o cumprimento deste contrato, como descrição das medidas de segurança e a lista atualizada de suboperadores, preservando a segurança e o sigilo de outras contas.

11. Fim do contrato

• Depois do fim do período pago, você tem 90 dias para consultar e exportar tudo (prontuários em PDF e dados em planilha).
• Passado esse prazo, o Entrelinhas apaga os dados de forma definitiva, inclusive das cópias de segurança no ciclo seguinte de renovação delas, e confirma por escrito se você pedir.
• Ficam guardados só os dados que a lei obrigar o Entrelinhas a manter (por exemplo, registros de acesso e dados fiscais da sua assinatura), pelo prazo legal.

12. Responsabilidade

Cada parte responde pelos danos que causar ao descumprir a LGPD ou este contrato, nos termos dos arts. 42 a 45 da LGPD. Os limites de responsabilidade dos Termos de uso não se aplicam a violações de sigilo ou de segurança causadas por dolo ou culpa grave do Entrelinhas.

13. Vigência

Este contrato vale enquanto houver dados de pacientes no Entrelinhas, inclusive no período de exportação depois do cancelamento.

Dúvidas sobre este contrato: privacidade@entrelinhasapp.com.br.