Acordo de Processamento de Dados
Data Processing Agreement — DPA
Este Acordo de Processamento de Dados (“DPA”) estabelece os termos e condições sob os quais a Indicadores em Saúde atua como Operadora no tratamento de dados pessoais em nome do Cliente (Controlador), em conformidade com a LGPD (Lei nº 13.709/2018) e regulamentos aplicáveis.
Contexto especial: dados públicos anonimizados
A maior parte dos dados processados pela plataforma (SIH, SIA, CNES, SIGTAP etc.) são dados públicos e anonimizados disponibilizados pelo Governo Federal — não se enquadram como “dados pessoais” conforme Art. 5º, I da LGPD. Este DPA se aplica especificamente aos dados pessoais dos Usuários fornecidos pelo Cliente à plataforma (nome, e-mail, cargo etc.).
1. Partes e Papéis
Controladora
O Cliente
A pessoa jurídica que contrata o serviço e determina as finalidades e os meios do tratamento de dados de seus colaboradores.
Operadora
Indicadores em Saúde
Realiza o tratamento em nome do Cliente, estritamente conforme suas instruções e nos limites deste DPA.
Para fins deste DPA, “dados pessoais” refere-se exclusivamente aos dados dos Usuários da plataforma (gestores, administradores autorizados pelo Cliente).
2. Dados Pessoais Tratados
| Categoria | Dados | Finalidade | Retenção |
|---|---|---|---|
| Identificação | Nome, e-mail, cargo | Acesso à plataforma | Vigência + 5 anos |
| Profissional | CNES, estabelecimento | Personalização do serviço | Vigência + 5 anos |
| Técnicos | IP, logs de acesso | Segurança e auditoria | 12 meses |
| Financeiro | Token de pagamento (Stripe) | Cobrança | Conforme Stripe |
3. Obrigações da Operadora (Indicadores em Saúde)
- ✓Tratar os dados pessoais apenas conforme as instruções documentadas do Controlador
- ✓Garantir que os colaboradores com acesso aos dados estejam sujeitos a obrigação de confidencialidade
- ✓Implementar medidas técnicas e organizacionais de segurança adequadas (criptografia, controle de acesso, monitoramento)
- ✓Não transferir dados a suboperadores sem autorização prévia ou sem garantias equivalentes
- ✓Notificar o Controlador em até 48 horas em caso de incidente de segurança envolvendo dados pessoais
- ✓Fornecer toda assistência necessária para o Controlador responder a requisições dos titulares
- ✓Eliminar ou devolver os dados pessoais ao término do contrato, conforme instrução do Controlador
- ✓Manter registros de todas as atividades de tratamento realizadas em nome do Controlador (Art. 37 LGPD)
4. Obrigações do Controlador (Cliente)
- →Garantir base legal adequada para o fornecimento dos dados pessoais dos Usuários à plataforma
- →Orientar os Usuários sobre o uso da plataforma e as finalidades do tratamento de dados
- →Não fornecer dados pessoais de pacientes ou outras categorias especiais de dados à plataforma
- →Notificar prontamente a Indicadores em Saúde sobre alterações nas instruções de tratamento
- →Gerenciar o acesso dos Usuários, revogar acessos de colaboradores desligados
5. Suboperadores Autorizados
O Cliente autoriza expressamente o uso dos seguintes suboperadores, que operam sob obrigações de proteção de dados equivalentes:
Suboperador
Supabase Inc.
Serviço
Banco de dados, autenticação
Sede
EUA
Garantia
SCCs (Standard Contractual Clauses)
Suboperador
Google Cloud Platform
Serviço
Armazenamento e processamento analítico
Sede
Global / Brasil
Garantia
Google Data Processing Addendum
Suboperador
Stripe, Inc.
Serviço
Processamento de pagamentos
Sede
EUA
Garantia
SCCs / Stripe DPA
6. Medidas de Segurança
Em trânsito
TLS 1.3, HSTS
Em repouso
AES-256 (GCS), criptografia BQ
Acesso
RBAC, MFA disponível, logs de acesso
Rede
VPC privada, firewall, DDoS protection
Backup
Diário, retenção 30 dias, teste de restore
Resposta a incidentes
SLA 48h para notificação, runbook documentado
7. Transferência Internacional
Dados pessoais podem ser transferidos para servidores nos EUA (Supabase, Stripe) e em nuvem global (Google Cloud). Todas as transferências são realizadas com garantias adequadas conforme Art. 33 da LGPD, mediante cláusulas contratuais padrão (SCCs) ou acordo de proteção de dados específico com cada suboperador. O processamento principal dos dados analíticos (BigQuery) pode ser configurado para permanecer em território brasileiro (região southamerica-east1 — São Paulo).
8. Vigência e Rescisão
Este DPA entra em vigor na data de assinatura do contrato e permanece válido por toda a vigência contratual.
Em caso de rescisão, a Indicadores em Saúde se compromete a:
- →Eliminar os dados pessoais dos Usuários em até 30 dias da rescisão, mediante solicitação
- →Exportar e entregar os dados em formato estruturado, se solicitado até a data de rescisão
- →Revogar todos os acessos à plataforma imediatamente
Perguntas sobre o DPA?
Clientes Enterprise podem solicitar um DPA personalizado assinado digitalmente. Para contratos com Secretarias de Saúde e órgãos públicos, oferecemos addendum específico.
juridico@indicadoresemsaude.com.br