Este Acordo aplica-se a ambientes contratados sob o perfil Clínica, em que a controladora é pessoa jurídica e o ambiente comporta mais de um profissional de saúde. É parte integrante dos Termos de Uso — Variante Clínica. Ele complementa — e, nos pontos aqui tratados, prevalece sobre — o DPA do perfil profissional/clínica, que se aplica integralmente e sem alteração em tudo o que não for tratado aqui.
1. Objeto e partes
- Controladora: a Clínica contratante, pessoa jurídica identificada por razão social e CNPJ no ato da contratação e registrada no ambiente.
- Operadora: CENTRILIZE DESENVOLVIMENTO DE PROGRAMAS LTDA, CNPJ 68.235.122/0001-09.
Em caso de conflito com os Termos de Uso quanto à proteção de dados, prevalece este DPA.
2. Papéis
2.1 A Clínica é a controladora
A Clínica decide as finalidades e os meios essenciais do tratamento dos dados clínicos dos pacientes atendidos no seu estabelecimento: define quais profissionais integram a equipe, qual o modelo de acesso ao prontuário, como o cuidado é organizado, quais informações são publicadas ao paciente e como os direitos dos titulares são atendidos.
2.2 A Centrilize é a operadora
A Centrilize trata os dados em nome da controladora e conforme suas instruções documentadas — sendo instruções documentadas os Termos de Uso — Variante Clínica, este DPA, a configuração do ambiente (perfil de contratação, modelo de acesso, equipe, assentos, responsável técnico) e as ações dos usuários autorizados na plataforma. A Centrilize não trata os dados clínicos para finalidades próprias.
Para os dados de conta da Clínica e dos seus usuários profissionais (cadastro, faturamento, registros técnicos de acesso e segurança), a Centrilize atua como controladora, com base na execução do contrato (art. 7º, V), no cumprimento de obrigações legais (art. 7º, II) e no legítimo interesse de segurança da plataforma (art. 7º, IX).
2.3 O papel de cada profissional quanto ao registro que produz
Dentro do ambiente da Clínica, o profissional de saúde não é um controlador autônomo: ele atua na organização e sob as finalidades definidas pela Clínica. Isso não dilui, contudo, as responsabilidades próprias e indelegáveis de cada profissional:
- Autoria e conteúdo — responde pela veracidade, pela adequação e pela pertinência do registro que produz, gravado com autoria identificada, data e hora, e imutável após a finalização.
- Sigilo profissional — dever pessoal, que permanece íntegro dentro da Clínica e alcança inclusive os demais profissionais do mesmo estabelecimento que não participem do cuidado daquele paciente (Código de Ética Médica, art. 85).
- Necessidade do acesso — só deve acessar prontuário de paciente cujo cuidado ele efetivamente integre (art. 6º, I e III). O acesso é registrado e auditável.
- Guarda no estabelecimento — o prontuário permanece sob guarda da Clínica; a autoria é preservada, mas não converte o registro em acervo pessoal.
3. Natureza, finalidade, categorias, titulares e bases legais
- Finalidade: registro clínico, guarda com valor legal, organização do cuidado entre os profissionais do estabelecimento, disponibilização ao paciente via portal, comunicação clínica e gestão administrativa e financeira.
- Categorias: cadastrais (paciente, responsável legal, profissional), dados sensíveis de saúde, dados administrativos e financeiros do atendimento, e dados técnicos de segurança e auditoria.
- Titulares: pacientes e seus responsáveis legais; profissionais e colaboradores da Clínica.
- Bases legais:dados de saúde — art. 11, II, "f" (tutela da saúde) e, subsidiariamente, art. 11, II, "a" (obrigação legal, inclusive a guarda do prontuário); dados cadastrais e administrativos — art. 7º, V e art. 7º, II. O consentimento não é a base do registro clínico: a sua eventual revogação não elimina prontuário sujeito a dever legal de guarda.
- Duração: enquanto durar a relação contratual, respeitada a guarda legal do prontuário.
4. Modelos de acesso ao prontuário — decisão documentada da controladora
Restrito (padrão de todo ambiente novo) — somente os profissionais que integram a equipe de cuidado do paciente; aplicação direta da necessidade (art. 6º, III) e do sigilo profissional. Compartilhado — qualquer profissional clínico ativo da Clínica.
Equipe de cuidado é o conjunto formado pelo profissional titular de referência do paciente, por todo profissional que registre atendimento a ele e por todo profissional a quem o cuidado seja encaminhado ou compartilhado por um membro da equipe.
A adoção do modelo compartilhado é um ato, não um padrão: exige ato expresso de administrador identificado, gera registro de auditoria com autor, data e hora, e é documentada pela controladora. Em ambos os modelos permanecem acessíveis apenas ao respectivo autor os rascunhos não finalizados, as anotações particulares, os modelos de atendimento e os atalhos de texto pessoais.
A Clínica informa o paciente, no cadastro ou no primeiro atendimento, sobre o modelo adotado e sobre o que "equipe de cuidado" significa no seu estabelecimento. A obrigação de informar é da controladora; a Centrilize fornece o instrumento e o registro do aceite.
4.1 Alcance das imagens clínicas dentro da equipe de cuidado
As imagens clínicas da ficha do paciente (fotografias de evolução, registro de antes e depois) seguem o mesmo modelo de acesso dos demais registros: no modelo compartilhado alcançam qualquer profissional clínico ativo; no modelo restrito alcançam os profissionais da equipe de cuidado do paciente — inclusive imagens registradas por outro membro da equipe.
O registro fica sempre atribuído ao profissional que o produziu, e a exclusão permanece privativa do autor. A Clínica declara ciência de que este alcance é o que permite a continuidade do acompanhamento de evolução por mais de um profissional, e o informa ao paciente nos termos do parágrafo anterior.
4-A. Comunicação de relacionamento e de marketing
A plataforma disponibiliza à Clínica a lista de aniversariantes do dia, derivada do cadastro, contendo apenas o dia e o mês de nascimento — nunca o ano. A finalidade é de relacionamento na relação de cuidado já existente, e a mensagem padrão fornecida pela Operadora não contém oferta comercial.
A lista é visível aos profissionais clínicos e à equipe administrativa com vínculo ativo, e traz a marca de "já cumprimentado" para evitar contato repetido ao mesmo titular no mesmo dia. Em clínica no modelo restrito, a lista de cada profissional é recortada pela sua equipe de cuidado, como o restante do prontuário.
O envio é ato da Clínica, executado no seu próprio canal — a plataforma prepara o texto e o link e não envia por conta própria. A base legal de qualquer comunicação de conteúdo comercial é da controladora: a plataforma registra o consentimento específico do titular (art. 7º, I) como campo próprio do cadastro, revogável a qualquer tempo, e distingue na lista quem o concedeu de quem não o concedeu. A Clínica instrui a Operadora a não presumir consentimento a partir da ausência do campo, e assume que ao titular sem consentimento vai apenas o cumprimento, sem oferta.
O dia e mês derivado e o registro de consentimento são eliminados junto com os demais dados de identificação no atendimento a pedido de eliminação ou anonimização do titular (seção 11).
4-B. Classificação de assiduidade (decisão automatizada — art. 20)
A plataforma calcula, a partir das marcações de agenda dos últimos 12 meses de cada paciente, uma classificação interna de assiduidade(faixas como "atenção" e "crítico"), destinada exclusivamente à organização operacional da agenda — políticas de confirmação e de sinal. Trata-se de decisão automatizada com base em perfil: a Clínica, como controladora, responde pelo seu uso, e a Operadora garante no desenho as salvaguardas do art. 20.
Salvaguardas implementadas pela plataforma: (1) cancelamentos de origem da própria Clínica nunca pesam contra o titular; (2) abaixo de um piso mínimo de consultas concluídas nenhuma faixa é atribuída; (3) os critérios são exibíveis à equipe (os números que produziram a faixa acompanham o rótulo); (4) a classificação não é exibida no cabeçalho da ficha (tela eventualmente virada ao titular) e não é acessível ao titular nem a terceiros pelo portal; (5) existe sobrescrita manual com motivo registrado, que prevalece sobre o cálculo — é o mecanismo pelo qual a Clínica atende ao direito de revisão humana do titular.
A Clínica se compromete a usar a classificação apenas para os fins operacionais descritos, a não a divulgar ao titular como juízo de valor e a registrar motivo em toda sobrescrita manual. Os contadores e a faixa são eliminados junto com os demais dados no atendimento a pedido de eliminação ou anonimização (seção 11).
5. Acesso de emergência do responsável técnico (break-glass)
A Centrilize disponibiliza mecanismo de acesso excepcional e temporário a prontuário fora da equipe de cuidado, com salvaguardas cumulativas e não configuráveis pela Clínica:
- legitimado único: o profissional designado responsável técnico;
- motivos taxativos: urgência assistencial com o profissional responsável indisponível; fiscalização de conselho profissional ou de vigilância sanitária; apuração de incidente de segurança ou de reclamação formal do paciente; cumprimento de obrigação legal, inclusive ordem judicial;
- justificativa escrita obrigatória, conservada com o registro do acionamento;
- registro em trilha de auditoria (autor, paciente, motivo, justificativa, data e hora) e entrada destacada no relatório de acessos;
- notificação ao profissional responsável pelo paciente, na plataforma;
- expiração automática em 24 (vinte e quatro) horas, sem renovação tácita.
Bases legaisconforme a hipótese: proteção da vida ou da incolumidade física do titular (art. 11, II, "e"), tutela da saúde (art. 11, II, "f"), cumprimento de obrigação legal ou regulatória e exercício regular de direitos (art. 11, II, "a" e "d"). O acionamento é ato da controladora, praticado pelo RT, sob responsabilidade dela; a Centrilize opera o mecanismo, registra e notifica, e não avalia o mérito da justificativa.
6. Relatório de acessos ao prontuário
A Centrilize disponibiliza ao administrador da Clínica relatório dos acessos a prontuário realizados no ambiente, com identificação do usuário, do paciente, do momento e da condição do acesso (equipe de cuidado ou acesso de emergência), sobre a mesma trilha de auditoria utilizada para fins de segurança. O relatório serve à demonstração de conformidade (art. 6º, X) e ao controle interno da Clínica. A trilha de auditoria é conservada pelo prazo da política de retenção e não é editável.
7. Confidencialidade, segurança e assistência
A Centrilize garante que as pessoas autorizadas a tratar os dados estão sujeitas a dever de confidencialidade e tratam os dados apenas na medida necessária à prestação do serviço. Aplicam-se integralmente as medidas técnicas e organizacionais do DPA — esteira de segurança no servidor, regras de segurança com isolamento multi-tenant e acesso por papel, trilha de auditoria, criptografia em trânsito e em repouso, hospedagem dos dados clínicos em southamerica-east1 (São Paulo), imutabilidade do atendimento finalizado, limites de tentativas de acesso e backups com acesso restrito. Acrescem-se, no ambiente de clínica:
- segregação de acesso entre profissionais do mesmo ambiente, aplicada em todas as camadas de acesso ao dado, e não apenas na interface;
- separação entre capacidade administrativa e acesso clínico: administrador ou gestor da Clínica, enquanto tal, não acessa prontuário;
- revogação imediata de acesso no desligamento de profissional, preservados os registros por ele produzidos;
- registro de auditoria de leitura de prontuário, base do relatório da seção 6.
A Centrilize assiste a Clínica, na medida da sua função de operadora, para responder às solicitações de direitos dos titulares (art. 18) e para cumprir deveres de segurança, notificação de incidentes e, quando aplicável, relatório de impacto (RIPD). Numa clínica, a resposta ao titular considera todos os profissionais que participaram do cuidado, e não apenas o titular de referência.
8. Subprocessadores
A controladora autoriza a Centrilize a contratar subprocessadores. São os mesmos do DPA, sem acréscimo decorrente do perfil de clínica: Google Cloud / Firebase (hospedagem, autenticação e armazenamento, dados clínicos em southamerica-east1), Vercel (hospedagem da aplicação web), Google Analytics (métricas agregadas), Sentry (monitoramento de erros), Asaas (pagamentos) e Valid / VIDaaS (assinatura digital ICP-Brasil) quando contratados, e Memed (prescrição digital) quando habilitada no ambiente.
A Centrilize dá aviso prévio de inclusão ou substituição de subprocessador, permitindo objeção fundamentada da controladora.
9. Notificação de incidentes
Ao tomar ciência de incidente de segurança que possa acarretar risco ou dano relevante, a Centrilize notifica a controladora sem demora injustificada, em prazo não superior a 48 (quarenta e oito) horas contadas da ciência. A comunicação à ANPD e aos titulares (art. 48) é da controladora, com o apoio da Centrilize.
Numa clínica, o incidente que envolva acesso indevido de um profissional a prontuário fora da sua equipe de cuidado é notificado à Clínica com a identificação do usuário, do paciente e do momento, para a apuração interna e para a comunicação, se cabível, ao profissional responsável pelo paciente.
10. Saída de profissional e exportação de autoria
- O desligamento de profissional revoga o acesso e preserva integralmente os registros de sua autoria no prontuário do paciente, mantido no estabelecimento sob guarda da Clínica.
- A Centrilize disponibiliza à Clínica a exportação estruturada dos atendimentos de autoria do profissional que se desliga, para entrega a ele. A exportação é cópia: não retira, não altera e não fraciona o prontuário mantido pela Clínica.
- A entrega dessa exportação é ato da controladora. A partir do recebimento, o profissional passa a responder pelo tratamento que der aos dados, sujeito ao dever de sigilo e à LGPD.
- A exportação é registrada em trilha de auditoria (quem exportou, quando, sobre quais registros).
11. Devolução e eliminação ao término
Encerrado o contrato, a Centrilize, conforme instrução da controladora, devolve e/ou elimina os dados pessoais tratados, ressalvada a guarda legal do prontuário — o registro clínico é mantido pelo prazo de retenção (mínimo de 20 anos, Lei nº 13.787/2018 e Resolução CFM nº 1.821/2007) e disponibilizado à Clínica, responsável pelo registro, para continuidade da guarda. O desligamento de profissionais, individualmente, não é hipótese de eliminação.
12. Auditoria e comprovação
A Centrilize disponibiliza, mediante solicitação razoável da controladora, as informações necessárias para demonstrar o cumprimento deste DPA (medidas de segurança, subprocessadores, retenção, configuração de acesso do ambiente e trilhas de auditoria), preservada a segurança e a confidencialidade dos demais controladores (multi-tenant). O relatório de acessos e os registros de acionamento de acesso de emergência são disponibilizados à Clínica de forma contínua na própria plataforma.
13. Disposições gerais
Este DPA é versionado junto dos Termos de Uso — Variante Clínica; alterações relevantes são comunicadas na plataforma e, quando exigido, dependem de novo aceite da controladora. Aplica-se a lei brasileira e o foro previsto nos Termos.
Operadora: CENTRILIZE DESENVOLVIMENTO DE PROGRAMAS LTDA — CNPJ 68.235.122/0001-09 · Encarregado (DPO): contato@centrilize.com