Contrato de Operador (DPA)
Versão 2026-06-16. Acordo de tratamento de dados pessoais conforme a LGPD (art. 39), entre a clínica (controladora) e a MedApex (operadora).
1. Papéis
A clínica contratante é a controladora; a MedApex é a operadora, tratando dados pessoais e sensíveis (de saúde) exclusivamente conforme as instruções da controladora e este contrato.
2. Objeto e finalidade do tratamento
O tratamento se limita a hospedar, processar e disponibilizar os dados necessários à operação clínica (cadastro, anamnese, exames/biomarcadores, protocolos, documentos e agenda) e ao portal do paciente.
3. Obrigações da operadora
A MedApex compromete-se a: (a) tratar os dados apenas conforme instruções da controladora; (b) manter confidencialidade; (c) adotar medidas de segurança (isolamento por clínica via RLS, controle de acesso por papel, criptografia em repouso); (d) auxiliar no atendimento aos direitos dos titulares; (e) notificar incidentes de segurança em prazo razoável; (f) eliminar ou devolver os dados ao término do contrato, ressalvada a guarda legal do prontuário.
4. Suboperadores
A MedApex pode utilizar prestadores de infraestrutura (ex.: hospedagem em nuvem) que atuem como suboperadores, mantendo obrigações de proteção equivalentes às deste contrato.
5. Direitos dos titulares
A plataforma oferece recursos de acesso e portabilidade (exportação de dados) e de solicitação de exclusão, que a controladora opera junto aos seus pacientes, observada a retenção obrigatória do prontuário (Resolução CFM nº 1.821/2007).
6. Segurança e incidentes
Em caso de incidente que possa acarretar risco aos titulares, a MedApex comunicará a controladora para que esta avalie a comunicação à ANPD e aos titulares, conforme a LGPD.
7. Vigência e término
Este contrato acompanha a vigência dos Termos de Uso. Encerrado o serviço, os dados são disponibilizados para exportação e, em seguida, eliminados, salvo obrigação legal de guarda.