Contrato de Tratamento de Dados Pessoais (DPA)

Versão: v1-2026-06-09 Data de vigência: 09 de junho de 2026

Este Contrato de Tratamento de Dados Pessoais (Data Processing Addendum, doravante "DPA") é parte integrante e inseparável dos Termos de Serviço da DentFlow e regula o tratamento de dados pessoais de pacientes das Clínicas pela DentFlow, na qualidade de operador, em nome e por conta da Clínica, na qualidade de controlador, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — "LGPD").

Resumo em linguagem simples

A Clínica é controlador dos dados dos pacientes. A DentFlow é operador que processa esses dados por instrução da Clínica.
Listamos exatamente quais subprocessadores tocam nos seus dados e para qual finalidade.
Seu dado primário fica no Brasil (Supabase sa-east-1). Algumas operações transitam por servidores nos EUA com proteções contratuais.
Em caso de incidente que afete seus dados, avisamos você em até 72 horas.
Você pode pedir auditoria anual da nossa postura de segurança.
Quando você cancelar, exportamos seus dados em até 30 dias e depois excluímos tudo em até 60 dias adicionais.
A DentFlow assume responsabilidade pelas multas da ANPD que decorrerem de falha nossa em implementar as medidas de segurança aqui acordadas.

1. Definições

Para os fins deste DPA, aplicam-se as definições da LGPD e, em especial:

"Controlador" significa a Clínica contratante, a quem competem as decisões referentes ao tratamento de dados pessoais dos pacientes (LGPD art. 5º, VI).

"Operador" significa a DentFlow, que realiza o tratamento de dados pessoais em nome do Controlador (LGPD art. 5º, VII).

"Dados Pessoais" significa qualquer informação relacionada a pessoa natural identificada ou identificável dos pacientes da Clínica (LGPD art. 5º, I).

"Dados Pessoais Sensíveis" significa dados pessoais sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural (LGPD art. 5º, II). Os dados de saúde dos pacientes inseridos na Plataforma são considerados dados pessoais sensíveis.

"Titular" significa o paciente, pessoa natural a quem se referem os dados (LGPD art. 5º, V).

"Subprocessador" ou "Suboperador" significa terceiro contratado pelo Operador para realizar parte do tratamento, sob responsabilidade do Operador perante o Controlador.

"Incidente" significa qualquer evento de segurança que possa acarretar risco ou dano relevante aos Titulares (LGPD art. 48).

2. Objeto e Escopo

2.1. Este DPA regula o tratamento de dados pessoais de pacientes da Clínica que sejam inseridos, gerados ou processados na Plataforma DentFlow.

2.2. O Operador atua exclusivamente conforme as instruções documentadas do Controlador, salvo obrigação legal de tratamento distinto, hipótese em que comunicará previamente o Controlador, exceto se a lei vedar tal comunicação.

2.3. Em caso de divergência entre este DPA e os Termos de Serviço quanto a matéria de proteção de dados, prevalece este DPA.

3. Categorias de Dados Pessoais e de Titulares

3.1. Categorias de Titulares

Pacientes da Clínica (atuais e potenciais)
Acompanhantes ou responsáveis legais quando aplicável

3.2. Categorias de Dados Tratados

Dados de identificação e contato:

Nome completo, data de nascimento
CPF e RG (quando fornecidos pela Clínica)
E-mail, telefone, endereço residencial

Dados pessoais sensíveis (dados de saúde):

Anamnese (alergias, medicamentos em uso, condições médicas relevantes)
Histórico odontológico (procedimentos realizados, planos de tratamento)
Registro de consultas e atendimentos
Notas clínicas inseridas pelo dentista
Imagens clínicas (radiografias, fotografias intrabucais) quando armazenadas pela Clínica

Dados de relacionamento com a Clínica:

Histórico de agendamentos (passados e futuros)
Histórico de comunicações via WhatsApp com a Clínica
Histórico financeiro de procedimentos (valores, formas de pagamento)
Comportamento de comparecimento (no-show, cancelamentos, reagendamentos)

Dados de marketing (quando autorizado pelo paciente):

Preferências de comunicação
Registro de campanhas recebidas
Status de opt-in / opt-out

4. Finalidades do Tratamento

O Operador tratará os dados exclusivamente para as seguintes finalidades, sempre conforme instruções do Controlador:

Agendamento e gestão de consultas
Recepção automatizada via WhatsApp (recepcionista IA)
Manutenção de prontuário e histórico clínico
Envio de lembretes de consulta e confirmações
Campanhas de marketing autorizadas pelo paciente (reativação, aniversário, sazonais)
Análises operacionais agregadas e anonimizadas para a Clínica
Cumprimento de obrigações legais aplicáveis

5. Subprocessadores

5.1. Lista de Subprocessadores Autorizados

O Controlador autoriza expressamente o uso dos seguintes subprocessadores:

| Subprocessador | Finalidade | Localização | Salvaguardas | |---|---|---|---| | Supabase Inc. | Banco de dados Postgres, autenticação, storage | EUA (sede), região primária sa-east-1 (Brasil) | AES-256 em repouso; TLS 1.3 em trânsito; SOC 2 Type II | | Stripe Inc. | Processamento de pagamentos da Clínica | EUA | PCI-DSS Nível 1; números completos de cartão não trafegam pela DentFlow | | Meta Platforms Ireland Ltd. | Entrega de mensagens via WhatsApp Business Cloud API | Irlanda / EUA | Criptografia ponta-a-ponta no WhatsApp; conformidade GDPR | | OpenAI, L.L.C. | Geração de respostas por IA para mensagens recebidas | EUA | Zero Data Retention ativado; dados não usados para treinamento | | Resend | Entrega de e-mails transacionais | EUA | TLS em trânsito; sem armazenamento de longo prazo do conteúdo | | Vercel Inc. | Hospedagem da aplicação web | Edges globais + origem sa-east-1 | TLS 1.3; isolamento de tenant; DDoS protection | | Functional Software, Inc. (Sentry) | Monitoramento de erros da aplicação | EUA | Sem coleta de PII nos campos de erro; scrubbing automático |

A lista pública e atualizada está disponível em dentflow.app/subprocessadores.

5.2. Inclusão e Substituição de Subprocessadores

5.2.1. O Operador pode contratar novos subprocessadores ou substituir os existentes, mediante:

Notificação prévia de 30 dias ao Controlador por e-mail ao administrador da conta e atualização da página pública de subprocessadores
Garantia contratual de que o novo subprocessador adere a obrigações de proteção de dados equivalentes às deste DPA

5.2.2. Direito de objeção. O Controlador pode objetar fundamentadamente à inclusão de novo subprocessador em até 15 dias da notificação. Se a objeção for materialmente justificada e a divergência não puder ser superada em 30 dias, o Controlador poderá rescindir o contrato sem multa e sem prejuízo do direito de exportação dos dados.

5.2.3. Responsabilidade pelo subprocessador. O Operador responde perante o Controlador pelos atos e omissões dos subprocessadores como se fossem seus próprios.

6. Localização dos Dados

6.1. O armazenamento primário dos dados pessoais dos pacientes ocorre em região brasileira (Supabase sa-east-1 — São Paulo).

6.2. Operações de trânsito internacional ocorrem para:

Processamento de pagamentos (Stripe — EUA)
Geração de respostas por IA (OpenAI — EUA), com Zero Data Retention
Entrega de e-mails (Resend — EUA)
Entrega de mensagens WhatsApp (Meta — infraestrutura global)
Hospedagem em edges globais para latência (Vercel)

6.3. Base legal para transferência internacional (LGPD art. 33):

Execução de contrato com o titular (art. 33, V) para os processadores essenciais à prestação do serviço contratado pela Clínica
Cláusulas-padrão contratuais firmadas com cada subprocessador, garantindo nível de proteção compatível com o regime brasileiro

7. Medidas Técnicas e Administrativas de Segurança (art. 46)

O Operador implementa as seguintes medidas, observados os padrões de mercado e o estado da técnica:

7.1. Medidas técnicas

Criptografia em trânsito: TLS 1.3 em todas as comunicações entre cliente e servidor, entre serviços, e entre Plataforma e subprocessadores
Criptografia em repouso: AES-256 no banco de dados, conforme padrão Supabase
Isolamento multi-tenant: Row Level Security (RLS) no banco Postgres, garantindo que dados de uma Clínica não sejam acessíveis a outra
Autenticação: e-mail e senha com hash bcrypt; MFA opcional disponível
Controle de sessão: tokens JWT com expiração; invalidação no logout
Backup: backups criptografados com retenção máxima de 30 dias, com purga automática
Monitoramento: Sentry para erros; logs de auditoria para alterações em credenciais sensíveis (tabela platform_settings_audit)

7.2. Medidas administrativas

Princípio do menor privilégio: acesso de engenharia ao banco de produção restrito ao mínimo necessário e registrado
Treinamento: equipe técnica orientada quanto à LGPD e às obrigações deste DPA
Gestão de vulnerabilidades: varredura automatizada de dependências e atualizações de segurança periódicas
Continuidade de negócios: procedimentos documentados para restauração em caso de falha

7.3. Revisão periódica

O Operador revisa anualmente suas medidas de segurança e ajusta conforme evolução da ameaça e do estado da técnica.

8. Notificação de Incidentes (LGPD art. 48)

8.1. Prazo de notificação ao Controlador. O Operador comunicará a Clínica em até 72 horas após a confirmação de qualquer incidente de segurança envolvendo dados pessoais dos pacientes da Clínica.

8.2. Conteúdo da notificação. A comunicação incluirá, no mínimo:

Descrição da natureza dos dados pessoais afetados
Informações sobre os titulares envolvidos (categorias e número aproximado)
Indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados
Riscos relacionados ao incidente
Motivos da demora, se a notificação não foi imediata
Medidas adotadas para reverter ou mitigar os efeitos do prejuízo

8.3. Notificação à ANPD e aos Titulares. Cabe à Clínica (Controlador) decidir sobre a notificação à ANPD e aos titulares afetados, com base na avaliação do risco. O Operador fornecerá suporte técnico para a elaboração das notificações e para a investigação do incidente.

8.4. Cooperação. O Operador colaborará de boa-fé com investigações conduzidas pelo Controlador ou pela ANPD relativas a incidentes.

9. Direitos dos Titulares (LGPD art. 18)

9.1. O Operador disponibilizará à Clínica ferramentas técnicas para atender solicitações de titulares relativas aos direitos previstos no art. 18 da LGPD:

Confirmação e acesso
Correção
Anonimização, bloqueio ou eliminação
Portabilidade (formato JSON)
Eliminação de dados tratados com base no consentimento
Informação sobre uso compartilhado
Revogação de consentimento
Revisão de decisões automatizadas (art. 20)

9.2. Prazo. A Clínica deve atender as solicitações dos titulares em até 15 dias da apresentação, conforme art. 19 da LGPD. O Operador compromete-se a disponibilizar as informações solicitadas em até 7 dias da requisição do Controlador, de modo a permitir o cumprimento do prazo legal.

9.3. Acionamento direto ao Operador. Se um titular acionar diretamente o Operador para exercício de direitos, o Operador encaminhará a solicitação à Clínica em até 5 dias úteis, ressalvada a hipótese de o titular ter direito direto contra o Operador (por exemplo, no caso de dados de usuários da Plataforma — administradores e dentistas — para os quais o Operador é controlador, conforme Política de Privacidade).

10. Direito de Auditoria

10.1. Documentação anual. A pedido escrito da Clínica, o Operador disponibilizará, até uma vez por ano civil:

Relatório de incidentes ocorridos no período (anonimizado quanto a outros clientes)
Lista atualizada de subprocessadores
Resumo das medidas de segurança implementadas (Seção 7)
Resposta a questionário de segurança em formato padrão (por exemplo, SIG-Lite ou CAIQ-Lite)

10.2. Auditoria por terceiro independente. Para Clínicas com mais de 50 (cinquenta) usuários ativos na Plataforma ou mediante necessidade demonstrada (por exemplo, exigência de licitação ou de cliente institucional da Clínica), o Operador permitirá, mediante aviso prévio mínimo de 30 dias, auditoria por terceiro independente mutuamente acordado, observando-se:

A auditoria não pode comprometer a segurança ou a operação para outros clientes
O auditor deve assinar acordo de confidencialidade
O escopo será limitado às obrigações deste DPA
O custo da auditoria é arcado pela parte solicitante, salvo se a auditoria revelar não conformidade material do Operador

10.3. Certificações. Quando disponíveis, o Operador fornecerá certificações de segurança equivalentes (por exemplo, SOC 2, ISO 27001) em substituição a auditoria direta.

11. Devolução e Eliminação de Dados ao Encerramento

11.1. Período de exportação. Após o encerramento dos serviços (por iniciativa de qualquer das partes), o Operador disponibilizará os dados pessoais dos pacientes da Clínica para exportação em formato estruturado (JSON) por um período de 30 dias.

11.2. Eliminação. Decorridos os 30 dias de exportação, o Operador eliminará os dados pessoais dos pacientes em até 60 dias adicionais, incluindo backups, ressalvadas:

Obrigações legais de retenção que recaiam diretamente sobre o Operador
Dados anonimizados de forma irreversível para fins de estatística e melhoria do serviço

11.3. Comprovação de eliminação. Mediante solicitação da Clínica, o Operador fornecerá declaração de eliminação, indicando data e categorias eliminadas.

12. Alocação de Responsabilidade

12.1. Responsabilidade do Operador. O Operador é responsável por:

Cumprir as obrigações deste DPA e da LGPD aplicáveis ao operador
Implementar e manter as medidas técnicas de segurança descritas na Seção 7
Selecionar subprocessadores com padrões adequados de proteção
Responder por danos comprovadamente decorrentes da inobservância de suas obrigações (LGPD art. 42, § 1º, I)

12.2. Responsabilidade do Controlador. A Clínica é responsável por:

Definir as finalidades e bases legais do tratamento dos dados de pacientes
Obter o consentimento ou demonstrar outra base legal adequada quando exigido
Atender solicitações de titulares dentro do prazo legal de 15 dias
Comunicar a ANPD e os titulares quando aplicável em caso de incidente
Garantir que as informações inseridas na Plataforma são lícitas e atualizadas
Não inserir na Plataforma dados pessoais sensíveis sem base legal adequada (LGPD art. 11)

12.3. Multas administrativas. Cada parte arca com as multas administrativas que lhe forem aplicadas pela ANPD em razão de violação de suas próprias obrigações. Em casos de responsabilidade concorrente, aplica-se o art. 42 da LGPD.

12.4. Limite global. Sem prejuízo das alocações desta Seção 12, a responsabilidade total do Operador perante o Controlador, considerados todos os fatos ocorridos em um mesmo período de 12 meses, está limitada nos termos da cláusula 9 dos Termos de Serviço, ressalvadas as exceções ali previstas (dolo, culpa grave, violação dolosa da LGPD).

13. Duração

13.1. Este DPA permanece em vigor durante toda a vigência da assinatura da Plataforma pela Clínica e, no que se refere às obrigações pós-encerramento (notadamente eliminação de dados e confidencialidade), por mais 12 meses após o encerramento.

13.2. As obrigações de confidencialidade subsistem por prazo indeterminado.

14. Disposições Gerais

14.1. Encarregado (DPO) do Operador. Wagner Lima, e-mail dpo@dentflow.app.

14.2. Encarregado (DPO) do Controlador. A Clínica indicará seu DPO no cadastro inicial ou em até 90 dias da contratação, conforme exigência da ANPD. Para clínicas de pequeno porte, a Clínica pode designar um interlocutor único responsável, na forma da Resolução CD/ANPD nº 2/2022.

14.3. Comunicações entre as partes. Todas as comunicações relacionadas a este DPA serão feitas por e-mail aos endereços dos respectivos DPOs e ao administrador cadastrado na Plataforma.

14.4. Modificações. Modificações materiais a este DPA serão comunicadas com 30 dias de antecedência. A continuidade do uso da Plataforma após o início de vigência implica aceitação. Caso a Clínica não concorde, terá direito de rescisão sem multa.

14.5. Lei aplicável e foro. Aplica-se a legislação brasileira e o foro eleito nos Termos de Serviço.

15. Aceitação

A aceitação dos Termos de Serviço no momento do cadastro implica aceitação simultânea e integral deste DPA. O Operador mantém registro auditável da aceitação, incluindo versão do documento, data, identificação do usuário responsável e endereço IP, conforme art. 10 do Decreto nº 8.771/2016.

Este documento foi elaborado com auxílio de inteligência artificial. Antes de utilizá-lo em produção, recomenda-se revisão por advogado habilitado no Brasil, especialmente em matéria de Direito Digital, LGPD e contratos B2B SaaS.

Contrato de Tratamento de Dados (DPA)