Acordo de Tratamento de Dados (DPA)

1. DEFINIÇÕES

Para os fins deste Acordo, aplicam-se as definições de dado pessoal, dado pessoal sensível, titular, tratamento, consentimento, incidente de segurança e ANPD estabelecidas na Lei nº 13.709/2018 (LGPD) e reproduzidas na Política de Privacidade da PALORA, além de:

1.1. Controlador: a quem competem as decisões referentes ao tratamento de dados pessoais.

1.2. Operador: quem realiza o tratamento de dados pessoais em nome do Controlador.

1.3. Suboperador: terceiro contratado pelo Operador para auxiliar no tratamento de dados pessoais em nome do Controlador.

2. PAPEL DAS PARTES

2.1. Regra geral: para os dados pessoais de consumidores finais da CONTRATANTE tratados pela PALORA no âmbito da prestação dos serviços contratados (por exemplo, dados de pacientes, clientes ou usuários finais da CONTRATANTE que interagem com sistemas operados pela PALORA), a CONTRATANTE atua como CONTROLADORA e a PALORA atua como OPERADORA.

2.2. Exceção: quanto aos dados pessoais dos próprios representantes e usuários da CONTRATANTE cadastrados na plataforma para fins de gestão da conta comercial (nome, e-mail, telefone, cargo), e quanto aos dados de visitantes do site institucional da PALORA, a PALORA atua como CONTROLADORA, aplicando-se nesses casos a Política de Privacidade da PALORA, e não este Acordo.

3. CONTROLADOR E OPERADOR

3.1. Como Controladora, cabe à CONTRATANTE: (i) assegurar a existência de base legal adequada para todo tratamento de dados pessoais que realize ou instrua a PALORA a realizar, incluindo, quando aplicável ao seu segmento de atuação, base legal específica para dados sensíveis de saúde nos termos do art. 11 da LGPD; (ii) atuar como principal ponto de contato para o exercício de direitos dos titulares; e (iii) informar à PALORA quaisquer instruções, restrições ou requisitos específicos de tratamento.

3.2. Como Operadora, cabe à PALORA: (i) tratar dados pessoais estrita e exclusivamente conforme as instruções documentadas da CONTRATANTE; (ii) não utilizar tais dados para finalidades próprias, alheias à prestação do serviço contratado; e (iii) auxiliar a CONTRATANTE, na medida do tecnicamente possível, no atendimento a solicitações de titulares de dados.

4. INSTRUÇÕES DE TRATAMENTO

4.1. As instruções de tratamento de dados pessoais são as definidas neste Acordo e no Contrato de Prestação de Serviços e seu Anexo. Qualquer instrução adicional deverá ser fornecida por escrito.

4.2. Caso a PALORA entenda que uma instrução da CONTRATANTE viola a LGPD ou outra norma aplicável, comunicará esse entendimento à CONTRATANTE, podendo suspender a execução da instrução até que a questão seja esclarecida ou sanada.

5. FINALIDADES PERMITIDAS

5.1. A PALORA tratará dados pessoais exclusivamente para as finalidades necessárias à prestação dos serviços contratados, sendo vedado o uso para finalidades próprias, venda a terceiros, ou treinamento de modelos de inteligência artificial de terceiros com dados da CONTRATANTE, exceto quando expressamente autorizado por escrito pela CONTRATANTE.

6. MEDIDAS DE SEGURANÇA

6.1. A PALORA adota medidas técnicas e administrativas de segurança compatíveis com a natureza dos dados tratados, incluindo criptografia em trânsito e em repouso, controle de acesso baseado em privilégio mínimo, registro de operações, treinamento de equipe quanto à confidencialidade e plano de resposta a incidentes.

6.2. Para dados pessoais sensíveis (por exemplo, dados de saúde eventualmente tratados em nome de clientes do segmento médico ou odontológico), a PALORA aplica controles de acesso e monitoramento adicionais em relação às demais categorias de dados.

7. SUBOPERADORES

7.1. A CONTRATANTE autoriza, desde já, a PALORA a utilizar suboperadores para viabilizar a prestação dos serviços, incluindo provedores de infraestrutura de nuvem e banco de dados (como Railway e Supabase), provedores de inteligência artificial (como OpenAI e Google Gemini) e a Meta Platforms, Inc. (API do WhatsApp Business).

7.2. A PALORA manterá relação atualizada de suboperadores, disponível mediante solicitação, e assegurará, por meio contratual, que cada suboperador observe obrigações de proteção de dados compatíveis com este Acordo.

8. TRANSFERÊNCIA INTERNACIONAL

8.1. O tratamento de dados pessoais no âmbito deste Acordo pode envolver transferência internacional, em razão do uso de suboperadores sediados ou com infraestrutura fora do Brasil, notadamente OpenAI e Google.

8.2. Essa transferência observa os arts. 33 a 36 da LGPD e o Regulamento de Transferência Internacional de Dados aprovado pela Resolução CD/ANPD nº 19/2024. Para destinatários situados em países sem decisão de adequação da ANPD, a PALORA adota cláusulas-padrão contratuais aprovadas pela ANPD, ou mecanismo equivalente validamente reconhecido.

9. INCIDENTES DE SEGURANÇA

9.1. A PALORA notificará a CONTRATANTE sobre incidentes de segurança que possam acarretar risco ou dano relevante aos titulares, sem demora injustificada e, como parâmetro de atendimento, em prazo não superior a 48 (quarenta e oito) horas contadas da confirmação do incidente.

9.2. Cabe à CONTRATANTE, na qualidade de Controladora, avaliar a necessidade de comunicação à ANPD e aos titulares afetados, nos termos do art. 48 da LGPD.

10. DIREITOS DOS TITULARES

10.1. A PALORA prestará suporte técnico à CONTRATANTE para o atendimento de solicitações de titulares relativas a acesso, correção, eliminação, portabilidade ou revogação de consentimento, dentro de prazos técnicos razoavelmente exequíveis.

11. AUDITORIA

11.1. A CONTRATANTE poderá solicitar à PALORA, com antecedência mínima de 15 (quinze) dias e periodicidade não superior a uma vez por ano, informações ou documentação razoável que demonstre a conformidade da PALORA com este Acordo.

12. CONFIDENCIALIDADE

12.1. As partes e seus suboperadores manterão sigilo sobre os dados pessoais tratados no âmbito deste Acordo, obrigação que subsiste após o término da relação contratual.

13. RETENÇÃO E DESCARTE

13.1. Os dados pessoais tratados em nome da CONTRATANTE serão retidos apenas pelo período necessário à prestação dos serviços e pelos prazos legais de retenção aplicáveis.

14. ENCERRAMENTO DA RELAÇÃO CONTRATUAL, EXPORTAÇÃO E EXCLUSÃO

14.1. Após o encerramento do contrato, os dados permanecerão disponíveis para exportação pelo período de 30 dias.

14.2. Após esse prazo de 30 dias, a Palora poderá realizar a exclusão definitiva dos dados, observadas as obrigações legais aplicáveis.

14.3. Mediante solicitação, a PALORA fornecerá declaração confirmando a eliminação ou devolução dos dados ao término do procedimento.

15. RESPONSABILIDADES

15.1. Cada parte responde pelas infrações que cometer à LGPD no âmbito de sua respectiva atuação. A CONTRATANTE é responsável pela existência e adequação da base legal do tratamento que instrua a PALORA a realizar, especialmente quanto a dados sensíveis.

15.2. As disposições sobre limitação de responsabilidade e indenização previstas no Contrato de Prestação de Serviços aplicam-se subsidiariamente às obrigações previstas neste Acordo.

16. DISPOSIÇÕES FINAIS

16.1. Este Acordo é parte integrante e inseparável do Contrato de Prestação de Serviços firmado entre as partes, aplicando-se subsidiariamente as disposições gerais daquele instrumento quanto a vigência, notificações, legislação aplicável e foro.