Alyvia

    Acordo de Tratamento de Dados Pessoais (DPA)

    Índice

    Este Acordo de Tratamento de Dados Pessoais ("DPA") integra e complementa os Termos de Uso e a Política de Privacidade e disciplina o tratamento de dados pessoais realizado pela ALYVIA TECNOLOGIA EM SAÚDE LTDA, inscrita no CNPJ/ME sob o nº 51.457.468/0001-40, com sede na Rua Alves Guimarães, cj. 206, complemento 287, Torre Consultórios Core Health, Pinheiros, São Paulo/SP, CEP 05410-002 ("Alyvia"), em nome e por conta do Usuário, nos termos da Lei nº 13.709/2018 ("LGPD").

    Ao aceitar este DPA no ato da contratação, o Usuário e a Alyvia formalizam as condições sob as quais os dados pessoais de terceiros (inclusive pacientes) são tratados pela Alyvia na qualidade de operadora.

    1. Definições e papéis das partes

    1.1. Os termos "Dado Pessoal", "Dado Pessoal Sensível", "Titular", "Tratamento", "Controlador", "Operador", "Encarregado" e "ANPD" têm o significado que lhes atribui a LGPD.

    1.2. Papéis. Em relação aos dados pessoais de pacientes e demais terceiros inseridos ou capturados por meio da Plataforma, o Usuário (profissional de saúde) é o Controlador — a quem competem as decisões sobre o Tratamento — e a Alyvia é a Operadora, que trata tais dados exclusivamente em nome e conforme as instruções documentadas do Controlador.

    1.3. Quanto aos dados cadastrais do próprio Usuário (nome, e-mail, registro profissional, dados de assinatura e pagamento), a Alyvia atua como Controladora, nos termos da Política de Privacidade.

    2.1. A Alyvia tratará dados pessoais dos Titulares do Controlador com a única finalidade de disponibilizar as funcionalidades da Plataforma contratadas — comunicação e triagem de mensagens no WhatsApp, transcrição de áudios, geração assistida de textos, agendamento e gestão de documentos —, conforme os Termos de Uso.

    2.2. Dado sensível de saúde. As partes reconhecem que o conteúdo clínico eventualmente tratado (mensagens, áudios, transcrições e textos gerados) pode conter dado pessoal sensível referente à saúde (art. 11 da LGPD), sujeito a proteção reforçada. Cabe ao Controlador assegurar a base legal adequada (art. 7º e art. 11 da LGPD, incluindo, quando aplicável, a tutela da saúde ou o consentimento específico e destacado do Titular) para o tratamento desses dados na Plataforma.

    2.3. A Alyvia não utilizará os dados dos Titulares do Controlador para finalidades próprias, nem os comercializará, tratando-os apenas conforme este DPA e as instruções do Controlador.

    3. Obrigações da Alyvia (Operadora)

    A Alyvia compromete-se a:

    • tratar os dados pessoais apenas conforme as instruções documentadas do Controlador e a legislação aplicável;
    • adotar medidas técnicas e administrativas de segurança aptas a proteger os dados, conforme a Seção 7;
    • garantir que as pessoas autorizadas a tratar os dados estejam sujeitas a dever de confidencialidade;
    • auxiliar o Controlador, na medida do razoável, no atendimento às requisições dos Titulares e às obrigações perante a ANPD;
    • manter registro das operações de tratamento sob sua responsabilidade;
    • utilizar subprocessadores apenas nas condições da Seção 5; e
    • eliminar ou devolver os dados ao término do tratamento, conforme a Seção 9.

    4. Obrigações do Usuário (Controlador)

    O Usuário, na qualidade de Controlador, é responsável por:

    • possuir base legal válida para o tratamento dos dados que insere ou faz a Plataforma coletar, especialmente dos dados sensíveis de saúde;
    • fornecer aos Titulares as informações de transparência exigidas pela LGPD e coletar consentimentos quando cabível;
    • inserir na Plataforma apenas os dados necessários e adequados às finalidades profissionais; e
    • observar seu Código de Ética profissional e o sigilo aplicável à sua atividade.

    5. Subprocessadores

    5.1. O Usuário autoriza a Alyvia a contratar subprocessadores para a prestação dos Serviços. A Alyvia mantém com eles obrigações de proteção de dados compatíveis com este DPA e permanece responsável perante o Controlador pela atuação de tais terceiros.

    5.2. A relação atual de subprocessadores, com a respectiva finalidade e localização de processamento, é:

    • Supabase — banco de dados, autenticação, armazenamento e funções do ambiente central (dados cadastrais do Usuário, metadados de assinatura e consentimentos). Região São Paulo (Brasil).
    • Amazon Web Services (AWS) — servidor (VPS) dedicado por Usuário onde opera o agente de WhatsApp e reside o conteúdo clínico do paciente. Região São Paulo (Brasil). O conteúdo clínico permanece confinado a esse servidor dedicado e não é replicado para o ambiente central.
    • Stripe — processamento do pagamento da assinatura (dados de cartão tokenizados, faturas e cobrança recorrente). Pode processar dados fora do Brasil.
    • Google Cloud / Firebase — armazenamento temporário de arquivos de áudio antes da transcrição, eliminados em até 7 (sete) dias; e serviço de modelo de linguagem (Vertex AI / Gemini), com processamento na região da América do Sul (Brasil), quando aplicável.
    • OpenRouter — intermediação de modelos de inteligência artificial (LLM) para geração assistida de textos a partir do conteúdo tratado. Pode processar dados fora do Brasil.
    • ElevenLabs — transcrição e segmentação de áudios de voz em texto. Pode processar dados fora do Brasil.
    • Resend — envio de e-mails transacionais e de comunicação ao Usuário. Pode processar dados fora do Brasil.
    • Cloudflare — hospedagem do site e rede de distribuição de conteúdo (CDN); metadados técnicos de acesso.

    5.3. A Alyvia poderá alterar a relação de subprocessadores para manter ou aprimorar os Serviços, comunicando as alterações relevantes por meio da atualização deste DPA. O Usuário que discordar de um novo subprocessador poderá encerrar a assinatura, na forma dos Termos de Uso.

    6. Transferência internacional de dados

    6.1. Parte dos subprocessadores acima pode tratar dados fora do território nacional. Nessas hipóteses, a Alyvia adota salvaguardas compatíveis com o art. 33 da LGPD (tais como cláusulas contratuais de proteção de dados e a contratação de fornecedores com padrões adequados de segurança), com o objetivo de assegurar nível de proteção equivalente ao da legislação brasileira.

    7. Segurança da informação

    7.1. A Alyvia adota medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, incluindo controle de acesso baseado em papéis, segregação de ambientes, criptografia em trânsito, isolamento do conteúdo clínico em servidor dedicado por Usuário e registro de auditoria das operações sensíveis.

    7.2. As medidas de segurança são revisadas periodicamente, acompanhando a evolução das ameaças e das boas práticas de mercado.

    8. Direitos dos Titulares e prazo de atendimento

    8.1. A Alyvia auxiliará o Controlador a atender às requisições dos Titulares previstas na LGPD (confirmação, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revogação de consentimento).

    8.2. Prazo (SLA). Recebida uma requisição por meio do Encarregado, a Alyvia envidará esforços para atendê-la em até 15 (quinze) dias, prazo prorrogável de forma justificada em razão da complexidade da solicitação ou do volume de dados, comunicando-se o Titular ou o Controlador a respeito.

    8.3. Requisições podem ser encaminhadas ao Encarregado (DPO) pelo e-mail jurí[email protected].

    9. Retenção e eliminação

    9.1. Os dados são tratados enquanto durar a prestação dos Serviços e pelos prazos exigidos por lei ou para o exercício regular de direitos.

    9.2. Os arquivos de áudio originais destinados à transcrição são eliminados automaticamente após o processamento e, em qualquer caso, em prazo não superior a 7 (sete) dias.

    9.3. A eliminação de dados a pedido do Titular ou por encerramento da conta é realizada por meio de desativação lógica (soft-delete) seguida de anonimização controlada, preservando-se, quando exigido, registros mínimos de trilha de auditoria e de cumprimento de obrigações legais. Antes da eliminação, o Controlador poderá solicitar a exportação dos dados.

    10. Incidentes de segurança

    10.1. Na ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos Titulares, a Alyvia comunicará o Controlador sem demora injustificada, prestando as informações necessárias, e apoiará as comunicações à ANPD e aos Titulares afetados, conforme a LGPD.

    11. Vigência e término

    11.1. Este DPA vigora enquanto a Alyvia tratar dados pessoais em nome do Controlador e permanece vinculado à assinatura dos Serviços. Encerrada a relação, a Alyvia procederá à eliminação ou devolução dos dados, na forma da Seção 9, ressalvadas as hipóteses de guarda obrigatória.

    12. Disposições gerais

    12.1. As comunicações relativas a este DPA devem ser dirigidas ao Encarregado pelo e-mail jurí[email protected].

    12.2. Este DPA é regido pelas leis da República Federativa do Brasil, elegendo-se o Foro da Comarca de São Paulo/SP para dirimir eventuais controvérsias.

    São Paulo/SP, na data de aceite, acesso e utilização da Alyvia.

    Voltar ao topo