A instrução por
escrito que a LGPD
exige ter.

O que este Adendo resolve

Quando uma clínica usa o Melea, ela continua sendo controladora dos dados de tutores, pacientes e da própria equipe. Nós passamos a ser operadora: tratamos aqueles dados por conta dela.

O art. 39 da LGPD obriga o operador a seguir a instrução do controlador, e o art. 42 torna os dois solidariamente responsáveis quando o operador descumpre. Este Adendo é a instrução por escrito. Sem ele, a clínica não tem como demonstrar à ANPD o que instruiu, e nós não temos como demonstrar que agimos dentro do combinado.

Ele integra os Termos de Uso e se aplica automaticamente a toda clínica cliente, sem necessidade de assinatura em separado — salvo se a clínica preferir formalizá-lo, o que fazemos a pedido.

Quem é quem

Controladora

A Clínica. Decide por que trata, quais dados coleta, por quanto tempo guarda e quem tem acesso. É ela quem informa o titular e colhe consentimento quando for o caso.

Operadora

A Melea. Trata os dados exclusivamente para prestar o serviço, seguindo a instrução documentada da Clínica. Não decide finalidade nem meio essencial de tratamento.

Suboperadores

Terceiros que tratam dados para nos permitir prestar o serviço — infraestrutura, transcrição, envio de mensagens. Listados na seção 6.

Titulares

Tutores, seus responsáveis adicionais e os integrantes da equipe da Clínica.

Escopo, natureza e duração do tratamento

A lista completa e atualizada dos campos está na Política de Privacidade, seção 3.

O que assumimos como operadora

• Tratar apenas conforme instrução. Fora do que o sistema exige para funcionar, nada. Se uma instrução da Clínica nos parecer ilegal, avisamos por escrito e não a executamos.
• Não usar para finalidade própria. Não comercializamos, não perfilamos, não fazemos publicidade, e não treinamos modelos de IA com o conteúdo.
• Não cruzar clínicas. Cada clínica tem banco de dados próprio; o conteúdo de uma nunca alimenta o serviço de outra.
• Confidencialidade de quem tem acesso, por obrigação contratual que sobrevive ao fim do vínculo.
• Acesso mínimo. Nossa equipe só acessa dado de clínica para suporte solicitado ou incidente. Toda alteração que ela faz pela ferramenta de suporte fica registrada, com o valor antes e depois; a consulta a uma tabela, sem alteração, não entra nesse registro.
• Segurança conforme a seção 7.
• Apoiar a Clínica no atendimento a titulares, na comunicação de incidentes e em eventual relatório de impacto.
• Devolver ou eliminar ao fim do contrato, conforme a seção 9.

O que cabe à Clínica

Estas obrigações são da controladora e o sistema não as cumpre por ela:

• Ter base legal para cada dado que registra, e informar o titular na coleta.
• Avisar o tutor de que a consulta é gravada e permitir que ele recuse sem prejuízo ao atendimento — e avisar a equipe de que o centro cirúrgico pode ser gravado.
• Manter a política de privacidade da própria clínica — esta aqui é a nossa, não a dela.
• Gerir os acessos da equipe: conceder o mínimo necessário e revogar na saída.
• Não usar conta compartilhada — ela destrói a rastreabilidade do prontuário.
• Responder aos titulares nos prazos da lei, usando as ferramentas de exportação e anonimização que o sistema oferece.
• Não inserir no sistema dado pessoal sem base legal, nem categoria de dado que o serviço não se destina a tratar.
• Definir os prazos de retenção aplicáveis ao seu prontuário e às suas obrigações profissionais.

Suboperadores

A Clínica autoriza, por este Adendo, o uso dos suboperadores abaixo:

O sistema não usa hoje provedor de WhatsApp ou SMS; se passar a usar, ele entra nesta lista com o aviso prévio abaixo. Os fornecedores fora do Brasil fazem desta uma transferência internacional de dados (art. 33 da LGPD).

Mercado Pago, Stone, Cielo e a administração tributária não são suboperadores da Melea: a Clínica os contrata com conta própria, e o sistema só envia a eles o que a cobrança ou a nota fiscal exigem, quando a Clínica liga essa integração.

Antes de incluir ou trocar um suboperador, avisamos com 30 dias de antecedência. Se a Clínica se opuser por motivo fundado de proteção de dados e não houver alternativa técnica, ela pode rescindir o contrato sem ônus.

Respondemos perante a Clínica pelos atos dos suboperadores como se fossem nossos.

Processamento sem sair do país

A escolha do fornecedor de IA vale para toda a plataforma, não para cada clínica, e hoje tanto a transcrição quanto o modelo de linguagem rodam fora do país — assim como a hospedagem, no Canadá. A Clínica que não quiser enviar o conteúdo da consulta para fora pode não usar a gravação, ou pedir que os recursos de inteligência artificial sejam desligados para ela.

Medidas de segurança

Adotamos, no mínimo, as medidas abaixo — todas implementadas, não planejadas:

Isolamento

• Um banco de dados por clínica. O endereço pelo qual a clínica entra escolhe o banco antes de qualquer consulta rodar — não é uma coluna separando clientes na mesma tabela.
• A tela da sala de espera é autenticada por token do aparelho, num endereço próprio, sem sessão de pessoa.

Controle de acesso

• Senha da equipe de no mínimo 10 caracteres, troca a cada 90 dias, sem repetir as 5 últimas; no aplicativo do tutor, no mínimo 8 caracteres.
• Senhas guardadas só como hash (PBKDF2-SHA256).
• Segundo fator por aplicativo autenticador, exigido conforme o perfil, na política da Clínica.
• Cinco tentativas erradas seguidas travam o login por 15 minutos; a administração da Clínica pode destravar antes.
• A sessão carrega a versão da senha: trocá-la invalida imediatamente todos os outros aparelhos.
• Perfis com escopo aplicado no servidor — a API recusa o que o perfil não pode.

Rastreabilidade

• Toda escrita na API é registrada com autor, login, endereço acessado, resultado, aparelho, IP e horário.
• Toda alteração feita pela equipe da Melea pela ferramenta de suporte é registrada, com o valor antes e depois.
• O prontuário é imutável depois de assinado: corrigir é acrescentar.

Ciclo de vida do dado

• O áudio da consulta é apagado quando o prontuário é assinado, ou em até 7 dias depois da gravação. O do centro cirúrgico não é guardado.
• Comunicação cifrada em trânsito.
• Credenciais de maquininhas e meios de pagamento cifradas com AES-256.
• Cópias de segurança do banco de dados, mantidas por 14 dias.
• Exportação e anonimização de cada titular disponíveis dentro do sistema.

Incidentes de segurança

Se ocorrer incidente que possa acarretar risco ou dano relevante aos titulares, nós:

1. Comunicamos a Clínica sem demora injustificada, e em qualquer caso em até 48 horas da confirmação.
2. Descrevemos a natureza do incidente, os dados e titulares afetados, as medidas técnicas adotadas e os riscos envolvidos.
3. Apoiamos a Clínica na comunicação à ANPD e aos titulares — a decisão de comunicar é dela, como controladora.
4. Registramos o incidente e as medidas corretivas, e disponibilizamos o registro a pedido.

A Clínica nos comunica, na mesma velocidade, incidente que identifique do seu lado e que envolva credenciais ou dados tratados no sistema.

Fim do contrato: devolução e eliminação

Encerrado o contrato, por qualquer motivo:

• A Clínica tem 30 dias para pedir a cópia completa dos seus dados, em formato legível por máquina. A cópia é preparada pela Melea; o sistema não a gera sozinho.
• Findo o prazo, eliminamos ou anonimizamos os dados pessoais, inclusive nos suboperadores. As cópias de segurança que ainda os contenham são substituídas em até 14 dias.
• Retemos apenas o que a lei obrigue — documentos fiscais do contrato e registros de auditoria necessários como evidência —, pelo prazo legal e sem outra finalidade.
• A pedido, emitimos declaração de eliminação.

Mediante contratação, o ambiente pode ser mantido em modo somente-leitura por período adicional.

Demonstração de conformidade

A pedido da Clínica, disponibilizamos as informações necessárias para demonstrar o cumprimento deste Adendo — descrição das medidas técnicas, relação de suboperadores e registro de incidentes.

Auditoria presencial ou por terceiro independente pode ser feita uma vez por ano, com aviso de 30 dias, em horário comercial, sob confidencialidade e sem acesso a dado de outras clínicas. Custos correm por conta da Clínica, salvo se a auditoria apurar descumprimento relevante nosso.

Vigência e prevalência

Este Adendo vigora enquanto tratarmos dados por conta da Clínica e sobrevive ao contrato no que for necessário — confidencialidade, eliminação e resposta a incidente.

Em caso de conflito entre este Adendo e os Termos de Uso quanto a proteção de dados, prevalece este Adendo.

Alterações relevantes são comunicadas com 30 dias de antecedência. Quem não concordar pode rescindir sem ônus até a entrada em vigor.