Data Processing Agreement — Versão 1.2 — vigente desde 24 de outubro de 2026
OPERADOR: Luria Soluções em Tecnologia LTDA, CNPJ 68.807.136/0001-41, com sede em Rua João Gomes da Nóbrega, 350 — Vila Nova, Blumenau/SC, CEP 89035-450 ("Luria" ou "Operador"). CONTROLADOR: O Cliente identificado na conta do Luria ("Controlador"). As partes acordam este Acordo de Tratamento de Dados (DPA) nos termos da Lei nº 13.709/2018 (LGPD).
• "Dados Pessoais": quaisquer informações relacionadas a pessoa natural identificada ou identificável • "Dados Sensíveis": dados de saúde, biométricos e outros previstos no Art. 5, II da LGPD • "Tratamento": qualquer operação realizada com dados pessoais • "Titular": pessoa natural a quem se referem os dados pessoais (pacientes da clínica)
Este DPA regula o tratamento de dados pessoais pelo Luria (Operador) em nome e por instrução do Cliente (Controlador), no contexto da prestação dos serviços de gestão clínica.
O Cliente, como Controlador, é responsável por: • Coletar dados pessoais dos pacientes com base legal adequada (consentimento, tutela da saúde, etc.) • Informar os titulares sobre o tratamento de seus dados • Garantir que os dados fornecidos ao Luria são necessários e pertinentes • Atender às solicitações dos titulares quanto aos seus direitos (Art. 18 LGPD) • Cumprir todas as obrigações do Controlador previstas na LGPD
O Luria, como Operador, se compromete a: • Tratar os dados pessoais somente de acordo com as instruções do Controlador • Não compartilhar os dados com terceiros sem autorização, exceto prestadores de serviço necessários • Implementar medidas técnicas e organizacionais adequadas de segurança • Notificar o Controlador em até 72 horas sobre incidentes de segurança que envolvam dados pessoais • Cooperar com as autoridades competentes (ANPD) quando solicitado • Excluir ou devolver os dados ao término do contrato, conforme instrução do Controlador
O Luria contrata os seguintes suboperadores para a prestação dos serviços: • Supabase Inc. — infraestrutura de banco de dados e armazenamento de arquivos • Google LLC — modelos de inteligência artificial (Gemini), quando a clínica usa análise de pele, simulação estética, os recursos de escrita assistida ou a secretária virtual • Meta Platforms, Inc. — WhatsApp Business (Cloud API), quando a clínica conecta o número dela: lembretes e confirmações de consulta e atendimento pela secretária virtual • Asaas Gestão Financeira S.A. — processamento de pagamentos e emissão de cobranças • Resend, Inc. — envio de e-mail transacional • Vercel Inc. — hospedagem da aplicação Todos estão sujeitos a obrigações equivalentes às deste DPA. Alterações nesta lista são comunicadas ao Controlador com 30 dias de antecedência. TRANSFERÊNCIA INTERNACIONAL: estes suboperadores podem processar e armazenar dados em servidores fora do Brasil. As transferências ocorrem com base no art. 33 da LGPD e em cláusulas contratuais de proteção de dados firmadas com cada fornecedor.
Quando o Controlador utiliza os recursos de análise de pele, simulação estética, escrita assistida ou a secretária virtual, o conteúdo submetido — que pode incluir FOTOGRAFIA DO PACIENTE, texto de prontuário e mensagens de pacientes, dados sensíveis nos termos do art. 5º, II da LGPD — é enviado à API do Google LLC para processamento e devolução do resultado. • Na análise de pele, na simulação e na escrita assistida, o envio ocorre somente quando um usuário do Controlador aciona o recurso. • Na secretária virtual, as mensagens que os pacientes mandam ao WhatsApp do Controlador são processadas automaticamente enquanto o Controlador mantiver o recurso ligado. • O processamento é pontual, para devolver o resultado solicitado. • O Luria não utiliza dado de paciente para treinar modelos próprios. • O resultado gerado é uma sugestão de apoio e não substitui avaliação profissional. A decisão clínica permanece integralmente do Controlador. O Controlador, como responsável perante os titulares, deve informar aos seus pacientes que esse tratamento ocorre e assegurar base legal adequada antes de submeter imagens, dados clínicos ou mensagens aos recursos de IA.
Quando o Controlador conecta o número de WhatsApp dele, o Luria envia por esse número lembretes e confirmações de consulta, recebe as respostas dos pacientes e as registra na plataforma, e atende pela secretária virtual quando ela estiver ligada. As mensagens trafegam pela Meta Platforms, Inc. (WhatsApp Business), suboperadora listada no item 6. O Controlador é responsável por ter base legal para contatar seus pacientes por WhatsApp e por respeitar o pedido de quem não quiser mais receber mensagens.
O Luria implementa as seguintes medidas de segurança: • Criptografia de dados em trânsito (TLS 1.3) e em repouso • Controle de acesso baseado em função (RBAC) • Monitoramento e logs de auditoria • Testes regulares de segurança • Backups automáticos com retenção de 30 dias
Em caso de incidente de segurança envolvendo dados pessoais, o Luria notificará o Controlador no prazo máximo de 72 horas após a ciência do incidente, contendo: natureza do incidente, dados afetados, medidas adotadas e recomendações.
O Luria cooperará com o Controlador para possibilitar o atendimento às solicitações dos titulares de dados exercendo seus direitos previstos no Art. 18 da LGPD, incluindo acesso, correção, anonimização e portabilidade.
O Controlador pode solicitar, com aviso prévio de 30 dias, informações sobre as medidas de segurança e práticas de tratamento de dados do Luria, uma vez por ano.
Este DPA vigora pelo mesmo período do contrato principal de prestação de serviços. Com o encerramento do contrato, o Luria excluirá ou devolverá os dados pessoais, conforme orientação do Controlador, no prazo de 30 dias.
Este DPA é regido pela Lei nº 13.709/2018 (LGPD) e legislação brasileira aplicável. Fica eleito o foro da Comarca de Blumenau, Estado de Santa Catarina. Dúvidas sobre este acordo: privacidade@gestaoluria.com.br