Apêndice 3 — Suboperadores
Versão: 1.0. Este Apêndice é versionado separadamente do Acordo-Quadro e se altera nos termos da cláusula 7. A lista vigente está sempre em dentalx.studio/legal/subprocessors.
| # | Suboperador (entidade contratante) | Serviço | Dados da Clínica que recebe | Local do tratamento | Base da transferência | Observações |
|---|---|---|---|---|---|---|
| 1 | Google Cloud / Firebase (Google LLC) [[TO CONFIRM: entidade do Google contratante na conta do Google Cloud da VstreamX]] | Hospedagem, banco de dados, armazenamento de arquivos, login (inclusive as mensagens de texto com o código do segundo fator), funções de servidor, backups, registros de servidor | Todos os Dados da Clínica | Estados Unidos: banco de dados na multirregião dos EUA (nam5); arquivos, funções e backups em us-central1 (Iowa) | Para o Brasil: as Cláusulas-Padrão Contratuais da ANPD (TM-BR), com repasse ao Suboperador; para outros países, o Data Processing Addendum do Google Cloud | Firestore, Cloud Storage e Cloud Functions são abrangidos pelo Business Associate Agreement do Google Cloud. |
| 2 | Google Vertex AI (Gemini) (Google LLC) | As funções de IA que os Usuários de uma clínica escolhem usar | O texto, a imagem ou o documento enviado com cada solicitação de IA | Estados Unidos: o endpoint regional us-central1 (Iowa) do Google Cloud. [[BLOCKING TO CONFIRM: o endpoint regional funciona para todas as clínicas antes da publicação (hoje o código usa por padrão o endpoint global, que pode atender uma solicitação a partir de qualquer país)]] | Como na linha 1 | Nos termos de suas condições do Cloud, o Google não usa os dados para treinar seus modelos. A análise de radiografias está desativada para clínicas dos EUA. |
| 3 | Google Workspace (Gmail) (Google LLC) [[BLOCKING TO CONFIRM: a conta de envio é uma conta do Google Workspace (não uma conta pessoal do Gmail) com o Cloud Data Processing Addendum do Google aceito; uma conta pessoal do Gmail não pode ser Suboperador]] | Lembretes, chamadas de retorno, links de consentimento, receitas e planos de tratamento enviados por e-mail | O e-mail do destinatário e a mensagem, com o PDF anexo quando houver | Estados Unidos e os demais países onde o Google armazena dados do Workspace, conforme suas páginas de suboperadores e de localização de dados do Workspace | Como na linha 1 (Cloud Data Processing Addendum do Google aplicado ao Google Workspace) | Um único endereço remetente do DentalX envia por todas as clínicas. |
| 4 | Meta (WhatsApp Business Platform) (Meta Platforms, Inc. / WhatsApp LLC) [[TO CONFIRM: entidade da Meta contratante e condições de tratamento aceitas]] | Lembretes, chamadas de retorno e caixa de entrada bidirecional por WhatsApp, para as clínicas que enviam pela conta do WhatsApp Business do próprio DentalX | O telefone do paciente, as mensagens enviadas e recebidas, e os arquivos enviados pelo paciente | Estados Unidos e outros países onde a Meta opera | Como na linha 1 | Não disponível para clínicas dos EUA. A clínica que conecta sua própria conta do WhatsApp Business o faz nos termos de seu próprio acordo com a Meta; essa conta não é um Suboperador. |
| 5 | Google reCAPTCHA (Google LLC) | Verificar que há uma pessoa diante do navegador quando um Usuário configura ou usa um segundo fator por mensagem de texto | Informações do navegador e do dispositivo enviadas pelo navegador; nenhum dado de paciente | Estados Unidos e outros países onde o Google opera | Como na linha 1 | Carregado somente nas telas em que se configura ou usa um segundo fator por mensagem de texto. |
Não são Suboperadores:
- A Stripe processa o faturamento próprio da VstreamX e não recebe Dados da Clínica.
- Os serviços que a própria Clínica conecta regem-se pelo acordo próprio da Clínica com o respectivo provedor: seu próprio Google Agenda e sua própria conta do WhatsApp Business.
- A OpenAI não é chamada pelo Serviço. Se a VstreamX vier a habilitá-la, aplica-se previamente a cláusula 7.3 e, para o Brasil, a cláusula 7.5.
Índice de Anexos (Brasil)
Para as Clínicas do Brasil, integram este Acordo:
- o TM-BR, isto é, as Cláusulas-Padrão Contratuais da ANPD (Resolução CD/ANPD nº 19/2024, Anexo II), adotadas integralmente e sem alteração; e
- o ANX-BR, o Anexo Brasil.
Ver annex-br.md. O índice completo para os demais países está na versão inglesa (../mdpa.md).
Pontos a confirmar antes da publicação
São os mesmos 21 pontos da versão inglesa (../mdpa.md). São eles:
- A data de publicação.
- A remoção automática de versões de arquivos na data de eliminação.
- A lista de supressão do WhatsApp por clínica, eliminada com os Dados da Clínica.
- O endereço de privacidade dedicado e o escritório externo de privacidade (inclusive o encarregado para o Brasil).
- O representante na UE.
- O representante no Reino Unido.
- A data da fase B′.
- A data de conclusão da varredura de selagem.
- A cópia da chave fora da plataforma.
- A custódia da chave em Cloud EKM/HSM.
- A verificação em duas etapas dos administradores.
- O registro de toda leitura.
- Os compromissos de confidencialidade e o treinamento.
- A ausência de certificação própria.
- A entidade contratante do Google.
- As listagens no DPF do Google e da Meta.
- Bloqueante: o endpoint regional do Vertex AI.
- Bloqueante: a conta do Google Workspace do remetente, com o Cloud Data Processing Addendum.
- A entidade contratante e as condições da Meta.
- A correspondência das condições de cada Suboperador com o artigo 28(3) do RGPD e com as cláusulas da ANPD (cláusula 7.2).
- A eliminação ou anonimização da trilha de auditoria na data de eliminação (cláusula 14.5(c)).