Acordo-Quadro de Tratamento de Dados

Acordo-Quadro de Tratamento de Dados do DentalX

ID do documento: MDPA · Versão: 1.0 · Idioma: português (Brasil) · Data de vigência: [[TO CONFIRM: data de publicação da v1.0]] Situação: minuta final para revisão dos assessores jurídicos. Ainda não publicada.

Texto autêntico. Esta versão em português é o texto autêntico para as Clínicas do Brasil (cláusula 22).

Convenções de redação. O texto entre «aspas angulares» é um campo de mesclagem: o servidor do DentalX o preenche com os dados do cadastro ou da aceitação antes de exibir o documento, e o texto preenchido é o que é resumido (hash) e registrado. O texto entre [[TO CONFIRM: …]] é um fato ainda não conhecido; todos estão listados ao final. Nenhum dos dois aparece em uma versão publicada.

Partes

1. «Clinic legal name», «Clinic tax identifier type» «Clinic tax identifier», com endereço em «Clinic address», «Country» (a "Clínica"); e
2. VstreamX Studio Inc., sociedade constituída segundo as leis da Província de Manitoba, Canadá, com sede em Office B – 1043 Rosser Ave, Brandon, Manitoba R7A 0L5, Canadá ("VstreamX").

Cada uma, uma "Parte".

Considerandos

A. A VstreamX presta o DentalX, um serviço de software em nuvem para a gestão de clínicas odontológicas, nos termos dos Termos de Serviço do DentalX (os "Termos").

B. Ao prestar o DentalX, a VstreamX trata, em nome da Clínica, dados pessoais dos pacientes da Clínica e de outras pessoas, inclusive dados de saúde.

C. As leis aplicáveis à Clínica exigem um acordo escrito com o prestador que trata dados pessoais, em especial informações pessoais de saúde, em nome da Clínica. Este Acordo é esse acordo. Quando uma lei prescreve um conteúdo que este Acordo não contém, o Anexo de País ou o Instrumento de Transferência correspondente ao país da Clínica o fornece.

D. As Partes, portanto, acordam o seguinte.

1. Definições e interpretação

1.1 Definições. Neste Acordo:

• "Acordo" significa este Acordo-Quadro de Tratamento de Dados, seus Apêndices e os Anexos de País e Instrumentos de Transferência que se aplicam à Clínica nos termos da cláusula 2.3.
• "Legislação de Proteção de Dados Aplicável" significa toda lei e regulamento sobre privacidade, proteção de dados, informações de saúde ou sigilo profissional aplicável ao tratamento dos Dados da Clínica nos termos deste Acordo, incluindo, na medida em que se apliquem: a Lei nº 13.709/2018 ("LGPD") e as resoluções da ANPD; o Regulamento Geral sobre a Proteção de Dados da UE 2016/679 ("RGPD"); a Personal Information Protection and Electronic Documents Act do Canadá ("PIPEDA") e as leis provinciais citadas nos Anexos canadenses; e as leis latino-americanas citadas nos Anexos de País.
• "Dados da Clínica" significa todos os Dados Pessoais que a VstreamX trata em nome da Clínica na prestação do Serviço. Incluem os Dados de Pacientes e os dados pessoais da equipe da Clínica que esta mantém no DentalX. Não incluem os Dados de Conta.
• "Dados de Conta" significa os dados pessoais que a VstreamX trata como controladora independente para gerir sua relação com a Clínica: nomes, e-mails, funções e registros de acesso e segurança dos Usuários; contatos de cobrança; e a correspondência de suporte. A Política de Privacidade da VstreamX rege os Dados de Conta.
• "Dados de Pacientes" tem o significado que lhe dão os Termos. Incluem informações de saúde, consultas, tratamentos, odontogramas, radiografias, fotografias, documentos, termos de consentimento e sua evidência de assinatura, receitas, faturas e mensagens trocadas com a Clínica.
• "Anexo de País" significa um anexo a este Acordo para um país ou uma província canadense, listado na Parte B do Índice de Anexos.
• "Instrumento de Transferência" significa um conjunto de cláusulas contratuais padrão, ou um contrato-modelo adotado por uma autoridade pública, que as Partes celebram por meio deste Acordo: as Cláusulas Contratuais-Tipo da UE (TM-EEA), o Adendo de Transferência Internacional de Dados do Reino Unido (TM-UK), as Cláusulas-Padrão Contratuais da ANPD (TM-BR) e o contrato-modelo argentino (TM-AR).
• "Titular" significa a pessoa natural identificada ou identificável a quem se referem os Dados da Clínica.
• "Instruções" tem o significado que lhe dá a cláusula 3.1.
• "Dados Pessoais" significa toda informação relacionada a um Titular, e inclui "dados pessoais", "informações pessoais de saúde", "datos personales" e "renseignements personnels" conforme definidos pela Legislação de Proteção de Dados Aplicável.
• "Incidente com Dados Pessoais" significa toda violação de segurança que provoque a destruição, perda ou alteração acidental ou ilícita de Dados da Clínica tratados pela VstreamX ou por um Suboperador, ou a comunicação ou o acesso não autorizados a eles. Inclui o "incidente de segurança" da LGPD e as figuras equivalentes da Legislação de Proteção de Dados Aplicável.
• "Incidente de Segurança" significa um Incidente com Dados Pessoais, ou uma tentativa ou suspeita de incidente que a VstreamX razoavelmente considere capaz de comprometer os Dados da Clínica.
• "Serviço" significa o DentalX, conforme definido nos Termos.
• "Suboperador" significa o terceiro que a VstreamX contrata para tratar Dados da Clínica. Os Suboperadores na data de vigência estão listados no Apêndice 3.
• "Autoridade de Proteção de Dados" significa a autoridade pública competente em matéria de proteção de dados ou de supervisão de informações de saúde em relação à Clínica ou à VstreamX.
• "Usuários" tem o significado que lhe dão os Termos.

1.2 Denominação dos papéis. A Legislação de Proteção de Dados Aplicável usa nomes diferentes para os mesmos papéis. Neste Acordo, "controlador" e "operador" designam os papéis desta tabela, qualquer que seja o nome usado pela lei da Clínica.

1.3 Interpretação. "Inclusive" e "incluindo" significam sem caráter limitativo. Os títulos não afetam o significado. A referência a uma lei inclui essa lei conforme alterada ou substituída. "Dia útil" significa qualquer dia que não seja sábado, domingo ou feriado em Manitoba. "Por escrito" inclui o e-mail e os avisos dados no Serviço.

2. Âmbito, estrutura e formação

2.1 Âmbito. Este Acordo se aplica a todo tratamento de Dados da Clínica pela VstreamX e por seus Suboperadores na prestação do Serviço à Clínica. Complementa a seção 8 dos Termos. Em caso de conflito, a cláusula 19 define qual prevalece.

2.2 Estados Unidos. Este Acordo não se aplica a uma Clínica cujo país registrado no Serviço seja os Estados Unidos. O Business Associate Agreement do DentalX rege os Dados da Clínica dessas Clínicas.

2.3 Anexos aplicáveis. Os Anexos de País e Instrumentos de Transferência que integram este Acordo para a Clínica são os listados para o país da Clínica (e, no Canadá, sua província) no Índice de Anexos, conforme registrados no certificado de aceitação da Via Assinada. O anexo de outro país não se aplica à Clínica.

2.4 Formação. Este Acordo se forma quando o signatário autorizado da Clínica o aceita eletronicamente no Serviço. A VstreamX o aceita previamente: sua assinatura eletrônica, por um diretor autorizado, consta do certificado de aceitação. A aceitação eletrônica tem o mesmo efeito de uma assinatura manuscrita, nos termos da cláusula 25.2.

2.5 Via Assinada. Com a aceitação, a VstreamX gera um PDF com o texto integral aceito, os campos de mesclagem preenchidos e um certificado de aceitação (a "Via Assinada"). A VstreamX o envia por e-mail ao signatário e ao endereço do proprietário da Clínica, e o mantém disponível em Configurações › Jurídico no Serviço enquanto a Clínica tiver uma conta, e depois mediante solicitação.

3. Instruções

3.1 Instruções documentadas. A VstreamX trata os Dados da Clínica somente segundo as instruções documentadas da Clínica (as "Instruções"). As Instruções são:

• (a) este Acordo e os Termos;
• (b) a configuração e o uso do Serviço pela Clínica por meio de seus Usuários, incluindo as funções que ativa, as mensagens que envia, os pacientes que cria e as exportações e exclusões que realiza; e
• (c) qualquer outra instrução escrita do proprietário da Clínica que seja compatível com os Termos e que a VstreamX aceite por escrito.

3.2 Tratamento exigido por lei. A VstreamX só trata os Dados da Clínica de outra forma quando uma lei a que esteja sujeita o exigir. Nesse caso, informa a Clínica dessa exigência legal antes do tratamento, salvo se essa lei o proibir por motivos importantes de interesse público.

3.3 Instruções ilícitas. A VstreamX informa imediatamente a Clínica se, em sua opinião, uma Instrução infringir a Legislação de Proteção de Dados Aplicável. A VstreamX pode suspender o tratamento afetado até que a Clínica confirme ou altere a Instrução. Ao fazê-lo, a VstreamX não presta assessoria jurídica à Clínica.

3.4 Responsabilidades da Clínica. A Clínica é responsável pela licitude das Instruções e de seu tratamento. Em especial, a Clínica:

• (a) dispõe da base legal, e de todo consentimento exigido por lei, para os Dados da Clínica que insere e para o tratamento que o Serviço realiza em seu nome, incluindo o armazenamento nos Estados Unidos descrito na cláusula 13;
• (b) presta a seus pacientes as informações exigidas pela Legislação de Proteção de Dados Aplicável, inclusive a de que seus dados são tratados por um prestador de serviços e armazenados fora do país da Clínica;
• (c) decide por quanto tempo os Dados da Clínica são conservados, nos termos da cláusula 15; e
• (d) cumpre as providências que sua lei lhe exige e que nenhum acordo com a VstreamX pode cumprir por ela, conforme listadas no Anexo de País (por exemplo, uma avaliação de impacto, um registro ou uma comunicação a uma autoridade).

4. Limitação da finalidade e vedação ao uso para fins próprios da VstreamX

4.1 A VstreamX trata os Dados da Clínica somente para prestar, proteger e dar suporte ao Serviço para a Clínica, e conforme permitido pela cláusula 3.2.

4.2 A VstreamX não pratica, e garante que seus Suboperadores não pratiquem, nenhuma das seguintes condutas:

• (a) vender, alugar ou licenciar Dados da Clínica, ou comunicá-los a qualquer pessoa para os fins próprios dessa pessoa;
• (b) usar Dados da Clínica para publicidade, marketing, perfilamento ou análises próprias;
• (c) usar Dados da Clínica, ou qualquer resultado deles derivado, para treinar, ajustar, avaliar ou de outro modo aprimorar qualquer modelo de inteligência artificial, próprio ou de terceiro;
• (d) criar dados desidentificados, anonimizados ou agregados a partir de Dados da Clínica para uso próprio. Isso não impede o tratamento que a própria Clínica realiza no Serviço, como anonimizar um paciente por instrução da Clínica; ou
• (e) combinar Dados da Clínica com dados pessoais de outras clínicas ou de outras fontes, salvo na medida em que o uso do Serviço pela própria Clínica o exija.

4.3 Se a VstreamX determinasse as finalidades ou os meios de um tratamento de Dados da Clínica em violação deste Acordo, seria controladora desse tratamento, com a responsabilidade daí decorrente (cláusula 17.2(c)).

4.4 Dados de funcionamento do Serviço. A VstreamX pode tratar as métricas técnicas e de uso, os relatórios de erros e os registros de servidor gerados pelo Serviço, somente para operar e proteger o Serviço para a Clínica e corrigir suas falhas. Não os usa para nenhuma outra finalidade própria, incluindo o desenvolvimento de produtos, análises ou comparações com terceiros. Não são conservados por mais tempo do que o indicado no Apêndice 2. A VstreamX mantém os Dados da Clínica fora deles na medida do razoavelmente possível, e não os usa para identificar nem perfilar qualquer Titular.

5. Confidencialidade e sigilo profissional

5.1 A VstreamX mantém a confidencialidade dos Dados da Clínica.

5.2 A VstreamX só permite o acesso aos Dados da Clínica aos seus colaboradores que precisem dele para operar, proteger ou dar suporte ao Serviço, ou para atender a uma solicitação da Clínica, e somente na medida em que precisem.

5.3 Cada um desses colaboradores fica vinculado, antes de receber o acesso, a uma obrigação escrita de confidencialidade. Essa obrigação é equivalente ao sigilo profissional que vincula os profissionais de saúde da Clínica. Abrange todas as informações de saúde e subsiste após o término do trabalho da pessoa para a VstreamX.

5.4 Cada Suboperador está vinculado, por meio de seu contrato com a VstreamX, às obrigações de confidencialidade que o Apêndice 3 registra para ele, e os Dados da Clínica são protegidos em seu poder pela criptografia descrita no Apêndice 2. A VstreamX não declara que um Suboperador esteja sujeito a sigilo profissional, ou a obrigação de sigilo equivalente, salvo se o Apêndice 3 o indicar. A VstreamX permanece responsável por cada Suboperador nos termos da cláusula 7.6.

5.5 O console administrativo do DentalX não exibe prontuários de pacientes à equipe de suporte da VstreamX. As pessoas que administram o projeto do Google Cloud da VstreamX podem tecnicamente acessar os dados armazenados. Só o fazem para manter o Serviço em funcionamento ou seguro, a pedido da Clínica ou quando a lei o exigir, e cada acesso é registrado nos termos do Apêndice 2.

5.6 Esta cláusula 5 subsiste sem limite de tempo após o término deste Acordo.

6. Segurança

6.1 A VstreamX implementa e mantém as medidas técnicas e administrativas do Apêndice 2. Considerando o estado da técnica, os custos de implementação, a natureza, o âmbito, o contexto e as finalidades do tratamento, e os riscos para os Titulares, essas medidas asseguram um nível de segurança adequado ao risco, inclusive para dados de saúde.

6.2 A VstreamX pode atualizar as medidas. Nenhuma atualização deve reduzir o nível geral de proteção dos Dados da Clínica durante a vigência. A VstreamX publica as alterações relevantes com o Apêndice 2 vigente.

6.3 Criptografia e custódia de chaves. O Apêndice 2 indica quais Dados da Clínica são criptografados por campo, com qual algoritmo e onde as chaves são guardadas. Indica também contra o que essa criptografia protege e contra o que não protege. A VstreamX não apresenta a criptografia como proteção contra o acesso de seu provedor de hospedagem, salvo se as chaves estiverem fora do controle desse provedor.

6.4 Autenticação multifator. A VstreamX disponibiliza a autenticação multifator a todos os Usuários. Quando um Anexo de País ou a Legislação de Proteção de Dados Aplicável o exigir, a VstreamX a torna obrigatória para os Usuários dessa Clínica.

6.5 A parte da segurança que cabe à Clínica. A Clínica é responsável por:

• (a) a segurança de seus próprios dispositivos e redes;
• (b) atribuir a cada Usuário a função mínima de que precisa, e retirar o acesso prontamente quando ele deva terminar;
• (c) exigir a autenticação multifator quando sua lei ou seu risco o exigir;
• (d) a confidencialidade das credenciais de seus Usuários; e
• (e) a segurança de qualquer conta própria que conecte ao Serviço (por exemplo, seu próprio Google Agenda ou sua própria conta do WhatsApp Business), que não é um Suboperador.

7. Suboperadores

7.1 Autorização geral. A Clínica concede à VstreamX autorização geral por escrito para contratar Suboperadores. A Clínica autoriza especificamente os Suboperadores listados no Apêndice 3 na data de vigência.

7.2 Repasse contratual de obrigações. A VstreamX contrata cada Suboperador somente por meio de contrato escrito que lhe impõe as mesmas obrigações de proteção de dados que este Acordo impõe à VstreamX, no que se refere ao tratamento realizado pelo Suboperador. No mínimo, esse contrato vincula o Suboperador a cada uma das matérias do artigo 28(3), alíneas (a) a (h), do RGPD: instruções, confidencialidade, segurança, condições para contratar outros suboperadores, assistência com as solicitações dos titulares e com a segurança, os incidentes e as avaliações, eliminação ou devolução ao término, e informação e auditoria. Para o Brasil, esse contrato também vincula o Suboperador às salvaguardas das Cláusulas-Padrão Contratuais da ANPD, como exige o TM-BR. O Apêndice 3 indica, para cada Suboperador, as condições contratuais que o fazem. A VstreamX não direciona os dados de uma Clínica a um Suboperador cujo contrato não cumpra esta cláusula. [[TO CONFIRM: correspondência do Data Processing Addendum do Google Cloud, das condições de tratamento do Google Workspace e das condições de tratamento do WhatsApp Business da Meta com o artigo 28(3)(a)–(h) do RGPD e com as cláusulas da ANPD, registrada no Apêndice 3]]

7.3 Aviso de alterações. A VstreamX publica todo Suboperador novo ou substituto que vá tratar Dados da Clínica na página de suboperadores do DentalX pelo menos 30 dias antes de ele começar a tratá-los. Também o notifica ao proprietário da Clínica por e-mail e no Serviço. O aviso indica o nome do Suboperador, seu serviço, sua localização e o mecanismo de transferência.

7.4 Oposição. A Clínica pode se opor à alteração por motivos razoáveis relacionados à proteção de dados, por escrito, antes que a alteração produza efeitos. As Partes discutirão a oposição de boa-fé. Se não conseguirem resolvê-la, a Clínica pode rescindir o Serviço afetado antes que a alteração produza efeitos. Nesse caso, mantém seu direito de exportar seus dados nos termos da cláusula 14, e a VstreamX reembolsa as tarifas pagas antecipadamente pelo período posterior à rescisão.

7.5 Consentimento expresso quando a lei o exigir. Quando um Anexo de País ou um Instrumento de Transferência exigir o consentimento prévio, específico ou escrito da Clínica para um novo Suboperador, a VstreamX solicita esse consentimento no Serviço antes de direcionar os dados da Clínica ao novo Suboperador. Se a Clínica não consentir, a VstreamX não direciona seus dados a ele. Se isso não for tecnicamente viável, a VstreamX oferece à Clínica, antes que a alteração produza efeitos, a rescisão com exportação e o reembolso da cláusula 7.4.

7.6 Responsabilidade pelos Suboperadores. A VstreamX permanece plenamente responsável perante a Clínica pelo cumprimento das obrigações de cada Suboperador, como se fossem suas.

7.7 Suspensão emergencial. Se o tratamento por um Suboperador colocar em risco a segurança dos Dados da Clínica, a VstreamX pode suspender imediatamente o envio de Dados da Clínica a esse Suboperador, e notifica a Clínica o quanto antes. A suspensão não acrescenta nenhum novo destinatário dos Dados da Clínica. Todo Suboperador novo ou substituto é contratado somente nos termos da cláusula 7.3, ou da cláusula 7.5 quando aplicável, com o aviso prévio completo e o direito de oposição ou de consentimento que essas cláusulas conferem.

8. Assistência com as solicitações dos Titulares

8.1 Autoatendimento. O Serviço permite ao proprietário e aos gerentes da Clínica exportar, corrigir, excluir e anonimizar o prontuário de um paciente, e exportar todos os dados da Clínica, em formatos estruturados, de uso comum e legíveis por máquina. A maioria das solicitações dos Titulares pode, portanto, ser atendida pela Clínica sem a VstreamX.

8.2 Assistência adicional. Quando a Clínica precisar de informação ou de providência que só a VstreamX pode fornecer para atender a uma solicitação de um Titular (acesso, correção, eliminação, bloqueio, portabilidade, oposição, revogação do consentimento ou qualquer direito equivalente nos termos da Legislação de Proteção de Dados Aplicável, incluindo os direitos do art. 18 da LGPD), a VstreamX a fornece em até 5 dias úteis a contar da solicitação escrita da Clínica, ou antes, se o Anexo de País o exigir.

8.3 Solicitações recebidas pela VstreamX. Se a VstreamX receber diretamente de um Titular uma solicitação sobre Dados da Clínica, ela a encaminha à Clínica em até 2 dias úteis e não a responde, salvo para confirmar o encaminhamento ou quando a lei exigir que a VstreamX responda.

8.4 A assistência prevista nesta cláusula é prestada sem custo adicional.

9. Incidentes com Dados Pessoais

9.1 Notificação à Clínica. A VstreamX notifica a Clínica de todo Incidente com Dados Pessoais que afete Dados da Clínica sem demora injustificada após tomar conhecimento dele. Em qualquer caso, a VstreamX dá uma notificação inicial em até 24 horas após ter estabelecido, com grau razoável de certeza, que ocorreu um Incidente com Dados Pessoais e que ele afeta Dados da Clínica. Quando um Anexo de País fixar prazo mais curto ou marco inicial anterior, aplica-se esse Anexo.

9.2 Conteúdo. A notificação descreve, na medida do que for conhecido no momento:

• (a) a natureza do incidente, incluindo, quando possível, as categorias e o número aproximado de Titulares e de registros afetados;
• (b) o nome e os dados de contato do ponto de contato da VstreamX junto ao qual se podem obter mais informações;
• (c) as consequências prováveis do incidente; e
• (d) as medidas adotadas ou propostas para remediar o incidente e mitigar seus possíveis efeitos adversos.

Quando não for possível fornecer as informações ao mesmo tempo, a VstreamX as fornece por etapas, sem demora injustificada adicional, à medida que se tornem disponíveis.

9.3 Assistência. A VstreamX:

• (a) adota medidas razoáveis para conter, investigar e remediar o incidente;
• (b) assiste a Clínica na comunicação às Autoridades de Proteção de Dados e aos Titulares quando a Clínica deva fazê-la, inclusive fornecendo as informações que detém e, a pedido da Clínica, uma minuta das seções factuais dessas comunicações; e
• (c) não comunica o incidente aos pacientes da Clínica nem à Autoridade de Proteção de Dados da Clínica em nome desta sem instrução da Clínica, salvo se a lei exigir que a VstreamX o faça.

9.4 Deveres próprios da VstreamX. Nada nesta cláusula limita um dever que a lei imponha à própria VstreamX, como seus deveres como organização nos termos da PIPEDA ou o dever próprio de comunicação de um operador nos termos da Legislação de Proteção de Dados Aplicável. Quando a VstreamX tiver de comunicar em nome próprio, informa a Clínica antes, quando a lei o permitir.

9.5 Registro. A VstreamX mantém um registro de todo Incidente com Dados Pessoais que afete Dados da Clínica: os fatos, seus efeitos e as medidas corretivas adotadas. Conserva cada entrada por pelo menos 24 meses, ou por mais tempo se a lei o exigir. Mediante solicitação, entrega à Clínica as entradas que lhe dizem respeito.

9.6 Destinatários. As notificações previstas nesta cláusula são enviadas ao e-mail do proprietário da Clínica e ao contato de privacidade que a Clínica registrar no Serviço, e aparecem no Serviço. Um Anexo de País pode exigir um endereço adicional.

9.7 Sem reconhecimento. A notificação prevista nesta cláusula não constitui reconhecimento de culpa nem de responsabilidade.

10. Avaliações de impacto e consulta prévia

10.1 A VstreamX presta à Clínica assistência razoável em qualquer relatório de impacto à proteção de dados pessoais, avaliação de impacto à privacidade ou avaliação de impacto de transferências, e em qualquer consulta prévia a uma Autoridade de Proteção de Dados, que a Legislação de Proteção de Dados Aplicável exija da Clínica para o tratamento previsto neste Acordo. A obrigação se limita às informações que a VstreamX detém.

10.2 A VstreamX disponibiliza no Serviço, sem custo, um pacote de avaliação contendo:

• (a) uma descrição do tratamento e dos fluxos de dados;
• (b) os Apêndices 1 a 3;
• (c) um resumo da avaliação de impacto de transferências da VstreamX quanto às transferências da cláusula 13; e
• (d) para as províncias e os países que a exigem, um modelo pré-preenchido no formato usado pela autoridade local.

11. Registros e apoio a cadastros

11.1 A VstreamX mantém registro das categorias de tratamento que realiza em nome da Clínica, com o conteúdo exigido pelo art. 37 da LGPD, pelo art. 30(2) do RGPD e por qualquer Legislação de Proteção de Dados Aplicável equivalente. A VstreamX o disponibiliza a uma Autoridade de Proteção de Dados que o solicite.

11.2 Quando a Clínica deva registrar um banco de dados ou um arquivo, ou descrever seus operadores ou suas transferências perante uma autoridade, a VstreamX fornece, mediante solicitação, as informações sobre a VstreamX e seus Suboperadores que o registro exige: identidade, localização, tratamento, transferências e segurança.

12. Auditorias e informações de conformidade

12.1 Informações. A VstreamX disponibiliza à Clínica todas as informações necessárias para demonstrar o cumprimento deste Acordo. Faz isso primeiro por meio de:

• (a) os Apêndices 1 a 3 e o pacote de avaliação;
• (b) respostas escritas aos questionários razoáveis de segurança e privacidade da Clínica, uma vez por ano ou após um Incidente com Dados Pessoais; e
• (c) resumos das certificações independentes e dos relatórios de auditoria de seu Suboperador de hospedagem, e cópias quando as condições desse Suboperador o permitirem.

12.2 Auditorias. Quando essas informações não bastarem para demonstrar o cumprimento, ou quando uma Autoridade de Proteção de Dados o exigir, a VstreamX permite e contribui para auditorias, inclusive inspeções, realizadas pela Clínica ou por auditor independente por ela designado, nas seguintes condições:

• (a) Aviso prévio: pelo menos 30 dias de aviso prévio por escrito, salvo após um Incidente com Dados Pessoais ou a pedido de uma Autoridade de Proteção de Dados.
• (b) Frequência: no máximo uma vez em qualquer período de 12 meses, salvo após um Incidente com Dados Pessoais ou a pedido de uma Autoridade de Proteção de Dados.
• (c) Condução: em horário comercial e sem comprometer a segurança do Serviço nem a confidencialidade dos dados de outras clínicas. O auditor fica sujeito a confidencialidade e não é concorrente da VstreamX.
• (d) Suboperadores: a auditoria de um Suboperador se realiza por meio dos direitos de auditoria e dos relatórios que o Suboperador disponibiliza à VstreamX.
• (e) Custos: cada Parte arca com seus próprios custos. Se a auditoria revelar descumprimento relevante deste Acordo pela VstreamX, a VstreamX arca com os custos razoáveis da auditoria.

12.3 Autoridades. A VstreamX coopera com qualquer Autoridade de Proteção de Dados competente em relação à Clínica no exercício de suas funções, e se submete à auditoria dessa autoridade quando a Legislação de Proteção de Dados Aplicável o exigir.

12.4 Correção. A VstreamX corrige prontamente qualquer descumprimento deste Acordo revelado por uma auditoria, e informa a Clínica do que fez.

13. Transferências internacionais

13.1 Onde os Dados da Clínica são tratados. Na data de vigência:

• o banco de dados é armazenado na multirregião dos Estados Unidos do Google Cloud;
• os arquivos, as funções de servidor e os backups estão na região us-central1 do Google Cloud (Iowa, Estados Unidos);
• as solicitações às funções de IA são tratadas pelo Google Vertex AI na região do Google Cloud indicada na linha 2 do Apêndice 3;
• o e-mail é tratado pelo Google nos termos das condições do Google Workspace indicadas na linha 3 do Apêndice 3, e as mensagens de WhatsApp pela Meta, nos países indicados no Apêndice 3; e
• a equipe da VstreamX acessa o Serviço a partir do Canadá.

O Apêndice 3 indica a localização de cada Suboperador.

13.2 Instrução de transferir. Ao aceitar este Acordo, a Clínica instrui a VstreamX a transferir os Dados da Clínica para as localizações da cláusula 13.1 e do Apêndice 3, e a tratá-los nelas.

13.3 Mecanismo de transferência. Cada transferência de Dados da Clínica restringida pela Legislação de Proteção de Dados Aplicável é realizada segundo o mecanismo previsto no Anexo de País ou no Instrumento de Transferência da Clínica. Para Quebec, a comunicação para fora de Quebec é feita nos termos do ANX-CA-QC. A VstreamX garante que cada transferência posterior a um Suboperador seja realizada segundo um mecanismo reconhecido pela lei da Clínica, e o registra no Apêndice 3.

13.4 Alteração de mecanismo. Se um mecanismo de transferência for invalidado, suspenso ou deixar de abranger uma transferência, a VstreamX, prontamente:

• informa a Clínica;
• implementa um mecanismo alternativo reconhecido pela lei da Clínica, que pode ser um Instrumento de Transferência já integrante deste Acordo; e
• se nenhuma alternativa estiver disponível em prazo razoável, oferece à Clínica a rescisão com exportação e o reembolso da cláusula 7.4.

13.5 Impacto das transferências. A VstreamX mantém uma avaliação de impacto das transferências, que analisa as leis dos Estados Unidos aplicáveis a seus Suboperadores e aos Dados da Clínica, e as medidas suplementares do Apêndice 2. Entrega à Clínica um resumo como parte do pacote de avaliação, e a atualiza quando ocorrer alteração relevante.

14. Devolução e eliminação

Esta cláusula reproduz e implementa as seções 8.11 e 13 dos Termos. Quando um Anexo de País dispuser de outro modo, aplica-se esse Anexo.

14.1 Exportação a qualquer momento. O proprietário e os gerentes da Clínica podem exportar os dados da Clínica a qualquer momento, inclusive após um cancelamento e durante uma suspensão. A exportação contém os registros de pacientes, clínicos, financeiros e de mensagens, as configurações e os modelos, e uma lista dos arquivos armazenados (radiografias, fotografias, documentos e termos de consentimento assinados). Cada arquivo pode ser aberto e baixado no Serviço até que os dados da Clínica sejam eliminados, salvo enquanto a Clínica estiver suspensa. O arquivo de exportação criado pela Clínica é excluído dos servidores da VstreamX sete dias após ser gerado.

14.2 Após o término da assinatura.

• (a) Durante os 60 dias seguintes ao término da assinatura, a VstreamX conserva todos os Dados da Clínica, e a Clínica pode exportá-los.
• (b) Passados esses 60 dias, a VstreamX prepara uma exportação completa dos dados da Clínica e a disponibiliza ao proprietário da Clínica.
• (c) Quando tiverem transcorrido 90 dias do término da assinatura sem uma nova, a VstreamX elimina os Dados de Pacientes da Clínica em até 30 dias.
• (d) A VstreamX informa ao proprietário da Clínica por e-mail, com pelo menos 30 dias de antecedência, a data em que a eliminação ocorrerá.
• (e) A eliminação dos dados da Clínica também exclui a exportação completa, de modo que a Clínica deve baixá-la antes dessa data.

14.3 Eliminação por instrução. Quando o proprietário da Clínica instruir a VstreamX por escrito a eliminar os Dados de Pacientes da Clínica, a VstreamX disponibiliza a exportação completa e elimina os dados 30 dias após receber a instrução, salvo se esta indicar data posterior.

14.4 Devolução em lugar de eliminação. À escolha da Clínica, a exportação completa prevista nas cláusulas 14.2(b) ou 14.3 constitui a devolução dos Dados da Clínica. A VstreamX não conserva cópia alguma após a eliminação, salvo o permitido pela cláusula 14.5.

14.5 O que subsiste após a eliminação.

• (a) Backups. Os dados eliminados permanecem nos backups do banco de dados da VstreamX até expirarem, em até sete dias após a eliminação. Até lá, os backups permanecem sujeitos às proteções deste Acordo e só são usados para recuperação após falhas.
• (b) Histórico de versões de arquivos. As versões anteriores de arquivos eliminados são removidas do histórico de versões do serviço de armazenamento como parte da eliminação, na data de eliminação. [[TO CONFIRM: a remoção automática das versões não atuais na data de eliminação está em funcionamento; até lá, a VstreamX as remove manualmente em cada eliminação, e esta frase deve ser verdadeira antes da publicação]]
• (c) Trilha de auditoria. A trilha de auditoria da Clínica faz parte dos Dados da Clínica. Ela é incluída na exportação completa, de modo que a Clínica a conserva como registro próprio. Na data de eliminação, a VstreamX elimina sua cópia, ou conserva somente contagens agregadas que não permitem identificar nenhum paciente, Usuário ou outra pessoa. [[TO CONFIRM: implementação no produto da eliminação ou anonimização da trilha de auditoria na data de eliminação]]
• (d) Registros de descadastro do WhatsApp. Quando um paciente respondeu STOP ou START a mensagens enviadas em nome da Clínica pelo número compartilhado de WhatsApp do DentalX, essa escolha faz parte dos Dados da Clínica. Ela é respeitada enquanto a Clínica usa o Serviço e é eliminada com os demais Dados da Clínica na data de eliminação. Nunca é usada para outra clínica nem para outra finalidade. [[TO CONFIRM: implementação no produto de uma lista de supressão por clínica, eliminada na data de eliminação]]
• (e) Dados que a lei obriga a VstreamX a conservar. A VstreamX conserva Dados da Clínica após a data de eliminação somente quando uma lei a obrigue a conservá-los, somente pelo tempo exigido por essa lei, e os protege nos termos deste Acordo até sua eliminação. Para uma Clínica do EEE, essa lei deve ser o direito da União ou de um Estado-Membro; para uma Clínica do Reino Unido, o direito do Reino Unido; para uma Clínica de Quebec, nada é conservado com base nesta alínea. Os registros contratuais próprios da VstreamX (o registro de aceitação e a Via Assinada) não são Dados da Clínica e são conservados conforme a cláusula 2.5 e a Política de Privacidade.

14.6 Conservação exigida da Clínica. Os Dados da Clínica que a lei obriga a Clínica a conservar (por exemplo, prontuários) são devolvidos à Clínica por meio da exportação. A VstreamX não os conserva em nome da Clínica após a data de eliminação, salvo se as Partes acordarem por escrito um serviço de arquivamento separado.

14.7 Certificado. Mediante solicitação, a VstreamX confirma por escrito à Clínica a eliminação, indicando o que foi eliminado, quando, e o que subsiste nos termos da cláusula 14.5.

15. Conservação enquanto a conta estiver ativa

15.1 A Clínica decide por quanto tempo os Dados da Clínica são conservados, e é responsável por conservar os registros pelo tempo exigido por sua lei e por suas normas profissionais.

15.2 Enquanto a conta da Clínica estiver ativa, o DentalX não elimina prontuários de forma programada. Quando o DentalX oferece prazos de conservação padrão por país, são valores que a Clínica pode alterar dentro dos limites de sua lei. Quando o DentalX bloqueia a eliminação antes de um prazo mínimo legal, a Clínica só pode levantar o bloqueio confirmando que a lei permite a eliminação naquele caso.

16. Solicitações de autoridades públicas

16.1 Se a VstreamX receber uma solicitação ou ordem de uma autoridade pública, inclusive de um tribunal ou de autoridade policial ou de segurança nacional, para a comunicação de Dados da Clínica, a VstreamX:

• (a) remete a autoridade à Clínica, quando possível;
• (b) notifica prontamente a Clínica, com cópia da solicitação, salvo se a lei proibir a notificação. Se a notificação for proibida, a VstreamX envida esforços razoáveis para obter a dispensa da proibição;
• (c) avalia a legalidade da solicitação e a contesta quando, após avaliação cuidadosa, concluir que há motivos razoáveis para considerá-la ilícita ou excessiva; e
• (d) comunica a quantidade mínima de Dados da Clínica admissível ao responder.

16.2 A VstreamX mantém registro dessas solicitações e, quando a lei o permitir, fornece à Clínica, mediante solicitação, informações agregadas sobre elas pelo menos uma vez por ano.

16.3 A VstreamX não comunica voluntariamente Dados da Clínica a nenhuma autoridade pública.

17. Responsabilidade

17.1 Aplicação dos Termos. A responsabilidade de cada Parte decorrente deste Acordo ou com ele relacionada está sujeita às exclusões e à limitação da seção 18 dos Termos. Essa limitação é um limite conjunto para os Termos e este Acordo.

17.2 O que a limitação não limita. Além do que consta da seção 18.3 dos Termos, nada nos Termos nem neste Acordo limita ou exclui:

• (a) os direitos dos Titulares como terceiros beneficiários nos termos de um Instrumento de Transferência, nem a responsabilidade de uma Parte perante os Titulares nos termos dele;
• (b) qualquer responsabilidade que a lei aplicável à Clínica não permita limitar ou excluir, inclusive a responsabilidade solidária perante os Titulares imposta pela Legislação de Proteção de Dados Aplicável; ou
• (c) a responsabilidade da VstreamX por tratar Dados da Clínica fora das Instruções ou contra elas, ou para fins próprios em violação da cláusula 4.

17.3 Multas. Cada Parte arca com as sanções administrativas que lhe forem impostas por uma Autoridade de Proteção de Dados. Nada neste Acordo transfere a uma Parte uma sanção imposta à outra, salvo quando a lei permitir o direito de regresso e na medida em que a outra Parte a tenha causado.

17.4 Indenizações. As indenizações da seção 19 dos Termos se aplicam a este Acordo.

18. Alterações deste Acordo

18.1 Versões. Cada documento deste Acordo tem seu próprio número de versão no formato MAIOR.MENOR.

18.2 Alterações menores. A VstreamX pode fazer uma alteração MENOR, isto é, um esclarecimento, uma correção ou uma atualização de dados de contato que não reduza os direitos da Clínica nem aumente suas obrigações. Produz efeitos com a publicação. A VstreamX registra cada alteração MENOR e a exibe no Serviço.

18.3 Alterações maiores. Uma alteração MAIOR é qualquer outra alteração, inclusive quanto ao âmbito, à responsabilidade, às transferências ou aos direitos sobre Suboperadores, ou uma nova obrigação para o país da Clínica.

• (a) A VstreamX notifica o proprietário da Clínica por e-mail e no Serviço pelo menos 30 dias antes de uma alteração MAIOR produzir efeitos, salvo se a lei exigir que produza efeitos antes.
• (b) A Clínica a aceita no Serviço.
• (c) Se a Clínica não a aceitar até a data de efeito, seu acesso às funções que tratam Dados de Pacientes fica restrito até que o faça. A exportação da cláusula 14.1 continua disponível o tempo todo.
• (d) Se a Clínica não aceitar uma alteração MAIOR, pode rescindir nos termos da cláusula 7.4, com o mesmo reembolso.

18.4 Alteração legislativa. Se uma alteração na Legislação de Proteção de Dados Aplicável, ou uma decisão de uma Autoridade de Proteção de Dados, exigir condições adicionais ou diferentes, as Partes as adotarão como aditamento ou como novo Anexo de País nos termos da cláusula 18.3. A VstreamX também pode substituir um Instrumento de Transferência por uma versão mais recente adotada pela autoridade competente.

18.5 Independência dos anexos. Um Anexo de País ou um Instrumento de Transferência pode ser alterado sem nova aceitação deste Acordo-Quadro, e este Acordo-Quadro sem nova aceitação de um anexo. O registro de aceitação identifica a versão de cada documento vigente para a Clínica.

19. Prevalência

19.1 Em caso de conflito entre documentos, aplica-se a seguinte ordem de prevalência, da maior para a menor:

1. as disposições cogentes da Legislação de Proteção de Dados Aplicável;
2. os Instrumentos de Transferência, que nenhuma outra condição deste Acordo nem dos Termos pode excluir, modificar ou contrariar;
3. o Anexo de País;
4. este Acordo-Quadro e seus Apêndices; e
5. os Termos.

19.2 Nada neste Acordo nem nos Termos deve ser interpretado como limitação ou derrogação de um Instrumento de Transferência, nem como prejuízo aos direitos ou liberdades fundamentais dos Titulares nos termos dele.

20. Vigência e rescisão

20.1 Este Acordo começa quando se forma nos termos da cláusula 2.4. Continua enquanto a VstreamX tratar Dados da Clínica em nome da Clínica, inclusive durante os períodos da cláusula 14.

20.2 Termina automaticamente quando a VstreamX tiver eliminado os Dados da Clínica nos termos da cláusula 14, ressalvados os dados que a cláusula 14.5 lhe permite conservar.

20.3 As cláusulas 5, 14, 16, 17, 19, 23 e 24, e qualquer outra cláusula que por sua natureza deva subsistir, subsistem após o término deste Acordo. Este Acordo continua a se aplicar a quaisquer Dados da Clínica que a VstreamX conserve nos termos da cláusula 14.5.

20.4 A rescisão dos Termos é uma rescisão do Serviço para os fins da cláusula 14.

21. Poderes para vincular e custodiantes

21.1 A pessoa que aceita este Acordo em nome da Clínica declara e garante que é proprietária da Clínica, sua representante legal ou pessoa com poderes efetivos para vinculá-la.

21.2 Quando a Legislação de Proteção de Dados Aplicável atribuir a profissionais individuais a condição de custodiantes ou fiduciários das informações de saúde (como em várias províncias canadenses), essa pessoa declara ainda que aceita este Acordo em nome de cada custodiante ou fiduciário listado no certificado de aceitação, com sua autorização. Alternativamente, cada custodiante o aceita individualmente.

21.3 O custodiante ou fiduciário que ingressar posteriormente na Clínica deve aceitar este Acordo, ou ser incluído nos termos da cláusula 21.2, antes de criar prontuários de pacientes no Serviço.

21.4 A VstreamX pode confiar nessas declarações. A Clínica responde perante a VstreamX se forem inverídicas.

22. Idiomas

22.1 Este Acordo é redigido em inglês. A VstreamX também o publica em espanhol, português e francês.

22.2 O idioma que prevalece é:

• o espanhol para as Clínicas do México, Colômbia, Peru, Chile, Argentina, Equador, Guatemala, Costa Rica, Panamá, República Dominicana e Espanha;
• o português para as Clínicas do Brasil;
• o francês para as Clínicas de Quebec, salvo se a Clínica tiver escolhido expressamente, após lhe ter sido entregue a versão francesa, ficar vinculada pela versão inglesa; e
• o inglês para todas as demais Clínicas.

22.3 As traduções dos Instrumentos de Transferência regem-se pelas regras de idioma do próprio Instrumento de Transferência.

22.4 A versão francesa deste Acordo, de seus Apêndices e do ANX-CA-QC é fornecida sem custo.

23. Lei aplicável e controvérsias

23.1 Este Acordo-Quadro é regido pela lei que rege os Termos (as leis da Província de Manitoba e as leis federais do Canadá nela aplicáveis), e as controvérsias a ele relativas submetem-se aos tribunais designados nos Termos, com as seguintes exceções:

• (a) cada Instrumento de Transferência é regido pela lei que designa, e as controvérsias dele decorrentes submetem-se aos tribunais que designa;
• (b) o Anexo de País que designar lei aplicável ou foro para matérias de proteção de dados prevalece quanto a essas matérias;
• (c) as disposições cogentes da Legislação de Proteção de Dados Aplicável se aplicam qualquer que seja a lei que rege este Acordo, inclusive, para uma Clínica de Quebec, a Lei sobre o setor privado e os artigos 1435 a 1437 do Código Civil de Quebec; e
• (d) nada nesta cláusula priva um Titular do direito de recorrer à Autoridade de Proteção de Dados ou aos tribunais do lugar onde reside, nem de qualquer outro direito que lhe confira a Legislação de Proteção de Dados Aplicável.

24. Contatos e notificações

24.1 Contato de privacidade da VstreamX. Privacidade e proteção de dados, VstreamX Studio Inc., Office B – 1043 Rosser Ave, Brandon, Manitoba R7A 0L5, Canadá · admin@vstreamx.com. A pessoa responsável pela conformidade da VstreamX é Ricardo Javier Sandoval Sandoval, Diretor Financeiro (Chief Financial Officer). [[TO CONFIRM: se na publicação será indicado um endereço privacy@ dedicado e um escritório externo de privacidade (DPO UE / encarregado Brasil / Oficial Panamá / Oficial Peru)]]

24.2 Representantes.

• Representante da VstreamX na União Europeia nos termos do artigo 27 do RGPD: [[TO CONFIRM: nome e endereço do representante na UE do art. 27]].
• Representante da VstreamX no Reino Unido nos termos do artigo 27 do UK GDPR: [[TO CONFIRM: nome e endereço do representante no Reino Unido do art. 27]].

24.3 Contatos da Clínica. A Clínica registra no Serviço seu contato de privacidade (encarregado, encarregado de proteção de dados ou equivalente) e o mantém atualizado. Enquanto não o fizer, as notificações são dirigidas ao proprietário da Clínica.

24.4 Notificações. As notificações previstas neste Acordo são dadas na forma da seção 22 dos Termos, e também no Serviço.

25. Disposições gerais

25.1 Acordo integral. Este Acordo e os Termos constituem o acordo integral entre as Partes sobre o tratamento dos Dados da Clínica. Substituem qualquer declaração anterior dos Termos segundo a qual a seção 8 dos Termos serve como acordo escrito de tratamento ou de gestão de informações para a Clínica.

25.2 Aceitação eletrônica. As Partes acordam que este Acordo pode ser aceito e assinado por meios eletrônicos (inclusive, para o Brasil, nos termos do art. 10, § 2º, da Medida Provisória nº 2.200-2/2001 e, para Quebec, da Lei que estabelece o quadro jurídico das tecnologias da informação, RLRQ c. C-1.1), e que o registro eletrônico de aceitação e a Via Assinada constituem documento escrito assinado por cada Parte.

25.3 Divisibilidade. Se uma disposição for declarada inválida ou inexequível, o restante deste Acordo permanece em vigor. A disposição se aplica na maior medida permitida, da forma que melhor assegure a proteção dos Dados da Clínica.

25.4 Não renúncia. A falta ou o atraso no exercício de um direito não constitui renúncia a ele.

25.5 Cessão. Nenhuma Parte pode ceder este Acordo, salvo juntamente com os Termos e nos casos por eles permitidos.

25.6 Direitos de terceiros. Os Titulares têm os direitos que um Instrumento de Transferência ou a Legislação de Proteção de Dados Aplicável lhes confiram expressamente. Fora isso, ninguém além das Partes tem direitos nos termos deste Acordo.