Cláusulas-Padrão Contratuais da ANPD

Brasil — TM-BR (Cláusulas-Padrão Contratuais da ANPD) e ANX-BR (Anexo Brasil)

ID dos documentos: TM-BR v1.0 e ANX-BR v1.0 · Data de vigência: [[TO CONFIRM: data de publicação]] Idioma: este texto em português é o autêntico (cláusula 22 do MDPA). A versão em inglês (../annex-br.md) é uma tradução de conveniência. A versão em inglês das cláusulas publicada pela ANPD é apenas uma cópia de conveniência. Aplica-se a: Clínicas estabelecidas no Brasil, ou cujos dados de pacientes sejam coletados no Brasil. Integra o Acordo-Quadro de Tratamento de Dados (o "MDPA"). Os termos definidos no MDPA têm aqui o mesmo significado.

PARTE I — TM-BR: Adoção das Cláusulas-Padrão Contratuais da ANPD

1. Adoção

1.1 Adoção. Ao aceitar o MDPA, a Clínica (como exportadora e controladora) e a VstreamX (como importadora e operadora) adotam integralmente e sem qualquer alteração as Cláusulas-Padrão Contratuais aprovadas pela Resolução CD/ANPD nº 19, de 23 de agosto de 2024, Anexo II (as "Cláusulas"). Fazem-no para a transferência internacional de dados pessoais da Clínica para a VstreamX e seus suboperadores, nos termos do art. 33, inciso II, alínea "b", da Lei nº 13.709/2018 ("LGPD").

1.2 O texto.

• O texto integral das Cláusulas, conforme publicado pela ANPD no Diário Oficial da União, é reproduzido no pacote que a Clínica lê antes de aceitar e na Via Assinada. [[TO CONFIRM: incorporar o texto oficial em português do Anexo II publicado no DOU a partir do arquivo-fonte oficial — nunca redigitado nem editado]]
• Somente os campos da Seção I e o conteúdo da Seção III são preenchidos abaixo.
• A Seção II (cláusulas obrigatórias) não sofre nenhuma alteração.

1.3 Nada pode contrariar as Cláusulas.

• Nos termos da Resolução 19, nenhuma outra cláusula do MDPA, deste Anexo ou dos Termos de Serviço do DentalX pode excluir, modificar ou contrariar, direta ou indiretamente, o disposto nas Cláusulas.
• O MDPA, a Parte II deste Anexo e os Termos constituem as cláusulas adicionais admitidas pela Seção IV das Cláusulas. Aplicam-se somente na medida em que sejam compatíveis com as Seções I a III.

1.4 Assinatura.

• As Partes assinam as Cláusulas por meio da aceitação eletrônica descrita na cláusula 2.4 do MDPA. Essa aceitação é válida nos termos do art. 10, § 2º, da Medida Provisória nº 2.200-2/2001 e do art. 4º da Lei nº 14.063/2020, e registra o CPF do signatário.
• A Clínica pode, ainda, optar por assinar com certificado ICP-Brasil ou pelo gov.br. A VstreamX disponibiliza essa opção no Serviço e registra o método utilizado.

2. Seção I — Informações gerais (preenchidas)

Cláusula 1. Identificação das Partes

Cláusula 2. Objeto

Cláusula 3. Transferências posteriores

Seleciona-se a Opção B. A importadora poderá realizar transferências posteriores dos dados pessoais aos seguintes destinatários, para as seguintes finalidades, nos países indicados:

Condições. Cada transferência posterior é feita nas condições da Seção II, e somente para as finalidades indicadas. Antes de qualquer transferência posterior, a importadora vincula cada destinatário, por instrumento escrito, às salvaguardas destas Cláusulas, por meio das Cláusulas-Padrão Contratuais da ANPD ou de outro mecanismo que a Resolução CD/ANPD nº 19/2024 reconheça para esse destinatário, como as Cláusulas exigem para as transferências posteriores. Todo novo destinatário depende do consentimento prévio da exportadora, dado no Serviço conforme a cláusula 7.5 do MDPA. Até que a exportadora consinta, os dados da exportadora não são direcionados ao novo destinatário. [[BLOCKING TO CONFIRM: que as condições de tratamento do Google Cloud, do Google Workspace e da Meta incorporam as Cláusulas-Padrão Contratuais da ANPD para dados brasileiros, ou que outro mecanismo da Resolução 19 vincula cada um deles; e que toda menção a «outros países» acima seja substituída por países indicados]]

Cláusula 4. Responsabilidades das Partes

Seleciona-se a Opção A. A exportadora é a Parte Designada. Como Parte Designada, a Clínica é responsável por:

• as obrigações de transparência perante os titulares;
• o atendimento às solicitações dos titulares; e
• a comunicação de incidentes de segurança à ANPD e aos titulares,

conforme as cláusulas da Seção II as atribuem à Parte Designada [[TO CONFIRM: números das cláusulas de transparência, de direitos dos titulares e de incidentes no texto oficial]].

A importadora assiste a exportadora em cada uma dessas obrigações, conforme as cláusulas 8 e 9 do MDPA e a Parte II deste Anexo.

3. Seção II — Cláusulas obrigatórias

Adotadas sem alteração, conforme publicadas. Incluem as cláusulas sobre legislação aplicável e jurisdição, que designam a lei brasileira e o foro brasileiro. [[TO CONFIRM: número da cláusula de legislação aplicável e foro (prevista como Cláusula 24) no texto oficial]]

4. Seção III — Medidas de segurança

As medidas de segurança adotadas pela importadora são as do Apêndice 2 do MDPA, reproduzido integralmente nesta Seção. Em síntese:

• Criptografia: TLS em trânsito; criptografia do Google em repouso; criptografia por campo com AES-256-GCM do nome, data de nascimento, telefone, endereço, contato de emergência, histórico médico e dados do plano do paciente, e dos termos de consentimento e receitas; chave guardada no Google Secret Manager com acesso restrito.
• Acesso: isolamento de cada clínica por regras que negam o acesso por padrão; acesso baseado em funções; autenticação multifator; desconexão automática após 8 horas de inatividade; links que expiram e links de assinatura de consentimento de uso único.
• Registro e disponibilidade: trilha de auditoria de aberturas de prontuário, exportações, eliminações e alterações, conservada por 7 anos enquanto a conta estiver ativa e devolvida na exportação ao término; backups diários com 7 dias de retenção e 7 dias de recuperação a um ponto no tempo.
• Desenvolvimento: auditoria de dependências antes de cada implantação; Content-Security-Policy.
• Pessoal: obrigação de confidencialidade equivalente ao sigilo profissional; procedimento de resposta a incidentes; registro de incidentes.