Contrato de tratamento de dados

Este contrato de tratamento de dados ("Contrato") integra os termos de uso do edonto. Ele vale entre a organização que usa o edonto (um laboratório de prótese ou um consultório ou clínica odontológica – "Cliente") e a LitoraLab Ltd, número de registro 13880728, 167–169 Great Portland Street, 5th Floor, London, W1W 5PF, Reino Unido ("edonto").

Ele abrange os dados pessoais que o Cliente insere no edonto ou recebe por meio dele ("Dados do Cliente"). Para os Dados do Cliente, o Cliente é o controlador e o edonto é o operador. O Contrato se aplica em complemento à Lei Geral de Proteção de Dados (Lei 13.709/2018 – LGPD), ao UK GDPR e, quando aplicável, ao GDPR da União Europeia.

O edonto trata os Dados do Cliente somente para prestar o Serviço descrito nos termos de uso: troca e gestão de casos odontológicos entre laboratórios e consultórios, pacientes e consultas, produção, faturamento e portais de laboratório.

O Contrato vale enquanto o edonto tratar Dados do Cliente para o Cliente e termina com a eliminação dos Dados do Cliente (seção 11).

Titulares: pacientes do Cliente ou dos consultórios com os quais um laboratório trabalha; usuários e equipe do Cliente; pessoas de contato de clientes, laboratórios e consultórios.

Tipos de dados: nome ou iniciais do paciente, nº do prontuário, data de nascimento ou idade, sexo, consultas, detalhes do caso como elementos, materiais, cor e observações, arquivos como escaneamentos intraorais e fotos (dados de saúde – dados pessoais sensíveis segundo o art. 5º, II da LGPD e dados de categoria especial segundo o art. 9 do UK GDPR); nomes, e-mails, funções e atividades de usuários; dados de contato, endereço, fiscais e de faturamento de organizações; mensagens.

O edonto trata os Dados do Cliente somente conforme as instruções documentadas do Cliente. Os termos de uso, este Contrato e as configurações que o Cliente faz no edonto (por exemplo, quais informações do paciente os laboratórios veem) são essas instruções. Outras instruções devem ser feitas por escrito e ser tecnicamente viáveis.

O edonto informa o Cliente sem demora se considerar que uma instrução viola a legislação de proteção de dados e só trata Dados do Cliente de outra forma quando exigido por lei – nesse caso, informa o Cliente antes, salvo se a lei o proibir.

O edonto garante que as pessoas autorizadas a tratar Dados do Cliente estejam obrigadas à confidencialidade e só acessem os Dados do Cliente na medida necessária para operar e dar suporte ao Serviço.

O edonto adota medidas técnicas e organizacionais adequadas para proteger os Dados do Cliente, em especial: conexões criptografadas (TLS) em todos os acessos; separação dos dados de cada organização e controle de acesso por funções e políticas; arquivos armazenados de forma privada e entregues somente após verificação de acesso; senhas armazenadas como hash seguro, autenticação de dois fatores e passkeys, autenticação de dois fatores obrigatória para a equipe da plataforma; limites de requisições e cabeçalhos de segurança; histórico de alterações dos casos; backups regulares armazenados separadamente do sistema de produção; monitoramento de erros e atualizações de segurança em tempo hábil.

O edonto pode adaptar essas medidas ao progresso técnico, desde que o nível de proteção não seja reduzido.

O Cliente autoriza de forma geral o edonto a utilizar suboperadores. O edonto impõe a eles obrigações de proteção de dados no mínimo equivalentes às deste Contrato e continua responsável por eles. Atualmente, o edonto utiliza:

Cloudflare, Inc. (EUA) – DNS, proteção e entrega do Serviço, hospedagem do site e do manual, armazenamento de arquivos dos casos (Cloudflare R2, leste da América do Norte).

Hetzner Online GmbH (Alemanha; data center em Ashburn, Virgínia, EUA) – servidores do aplicativo e do banco de dados.

Ploi B.V. (Países Baixos) – gestão de servidores e implantações.

Amazon Web Services EMEA SARL / Amazon Web Services, Inc. – envio de e-mails (Amazon SES, região us-east-1, EUA).

O edonto informa o Cliente com pelo menos 30 dias de antecedência sobre qualquer suboperador novo ou substituído, por e-mail ou no Serviço. O Cliente pode se opor por motivos razoáveis de proteção de dados; se não houver solução, o Cliente pode encerrar sua conta.

Quando Dados do Cliente forem transferidos para fora do Brasil, do Reino Unido ou do Espaço Econômico Europeu, o edonto garante salvaguardas adequadas – uma decisão de adequação, as cláusulas-padrão contratuais da Autoridade Nacional de Proteção de Dados (ANPD), o International Data Transfer Agreement ou Addendum do Reino Unido ou as cláusulas contratuais-padrão da União Europeia.

O edonto apoia o Cliente no atendimento às solicitações dos titulares, principalmente por meio de funções do Serviço: pacientes podem ser corrigidos ou excluídos, os dados da organização podem ser exportados, e o edonto ajuda com solicitações que não possam ser atendidas no Serviço.

O edonto também apoia o Cliente, considerando a natureza do tratamento e as informações disponíveis, em questões de segurança, relatórios de impacto à proteção de dados e consultas às autoridades.

O edonto notifica o Cliente sem demora indevida, sempre que possível em até 48 horas, após tomar conhecimento de um incidente de segurança que afete Dados do Cliente. A notificação descreve, na medida do conhecido, a natureza do incidente, os dados e titulares envolvidos, as prováveis consequências e as medidas adotadas ou propostas.

O Cliente pode exportar seus dados a qualquer momento (Organização → Configurações → Seus dados). Após o encerramento da conta, o edonto elimina os Dados do Cliente em até 30 dias, salvo quando a lei exigir a sua guarda. Cópias em backups são sobrescritas no ciclo regular de backup.

Casos compartilhados continuam disponíveis para a outra organização envolvida (laboratório ou consultório), que é controladora da sua própria cópia.

O edonto disponibiliza ao Cliente as informações necessárias para demonstrar o cumprimento deste Contrato, em especial este Contrato e uma descrição das suas medidas de segurança. O Cliente pode realizar uma auditoria, ou contratar um auditor sujeito a sigilo, mediante aviso prévio razoável, no máximo uma vez por ano, salvo exigência de autoridade ou após um incidente de segurança, em horário comercial e sem perturbação desproporcional; cada parte arca com os próprios custos.

As disposições de responsabilidade dos termos de uso se aplicam a este Contrato. Em caso de conflito entre este Contrato e os termos de uso quanto ao tratamento de dados pessoais, prevalece este Contrato.

Alterações deste Contrato seguem o que está descrito nos termos de uso. Este Contrato é regido pelas leis da Inglaterra e do País de Gales; as normas imperativas de proteção de dados do país em que o Cliente está estabelecido permanecem inalteradas.