Contrato de tratamento de dados (DPA) entre a MedYou e a clínica

Versão 1.0 · Vigente desde 8 de outubro de 2026

Este contrato é aceito por quem cria a clínica ou o consultório na MedYou, junto com os Termos de uso e a Política de privacidade.

Controladora: a clínica ou o médico titular do consultório que contrata a MedYou ("Clínica"). Operadora: Bandeira Medicina e Saúde, CNPJ 33.474.506/0001-91 ("MedYou").

1. Objeto

Este contrato regula o tratamento, pela MedYou, dos dados pessoais dos pacientes e dos profissionais da Clínica, feito por conta da Clínica para prestar o serviço de prontuário eletrônico com inteligência artificial, nos termos da LGPD (Lei nº 13.709/2018).

2. Dados e finalidade

• Titulares: pacientes da Clínica e profissionais vinculados a ela.
• Dados: cadastro dos pacientes, dados de saúde (transcrição, anamnese, evolução, prescrições, exames, imagens e arquivos), agenda e lançamentos. O áudio da consulta é tratado só durante a transcrição e não é guardado.
• Finalidade única: prestar o serviço contratado. A MedYou não usa esses dados para fins próprios, salvo os indicadores numéricos de qualidade da IA (cláusula 6), sem texto clínico e sem identificação do paciente.

3. Obrigações da MedYou (operadora)

1. Tratar os dados só conforme as instruções documentadas da Clínica, que são estes termos, este contrato e as configurações que a Clínica faz no sistema.
2. Manter sigilo e exigir sigilo de quem tiver acesso.
3. Manter medidas de segurança técnicas e administrativas adequadas (anexo I).
4. Usar só os suboperadores do anexo II, e avisar a Clínica com 30 dias de antecedência sobre mudanças, para que ela possa se opor.
5. Retirar a identificação do paciente dos textos enviados aos provedores de IA, na forma descrita na Política de Privacidade.
6. Ajudar a Clínica a atender os pedidos dos titulares e a cumprir suas obrigações legais.
7. Comunicar a Clínica, sem demora injustificada e em até 48 horas depois de tomar conhecimento, qualquer incidente de segurança que envolva os dados da Clínica. A comunicação traz o que se sabe (natureza, dados e titulares afetados, medidas tomadas) e é completada à medida que a apuração avança.
8. Ao fim do contrato, devolver e eliminar os dados conforme a cláusula 7.

4. Obrigações da Clínica (controladora)

1. Ter base legal para o tratamento e informar os pacientes, inclusive sobre o uso de IA e a gravação da consulta.
2. Obter o consentimento do paciente para a gravação, na forma que a lei e as normas éticas exigirem.
3. Definir quem acessa o sistema, com que papel, e manter as contas da equipe atualizadas.
4. Atender os pedidos dos titulares e comunicar incidentes à ANPD e aos titulares quando a lei exigir.
5. Guardar o prontuário pelo prazo legal (Lei nº 13.787/2018 e normas do CFM), inclusive depois de exportar os dados.

5. Suboperadores e transferência internacional

A Clínica autoriza o uso dos suboperadores do anexo II. As transferências internacionais (provedores de IA, cobrança e rede de entrega) seguem o art. 33 da LGPD, com base nos termos contratuais e nas garantias de proteção de dados oferecidos por esses fornecedores.

6. Controle de qualidade da IA

• Nível 1: a MedYou calcula indicadores numéricos de qualidade, sem guardar texto clínico. Faz parte do serviço.
• Nível 2: a leitura de amostras de casos pela equipe da MedYou acontece somente se a Clínica autorizar, pela chave nas configurações, e pode ser revogada a qualquer momento.
  • Os casos lidos ficam sem os dados que identificam o paciente.
  • Cada acesso é registrado (quem, quando, qual caso), e a Clínica pode pedir esse registro.
  • Só pessoas autorizadas da MedYou, sob sigilo, fazem a leitura.
  • O objetivo é exclusivamente melhorar a qualidade do serviço.

7. Prazo, devolução e eliminação

• Prazo: este contrato vale enquanto durar o uso da MedYou pela Clínica.
• Devolução: ao fim, a MedYou entrega à Clínica, a pedido, uma cópia dos dados em formato de uso comum, se pedida em até 30 dias do encerramento; a entrega é feita em até 15 dias do pedido.
• Eliminação: depois disso, a MedYou elimina os dados das bases ativas. As cópias de segurança são apagadas no ciclo normal delas (até 365 dias), protegidas e sem uso.
• Exceção: a MedYou pode guardar o que a lei a obrigue a guardar.

8. Auditoria

A Clínica pode pedir, uma vez por ano ou após incidente, informações que comprovem o cumprimento deste contrato, como a descrição das medidas de segurança e a lista de suboperadores. A forma e os custos são combinados entre as partes.

9. Responsabilidade e foro

Cada parte responde pelos danos que causar por descumprimento da LGPD ou deste contrato, nos termos dos arts. 42 a 45 da LGPD. Fica eleito o foro da comarca do Rio de Janeiro/RJ.

Encarregado (DPO) da MedYou: Thiago Luiz Bandeira, [email protected].

Anexo I: medidas de segurança (as que existem hoje)

• Criptografia em trânsito: HTTPS, e entre a rede de entrega e o servidor só são aceitas conexões autenticadas dela.
• Criptografia em repouso do banco, das cópias de segurança e dos segredos, com chave gerenciada (AWS KMS).
• Infraestrutura no Brasil (AWS, região São Paulo).
• Isolamento por clínica e papéis: médico, equipe (sem acesso ao conteúdo clínico) e administrador.
• Senhas guardadas como resumo criptográfico, sessões com prazo e encerradas na troca de senha, e limites de tentativas nos códigos de acesso.
• Retirada da identificação do paciente dos textos enviados à IA, com testes automáticos.
• Registros técnicos sem parâmetros da URL nem cabeçalhos, guardados por 6 meses (Marco Civil da Internet).
• Cópias de segurança: automáticas (7 dias) e semanais criptografadas (até 365 dias), num cofre em que o servidor só grava e não apaga.
• Servidor: administração por canal autenticado e registrado, sem acesso por senha, e atualizações automáticas de segurança.

Anexo II: suboperadores