Acordo de Tratamento de Dados (DPA) da Oxxy

1. Papéis

1.1. A Controladora decide para que e como os dados que registra na Oxxy são tratados e responde pela base legal, inclusive para dados sensíveis como os de saúde de pacientes.

1.2. A Oxxy trata esses dados só para prestar o serviço contratado, segundo as instruções da Controladora, que são este acordo, o contrato e o uso que a Controladora faz do sistema.

1.3. Para dados de cadastro, cobrança, uso e segurança das contas, a Oxxy é controladora e segue a Política de Privacidade.

2. Dados e titulares

3. Obrigações da Oxxy

A Oxxy se compromete a:

• tratar os dados só para prestar o serviço e não usá-los para outra finalidade própria, nem vendê-los;
• manter confidencialidade e exigir o mesmo de quem tem acesso aos dados;
• aplicar as medidas de segurança descritas no Anexo 1;
• avisar a Controladora sobre incidente de segurança que afete seus dados em até 48 horas depois de tomar conhecimento dele, com o que se souber até ali (natureza dos dados, titulares afetados, riscos e medidas tomadas), para que a Controladora cumpra os prazos da ANPD;
• ajudar a Controladora a responder pedidos de titulares e consultas da ANPD, encaminhando a ela os pedidos que receber;
• manter registro das operações de tratamento que realiza (LGPD, art. 37);
• avisar a Controladora se uma instrução dela parecer contrária à LGPD;
• ao fim do contrato, permitir que a Controladora peça a exportação dos dados antes da eliminação e depois eliminá-los ou anonimizá-los, salvo guarda exigida por lei; prontuários seguem o prazo legal de guarda aplicável à Controladora.

4. Suboperadores

4.1. A Controladora autoriza o uso dos suboperadores listados no Anexo 2.

4.2. A Oxxy avisa a Controladora com 15 dias de antecedência antes de incluir um suboperador novo. A Controladora pode se opor por motivo razoável ligado à proteção de dados; sem acordo, pode encerrar o serviço afetado.

4.3. A Oxxy exige dos suboperadores obrigações de proteção de dados equivalentes às deste acordo e responde por eles perante a Controladora, nos termos da lei.

5. Transferência internacional

Quando um suboperador trata dados fora do Brasil, a Oxxy usa as garantias da LGPD, art. 33, aplicáveis a cada caso.

6. Auditoria

A Oxxy entrega à Controladora, mediante pedido razoável e no máximo uma vez por ano, as informações necessárias para mostrar o cumprimento deste acordo. Auditorias presenciais dependem de acordo prévio sobre escopo, data e confidencialidade.

7. Responsabilidade

Cada parte responde pelos danos que causar ao violar a LGPD ou este acordo, nos limites do contrato e da lei.

8. Vigência

Este acordo vale enquanto durar o contrato e, depois dele, enquanto a Oxxy guardar dados da Controladora.

9. Contato

Encarregado de proteção de dados da Oxxy: Humberto Cardoso, privacidade@oxxy.ai.

Anexo 1. Medidas de segurança

• Login com e-mail, Apple ou Google e permissões por papel.
• Separação lógica dos dados de cada empresa e de cada usuário.
• Registros de auditoria e trilha de acesso a prontuário.
• Acesso por conexão cifrada (HTTPS) e backups externos cifrados.
• Verificação em duas etapas disponível; a Controladora decide quem deve usá-la.
• Backups diários com ciclo de retenção, sem restaurar conta excluída.
• Face ID e digital conferidos só no aparelho.
• Sem rastreamento publicitário.
• Horários registrados em UTC e exibidos no horário de Brasília.

Anexo 2. Suboperadores

O login com Apple ou Google trata dados de conta, em que a Oxxy é controladora; por isso aparece na Política de Privacidade, e não aqui.