Acuerdo de Tratamiento de Datos (DPA) de Oxxy

1. Papeles

1.1. La Responsable del tratamiento decide para qué y cómo se tratan los datos que registra en Oxxy y responde por la base legal, incluso para datos sensibles como los de salud de pacientes.

1.2. Oxxy trata esos datos solo para prestar el servicio contratado, según las instrucciones de la Responsable del tratamiento, que son este acuerdo, el contrato y el uso que la Responsable del tratamiento hace del sistema.

1.3. Para los datos de registro, cobro, uso y seguridad de las cuentas, Oxxy es Responsable del tratamiento y sigue la Política de Privacidad.

2. Datos y titulares

3. Obligaciones de Oxxy

Oxxy se compromete a:

• tratar los datos solo para prestar el servicio y no usarlos para otra finalidad propia, ni venderlos;
• mantener la confidencialidad y exigir lo mismo a quien tenga acceso a los datos;
• aplicar las medidas de seguridad descritas en el Anexo 1;
• avisar a la Responsable del tratamiento sobre un incidente de seguridad que afecte sus datos dentro de 48 horas después de tener conocimiento de él, con lo que se sepa hasta ese momento (naturaleza de los datos, titulares afectados, riesgos y medidas adoptadas), para que la Responsable del tratamiento cumpla los plazos de la ANPD (Autoridad Nacional de Protección de Datos de Brasil);
• ayudar a la Responsable del tratamiento a responder solicitudes de titulares y consultas de la ANPD, remitiéndole las solicitudes que reciba;
• mantener un registro de las operaciones de tratamiento que realiza (LGPD, Ley General de Protección de Datos de Brasil, Ley 13.709/2018, art. 37);
• avisar a la Responsable del tratamiento si una instrucción suya parece contraria a la LGPD;
• al término del contrato, permitir que la Responsable del tratamiento solicite la exportación de los datos antes de la eliminación y después eliminarlos o anonimizarlos, salvo conservación exigida por ley; las historias clínicas siguen el plazo legal de conservación aplicable a la Responsable del tratamiento.

4. Subencargados

4.1. La Responsable del tratamiento autoriza el uso de los subencargados listados en el Anexo 2.

4.2. Oxxy avisa a la Responsable del tratamiento con 15 días de anticipación antes de incluir un subencargado nuevo. La Responsable del tratamiento puede oponerse por un motivo razonable relacionado con la protección de datos; si no hay acuerdo, puede terminar el servicio afectado.

4.3. Oxxy exige a los subencargados obligaciones de protección de datos equivalentes a las de este acuerdo y responde por ellos ante la Responsable del tratamiento, en los términos de la ley.

5. Transferencia internacional

Cuando un subencargado trata datos fuera de Brasil, Oxxy usa las garantías de la LGPD, art. 33, aplicables a cada caso.

6. Auditoría

Oxxy entrega a la Responsable del tratamiento, previa solicitud razonable y como máximo una vez al año, la información necesaria para demostrar el cumplimiento de este acuerdo. Las auditorías presenciales dependen de un acuerdo previo sobre alcance, fecha y confidencialidad.

7. Responsabilidad

Cada parte responde por los daños que cause al violar la LGPD o este acuerdo, dentro de los límites del contrato y de la ley.

8. Vigencia

Este acuerdo rige mientras dure el contrato y, después de él, mientras Oxxy conserve datos de la Responsable del tratamiento.

9. Contacto

Encargado de protección de datos de Oxxy: Humberto Cardoso, privacidade@oxxy.ai.

Anexo 1. Medidas de seguridad

• Inicio de sesión con correo electrónico, Apple o Google y permisos por rol.
• Separación lógica de los datos de cada empresa y de cada usuario.
• Registros de auditoría y rastro de acceso a historias clínicas.
• Acceso por conexión cifrada (HTTPS) y copias de seguridad (backups) externas cifradas.
• Verificación en dos pasos disponible; la Responsable del tratamiento decide quién debe usarla.
• Copias de seguridad (backups) diarias con ciclo de retención, sin restaurar cuentas eliminadas.
• Face ID y huella digital verificados solo en el dispositivo.
• Sin rastreo publicitario.
• Horarios registrados en UTC y mostrados en horario de Brasilia.

Anexo 2. Subencargados

El inicio de sesión con Apple o Google trata datos de cuenta, respecto de los cuales Oxxy es Responsable del tratamiento; por eso aparece en la Política de Privacidad, y no aquí.