Termo de Tratamento de Dados

Introdução

Termo padrão aceito no cadastro, junto com os Termos de Uso e o Aviso de Privacidade. Integra a relação contratual entre o médico-usuário (Controlador) e o CareScript (operador quanto aos dados assistenciais). Não exige assinatura em separado.

1. Partes e objeto

Controlador: o médico titular da conta CareScript, identificado pelos dados de cadastro da plataforma.

CareScript / Prestadora: CAIO PONTES GANDRA DESENVOLVIMENTO, nome fantasia Devx Consultoria e Desenvolvimento de Software, CNPJ 29.829.536/0001-04, com sede em Rua Dr Mario Mourao, 62, Parque Jabaquara, São Paulo/SP, CEP 04357-000, responsável pelo CareScript.

Este Termo disciplina o tratamento de dados pessoais realizado pelo CareScript em nome do Controlador nos recursos de documentação clínica descritos no Anexo A. O Aviso de Privacidade e os Termos de Uso complementam este Termo; em matéria de proteção de dados assistenciais tratados sob instrução do médico, prevalecem as disposições específicas deste Termo, respeitada a legislação aplicável.

2. Papéis e responsabilidades

O Controlador decide as finalidades e os elementos essenciais do tratamento assistencial, incluindo os pacientes abrangidos, os dados necessários, a base legal e os usuários autorizados de sua conta.

O CareScript atua como operador ao tratar esses dados em nome do Controlador, nos limites das instruções lícitas e do Anexo A. Responde pelo cumprimento de suas obrigações legais, pela execução dessas instruções e pelas medidas de proteção que lhe cabem.

Nas operações em que define finalidades próprias — cadastro, autenticação, administração do plano, cobrança e atendimento da plataforma — o CareScript atua como controlador, conforme o Aviso de Privacidade. O papel de cada fornecedor consta do Anexo B.

Nenhuma disposição transfere ao Controlador as responsabilidades próprias do CareScript ou afasta direitos dos titulares e responsabilidades previstas em lei.

3. Instruções e limites de finalidade

As instruções do Controlador são as configurações e ações que ele realiza na plataforma (por exemplo: gravar, escolher formato, finalizar, compartilhar, habilitar ou desabilitar Assuntos para retomar), bem como as solicitações lícitas feitas pelo atendimento. Instruções adicionais fora do produto seguem o canal do Anexo E.

O CareScript tratará os dados assistenciais somente para executar as operações autorizadas, cumprir obrigações legais ou atender determinação de autoridade competente. O conteúdo clínico não poderá ser utilizado para publicidade, comercialização de dados ou treinamento de modelos por autorização decorrente deste Termo. O CareScript exigirá obrigações compatíveis dos suboperadores que contrate.

Ao identificar instrução aparentemente ilícita ou incompatível com o escopo, o CareScript informará o Controlador e solicitará esclarecimento. Havendo risco que exija contenção imediata, poderá suspender a operação afetada de forma proporcional, preservando os dados necessários e comunicando a medida.

4. Informação ao paciente e revisão humana

O Controlador fornecerá informações compreensíveis ao paciente e aos demais participantes sobre gravação, transcrição, uso de IA, finalidades, destinatários e exercício de direitos. Obterá e documentará as autorizações e os consentimentos exigíveis, inclusive de representante legal quando aplicável, e respeitará a recusa e a revogação nos limites legais.

O aceite do profissional, a permissão do microfone e o início da gravação não substituem o consentimento do paciente quando essa for a base legal aplicável. O CareScript fornecerá ao Controlador informações sobre as operações sob sua responsabilidade necessárias à transparência perante os titulares.

O profissional conserva o julgamento e a decisão clínicos e deve conferir transcrições, rascunhos, respostas de IA e fontes antes de utilizar ou finalizar resultados. A revisão pelo profissional não exclui responsabilidade por defeitos do serviço imputáveis ao CareScript.

5. Confidencialidade e segurança

O CareScript restringirá o acesso aos dados às pessoas que necessitem deles para executar suas funções e que estejam sujeitas a dever de confidencialidade. Esses deveres persistem após o término da relação.

As partes adotarão medidas técnicas e administrativas proporcionais à natureza dos dados e aos riscos das operações sob sua responsabilidade. As medidas do CareScript e a divisão de responsabilidades estão descritas no Anexo D.

O Controlador responde pela autorização de seus usuários, pela proteção de seus dispositivos e credenciais e pela guarda das cópias que exportar. O CareScript responde pelas medidas referentes à plataforma e às operações que execute ou contrate. A adoção de medidas de segurança não constitui garantia de ausência absoluta de riscos.

6. Fornecedores e transferências internacionais

Os suboperadores autorizados e os demais destinatários estão identificados no Anexo B. A substituição de suboperador será informada por e-mail com antecedência razoável; o Controlador que discordar poderá cancelar a conta ou a renovação nos termos dos Termos de Uso.

O CareScript exigirá do suboperador obrigações compatíveis com o tratamento confiado e continuará responsável perante o Controlador pelo cumprimento de suas próprias obrigações.

Transferências internacionais dependerão de hipótese e mecanismo válidos previstos na LGPD e na regulamentação da ANPD, conforme o Anexo B. Quando forem utilizadas as cláusulas-padrão contratuais da ANPD, o instrumento correspondente deverá incorporá-las. Este Termo não substitui esse instrumento.

7. Direitos dos titulares e cooperação

As solicitações serão recebidas e encaminhadas pelos canais do Anexo E. A verificação de identidade e representação será proporcional à natureza do pedido.

Nos tratamentos assistenciais em que atua como operador, o CareScript encaminhará ao Controlador as solicitações que demandem sua decisão e prestará a assistência necessária ao atendimento, em tempo compatível com os prazos legais aplicáveis. Nas operações de que é controlador, atenderá diretamente às obrigações que lhe competem.

O Controlador pode exportar em PDF cada prontuário finalizado. Cópia integral dos dados de um paciente ou da conta pode ser solicitada ao atendimento, que a prepara manualmente, sem exportação automática. A inexistência de conta do paciente, a limitação do plano ou o bloqueio comercial não impedem o exercício dos direitos previstos em lei. Solicitações de direitos não terão cobrança ao titular.

8. Incidentes de segurança

O CareScript comunicará ao Controlador, sem demora injustificada e pelo canal do Anexo E, os incidentes que afetem dados tratados em seu nome, em até 72 horas após a confirmação interna do incidente, ou antes se o risco exigir. A comunicação inicial poderá ser complementada à medida que novas informações forem obtidas.

A comunicação incluirá, quando disponíveis, natureza do incidente, dados e titulares afetados, período, riscos, medidas de contenção e contato responsável. O Controlador realizará as comunicações à ANPD e aos titulares que lhe competirem. O CareScript fornecerá informações necessárias e atenderá às obrigações relativas aos tratamentos de que seja controlador.

9. Retenção, término e eliminação

Os prazos e gatilhos por categoria de dados estão no Anexo C.

O encerramento do acesso, o cancelamento da assinatura e a eliminação de dados são procedimentos distintos. Antes do encerramento, o Controlador deverá guardar os documentos de que necessita para suas obrigações profissionais. O CareScript prestará a assistência do Anexo C para devolução ou exportação.

Ao término do tratamento ou mediante instrução lícita de eliminação, o CareScript eliminará ou devolverá os dados conforme o Anexo C, ressalvadas hipóteses legais de conservação. Cópias exportadas pelo Controlador permanecem sob sua responsabilidade.

O cancelamento da renovação mantém o acesso Pro até o fim do período pago e, depois, o acesso ao Gratuito, sem cobrança. Não constitui encerramento da conta nem instrução de eliminação. Pedidos de encerramento imediato ou eliminação são encaminhados ao atendimento.

10. Registros, verificação e responsabilidade

As partes manterão registros das operações e das instruções sob sua responsabilidade. O CareScript fornecerá ao Controlador evidências pertinentes ao cumprimento deste Termo, sem comprometer a segurança ou dados de outras contas.

Cada parte responderá por seus atos e pelas obrigações que lhe cabem. A distribuição contratual de tarefas não afasta as regras legais de responsabilidade, os direitos dos titulares ou a aplicação do Código de Defesa do Consumidor quando cabível.

11. Vigência, aceite e alterações

Este Termo entra em vigor com o aceite no cadastro (ou com novo aceite de versão) e permanece aplicável enquanto houver tratamento de dados abrangido por ele, inclusive quanto a conservação, confidencialidade e obrigações decorrentes do término.

O CareScript registrará a versão aceita na conta do Controlador. Alterações relevantes deste Termo ou dos anexos serão disponibilizadas com novo aceite quando necessário, sem exigir que o médico abandone o fluxo em que estiver, na medida do suportado pelo produto.

Aplica-se a legislação brasileira.

Anexo A — Operações e instruções

Titulares: pacientes, acompanhantes e terceiros cujos dados sejam capturados ou inseridos nas consultas do Controlador.

Categorias de dados: identificação e contato do paciente; áudio; transcrição; rascunhos e versões de prontuário; representações numéricas de trechos clínicos para busca por IA; assuntos para retomar; metadados técnicos da consulta.

Recursos autorizados: captura, transcrição, geração e revisão de documento, armazenamento, exportação (PDF, cópia, impressão), compartilhamento externo iniciável no produto, consulta por IA ao histórico (planos elegíveis) e Assuntos para retomar (quando habilitado).

Finalidade: apoio à documentação clínica sob responsabilidade do Controlador.

Base legal: definida pelo Controlador para cada operação; tipicamente hipóteses do art. 11 da LGPD aplicáveis à tutela da saúde ou à obrigação profissional, conforme o caso.

Usuários autorizados: titular da conta individual CareScript (sem contas de equipe no MVP).

Instruções: ações e configurações na plataforma e pedidos lícitos ao atendimento.

Registros de assinatura e motivo de cancelamento pertencem à administração da plataforma: o CareScript é controlador dessas operações (Aviso de Privacidade).

Anexo B — Destinatários e transferências

Regime de suboperadores: autorização geral aos listados neste Anexo. Mudanças relevantes serão avisadas por e-mail; a objeção pode ser exercida pelo cancelamento da conta ou da renovação.

• Supabase (suboperador) — Dados e finalidade: autenticação, banco de dados e armazenamento temporário de áudio. Países e acesso: conforme a região contratada do projeto. Retenção: enquanto houver conta ou conforme as janelas de áudio do Anexo C. Transferência internacional: cláusulas-padrão da ANPD e salvaguardas do fornecedor, se houver transferência.
• Google Cloud (suboperador) — Dados e finalidade: API, processamento, filas e sinais operacionais do processamento. Países e acesso: conforme a região dos serviços usados. Retenção: conforme logs e filas operacionais. Transferência internacional: idem.
• Vercel (suboperador) — Dados e finalidade: hospedagem do frontend e distribuição de conteúdo. Países e acesso: conforme a rede de distribuição e a região do fornecedor. Retenção: conteúdo estático e sessão conforme configuração. Transferência internacional: idem.
• Deepgram (suboperador) — Dados e finalidade: áudio para transcrição. Países e acesso: processamento fora do Brasil é possível. Retenção: sem garantia de retenção zero; sem uso para melhoria do serviço de transcrição (opt-out ativo). Transferência internacional: idem.
• OpenRouter com rota Azure (suboperador) — Dados e finalidade: texto necessário à geração de documentos, consulta por IA ao histórico, representações para busca por IA e Assuntos para retomar. Países e acesso: processamento fora do Brasil é possível (Azure). Retenção: solicitações enviadas com a configuração de retenção zero do provedor, conforme suas condições; sem treinamento autorizado por este Termo. Transferência internacional: idem.
• Stripe (destinatário e controlador próprio em parte do pagamento) — Dados e finalidade: e-mail e identificadores de cliente e assinatura; dados do cartão tratados no provedor. Países e acesso: conforme Stripe. Retenção: ciclo comercial e obrigações legais. Transferência internacional: políticas Stripe e LGPD.
• Resend (suboperador) — Dados e finalidade: e-mails transacionais; o nome do paciente pode constar no corpo (não no assunto) em avisos de prontuário pronto ou falha. Países e acesso: conforme Resend. Retenção: operacional de e-mail. Transferência internacional: idem.
• Zoho Mail — Hospedagem da correspondência de atendimento: remetentes, destinatários, assuntos, mensagens, anexos e respostas. Atua como operador do CareScript nesse serviço e como suboperador quando a solicitação exigir tratar dados assistenciais em nome do médico, conforme as instruções e medidas de proteção deste Termo. O canal não é destinado ao envio de áudios, transcrições ou prontuários. A correspondência segue as condições de conservação do Aviso de Privacidade, inclusive para exclusão e cópias de segurança. O tratamento pode envolver transferência internacional, sujeita às salvaguardas aplicáveis descritas neste Anexo.
• Telegram (destinatário operacional no MVP) — Dados e finalidade: alertas de conta; no início da transcrição, identificador da transcrição ou da consulta, origem, duração do áudio e dados do médico — sem nome do paciente. Países e acesso: conforme Telegram. Retenção: alertas operacionais provisórios. Transferência internacional: idem.
• Sentry (suboperador) — Dados e finalidade: erros e contexto técnico com redução de dados. Países e acesso: conforme Sentry. Retenção: ciclo de erro e telemetria. Transferência internacional: idem.
• Hotjar (suboperador, se habilitado) — Dados e finalidade: análise de navegação com supressões. Países e acesso: conforme Hotjar. Retenção: enquanto habilitado. Transferência internacional: idem; cookies não essenciais exigem base adequada.
• Grafana Cloud (suboperador, se habilitado) — Dados e finalidade: métricas comerciais agregadas. Países e acesso: conforme Grafana. Retenção: enquanto habilitado. Transferência internacional: idem.

Anexo C — Retenção e saída

• Áudio — recuperação ou upload pendente. Gatilho: fragmentos locais ou upload pendente. Prazo: até 48 horas. Observação: remoção após confirmação ou vencimento.
• Áudio — plano Gratuito acima de 15 minutos sem escolha. Gatilho: aguardando escolha de plano ou processamento parcial. Prazo: 48 horas. Observação: sem escolha, eliminação sem resultado.
• Áudio — processamento confirmado. Gatilho: entrada na fila de processamento. Prazo: 24 horas. Observação: a limpeza após conclusão ou falha pode antecipar o prazo.
• Áudio — falha técnica. Gatilho: cancelamento por falha. Prazo: imediato.
• Áudio — limpeza automática. Gatilho: rotina periódica. Prazo: partes do áudio com mais de 48 horas fora da janela válida.
• Dados clínicos na conta (transcrição, versões, representações para busca por IA, assuntos para retomar). Gatilho: uso do serviço. Prazo: enquanto a conta existir e não houver eliminação lícita; mudança de plano pode ocultar sem apagar. Observação: a guarda do prontuário oficial é do médico.
• Conta e cobrança. Gatilho: cadastro e assinatura. Prazo: enquanto necessário ao contrato e às obrigações legais. Observação: o CareScript atua como controlador nessas operações.
• Cópias de segurança. Gatilho: backup. Prazo: até o fim do ciclo de backup. Observação: a restauração respeita eliminações já determinadas.
• Exportação. Gatilho: pedido do Controlador. Prazo e destino: PDF por prontuário no produto; cópia integral manual via atendimento. Observação: sem exportação automática; sem prazo público prometido.

Anexo D — Segurança e verificação

Medidas do CareScript (MVP): autenticação; isolamento por conta; armazenamento privado de áudio; trilhas de auditoria; redução de conteúdo em logs; parâmetros de não treinamento e restrição de retenção nos fornecedores de IA e transcrição conforme Anexo B.

Evidências: mediante pedido justificado do Controlador, informações compatíveis com a segurança das demais contas. Periodicidade: sob demanda razoável no MVP.

Anexo E — Atendimento e incidentes

Contatos CareScript: suporte@carescript.com.br e página de Contato; privacidade: Caio Pontes Gandra.

Solicitações de direitos: triagem e verificação proporcional; encaminhamento ao Controlador quando ele for o decisor; assistência com PDF e cópia integral manual.

Cópia integral: preparada manualmente pelo atendimento, sem prazo prometido neste Termo.

Incidentes: primeiro aviso ao Controlador em até 72 horas após a confirmação interna do incidente que afete dados tratados em seu nome, ou antes se o risco exigir, pelo canal acima.

Anexo F — Aceite

Forma: aceite eletrônico ao criar a conta, mediante a declaração exibida na tela de cadastro com links para os Termos de Uso, este Termo e o Aviso de Privacidade, com registro da versão de cada documento na conta. Data: data/hora do aceite. Identificação do Controlador: dados da conta. Não há assinatura manuscrita no MVP.