Anexo de tratamento de dados

Este anexo integra os termos de uso do Dula Pro e descreve o tratamento de dados pessoais que o Dula realiza por sua conta, quando você usa o sistema para atender as suas pacientes.

• Você é a controladora — decide quais dados coletar das suas pacientes, para quê, com que base legal e por quanto tempo (LGPD, Lei 13.709/2018, art. 5º, VI).
• O Dula é o operador — trata esses dados em seu nome e conforme as suas instruções (art. 5º, VII), sem finalidade própria.

Este anexo não se aplica aos seus próprios dados de cadastro profissional: sobre eles, o Dula é o controlador, e quem explica esse tratamento é o aviso de privacidade. A identificação completa do operador (razão social e CNPJ a definir) será incluída na versão revisada deste texto.

As funções do produto são as suas instruções documentadas. Ao usar uma funcionalidade — cadastrar uma paciente, montar um plano, solicitar exames, gerar um link, acionar um rascunho de IA, enviar uma mensagem — você nos instrui a tratar os dados necessários àquela função, e apenas eles. O que o sistema faz está descrito nos termos e no aviso de privacidade; nada além disso é tratado por iniciativa nossa.

Qualquer tratamento fora dessas funções depende de instrução sua por escrito, pelo canal de contato. Não usamos os dados das suas pacientes para finalidade própria, para desenvolver produtos, para estatísticas comerciais ou para treinar modelos de inteligência artificial.

Se uma instrução sua parecer contrária à LGPD ou a outra norma aplicável, informaremos você antes de executá-la e poderemos recusá-la (LGPD art. 39, combinado com o art. 42, §1º, I).

• Natureza das operações — coleta, registro, armazenamento, organização, consulta, processamento, transmissão à titular quando você determina, e eliminação.
• Finalidade — permitir que você preste assistência nutricional às suas pacientes e documente esse atendimento.
• Categorias de dados — identificação e contato; dados de saúde e antropométricos; exames e laudos; registros alimentares; planos, orientações e prontuário; mensagens e documentos anexados; fotos de acompanhamento; registros de consentimento, incluindo o TCLE; e dados financeiros das cobranças que você emite. Boa parte é dado pessoal sensível (saúde), e todo este anexo foi escrito partindo disso.
• Categorias de titulares — as suas pacientes e, quando você os registra, terceiros ligados a elas (parceiro, bebê, familiares).
• Duração — enquanto durar a sua conta, respeitados os prazos legais de guarda e a sua decisão de retenção.

Suboperadores são os fornecedores que tratam dados por nossa conta, assim como nós tratamos por sua. Você autoriza o Dula a subcontratar os necessários à operação do sistema. Hoje são estes, todos obrigados a confidencialidade e a padrões de segurança equivalentes aos deste anexo:

• Supabase (Estados Unidos) — banco de dados, autenticação e armazenamento de arquivos.
• Vercel (Estados Unidos) — hospedagem e entrega da aplicação web.
• Resend (Estados Unidos) — envio dos e-mails de acesso e de redefinição de senha.
• Anthropic (Estados Unidos) — modelo de linguagem dos rascunhos, acionado por você; recebe os dados clínicos necessários à tarefa, incluindo o nome da paciente e, na importação, o próprio arquivo como você o enviou. Conforme os termos comerciais contratados, não usa esses dados para treinar modelos e os retém apenas pelo período de segurança previsto nesses termos.
• Meta (WhatsApp Business) (Estados Unidos) — apenas se o canal estiver ativado na sua conta e houver consentimento registrado da paciente; recebe o número e o texto da mensagem e devolve as respostas dela. Hoje esse canal está em ambiente de testes e nada sai por ele.
• Expo (Estados Unidos) — avisos no celular de uma paciente vinculada (entrega de conteúdo, lembretes, recados), com texto fixo e sem conteúdo clínico.
• ViaCEP (Brasil) — consulta pública de CEP feita pelo seu navegador no cadastro.

Há funcionalidades construídas mas inativas, sem fornecedor contratado e sem chaves — transcrição de áudio (cujo endpoint padrão é o da OpenAI), busca de estabelecimentos por localização, sincronização com o Google Agenda e vídeo da teleconsulta. Enquanto estiverem inativas, nenhum dado sai por elas.

Antes de incluir um novo suboperador que trate dados das suas pacientes, avisaremos você com pelo menos 30 dias de antecedência. Você pode se opor: nesse caso, exporte os seus dados e encerre a conta sem custo e sem multa, dentro desse prazo. Respondemos pelos suboperadores como se fossem nós.

Medidas técnicas e organizacionais em vigor:

• Isolamento por consultório — as tabelas clínicas são filtradas por consultório pelo próprio banco de dados. As tabelas de catálogo compartilhado são legíveis por todas as usuárias. A página do link da paciente é autorizada pelo código, com o token e o consultório como chave, e auditada.
• Criptografia — em trânsito e em repouso. Senhas são guardadas apenas em forma cifrada, não reversível.
• Arquivos clínicos — fotos, exames e anexos são lidos apenas por endereços assinados e temporários, nunca por pastas públicas.
• Link da paciente — o código do link nunca é guardado, apenas o seu resumo criptográfico; ele expira, pode ser revogado, tem limites de tentativas e cada abertura bem-sucedida é registrada.
• Trilha de auditoria — as alterações sensíveis (publicações, exclusões, exportações, consentimentos, aberturas do link da paciente) ficam registradas e são legíveis por você, no seu consultório. A simples leitura de um prontuário, hoje, não gera registro.
• Documentos assinados — o manifesto guarda um resumo criptográfico do conteúdo assinado. Uma solicitação de exame assinada não muda mais; um plano ou um registro de prontuário pode ser reaberto por você para correção, e cada nova publicação recebe uma nova assinatura, com as anteriores preservadas.
• Acesso da nossa equipe — existe um perfil administrativo, usado pela equipe para suporte e operação, que pode ler e alterar dados em qualquer consultório; ele é concedido ao menor número possível de pessoas, todas sujeitas a dever de sigilo. Só as ações feitas pelo próprio sistema ficam na trilha de auditoria; um acesso direto ao banco de dados não gera registro hoje, e essa é uma pendência desta revisão.

Todas as pessoas com acesso técnico ao ambiente estão sujeitas a dever de sigilo, que permanece depois do fim do vínculo. O acesso é concedido pelo menor escopo necessário à tarefa e revogado quando ela termina. Ninguém da equipe lê prontuário para conhecer o caso.

• Direitos das titulares — o sistema traz, em Configurações, a exportação dos dados de uma paciente, a exportação de todo o consultório e a exclusão definitiva, para que você responda aos pedidos do art. 18 sem depender de nós e sem prazo de espera. A exportação traz os dados em JSON, com exceção dos registros de prontuário, da antropometria e de alguns registros auxiliares; para esses, peça pelo canal de contato enquanto a exportação não os inclui. Se houver registros de prontuário, uma exclusão preserva esses registros e a prova do consentimento, e anonimiza o cadastro da paciente em vez de apagá-lo. Um pedido de paciente sua que chegue a nós é encaminhado a você, não respondido por nós.
• Incidentes — comunicaremos você sem demora injustificada assim que tivermos conhecimento de um incidente que possa acarretar risco ou dano relevante, com o que aconteceu, quais dados foram afetados e o que fizemos, dentro do prazo da regulamentação da ANPD — hoje, três dias úteis (Resolução CD/ANPD nº 15/2024). A comunicação às titulares cabe a você, como controladora, e nós damos o conteúdo técnico de que você precisa.
• Relatório de impacto — se você elaborar um relatório de impacto à proteção de dados pessoais (LGPD art. 38), forneceremos, mediante pedido, as informações sobre o tratamento que estão sob o nosso controle.
• Autoridade — cooperamos com pedidos legítimos da ANPD e informamos você quando a lei permitir.

Os suboperadores listados, com exceção do ViaCEP, processam dados nos Estados Unidos, o que caracteriza transferência internacional (LGPD art. 33). A hipótese aplicável é a das cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024). A incorporação dessas cláusulas aos contratos com esses fornecedores ainda não foi concluída e é uma pendência desta revisão; a situação de cada um constará da versão revisada, junto com a região de hospedagem do banco de dados.

Mediante pedido razoável e não mais de uma vez por ano, forneceremos as informações necessárias para demonstrar o cumprimento deste anexo: descrição das medidas de segurança, lista atualizada de suboperadores, esclarecimentos sobre fluxos de dados — e o nosso registro das operações de tratamento realizadas por sua conta (LGPD art. 37).

Não realizamos hoje auditorias presenciais, nem possuímos certificações de segurança independentes. O que oferecemos é evidência documental e resposta direta às suas perguntas.

A exportação está em Configurações e funciona a qualquer momento, inclusive antes de encerrar a conta — a devolução dos dados não depende de pedido nem de prazo nosso, respeitadas as exceções da seção 7.

A guarda do prontuário por 20 anos a contar do último registro é dever seu (Resolução CFN 594/2017; Lei 13.787/2018, art. 6º). Ao encerrar a conta você escolhe: exportar e receber os registros para a sua guarda, ou nos instruir por escrito a mantê-los em custódia por sua conta, sem outra finalidade.

Encerrada a conta pelo canal de contato, mantemos os demais dados disponíveis para exportação por, no mínimo, 60 dias e os eliminamos manualmente em seguida; não há hoje uma rotina automática para isso. Ficam retidas a prova dos consentimentos (Resolução CFN 760/2023) e a trilha de auditoria, que registra os atos praticados sem guardar o conteúdo clínico. Nesses casos, os dados não são usados para nenhuma outra finalidade.

Cada parte responde pelo que lhe cabe. O Dula responde solidariamente quando descumprir as obrigações legais de operador ou quando não seguir as suas instruções lícitas (LGPD art. 42, §1º, I). Você responde pelas decisões de tratamento que toma como controladora — quais dados coletar, com que base legal, o que registrar no prontuário e a quem enviar.

Este anexo vigora enquanto a sua conta existir e sobrevive ao seu encerramento no que for necessário à eliminação, à guarda legal e à responsabilidade das partes. Alterações relevantes serão comunicadas dentro do sistema com pelo menos 30 dias de antecedência, com direito de encerrar a conta antes de elas valerem.

Dúvidas sobre este anexo, ou pedido de informações para o seu próprio registro de conformidade: e-mail de contato a definir. Leia também os termos de uso e o aviso de privacidade.

Histórico de versões:

• 3 de setembro de 2026 — primeira versão deste anexo.