Acordo de tratamento de dados pessoais

Última atualização: · Versão · Imprimir ou salvar em PDF

Este Acordo de Tratamento de Dados Pessoais (o "Acordo") integra os Termos de Uso e Contrato de Assinatura do Painel StarMed e regula o tratamento de dados pessoais realizado pela (CNPJ , "StarMed" ou "Operadora") em nome do Cliente ("Controlador"), nos termos da Lei nº 13.709/2018 ("LGPD"). Os termos com inicial maiúscula têm o significado dado nos Termos ou na LGPD.

1. Papéis das partes
2. Objeto, natureza e finalidade
3. Titulares e categorias de dados
4. Instruções do Controlador
5. Obrigações do Controlador
6. Obrigações da Operadora
7. Medidas de segurança
8. Suboperadores
9. Transferência internacional
10. Direitos dos titulares
11. Incidentes de segurança
12. Auditoria e informações
13. Devolução e eliminação
14. Responsabilidades
15. Vigência e disposições finais

1. Papéis das partes

1.1. Em relação aos dados pessoais de Pacientes, de seus responsáveis legais e de terceiros registrados pelo Cliente no Painel, bem como aos dados de saúde e demais Dados do Cliente, o Cliente é o Controlador, a quem competem as decisões sobre o tratamento (LGPD, art. 5º, VI), e a StarMed é a Operadora, que realiza o tratamento em nome do Controlador (art. 5º, VII).

1.2. Em relação aos dados cadastrais, de autenticação, de uso e de segurança dos Usuários e aos dados de faturamento do Cliente, a StarMed atua como controladora, conforme a Política de Privacidade. Para os dados cadastrais e de contato dos Usuários, o Cliente também é controlador quanto à relação de trabalho ou de prestação de serviços que mantém com eles.

1.3. Quando o Cliente tiver mais de uma clínica ou unidade na mesma Conta, o Cliente é o Controlador de todas, salvo se informar à StarMed, por escrito, outro controlador responsável por determinada unidade.

2. Objeto, natureza e finalidade do tratamento

2.1. A StarMed trata os Dados do Cliente exclusivamente para prestar o Serviço contratado: armazenar, organizar, exibir, processar, transmitir, fazer cópias de segurança, gerar documentos, relatórios e notificações, executar as integrações e funcionalidades acionadas pelo Cliente (inclusive as de inteligência artificial) e prestar suporte.

2.1-A. Para apurar as Horas de Teleconsulta do plano, a StarMed registra o tempo de presença simultânea do Profissional de Saúde e do Paciente na sala de vídeo e exibe ao Administrador o histórico de uso com data, duração, profissional e nome abreviado do Paciente. Esse tratamento é necessário à execução do contrato e não envolve o conteúdo da consulta.

2.1-B. Quando o Controlador ativa as conversões offline do Google Ads, a StarMed, por instrução dele: (a) disponibiliza o script que registra, no navegador do visitante do site do Controlador, o identificador do clique no anúncio por até 90 dias; (b) relaciona o código do anúncio informado no cadastro do Paciente ao clique registrado; e (c) envia à conta de Google Ads do próprio Controlador a conversão correspondente, nos limites descritos na seção 8. O envio de telefone e e-mail criptografados ocorre somente para Pacientes cujo consentimento específico tenha sido registrado pelo Controlador, e cessa quando o consentimento é retirado. Cabe ao Controlador a base legal, o aviso de cookies e a política de privacidade do seu site e a coleta e o registro desses consentimentos.

2.1-C. A Base de Marcas de medicamentos e os demais conteúdos de referência do Painel são dados públicos ou da própria StarMed e não envolvem tratamento de Dados do Cliente.

2.2. O tratamento dura enquanto vigorar a relação entre as partes, acrescido dos prazos da seção 13.

2.3. A StarMed não trata os Dados do Cliente para finalidades próprias, não os vende, aluga ou comercializa, não os usa para publicidade, perfilamento comercial ou para treinar modelos de inteligência artificial, e não os compartilha com terceiros, exceto Suboperadores (seção 8) ou por obrigação legal (seção 6.1, f). A geração de estatísticas agregadas e anonimizadas para operar, proteger e melhorar o Serviço é permitida, desde que os dados não permitam identificar Cliente, Usuário ou titular, inclusive por meios razoáveis de reversão.

3. Titulares e categorias de dados

O Controlador decide quais dados insere. Dados de crianças e adolescentes devem ser tratados no seu melhor interesse e com o consentimento ou a representação de pelo menos um dos pais ou responsável legal, quando exigido (LGPD, art. 14).

4. Instruções do Controlador

4.1. Constituem instruções documentadas do Controlador: (a) estes Termos e este Acordo; (b) as configurações, permissões e ações realizadas pelo Cliente e pelos Usuários no Painel; (c) as integrações e funcionalidades que o Cliente ativar; e (d) instruções escritas adicionais aceitas pela StarMed.

4.2. A StarMed informará o Controlador se, em sua opinião, uma instrução violar a LGPD ou outra norma, podendo suspender seu cumprimento até a confirmação ou adequação da instrução.

4.3. A criação de chaves de acesso à API e o cadastro de webhooks ou de agentes de IA pelo Controlador constituem instrução para que a StarMed forneça ao sistema indicado os dados alcançados pelas permissões e eventos escolhidos. Esses sistemas são contratados e controlados pelo Controlador, não são Suboperadores da StarMed e não estão sujeitos à seção 8; cabe ao Controlador celebrar com seus fornecedores os instrumentos exigidos pela LGPD. A API não fornece prontuário, exames, documentos clínicos nem dados financeiros.

5. Obrigações do Controlador

O Controlador declara e garante que:

1. possui base legal válida (LGPD, arts. 7º e 11) para todo dado que inserir, importar ou coletar pelo Painel, inclusive pelos links públicos de agendamento e questionários, e para as instruções dadas à StarMed;
2. informou os titulares sobre o tratamento, de forma clara, inclusive sobre o uso de fornecedores de tecnologia como a StarMed, e manterá sua própria comunicação de privacidade, quando aplicável;
3. obterá e registrará os consentimentos necessários, por exemplo para gravação de consultas, inclusão de CID em atestados, comunicações de marketing e uso de imagem;
4. concederá acesso aos dados apenas a Usuários que deles necessitem, orientados sobre sigilo, e restringirá o acesso ao prontuário a Profissionais de Saúde;
5. atenderá às solicitações dos titulares e da Autoridade Nacional de Proteção de Dados (ANPD) que lhe couberem como controlador, e indicará seu encarregado quando exigido;
6. é o responsável pela guarda legal do prontuário e pela comunicação de incidentes à ANPD e aos titulares, quando exigida, com o apoio da StarMed.

6. Obrigações da Operadora

6.1. A StarMed se obriga a:

1. tratar os Dados do Cliente somente conforme as instruções do Controlador e para as finalidades deste Acordo;
2. garantir que seus colaboradores e prestadores autorizados a tratar Dados do Cliente estejam sujeitos a dever de confidencialidade e recebam orientação sobre proteção de dados;
3. limitar o acesso de sua equipe ao mínimo necessário para suporte, manutenção e segurança, sem acesso ao conteúdo do prontuário pelo modo de suporte, que é, em regra, somente de leitura, e registrar as alterações feitas;
4. adotar as medidas de segurança da seção 7 e mantê-las atualizadas;
5. manter registro das operações de tratamento que realizar (LGPD, art. 37);
6. não divulgar Dados do Cliente a terceiros, salvo Suboperadores ou por determinação legal ou judicial, caso em que, quando permitido, avisará previamente o Controlador e fornecerá apenas o estritamente exigido;
7. apoiar o Controlador, na medida do razoável e considerando a natureza do tratamento, no atendimento aos titulares, na elaboração de relatório de impacto à proteção de dados (art. 38) e no relacionamento com a ANPD;
8. comunicar o Controlador sobre incidentes de segurança, nos termos da seção 11;
9. não reter, copiar ou usar os Dados do Cliente após o término do tratamento, salvo nas hipóteses da seção 13.

6.2. A StarMed não é responsável por verificar a licitude, a exatidão ou a base legal dos dados inseridos pelo Controlador, nem por avaliar a adequação clínica dos registros, atribuições que cabem exclusivamente ao Controlador.

7. Medidas de segurança

A StarMed adota medidas técnicas e administrativas aptas a proteger os Dados do Cliente de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (LGPD, art. 46), entre elas:

• Criptografia em trânsito (HTTPS/TLS) em todas as conexões e criptografia em repouso pelo provedor de infraestrutura; chaves de integrações e segredos armazenados com criptografia adicional (AES-GCM).
• Senhas armazenadas apenas como código irreversível (PBKDF2 com salt), limite de tentativas de login, sessões em cookie protegido e verificação em duas etapas (TOTP) disponível para todos os Usuários, com opção de exigência pelo Administrador.
• Controle de acesso por perfil e permissão definidos pelo Cliente; isolamento lógico entre Contas; prontuário acessível apenas a Profissionais de Saúde vinculados.
• API e webhooks: chaves de acesso por Cliente, com permissões escolhidas por ele, guardadas só como código irreversível (SHA-256), revogáveis a qualquer momento e com limite de chamadas; avisos enviados apenas para endereços https e assinados (HMAC-SHA256); registro de cada chamada por 90 dias.
• Rastreabilidade: trilha de auditoria de acessos ao prontuário (abertura, criação, finalização, emissão de documentos, exportação) e histórico de atividades da equipe.
• Integridade: registros clínicos finalizados recebem assinatura de integridade (SHA-256) e não podem ser alterados; correções são feitas por adendo.
• Disponibilidade: cópias de segurança diárias em banco de dados separado, com retenção de até 90 dias, e rotina de contingência.
• Minimização: o áudio de consultas não é armazenado após a transcrição; as videochamadas da teleconsulta são criptografadas de ponta a ponta entre os navegadores (DTLS-SRTP) e não são gravadas; no resumo por IA, o nome do Paciente não é enviado ao provedor; links públicos (confirmação, questionário, validação) usam códigos aleatórios e exibem o mínimo de dados.
• Desenvolvimento seguro: revisão de permissões em cada funcionalidade, testes automatizados de acesso e separação entre ambiente de testes (com dados fictícios) e produção.

O Controlador reconhece que essas medidas, somadas às que lhe cabem (seção 5 e Termos, seção 11), oferecem nível de segurança adequado aos riscos do tratamento. A StarMed pode atualizar as medidas, desde que não reduza o nível geral de proteção.

8. Suboperadores

8.1. O Controlador concede autorização geral para que a StarMed contrate os Suboperadores abaixo e outros que venham a ser necessários para prestar o Serviço, desde que a StarMed: (a) imponha a eles obrigações de proteção de dados não menos protetivas que as deste Acordo; (b) permaneça responsável perante o Controlador pelo cumprimento dessas obrigações; e (c) mantenha esta lista atualizada.

8.2. A inclusão de novo Suboperador que trate dados de Pacientes será comunicada com 15 (quinze) dias de antecedência, por e-mail ou aviso no Painel. O Controlador pode se opor por motivo razoável relacionado à proteção de dados; não havendo solução, poderá cancelar a Assinatura sem ônus, com reembolso proporcional de valores pagos antecipadamente.

Serviços acionados diretamente pelo navegador do Usuário, como a consulta de endereço por CEP (ViaCEP) e o carregamento de fontes tipográficas (Google Fonts), recebem apenas o CEP digitado ou dados técnicos de conexão, e não dados de Pacientes armazenados no Painel.

9. Transferência internacional

Alguns Suboperadores podem tratar dados fora do Brasil. Nesses casos, a StarMed adota os mecanismos do art. 33 da LGPD e da regulamentação da ANPD (Resolução CD/ANPD nº 19/2024), como cláusulas contratuais de proteção de dados e garantias equivalentes oferecidas pelos fornecedores, e prioriza, quando disponível, o processamento no Brasil.

10. Direitos dos titulares

10.1. O Painel oferece ao Controlador meios para atender aos direitos do art. 18 da LGPD: consultar, corrigir e exportar dados de Pacientes, emitir cópias do prontuário, descadastrar comunicações e anonimizar ou excluir registros administrativos, observados os deveres legais de guarda.

10.2. Se a StarMed receber diretamente pedido de titular referente a Dados do Cliente, encaminhará o pedido ao Controlador em até 5 (cinco) dias úteis, sem respondê-lo no mérito, salvo para informar ao titular que o pedido foi encaminhado ao controlador responsável.

11. Incidentes de segurança

11.1. A StarMed comunicará o Controlador, sem demora injustificada e em até 48 (quarenta e oito) horas após tomar conhecimento, sobre incidente de segurança confirmado que afete Dados do Cliente, por e-mail ao Administrador e aviso no Painel.

11.2. A comunicação conterá, na medida em que estiverem disponíveis (e será complementada à medida que forem apuradas): a descrição da natureza do incidente; as categorias e a quantidade aproximada de titulares e de dados afetados; as medidas técnicas e de segurança utilizadas; os riscos relacionados; as medidas adotadas ou propostas para reverter ou mitigar os efeitos; e o contato para mais informações.

11.3. A comunicação à ANPD e aos titulares, quando exigida pela Resolução CD/ANPD nº 15/2024, é de responsabilidade do Controlador. A StarMed fornecerá as informações e o apoio razoáveis para que o Controlador cumpra os prazos regulamentares, e registrará o incidente.

11.4. A comunicação de um incidente pela StarMed não constitui reconhecimento de culpa ou de responsabilidade.

12. Auditoria e informações

12.1. Mediante solicitação escrita, a StarMed fornecerá ao Controlador as informações razoavelmente necessárias para demonstrar o cumprimento deste Acordo, por meio de documentação, respostas a questionários de segurança e relatórios de terceiros disponíveis, no prazo de até 30 dias.

12.2. Auditorias presenciais ou técnicas adicionais só serão realizadas quando exigidas por autoridade competente ou quando as informações do item 12.1 forem comprovadamente insuficientes, mediante aviso prévio de 30 dias, em horário comercial, por auditor independente sujeito a confidencialidade, sem acesso a dados de outros clientes ou a informações que comprometam a segurança, no máximo uma vez por ano e às custas do Controlador.

13. Devolução e eliminação dos dados

13.1. Durante a vigência e no período de modo consulta previsto nos Termos (mínimo de 90 dias após o encerramento), o Controlador pode exportar os Dados do Cliente, inclusive os prontuários, em formatos estruturados e de uso comum.

13.2. Encerrado o tratamento, a StarMed eliminará os Dados do Cliente mediante solicitação do Controlador ou após o período de modo consulta e aviso prévio, observado que: (a) prontuários só serão eliminados após a confirmação do Controlador de que recebeu a cópia e assumiu a guarda legal (Lei nº 13.787/2018), podendo, na falta de manifestação, permanecer armazenados e bloqueados exclusivamente para fins de guarda; (b) poderão ser conservados os dados necessários ao cumprimento de obrigação legal ou regulatória e ao exercício regular de direitos (LGPD, art. 16); (c) cópias de segurança são eliminadas no ciclo de rotação, de até 90 dias, e permanecem protegidas até lá.

14. Responsabilidades

14.1. Cada parte responde pelos danos que causar em violação à legislação de proteção de dados, nos termos dos arts. 42 a 45 da LGPD. A StarMed, como Operadora, responde quando descumprir as obrigações da legislação ou deixar de seguir as instruções lícitas do Controlador.

14.2. A StarMed não responde quando provar que não realizou o tratamento atribuído, que não houve violação à legislação de proteção de dados ou que o dano decorre de culpa exclusiva do titular, do Controlador ou de terceiro (LGPD, art. 43), inclusive de credenciais, equipamentos ou redes do Controlador e de seus Usuários.

14.3. Aplicam-se a este Acordo a limitação de responsabilidade e as regras de indenização dos Termos, salvo nos casos em que a lei vedar a limitação. O Controlador indenizará a StarMed por reclamações, sanções e custos decorrentes de tratamento realizado conforme suas instruções ou sem base legal por ele assegurada.

15. Vigência e disposições finais

15.1. Este Acordo vigora enquanto a StarMed tratar Dados do Cliente, inclusive após o término dos Termos, até a eliminação ou devolução dos dados.

15.2. Em caso de conflito entre este Acordo e os Termos sobre proteção de dados, prevalece este Acordo.

15.3. Contato da StarMed para assuntos de proteção de dados: , pelo e-mail .

Versão . Anexo dos Termos de Uso e Contrato de Assinatura do Painel StarMed.