Contrato de Tratamento de Dados Pessoais (DPA)

Controlador: [RAZÃO SOCIAL DO CONSULTÓRIO/CLÍNICA], inscrito no CNPJ/CPF nº [PREENCHER], com sede em [PREENCHER], doravante “Controlador”, representado por [PREENCHER], profissional de saúde responsável pelo tratamento clínico.

Operador: OCTOR LTDA, inscrita no CNPJ nº 47.947.003/0001-09, com sede em R. Raimundo Machado da Silva, 60 - Triângulo, Juazeiro do Norte - CE, 63041-187, doravante “Operador”, prestadora da plataforma de prontuário eletrônico e serviços correlatos (“Plataforma Octor”).

Controlador e Operador, conjuntamente “Partes”, celebram o presente Contrato de Tratamento de Dados Pessoais (“DPA”), em complemento ao contrato de licenciamento/uso da Plataforma Octor (“Contrato Principal”).

1.1. O Operador tratará dados pessoais e dados pessoais sensíveis (dados de saúde) em nome do Controlador, exclusivamente para:

• (a) armazenamento e gestão de prontuário eletrônico;
• (b) agendamento e gestão de atendimentos;
• (c) cadastro de pacientes e profissionais vinculados ao consultório;
• (d) emissão de documentos clínicos (atestados, prescrições, termos);
• (e) funcionalidades contratadas (ex.: assinatura eletrônica, integrações);
• (f) suporte técnico e operação da Plataforma.

1.2. O Operador não utilizará os dados para finalidade distinta da instrução documentada do Controlador, salvo obrigação legal, regulatória, determinação de autoridade competente ou necessidade ao exercício regular de direitos.

Aplicam-se as definições da Lei nº 13.709/2018 (LGPD). Em especial:

• Dados de saúde: informações relacionadas à saúde do titular constantes do prontuário, exames, prescrições e demais registros clínicos.
• Suboperador: terceiro contratado pelo Operador para tratamento parcial dos dados (infraestrutura, e-mail, integrações).

Lista detalhada consta do ROPA interno da Octor e pode ser atualizada mediante comunicação às Partes.

O Operador compromete-se a:

4.1. Tratar dados pessoais exclusivamente de acordo com as instruções documentadas do Controlador, ressalvadas as hipóteses em que o tratamento seja exigido por obrigação legal, regulatória, determinação de autoridade competente ou necessário ao exercício regular de direitos.

4.1.1. Caso determinada instrução seja manifestamente ilícita, tecnicamente inviável ou incompatível com a legislação aplicável, a Octor poderá recusá-la, suspendê-la ou solicitar sua adequação, sem que isso caracterize inadimplemento contratual.

4.2. Garantir que pessoas autorizadas a tratar dados estejam sujeitas a dever de confidencialidade.

4.3. Adotar medidas técnicas e administrativas de segurança adequadas, incluindo:

• criptografia em trânsito (HTTPS/TLS);
• criptografia em repouso para campos clínicos sensíveis (AES-256);
• controle de acesso por perfil (RBAC);
• registro de acesso e alterações em prontuário (trilhas de auditoria);
• backup automatizado conforme política de retenção acordada.

4.4. Não transferir dados para país ou organismo internacional sem base legal e autorização do Controlador quando exigível, informando suboperadores e localização (Anexo A).

4.5. Auxiliar o Controlador no atendimento aos direitos dos titulares (Art. 18 LGPD), no prazo de 15 (quinze) dias úteis após solicitação formal.

4.5.1. Caso a Octor receba diretamente solicitação de titular relacionada a dados tratados exclusivamente em nome do Controlador, poderá encaminhar o pedido ao Controlador para adoção das providências cabíveis.

4.5.2. Sempre que possível e juridicamente permitido, a Octor cooperará de forma razoável com o Controlador para atendimento dessas solicitações, podendo cobrar pelos custos extraordinários decorrentes de demandas complexas ou excessivas.

4.6. Manter procedimentos internos destinados à identificação, contenção, investigação e mitigação de incidentes de segurança envolvendo dados pessoais. Notificar o Controlador sobre incidente de segurança com dados pessoais que possa gerar risco relevante aos titulares em até 72 (setenta e duas) horas após a confirmação técnica do incidente, conforme Plano de Resposta a Incidentes da Octor, fornecendo, na medida do possível:

• I – natureza do incidente;
• II – categorias de dados afetadas;
• III – medidas já adotadas;
• IV – medidas recomendadas para mitigação dos impactos;
• V – informações adicionais disponíveis no momento da comunicação.

A comunicação inicial poderá ser complementada à medida que novas informações forem obtidas.

4.7. Eliminar ou devolver dados ao término do Contrato Principal, salvo retenção legal ou backup em ciclo de expiração documentado, conforme cláusula 9.

4.8. Disponibilizar informações necessárias para demonstrar conformidade e permitir auditorias razoáveis, conforme cláusula 13.

4.9. Prestar assistência razoável ao Controlador para o cumprimento das obrigações previstas na legislação de proteção de dados, observadas a natureza do tratamento, os recursos técnicos disponíveis e a proporcionalidade dos custos envolvidos. Atividades extraordinárias, desenvolvimentos específicos, consultorias, respostas complexas a fiscalizações ou suporte não previsto na prestação ordinária dos serviços poderão ser objeto de contratação e remuneração adicionais.

O Controlador compromete-se a:

5.1. Declarar e garantir que todos os dados pessoais submetidos à Plataforma foram coletados e serão tratados em conformidade com a legislação aplicável, responsabilizando-se integralmente pela existência da base legal pertinente (ex.: tutela da saúde, Art. 11 LGPD; execução de contrato).

5.1.1. O Controlador responderá exclusivamente por reclamações, sanções ou prejuízos decorrentes da ausência de fundamento jurídico para o tratamento dos dados por ele inseridos ou disponibilizados à Octor.

5.2. Informar titulares sobre o tratamento via aviso de privacidade adequado.

5.3. Instruir o Operador por escrito sobre tratamentos específicos, exportações e exclusões.

5.4. Manter credenciais de acesso seguras e gestão de perfis de sua equipe.

5.5. Responder a titulares e à ANPD como controlador, utilizando o Operador como apoio técnico quando aplicável.

6.1. A Octor não será responsável por decisões tomadas pelo Controlador quanto às finalidades do tratamento, período de retenção, compartilhamento com terceiros, atendimento aos direitos dos titulares ou qualquer outro aspecto relacionado às atividades típicas de Controlador.

6.2. As partes reconhecem que a conformidade com a legislação de proteção de dados depende do cumprimento das obrigações específicas atribuídas a cada uma pela legislação vigente.

6.3. Nenhuma disposição deste Acordo transfere à Octor responsabilidades legalmente atribuídas ao Controlador, nem ao Controlador responsabilidades próprias da Operadora.

7.1. O Controlador autoriza previamente a contratação de Suboperadores pela Octor para execução de atividades necessárias à prestação dos serviços, incluindo os listados no Anexo A (Matriz de Suboperadores), desde que vinculados a obrigações equivalentes às deste DPA.

7.2. A Octor permanecerá responsável pela seleção diligente dos Suboperadores e exigirá destes obrigações de proteção de dados compatíveis com aquelas assumidas neste instrumento. O Operador permanece responsável perante o Controlador pelos atos dos suboperadores.

7.3. A relação atualizada de Suboperadores poderá ser disponibilizada mediante solicitação a privacidade@octor.com.br ou por meio eletrônico indicado pela Octor.

7.4. O Operador notificará o Controlador com 30 (trinta) dias de antecedência sobre inclusão ou substituição de suboperador relevante, permitindo objeção fundamentada.

8.1. Os dados serão hospedados prioritariamente em território nacional (Brasil), em infraestrutura Hostoo (https://hostoo.io/). Datacenter/cidade: a confirmar formalmente com o provedor.

8.2. Quando houver transferência internacional de dados pessoais, a Octor adotará mecanismos juridicamente válidos para assegurar grau adequado de proteção, incluindo cláusulas contratuais, decisões de adequação, normas corporativas globais ou outros instrumentos admitidos pela legislação aplicável e reconhecidos pela ANPD.

8.3. Suboperadores com processamento fora do Brasil serão indicados no Anexo A.

9.1. As Partes manterão confidenciais os dados e informações acessadas em razão deste DPA.

9.2. A Octor assegurará que empregados, administradores, colaboradores, prestadores de serviço e Suboperadores autorizados a acessar dados pessoais estejam sujeitos a deveres de confidencialidade compatíveis com a natureza das informações tratadas.

9.3. A obrigação subsiste após o término do Contrato Principal por 5 (cinco) anos, ou pelo prazo legal de guarda de prontuário, o que for maior.

10.1. Ao encerrar o Contrato Principal, o Controlador poderá solicitar, em até 30 (trinta) dias:

• (a) exportação dos dados em formatos legíveis (CSV de cadastros, PDF/JSON de prontuários, anexos nos formatos originais); ou
• (b) eliminação certificada dos dados, exceto backups em ciclo de retenção.

10.2. Encerrada a prestação dos serviços, a Octor poderá eliminar os dados pessoais tratados em nome do Controlador após expirado o prazo contratualmente previsto para exportação, ressalvadas as hipóteses de retenção obrigatória por determinação legal, regulatória ou judicial.

10.3. A eliminação poderá ocorrer por exclusão lógica, anonimização ou outros métodos tecnicamente adequados. Snapshots de backup serão eliminados conforme política de continuidade operacional da Octor. A guarda legal do prontuário (mínimo 20 anos após o último registro, Lei nº 13.787/2018) aplica-se ao registro clínico primário, não a cada cópia de backup.

10.4. O Operador emitirá termo de eliminação ou confirmação de exportação em até 30 (trinta) dias úteis após solicitação.

11.1. Sem prejuízo das hipóteses de responsabilidade previstas em lei, cada parte responderá exclusivamente pelos danos decorrentes de seus próprios atos ou omissões, na medida de sua culpa ou dolo.

11.2. A responsabilidade total da Octor decorrente deste Acordo ficará limitada ao valor efetivamente pago pelo Controlador pelos serviços nos 12 (doze) meses anteriores ao evento que originou a reclamação, não respondendo por danos indiretos, lucros cessantes, perda de oportunidades, danos reputacionais ou prejuízos consequenciais.

11.3. As limitações previstas nesta cláusula não se aplicam às hipóteses de dolo ou culpa grave, nem às situações em que a limitação seja vedada pela legislação aplicável, inclusive violação grave de dados de saúde por negligência comprovada.

12.1. O Controlador poderá solicitar informações razoáveis acerca das medidas técnicas e organizacionais adotadas pela Octor para proteção dos dados pessoais.

12.2. Auditorias presenciais somente poderão ocorrer mediante prévio aviso mínimo de 30 (trinta) dias, durante horário comercial, desde que não comprometam a segurança da Plataforma, a confidencialidade de terceiros ou o funcionamento normal das operações. Ficam limitadas a uma vez por ano civil, salvo incidente grave.

12.3. A Octor poderá disponibilizar relatórios técnicos, certificações, questionários de segurança ou documentos equivalentes em substituição à auditoria presencial, sempre que suficientes para demonstrar conformidade.

12.4. Os custos decorrentes de auditorias solicitadas exclusivamente pelo Controlador correrão por sua conta.

13.1. Caso a Octor receba determinação judicial, administrativa ou regulatória relacionada aos dados tratados em nome do Controlador, poderá cumprir a ordem recebida, observadas as restrições legais.

13.2. Sempre que juridicamente permitido, o Controlador será previamente comunicado para que possa adotar as medidas que entender cabíveis.

14.1. Este DPA vigora pelo prazo do Contrato Principal e enquanto houver tratamento de dados pelo Operador em nome do Controlador.

14.2. As obrigações relativas à confidencialidade, proteção de dados, responsabilidade, limitação de responsabilidade, auditoria, cooperação com autoridades, solução de controvérsias e demais disposições que, por sua natureza, devam produzir efeitos após o término da relação contratual permanecerão vigentes pelo período necessário ao cumprimento de suas finalidades.

15.1. Alterações exigem instrumento escrito assinado pelas Partes.

15.2. Foro: Comarca de Juazeiro do Norte - CE, com renúncia a qualquer outro.

15.3. Em caso de conflito entre Contrato Principal e este DPA quanto a proteção de dados, prevalece o mais protetivo ao titular.

A tabela abaixo representa a matriz de suboperadores vigente em 13/08/2026. Versão completa: solicitar CSV datado em privacidade@octor.com.br.

Para solicitar a matriz completa e atualizada, entre em contato: privacidade@octor.com.br.