Termo de Adesão e Contrato de Operação de Dados Pessoais

Este Termo é firmado entre a pessoa jurídica ou o profissional que contrata a plataforma (a “Clínica”) e a Villo, inscrita no CNPJ 68.717.868/0001-40 (a “Villo”).

Quanto aos dados dos pacientes inseridos ou gerados na plataforma, a Clínica é a CONTROLADORA: é ela quem decide as finalidades do tratamento, mantém o vínculo assistencial com o titular e responde pelo prontuário perante o conselho profissional. A Villo é a OPERADORA: trata esses dados em nome da Clínica, nos limites deste Termo (LGPD, art. 5º, VI e VII).

Quanto aos dados de cadastro dos profissionais, à cobrança da assinatura e à operação, segurança e melhoria da própria plataforma, a Villo atua como controladora, conforme a Política de Privacidade.

No que diz respeito ao tratamento de dados pessoais, este Termo prevalece sobre os Termos de Uso e a Política de Privacidade em caso de divergência.

A Villo trata os dados de pacientes da Clínica exclusivamente para:

• prestar as funcionalidades contratadas: agenda, prontuário eletrônico, evolução, emissão e assinatura de documentos, financeiro, faturamento, comunicação com pacientes e recursos de inteligência artificial;
• manter a segurança da plataforma, prevenir fraude e abuso, e registrar as trilhas de auditoria e de acesso;
• cumprir obrigação legal ou regulatória e atender ordem de autoridade competente;
• prestar suporte técnico e corrigir defeitos, quando necessário à continuidade do serviço.

A Villo NÃO trata os dados de pacientes da Clínica para finalidade própria. Em especial: não os comercializa, não os usa para publicidade, e não os utiliza para treinar modelos de inteligência artificial próprios ou de terceiros.

O acesso da equipe técnica da Villo a dados de paciente ocorre apenas quando indispensável à operação, à investigação de incidente ou ao suporte solicitado pela Clínica, e está sujeito ao dever de confidencialidade da cláusula 8.

São tratados, em nome da Clínica:

• Dados de identificação e contato do paciente: nome, CPF, data de nascimento, telefone, e-mail e endereço.
• Dados pessoais sensíveis de saúde (LGPD, art. 11): prontuário, anamnese, evolução, diagnósticos e CID, prescrições, exames e resultados laboratoriais, antropometria, sinais vitais, odontograma e demais registros clínicos.
• Áudio da consulta e a transcrição dele resultante, quando a Clínica utiliza a gravação assistida.
• Conteúdo das conversas com o paciente por WhatsApp e por e-mail, incluindo áudios e imagens enviados por ele.
• Dados financeiros do atendimento: valores, forma de pagamento, cobranças e notas fiscais.
• Dados de convênio e faturamento TISS, incluindo códigos de diagnóstico e procedimentos.

A gravação da consulta capta a voz de todos os presentes na sala. O sistema é capaz de distinguir até seis falantes distintos, o que pode incluir acompanhantes, familiares, um segundo profissional, residente ou intérprete. Essas pessoas são titulares de dados pessoais ainda que não possuam cadastro na plataforma, e a informação a elas é responsabilidade da Clínica (cláusula 12).

Ao aceitar este Termo, a Clínica instrui a Villo a tratar os dados dos seus pacientes exclusivamente para as finalidades da cláusula 2, por meio dos suboperadores, provedores e parâmetros técnicos descritos no Anexo I.

As decisões técnicas de execução — escolha do modelo de transcrição e de linguagem, parâmetros de processamento, arquitetura de armazenamento e de segurança — são meio de cumprimento destas instruções e permanecem com a Villo, que responde por elas perante a Clínica.

A Villo não contratará novo suboperador com acesso a dado de paciente sem atualizar o Anexo I e comunicar a Clínica previamente. A Clínica poderá opor-se de forma fundamentada e, não havendo solução, rescindir este Termo sem ônus.

A Villo informará a Clínica caso entenda que uma instrução recebida viola a LGPD ou outra norma aplicável.

A prestação do serviço envolve os terceiros abaixo. Para cada um, indica-se a finalidade e a categoria de dado que efetivamente recebe:

• AssemblyAI (Estados Unidos) — transcrição de áudio. Recebe o áudio integral da consulta gravada e das mensagens de voz enviadas pelo paciente por WhatsApp.
• OpenAI (Estados Unidos) — geração da nota clínica estruturada (SOAP), assistente do profissional, assistente de atendimento por WhatsApp, busca semântica no prontuário, leitura de imagens enviadas pelo paciente e relatórios analíticos. Recebe a transcrição da consulta, o nome do paciente, alergias, doenças crônicas, tipo sanguíneo, sinais vitais, diagnósticos, prescrições, o conteúdo das conversas e, quando enviadas, imagens clínicas.
• LlamaIndex / LlamaParse (Estados Unidos) — leitura óptica de documentos anexados ao prontuário. Recebe o documento integral.
• Meta Platforms (Estados Unidos e Irlanda) — mensageria oficial do WhatsApp. Recebe telefone, nome e o conteúdo das mensagens trocadas.
• Resend (Estados Unidos) — envio de e-mail. Recebe nome, e-mail, o conteúdo da mensagem e eventuais documentos anexados.
• Asaas (Brasil) — meios de pagamento. Recebe os dados cadastrais e fiscais da Clínica e, para emissão de cobrança, os dados de identificação do paciente pagador.
• Focus NFe (Brasil) — emissão de nota fiscal de serviço. Recebe nome e CPF ou CNPJ do tomador do serviço e os valores da nota.
• Supabase (Estados Unidos) — banco de dados e armazenamento de arquivos, onde residem os dados da plataforma, incluindo o prontuário, os arquivos de áudio e os documentos emitidos.
• Sentry (Estados Unidos) — registro técnico de falhas, com metadados sanitizados para não conter conteúdo clínico.
• Google (Estados Unidos) — videochamada de teleconsulta, quando utilizada. A chamada ocorre na infraestrutura do Google, fora da plataforma Villo, e não é gravada por ela.
• SafeWeb / SafeID (Brasil) — assinatura digital em nuvem de documento clínico. No fluxo em que é utilizada, recebe o PDF integral do documento a ser assinado.

Parceiros comerciais não recebem dado de paciente. A integração de locação de salas com a Nargos expõe apenas contadores agregados e a disponibilidade livre ou ocupada de uma sala por turno — nunca nome de paciente ou de profissional.

A Clínica pode desligar, nas configurações, os módulos que envolvam terceiros que não deseje utilizar; nesse caso, os dados correspondentes deixam de ser enviados.

Parte dos suboperadores do Anexo I está sediada fora do Brasil, com processamento nos Estados Unidos. São eles: AssemblyAI, OpenAI, LlamaIndex, Meta, Resend, Sentry, Google e Supabase.

Como salvaguardas, a Villo mantém, de forma verificável na configuração das contas junto a esses fornecedores:

• eliminação do conteúdo enviado no prazo máximo de 24 horas, aplicável à AssemblyAI e à OpenAI, que são os fornecedores que recebem conteúdo clínico;
• desligamento do uso do conteúdo enviado para treinamento ou melhoria dos modelos do fornecedor;
• limitação contratual de finalidade ao serviço prestado;
• transmissão exclusivamente por canal cifrado.

A qualificação formal da transferência entre as hipóteses do art. 33 da LGPD está em análise jurídica. Até a conclusão, valem as salvaguardas acima, e a Villo comunicará a Clínica sobre o enquadramento adotado.

A Villo adota, entre outras, as seguintes medidas técnicas (LGPD, art. 46):

• Criptografia em repouso, com AES-256-GCM, do conteúdo clínico textual: transcrição, nota SOAP, evolução, lista de problemas, conduta e eixos de acompanhamento, mensagens de WhatsApp, memória das conversas dos assistentes e códigos de diagnóstico das guias de convênio.
• Criptografia em repouso das credenciais de integração da Clínica: chave da subconta de pagamentos, token de acesso do WhatsApp, credencial de assinatura digital e configuração fiscal.
• Criptografia em trânsito em todas as comunicações.
• Segregação por organização aplicada na camada de acesso ao banco de dados, de modo que uma consulta nunca alcance dados de outra clínica.
• Controle de acesso por perfil, com os papéis de proprietário, administrador e membro.
• Trilha de auditoria das alterações e trilha específica de acesso a dados de paciente, ambas consultáveis pela Clínica.
• Verificação de assinatura nos webhooks recebidos de terceiros e expiração curta nos links de acesso a arquivos.

Limitações que a Clínica precisa conhecer, e que são descritas aqui por transparência:

• O arquivo de áudio da consulta é armazenado sem camada adicional de criptografia da Villo. Ele é protegido pelos controles de acesso do provedor de armazenamento e servido apenas por rota autenticada, sem endereço público.
• Dentro de uma mesma clínica, profissionais com vínculo ativo podem acessar o conteúdo clínico dos atendimentos da organização. A segregação assegurada por este Termo é entre clínicas distintas; o controle sobre quem, dentro da equipe, tem acesso ao quê decorre da atribuição de papéis feita pela Clínica.
• Nenhum sistema é imune a falhas. As medidas acima reduzem risco, não o eliminam.

A Villo obriga-se a manter sigilo sobre os dados de pacientes a que tiver acesso, obrigação que subsiste ao término deste Termo. Os empregados, prestadores e suboperadores da Villo estão submetidos a dever de confidencialidade equivalente, e a Villo responde perante a Clínica pelos atos deles.

A Villo comunicará a Clínica sem demora injustificada e, no máximo, em 48 horas a contar do momento em que tomar conhecimento de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

A comunicação incluirá, na medida do apurado: a natureza do incidente, as categorias e o volume aproximado de dados e de titulares atingidos, as medidas técnicas adotadas e as recomendações à Clínica.

A comunicação à Autoridade Nacional de Proteção de Dados e aos titulares compete à Clínica, na condição de controladora, com o apoio técnico e informacional da Villo.

A Villo auxilia a Clínica a atender aos pedidos previstos no art. 18 da LGPD, na medida da sua função de operadora. Estão disponíveis na plataforma:

• correção de dados cadastrais e clínicos pelo profissional responsável;
• anonimização do paciente, que remove os dados identificáveis mantendo os registros exigidos por obrigação legal;
• acesso do titular, pelo portal do paciente, aos seus agendamentos, pagamentos e documentos assinados;
• consulta, pela Clínica, à trilha de acesso aos dados de cada paciente;
• descadastro de comunicações por link próprio em cada mensagem enviada.

A plataforma ainda não dispõe de função automatizada de portabilidade em formato interoperável nem de relatório de confirmação de tratamento. Pedidos dessa natureza são atendidos mediante solicitação da Clínica, com apoio da Villo, em prazo compatível com o do art. 19 da LGPD.

A Villo não responde diretamente a titulares sobre dados tratados em nome da Clínica; recebendo pedido dessa natureza, encaminha-o à Clínica.

Os dados permanecem disponíveis à Clínica enquanto vigente a contratação. A guarda do prontuário observa os prazos da regulação profissional aplicável — entre eles, vinte anos a contar do último registro para o prontuário médico (Resolução CFM nº 1.821/2007), e os prazos próprios das resoluções do CFP, do COFFITO e do CFFa para as demais áreas atendidas pela plataforma.

Nos suboperadores que recebem conteúdo clínico, AssemblyAI e OpenAI, o conteúdo enviado é eliminado no prazo máximo de 24 horas, conforme a cláusula 6.

Encerrada a contratação, a Clínica terá 30 dias corridos para exportar os seus dados. Decorrido esse prazo, e mediante solicitação da Clínica, a Villo eliminará ou anonimizará os dados de pacientes, ressalvados os registros cuja manutenção seja exigida por obrigação legal ou necessária ao exercício regular de direitos, e as trilhas de auditoria e de segurança.

A eliminação de dados que estejam sob prazo mínimo de guarda profissional depende de decisão da Clínica, a quem cabe a responsabilidade pela custódia do prontuário.

Na condição de controladora, cabe à Clínica:

• definir e registrar a base legal de cada tratamento que realiza, e informar os titulares na forma do art. 9º da LGPD;
• informar o paciente e obter a autorização necessária ANTES de gravar a consulta, inclusive quanto a acompanhantes e demais presentes. A plataforma não coleta essa autorização automaticamente, e a existência do recurso de gravação não supre esse dever;
• assegurar base legal para as comunicações enviadas por WhatsApp e e-mail. Os contatos cadastrados nascem habilitados a receber comunicações, e cabe à Clínica respeitar pedidos de descadastro e revogação;
• atribuir a cada membro da equipe o papel compatível com a sua função real, ciente do alcance de acesso descrito na cláusula 7;
• manter a veracidade dos dados de registro profissional e responder pelos atos clínicos, prescrições, laudos e documentos emitidos, que são de responsabilidade do profissional habilitado;
• zelar pelas credenciais de acesso e pela custódia do certificado digital, que é pessoal e intransferível;
• revisar o conteúdo gerado por inteligência artificial antes de incorporá-lo ao prontuário ou de assinar qualquer documento.

Comunicações relativas a este Termo, a pedidos de titulares e a incidentes de segurança devem ser dirigidas ao contato de privacidade da Villo indicado ao final deste documento.

A Clínica indicará à Villo o seu próprio encarregado ou pessoa de contato para assuntos de proteção de dados, mantendo-o atualizado.

A Clínica declara ciência, em especial, de que:

• os recursos de inteligência artificial — transcrição, nota SOAP, assistentes, busca e relatórios — são apoio à decisão, sujeitos a revisão do profissional responsável, e não substituem o julgamento clínico;
• o assistente de atendimento por WhatsApp conversa diretamente com o paciente e realiza triagem de urgência, orientando-o a procurar atendimento imediato diante de sinais de gravidade. Ele não realiza diagnóstico nem substitui avaliação profissional;
• a plataforma aplica limites de envio no WhatsApp e pode suspender disparos de forma preventiva para preservar a reputação do número da Clínica junto à Meta;
• fora da janela de 24 horas desde a última mensagem do paciente, o WhatsApp só permite mensagens a partir de modelos previamente aprovados, com custo por envio;
• a assinatura digital depende de certificado ICP-Brasil pessoal do profissional, cuja autorização de uso permanece válida por até 12 horas por sessão;
• a emissão de nota fiscal pressupõe a custódia, pela plataforma, do certificado digital da Clínica;
• a teleconsulta ocorre em serviço de videochamada de terceiro, fora da plataforma, que não a grava nem a armazena;
• o painel de chamada exibido em tela de recepção apresenta o nome do paciente de forma abreviada, sem telefone ou documento;
• o portal do paciente e o perfil público do profissional são opcionais e dependem de ativação pela Clínica ou pelo profissional.

Este Termo vigora enquanto durar a contratação da plataforma e produz efeitos a partir do seu aceite.

Alterações relevantes serão comunicadas com antecedência razoável, com nova versão e nova data de vigência, e o uso continuado após a entrada em vigor implica concordância. Discordando, a Clínica poderá rescindir sem ônus, observado o direito de exportação da cláusula 11.

Aplica-se a legislação brasileira, elegendo-se o foro do domicílio da Clínica para dirimir controvérsias oriundas deste Termo.