Acordo de tratamento de dados

Versão preliminar: empresa em constituição. Os dados societários (razão social, CNPJ e endereço) serão incluídos assim que disponíveis, sem alterar as demais condições.

Este acordo complementa os Termos de uso e disciplina o tratamento de dados pessoais de pacientes realizado pelo URUZ System em nome do cliente, conforme os arts. 37 a 40 e 46 a 49 da LGPD.

1. Partes e papéis

• Controlador: o cliente (laboratório, prestador, prefeitura ou profissional) que contrata o URUZ System e decide sobre o tratamento dos dados dos seus pacientes.
• Operador: URUZ System ("URUZ System"), que trata os dados apenas para prestar o serviço contratado.

2. Objeto e instruções

O operador trata os dados exclusivamente para: registrar os resultados informados pelo controlador, exibi-los para conferência e aprovação, e disponibilizá-los ao URUZ Robô do próprio controlador para lançamento no SISCAN. O uso do serviço, as configurações da conta e as aprovações feitas pelos usuários do controlador constituem suas instruções documentadas. O operador não trata os dados para finalidade própria.

3. Dados e titulares

• Titulares: pacientes cujos exames citopatológicos são lançados pelo controlador.
• Dados: nº do exame, protocolo do SISCAN, data de recebimento, códigos do resultado (dado de saúde, sensível) e, opcionalmente, nome e data de nascimento.
• Duração: nome e nascimento são eliminados automaticamente 30 dias após o lançamento; os demais dados, enquanto vigorar o contrato, observado o item 10.

4. Obrigações do operador

• Tratar os dados somente conforme as instruções do controlador e este acordo.
• Garantir que as pessoas autorizadas a tratar os dados estejam sujeitas a dever de confidencialidade.
• Não acessar os dados do controlador, salvo quando o gestor autorizar o acesso do suporte (por até 24 h, revogável), com registro de cada acesso e ação.
• Não transferir os dados para fora do Brasil sem autorização prévia do controlador.
• Auxiliar o controlador no atendimento a titulares, em relatórios de impacto e em comunicações à ANPD, na medida do que estiver ao seu alcance.

5. Obrigações do controlador

• Garantir que possui base legal para o tratamento e para o envio dos dados ao SISCAN.
• Informar apenas os dados necessários (nome e nascimento são opcionais).
• Gerir os acessos da sua equipe, manter credenciais em sigilo e proteger os computadores onde o URUZ Robô está instalado.
• Atender os pedidos dos titulares, com apoio do operador quando necessário.

6. Suboperadores

O controlador autoriza o uso dos suboperadores abaixo. Inclusões ou trocas serão comunicadas com antecedência mínima de 30 dias, podendo o controlador se opor de forma fundamentada.

7. Medidas de segurança

• Criptografia em trânsito (HTTPS) e em repouso para nome e nascimento de pacientes e para credenciais de sistemas externos (AES-256-GCM, chave dedicada).
• Isolamento lógico entre clientes; controle de acesso por papel; tokens individuais e revogáveis para cada robô.
• Dados de pacientes nunca registrados em logs ou trilhas de auditoria.
• Eliminação automática de dados identificáveis após o prazo de retenção.
• Trilha de auditoria das ações relevantes (aprovações, lançamentos, acessos do suporte).

8. Incidentes de segurança

O operador comunicará ao controlador, sem demora injustificada e em até 48 horas da ciência, qualquer incidente que afete dados do controlador, com as informações disponíveis sobre natureza, dados e titulares afetados, riscos e medidas adotadas, para que o controlador cumpra a comunicação à ANPD e aos titulares nos prazos da regulamentação.

9. Direitos dos titulares

Pedidos de titulares recebidos pelo operador serão encaminhados ao controlador em até 5 dias úteis. O operador fornecerá os meios técnicos razoáveis para que o controlador atenda acesso, correção e eliminação.

10. Término e devolução

Encerrado o contrato, o controlador poderá solicitar a exportação dos dados em até 30 dias. Após esse prazo, o operador eliminará os dados do controlador, salvo quando a guarda for exigida por lei, hipótese em que os manterá bloqueados e protegidos pelo prazo legal.

11. Comprovação e auditoria

O operador disponibilizará ao controlador, mediante solicitação, as informações necessárias para demonstrar o cumprimento deste acordo, incluindo registros de acesso do suporte à sua conta. Contato do encarregado: Encarregado de dados do URUZ System — privacidade@uruzsystem.com.br.