Acordo de Tratamento de Dados (DPA)

Este Acordo de Tratamento de Dados (Data Processing Addendum — DPA) estabelece as condições sob as quais a AI.THINK HUBHEALTH INOVA SIMPLES (I.S.) trata dados pessoais em nome do cliente no âmbito do PsyThink, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD).

Este documento expressa compromissos contratuais assumidos pelo PsyThink. A versão aplicável a cada contrato empresarial é formalizada na contratação e pode ser ajustada mediante revisão jurídica entre as partes.

2. Papéis e Responsabilidades (LGPD)

O PsyThink tratará dados pessoais em nome do controlador somente:

• • Conforme as instruções documentadas do controlador, refletidas no contrato, nestes termos e nas configurações da plataforma
• • Na medida necessária para a prestação dos serviços contratados
• • Quando exigido por lei, informando o controlador previamente, salvo proibição legal
• • Informando o controlador caso identifique instrução que, a seu ver, viole a LGPD ou outra norma aplicável

O PsyThink assegura que as pessoas autorizadas a tratar dados pessoais estão sujeitas a compromisso de confidencialidade, e que o acesso a dados clínicos é restrito ao mínimo necessário para operação, suporte e segurança do serviço, com controles de acesso e registro auditável.

5. Medidas Técnicas e Organizacionais

O PsyThink mantém medidas de segurança técnicas e organizacionais apropriadas ao risco, incluindo:

6. Suboperadores (Subprocessadores)

O controlador autoriza, de forma geral, o uso de suboperadores para a prestação do serviço, nas seguintes categorias:

• • Infraestrutura de nuvem e banco de dados (hospedagem e armazenamento)
• • Provedores de modelos de inteligência artificial, com tokenização e minimização de PHI antes do envio
• • Observabilidade e monitoramento de erros, com sanitização de dados pessoais
• • Processamento de pagamentos e faturamento

7. Responsabilidade sobre Suboperadores

O PsyThink impõe aos suboperadores obrigações de proteção de dados equivalentes às deste Acordo e permanece responsável perante o controlador pela atuação deles. Alterações relevantes na lista de suboperadores serão comunicadas com antecedência razoável, permitindo objeção fundamentada.

Em caso de incidente de segurança envolvendo dados pessoais tratados em nome do controlador, o PsyThink se compromete a:

• • Notificar o controlador sem demora injustificada após tomar conhecimento do incidente
• • Fornecer as informações disponíveis sobre natureza do incidente, dados afetados, titulares envolvidos e medidas adotadas
• • Adotar medidas de contenção, mitigação e remediação apropriadas
• • Cooperar com o controlador em eventuais comunicações à ANPD e aos titulares, quando aplicável

9. Retenção, Devolução e Eliminação

Durante a vigência do contrato, os dados são retidos conforme as políticas de retenção por classe de dado descritas na Política de Privacidade. Ao término da relação contratual, conforme a escolha do controlador, o PsyThink:

• • Disponibiliza a exportação estruturada dos dados (portabilidade)
• • Elimina os dados pessoais tratados em nome do controlador, ressalvadas as hipóteses legais de retenção
• • Registra de forma auditável as operações de eliminação executadas

O PsyThink disponibilizará as informações razoavelmente necessárias para demonstrar o cumprimento deste Acordo, incluindo documentação de segurança. Auditorias adicionais poderão ser realizadas mediante acordo prévio sobre escopo, frequência e custos, com aviso razoável, sem acesso a dados de outros clientes e sem comprometer a segurança da plataforma.

11. Transferência Internacional de Dados

Determinados suboperadores podem processar dados fora do Brasil. Nesses casos, o PsyThink adota salvaguardas compatíveis com o Capítulo V da LGPD (art. 33 e seguintes), como cláusulas contratuais e verificação do nível de proteção, além de tokenização e minimização de PHI no processamento por IA.

O PsyThink assume o compromisso contratual de não utilizar dados clínicos ou PHI tratados em nome do controlador para treinamento de foundation models, próprios ou de terceiros, salvo se houver, cumulativamente: base legal adequada, previsão contratual específica e autorização explícita do controlador.