Acordo de Processamento de Dados (DPA)

• "Controladora": a Clínica veterinária ou profissional autônomo que determina as finalidades e os meios do tratamento de dados pessoais de Tutores e colaboradores.
• "Operadora": Sysmax Solutions Desenvolvimento de Software Ltda., que realiza o tratamento em nome e por instrução da Controladora.
• "Dados Pessoais": qualquer informação relacionada a pessoa natural identificada ou identificável, conforme art. 5.º, I, da LGPD.
• "Dados Pessoais Sensíveis": dados de saúde dos Tutores (quando aplicável) e informações de saúde dos animais que possam identificar seu responsável.
• "Suboperador": terceiro que processa Dados Pessoais por instrução da Operadora.
• "Incidente de Segurança": acesso não autorizado, destruição, perda, alteração, comunicação ou qualquer forma inadequada de tratamento de Dados Pessoais.

A Operadora realizará o tratamento dos Dados Pessoais exclusivamente para as finalidades determinadas pela Controladora por meio dos recursos da plataforma SysVetMax e, quando necessário, por instrução escrita enviada ao e-mail privacidade@sysmaxsolutions.com.

A Operadora não tratará os dados para finalidade diversa das instruídas, salvo obrigação legal ou determinação de autoridade competente, caso em que notificará a Controladora previamente (quando juridicamente possível).

A Operadora implementa e mantém, no mínimo:

1. Criptografia em trânsito (TLS 1.3) e em repouso (AES-256) para todos os Dados Pessoais;
2. Isolamento lógico por clínica (multi-tenancy com Row Level Security);
3. Controle de acesso baseado em função com princípio do menor privilégio;
4. Autenticação de dois fatores disponível para todos os Usuários;
5. Backups automáticos com retenção mínima de 30 dias e teste de restauração trimestral;
6. Monitoramento de anomalias com alertas de segurança em tempo real;
7. Programa de resposta a incidentes documentado e testado anualmente;
8. Revisão periódica de acessos privilegiados com trilha de auditoria imutável.

A Controladora autoriza, desde já, o uso dos seguintes suboperadores para as finalidades indicadas:

Toda alteração de suboperadores que possa afetar a proteção dos Dados Pessoais será comunicada à Controladora com antecedência mínima de 30 dias, facultando-lhe a rescisão sem ônus.

A Operadora auxiliará a Controladora no atendimento de solicitações dos Titulares, fornecendo em até 10 dias úteis: (i) confirmação de tratamento; (ii) exportação dos dados em formato estruturado (JSON/CSV); (iii) execução de correções ou exclusões determinadas pela Controladora, respeitados os prazos mínimos de retenção legal.

Em caso de Incidente de Segurança confirmado:

1. A Operadora notificará a Controladora em até 72 horas após a ciência do evento, pelo e-mail cadastrado pela Clínica e pelo canal de suporte;
2. A notificação incluirá: natureza do incidente, categorias e estimativa de registros afetados, possíveis consequências e medidas adotadas ou planejadas;
3. A Controladora é responsável por comunicar o incidente à ANPD e aos Titulares, quando exigido por lei;
4. A Operadora fornecerá toda a cooperação necessária para a investigação e mitigação.

A Operadora fornecerá, mediante solicitação da Controladora com antecedência de 30 dias:

• Relatório de impacto à proteção de dados (RIPD) ou evidências equivalentes;
• Certificados ou relatórios de auditoria de terceiros (SOC 2, ISO 27001) quando disponíveis;
• Respostas a questionários de segurança fundamentados.

Auditorias presenciais ou por ferramentas de varredura nos sistemas da Operadora dependem de acordo prévio, a fim de preservar a segurança e a confidencialidade de outros clientes.

Após o encerramento da relação contratual:

1. Os dados ficam disponíveis para exportação pela Controladora por 30 dias corridos;
2. Findo esse prazo, a Operadora excluirá ou anonimizará os dados, exceto os sujeitos a retenção legal obrigatória (prontuários CFMV, dados fiscais);
3. A Controladora receberá confirmação escrita da conclusão da exclusão em até 15 dias após o encerramento;
4. Os dados retidos por obrigação legal serão excluídos tão logo cessem os prazos aplicáveis.

A Operadora responderá pelos danos causados aos Titulares decorrentes de tratamento realizado em desconformidade com as instruções da Controladora ou com a LGPD, nos termos do art. 42, §1.º, II. A Controladora responderá pelos danos decorrentes de instruções ilegais que tenha fornecido.

Este DPA entra em vigor com a aceitação dos Termos de Uso e permanece vigente enquanto durar a relação contratual. Revisões materiais serão comunicadas com antecedência mínima de 30 dias.