Acordo de Processamento de Dados (DPA) — v1

Versão: v1 Última atualização: 19 de agosto de 2026

Este acordo descreve como a Atendatec trata os dados pessoais dos pacientes e da equipe por conta e ordem da clínica contratante, na forma da Lei nº 13.709/2018 (LGPD). Ele é escrito em linguagem direta, e cada afirmação aqui corresponde ao que a plataforma faz hoje.

1. PARTES, OBJETO E INTEGRAÇÃO AO TERMO DE USO

Controladora: a clínica, o consultório ou o profissional de saúde que contrata a plataforma. É ela quem decide quais dados registrar, quem pode vê-los e por quanto tempo mantê-los.

Operadora: R. NASCIMENTO SOUSA LTDA, nome fantasia UCCELLO LTDA, CNPJ 67.009.115/0001-18, sociedade empresária limitada, com sede na Rua Idealista (Est. Cvel. Jurema/Urucutuba), s/n, Bairro Araturi, Caucaia/CE, CEP 61.652-180, mantenedora da plataforma Atendatec.

A Atendatec trata os dados pessoais dos pacientes exclusivamente por conta e ordem da controladora, para a prestação do serviço contratado.

Este acordo integra o termo de uso, disponível em atendatec.com/termos, e deve ser lido em conjunto com o aviso de privacidade, em atendatec.com/privacidade. Em caso de conflito sobre o tratamento de dados de paciente, prevalece este acordo.

Sobre os dados cadastrais da controladora e da sua equipe, a Atendatec atua como controladora, e o tratamento está descrito no aviso de privacidade.

2. DURAÇÃO

O tratamento dura enquanto a conta existir, e se estende pelo período de guarda obrigatória do registro clínico e pelos prazos legais de guarda aplicáveis.

Encerrada a conta, os dados operacionais são eliminados na forma da cláusula 13. Sobrevivem, de propósito, o registro de aceite dos documentos legais, com o endereço de rede zerado antes, e a trilha de auditoria, que identifica o paciente apenas por código opaco.

3. NATUREZA E FINALIDADE DO TRATAMENTO

A Atendatec trata os dados para operar as funções contratadas: painel de chamada em TV, totem de autoatendimento, agenda de consultas, página pública de agendamento, ficha do paciente, prontuário como ferramenta de apoio, emissão de documentos ao paciente, trilha de auditoria, indicadores de fluxo da própria clínica e o aviso ao paciente pelo número de WhatsApp da própria controladora.

Limite expresso. A operadora não calcula, não sugere conduta, não classifica risco, não faz triagem e não emite alerta clínico. A plataforma guarda e mostra o que o profissional registrou. Toda interpretação e toda decisão clínica são da controladora e dos seus profissionais.

A operadora não usa dado de paciente para finalidade própria, não o utiliza para marketing, não o cede, não o vende e não o aluga.

4. CATEGORIAS DE TITULAR E TIPOS DE DADO

| Categoria de titular | Tipos de dado | | ------------------------------------------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Paciente | Dado pessoal comum de cadastro (nome, CPF, telefone, e-mail, nascimento, sexo, nome da mãe, naturalidade, endereço, foto, convênio e número da carteirinha, o endereço de entrega no WhatsApp e as duas preferências de recebimento de aviso, de atendimento e de cobrança) e dado pessoal sensível de saúde | | Paciente, prioridade | Prioridade de atendimento (idoso, gestante, pessoa com deficiência), que revela dado sensível ao expor gestação ou deficiência | | Visitante que marca consulta pela página pública | Nome e telefone informados na marcação e, se a pessoa quiser, o CPF do paciente e as respostas escolhidas nas perguntas de lista que a controladora configurar, antes de existir ficha | | Equipe da controladora | Nome, e-mail, telefone, foto, papel na clínica e registro no conselho profissional | | Responsável pela contratação | Nome, e-mail, telefone, CPF ou CNPJ e dados de cobrança | | Responsável pelo paciente | Nome, telefone, CPF, e-mail e grau de parentesco de quem a controladora cadastra na ficha como responsável pelo paciente, e a indicação de que o telefone dessa pessoa é o que recebe os avisos |

O e-mail do paciente é guardado só como dado de cadastro: a operadora não envia e-mail nem mensagem nenhuma para esse endereço.

O dado sensível de saúde tratado por conta da controladora compreende: evolução do atendimento em texto livre, diagnóstico estruturado, conteúdo dos formulários por especialidade, justificativa de correção de registro, justificativa de dispensa de registro, documentos emitidos ao paciente (declaração de comparecimento, atestado com período de afastamento, laudo e encaminhamento), arquivos anexados à ficha, anotações sobre o paciente e observações da agenda.

A lista detalhada, campo a campo, está no aviso de privacidade e não é repetida aqui para evitar divergência entre os dois documentos.

5. INSTRUÇÕES DA CONTROLADORA

A Atendatec trata os dados apenas conforme as instruções da controladora. Essas instruções se materializam nas configurações da conta e no uso que a controladora e a sua equipe fazem da plataforma.

Integra expressamente essas instruções a decisão da controladora sobre exibir e falar o nome do paciente na TV pública. A tela da TV não tem login, e a autenticação é o próprio endereço, trocável pela controladora. A opção de mostrar e falar o nome é configurável e nasce ligada. Cabe à controladora decidir se a mantém, observando as normas do seu conselho profissional e informando os seus pacientes.

Premissa do produto, que limita a instrução. O tratamento do dado clínico nesta plataforma não se apoia em consentimento do paciente. É por isso que a plataforma recusa apagar registro clínico assinado e recusa a exclusão de paciente que tenha registro clínico assinado ou documento emitido, na forma da cláusula 13: pedido de apagamento fundado em revogação de consentimento não é atendido pela ferramenta. A controladora precisa conhecer esse comportamento antes de contratar. A hipótese legal aplicável ao tratamento dos dados dos seus pacientes é definida por ela, não pela operadora.

Se a Atendatec entender que uma instrução viola a LGPD, comunicará a controladora.

6. CONFIDENCIALIDADE

A Atendatec obriga as pessoas autorizadas a acessar dados pessoais a dever de confidencialidade, mantido depois do fim do vínculo. O acesso interno é limitado ao necessário para prestar suporte e manter a plataforma, na forma da cláusula 7.

7. ACESSO DA EQUIPE ATENDATEC EM ATENDIMENTO DE SUPORTE

Esta cláusula descreve, sem atenuação, o acesso técnico que a operadora tem aos dados da controladora.

A equipe Atendatec, em atendimento de suporte, ALCANÇA:

a lista de pacientes da clínica, com o cadastro completo: nome, CPF, telefone, e-mail, data de nascimento, nome da mãe, endereço, convênio e matrícula;
a ficha do paciente e a busca de pacientes;
as anotações sobre o paciente, inclusive escrevendo;
a fila de atendimento e a agenda.

A equipe Atendatec NÃO alcança:

prontuário e evolução clínica;
documentos emitidos ao paciente;
arquivos anexados à ficha;
exportação do acervo e impressão de documento;
a trilha de auditoria da clínica.

A equipe Atendatec não pode excluir paciente. A exclusão é recusada pelo servidor mesmo em atendimento de suporte: quem exclui é a própria clínica.

Esse acesso exige verificação em duas etapas ativa, dura no máximo 30 minutos e tem início, fim, duração e endereço de rede registrados.

8. SEGURANÇA

Medidas em vigor:

senha guardada por algoritmo de derivação forte, com política alinhada às diretrizes do NIST, incluindo lista de bloqueio de senhas comuns;
verificação em duas etapas por aplicativo autenticador ou por código enviado por e-mail, com códigos de recuperação de uso único;
conexão sempre cifrada entre o navegador e a plataforma;
isolamento entre clínicas em toda consulta ao banco, com o identificador da clínica derivado sempre da sessão, nunca do que o navegador envia, e testes dedicados a provar esse isolamento;
registro clínico assinado, documento emitido e trilha de auditoria protegidos contra alteração e exclusão pelo próprio banco de dados;
limites de requisição nos pontos sensíveis;
supressão de dado pessoal nos registros técnicos de funcionamento, apagando o campo em vez de mascarar;
rotina de backup periódico, com verificação de integridade.

Ausências declaradas, que a controladora precisa conhecer:

os dados guardados no banco não estão cifrados em repouso, campo a campo. Nome, CPF, endereço, evolução clínica e diagnóstico ficam legíveis para quem tenha acesso ao servidor, e os arquivos anexados e as fotos ficam em disco sem cifra. A proteção contra esse acesso é feita por controle de acesso à máquina;
não há assinatura digital ICP-Brasil no prontuário nem nos documentos emitidos, o que é coerente com o fato de o prontuário oficial e o dever de guarda serem da controladora, mas significa que não há prova criptográfica de integridade do conteúdo.

9. SUB-OPERADORES

A controladora autoriza os sub-operadores abaixo, que hoje tocam dado na operação da plataforma:

| Sub-operador | Para quê | Que dado alcança | Dado de paciente | | --------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------- | | Asaas | Pagamento por PIX, boleto e cartão | Nome, CPF ou CNPJ, e-mail e telefone do responsável pela contratação; no cartão, endereço de cobrança e dados do cartão | Não | | Resend | Envio de e-mail transacional | Endereço de e-mail e conteúdo da mensagem: para a equipe da clínica, para a caixa da Atendatec ou para quem pede o material gratuito, com o guia em PDF anexado | Não, com ressalva | | Google (Gmail) | Caixa de e-mail do suporte da Atendatec | O conteúdo de todo e-mail que chega até nós, inclusive o que a pessoa escreveu no formulário de ajuda ou de suporte | Não, com ressalva | | Hostinger | Hospedagem da caixa de e-mail de contato da Atendatec (contato@atendatec.com) | O conteúdo de todo e-mail escrito para esse endereço, inclusive as respostas aos e-mails enviados pela plataforma | Não, com ressalva | | Cloudflare | Proteção contra ataques e distribuição | Todo o tráfego da plataforma, em modo intermediário: a conexão segura termina fora da nossa origem, inclusive para dado de paciente em trânsito | Sim, em trânsito | | Corvo | Aviso transacional por WhatsApp e chat de atendimento nas páginas públicas de divulgação | Telefone e primeiro nome do dono da clínica, valor e vencimento da assinatura; no chat, o que o visitante escreve na conversa | Não, com ressalva | | Meta (WhatsApp) | Canal de contato e de exercício de direitos publicado nos nossos documentos, e a infraestrutura por onde a controladora avisa o seu paciente pelo próprio número | O telefone e o conteúdo da mensagem de quem nos procura por esse canal; e, no aviso ao paciente, o telefone do paciente, ou o do responsável indicado pela clínica, e o conteúdo da mensagem sobre a consulta ou a cobrança dele | Sim | | Google (reCAPTCHA) | Antifraude em cadastro, contratação, login, recuperação de senha, formulários de ajuda e de suporte, marcação de consulta pela página pública e pedido do material gratuito | Endereço de rede do visitante e a telemetria de navegador própria do serviço | Não | | Meta (Pixel) | Medição do anúncio pago nas páginas públicas de divulgação e de contratação da Atendatec | Em todos os eventos: identificadores do navegador do visitante e do anúncio pelo qual ele chegou, o endereço de rede, o agente de navegador, a página pública onde o evento aconteceu e o evento — visita a uma página de divulgação, contato pelo canal de atendimento, pedido do material gratuito, cadastro concluído no plano gratuito ou assinatura do plano pago, esta última com o valor em reais. Só no cadastro concluído e na assinatura: e-mail e telefone do responsável pela conta de forma embaralhada (hash) e um identificador interno da conta, também embaralhado. Nome e sobrenome não são enviados | Não | | Meta (Instagram e Facebook) | Canal de atendimento da Atendatec publicado na tela de Suporte da plataforma: os perfis de Instagram e de Facebook por onde o cliente pode falar conosco por mensagem direta | O perfil de quem nos escreve por lá e o conteúdo da mensagem. A conversa acontece dentro do aplicativo da Meta, e é ela quem guarda esse histórico | Não, com ressalva | | ViaCEP | Preenchimento de endereço na contratação | Apenas os oito dígitos do CEP | Não | | YouTube | Vídeos nas páginas públicas de conteúdo e na área da clínica depois do login | Nada antes do clique: o vídeo só é carregado quando o visitante clica para assistir. A partir daí, o endereço de rede do visitante e a telemetria própria do serviço | Não | | HeavyHost | Servidor onde a plataforma roda | Tudo: o banco de dados, os arquivos e o backup residem nesse servidor | Sim |

Ressalva sobre entrada humana. Fora do aviso ao paciente descrito logo abaixo, o único caminho pelo qual dado de paciente sai da plataforma é alguém digitar o nome de um paciente num campo livre — no formulário de ajuda, no de suporte, na conversa do chat, numa mensagem de WhatsApp para o canal de contato da Atendatec ou numa mensagem direta de Instagram ou de Facebook para os perfis da Atendatec. É entrada humana, não fluxo automático, mas ela existe. Quando isso acontece por e-mail, a mensagem chega à caixa da Atendatec, que é operada pelo Google (Gmail), ou, se for escrita para contato@atendatec.com, à caixa hospedada pela Hostinger.

Aviso ao paciente pelo WhatsApp da clínica. A controladora pode conectar o próprio número de WhatsApp à plataforma e ligar avisos automáticos ao paciente: o lembrete da consulta, o aviso de remarcação, o aviso de cancelamento, a confirmação anotada depois da resposta do paciente, o lembrete de cobrança em aberto, a mensagem de aniversário, o aviso de consulta marcada e o aviso de pagamento recebido. Quando o paciente responde pedindo o cancelamento, a operadora não cancela de imediato: ela manda ainda uma pergunta de confirmação do cancelamento, com o dia e a hora da consulta, e o horário só cai depois de o paciente responder uma segunda vez; se essa segunda resposta não for entendida, sai uma única explicação de que o horário continua marcado. Essas duas mensagens não levam nome de paciente. Quem envia é a controladora, pelo número dela, e cada paciente tem na ficha dois interruptores próprios, um para os avisos de atendimento e outro para os de cobrança. O que sai nessas mensagens é: o nome completo do paciente — no lembrete, na remarcação, no cancelamento e na consulta marcada —, só o primeiro nome do paciente na mensagem de aniversário, o telefone do paciente — ou o telefone do responsável indicado pela clínica, quando ela marca esse destino na ficha do paciente —, que é o endereço de entrega, o dia e a hora da consulta, o nome da clínica, só no lembrete de cobrança, o valor em reais em aberto e a data de vencimento, esta com o ano, e, só no aviso de pagamento recebido, o valor em reais recebido e, quando a cobrança não fecha, o valor em reais que ainda falta. Quando o mesmo telefone é o destino de mais de um paciente da mesma clínica, o lembrete sai uma vez só, e nele aparecem o nome e o horário de cada um desses pacientes — é o caso de quem cuida de mais de uma pessoa da família e deixou o mesmo telefone na ficha de todas. O lembrete de cobrança, o aviso de pagamento recebido e a confirmação da resposta não levam nome de paciente. Antes de enviar, a operadora pergunta ao WhatsApp se aquele telefone existe — o que leva esse telefone, o do paciente ou o do responsável, à Meta mesmo quando nenhuma mensagem sai. O texto que o paciente escreve de volta não é guardado: a operadora anota apenas se ele respondeu 1 ou 2.

Serviço presente no código e não utilizado. A integração de monitoramento de erro existe no código da plataforma, mas está desativada em produção: nada é enviado a ela e nenhuma sessão de navegador é gravada. Se um dia for ativada, este acordo será atualizado antes.

Onde a medição do anúncio pago NÃO entra. O Meta (Pixel) carrega apenas nas páginas públicas de divulgação e de contratação da Atendatec. Ele não carrega em nenhuma tela que tenha dado de paciente: nem na área da clínica depois do login, nem no painel de chamada da TV, nem no totem, nem na página pública de marcação de consulta, nem nas próprias páginas de documentos legais. O único dado pessoal que sai por essa via é o de quem cria conta ou assina na Atendatec, na condição de cliente da operadora e nunca de titular tratado pela controladora: só no cadastro concluído e na assinatura, e-mail e telefone embaralhados (hash) e um identificador interno da conta, também embaralhado. Nenhum dado tratado por conta da controladora chega à Meta por essa via.

Síntese de voz. A voz da chamada da TV é gerada na própria máquina, por programa local. Nenhum sub-operador participa disso, e nenhum nome de paciente sai do servidor para gerar áudio.

Inclusão ou troca de sub-operador. A Atendatec comunicará previamente a controladora sobre a inclusão ou a substituição de sub-operador que trate dado pessoal.

10. TRANSFERÊNCIA INTERNACIONAL DE DADOS

Há transferência internacional de dados, por três vias:

Proteção e distribuição de rede. O serviço opera em modo intermediário, e a conexão segura do navegador termina nele, fora da nossa origem, antes de chegar ao nosso servidor. Isso alcança o conteúdo das requisições, e não apenas o endereço acessado. O país varia conforme a localização de quem acessa.
Hospedagem. As evidências técnicas do servidor apontam para um datacenter fora do Brasil. A confirmação formal junto ao fornecedor está pendente e será refletida aqui.
Serviços de terceiros que participam da operação. A caixa de e-mail do suporte e o antifraude são operados pelo Google, o canal de WhatsApp, a medição do anúncio pago e os perfis de Instagram e de Facebook da Atendatec são operados pela Meta e os vídeos das páginas de conteúdo e da área da clínica depois do login são servidos pelo YouTube. Essas empresas mantêm infraestrutura fora do Brasil, e o país exato varia conforme a operação e a localização de quem acessa. No aviso ao paciente pelo WhatsApp da clínica, dado de paciente — o telefone dele e o conteúdo da mensagem sobre a consulta ou a cobrança — também atravessa a infraestrutura da Meta. A caixa do e-mail de contato da Atendatec (contato@atendatec.com) é hospedada pela Hostinger International Ltd., empresa com sede no Chipre, em servidores na União Europeia; essa transferência se apoia nas cláusulas contratuais-padrão da Comissão Europeia adotadas no acordo de processamento de dados da Hostinger, nos termos do art. 33 da LGPD.

11. INCIDENTE DE SEGURANÇA

A Atendatec comunicará a controladora em até 24 horas contadas da detecção de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

A comunicação trará as informações disponíveis e necessárias para que a controladora cumpra os seus deveres perante os titulares e a Autoridade Nacional de Proteção de Dados, entre elas: a natureza do incidente, as categorias de dado e de titular envolvidas, os efeitos possíveis, as medidas já adotadas e o ponto de contato para mais informações.

12. AUXÍLIO À CONTROLADORA

A Atendatec auxilia a controladora, na medida do que a plataforma permite:

no atendimento a pedidos de titular, incluindo acesso, correção e eliminação, respeitadas as recusas descritas na cláusula 13;
na cooperação com a Autoridade Nacional de Proteção de Dados e com requisições de autoridade competente;
no acesso à trilha de auditoria da própria clínica, que o dono e o gerente consultam diretamente na plataforma.

A trilha registra quem fez o quê e quando, inclusive a leitura do prontuário, e a leitura é recusada se o registro falhar. A trilha identifica o paciente por código opaco, nunca pelo nome, não guarda conteúdo clínico, não pode ser alterada nem apagada e é guardada indefinidamente.

13. GUARDA E ELIMINAÇÃO

Registro clínico e documento emitido nunca são eliminados por rotina. A guarda mínima é de 20 anos para medicina e odontologia, ou 5 anos para fisioterapia, contados do último registro. A plataforma não tem mecanismo de eliminação automática de registro clínico.
A exclusão de paciente é recusada quando existe registro clínico assinado ou documento emitido para ele.
A exclusão de paciente apaga em cascata: arquivos anexados, anotações, entradas de fila, áudio de chamada, registros clínicos e documentos emitidos, além dos arquivos correspondentes em disco. O agendamento sobrevive sem paciente vinculado.
A exclusão da conta apaga em cascata os dados operacionais da clínica e as pastas de arquivos correspondentes.
Sobrevivem, de propósito: o registro de aceite dos documentos legais, com o endereço de rede zerado antes, e a trilha de auditoria, com identificador opaco no lugar do nome.
Prazos operacionais: fila de atendimento, 90 dias, poupando a senha que gerou registro clínico ou dispensa; áudio da chamada da TV, 24 horas, deliberadamente excluído do backup por conter nome falado; registros técnicos de funcionamento, 30 dias, com supressão de dado pessoal.
Histórico de avisos ao paciente pelo WhatsApp: guardado enquanto a conta existir, sem expurgo por prazo. Guarda o que foi decidido, se saiu, se o paciente respondeu e o texto da mensagem que saiu, já sem o nome do paciente: a marca [paciente] ocupa o lugar do nome no momento do envio, de modo que nem o nome nem o telefone do paciente chegam a existir dentro desse texto. Esse texto não vai para registro técnico nem para a trilha de auditoria. A exclusão do paciente a pedido do titular não apaga essa linha: o vínculo com a ficha é desfeito e o que resta não identifica ninguém.
Controle do limite diário de envio ao paciente: até 24 horas. O telefone que recebe o aviso — o do paciente ou o do responsável indicado pela clínica — é guardado num contador temporário, usado apenas para não exceder o limite de mensagens do dia, e eliminado por rotina diária.
Backup: mantemos rotina de backup periódico, com verificação de integridade.

14. DEVOLUÇÃO E EXPORTAÇÃO DO ACERVO

A controladora pode exportar o acervo da sua clínica pela própria plataforma, a qualquer momento e antes do encerramento da conta.

Cabe à controladora obter a exportação antes de solicitar o encerramento. Encerrada a conta, a eliminação segue a cláusula 13.

15. ENCARREGADO E CONTATO

Canais de contato: página de ajuda em atendatec.com/ajuda, WhatsApp (88) 9.2187-3824 e e-mail contato@atendatec.com.

16. FORO E DISPOSIÇÕES FINAIS

Este acordo é regido pelas leis da República Federativa do Brasil e segue o foro eleito no termo de uso, na Comarca de Fortaleza, Estado do Ceará.

A invalidade de uma cláusula não afeta as demais. Alterações neste acordo serão publicadas em atendatec.com/dpa.