Acordo de Tratamento de Dados (DPA)

Este Data Processing Agreement(“DPA”) integra os Termos de Uso do PsicoSpace Infantil e regula o tratamento de dados pessoais em que o PsicoSpace atua como Operador (art. 5º, VII da LGPD) sob instruções da psicóloga usuária(“Controlador”).

1. Papéis

• Dados da usuária profissional (nome, e-mail, CRP, financeiro) → PsicoSpace é Controlador. Regido pela Política de Privacidade.
• Dados dos pacientes cadastrados pela usuária (registros de saúde, anamneses, evoluções, áudios) → a usuária é Controlador e o PsicoSpace é Operador. Este DPA se aplica.

2. Objeto e duração

O tratamento ocorre enquanto a assinatura estiver ativa e pelos prazos de retenção descritos na Política. Após encerramento: dados operacionais excluídos em até 30 dias e backups em até 90 dias, salvo obrigação legal de retenção.

3. Instruções documentadas

O PsicoSpace trata os dados dos pacientes apenas para as finalidades descritas nos Termos e neste DPA, sob instruções da usuária expressas via uso da plataforma (cadastros, edições, exportações, exclusões). Não usa esses dados para publicidade, treinamento de modelos de IA de terceiros ou compartilhamento não autorizado.

4. Confidencialidade

Toda pessoa autorizada a acessar dados dos pacientes está sujeita a obrigação contratual de confidencialidade. Acessos administrativos são restritos a manutenção, incidentes e suporte solicitado pela usuária, com registro em audit log.

5. Segurança da informação

• Criptografia em trânsito (HTTPS TLS 1.2+) e em repouso no banco.
• Isolamento por Row-Level Security — as queries só retornam registros da própria usuária.
• Hash das senhas (bcrypt) e suporte a autenticação em duas etapas (TOTP).
• Headers HTTP restritivos (CSP, HSTS), rate limit e proteção contra bruteforce.
• Backups criptografados; recuperação testada periodicamente. Acesso à infraestrutura por menor privilégio, MFA obrigatório para admins.
• Audit log append-only dos eventos sensíveis (login, MFA, billing, exports, deleções).

6. Sub-operadores

A usuária autoriza os seguintes sub-operadores essenciais à prestação do serviço:

• Supabase (Supabase Inc.) — banco de dados, autenticação e storage. Região padrão: Frankfurt/Alemanha (UE). Salvaguardas: cláusulas contratuais padrão + criptografia.
• Vercel Inc. — hospedagem da aplicação (edge network). Salvaguardas: DPA próprio + criptografia em trânsito.
• Hotmart Company — gateway de assinatura e faturamento.
• Provedor de e-mail transacional — envio de notificações (redefinição de senha, avisos de cobrança).

Mudanças materiais na lista de sub-operadores são comunicadas por e-mail e publicadas aqui. A usuária pode se opor motivadamente; se não for possível conciliar, poderá encerrar a assinatura com reembolso proporcional.

7. Transferência internacional

Alguns sub-operadores operam fora do Brasil (UE e EUA). As transferências ocorrem sob as salvaguardas do art. 33 da LGPD: cláusulas contratuais padrão, adequação e/ou consentimento específico quando exigido.

8. Cooperação com direitos dos titulares

A usuária, como Controlador, é responsável por atender pedidos de acesso, correção, portabilidade e eliminação dos titulares dos dados dos pacientes. O PsicoSpace disponibiliza ferramentas na plataforma (edição, exclusão de paciente, exportação JSON) e, quando necessário, presta assistência técnica razoável — solicitações por suporte@psicospaceinfantil.com.br.

9. Incidentes de segurança

Em caso de incidente que envolva dados dos pacientes, o PsicoSpace comunica a usuária em até 72 horas a partir do conhecimento, descrevendo natureza, dados afetados, medidas técnicas adotadas e recomendações. A usuária permanece responsável pelo eventual reporte à ANPD e aos titulares, apoiada pelas informações prestadas.

10. Devolução ou eliminação ao término

Após a rescisão, a usuária pode exportar todos os dados em formato estruturado (JSON) por até 30 dias. Depois disso, os dados operacionais são eliminados nos prazos da cláusula 2, salvo obrigação legal em contrário.

11. Auditoria

A usuária pode solicitar, com aviso prévio razoável e no máximo uma vez por ano, evidências das medidas de segurança implementadas (relatórios, políticas, certificações). Auditorias in loco não são aplicáveis à arquitetura multi-tenant do PsicoSpace.

12. Contato do Encarregado

suporte@psicospaceinfantil.com.br. Respondemos em até 15 dias.

13. Alterações do DPA

Podemos atualizar este DPA para refletir mudanças legais ou operacionais. A versão em vigor está indicada no topo. Alterações materiais são comunicadas por e-mail com pelo menos 30 dias de antecedência.