# Aditivo de Tratamento de Dados Pessoais

Publicado em **24 de outubro de 2026**. Integra os [Termos de Uso](/termos-de-uso) de **68.217.127 LUCAS LOTTI TONIETO**, CNPJ **68.217.127/0001-09**, de titularidade de Lucas Lotti Tonieto, fornecedor da plataforma InovaOdonto. Aplica-se às operações em que o InovaOdonto trata dados por conta da clínica contratante.

## 1. Papéis e objeto

A clínica é controladora dos dados inseridos para suas finalidades assistenciais e administrativas. O InovaOdonto é operador nessas operações e segue suas instruções legítimas. Para cadastro, cobrança, segurança e relacionamento próprios, atua como controlador das operações correspondentes, conforme a [Política de Privacidade](/politica-de-privacidade). O papel depende da atuação concreta, e não somente da denominação do contrato.

O tratamento dura durante o serviço, a transição e a destinação ou retenção legítima. Confidencialidade, proteção e prestação de contas continuam enquanto houver dados sob a responsabilidade de cada parte.

## 2. Dados e operações

Titulares incluem pacientes, responsáveis legais, profissionais e pessoas cadastradas pela clínica. Os dados podem abranger identificação, contatos, agenda, informações de saúde, anamnese, diagnóstico, evolução, imagens, documentos, assinaturas, financeiro e comunicações de gestão.

Operações autorizadas compreendem receber, organizar, armazenar, consultar conforme permissão, transmitir pelas funcionalidades instruídas, produzir documentos, apoiar auditoria, exportar, corrigir e executar destinação legítima. Dados sensíveis e de menores exigem as condições e salvaguardas aplicáveis.

## 3. Instruções da clínica

São instruções documentadas a contratação, a configuração autorizada e solicitações específicas identificadas e verificadas. A clínica define finalidade, base legal, contatos responsáveis, permissões, transparência e fundamento da guarda. O aceite do SaaS não substitui consentimento do paciente quando exigido.

O operador não amplia a finalidade por conta própria. Instrução aparentemente ilícita ou incompatível será comunicada à clínica e poderá ter a execução específica suspensa enquanto se busca solução. Ordem legal será cumprida, com informação à clínica quando permitida.

## 4. Segurança e confidencialidade

O InovaOdonto manterá medidas proporcionais aos riscos, incluindo identidade, autenticação, autorização por clínica e recurso, proteção do transporte, hash de senhas, separação de credenciais, acesso operacional restrito, auditoria relevante e rotinas de recuperação.

Pessoas autorizadas e prestadores devem manter confidencialidade. Acesso de suporte precisa de finalidade, escopo e trilha, usando leitura quando suficiente e sem registrar atos como se praticados pelo profissional atendido. Não incluir segredos ou conteúdo clínico desnecessário em logs e chamados.

Medidas e evidências serão revistas. Não se promete invulnerabilidade, certificação ou recuperação sem perda em qualquer circunstância.

## 5. Serviços, prestadores e transferências

A clínica autoriza a contratação dos serviços necessários, sob avaliação, confidencialidade e obrigações de proteção compatíveis. Prestadores aplicáveis dependem das integrações efetivamente usadas. Disponibilidade no produto não comprova ativação em toda clínica.

| Serviço | Prestadores identificados ou modalidade | Dados e limites |
| --- | --- | --- |
| Infraestrutura | Hospedagem do ambiente de execução e banco; prestador e região aplicáveis informados pelo canal de privacidade | Acesso limitado à execução, manutenção e segurança necessárias |
| Armazenamento, backup e rede | Cloudflare/R2 e serviços compatíveis conforme ambiente | Arquivos, cópias e tráfego necessários; controle de acesso e retenção própria |
| E-mail | Amazon SES e/ou Resend, inclusive contingência configurada | Destinatários, conteúdo necessário e entrega; retenção no prestador verificada separadamente |
| WhatsApp | WhatsApp Business Platform/Meta | Telefone, mensagem e metadados necessários à funcionalidade e às permissões aplicáveis |
| Pagamento | Asaas | Cadastro e cobrança; pode atuar como controlador de finalidades próprias. Não recebe prontuários para cobrar assinatura |
| IA de revisão | Anthropic/Claude, quando utilizado o recurso | Texto submetido pelo profissional; pode conter dado sensível. Exige as condições da seção 6 |
| Medição do site | Google Analytics opcional | Eventos públicos e dados técnicos mediante consentimento; não autoriza acesso aos prontuários |

A entidade efetivamente contratada, finalidade, categorias, região, retenção e garantias aplicáveis são registradas por serviço e podem ser solicitadas a [privacidade@inovaodonto.com](mailto:privacidade@inovaodonto.com). Informações ainda não confirmadas não serão apresentadas como auditadas ou certificadas.

Mudanças relevantes serão avisadas com 30 dias, salvo urgência justificada. Objeção fundamentada será avaliada com alternativas; impossibilidade de alternativa será tratada com transição e encerramento adequado. O uso de terceiro não exonera o InovaOdonto das obrigações que lhe cabem.

Transferências internacionais exigem mecanismo aplicável da LGPD e regulamentação da ANPD. Não se presume região ou instrumento válido por existir uma marca global. Quando usadas cláusulas-padrão, sua incorporação e integridade deverão ser verificadas.

## 6. Inteligência artificial e limites de finalidade

Não há autorização para comercializar a base clínica ou utilizá-la para treinamento próprio. Métricas agregadas dependem de finalidade legítima e proteção contra identificação. Remover nomes não torna uma base automaticamente anônima.

IA externa com dados pessoais exige informação e verificação de fornecedor, finalidade, categorias, retenção, treinamento, transferência, base legal e instrução apropriada da clínica antes da ativação. Não se promete retenção zero ou restrição de treinamento sem condição comprovada. A revisão de texto é sugestão sujeita à conferência profissional.

## 7. Titulares e cooperação

Pedidos sobre pacientes serão protocolados e encaminhados à clínica sem demora, com meta de um dia útil. O operador coopera com acesso, correção, informação, exportação e eliminação cabível. Dados de suas finalidades próprias são atendidos diretamente.

Identidade e poderes serão verificados de modo proporcional. Só serão entregues dados do titular ou da clínica autorizada. A verificação não deve inviabilizar direitos, nem exigir senha ou dados excessivos. Nenhuma cláusula limita deveres próprios ou poderes das autoridades.

## 8. Incidentes de segurança

O InovaOdonto avisará a clínica sem demora injustificada e em até **24 horas corridas do conhecimento** de incidente que afete seus dados. O primeiro aviso conterá fatos disponíveis, instante de conhecimento, natureza, categorias e escopo conhecidos, riscos, medidas, contato e próxima atualização; desconhecidos serão assim identificados.

Haverá investigação, preservação necessária de evidências e atualizações ao menos a cada 24 horas enquanto houver evolução material ou risco não estabilizado. O contato será o responsável cadastrado e meio alternativo confirmado. O prazo exige sobreaviso e é diferente do suporte comercial.

A clínica controladora avalia comunicação externa com o apoio do operador. A referência regulamentar é de três dias úteis, ressalvadas as hipóteses aplicáveis, sem aguardar investigação final. Quando controlador, o InovaOdonto realiza sua própria avaliação e comunicações cabíveis. Registros são guardados pelo prazo exigido com acesso restrito.

## 9. Exportação, devolução e eliminação

Aplicam-se a janela de transição e a [Política de Retenção e Descarte](/politica-de-retencao-e-descarte). A cópia pode ser solicitada independentemente da situação de pagamento. A entrega integral é assistida, com confirmação de identidade, escopo e destinatário, proteção do link e verificação de integridade.

A eliminação depende de instrução legítima, destino da guarda e revisão de impedimentos. Cancelar não autoriza apagar automaticamente prontuários ou registros financeiros protegidos. Backups têm ciclo próprio e expurgo acompanhado. Serão informados escopo eliminado, dados conservados, fundamento e previsão ou evento de revisão.

## 10. Evidências, auditoria e responsabilidade

Mediante pedido razoável e sob confidencialidade, serão fornecidas informações relevantes às obrigações de proteção, preservando dados de outras clínicas e segredos legítimos. Verificação extraordinária terá escopo e forma acordados, sem limitar autoridades competentes.

Cada parte responde pelos atos, omissões e obrigações aplicáveis. O aditivo não elimina responsabilidade perante titulares nem transfere integralmente o risco à clínica. Nas matérias de proteção, este aditivo e a política de retenção prevalecem sobre instruções comerciais incompatíveis, preservados direitos obrigatórios.