Termo de Tratamento de Dados

Este DPA faz parte dos Termos de Serviço entre a SmileMaxer LLC (a "Operadora") e a Clínica (a "Controladora") e se aplica sempre que a SmileMaxer trata dados pessoais em nome da Clínica sujeitos ao GDPR, ao UK GDPR, à FADP suíça ou a leis semelhantes. Ele é incorporado automaticamente aos Termos para tais Clínicas; nenhuma assinatura é exigida. Precisa de uma cópia contrassinada? Escreva para legal@readymaxer.com.

Quanto aos dados da equipe que a Clínica insere ou gera (nomes de membros, departamentos, salas, dispositivos, sinais, registros de atividade, entradas da Digital Line), a Clínica é a controladora e a SmileMaxer é a operadora. Quanto às contas de administrador, ao faturamento e aos dados do site, a SmileMaxer é uma controladora independente conforme a Política de Privacidade, e este DPA não se aplica.

Objeto e duração: fornecer o ReadyMaxer durante a vigência da assinatura. Natureza e finalidade: hospedar, armazenar, transmitir e exibir os dados de sinalização de equipe; notificações push; acesso e pareamento; o registro de atividade da Clínica. Titulares dos dados: a equipe e os administradores da Clínica; os visitantes que ingressam na sua Digital Line. Dados pessoais: primeiros nomes ou nomes de exibição; departamento e status de turno; nomes, modelos e tokens push de dispositivos; registros de sinais com carimbos de data e hora e notas breves opcionais; nomes da Digital Line. Nenhuma categoria especial: o serviço proíbe inserir informações de paciente ou de saúde, e a Clínica concorda em não enviar nenhuma.

A SmileMaxer: (1) tratará os dados apenas conforme as instruções documentadas da Clínica (os Termos, este DPA e o uso dos controles do serviço), salvo se a lei exigir, informando a Clínica exceto se a lei proibir; (2) obrigará as pessoas autorizadas à confidencialidade; (3) implementará as medidas técnicas e organizacionais abaixo; (4) respeitará as condições sobre suboperadores da Seção 4; (5) auxiliará a Clínica com as solicitações dos titulares e, considerando as informações disponíveis, com as obrigações de segurança, notificação de violações e avaliação de impacto; (6) notificará a Clínica sem demora indevida após tomar conhecimento de uma violação de dados pessoais que afete seus dados; (7) ao final do serviço, excluirá os dados pessoais da Clínica em até 60 dias, exceto quando a lei exigir a retenção; e (8) disponibilizará as informações razoavelmente necessárias para demonstrar a conformidade e, às custas da Clínica e no máximo uma vez por ano, permitirá auditorias (satisfeitas com documentação e relatórios de terceiros).

A Clínica autoriza de forma geral os suboperadores listados em readymaxer.com/subprocessors. Atualizaremos essa página pelo menos 15 dias antes de adicionar ou substituir um suboperador; a Clínica pode se opor por motivos razoáveis de proteção de dados em legal@readymaxer.com e, não havendo solução, cancelar a assinatura. Impomos aos suboperadores obrigações de proteção de dados coerentes e permanecemos responsáveis pelo desempenho deles.

O serviço é hospedado nos Estados Unidos. Quando um mecanismo de transferência é exigido, as partes incorporam as Cláusulas Contratuais-Tipo da UE (2021/914, Módulo Dois, de controlador para operador), a Clínica como exportadora e a SmileMaxer como importadora, com: a Cláusula 7 incluída; a Cláusula 9(a) Opção 2 com aviso de 15 dias; o texto opcional da Cláusula 11 omitido; a Cláusula 17 Opção 1 (direito irlandês); a Cláusula 18 (tribunais da Irlanda). O Anexo I é a Seção 2 mais os dados das contas das partes; o Anexo II são as medidas abaixo; o Anexo III é a página de suboperadores. Transferências do Reino Unido: aplica-se o Adendo Internacional de Transferência de Dados do Reino Unido (B1.0), com as tabelas preenchidas pelo que precede; transferências da Suíça: as Cláusulas adaptadas conforme o FDPIC.

A responsabilidade de cada parte conforme este DPA está sujeita às limitações dos Termos, salvo quando as Leis de Proteção de Dados não o permitirem. Este DPA prevalece sobre os Termos nas questões de proteção de dados; as Cláusulas prevalecem sobre este DPA.

Todo o transporte cifrado (HTTPS/TLS). Senhas com hash via argon2id; tokens de sessão, de dispositivo e de QR armazenados apenas como hashes SHA-256; códigos de pareamento de uso único com expiração breve. Minimização de dados por design: sem números de telefone nem e-mails de membros; notas limitadas a 200 caracteres e rotuladas para excluir informações de paciente; sem análise no serviço com sessão iniciada. Isolamento de inquilinos na camada de aplicação; acesso baseado em papéis. Atestação de plataforma opcional nos endpoints sensíveis. Hospedagem no Google Cloud com segurança física e de rede do provedor; acesso à produção limitado ao pessoal autorizado. IPs tratados de forma transitória na memória, não persistidos. Aplicação automática da retenção: sinais concluídos e entradas da Digital Line removidos após 90 dias, registro de atividade após 12 meses, membros removidos anonimizados após 60 dias (Política de Privacidade, seção 8). Controles à disposição da Clínica: revogação de dispositivos, desativação de membros, exclusão de dados, registro de atividade.