Acordo de Tratamento de Dados (DPA)

MOIT Gestão de Tecnologia da Informação Ltda (Operadora) ↔ Profissional/Clínica contratante (Controlador) · Versão: 2026-10-v1.1

Fundamento: arts. 37, 39, 46, 48 e 18 da Lei nº 13.709/2018 (LGPD).

1. Partes e definições

CONTROLADOR: o profissional ou clínica que contrata a plataforma Kalibra e cadastra pacientes, identificado no cadastro da respectiva organização. Decide as finalidades e os meios essenciais do tratamento dos dados dos pacientes.

OPERADORA: MOIT GESTÃO DE TECNOLOGIA DA INFORMAÇÃO LTDA (nome fantasia MOIT), CNPJ 59.072.078/0001-64, com sede na Servidão das Águias, Campeche, Florianópolis/SC, CEP 88.063-086, que fornece a plataforma Kalibra e trata os dados dos pacientes por conta e sob instrução do Controlador.

Os termos "dado pessoal", "dado pessoal sensível", "titular", "tratamento", "controlador", "operador" e "encarregado" seguem as definições da LGPD (art. 5º).

Este DPA integra e complementa os Termos de Uso da plataforma. Em caso de conflito quanto a proteção de dados, prevalece este DPA. O Controlador manifesta aceite a este DPA por clique no cadastro da plataforma (clickwrap), com registro de data e hora, no mesmo ato de contratação dos Termos de Uso.

2. Objeto e instruções de tratamento

A Operadora tratará dados pessoais de pacientes exclusivamente para prestar o serviço de avaliação antropométrica contratado, conforme as instruções do Controlador materializadas no uso da plataforma. A Operadora não tratará esses dados para finalidades próprias.

• Natureza/finalidade: cálculo antropométrico e emissão de laudo.
• Tipos de dados: nome, data de nascimento, sexo, etnia (opcional) e medidas antropométricas, incluindo dados sensíveis (saúde e origem étnica).
• Titulares: pacientes cadastrados pelo Controlador.
• Base legal (de responsabilidade do Controlador): consentimento do titular (art. 11, I). O Controlador declara obter e manter o consentimento; a plataforma registra o aceite com data e hora.

3. Obrigações da Operadora

A Operadora obriga-se a:

• tratar os dados apenas conforme as instruções documentadas do Controlador e a legislação;
• garantir que pessoas autorizadas a tratar os dados estejam sob dever de confidencialidade;
• adotar as medidas de segurança da cláusula 5;
• apoiar o Controlador no atendimento aos direitos dos titulares (cláusula 6) e nas obrigações de segurança, comunicação de incidentes e eventual relatório de impacto (art. 48 e art. 38);
• manter registro das operações de tratamento que realiza (art. 37).

4. Subprocessadores

O Controlador autoriza, de forma geral, o uso dos seguintes subprocessadores:

Os dados de pacientes são armazenados no Brasil e não são objeto de transferência internacional. Os dados de autenticação do profissional (nome, e-mail e credenciais) são processados pela Clerk, Inc. nos Estados Unidos, configurando transferência internacional restrita a esses dados de cadastro/login, com fundamento no art. 33, IX, da LGPD (execução de contrato) e garantias contratuais firmadas com o subprocessador, incluindo criptografia em trânsito e em repouso. A Operadora impõe aos subprocessadores obrigações de proteção de dados equivalentes às deste DPA e responde perante o Controlador pelo cumprimento dessas obrigações. Alterações na lista serão comunicadas ao Controlador com antecedência de 30 (trinta) dias, cabendo objeção fundamentada.

5. Segurança da informação (art. 46)

A Operadora adota, no mínimo:

• isolamento lógico entre organizações (RLS no banco de dados, cada Controlador acessa apenas os próprios dados);
• criptografia em trânsito (TLS);
• criptografia em repouso do banco de dados, gerenciada pela infraestrutura Azure (chaves gerenciadas pelo serviço, AES-256);
• controle de acesso baseado em autenticação e menor privilégio;
• backup automático do banco de dados com retenção de 35 (trinta e cinco) dias, na região Brazil South.

6. Direitos dos titulares (art. 18)

Quando um titular exercer direitos diretamente perante a Operadora, esta o encaminhará ao Controlador e não responderá diretamente, salvo instrução. A Operadora fornecerá ao Controlador os meios técnicos (acesso, correção, exportação, eliminação) para atender às solicitações dos titulares dentro dos prazos legais.

7. Incidentes de segurança (art. 48)

A Operadora comunicará ao Controlador qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares, sem demora injustificada e no prazo máximo de 72 (setenta e duas) horas após tomar conhecimento, com as informações do art. 48, §1º. A comunicação à ANPD e aos titulares é responsabilidade do Controlador; a Operadora prestará apoio razoável.

8. Término, devolução e eliminação

Encerrada a relação contratual, a Operadora, conforme instrução do Controlador, disponibilizará os dados para exportação por 90 (noventa) dias e, ao fim do prazo, eliminará os dados de pacientes, salvo obrigação legal de guarda. A eliminação será confirmada ao Controlador mediante solicitação.

9. Confidencialidade, auditoria e responsabilidade

• Confidencialidade: as partes manterão sigilo sobre os dados e informações a que tiverem acesso, inclusive após o término.
• Auditoria: a Operadora demonstrará conformidade mediante relatórios e evidências fornecidos sob solicitação escrita; auditoria in loco somente com aviso prévio de 30 (trinta) dias, no máximo uma vez por ano, sob acordo de confidencialidade e às custas do Controlador, salvo constatação de descumprimento relevante.
• Responsabilidade: cada parte responde por suas obrigações na forma dos arts. 42 a 45 da LGPD; a alocação de responsabilidade segue os Termos de Uso, respeitada a limitação lá prevista.

10. Vigência e foro

Este DPA vigora enquanto durar o contrato principal e persiste quanto às obrigações de confidencialidade e eliminação. Foro da comarca de Florianópolis/SC.