Um Acordo de Processamento de Dados (DPA, sigla em inglês de Data Processing Agreement) é o contrato que regula a relação entre o Controlador (a clínica ou centro radiológico) e o Operador (um prestador SaaS como CBCTHub) quando este último processa dados pessoais em nome do primeiro. É obrigatório sob GDPR Art. 28(4), LGPD Art. 39, e aplicável sob HIPAA como Business Associate Agreement.
O que inclui o DPA do CBCTHub
O modelo público cobre os pontos exigidos pelas principais normas:
- Definições dos termos chave (Controlador, Operador, Dados Pessoais, Dados Sensíveis de Saúde, Sub-operador)
- Objeto, natureza e duração do tratamento
- Tipos de dados pessoais e categorias de titulares (pacientes, profissionais, encaminhadores)
- Obrigações do Operador (CBCTHub) e direitos do Controlador (cliente)
- Lista de sub-operadores autorizados (Supabase, Cloudflare, Vercel, Stripe, Resend) e mecanismos de transferência internacional
- Medidas técnicas e organizacionais (TLS, AES-256, RLS, backups, audit log)
- Procedimento de notificação de violações de segurança (72 horas)
- Direito de auditoria do Controlador
- Procedimento de devolução e eliminação de dados ao finalizar o serviço
- Lei aplicável e jurisdição
Quando você precisa de um DPA assinado
- Auditoria regulatória: autoridades de proteção de dados podem requerer documentação dos acordos com seus prestadores de software.
- Acreditação ou certificação: certificações como ISO 27001 ou processos de conformidade HIPAA exigem manter DPAs/BAAs com todos os operadores.
- Clientes corporativos: hospitais, redes de clínicas ou seguradoras costumam requerer DPA assinado antes de integrar sua clínica como fornecedora.
- Operações internacionais: se sua clínica atende pacientes europeus ou seus dados trafegam por jurisdições com regulação específica (UE, Brasil, Califórnia), um DPA é obrigatório.
Documento completo
O texto completo do modelo DPA está disponível em formato web (também imprimível ou exportável para PDF a partir do navegador):
Solicitar versão assinada
Este modelo é a versão pública padrão. Se você precisa de uma versão personalizada com a razão social, identificação fiscal e endereço do seu centro, assinada digitalmente pela equipe jurídica do CBCTHub, escreva para legal@cbcthub.com indicando: razão social, CNPJ/RUT/EIN/CIF, endereço e nome do signatário autorizado da sua organização. Enviamos o documento assinado digitalmente em 1–2 dias úteis.