Anexo de Tratamento de Dados — Minuta

MINUTA PARA REVISÃO JURÍDICA — SEM VIGÊNCIA 1. Partes e papéis. Para dados operacionais inseridos pelo estabelecimento, a CONTRATANTE normalmente define finalidades e meios essenciais como controladora, e a CONTRATADA trata os dados conforme instruções documentadas como operadora. Para conta comercial, segurança, faturamento e defesa dos próprios direitos, a CONTRATADA poderá atuar como controladora independente. Cada tratamento deve ser classificado pela realidade, não apenas pelo nome contratual. 2. Objeto e duração. O tratamento abrange hospedagem, organização, consulta, suporte, cópia de segurança, exportação e eliminação necessárias ao VetFlow durante a vigência e pelos prazos posteriores aprovados. 3. Categorias. Podem existir dados de representantes, funcionários, profissionais, tutores e outros contatos cadastrados, incluindo identificação, contato, relacionamento comercial, permissões e registros operacionais. A CONTRATANTE deve evitar inserir dados excessivos ou sem finalidade legítima. 4. Instruções. A CONTRATADA tratará dados operacionais segundo o contrato, configurações do sistema e instruções lícitas da CONTRATANTE. Instruções incompatíveis com a lei ou segurança deverão ser documentadas e poderão ser recusadas. 5. Confidencialidade e acesso. Pessoas autorizadas ficam sujeitas a dever de confidencialidade e acesso proporcional à função. A CONTRATANTE administra seus usuários e deve remover acessos desnecessários. 6. Segurança. A CONTRATADA manterá medidas técnicas e administrativas proporcionais, incluindo isolamento lógico por clínica, autenticação, autorização, registros de auditoria, proteção de credenciais, gestão de vulnerabilidades, backup e resposta a incidentes. Os anexos finais devem descrever controles sem expor segredos de segurança. 7. Suboperadores. Hospedagem e outros fornecedores essenciais deverão constar de lista pública ou anexo. Inclusões materiais serão comunicadas conforme prazo a definir. A CONTRATADA exigirá obrigações compatíveis e permanecerá responsável pelos seus deveres legais. 8. Titulares e autoridades. Solicitações recebidas pela CONTRATADA sobre dados controlados pela CONTRATANTE serão encaminhadas ou atendidas conforme instrução, competência e prazo aplicável. As partes cooperarão com a ANPD e outras autoridades. 9. Incidentes. A CONTRATADA comunicará à CONTRATANTE incidente confirmado que possa afetar seus dados, com informações disponíveis e atualizações razoáveis. Prazo operacional, responsáveis e canal devem ser definidos após validação do plano de resposta; o anexo não promete prazo impossível antes da apuração mínima. 10. Retorno, exportação e eliminação. Ao encerrar o serviço, os dados serão disponibilizados nos formatos suportados durante o período contratado. Depois, serão eliminados ou anonimizados, ressalvadas retenções legais, defesa de direitos e ciclos técnicos de backup documentados. 11. Auditoria e evidência. A CONTRATADA fornecerá evidências razoáveis de conformidade sem revelar dados de outros clientes, segredos comerciais ou informações que reduzam a segurança. Auditorias presenciais ou extraordinárias dependerão de escopo, confidencialidade e proporcionalidade. 12. Transferência internacional. Localização de hospedagem, fornecedores e salvaguardas de transferência deverão ser preenchidas e revisadas antes da publicação. Esta minuta exige inventário de subprocessadores, prazos e revisão jurídica.