Acordo de Processamento de Dados

1.1 Objeto: Este DPA regula o tratamento de dados pessoais de pacientes realizado pela Operadora em nome do Controlador, no contexto da prestação dos serviços da plataforma Karis (apoio à decisão clínica, análise de exames e documentos médicos via inteligência artificial).

1.2 Controlador: O médico ou profissional de saúde que utiliza a plataforma Karis e que decide quais dados de seus pacientes serão inseridos e processados.

1.3 Operadora: Karis Health Tecnologia Ltda., responsável pela infraestrutura tecnológica que processa os dados conforme as instruções do Controlador.

1.4 Dados dos Pacientes: Qualquer informação pessoal, incluindo dados de saúde (dados sensíveis nos termos da LGPD Art. 11), inserida pelo Controlador na plataforma em relação a seus pacientes.

A Operadora processa, em nome do Controlador, as seguintes categorias de dados:

• Dados de identificação: nome, data de nascimento, sexo
• Dados de saúde: resultados de exames laboratoriais, valores de biomarcadores, dados genômicos, parâmetros de bioimpedância
• Dados de dispositivos vestíveis (wearables): frequência cardíaca, sono, atividade física, SpO2, HRV
• Histórico clínico: medicações, diagnósticos, notas médicas, documentos PDF de laudos
• Dados de estilo de vida: tabagismo, consumo de álcool, nível de atividade física

Dados não processados: A Operadora não solicita nem processa número de CPF, endereço residencial, dados financeiros dos pacientes, ou qualquer dado não relacionado à atividade clínica do Controlador.

Os dados dos pacientes são tratados exclusivamente para:

• Geração de sínteses clínicas e identificação de padrões em biomarcadores por modelos de inteligência artificial
• Armazenamento e organização do prontuário eletrônico simplificado do médico
• Análise farmacogenômica e verificação de interações medicamentosas
• Geração de relatórios e documentos de suporte à consulta médica

Os dados dos pacientes nunca são utilizados para treinar modelos de IA da Operadora, para fins comerciais de terceiros, ou para qualquer finalidade que não seja a prestação direta do serviço ao Controlador.

A Operadora se compromete a:

• Confidencialidade: Tratar os dados exclusivamente conforme instruções documentadas do Controlador, e garantir que todos os colaboradores e suboperadores sejam vinculados por obrigações de confidencialidade.
• Segurança (LGPD Art. 46): Implementar e manter medidas técnicas e organizacionais adequadas: criptografia em trânsito (TLS 1.2+) e em repouso (AES-256), controle de acesso baseado em funções, isolamento de dados por médico (owner_uid), logs de auditoria imutáveis.
• Notificação de incidentes: Informar o Controlador em prazo razoável (máximo 72 horas) sobre qualquer incidente de segurança que possa afetar dados de seus pacientes, conforme LGPD Art. 48.
• Suboperadores: Contratar suboperadores somente mediante acordo de confidencialidade equivalente e notificar o Controlador sobre suboperadores relevantes (ver Cláusula 5).
• Assistência ao Controlador: Auxiliar o Controlador no atendimento às solicitações de titulares (Art. 18 LGPD): acesso, correção, portabilidade e exclusão de dados.
• Exclusão de dados: Excluir irreversivelmente todos os dados dos pacientes do Controlador em até 90 dias após o cancelamento da conta ou término do contrato.

A Operadora utiliza os seguintes suboperadores para a prestação do serviço. Todos operam sob termos contratuais que garantem proteção equivalente a este DPA:

Para suboperadores localizados fora do Brasil (EUA), a Operadora adota as salvaguardas necessárias para transferência internacional, incluindo cláusulas contratuais padrão alinhadas ao Art. 33 da LGPD.

O Controlador (médico usuário) declara e se compromete a:

• Obter o consentimento informado de seus pacientes antes de inserir dados na plataforma, quando exigido pela legislação aplicável
• Inserir apenas dados necessários para as finalidades clínicas descritas neste DPA (princípio da minimização — LGPD Art. 6, III)
• Manter a confidencialidade de suas credenciais de acesso à plataforma
• Notificar a Operadora sobre quaisquer erros ou inexatidões nos dados processados
• Atender às solicitações de direitos dos titulares (pacientes) nos prazos legais, utilizando os mecanismos de exportação e exclusão disponíveis na plataforma

Parte do processamento ocorre em servidores da Anthropic (EUA) para geração das análises de IA. Os dados são transmitidos de forma criptografada (TLS), e a Anthropic está contratualmente proibida de usar dados de clientes para treinar seus modelos.

A infraestrutura principal (banco de dados, armazenamento de arquivos) está localizada na região southamerica-east1 (São Paulo, Brasil).

O Controlador é responsável por atender às solicitações dos titulares (LGPD Art. 18). A Operadora disponibiliza ferramentas técnicas para:

• Acesso e portabilidade: Exportação do prontuário em formato JSON/PDF via painel do médico
• Correção: Edição de dados diretamente no prontuário
• Exclusão: Exclusão de paciente pelo médico (dados removidos em até 30 dias); exclusão completa da conta em até 90 dias após cancelamento
• Revogação de consentimento: O médico pode excluir o paciente da plataforma a qualquer momento

• Dados de pacientes são retidos enquanto o médico mantiver conta ativa na plataforma
• Após cancelamento da assinatura: dados retidos por 30 dias adicionais para eventual regularização
• Após confirmação de encerramento de conta: exclusão irreversível em até 90 dias
• Logs de auditoria (sem dados de pacientes) podem ser retidos por até 5 anos para fins legais

O Controlador tem direito a solicitar evidências de conformidade com este DPA, mediante notificação prévia de 30 dias por e-mail para privacidade@karis.health. A Operadora fornecerá relatórios de conformidade ou resultados de auditorias de terceiros, quando disponíveis.

Este DPA entra em vigor no momento do aceite pelo Controlador e permanece vigente pelo prazo da assinatura ativa. Em caso de cancelamento ou rescisão, as obrigações de confidencialidade e exclusão de dados sobrevivem pelo prazo previsto na Cláusula 9.

A Operadora pode atualizar este DPA mediante aviso prévio de 15 dias por e-mail. Alterações materiais exigirão novo aceite explícito no próximo login após a vigência da nova versão. A versão atual é identificada como v1.0.

Para exercer direitos previstos na LGPD ou questionar o tratamento de dados:

• E-mail de privacidade: privacidade@karis.health
• Responsável (Encarregado DPO): Encarregado de Proteção de Dados — privacidade@karis.health
• Empresa: Karis Health Tecnologia Ltda.
• Lei aplicável: LGPD (Lei nº 13.709/2018) — Brasil