Versão 2026-08-05
Este Acordo de Tratamento de Dados ("DPA") integra o Contrato de Prestação de Serviços SaaS da plataforma Klyvo e disciplina o tratamento de dados pessoais realizado pela Klyvo Serviços LTDA, CNPJ 67.519.663/0001-98 ("Operadora"), em nome da CONTRATANTE ("Controladora"), nos termos da Lei nº 13.709/2018 (LGPD). Em caso de conflito com o Contrato quanto à matéria de proteção de dados, prevalece este DPA.
1.1. Os termos "dado pessoal", "dado pessoal sensível", "titular", "tratamento", "controlador", "operador", "encarregado", "ANPD" e "incidente" têm o significado da LGPD.
1.2. A CONTRATANTE é a Controladora dos dados pessoais de seus pacientes e demais titulares por ela inseridos na plataforma; a FORNECEDORA é a Operadora, tratando tais dados exclusivamente em nome e sob instruções da Controladora.
2.1. A Operadora tratará dados pessoais unicamente para prestar os serviços descritos no Contrato e conforme as instruções documentadas da Controladora.
2.2. Detalhamento do tratamento:
a) Natureza/operações: coleta, armazenamento, organização, estruturação, consulta, uso, transmissão a sub-operadores, backup, eliminação.
b) Finalidade: viabilizar a gestão odontológica (agenda, prontuário, odontograma, receituário, financeiro, estoque, CRM, portal do paciente, notificações e módulo de contabilidade estimativo).
c) Categorias de titulares: pacientes, profissionais, colaboradores e contatos/leads da Controladora.
d) Categorias de dados: dados cadastrais e de contato; dados financeiros; dados pessoais sensíveis de saúde (prontuário, odontograma, prescrições) — ver Aditivo de Dados Sensíveis de Saúde (klyvo.app.br/dados-sensiveis).
e) Duração: pela vigência do Contrato, ressalvadas as hipóteses de conservação legal.
2.3. A Operadora não tratará os dados para finalidades próprias diversas das instruídas, salvo obrigação legal, hipótese em que informará a Controladora previamente, quando permitido.
3.1. Tratar os dados conforme as instruções documentadas da Controladora e a LGPD, comunicando à Controladora caso entenda que uma instrução viola a legislação.
3.2. Garantir que pessoas autorizadas a tratar os dados estejam sujeitas a dever de confidencialidade.
3.3. Implementar e manter as medidas de segurança da Cláusula 4.
3.4. Auxiliar a Controladora no atendimento aos titulares (Cláusula 6) e no cumprimento das obrigações dos arts. 46 a 51 da LGPD (segurança, relatório de impacto, comunicação de incidentes), na medida do seu papel.
3.5. Disponibilizar à Controladora as informações necessárias para demonstrar o cumprimento das obrigações de operadora.
3.6. Manter registro das operações de tratamento que realizar.
4.1. A Operadora adotará medidas técnicas e administrativas aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, compatíveis com o estado da técnica, incluindo, conforme aplicável: (a) controle de acesso baseado em função e autenticação; (b) segregação lógica entre os ambientes (multi-tenant); (c) criptografia de dados em trânsito e, quando aplicável, em repouso; (d) registros de auditoria/logs; (e) rotinas de backup e de recuperação; (f) políticas internas de segurança e treinamento.
4.2. As medidas poderão evoluir, não podendo, contudo, reduzir o nível de proteção contratado.
5.1. A Controladora autoriza a Operadora a contratar sub-operadores para a prestação do serviço. Os sub-operadores atuais são: Vercel (hospedagem), Supabase (banco de dados), Resend (e-mail transacional), Umami (analytics sem cookie) e Asaas (pagamentos).
5.2. A Operadora imporá aos sub-operadores obrigações de proteção de dados equivalentes às deste DPA e responderá perante a Controladora pelo cumprimento por eles.
5.3. Alteração de sub-operadores: a Operadora comunicará a inclusão ou substituição de sub-operadores com antecedência razoável. A Controladora poderá objetar fundamentadamente, por motivos legítimos de proteção de dados; não solucionada a objeção, a Controladora poderá rescindir o Contrato sem ônus quanto a períodos vincendos.
6.1. Considerando que o relacionamento com os titulares cabe à Controladora, a Operadora a auxiliará, na medida do tecnicamente possível, a responder a requisições de exercício de direitos (art. 18 da LGPD), por meio de funcionalidades da plataforma e/ou suporte.
6.2. Recebendo requisição de titular diretamente, a Operadora, salvo obrigação legal, a encaminhará à Controladora e não responderá por conta própria, exceto quanto aos dados em que atue como controladora (cadastro/conta).
7.1. A Operadora notificará a Controladora sobre incidente de segurança envolvendo dados pessoais tratados em seu nome sem demora injustificada e em até 48 horas a contar de quando dele tiver conhecimento confirmado.
7.2. A notificação conterá, na medida do disponível: a descrição do incidente, a natureza e categorias de dados e titulares afetados, as possíveis consequências e as medidas adotadas/recomendadas para mitigação.
7.3. A Operadora cooperará com a Controladora nas providências cabíveis, incluindo eventual comunicação à ANPD e aos titulares, cuja responsabilidade de decisão e comunicação cabe à Controladora, salvo acordo diverso.
8.1. Havendo transferência internacional de dados em razão dos sub-operadores (Cláusula 5), a Operadora observará as salvaguardas do art. 33 da LGPD (ex.: cláusulas-padrão/contratuais, país com adequação reconhecida pela ANPD, ou outras garantias), assegurando proteção compatível com a legislação brasileira.
9.1. Encerrado o Contrato, a Operadora, conforme escolha da Controladora e funcionalidades disponíveis, disponibilizará a exportação dos dados em formato estruturado por até 30 (trinta) dias e, em seguida, eliminará os dados em até 30 (trinta) dias.
9.2. Ressalva-se a conservação de dados exigida por obrigação legal/regulatória ou para exercício regular de direitos (art. 16 da LGPD), mantidos sob segurança e pelo prazo estritamente necessário.
10.1. A Operadora disponibilizará à Controladora, mediante solicitação razoável e periodicidade não abusiva, informações e/ou relatórios/certificações que demonstrem a conformidade deste DPA.
10.2. Auditorias presenciais poderão ser realizadas mediante aviso prévio razoável, em horário comercial, sem comprometer a segurança, a confidencialidade de outros clientes (multi-tenant) e a operação, observado dever de sigilo e, quando aplicável, rateio de custos.
11.1. Cada Parte responde por suas obrigações na forma da LGPD (arts. 42 a 45) e do Contrato. A Operadora responde solidariamente apenas nas hipóteses legais (descumprimento das obrigações de operadora ou atuação em desconformidade com instruções lícitas da Controladora).
11.2. A limitação de responsabilidade do Contrato (Cláusula 18) aplica-se também a este DPA, na máxima extensão permitida em lei.
12.1. Este DPA vigora enquanto durar o tratamento de dados no âmbito do Contrato, subsistindo as obrigações que, por sua natureza, devam permanecer após o término (ex.: confidencialidade e eliminação).
Este documento faz parte do pacote legal Klyvo:
Em caso de dúvidas sobre o tratamento de dados, entre em contato com o suporte do Klyvo.