Acordo de Tratamento de Dados

1. Partes

Responsável pelo tratamento: o profissional ou o centro titular da conta na Nerela, que decide quais dados dos seus pacientes trata e para quê (o "Responsável").

Subcontratante: LAGASTROEMIA VENTURES OÜ, sociedade constituída na Estônia, com sede em Sakala tn 7-2, Kesklinna linnaosa, 10141 Tallinn, Estônia, número de identificação para fins de IVA EE102418024, que presta o serviço Nerela (a "Nerela"). Contato para proteção de dados: admin@nerela.eu.

2. Objeto e duração

A Nerela trata, em nome do Responsável, os dados pessoais que ele insere ou coleta pelo Aplicativo — sobretudo dados dos seus pacientes, inclusive dados de saúde — apenas para prestar a ele o serviço descrito nos Termos e Condições. Os tipos de dados, as categorias de titulares e as operações estão descritos no Anexo I.

Este acordo vigora enquanto o Responsável tiver conta na Nerela e, depois disso, enquanto a Nerela conservar dados tratados em nome dele (cláusula 12).

Os dados da própria conta do profissional (nome, email, dados de faturamento da assinatura da Nerela) não estão incluídos: em relação a eles, a Nerela é a responsável pelo tratamento, como explica a Política de Privacidade.

3. Natureza e finalidade do tratamento

A Nerela hospeda, organiza, conserva, exibe, transmite e exclui os dados para que o Responsável possa usar as funções do Aplicativo: agenda e agendamentos, fichas de pacientes, anotações de sessão (inclusive imagens anexadas), faturamento, agendamento online e lembretes e, se o Responsável os ativar, os módulos opcionais (lembretes por WhatsApp, Secretária Virtual e cobrança por cartão).

A Nerela não trata esses dados para fins próprios: não os vende, não os compartilha com terceiros, não os usa para publicidade nem para criar perfis e não os usa para treinar modelos de inteligência artificial.

4. Instruções do Responsável

A Nerela só trata os dados com base em instruções documentadas do Responsável, inclusive no que se refere a transferências para fora do Espaço Econômico Europeu (artigo 28, n.º 3, alínea a, do RGPD). São instruções documentadas este acordo, os Termos e Condições, as ações e configurações que o Responsável faz no Aplicativo (por exemplo, criar, alterar, exportar ou excluir dados, ou ativar um módulo) e as solicitações que fizer por escrito para admin@nerela.eu.

Se a Nerela considerar que uma instrução viola o RGPD ou outra norma de proteção de dados, informa imediatamente o Responsável e pode suspender a sua execução até que ele a confirme ou altere.

Se o direito da União Europeia ou de um Estado-Membro obrigar a Nerela a tratar os dados de outra forma, a Nerela informa o Responsável antes de fazê-lo, salvo se esse direito o proibir por motivos importantes de interesse público.

A equipe da Nerela só acessa o conteúdo da conta do Responsável quando ele pede (por exemplo, para receber suporte), quando é necessário para resolver um incidente de segurança ou de funcionamento, ou quando a lei exige.

5. Confidencialidade e sigilo profissional

A Nerela garante que as pessoas autorizadas a tratar os dados se comprometeram a manter a confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada, inclusive depois de deixarem de trabalhar com a Nerela, e que só acessam os dados na medida do necessário para prestar ou apoiar o serviço.

A Nerela sabe que o Responsável está sujeito a sigilo profissional e trata toda informação clínica com a mesma reserva: não a divulga a ninguém, salvo por instrução do Responsável ou por obrigação legal.

6. Segurança do tratamento

A Nerela aplica as medidas técnicas e organizacionais do Anexo II, adequadas ao risco de tratar dados de saúde (artigo 32 do RGPD). Pode substituí-las por outras equivalentes ou melhores à medida que o serviço evolui, mas nunca de forma a reduzir o nível geral de proteção.

7. Subcontratantes ulteriores

O Responsável dá à Nerela uma autorização geral para recorrer aos subcontratantes ulteriores listados no Anexo III (artigo 28, n.º 2, do RGPD).

Antes de incluir ou substituir um subcontratante ulterior, a Nerela informa o Responsável por email e atualiza o Anexo III com pelo menos 30 dias de antecedência. Se um fornecedor da Nerela avisar com menos antecedência sobre uma mudança na sua própria cadeia, a Nerela informa o Responsável assim que tomar conhecimento dela.

O Responsável pode se opor à mudança por escrito, com motivos razoáveis ligados à proteção de dados, até a data em que ela produz efeitos. Se não houver uma solução aceitável (por exemplo, deixar de usar o módulo afetado), o Responsável pode cancelar a conta antes dessa data, sem nenhuma penalidade.

A Nerela impõe a cada subcontratante ulterior, por contrato escrito, obrigações de proteção de dados equivalentes às deste acordo (artigo 28, n.º 4) e continua plenamente responsável perante o Responsável pelo cumprimento dessas obrigações.

Não são subcontratantes ulteriores da Nerela os serviços que o próprio Responsável escolhe e contrata e para os quais pede ao Aplicativo que envie dados — por exemplo, a ferramenta de videoconsulta cujo link ele informa, o programa de faturamento certificado ou a conta Stripe que ele conecta, a ADSE (Portugal), o calendário em que ele assina a agenda ou o contador a quem envia relatórios. Em relação a esses, a Nerela apenas transmite os dados que o Responsável indicar, quando indicar.

8. Transferências internacionais

O banco de dados, a autenticação e os arquivos do Aplicativo ficam hospedados na União Europeia (Paris, França). Alguns subcontratantes ulteriores tratam dados fora do Espaço Econômico Europeu (EEE), sobretudo nos Estados Unidos: o Anexo III indica, para cada um, onde trata os dados e com qual garantia.

A Nerela só transfere dados pessoais para fora do EEE, ou autoriza que um subcontratante ulterior o faça, com uma das garantias do capítulo V do RGPD: uma decisão de adequação da Comissão Europeia — inclusive o Quadro de Privacidade de Dados UE-EUA, para as empresas certificadas —, as cláusulas contratuais-tipo aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão ou outra garantia adequada do artigo 46.

As transferências ligadas ao WhatsApp (lembretes por WhatsApp e Secretária Virtual) só acontecem se o Responsável usar essas funções.

9. Direitos dos titulares dos dados

As solicitações dos titulares dos dados (acesso, retificação, apagamento, limitação, oposição e portabilidade) são respondidas pelo Responsável. O Aplicativo permite que ele consulte, corrija e exclua diretamente os dados dos seus pacientes: ao excluir um paciente, são excluídos também os seus agendamentos, anotações de sessão e imagens clínicas; as faturas já emitidas são mantidas, por causa das obrigações fiscais, e tanto elas quanto as conversas de WhatsApp ficam desvinculadas da ficha. Para a portabilidade, o Responsável pode obter os dados como prevê a cláusula 12.

Se um titular procurar a Nerela diretamente, a Nerela encaminha a solicitação ao Responsável sem demora injustificada e, no máximo, em 5 dias úteis, e não responde por conta própria, a não ser para confirmar o encaminhamento.

Considerando a natureza do tratamento, a Nerela ajuda o Responsável, por meio de medidas técnicas e organizacionais adequadas e na medida do possível, a responder a essas solicitações (artigo 28, n.º 3, alínea e).

10. Violações de dados pessoais

A Nerela notifica o Responsável, sem demora injustificada depois de tomar conhecimento dela, de qualquer violação de dados pessoais que afete dados tratados em nome dele, por email para o endereço da conta. [PENDENTE: prazo máximo a definir com o advogado; proposta: 48 horas.]

A notificação inclui, na medida em que a Nerela a conheça, a informação do artigo 33, n.º 3, do RGPD — a natureza da violação, as categorias e o número aproximado de titulares e de registros afetados, as consequências prováveis, as medidas tomadas ou propostas e um ponto de contato — e é completada por etapas, à medida que a investigação avança.

A Nerela toma imediatamente as medidas razoáveis para conter a violação e reduzir os seus efeitos, e ajuda o Responsável a cumprir as próprias obrigações: notificar a autoridade de controle competente no prazo de 72 horas do artigo 33 e, quando o risco for elevado, comunicar a violação aos titulares (artigo 34). A Nerela não notifica autoridades nem titulares em nome do Responsável sem instrução dele, salvo se a lei a obrigar.

11. Assistência ao Responsável

Considerando a natureza do tratamento e as informações de que dispõe, a Nerela ajuda o Responsável a cumprir as obrigações dos artigos 32 a 36 do RGPD: segurança do tratamento, violações de dados pessoais, avaliação de impacto sobre a proteção de dados e consulta prévia à autoridade de controle. Para isso, disponibiliza este acordo e os seus anexos, responde a perguntas razoáveis sobre o funcionamento do Aplicativo e informa o Responsável das mudanças relevantes no serviço.

12. Fim do serviço: devolução e exclusão

A pedido do Responsável, feito por escrito para admin@nerela.eu, a Nerela entrega a ele, em até 30 dias, uma cópia dos dados pessoais que trata por sua conta, incluindo os arquivos anexados, em um formato estruturado, de uso corrente e de leitura automatizada. Quando o Aplicativo permitir exportar os dados (em Configurações, na seção de privacidade e dados), o Responsável também poderá baixá-los diretamente; essa exportação é um meio de obter os dados e não substitui esta obrigação.

Antes de cancelar, o Responsável deve obter uma cópia do que precisar conservar — por exemplo, os prontuários e as faturas que a lei ou as regras da sua profissão o obriguem a guardar.

Depois do fim do serviço, a Nerela exclui os dados pessoais tratados em nome do Responsável, inclusive as cópias existentes, salvo se o direito da União Europeia ou de um Estado-Membro exigir a sua conservação. Se, até lá, o Responsável pedir uma cópia, a Nerela a entrega antes de excluir. Os dados que ainda restarem em cópias de segurança não são usados para nenhum fim até serem eliminados. [PENDENTE: prazo a definir; proposta: 30 dias, mais o ciclo de retenção das cópias de segurança.]

13. Demonstração do cumprimento e auditorias

A Nerela disponibiliza ao Responsável as informações necessárias para demonstrar o cumprimento deste acordo e do artigo 28 do RGPD — este acordo, a lista de subcontratantes ulteriores e a descrição das medidas do Anexo II — e responde por escrito às perguntas razoáveis dele.

A Nerela permite e contribui para auditorias, inclusive inspeções, feitas pelo Responsável ou por um auditor indicado por ele e sujeito a dever de confidencialidade. Salvo diante de uma violação de dados pessoais ou de uma solicitação de uma autoridade de controle, as auditorias são pedidas por escrito com pelo menos 30 dias de antecedência, são feitas no máximo uma vez por ano e por conta do Responsável, e não podem dar acesso a dados de outros clientes nem comprometer a segurança do serviço.

14. Obrigações do Responsável

O Responsável garante que tem um fundamento jurídico válido para tratar os dados dos seus pacientes, inclusive uma das condições do artigo 9, n.º 2, do RGPD para os dados de saúde, e que os informa nos termos dos artigos 13 e 14, inclusive sobre as categorias de destinatários.

Dá instruções lícitas, decide por quanto tempo conserva cada dado de acordo com a lei e com as regras da sua profissão, e não insere no Aplicativo dados de pessoas com quem não tem uma relação profissional legítima.

Protege o acesso do seu lado: guarda as credenciais, gerencia quem da sua equipe tem acesso e com qual nível, e protege os dispositivos e as contas de email ou de WhatsApp onde recebe informações do Aplicativo. Decide se ativa os módulos opcionais, sabendo que eles implicam as transferências descritas no Anexo III.

15. Responsabilidade

Cada parte responde perante os titulares dos dados nos termos do artigo 82 do RGPD. Se a Nerela tratar os dados para fins próprios ou contra as instruções lícitas do Responsável, será considerada responsável pelo tratamento em relação a esse tratamento (artigo 28, n.º 10). [PENDENTE: articulação com a limitação de responsabilidade da seção 10 dos Termos e Condições, a revisar com o advogado.]

16. Alterações, prevalência e lei aplicável

A Nerela pode atualizar este acordo para refletir mudanças no serviço, nos subcontratantes ulteriores (cláusula 7) ou na lei. As alterações relevantes são comunicadas ao Responsável por email ou no Aplicativo, com uma antecedência razoável.

Em caso de contradição entre este acordo e os Termos e Condições em matéria de proteção de dados pessoais, prevalece este acordo.

Este acordo é regido pelo RGPD e pelo direito do Estado-Membro que for aplicável. [PENDENTE: escolha da lei aplicável e do foro, a decidir com o advogado; os Termos e Condições não a fazem hoje.]

17. Contato

Para qualquer questão sobre este acordo, para pedir uma cópia dos dados ou para comunicar um incidente de segurança, o Responsável pode escrever para admin@nerela.eu. [PENDENTE: decidir se a Nerela designa um encarregado da proteção de dados (DPO, artigo 37 do RGPD) e um endereço próprio para incidentes.]

Anexo I — Descrição do tratamento

• Titulares dos dados: pacientes do Responsável, inclusive menores que ele acompanhe; pessoas que agendam consulta pela página pública de agendamento do Responsável; pessoas cujos dados o Responsável registra na ficha ou no faturamento (por exemplo, quem recebe a fatura); pessoas que escrevem para o número de WhatsApp atendido pela Secretária Virtual, se esse módulo estiver ativo; os profissionais e outros membros da equipe do Responsável; e o contador a quem o Responsável envia relatórios.
• Dados de identificação e de contato: nome, iniciais, email, telefone, endereço e dados fiscais (número de identificação fiscal e nome e endereço de faturamento).
• Dados administrativos: agendamentos (data, horário, duração, serviço, modalidade presencial ou online, sala, profissional e status), comparecimentos e faltas, pagamentos e faturas, convênio ou seguro para reembolso, profissional responsável e origem do paciente.
• Dados de saúde (categoria especial, artigo 9 do RGPD): anotações de sessão e imagens anexadas, histórico clínico, sinais de alerta e próximos passos registrados na ficha, e qualquer outra informação clínica que o Responsável inserir. O simples fato de alguém ser paciente de um psicólogo pode revelar informação de saúde.
• Comunicações: lembretes, convites e faturas enviados por email aos pacientes e, se o Responsável usar o WhatsApp, as mensagens de WhatsApp (lembretes e conversas com a Secretária Virtual).
• Dados técnicos: registros de acesso e de erros do servidor.
• Operações: coleta (pelo Responsável ou pela página de agendamento), registro, organização, conservação, consulta, exibição, geração de documentos (faturas e relatórios), envio de emails e de mensagens, exportação e exclusão.
• Finalidade: prestar ao Responsável o serviço de gestão do consultório descrito nos Termos e Condições.
• Duração e conservação: enquanto a conta existir e, depois, conforme a cláusula 12. Durante a vigência da conta, é o Responsável quem decide por quanto tempo conserva cada dado, e ele pode excluí-lo no Aplicativo.
• Localização: banco de dados, autenticação e arquivos na União Europeia (Paris, França); as funções do servidor do Aplicativo também rodam em Paris. Os recursos estáticos e o roteamento das requisições passam pela rede global da Vercel, e os tratamentos fora do EEE estão no Anexo III.
• Frequência: contínua, enquanto o Responsável usar o Aplicativo.

Anexo II — Medidas técnicas e organizacionais

Medidas que existem hoje no Aplicativo. A Nerela as revisa sempre que o serviço muda.

• Criptografia em trânsito: toda a comunicação com o Aplicativo usa HTTPS (TLS), com HSTS ativo para que o navegador recuse conexões sem criptografia.
• Isolamento entre contas no próprio banco de dados: as tabelas com dados dos clientes têm políticas de Row Level Security (RLS) do PostgreSQL, que só permitem ler e gravar as linhas das contas às quais o usuário pertence. A separação não depende apenas do código do Aplicativo.
• Níveis de acesso dentro da conta (titular, gerente e colaborador): as fichas, os agendamentos e as anotações de sessão seguem uma regra única aplicada no banco de dados — titular e gerente veem tudo; um colaborador vê os pacientes atribuídos a ele e, se a conta permitir, os que estão compartilhados com a equipe. O faturamento, as despesas e as conversas de WhatsApp ficam restritos a titular e gerente, e as credenciais de serviços externos, ao titular.
• Imagens clínicas em um contêiner de armazenamento privado, organizado por conta e protegido por RLS; só são exibidas por meio de links assinados que expiram em 12 horas.
• As credenciais de serviços externos que o Responsável conecta (programa de faturamento certificado, ADSE) ficam salvas criptografadas no banco de dados (pgcrypto), com a chave de criptografia fora do banco de dados.
• Limites de frequência nos pontos de entrada públicos e nos envios (agendamento online, links compartilhados com o contador, demonstração pública e envios de WhatsApp e de email), com contadores no banco de dados.
• Os webhooks dos provedores de pagamento e de WhatsApp só são aceitos com assinatura válida, e as tarefas agendadas exigem um segredo.
• Cabeçalhos de segurança: o Aplicativo não pode ser incorporado em outros sites, e o navegador recebe HSTS, nosniff, uma política de referenciador e uma política de permissões que bloqueia câmera, microfone e localização.
• Minimização do que sai do Aplicativo: o calendário assinado mostra só um título genérico, nunca o nome do paciente; o link da videoconsulta é um código aleatório, revogável e limitado ao horário da consulta, que não revela o nome do paciente nem as anotações.
• A chave de serviço do banco de dados, que ignora a RLS, só existe no servidor e nunca chega ao navegador. As chaves e os segredos ficam nas variáveis de ambiente da hospedagem, nunca no código.
• Monitoramento de erros (se estiver ativo) com filtragem antes do envio: sem corpo das requisições, parâmetros, cookies, identidade do usuário nem gravação de sessão, e com uma tentativa automática de retirar emails, telefones e números fiscais do texto dos erros.
• No Aplicativo não há publicidade nem ferramentas de análise de terceiros.
• Secretária Virtual (se estiver ativa): o texto de quem envia mensagens é separado das instruções do sistema, e as ações na agenda só podem afetar os agendamentos do próprio remetente, identificado pelo número internacional completo.
• Exclusão efetiva: excluir um paciente exclui os seus agendamentos, anotações de sessão e imagens clínicas, inclusive os arquivos do armazenamento.
• Acesso da equipe da Nerela: no Aplicativo, só os administradores da plataforma têm funções internas. Entrar na conta de um cliente para dar suporte só é possível com essa permissão, e cada entrada fica registrada em um registro que não pode ser alterado nem apagado pelo Aplicativo.
• Confidencialidade das pessoas que tratam os dados (cláusula 5) e acesso ao conteúdo das contas só nos casos da cláusula 4.
• Procedimento interno escrito de resposta a incidentes, inclusive violações de dados pessoais.
• Cópias de segurança: as que o provedor do banco de dados faz no plano contratado pela Nerela. [PENDENTE: confirmar o plano do Supabase, a frequência e a retenção das cópias de segurança.]

Anexo III-A — Subcontratantes ulteriores que tratam dados de pacientes

Lista em 9 de outubro de 2026. As localizações e as garantias são as que constam da documentação pública de cada fornecedor.

Anexo III-B — Fornecedores que não tratam dados de pacientes

Aparecem aqui para que o Responsável saiba quem mais participa do serviço. Tratam dados do próprio profissional, em relação aos quais a Nerela é a responsável pelo tratamento.