Termos de uso e contrato de operação

TERMOS DE USO E CONTRATO DE OPERAÇÃO DE DADOS — NUTRIAPP

Leia antes de aceitar. Este documento define o que cada lado faz, o que cada lado responde, e o que acontece com os dados dos seus pacientes.

Ao aceitar, o sistema grava a data, a hora, o seu IP e a versão exata deste texto. Você pode pedir uma cópia a qualquer momento, e ela está publicada em usenutriapp.com/termos.

COMO LER ESTE DOCUMENTO: as frases EM MAIÚSCULAS são as que limitam algum direito seu ou criam uma obrigação sua. Estão em destaque de propósito, e é nelas que você deve parar. O resto explica.

1. QUEM SÃO AS PARTES

OPERADOR DO SISTEMA: CARVALHO-KARSTEN TECNOLOGIA LTDA, CNPJ 40.402.200/0001-95, com sede na Rua Leoberto Leal, nº 243, Sala 02, Escritório 22, Centro, São João Batista/SC, CEP 88240-000, doravante "quem opera o sistema". Contato para assuntos de dados pessoais, e encarregado pelo tratamento de dados pessoais na forma do art. 41 da Lei 13.709/2018: gustavo@dockplusai.com.

PROFISSIONAL: você, nutricionista com inscrição ativa em Conselho Regional de Nutricionistas, identificada pelo nome, número e região de CRN que informa no cadastro.

2. O QUE VOCÊ ESTÁ CONTRATANDO

Um sistema pela internet, para uso na sua prática: prontuário, anamnese, medidas, exames, plano alimentar, agenda, recebimentos, documentos e relatório de apoio por inteligência artificial. Você acessa pelo navegador; não há programa para instalar.

Você recebe uma LICENÇA DE USO, pessoal, intransferível e não exclusiva, válida enquanto este contrato durar. O software, o código, o desenho das telas e a marca continuam sendo de quem opera o sistema.

OS DADOS SÃO OUTRA COISA, E SÃO SEUS. O prontuário, os exames, os planos e o cadastro dos seus pacientes pertencem a você e a eles. Quem opera o sistema apenas os guarda e os organiza a seu pedido, e não adquire direito nenhum sobre eles.

VOCÊ NÃO PODE: revender ou ceder o acesso, dar a sua senha a outro profissional para que ele atenda com a sua conta, tentar copiar a base de dados por meios automatizados, nem descompilar o sistema.

Este contrato vale por prazo indeterminado e começa no seu aceite.

3. OS PAPÉIS NA LEI GERAL DE PROTEÇÃO DE DADOS

Você é o CONTROLADOR dos dados dos seus pacientes (Lei 13.709/2018, art. 5º, VI). Você decide quais dados coleta, para quê, e por quanto tempo. A relação de cuidado e o sigilo profissional são seus.

Quem opera o sistema é o OPERADOR (art. 5º, VII): trata os dados em seu nome, seguindo suas instruções, e não os usa para finalidade própria.

AS SUAS INSTRUÇÕES SÃO ESTE CONTRATO, mais o que você configura e escolhe dentro do sistema — quais pacientes cadastra, quais exames envia para leitura automática, quando clica em gerar o relatório de apoio, o que escreve no prontuário. Fora disso, quem opera o sistema não trata dado nenhum dos seus pacientes.

Se você der uma instrução que quem opera o sistema entenda como contrária à lei, ela será recusada, e você será informado do motivo (LGPD art. 38 e 39).

Consequências práticas, e são as que importam:

a) O paciente é SEU paciente. Pedido de acesso, correção ou cópia que ele faça chega a você, e você responde — o sistema tem a função de exportar o prontuário integral para isso (ver seção 16).

b) Quem opera o sistema NÃO usa os dados dos seus pacientes para nada além de fazer o sistema funcionar. Não vende, não cede, não troca, não treina modelo de inteligência artificial com eles, não os usa para estudo, estatística, publicidade ou qualquer produto derivado. Isso não é só promessa: o § 4º do art. 11 da LGPD proíbe comunicar ou compartilhar dado de saúde entre controladores para obter vantagem econômica.

c) Se houver incidente de segurança, vale a seção 9, que tem prazo escrito.

4. AS BASES LEGAIS, E DE ONDE VEM A AUTORIZAÇÃO

Isto costuma faltar nos contratos, e é o que a fiscalização pergunta primeiro.

PARA OS SEUS DADOS (nome, CRN, e-mail, senha, acessos, cobrança): a base é a execução deste contrato, art. 7º, V da LGPD, e o cumprimento de obrigação legal, art. 7º, II, para o que a lei manda guardar.

PARA OS DADOS DOS SEUS PACIENTES: dado de saúde é dado pessoal sensível, e a base principal é a TUTELA DA SAÚDE, prestada por profissional de saúde — art. 11, II, "f" da LGPD. É essa base que sustenta o prontuário, as medidas, os exames e o plano, e ela não depende de consentimento.

O CONSENTIMENTO ESPECÍFICO ENTRA PARA O QUE ESTÁ FORA DA TUTELA DA SAÚDE: o envio do laudo e do resumo do caso para a ferramenta de inteligência artificial, que é tratamento por terceiro e transferência internacional. É por isso que o sistema colhe o termo de consentimento do paciente e RECUSA gerar relatório para quem não aceitou a versão do termo que descreve esse uso. A recusa é do banco de dados, não da tela.

Você é quem escolhe a base ao decidir o que coleta. Quem opera o sistema apenas garante que o caminho técnico corresponda ao que está escrito aqui.

5. O QUE QUEM OPERA O SISTEMA VÊ, E O QUE NÃO VÊ

Esta seção é específica de propósito. Você está confiando prontuário a um sistema, e tem o direito de saber exatamente quem alcança o quê.

NÃO ACESSA, por decisão de arquitetura:

- nome, contato ou qualquer dado cadastral dos seus pacientes;

- conteúdo de prontuário: anamnese, diagnóstico, conduta, orientação, evolução;

- resultado de exame, laudo enviado, plano alimentar, medidas;

- o NÚMERO DO SEU CARTÃO de crédito, que você informa na página do Stripe e nunca passa por este sistema.

O isolamento entre contas é imposto pelo banco de dados (Row Level Security), não por código de aplicação: uma consulta que esquecesse de filtrar sua conta não devolveria dados de outra, porque o banco recusa antes.

ACESSA, no painel de operação:

- seus dados de cadastro: nome, CRN, e-mail, data de entrada, último acesso;

- CONTAGENS de uso da sua conta: quantos pacientes, quantos exames, quantos planos, quantos registros — números, nunca conteúdo;

- o espaço que seus arquivos ocupam e o custo de leitura automática de exames;

- o que você escrever ao reportar um problema (ver seção 22);

- registros técnicos de acesso: quando entrou, de qual IP, e tentativas de entrada que falharam;

- a situação da sua assinatura: se está em teste, ativa, com cobrança pendente ou cancelada, o valor e a data da próxima cobrança;

- registros técnicos de erro do sistema: rota, classe do erro, código do banco, duração. Esse registro é redigido na origem para não conter nome, valor de exame nem texto de prontuário.

ACESSO EXCEPCIONAL: manutenção de banco de dados, migração e investigação de defeito são feitas por quem opera o sistema com credencial administrativa que, tecnicamente, alcança as tabelas. Isso é inerente a qualquer sistema hospedado, e nenhum contrato honesto diz o contrário. O compromisso é: SÓ QUANDO NECESSÁRIO PARA O FUNCIONAMENTO, NUNCA PARA LEITURA DE PRONTUÁRIO, e toda alteração de estrutura fica registrada no histórico de migrações do sistema.

6. COMO O SISTEMA PROTEGE — E O QUE ELE NÃO FAZ

O que existe hoje, e você pode cobrar:

a) TRÂNSITO CIFRADO. Tudo que vai do seu navegador ao servidor passa por HTTPS, com certificado válido e renovado automaticamente.

b) SENHA NUNCA GUARDADA EM TEXTO. A sua senha é convertida por argon2id, um algoritmo próprio para isso, e o que fica gravado não permite recuperar a senha original. Quem opera o sistema não sabe a sua senha e não tem como descobrir.

c) ISOLAMENTO NO BANCO. Row Level Security, como descrito na seção 5.

d) FREIO CONTRA FORÇA BRUTA. Tentativas seguidas de entrar com senha errada são bloqueadas por tempo crescente, e ficam registradas.

e) REGISTRO QUE NÃO GUARDA CONTEÚDO. O registro de erro do sistema é filtrado na origem: campos com nome, e-mail, telefone, documento, valor de exame e texto de prontuário são descartados antes de gravar.

f) CÓPIA DE SEGURANÇA. Ver seção 18.

g) HISTÓRICO IMUTÁVEL. Registro de prontuário não é alterado nem apagado: correção entra como registro novo e o original continua visível, como a Resolução CFN nº 594/2017 exige.

O QUE NÃO EXISTE, E VOCÊ PRECISA SABER ANTES DE DECIDIR:

h) OS DADOS NÃO SÃO CIFRADOS EM REPOUSO NO SERVIDOR. O banco de dados e os arquivos de laudo ficam gravados em disco sem cifragem adicional. A proteção nessa camada é o controle de acesso à máquina, e não a criptografia. A cópia de segurança fora do servidor, essa sim, fica em armazenamento que cifra os objetos em repouso.

i) NÃO HÁ AUTENTICAÇÃO EM DOIS FATORES. Hoje o acesso é e-mail e senha. QUEM TIVER A SUA SENHA ENTRA COMO VOCÊ, e assina como você.

j) NÃO HÁ CERTIFICAÇÃO DE PRONTUÁRIO ELETRÔNICO por entidade externa. O sistema segue o que a Resolução CFN nº 594/2017 exige, sem selo de terceiro que ateste isso.

Mudança relevante nesta seção — para melhor ou para pior — é versão nova destes termos, com novo aceite.

7. TERCEIROS QUE TRATAM DADOS (SUBOPERADORES)

Você precisa saber disto, e seus pacientes também — o termo de consentimento que eles assinam menciona o uso de ferramenta de inteligência artificial.

a) LEITURA AUTOMÁTICA DE EXAMES — OpenAI. Quando você envia um laudo, o ARQUIVO INTEIRO é transmitido para a OpenAI, empresa sediada nos Estados Unidos, para extração dos valores. Isso é transferência internacional de dado de saúde (LGPD art. 33). O laudo pode conter o nome do paciente, se o laboratório o imprimiu. O uso é exclusivamente extrair e organizar os valores daquele laudo; o tratamento pela OpenAI segue a política dela, sobre a qual quem opera o sistema não tem controle. SE VOCÊ NÃO QUISER ESSA TRANSFERÊNCIA, NÃO ENVIE O LAUDO: lance os valores à mão. A tela oferece esse caminho, e o resultado no prontuário é idêntico.

a-2) RELATÓRIO DE APOIO À CONSULTA — OpenAI. Quando VOCÊ CLICA em gerar o relatório, um resumo em texto do caso é transmitido para a OpenAI: idade, sexo, gestação quando houver, o que o paciente respondeu na anamnese, as medidas e a evolução delas, os marcadores de exame fora da faixa com a faixa de cada coleta, o resumo dos registros de prontuário e o plano em vigor. NÃO SAI o nome do paciente, nem documento, telefone, e-mail, endereço ou data de nascimento — só a idade em anos. Nada é enviado sem o seu clique, e o relatório não entra no prontuário: o que você aproveitar, você escreve e assina.

O TCLE que o paciente assina precisa cobrir este uso. O sistema recusa gerar o relatório para paciente que aceitou apenas versão antiga do termo, que falava só de exame.

b) HOSPEDAGEM — servidor próprio de quem opera o sistema, administrado por ele, fisicamente localizado nos ESTADOS UNIDOS. É ali que ficam o banco de dados e os arquivos de laudo que você enviar.

LEIA ESTA ALÍNEA COM ATENÇÃO, porque ela é a de maior alcance desta seção. As alíneas "a" e "a-2" tratam de um laudo por vez, com o seu clique. Esta trata de TUDO: o prontuário integral de TODOS os seus pacientes, em repouso, o tempo inteiro, fora do território nacional. É transferência internacional de dado pessoal sensível na forma do art. 33 da LGPD, e ela acontece pelo simples fato de você usar o sistema — não há caminho alternativo dentro dele, como há para o laudo.

Nenhum terceiro tem acesso ao servidor, e as garantias das seções 5 e 6 valem sem alteração. Se a localização do servidor mudar, isso é versão nova destes termos, com novo aceite.

c) CÓPIA DE SEGURANÇA FORA DO SERVIDOR — Cloudflare R2. Cópia do banco e dos laudos, mantida por até 20 anos, para o caso de perda do servidor. A Cloudflare é sediada nos Estados Unidos e o armazenamento é fora do Brasil: vale aqui a mesma declaração de transferência internacional da alínea "b". O serviço cifra os objetos em repouso.

d) ENVIO DE E-MAIL — servidor de e-mail próprio, usado apenas para o link de redefinição de senha. Não há envio de e-mail para seus pacientes.

e) PAGAMENTO DA ASSINATURA — Stripe. Para cobrar a mensalidade (seção 14), são transmitidos ao Stripe o SEU nome e o SEU e-mail, e é na página deles que você informa o cartão. Os dados do cartão não passam por este sistema e não são guardados aqui. NENHUM dado dos seus pacientes é transmitido ao Stripe.

A Stripe é sediada nos Estados Unidos, então esta é uma transferência internacional de dados (LGPD art. 33) — dos SEUS dados de contato e cobrança, e de nenhum dado de paciente. Ela é processadora de pagamento certificada PCI DSS nível 1, que é o padrão do setor de cartões.

Até 14/08/2026 quem processava era o Mercado Pago. A troca foi por confiabilidade de cobrança, e nenhum dado de paciente esteve envolvido em nenhuma das duas.

QUEM OPERA O SISTEMA RESPONDE PERANTE VOCÊ pelos atos dos suboperadores desta lista, como se fossem seus.

MUDANÇA NESTA LISTA É VERSÃO NOVA DESTES TERMOS, com aviso de pelo menos 30 dias antes de passar a valer, e novo aceite. Se você não concordar com o suboperador novo, pode encerrar sem custo antes de ele entrar.

8. OS LINKS QUE VÃO PARA O PACIENTE

Três coisas do sistema saem por link, para o paciente abrir no celular sem conta e sem senha: o questionário pré-consulta, o termo de consentimento e o plano alimentar.

QUEM TIVER O LINK ABRE O CONTEÚDO. O endereço é longo e sorteado, e não é adivinhável nem indexado por buscador — mas ele é a credencial. Link reenviado, encaminhado ou visto na tela do celular de outra pessoa dá acesso àquele conteúdo.

O que reduz o risco: cada link vale para UM paciente e UM conteúdo, você pode cancelar um link de plano a qualquer momento, e o link de questionário e de consentimento perde a validade depois de usado ou de vencer o prazo.

ENVIAR O LINK É ATO SEU. O sistema abre o WhatsApp com o texto pronto, e quem manda é você — inclusive conferindo se o número é do paciente certa. O que trafega pelo WhatsApp está fora do alcance deste contrato e sujeito às regras daquele serviço.

9. INCIDENTE DE SEGURANÇA

Incidente é qualquer evento que possa comprometer a segurança dos dados: acesso indevido, perda, vazamento, alteração ou destruição não autorizada.

QUEM OPERA O SISTEMA COMUNICA VOCÊ EM ATÉ 24 HORAS do conhecimento do incidente. O prazo é curto de propósito: a Resolução CD/ANPD nº 15/2024 dá a VOCÊ, como controlador, 3 dias úteis para comunicar a ANPD e os titulares afetados, e esse prazo conta do seu conhecimento. Avisar você em cima da hora seria empurrar o problema para o seu colo com o relógio correndo.

A comunicação traz o que se souber até ali: o que aconteceu, quais categorias de dado e quantas pessoas podem ter sido alcançadas, quando aconteceu e quando foi descoberto, o que já foi feito para conter, e o risco provável.

A DECISÃO DE COMUNICAR A ANPD E AOS TITULARES É SUA, como controlador. Quem opera o sistema fornece as informações necessárias, ajuda a apurar, e não comunica em seu nome sem que você peça por escrito.

Quem opera o sistema mantém registro dos incidentes por, no mínimo, 5 anos, inclusive dos que não forem comunicados — é o que a mesma resolução exige.

10. REGISTROS DE ACESSO, SIGILO E ORDEM JUDICIAL

O sistema guarda registros de acesso: quando cada conta entrou e saiu, de qual endereço de rede, e as tentativas de entrada que falharam.

ISSO É OBRIGAÇÃO LEGAL, E NÃO ESCOLHA. O art. 15 do Marco Civil da Internet (Lei 12.965/2014) obriga quem oferece aplicação de internet como pessoa jurídica, de forma profissional e com fins econômicos, a guardar esses registros por 6 meses, sob sigilo e em ambiente controlado.

ESSES REGISTROS SÓ SAEM POR ORDEM JUDICIAL. Não são entregues a pedido de particular, de empresa, de conselho profissional nem de autoridade administrativa sem decisão judicial que os determine.

Recebida uma ordem, quem opera o sistema informa você, salvo se a própria decisão proibir o aviso — e cumpre a ordem no limite exato do que ela pedir.

Registro de acesso não é prontuário: ele diz que uma conta entrou, e não o que foi lido dentro dela.

11. GUARDA DE 20 ANOS — LEIA COM ATENÇÃO

A Resolução CFN nº 594/2017 exige guarda do prontuário por, no mínimo, 20 anos a contar do último registro, e determina que o meio de armazenamento seja mantido atualizado conforme as novas tecnologias. Isso tem três consequências que costumam surpreender:

a) NÃO É POSSÍVEL "APAGAR TUDO". Nem você nem quem opera o sistema pode eliminar prontuário dentro do prazo legal, e um pedido de exclusão feito por um paciente não afasta essa obrigação (LGPD art. 16, I — conservação para cumprimento de obrigação legal). O que se apaga é o que não é prontuário.

b) A OBRIGAÇÃO SOBREVIVE AO USO DO SISTEMA. Se você parar de usar o NutriApp, o prazo continua correndo, e o prontuário precisa existir em algum lugar. As seções 20 e 21 tratam disso.

c) A GUARDA É SUA. A mesma resolução diz que a responsabilidade pela guarda é do serviço de saúde onde a assistência é prestada ou do nutricionista, no caso de consultório próprio. Quem opera o sistema guarda por você, com os meios descritos aqui, MAS A OBRIGAÇÃO PERANTE O CONSELHO CONTINUA SENDO SUA.

Registro de prontuário não se altera nem se apaga: correção entra como novo registro, e o original continua visível.

12. O QUE É SUA RESPONSABILIDADE

a) TODO O CONTEÚDO CLÍNICO. Diagnóstico nutricional, conduta, prescrição dietética, indicação de suplemento, orientação e evolução são atos profissionais seus, assinados com seu nome e CRN.

b) CONFERIR O QUE A MÁQUINA LÊ. A leitura automática de exames é APOIO, não conduta. Nenhum valor entra no prontuário sem sua confirmação, e quando a leitura sai com confiança reduzida o sistema exige que você declare ter conferido valor por valor. ERRO DE LEITURA QUE VOCÊ CONFIRMAR PASSA A SER REGISTRO SEU.

c) MANTER O CRN ATIVO e informar dados corretos. O CRN é impresso em todo registro e em todo documento emitido.

d) COLHER O CONSENTIMENTO DOS SEUS PACIENTES. O sistema oferece o termo e registra o aceite, e não deixa gravar nada no prontuário antes dele — mas ler o termo junto com o paciente e responder às dúvidas dele é seu.

e) GUARDAR SUA SENHA, E NÃO COMPARTILHAR A CONTA. Quem entra com a sua senha assina como você. A conta é individual: recepção, estágio ou outro profissional que precise acessar deve ter conta própria quando o sistema oferecer, e enquanto não oferecer, NÃO DEVE USAR A SUA.

f) NÃO ESCREVER NOME DE PACIENTE ao reportar um problema (seção 22).

g) PACIENTE MENOR DE IDADE. O sistema atende criança e adolescente — as curvas de crescimento vão de 0 a 19 anos. O art. 14 da LGPD exige, para dado de criança, CONSENTIMENTO ESPECÍFICO E EM DESTAQUE DE PELO MENOS UM DOS PAIS OU DO RESPONSÁVEL LEGAL, e o melhor interesse da criança como critério. COLHER ESSE CONSENTIMENTO DO RESPONSÁVEL, E NÃO DA CRIANÇA, É SEU. Registre no prontuário quem consentiu e em que qualidade.

h) CONFERIR O DESTINATÁRIO antes de mandar link de questionário, de consentimento ou de plano (seção 8).

13. VOCÊ PODE PEDIR CÓPIA, E A QUALQUER MOMENTO

Enquanto o contrato durar, e independentemente de a conta estar em dia:

a) EXPORTAÇÃO DO PRONTUÁRIO, paciente por paciente, em PDF e em texto, pela própria tela, sem pedir a ninguém e sem prazo de espera;

b) CÓPIA DOS SEUS DADOS em formato legível por máquina, a pedido, em até 15 dias;

c) CÓPIA DESTE CONTRATO na versão que você aceitou, com a data e a hora do aceite.

Nenhuma dessas três é suspensa por falta de pagamento. Ver a seção 14, alínea "e".

14. PREÇO, PAGAMENTO E O QUE ACONTECE SE VOCÊ NÃO PAGAR

a) TESTE DE 30 DIAS. A partir do seu cadastro você usa o sistema inteiro por 30 dias, sem informar cartão e sem custo. Nada é cobrado nesse período, e nada é cobrado automaticamente ao final dele: sem assinatura, a conta apenas passa a somente leitura (alínea "e").

b) PREÇO. A assinatura custa R$ 59,90 por mês, cobrados por assinatura recorrente no cartão de crédito, processada pelo Stripe. Não há plano menor, limite de pacientes, taxa por documento emitido nem cobrança por leitura de exame: o preço é um só e cobre tudo o que o sistema faz.

Se você assinar antes do fim do teste, os dias restantes são descontados — a primeira cobrança acontece na data em que o teste terminaria de qualquer forma.

c) MUDANÇA DE PREÇO. O reajuste acontece no máximo uma vez a cada 12 meses, tem como teto a variação do IPCA/IBGE do período, e é COMUNICADO COM PELO MENOS 30 DIAS DE ANTECEDÊNCIA, valendo a partir do ciclo seguinte, nunca do ciclo em curso. Você pode cancelar antes que ele passe a valer, sem custo. Reajuste acima do IPCA, se houver, é alteração destes termos e depende de novo aceite.

d) TRIBUTOS. O preço é final para você: tributos incidentes sobre o serviço já estão dentro dele. Se um tributo novo for criado ou a alíquota mudar por lei, o repasse segue a regra da alínea "c".

e) SE VOCÊ NÃO PAGAR. Quando a cobrança falha — limite, cartão vencido, banco recusando compra recorrente — você continua com o sistema inteiro por mais 7 dias corridos, contados da primeira tentativa que não passou. Passado esse prazo, e também quando o teste termina sem assinatura, A CONTA ENTRA EM SOMENTE LEITURA.

SOMENTE LEITURA SIGNIFICA EXATAMENTE ISTO, e é importante que esteja escrito: você continua entrando na sua conta, abrindo, imprimindo e exportando prontuário, exames, planos e documentos de todos os seus pacientes. NADA É APAGADO, BLOQUEADO OU RETIDO. O que fica suspenso é criar e alterar registro novo. A guarda de 20 anos (seção 11) é obrigação sua, e o acesso ao que você precisa para cumpri-la não é moeda de troca nossa.

f) CANCELAMENTO. Você cancela quando quiser, sem multa e sem justificativa, por um botão dentro do próprio sistema, em Conta › Assinatura. Não é preciso pedir a ninguém nem procurar onde no site do Stripe. O CANCELAMENTO VALE ATÉ O FIM DO PERÍODO JÁ PAGO: se você paga no dia 1º e cancela no dia 3, continua com o sistema inteiro até o dia 30. Fora da hipótese da seção 15, NÃO HÁ DEVOLUÇÃO PROPORCIONAL DE MÊS EM CURSO, porque o mês em curso continua sendo seu.

g) COMPROVANTE. Cada cobrança gera um recibo do Stripe, com link para abrir e baixar, listado em Conta › Assinatura e no portal do assinante. O RECIBO DO STRIPE NÃO É NOTA FISCAL BRASILEIRA. Se você precisa de nota fiscal de serviço para a sua contabilidade, peça pelo contato da seção 22.

h) CONTA ISENTA. Quem opera o sistema pode isentar uma conta de mensalidade, por prazo determinado e com o motivo registrado — é o que se usa para conta de demonstração e para cortesia. ISENÇÃO NÃO É PROMESSA DE GRATUIDADE PERMANENTE: ao fim do prazo, valem as regras desta seção.

15. ARREPENDIMENTO EM 7 DIAS

Você contratou pela internet, sem ver ninguém. O art. 49 do Código de Defesa do Consumidor dá a quem contrata assim o direito de desistir em 7 dias, e ele vale aqui.

SE VOCÊ DESISTIR EM ATÉ 7 DIAS CORRIDOS CONTADOS DA PRIMEIRA COBRANÇA PAGA, O VALOR É DEVOLVIDO POR INTEIRO, sem desconto e sem justificativa. Basta cancelar pelo botão em Conta › Assinatura dentro desse prazo, ou escrever para o contato da seção 22.

A devolução é feita pelo mesmo meio do pagamento, em até 10 dias, pelo processador — o prazo de aparecer na fatura do cartão é do seu banco.

Passados os 7 dias, valem as regras da seção 14.

16. PEDIDO DE UM PACIENTE

Quando um paciente pedir acesso, correção, cópia, portabilidade ou exclusão dos dados dele, O PEDIDO É SEU PARA RESPONDER, porque o controlador é você.

O sistema te dá as ferramentas: exportação integral do prontuário, correção que entra como registro novo, e a informação de com quem os dados foram compartilhados, que está na seção 7 deste contrato.

SE VOCÊ PRECISAR DE ALGO QUE A TELA NÃO FAZ para responder ao paciente, quem opera o sistema atende em até 5 dias úteis do seu pedido, para você caber no prazo de 15 dias que a LGPD te dá.

Pedido que chegar direto a quem opera o sistema é encaminhado a você, e não respondido em seu nome.

17. VERIFICAR O QUE ESTÁ ESCRITO AQUI

O art. 39 da LGPD diz que o controlador verificará a observância das próprias instruções. Sem um caminho para isso, a frase não vale nada.

a) Quem opera o sistema mantém o REGISTRO DAS OPERAÇÕES DE TRATAMENTO que realiza por você (LGPD art. 37), e fornece cópia a pedido.

b) A pedido, e no máximo uma vez por ano, quem opera o sistema responde por escrito, em até 30 dias, a um questionário seu sobre segurança e tratamento de dados, e fornece as evidências que puder sem expor dado de outra conta.

c) Se houver auditoria por terceiro contratado por você, ela é combinada com antecedência, feita em horário que não derrube o sistema, sob acordo de confidencialidade, E NÃO ALCANÇA DADO DE OUTRAS CONTAS. O custo do auditor é seu.

d) O histórico de migrações do banco de dados é mantido e pode ser exibido: ele mostra toda alteração de estrutura, com data.

18. DISPONIBILIDADE, MANUTENÇÃO E CÓPIA DE SEGURANÇA

a) NÃO HÁ NÍVEL DE SERVIÇO CONTRATADO, e não há multa por indisponibilidade. O que existe é o compromisso de manter o sistema no ar e de restabelecer o quanto antes.

b) MANUTENÇÃO PROGRAMADA que exija derrubar o sistema é avisada com pelo menos 48 horas e feita fora do horário comercial, salvo correção urgente de segurança, que não espera.

c) CÓPIA DE SEGURANÇA: dump diário e mensal do banco e cópia dos laudos, com retenção que alcança os 20 anos da seção 11, guardados fora do servidor. A restauração é testada, e não apenas configurada.

d) PARA O DIA DE ATENDIMENTO, TENHA UM PLANO B EM PAPEL. Manutenção, falha de servidor e queda de internet acontecem, e nenhum contrato impede isso.

19. USO INDEVIDO E SUSPENSÃO

QUEM OPERA O SISTEMA PODE SUSPENDER O ACESSO, IMEDIATAMENTE E SEM AVISO PRÉVIO, se identificar: tentativa de invadir ou de contornar o isolamento entre contas; extração automatizada da base; uso da conta por quem não é o titular da conta; uso para finalidade ilícita; ou conduta que ameace a segurança dos dados de outras contas.

A suspensão é comunicada no mesmo dia, com o motivo, e VOCÊ MANTÉM O DIREITO DE EXPORTAR os dados dos seus pacientes, porque a guarda de 20 anos não pode virar refém de uma disputa entre nós dois.

Se o motivo for esclarecido, o acesso volta. Se não for, vale a seção 21, alínea "b".

CRN suspenso ou cancelado é caso à parte: informe assim que acontecer. O sistema não fiscaliza o seu registro, mas emitir documento com CRN inativo é problema seu perante o Conselho.

20. SE VOCÊ QUISER SAIR

a) Você pode encerrar o uso quando quiser, sem multa e sem justificativa. Sobre o cancelamento da assinatura e o período já pago, ver a seção 14, alínea "f", e a seção 15.

b) ANTES DE SAIR, EXPORTE. O sistema gera a cópia integral do prontuário de cada paciente, em PDF e em texto. PEÇA A EXPORTAÇÃO DE TODOS OS PACIENTES ENQUANTO AINDA TEM ACESSO.

c) Depois de encerrado o uso, a conta permanece acessível em SOMENTE LEITURA pelo prazo em que os dados forem mantidos, para que você possa exportar o que faltar.

d) Os dados são mantidos pelo prazo legal de guarda (seção 11) e não são usados para nada. PASSADO O PRAZO, SÃO ELIMINADOS DE FORMA SEGURA, inclusive das cópias de segurança, na primeira rotação de retenção posterior. A pedido, quem opera o sistema declara por escrito o que foi eliminado e quando.

e) Se você quiser a eliminação ANTES do prazo legal, ela só é possível para o que não é prontuário, e o pedido tem de ser seu, por escrito. Prontuário dentro do prazo de guarda não é eliminado por pedido de ninguém.

21. SE QUEM OPERA O SISTEMA PARAR

Esta seção existe porque a sua obrigação dura 20 anos e nenhuma empresa promete durar 20 anos. Ler isto antes é melhor que descobrir depois.

a) ENCERRAMENTO PLANEJADO. Quem opera o sistema pode encerrar o fornecimento com AVISO DE PELO MENOS 90 DIAS. Durante todo esse período o sistema continua no ar em condições normais e a exportação continua disponível, sem custo adicional. No aviso vai a data exata do desligamento.

b) ENCERRAMENTO POR CULPA SUA (seção 19) segue o mesmo caminho, com prazo de 30 dias para exportar.

c) VENDA OU SUCESSÃO. Se a empresa for vendida, incorporada ou reorganizada, este contrato e os dados seguem com ela, E VOCÊ É COMUNICADO COM 30 DIAS DE ANTECEDÊNCIA — prazo em que pode encerrar sem custo e levar os dados, se não quiser continuar com o novo responsável.

d) O QUE ESTE CONTRATO NÃO CONSEGUE GARANTIR, E É HONESTO DIZER: em caso de encerramento abrupto — falência, morte ou incapacidade do administrador, perda física do servidor e da cópia ao mesmo tempo — O AVISO DE 90 DIAS NÃO ACONTECE, porque não há quem o dê. Nenhuma cláusula resolve isso.

POR ISSO A RECOMENDAÇÃO, e ela é séria: EXPORTE PERIODICAMENTE E GUARDE A CÓPIA COM VOCÊ. Uma vez por trimestre, o prontuário de todos os pacientes, no seu computador ou no seu armazenamento. A guarda de 20 anos é sua obrigação perante o Conselho (seção 11, alínea "c"), e uma cópia na sua mão é a única forma de ela não depender da existência de terceiro.

22. SUPORTE E O ENCARREGADO

O botão "Reportar um problema", dentro do sistema, envia o que você escrever, mais a tela em que você estava e a versão do seu navegador. O texto vai para quem mantém o sistema.

NÃO ESCREVA NOME DE PACIENTE ALI. Se precisar apontar um atendimento, informe a data e a hora. Quem opera o sistema trata esse texto como dado sensível, mas o melhor controle é não incluir o dado.

Para tudo que não couber no botão — pedido de cópia, exercício de direito de titular, dúvida sobre este contrato, nota fiscal, incidente: gustavo@dockplusai.com, que é também o endereço do encarregado indicado na seção 1.

NÃO HÁ PRAZO DE ATENDIMENTO CONTRATADO PARA SUPORTE COMUM. Os prazos que existem estão escritos e são estes: 24 horas para incidente (seção 9), 5 dias úteis para o que você precisar para responder a um paciente (seção 16), 15 dias para cópia dos seus dados (seção 13), 30 dias para o questionário anual de segurança (seção 17).

Você pode reclamar diretamente à Autoridade Nacional de Proteção de Dados, e não precisa passar por aqui para isso.

23. O QUE O SISTEMA NÃO É, E NÃO PROMETE

a) NÃO É DISPOSITIVO MÉDICO nem substitui julgamento profissional. Não diagnostica, não prescreve e não decide conduta.

b) NÃO GARANTE DISPONIBILIDADE ININTERRUPTA. Ver seção 18.

c) NÃO COBRA NADA ALÉM DA MENSALIDADE DA SEÇÃO 14. Não há taxa por paciente, por documento emitido, por leitura de exame nem por relatório gerado.

d) NÃO ENVIA MENSAGEM SOZINHO. Lembrete de consulta e chamado de retorno abrem o WhatsApp com o texto pronto; quem envia é você.

e) NÃO EMITE, PARA A SUA PACIENTE, recibo válido para dedução de imposto de renda — serviço de nutricionista não está na lista do art. 8º da Lei 9.250/1995. O recibo que o sistema gera serve para o seu controle e para o paciente, não para dedução.

f) NÃO GARANTE QUE A LEITURA AUTOMÁTICA DE EXAME ESTEJA CORRETA. Ver seção 12, alínea "b".

g) NÃO SUBSTITUI A SUA CÓPIA. Ver seção 21, alínea "d".

24. RESPONSABILIDADE

Quem opera o sistema responde por manter o sistema funcionando conforme descrito aqui, pela segurança e pelo sigilo dos dados sob sua guarda, e por comunicar incidentes nos prazos da seção 9.

QUEM OPERA O SISTEMA NÃO RESPONDE por decisão clínica, por conteúdo que você registra, por consequência de dado que você informe incorretamente, por uso da sua senha por terceiro a quem você a tenha dado, nem por link seu enviado ao destinatário errado.

LIMITE DE VALOR: salvo nos casos da frase seguinte, a responsabilidade de quem opera o sistema por perdas e danos fica limitada ao total das mensalidades pagas por você nos 12 meses anteriores ao fato.

ESSE LIMITE NÃO SE APLICA a dolo, a culpa grave, a violação do dever de sigilo, a dano decorrente de incidente de segurança causado por falha de quem opera o sistema, nem a qualquer responsabilidade que a lei não permita limitar — inclusive perante os seus pacientes, que não são parte deste contrato e cujos direitos nada aqui reduz.

FORÇA MAIOR: nenhuma das partes responde por descumprimento causado por evento fora do seu controle razoável — corte prolongado de energia ou de internet, desastre, ordem de autoridade, falha generalizada de terceiro essencial. Isso não suspende os deveres de sigilo nem de comunicação de incidente.

25. SIGILO

Quem opera o sistema e qualquer pessoa que trabalhe para ele guardam sigilo sobre tudo que alcançarem em razão deste contrato.

O DEVER DE SIGILO NÃO ACABA COM O CONTRATO: continua enquanto a informação existir.

O sigilo profissional dos seus pacientes é seu, e nada aqui o transfere.

26. MUDANÇA NESTES TERMOS

Alteração é publicada como VERSÃO NOVA, com aviso e novo aceite. A versão que você aceitou hoje fica guardada exatamente como está, com a data do seu aceite — mudar o texto no lugar tornaria seu aceite prova de palavras que você não leu.

MUDANÇA QUE REDUZA DIREITO SEU OU AUMENTE O PREÇO é avisada com pelo menos 30 dias de antecedência, e VOCÊ PODE ENCERRAR SEM CUSTO antes de ela passar a valer. Correção de erro de digitação e ajuste de redação que não mude o sentido não exigem novo aceite, e ficam registrados no histórico de versões.

Enquanto você não aceitar a versão nova, continua valendo a que você aceitou, e a conta continua funcionando.

27. AVISOS E COMUNICAÇÕES

Aviso de uma parte para a outra vale quando enviado para o e-mail cadastrado — o seu, no cadastro da conta; o de quem opera o sistema, o da seção 1. Avisos importantes também aparecem dentro do sistema.

MANTER O SEU E-MAIL ATUALIZADO É SEU. Aviso enviado para e-mail desatualizado é considerado entregue.

28. DISPOSIÇÕES GERAIS

a) CESSÃO. Você não pode transferir este contrato para outra pessoa sem concordância por escrito. Quem opera o sistema pode, nos casos da seção 21, alínea "c".

b) NULIDADE PARCIAL. Se uma cláusula for considerada inválida, o resto continua valendo.

c) TOLERÂNCIA NÃO É PERDÃO. Deixar de exigir alguma coisa uma vez não impede exigir depois.

d) ACORDO INTEGRAL. Este documento, na versão que você aceitou, é o que vale entre nós. Conversa, e-mail e página de propaganda não o alteram — mas também não podem contrariá-lo: se a propaganda prometer mais do que aqui, vale o que a propaganda prometeu (Código de Defesa do Consumidor, art. 30).

e) IDIOMA. O contrato é em português do Brasil, e é essa a versão que vale.

f) INDEPENDÊNCIA. Este contrato não cria sociedade, vínculo de emprego nem representação entre as partes.

29. LEI E FORO

Aplica-se a lei brasileira. Fica eleito o foro da comarca de São João Batista/SC, sede de quem opera o sistema, para dirimir controvérsias, SEM PREJUÍZO DO DIREITO DA PARTE CONSUMIDORA DE DEMANDAR NO FORO DE SEU DOMICÍLIO.

Declaro que li e compreendi estes termos, que sou nutricionista com inscrição ativa em Conselho Regional, e que aceito as condições descritas.