Este Contrato de Operador de Dados ("DPA") faz parte dos Termos de Uso e regula o tratamento dos dados pessoais dos pacientes que o psicólogo ("Controlador") registra na Vella, operado pela Virtuna Soluções Digitais ("Operadora"), conforme os artigos 37 a 40 da LGPD.
1. Objeto e instruções
A Operadora trata os dados dos pacientes exclusivamente para prestar o serviço contratado e segundo as instruções do Controlador, que se expressam pelo próprio uso da plataforma. A Operadora não trata esses dados para finalidades próprias.
2. Responsabilidades do Controlador
O Controlador define as finalidades do tratamento, garante a base legal (incluindo a tutela da saúde e o consentimento, quando necessário), informa os pacientes, atende aos seus pedidos e guarda o prontuário pelo prazo exigido pelo Conselho Federal de Psicologia.
3. Confidencialidade
A Operadora mantém sigilo sobre os dados. O acesso pela equipe da Virtuna só acontece com autorização do Controlador (código de suporte temporário), em modo somente leitura e com registro de cada página aberta, ou quando exigido por lei.
4. Medidas de segurança
- Criptografia em trânsito (HTTPS) e em repouso para conteúdo clínico e arquivos.
- Isolamento lógico entre contas; toda consulta é limitada à conta do Controlador.
- Registro de acesso ao prontuário disponível ao Controlador.
- Backups diários com retenção de 30 dias e teste periódico de restauração.
- Controles de acesso da equipe, com contas individuais e trilha de auditoria.
5. Suboperadores
O Controlador autoriza a contratação dos suboperadores listados na página de Subprocessadores. A Operadora exige deles obrigações de proteção equivalentes e avisa o Controlador, com antecedência razoável, sobre a inclusão de novos suboperadores, publicando a lista atualizada.
6. Incidentes
A Operadora comunica ao Controlador, sem demora injustificada e em até 72 horas da ciência, qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares, com as informações disponíveis para que o Controlador cumpra suas obrigações perante a ANPD e os titulares.
7. Direitos dos titulares
A plataforma oferece ao Controlador meios para atender aos pedidos dos pacientes: exportação do prontuário em PDF, correção e exclusão de dados. Pedidos recebidos diretamente pela Operadora são encaminhados ao Controlador.
8. Término
Ao fim do contrato, o Controlador pode exportar todos os dados. Após o pedido de exclusão da conta, a Operadora apaga os dados em até 30 dias, inclusive dos backups ao fim do ciclo de retenção, salvo obrigação legal de guarda.
9. Auditoria
A Operadora disponibiliza ao Controlador, mediante solicitação ao encarregado, as informações necessárias para demonstrar o cumprimento deste DPA.