Contrato de Processamento de Dados (DPA)
Define a relação Controlador/Operador entre o espaço cliente e a Care nos termos da LGPD.
1. Partes e papéis
Controlador: o espaço de beleza (cliente Care), pessoa jurídica ou empresário individual, responsável pela base de clientes finais.
Operador: LNC Tecnologia, fornecedora da plataforma Care, processa dados pessoais exclusivamente conforme instruções documentadas do Controlador.
2. Objeto e escopo
A Care trata dados pessoais de clientes finais do Controlador (nome, telefone, e-mail, CPF, data de nascimento, agendamentos e observações clínicas opcionais) com a finalidade exclusiva de prestar o serviço de gestão de agendamentos contratado.
3. Obrigações do Operador (Care)
- Tratar dados somente conforme as instruções do Controlador, salvo obrigação legal.
- Aplicar medidas técnicas e organizacionais adequadas (art. 46 LGPD): criptografia AES-256-GCM em CPF/data de nascimento, TLS, Row Level Security, MFA opcional, audit logs e backups gerenciados.
- Manter sigilo sobre os dados e exigir o mesmo de quaisquer subprocessadores.
- Notificar o Controlador em até 48 horas sobre qualquer incidente de segurança com risco aos titulares.
- Apoiar o Controlador no atendimento a solicitações de titulares (art. 18 LGPD).
- Eliminar ou devolver os dados ao final do contrato, conforme política de retenção.
4. Subprocessadores
A lista pública está em /privacidade/subprocessadores. Mudanças relevantes são notificadas com pelo menos 15 dias de antecedência, permitindo objeção pelo Controlador.
5. Obrigações do Controlador (Espaço)
- Cadastrar e tratar dados apenas com base legal válida (consentimento ou execução de contrato).
- Orientar profissionais a coletar o mínimo necessário em observações de agendamento.
- Atender solicitações dos próprios clientes finais, podendo usar as ferramentas self-service da plataforma.
6. Transferência internacional
Alguns subprocessadores operam nos EUA e UE. A transferência ocorre nos termos do art. 33, II/V da LGPD, com cláusulas contratuais padrão equivalentes.
7. Retenção e devolução
Em caso de encerramento da contratação, os dados ficam disponíveis para exportação por 30 dias. Após esse prazo, são anonimizados, exceto registros financeiros mantidos por obrigação legal (art. 27 do Código Comercial e legislação fiscal aplicável).
8. Vigência
Este DPA tem vigência idêntica ao contrato principal (Termos de Uso) e permanece eficaz enquanto a Care processar dados em nome do Controlador.
9. Encarregado (DPO)
Canal único de contato para questões de LGPD: sistemas@lnctec.com.br.