TERMO DE CIÊNCIA E CONSENTIMENTO, QUANDO APLICÁVEL, PARA PROCESSAMENTO E TRANSFERÊNCIA INTERNACIONAL DE DADOS — PACIENTE

1. OBJETO E FINALIDADE DO TERMO

O presente Termo tem por finalidade informar ao paciente que determinadas funcionalidades da Plataforma EchoHead poderão envolver processamento ou transferência internacional de dados pessoais e dados pessoais sensíveis, bem como esclarecer as condições, finalidades, limites e mecanismos de proteção aplicáveis a essas operações.

A utilização de infraestrutura, operadores tecnológicos, APIs, modelos computacionais ou outros serviços localizados fora do território brasileiro poderá ser necessária para disponibilização de determinadas funcionalidades da Plataforma.

A realização de processamento internacional não transfere a titularidade dos dados pessoais, não reduz os direitos do paciente e não afasta a aplicação das garantias previstas na legislação brasileira de proteção de dados.

2. O QUE SE ENTENDE POR PROCESSAMENTO E TRANSFERÊNCIA INTERNACIONAL

Para fins deste Termo, poderá ocorrer processamento ou transferência internacional quando dados pessoais forem enviados, acessados, processados, armazenados temporariamente ou submetidos a operação tecnológica que envolva infraestrutura, organização ou prestador localizado fora do território brasileiro, nas hipóteses juridicamente caracterizadas como transferência internacional.

A existência de infraestrutura principal localizada no Brasil não impede que determinadas operações tecnológicas específicas sejam executadas por operadores ou infraestrutura situados no exterior.

A caracterização jurídica de cada operação dependerá de sua arquitetura, dos agentes envolvidos e da forma como os dados forem tratados.

3. FINALIDADES QUE PODERÃO ENVOLVER PROCESSAMENTO INTERNACIONAL

Conforme as funcionalidades efetivamente disponibilizadas e utilizadas, operações internacionais poderão ser necessárias para:

• I – processamento computacional especializado;
• II – processamento de linguagem natural;
• III – Transcrição Assistida, quando devidamente autorizada;
• IV – utilização de recursos de Inteligência Artificial Assistiva, quando aplicável;
• V – organização e estruturação de informações;
• VI – recuperação contextual;
• VII – análise contextual e longitudinal;
• VIII – apoio à Metanálise Longitudinal;
• IX – comunicação e notificações;
• X – autenticação e segurança;
• XI – monitoramento tecnológico;
• XII – suporte e continuidade operacional;
• XIII – outras funcionalidades compatíveis com as finalidades da Plataforma e legitimamente informadas ao paciente.

A utilização de operador internacional não autoriza a EchoHead a utilizar os dados para finalidade incompatível com aquela que fundamentou o respectivo tratamento.

4. CATEGORIAS DE DADOS QUE PODERÃO SER PROCESSADAS

Dependendo da funcionalidade utilizada, o processamento internacional poderá envolver as categorias de informações estritamente necessárias à execução da respectiva operação.

Poderão ser incluídos, conforme aplicável:

• I – dados cadastrais;
• II – identificadores técnicos;
• III – dados de autenticação e segurança;
• IV – dados pessoais;
• V – dados pessoais sensíveis relacionados à saúde;
• VI – informações legitimamente integrantes da jornada do paciente;
• VII – conteúdo necessário à Transcrição Assistida, quando autorizada;
• VIII – informações utilizadas por recursos de Inteligência Artificial Assistiva, quando legitimamente processadas;
• IX – metadados necessários à operação;
• X – outras informações estritamente necessárias à funcionalidade correspondente.

A EchoHead deverá observar o princípio da minimização, evitando a transferência de informações desnecessárias à execução da operação.

5. DADOS PESSOAIS SENSÍVEIS

Considerando a natureza da Plataforma, determinadas operações poderão envolver dados pessoais sensíveis, especialmente informações relacionadas à saúde física e mental.

Esses dados receberão proteção reforçada.

A EchoHead deverá considerar a sensibilidade das informações na seleção dos operadores, definição das medidas de segurança, estruturação contratual e avaliação dos mecanismos utilizados para a transferência internacional.

A transferência internacional de dados sensíveis não autoriza sua utilização para finalidade própria e incompatível por parte dos operadores contratados.

6. OPERADORES TECNOLÓGICOS, APIs E FORNECEDORES INTERNACIONAIS

A EchoHead poderá contratar operadores tecnológicos nacionais ou estrangeiros para viabilizar suas funcionalidades.

Esses operadores poderão incluir fornecedores de:

• I – infraestrutura computacional;
• II – Inteligência Artificial;
• III – processamento de linguagem natural;
• IV – transcrição;
• V – armazenamento necessário à operação;
• VI – autenticação;
• VII – comunicação;
• VIII – monitoramento;
• IX – segurança da informação;
• X – suporte tecnológico;
• XI – outras tecnologias necessárias ao funcionamento da Plataforma.

A EchoHead poderá selecionar, substituir, combinar ou incorporar operadores, APIs, modelos computacionais e tecnologias conforme sua evolução técnica, operacional, contratual e de segurança.

A EchoHead não fica vinculada à utilização permanente de determinado fornecedor, API, modelo tecnológico, país ou infraestrutura específica.

A substituição de operador deverá preservar a finalidade legítima da operação e os requisitos jurídicos e de proteção aplicáveis.

7. CRITÉRIOS PARA SELEÇÃO E UTILIZAÇÃO DE OPERADORES

A EchoHead adotará critérios de governança compatíveis com a natureza dos dados tratados na seleção e contratação dos operadores tecnológicos utilizados para processamento internacional.

Conforme aplicável, serão considerados:

• I – capacidade técnica;
• II – finalidade do serviço;
• III – necessidade dos dados;
• IV – medidas de segurança;
• V – obrigações de confidencialidade;
• VI – condições de tratamento e retenção;
• VII – utilização de suboperadores;
• VIII – mecanismos de resposta a incidentes;
• IX – requisitos aplicáveis à transferência internacional;
• X – capacidade de cumprimento das obrigações contratualmente estabelecidas.

A contratação de operador tecnológico não autoriza sua utilização dos dados para finalidades próprias incompatíveis com os serviços prestados à EchoHead.

8. MECANISMOS JURÍDICOS PARA TRANSFERÊNCIA INTERNACIONAL

A EchoHead deverá realizar transferências internacionais utilizando mecanismo juridicamente admitido pela legislação brasileira e pela regulamentação da Autoridade Nacional de Proteção de Dados – ANPD aplicável à respectiva operação.

Conforme o caso e os requisitos legais vigentes, poderão ser utilizados os mecanismos juridicamente cabíveis à operação.

A definição do mecanismo adequado dependerá das características da transferência, do país ou organização destinatária, dos agentes envolvidos e das demais condições jurídicas aplicáveis.

Quando determinada transferência depender juridicamente do consentimento específico do paciente, esse consentimento deverá observar os requisitos estabelecidos pela legislação.

Quando houver outro mecanismo legal válido para a transferência, a operação não será artificialmente fundamentada em consentimento.

9. MEDIDAS DE PROTEÇÃO E MINIMIZAÇÃO

Sempre que compatível com a operação, a EchoHead adotará medidas destinadas à redução dos riscos relacionados ao processamento internacional.

Essas medidas poderão incluir:

• I – limitação dos dados enviados ao mínimo necessário;
• II – controle de acesso;
• III – criptografia em trânsito;
• IV – criptografia em repouso, quando aplicável;
• V – pseudonimização, quando tecnicamente adequada;
• VI – segregação de informações;
• VII – obrigações contratuais de confidencialidade;
• VIII – limitação de finalidade;
• IX – controles de retenção;
• X – monitoramento e auditoria;
• XI – procedimentos de resposta a incidentes;
• XII – outras medidas compatíveis com os riscos da operação.

Nenhuma medida tecnológica elimina integralmente os riscos inerentes ao ambiente digital, mas a EchoHead deverá adotar medidas proporcionais à natureza e à sensibilidade das informações tratadas.

10. RETENÇÃO PELOS OPERADORES TECNOLÓGICOS

A EchoHead deverá estabelecer, contratual ou tecnicamente, critérios relativos à retenção dos dados processados por seus operadores, compatíveis com a finalidade do serviço e com a legislação aplicável.

Os operadores não deverão manter informações por período superior ao necessário para execução das finalidades contratadas, ressalvadas hipóteses em que exista fundamento jurídico próprio para determinada conservação.

Quando a funcionalidade permitir processamento transitório ou sem retenção persistente pelo operador, a EchoHead poderá priorizar configurações compatíveis com esse modelo, considerando requisitos técnicos, operacionais e de segurança.

Este Termo não representa promessa de ausência absoluta de retenção por todo e qualquer fornecedor, devendo as condições efetivas observar a arquitetura técnica, os contratos e as exigências jurídicas aplicáveis a cada serviço.

11. INFRAESTRUTURA PRINCIPAL E EVOLUÇÃO TECNOLÓGICA

A EchoHead poderá manter sua infraestrutura principal de armazenamento no Brasil, sem que isso impeça a utilização de operadores internacionais para operações tecnológicas específicas.

A localização da infraestrutura, os operadores utilizados e a arquitetura tecnológica poderão evoluir ao longo do tempo.

Alterações técnicas que preservem:

• I – as finalidades informadas;
• II – a natureza do tratamento;
• III – os direitos do paciente;
• IV – os requisitos de segurança;
• V – os mecanismos jurídicos aplicáveis à transferência;

não exigirão necessariamente nova manifestação do paciente.

Nova manifestação será solicitada quando houver alteração que juridicamente exija nova ciência, autorização ou consentimento.

12. RELAÇÃO COM TRANSCRIÇÃO E INTELIGÊNCIA ARTIFICIAL

A ciência ou autorização prevista neste Termo não substitui os instrumentos específicos relacionados à Transcrição Assistida ou à utilização de Inteligência Artificial Assistiva.

Caso determinada funcionalidade envolva simultaneamente:

• I – Transcrição Assistida;
• II – Inteligência Artificial; e
• III – processamento internacional,

cada operação deverá observar os fundamentos jurídicos, manifestações e condições que lhe sejam aplicáveis.

Assim, a ciência quanto à possibilidade de processamento internacional não constitui, isoladamente, autorização para transcrever sessões ou processar dados por Inteligência Artificial quando essas operações dependerem de manifestação própria.

13. DIREITOS DO PACIENTE

A realização de transferência internacional não elimina ou reduz os direitos assegurados ao paciente pela legislação brasileira de proteção de dados.

O paciente poderá, conforme juridicamente aplicável, solicitar:

• I – confirmação da existência de tratamento;
• II – acesso aos seus dados;
• III – correção de informações;
• IV – informações sobre o tratamento e compartilhamentos;
• V – exercício dos demais direitos previstos na legislação;
• VI – informações relativas às transferências internacionais nos limites previstos pela regulamentação aplicável;
• VII – revogação do consentimento, quando o consentimento constituir a base jurídica da respectiva operação.

As solicitações deverão ser realizadas pelos canais oficiais de privacidade da EchoHead.

14. CONSEQUÊNCIAS DA NÃO AUTORIZAÇÃO, QUANDO O CONSENTIMENTO FOR NECESSÁRIO

Quando determinada transferência internacional depender juridicamente do consentimento do paciente, ele poderá optar por não concedê-lo.

A recusa não impedirá, por si só, a continuidade do atendimento pelo profissional.

Entretanto, poderá impedir a utilização de determinada funcionalidade quando sua execução depender tecnicamente do processamento internacional e não houver mecanismo jurídico alternativo aplicável.

Nessa hipótese, a EchoHead deverá informar, de maneira clara, quais funcionalidades serão afetadas pela decisão.

A recusa não deverá ser utilizada para restringir funcionalidades que não dependam da respectiva transferência.

15. REVOGAÇÃO DO CONSENTIMENTO, QUANDO APLICÁVEL

Quando determinada transferência estiver juridicamente fundamentada no consentimento, o paciente poderá revogá-lo pelos mecanismos disponibilizados pela EchoHead.

A revogação produzirá efeitos para os tratamentos futuros dependentes desse consentimento.

A revogação:

• I – não torna ilícitas as operações regularmente realizadas durante o período em que o consentimento esteve válido;
• II – não impede tratamentos fundamentados em outras bases ou mecanismos jurídicos legalmente aplicáveis;
• III – não determina automaticamente a eliminação de informações cuja conservação possua fundamento jurídico;
• IV – poderá impedir funcionalidades diretamente dependentes da transferência correspondente.

Quando o consentimento não constituir o fundamento jurídico da transferência, sua revogação não será apresentada como mecanismo aplicável àquela operação.

16. INCIDENTES DE SEGURANÇA

Os operadores envolvidos no processamento internacional deverão estar sujeitos às obrigações de segurança e comunicação de incidentes aplicáveis à respectiva relação contratual e à legislação pertinente.

A EchoHead manterá procedimentos destinados à avaliação, contenção, investigação e tratamento de incidentes envolvendo dados pessoais.

Quando um incidente preencher os requisitos legais ou regulatórios de comunicação, serão adotadas as providências cabíveis perante a Autoridade Nacional de Proteção de Dados – ANPD e os titulares afetados.

17. RELAÇÃO COM OUTROS TERMOS E CONSENTIMENTOS

Este Termo trata especificamente da transparência e das manifestações juridicamente aplicáveis ao processamento e à transferência internacional de dados.

Ele não constitui autorização automática para:

• I – Transcrição Assistida;
• II – Inteligência Artificial Assistiva;
• III – utilização de dados para pesquisa;
• IV – compartilhamento destinado à Continuidade do Cuidado;
• V – utilização do recurso SOS;
• VI – gravação permanente de áudio ou vídeo;
• VII – acesso por assistente ou membro adicional da equipe;
• VIII – outras operações submetidas a manifestação própria.

Cada autorização ou consentimento permanecerá individualizado na área “Autorizações e Consentimentos” da Plataforma.

18. MANIFESTAÇÃO ELETRÔNICA DO PACIENTE

Ao registrar sua manifestação, o paciente declara que:

• I – teve acesso ao presente Termo;
• II – leu e compreendeu suas informações;
• III – está ciente de que determinadas funcionalidades da EchoHead poderão envolver processamento ou transferência internacional de dados;
• IV – compreendeu que essas operações poderão envolver dados pessoais sensíveis quando necessários à funcionalidade correspondente;
• V – compreendeu que a EchoHead poderá utilizar diferentes operadores, APIs, modelos computacionais e infraestruturas;
• VI – compreendeu que a EchoHead não fica permanentemente vinculada a fornecedor ou país específico;
• VII – compreendeu que a substituição de operador não autoriza alteração silenciosa das finalidades do tratamento;
• VIII – foi informado sobre a adoção de mecanismos jurídicos e medidas de proteção aplicáveis;
• IX – compreendeu que transferência internacional não reduz seus direitos como titular;
• X – compreendeu que este Termo não substitui os consentimentos específicos de Transcrição Assistida, Inteligência Artificial ou outras funcionalidades;
• XI – compreendeu que, quando o consentimento for juridicamente necessário para determinada transferência, poderá concedê-lo ou recusá-lo e, quando aplicável, revogá-lo posteriormente;
• XII – compreendeu que determinadas transferências poderão ser legitimamente realizadas com fundamento em mecanismo jurídico distinto do consentimento.