Contrato de tratamento de dados

Atualizado em 14 de novembro de 2026. Faz parte dos Termos de uso.

Este contrato regula o tratamento de dados pessoais de pacientes que o profissional ou a clínica ("controlador") faz por meio do Tomeo, oferecido por Limitless App House LTDA, CNPJ 64.393.443/0001-72, com sede em Maringá, PR ("operador"), nos termos da Lei 13.709/2018 (LGPD). Ele vale automaticamente para toda conta. Clínicas que precisem de uma via assinada podem pedir pelo comercial@limitless.app.br.

1. Objeto e papéis

• O controlador decide sobre os dados dos pacientes: quais envia, para quê e por quanto tempo guarda.
• O operador trata esses dados só para prestar o serviço contratado: armazenar, exibir, transcrever o ditado, organizar o texto, gerar o PDF e entregar o laudo ao paciente quando o controlador pedir.
• Dados tratados: identificação do paciente (nome, registro, data de nascimento, sexo), imagens DICOM, ditado, texto do laudo e dados de saúde neles contidos.

2. Obrigações do operador

• Tratar os dados só conforme as instruções do controlador, dadas pelo uso do sistema e por este contrato, e nunca para fins próprios.
• Não vender, ceder nem usar dados de pacientes para treinar modelos de IA, para publicidade ou para qualquer outra finalidade.
• Manter sigilo e exigir sigilo de todas as pessoas que tenham acesso aos dados.
• Adotar medidas técnicas e administrativas de segurança adequadas a dados sensíveis, descritas em Segurança e LGPD.
• Ajudar o controlador a atender pedidos de titulares e da ANPD, na medida do que o sistema permite.
• Comunicar ao controlador qualquer incidente de segurança que envolva seus dados em até 48 horas depois de tomar conhecimento, com o que se sabe sobre o ocorrido, os dados afetados e as medidas tomadas, para que ele cumpra os prazos de comunicação à ANPD e aos titulares.

3. Obrigações do controlador

• Ter base legal para tratar os dados dos pacientes e para enviá-los ao Tomeo.
• Inserir só os dados necessários e não ditar dados de identificação do paciente, que têm campos próprios.
• Manter o login pessoal e em sigilo, e cuidar de quem tem acesso à conta da clínica.
• Guardar cópia dos laudos assinados no seu prontuário ou PACS pelo prazo legal.

4. Suboperadores

O controlador autoriza o uso dos fornecedores listados na Política de Privacidade (hospedagem, banco de dados, transcrição do ditado, IA para organizar o texto e e-mail), cada um só com os dados de que precisa. O operador exige deles obrigações de proteção de dados equivalentes a estas e responde por eles perante o controlador. Mudanças na lista serão avisadas com antecedência na própria política; o controlador que discordar pode encerrar a conta sem multa.

5. Transferência internacional

Alguns suboperadores ficam fora do Brasil, principalmente nos Estados Unidos. As transferências ocorrem para executar o contrato e com garantias contratuais de proteção de dados, conforme o art. 33 da LGPD e a regulamentação da ANPD. O texto enviado à IA vai sem nome, registro ou nascimento do paciente, e o controlador pode desligar todo envio externo no editor.

6. Fim do contrato

Encerrada a conta, o controlador tem 30 dias para exportar laudos e imagens. Depois disso o operador apaga os dados dos pacientes, inclusive das cópias de segurança no ciclo normal de expiração delas, salvo obrigação legal de guarda.

7. Comprovação

O operador fornece, quando pedido, informações razoáveis para demonstrar o cumprimento deste contrato, como descrição das medidas de segurança e a lista de suboperadores. Auditorias presenciais podem ser combinadas no plano Clínica, com aviso prévio e custo de quem pedir.

8. Responsabilidade e foro

Cada parte responde pelos danos que causar por descumprir a LGPD ou este contrato, nos termos dos arts. 42 a 45 da LGPD. Valem o foro e as demais regras dos Termos de uso. Dúvidas: comercial@limitless.app.br.