Acordo de Tratamento de Dados (DPA)

• Controladora: a operação identificada no contrato, que decide para que e como os dados são tratados.
• Operadora: MAITAU LTDA, CNPJ 69.114.420/0001-03, com sede na Rua Santa Cruz, 2187, Sala 10 (CXPST 16016), Vila Mariana, São Paulo/SP, CEP 04121-002.

A Maitau trata os dados só para prestar os serviços do contrato e conforme as instruções documentadas da operação: o contrato, este acordo, a configuração que a operação faz na plataforma (usuários, permissões, tabelas e regras) e as instruções por escrito dos representantes dela. Se uma instrução contrariar a lei, a Maitau avisa a operação e não a executa.

A Maitau é controladora só dos registros de acesso à aplicação, que a lei manda guardar (Marco Civil da Internet, art. 15), e dos dados técnicos de segurança da plataforma (limite de tentativas, alertas, verificação contra robôs e registros de erro). Para eles vale a Política de Privacidade.

A descrição dos titulares, dos dados, das finalidades e das operações de tratamento está no Anexo A. O banco de dados, a autenticação, os documentos e as cópias de segurança ficam no Brasil; o que sai do país está na seção 7 e no Anexo C. A plataforma não guarda nome de paciente nem informação clínica: o procedimento é identificado pelo número do aviso cirúrgico, pela data, pelo código e pelo porte, e as partes tratam esse conjunto como dado pessoal pseudonimizado, possivelmente de saúde, que o hospital consegue ligar ao paciente.

• Tratar os dados só para o contrato e por instrução da operação; nunca para fins próprios nem para outros clientes.
• Manter as medidas de segurança do Anexo B e revisá-las sempre que a plataforma mudar.
• Manter os dados de cada operação separados dos de outras operações: nenhuma operação vê, descobre ou altera os dados de outra, e a plataforma não diz a uma operação se um CPF ou CRM existe em outra.
• Dar acesso aos dados só às pessoas da Maitau que precisam dele, todas com dever de sigilo.
• Não enviar dados pessoais da plataforma, nem pseudonimizados, a ferramentas de inteligência artificial, inclusive as usadas no desenvolvimento ou no suporte, e não contratar serviço de inteligência artificial para tratá-los sem aditivo ao contrato.
• Usar só dados fictícios no desenvolvimento e nos ambientes de teste; dados reais, só no ambiente de produção.
• Manter o registro das operações de tratamento (LGPD, art. 37) e dar à operação as informações para demonstrar o cumprimento deste acordo e para o relatório de impacto, se ela fizer um (art. 38).
• Ajudar a operação a atender os titulares (seção 8) e avisar sobre incidentes (seção 9).
• Publicar na Política de Privacidade, em nome da operação, as informações sobre a transferência internacional que a Resolução CD/ANPD nº 19/2024 manda dar aos titulares (seção 7).

• Ter base legal para os dados que insere ou coleta pela plataforma, inclusive cadastrais, bancários e documentos dos médicos, e informar os titulares (o aviso do formulário de cadastro leva a operação como controladora).
• Não inserir dado de paciente além do número do aviso cirúrgico e do código do procedimento.
• Convidar só quem precisa, dar a cada usuário só as permissões necessárias e desativar quem sai.
• Fazer os usuários guardarem as credenciais e avisar a Maitau de qualquer uso indevido.
• Conferir e aprovar cada fechamento antes de pagar.
• Confirmar com o médico, pelo contato que já estava no cadastro, a troca de Pix, conta, celular ou e-mail pedida pelo formulário antes de aprová-la na plataforma.
• Indicar no contrato o contato para avisos de incidente e pedidos de titular, e as bases legais que usa.
• Comunicar à ANPD e aos titulares os incidentes, quando a lei exigir.
• Aprovar a tabela de retenção do Anexo D.

• A pessoa de suporte da Maitau acessa a operação para implantar, migrar dados, treinar e dar suporte. Usa sempre o segundo fator e nunca vê a Gestão (resultado do mês, divisão entre sócios, custos e retiradas).
• Cada acesso do suporte fica registrado e aparece para quem administra a operação, na tela Atividade. O suporte não conta no limite de usuários.
• O acesso do suporte é ajustado pela Maitau. A operação pode pedir por escrito que ele seja suspenso ou retirado, e a Maitau atende, avisando o que deixa de poder fazer pela operação sem ele.
• O painel e o acesso direto ao banco de dados de produção são usados só em emergência ou para cumprir instrução da operação (como um pedido de titular). Cada uso fica num registro interno, com o motivo, e é informado à operação quando envolve dados dela.

A operação autoriza, de forma geral, o uso dos suboperadores do Anexo C. A Maitau contrata cada um com obrigações de proteção de dados compatíveis com este acordo e continua responsável perante a operação pelo cumprimento dele.

Antes de incluir ou trocar um suboperador, a Maitau avisa a operação com pelo menos 30 dias de antecedência. Nesse prazo, a operação pode se opor por escrito, com o motivo; sem acordo, pode encerrar o contrato nas condições dele.

A Maitau não contrata serviço de inteligência artificial para tratar dados da operação. Incluir um exige aditivo ao contrato, com o aviso acima e as garantias deste acordo.

Cada fornecedor usa os próprios subcontratados, nas condições do acordo de tratamento de dados dele, e essa cadeia pode incluir serviços de inteligência artificial usados pelo próprio fornecedor. As listas são públicas, e a Maitau envia à operação, a pedido, a lista atual de cada um. A autorização desta seção alcança essa cadeia, nas condições do acordo de cada fornecedor.

O banco de dados, a autenticação, os documentos, as cópias de segurança e as funções da aplicação ficam no Brasil, na região de São Paulo. Saem do país só o que o Anexo C descreve: os registros técnicos das requisições nos fornecedores, os e-mails do sistema e os registros de envio, os dados da verificação contra robôs, as mensagens às caixas de e-mail da Maitau e o acesso das equipes de suporte dos fornecedores, quando necessário para manter o serviço.

A Maitau só transfere dados da operação para fora do Brasil com um mecanismo do art. 33 da LGPD:

• para a União Europeia e o Espaço Econômico Europeu, a decisão de adequação da ANPD (Resolução nº 32/2026);
• para os demais países, as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), adotadas na íntegra e sem alteração com cada suboperador, como aditivo ao contrato dele quando o contrato padrão do fornecedor não as trouxer.

O Anexo C diz o país e o mecanismo de cada suboperador. Se um suboperador deixar de oferecer o mecanismo, a Maitau avisa a operação e propõe a troca do fornecedor, na forma da seção 6. A Maitau publica na Política de Privacidade, em nome da operação, as informações que a Resolução CD/ANPD nº 19/2024 manda dar aos titulares, e entrega à operação a íntegra das cláusulas a tempo de ela atender, em até 15 dias, o titular que pedir.

O médico não tem login: os pedidos chegam à operação ou à Maitau. A Maitau encaminha à operação, em até 2 dias úteis, todo pedido que receber sobre os dados dela e não responde ao titular sem instrução da operação.

Por instrução da operação, a Maitau executa em até 5 dias úteis:

• Acesso: a ficha do titular e o registro de quem acessou os dados dele.
• Correção: o ajuste dos dados, quando a própria operação não puder fazê-lo pela plataforma.
• Eliminação: a anonimização do titular na operação. O nome e o CRM viram um rótulo; cadastro, dados bancários, documentos, cadastros recebidos pelo formulário, pedidos de troca de Pix e apelidos são apagados; os nomes saem da produção, dos lotes, das observações do fluxo de caixa, da descrição dos custos, dos motivos de fechar e reabrir o mês e da auditoria. Valores e datas de pagamento ficam, sem identificar ninguém: se a operação precisa provar o pagamento àquela pessoa (LGPD, art. 16), a prova fica com ela (banco e contabilidade) ou a eliminação espera o prazo legal. Os documentos são apagados do armazenamento, e a anonimização chega às cópias de segurança quando expira a última feita antes dela (7 dias).

Se o mesmo médico trabalha para duas operações, cada uma tem o cadastro dela, e cada pedido é executado só na operação que o instruiu: o registro dele na outra não é lido nem alterado, e a Maitau não conta a uma operação que o titular está na outra.

A Maitau avisa a operação, pelo canal indicado no contrato, em até 48 horas depois de saber de um incidente de segurança que envolva dados da operação, inclusive quando ele acontece num suboperador: as 48 horas contam de quando a Maitau souber. Os acordos dos suboperadores os obrigam a avisar a Maitau sem demora indevida. O primeiro aviso traz o que se sabe até ali e é completado à medida que a apuração avança, para a operação cumprir os prazos da Resolução CD/ANPD nº 15/2024. No que a Maitau souber, o aviso traz:

• a descrição do incidente e, quando conhecida, a causa principal;
• a natureza e a categoria dos dados afetados;
• o número de titulares afetados e o total de titulares tratados nas atividades afetadas;
• as medidas de segurança usadas antes do incidente e as adotadas depois dele;
• os riscos e os possíveis impactos aos titulares;
• as medidas adotadas ou a adotar para reverter ou reduzir os efeitos;
• a data do incidente, quando conhecida, e a data em que a Maitau soube dele;
• os motivos da demora, se houver;
• a identificação da Maitau como operadora, do suboperador envolvido e do contato para o caso.

Cabe à operação, como controladora, comunicar a ANPD e os titulares quando a lei exigir; a Maitau coopera com as informações que tiver e com o texto da comunicação. A Maitau mantém o registro de cada incidente, inclusive dos que não exigiram comunicação, por pelo menos 5 anos.

Os prazos de guarda de cada tipo de dado estão no Anexo D, proposto pela Maitau para a aprovação da operação. Até a aprovação, valem só os prazos marcados como em vigor, e nada além deles é apagado.

• A qualquer momento: quem tem a permissão de exportar baixa um arquivo ZIP com um CSV por tabela (os dados pessoais mascarados como nas telas), disponível por 24 horas, com registro de cada download.
• Exportação final: no término, a Maitau entrega à operação, sem custo e em até 30 dias, a exportação completa em formato aberto (CSV ou XLSX), inclusive os dados pessoais sem máscara e os documentos, por um canal seguro combinado com ela. A exportação final é feita pela própria Maitau, com registro.
• Eliminação: em até 30 dias depois da entrega, a Maitau elimina os dados da operação no banco de dados, no armazenamento de documentos e em qualquer cópia local, e confirma a eliminação por escrito.
• O que fica: os registros de acesso, guardados cifrados no Brasil pelo mínimo de 6 meses do Marco Civil e depois apagados, e as cópias de segurança, que expiram no ciclo normal (7 dias).

O que a operação precisar guardar por obrigação legal (pagamentos, notas fiscais, contabilidade) fica com ela, a partir da exportação final.

Cada parte responde, nos termos da LGPD, pelos danos a que der causa. A Maitau, como operadora, responde nas hipóteses da lei, em especial quando descumprir a legislação ou as instruções lícitas da operação (art. 42, §1º, I). Os limites e as demais condições são os do contrato.

Para cada operação, este acordo vale a partir da assinatura do contrato, na versão anexada a ele, e continua valendo depois do fim do contrato enquanto a Maitau ainda tiver dados da operação. Em matéria de dados pessoais, ele prevalece sobre o resto do contrato.

Encarregado da Maitau: Leonardo Cesar Corbi, contato@maitau.com. Suporte da plataforma: suporte@maitau.com. Os contatos da operação para avisos, incidentes e pedidos de titular são os indicados no contrato.

Titulares

Médicos que trabalham para a operação, usuários convidados pela operação e sócios da operação.

Dados dos médicos

Identificação (nome, CPF, RG, CRM, nascimento, filiação, estado civil, nome e CPF do cônjuge), contato, endereço, dados de recebimento (Pix, banco, agência e conta), documento de identidade, vínculo com a operação, produção (cirurgias, plantões e atendimentos), folha, lotes e pagamentos; de cada envio pelo formulário, um código pseudonimizado do IP (HMAC, com chave guardada pela Maitau) e o navegador; da troca de Pix, conta ou contato pedida pelo formulário, os dados anteriores, os novos e o contato que estava no cadastro, até a operação confirmar ou recusar.

Dados dos usuários

Nome, e-mail, permissões, segundo fator e a autoria do que cada um faz na plataforma.

Dados dos sócios

Nome e participação na divisão do resultado.

Pacientes

Nenhum nome nem informação clínica. Só o número do aviso cirúrgico, a data, o código e o porte do procedimento; juntos, o hospital consegue ligá-los ao paciente, e por isso são tratados como dado pessoal pseudonimizado, possivelmente de saúde, com as mesmas restrições do resto.

Bases legais

As indicadas pela operação no contrato. Em regra, as da seção 3 da Política de Privacidade: execução de contrato, obrigação legal, exercício regular de direitos e legítimo interesse; no número do aviso cirúrgico, exercício regular de direitos, inclusive em contrato (LGPD, art. 11, II, “d”).

Finalidades

Cadastro dos médicos, registro e conferência da produção, cálculo da folha, fechamento do mês, geração do lote de pagamento, prestação de contas aos sócios (resultado, divisão e fluxo de caixa), envio de fichas à contabilidade, exportação dos dados e suporte.

Operações

Coleta pelo formulário de cadastro, importação de planilhas e cadastros, armazenamento, cálculo, consulta, edição, exportação, anonimização e eliminação.

Duração

Enquanto durar o contrato, e depois até a eliminação (seção 11).

Localização

Banco de dados, autenticação, documentos, cópias de segurança e funções da aplicação no Brasil (São Paulo); o que sai do país está na seção 7 e no Anexo C.

• Conexão sempre criptografada (HTTPS, com HSTS) e cabeçalhos de segurança em todas as páginas.
• Separação por operação no banco de dados, com regras de acesso por linha que valem também para chamadas diretas à API; gravação só pelos comandos do servidor, assinados por ele.
• Permissões por usuário, sem papel fixo, com travas que ninguém configura: quem não vê valores não recebe valores; resultado e divisão só com a permissão da Gestão; ninguém concede mais do que tem; sempre resta um administrador.
• Segundo fator obrigatório para quem vê dados bancários, gerencia usuários ou dá suporte, conferido também pelo banco de dados.
• Cadastro pessoal e dados bancários em tabelas próprias, lidos só por funções que registram cada leitura (quem, quando e de quais médicos).
• CPF, RG, Pix, celular e conta mascarados nas telas e nos arquivos gerados.
• Trilha de auditoria de toda alteração, só de inclusão, com os valores sensíveis guardados em máscara e código pseudonimizado (HMAC); o código do IP e o navegador do envio do formulário não entram nela.
• Sessão que termina ao fechar o navegador, limite de tentativas de login por e-mail e por IP e alerta de rajada de falhas.
• Verificação contra robôs na entrada, na redefinição de acesso e no formulário de cadastro, conferida pelo servidor antes de seguir.
• Formulário de cadastro por link com validade, limite de envios e documentos em quarentena, conferidos pelo conteúdo antes de aceitos; o conteúdo do envio, com o código do IP e o navegador, é apagado em até 30 dias (a apuração de uma troca indevida, nesse prazo, é feita pela Maitau a pedido da operação), e uma rotina diária apaga do armazenamento o documento não aproveitado.
• Troca de Pix, conta, celular ou e-mail pedida pelo formulário por quem já tem cadastro só vale depois que alguém da operação com acesso aos dados bancários (e o segundo fator) a confirma com o médico, pelo contato que estava no cadastro antes; até lá, com o Pix ou a conta novos, o médico fica fora do lote de pagamento. Pedido, confirmação e recusa ficam registrados; decidida a troca, os dados saem do pedido e fica o registro. De todo pedido, a trilha de auditoria guarda o Pix, a agência, a conta e o contato pedidos e os que havia antes só em máscara e código pseudonimizado (HMAC); na recusa, isso é a prova da tentativa de desvio de pagamento.
• Arquivos entregues sem cache, como anexo, e cada exportação registrada.
• Nenhum dado pessoal em registros de erro nem em e-mails de alerta.
• Cópias de segurança diárias do banco de dados, guardadas por 7 dias; os documentos do armazenamento não entram nelas.
• Desenvolvimento e testes só com dados fictícios; contas de infraestrutura com segundo fator.

Supabase

Empresa: Supabase Pte. Ltd. (Singapura), com a Supabase, Inc. (Estados Unidos) no suporte e na operação do serviço.Serviço: Banco de dados, autenticação (login e segundo fator) e armazenamento dos documentos.Dados: Todos os dados da plataforma.Onde: Banco de dados, autenticação, documentos e cópias de segurança na região de São Paulo, Brasil. Os registros técnicos das requisições (endereço IP, navegador e, nos de autenticação, o e-mail de quem entra) ficam na União Europeia por até 7 dias. A equipe de suporte do fornecedor, em outros países, acessa os dados só quando necessário para manter o serviço.Transferência internacional: União Europeia: decisão de adequação da ANPD (Resolução nº 32/2026). Singapura, Estados Unidos e demais países do suporte: cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD nº 19/2024).

Vercel

Empresa: Vercel Inc. (Estados Unidos).Serviço: Hospedagem da aplicação.Dados: As páginas e as requisições de quem usa a plataforma, com a sessão de login, e os registros técnicos de cada requisição (endereço IP, página pedida com os parâmetros e navegador).Onde: As funções da aplicação rodam em São Paulo, Brasil. A rede de entrega recebe a conexão no ponto mais próximo de quem acessa, e a etapa que confere a sessão antes de cada página pode rodar em qualquer região do fornecedor. Os registros técnicos ficam até 30 dias; o fornecedor declara os Estados Unidos como local principal de processamento.Transferência internacional: Cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD nº 19/2024).

Resend

Empresa: Plus Five Five, Inc., que opera a Resend (Estados Unidos).Serviço: Envio dos e-mails do sistema: convite, redefinição de acesso, avisos de segurança da conta e alertas internos ao suporte da Maitau, estes sem dado pessoal.Dados: Endereço do destinatário, assunto e conteúdo de cada e-mail (com o link de acesso) e os registros de envio.Onde: Envia a partir de São Paulo, Brasil, mas guarda a conta, o conteúdo, os metadados e os registros de envio nos Estados Unidos, por 30 dias.Transferência internacional: Cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD nº 19/2024).

Cloudflare (Turnstile)

Empresa: Cloudflare, Inc. (Estados Unidos).Serviço: Verificação contra robôs na entrada, na redefinição de acesso e no formulário de cadastro.Dados: Endereço IP, dados técnicos do navegador e da conexão (como o navegador usado e a impressão digital da conexão segura) e a página em que a verificação roda. Não recebe o que é digitado nos formulários.Onde: Rede global do fornecedor, que não informa o país nem o prazo de guarda. Para melhorar a própria detecção de robôs, a Cloudflare usa esses dados como controladora, por conta dela.Transferência internacional: Cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD nº 19/2024).

Google Workspace

Empresa: Google, pelo contrato do Google Workspace da Maitau.Serviço: E-mail corporativo da Maitau: as caixas contato@maitau.com e suporte@maitau.com, que recebem pedidos de titulares, chamados de suporte e avisos.Dados: O que vier na mensagem: em regra, o nome e o e-mail de quem escreve e o assunto do pedido.Onde: Centros de dados do fornecedor em vários países; o Brasil não está entre as regiões que ele oferece.Transferência internacional: Cláusulas-padrão contratuais da ANPD, já incorporadas ao acordo de tratamento de dados do Google.

Cada fornecedor usa os próprios subcontratados, nas condições do acordo de tratamento de dados dele, e essa cadeia pode incluir serviços de inteligência artificial usados pelo próprio fornecedor. As listas são públicas, e a Maitau envia à operação, a pedido, a lista atual de cada um. O repositório do código da plataforma não recebe dados pessoais: o código e os testes usam só dados fictícios.

Registros de acesso

12 meses (no mínimo 6, Marco Civil, art. 15).Em vigor

Registros de erro

6 meses. Não têm dado pessoal.Em vigor

Tentativas de acesso e envios do formulário

1 dia (só o código pseudonimizado do IP e do e-mail), apagados por uma rotina diária.Em vigor

Envio do formulário de cadastro

O conteúdo, com o código do IP e o navegador do envio, em até 30 dias depois do recebimento; o documento não aproveitado, na rotina diária do armazenamento.Em vigor

Arquivo da exportação

24 horas.Em vigor

Cadastro, dados bancários e documentos do médico

Enquanto houver vínculo com a operação; no fim do contrato, exportação final e eliminação (seção 11).Em vigor

Pedidos de troca de Pix, conta ou contato pelo formulário

Os dados até a operação confirmar ou recusar; depois, o registro de quem decidiu e quando. Na auditoria, pelo prazo dela, o Pix, a agência, a conta e o contato pedidos e os anteriores em máscara e código pseudonimizado (HMAC), de todo pedido; na recusa, como prova da tentativa de desvio.Em vigor

Produção, importações, decisões e ajustes

Duração do contrato mais 5 anos (registro do que foi pago).Proposta, a aprovar

Fechamentos, lotes e pagamentos

5 anos depois do pagamento (obrigações contábeis e fiscais da operação).Proposta, a aprovar

Pix em claro do lote

90 dias depois da conciliação do lote (só serve para gerar e conferir o arquivo do banco).Proposta, a aprovar

Auditoria

Duração do contrato mais 5 anos.Proposta, a aprovar

Contas de usuário

Enquanto houver acesso; a conta desativada há 12 meses é excluída.Proposta, a aprovar

Cópias de segurança

7 dias, do banco de dados (os documentos do armazenamento não entram nelas); a eliminação chega a elas quando expira a última cópia anterior.Configuração do fornecedor

Registros dos fornecedores

O app não grava dado pessoal neles, mas os fornecedores registram as requisições: até 7 dias na Supabase (endereço IP, navegador e, nos de autenticação, o e-mail), até 30 dias na Vercel (endereço IP, página pedida e navegador) e 30 dias na Resend (destinatário e conteúdo dos e-mails). A Cloudflare não informa o prazo dos dados da verificação contra robôs.Configuração do fornecedor