Contrato de tratamento de dados pessoais

Versão d2-2026-10. O contrato completo está abaixo e também em PDF, para guardar ou imprimir. Ele completa os Termos de uso e a Política de privacidade.

Baixar o contrato em PDF

O profissional que mantém a conta é o controlador dos dados pessoais dos seus pacientes: é ele quem decide o que registrar, para quê e por quanto tempo. A Lura é a operadora desses dados: ela os trata apenas para prestar o serviço contratado, em nome do profissional e conforme as instruções dele.

Em relação aos dados da própria conta do profissional (cadastro, acesso, assinatura e cobrança), a Lura é a controladora, nos termos da Política de privacidade. Este contrato trata apenas dos dados dos pacientes.

O objeto deste contrato é o tratamento dos dados dos pacientes necessário para oferecer as funções da plataforma: agenda, cadastro de pacientes, prontuário e evolução, sessões online, gravação temporária do áudio para transcrição, transcrição e resumo por inteligência artificial, livros de registro, controle das cobranças das sessões e portal do paciente.

O contrato vigora enquanto a conta existir e, depois disso, pelo tempo necessário para a devolução e a exclusão dos dados previstas na cláusula 10.

Titulares: os pacientes do profissional e, quando houver, os seus responsáveis legais e outras pessoas citadas nos registros clínicos.

Categorias de dados, conforme o uso que o profissional fizer da plataforma:

• dados de identificação e contato, como nome, CPF, e-mail, telefone, endereço, data de nascimento e contato de emergência;
• dados de saúde, que são dados pessoais sensíveis: histórico clínico, queixas, medicações, alergias, prontuário, evolução, anotações, transcrições e resumos das sessões e o que o paciente registra no portal;
• áudio das sessões, guardado de forma temporária só para a transcrição;
• agenda, histórico de sessões e informações das cobranças das sessões;
• dados técnicos de acesso do paciente ao portal e às sessões online, como data, hora e endereço IP.

As instruções do profissional são as dadas por meio do uso da plataforma e das suas configurações, e as que ele enviar por escrito pelo canal de privacidade, desde que compatíveis com o serviço e com a lei. A Lura não trata os dados dos pacientes para finalidades próprias: não os vende, não os usa para publicidade e não os usa para treinar modelos de inteligência artificial.

Se a Lura entender que uma instrução contraria a LGPD ou outra norma, avisa o profissional e pode deixar de cumpri-la até que seja esclarecida.

Somente pessoas autorizadas da Lura acessam dados dos pacientes, apenas quando necessário para manter o serviço funcionando ou para atender a um pedido do próprio profissional, e todas estão obrigadas a guardar sigilo. A Lura não lê o conteúdo clínico para nenhuma outra finalidade.

A Lura mantém, entre outras, as seguintes medidas técnicas e administrativas:

• criptografia dos dados em trânsito e em repouso no banco de dados;
• isolamento por conta: regras no próprio banco de dados garantem que cada profissional acessa apenas os próprios registros, e o paciente apenas o que o profissional liberou no portal;
• permissões mínimas: acesso anônimo bloqueado e funções internas restritas ao servidor;
• senhas guardadas de forma irreversível e acesso do paciente ao portal por código enviado ao e-mail dele;
• chaves de integração guardadas em cofre criptografado; dados de pagamento sensíveis guardados cifrados, e o número do cartão nunca passa pela Lura;
• áudio das sessões apagado automaticamente em até 24 horas;
• cópias de segurança diárias do banco de dados;
• histórico de acessos à conta visível para o profissional na própria plataforma;
• registros técnicos de funcionamento sem conteúdo clínico dos pacientes;
• acesso administrativo restrito a pessoas autorizadas.

Para prestar o serviço, a Lura conta com prestadores especializados, que tratam dados apenas na medida necessária para a sua função e sob obrigações de proteção de dados. As categorias são:

• hospedagem em nuvem, banco de dados e entrega do aplicativo;
• processamento de voz e inteligência artificial, para a transcrição e o resumo das sessões;
• envio de e-mails, como os códigos de acesso do paciente ao portal e os avisos da plataforma;
• pagamentos, que recebem apenas os dados do profissional, nunca dados dos pacientes;
• vídeo em tempo real, para as sessões online. A Lura não grava o vídeo das sessões; o provedor de vídeo pode reter, por até 30 dias, trechos curtos para diagnóstico técnico.

A lista atualizada dos prestadores é fornecida pelo canal de privacidade, mediante pedido. A Lura avisa o profissional por e-mail, com antecedência de 30 dias, antes de incluir ou trocar um prestador que trate dados dos pacientes; o profissional que discordar pode encerrar a conta, com a exportação dos seus dados.

Os dados dos pacientes ficam armazenados em servidores no Brasil. Algumas funções envolvem processamento fora do país: a transcrição e o resumo por inteligência artificial (o áudio e o texto das sessões são enviados para processamento e devolvidos), o envio de e-mails, a rede que entrega o aplicativo, que pode processar as requisições em servidores de outros países, e a transmissão do vídeo das sessões online, que pode passar por servidores de outros países. Os prestadores envolvidos ficam principalmente nos Estados Unidos e na União Europeia.

Essas transferências são feitas com base nos mecanismos previstos no art. 33 da LGPD, com prestadores que assumem, por contrato, obrigações de proteção de dados.

Se a Lura tomar conhecimento de um incidente de segurança que envolva dados dos pacientes, comunica o profissional afetado em até 48 horas, informando o que se sabe sobre a natureza do incidente, os dados e titulares envolvidos, os riscos e as medidas adotadas, e complementa essas informações à medida que forem apuradas. A Lura apoia o profissional na comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares, quando for o caso.

Os pacientes exercem os seus direitos junto ao profissional. A plataforma permite ao profissional acessar, corrigir, exportar e excluir os registros dos pacientes a qualquer momento. Se um pedido de titular chegar diretamente à Lura, ela o encaminha ao profissional em até 5 dias úteis e o ajuda a respondê-lo, sem responder no lugar dele.

Ao encerrar a relação, o profissional pode exportar os seus registros antes de excluir a conta. Com a exclusão da conta, a Lura apaga os dados dos pacientes dos sistemas em uso, e as cópias de segurança são eliminadas no seu ciclo normal, em até 30 dias. Ficam guardados apenas os dados que a lei obrigar a manter.

A Lura fornece ao profissional, pelo canal de privacidade, as informações razoavelmente necessárias para demonstrar o cumprimento deste contrato e da LGPD, inclusive para relatórios de impacto à proteção de dados.

Este contrato segue a lei brasileira, em especial a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018). Fica eleito o foro da comarca de Cambé, Paraná, sem prejuízo do foro do domicílio do consumidor quando a lei assim garantir. Mudanças relevantes neste contrato são avisadas por e-mail com antecedência, como nos Termos de uso.