Adendo de Dados de Saúde

Este Adendo de Dados de Saúde ("Adendo") integra os Termos e Condições da Grovity, a Política de Privacidade e qualquer contrato assinado entre a Grovity Services LLC ("Grovity") e o Cliente (em conjunto, o "Contrato"). Aplica-se sempre que o Cliente utilizar os Serviços em conexão com atividades de saúde, médicas, de bem-estar, farmacêuticas, de seguros ou similares, ou de qualquer outra forma fizer com que Dados de Saúde sejam tratados por meio dos Serviços. Em caso de conflito relativo a Dados de Saúde, este Adendo prevalece sobre os Termos e Condições, mas não sobre um contrato assinado ou um Business Associate Agreement (BAA) que trate expressamente da matéria.

• Dados de Saúde: quaisquer dados pessoais relativos à saúde física ou mental de uma pessoa natural, incluindo a prestação de serviços de saúde, que revelem informações sobre seu estado de saúde, tais como sintomas, diagnósticos, tratamentos, medicamentos, consultas, resultados de exames, sinistros de seguro ou informações sobre deficiência. Os Dados de Saúde são considerados dados pessoais sensíveis nos termos das leis indicadas na Seção 9.
• Informações de Saúde Protegidas (PHI): têm o significado atribuído pelo Health Insurance Portability and Accountability Act de 1996 dos EUA e seus regulamentos de implementação ("HIPAA").
• Decisão Clínica: qualquer diagnóstico, prognóstico, triagem de urgência médica, prescrição, recomendação de dosagem ou decisão de tratamento.
• Cliente de Saúde: um Cliente que utiliza os Serviços em conexão com qualquer atividade descrita no primeiro parágrafo.

2.1. Plataforma de uso geral. Os Serviços são uma plataforma de uso geral para agentes de IA conversacionais e operacionais. Não constituem dispositivo médico, software como dispositivo médico, sistema de apoio à decisão clínica, prontuário eletrônico de saúde ou repositório de registros clínicos, e não foram liberados nem aprovados pela Food and Drug Administration dos EUA, pelo INVIMA, pela ANVISA ou por qualquer outra autoridade sanitária.

2.2. Ausência de aconselhamento médico. A Grovity não presta aconselhamento médico, clínico, farmacêutico ou de saúde. Os resultados gerados pelos agentes de IA são automatizados, podem conter erros e não substituem o julgamento de um profissional de saúde qualificado.

2.3. Usos permitidos. Os Clientes de Saúde podem utilizar os Serviços para funções administrativas e informativas, tais como agendamento e lembretes, informações gerais sobre os serviços, unidades e procedimentos do Cliente, pré-cadastro e coleta de dados, comunicações de acompanhamento, atendimento ao cliente, faturamento e encaminhamento de conversas a pessoal qualificado.

2.4. Usos proibidos. Salvo acordo expresso em contrato assinado que especifique os controles aplicáveis, os Clientes de Saúde não deverão configurar nem utilizar os Serviços para:

• tomar ou comunicar Decisões Clínicas sem a revisão de um profissional de saúde qualificado;
• servir como canal principal para emergências médicas;
• armazenar nos Serviços o registro clínico oficial do Cliente (historia clínica, prontuário ou medical record) como registro de referência;
• tratar PHI sem um Business Associate Agreement (BAA) celebrado com a Grovity (Seção 5);
• tratar dados genéticos ou biométricos para fins de identificação.

O Cliente de Saúde, na qualidade de Controlador (ou de Entidade Coberta (Covered Entity), conforme aplicável), é responsável por:

3.1. Base legal e consentimento. Obter, antes que quaisquer Dados de Saúde sejam tratados por meio dos Serviços, a base legal exigida pela legislação aplicável, incluindo o consentimento prévio, expresso e informado quando exigido, e manter evidências dele. Quando exigido por lei (por exemplo, a Ley 1581 de 2012 da Colômbia), informar os Titulares de que não são obrigados a responder a perguntas sobre dados sensíveis.

3.2. Divulgação do uso de IA. Configurar seus agentes de IA de modo que os Usuários Finais sejam claramente informados de que estão interagindo com um sistema automatizado e não com um profissional de saúde.

3.3. Regras de emergência e escalonamento. Configurar seus agentes de IA de modo que, quando um Usuário Final relatar sintomas que possam indicar uma emergência, risco de autolesão ou uma situação que exija atenção urgente, o agente direcione o usuário aos serviços de emergência locais e ao pessoal qualificado do Cliente, e não tente gerenciar a situação. A Grovity disponibiliza funcionalidade de transferência para atendimento humano para essa finalidade; o Cliente é responsável por dispor de pessoal para atender e responder aos escalonamentos.

3.4. Conteúdo e bases de conhecimento. Assegurar que as instruções dos agentes, as bases de conhecimento, os catálogos e qualquer conteúdo clínico ou de saúde fornecido aos Serviços sejam precisos, atualizados, aprovados por pessoal qualificado e estejam em conformidade com as normas aplicáveis de publicidade em saúde e de exercício profissional.

3.5. Mínimo necessário. Configurar os agentes e as integrações para coletar apenas os Dados de Saúde estritamente necessários para a finalidade declarada, e não solicitar históricos clínicos completos, imagens de documentos médicos ou resultados de exames, salvo quando necessário e lícito.

3.6. Seleção de canais. Avaliar se os canais de comunicação que habilita (tais como WhatsApp, SMS, chat na web ou voz) são adequados para os Dados de Saúde envolvidos. As plataformas de mensagens e as operadoras são terceiros independentes e não estão abrangidas por nenhum Business Associate Agreement (BAA) celebrado com a Grovity.

3.7. Solicitações dos Titulares e registros. Responder às solicitações dos Titulares e manter quaisquer registros clínicos, regulatórios ou de retenção que lhe sejam exigidos, utilizando seus próprios sistemas de registro.

3.8. Normas profissionais e setoriais. Cumprir as regulamentações do setor de saúde que lhe sejam aplicáveis, incluindo as normas de telessaúde, de publicidade em saúde e de sigilo profissional em cada jurisdição em que atue.

Com relação aos Dados de Saúde tratados em nome do Cliente, a Grovity irá:

4.1. Tratar os Dados de Saúde somente na qualidade de Operador (ou de Business Associate, quando houver um BAA em vigor), exclusivamente para prestar os Serviços e em conformidade com as instruções documentadas do Cliente.

4.2. Aplicar as salvaguardas descritas na Descrição da Segurança dos Serviços, incluindo criptografia em trânsito e em repouso, isolamento de tenant (locatário), acesso com privilégio mínimo e registros de auditoria.

4.3. Não utilizar os Dados de Saúde, inclusive de forma agregada ou desidentificada, para aprimorar os Serviços, para treinar ou ajustar qualquer modelo, ou para qualquer finalidade que não seja a prestação dos Serviços ao Cliente, sem a autorização prévia e por escrito do Cliente.

4.4. Não vender Dados de Saúde nem utilizá-los para publicidade.

4.5. Transmitir Dados de Saúde somente a Suboperadores que estejam vinculados a obrigações escritas de proteção de dados e de confidencialidade e que não utilizem o Conteúdo do Cliente para treinar seus modelos.

4.6. Notificar o Cliente sobre qualquer incidente de segurança que afete Dados de Saúde em conformidade com o Contrato e, em qualquer caso, sem demora indevida e no prazo de setenta e duas (72) horas após tomar razoavelmente conhecimento dele.

4.7. Eliminar ou devolver os Dados de Saúde com o término do Contrato ou mediante instrução por escrito do Cliente, observados os ciclos de retenção de backups e as obrigações legais, e confirmar a eliminação mediante solicitação.

5.1. A Grovity não é uma Entidade Coberta (Covered Entity) nos termos da HIPAA. A Grovity atua como Business Associate somente quando tiver celebrado um Business Associate Agreement ("BAA") com o Cliente.

5.2. A Grovity poderá celebrar um BAA caso a caso, para configurações específicas dos Serviços, provedores e canais identificados no BAA. As solicitações devem ser enviadas para privacy@grovity.ai.

5.3. Salvo e até que um BAA seja celebrado, o Cliente não deverá transmitir PHI aos Serviços, e a Grovity não terá nenhuma obrigação na qualidade de Business Associate. Quaisquer PHI transmitidas em violação desta Seção são transmitidas por conta e risco exclusivos do Cliente.

6.1. O Cliente reconhece que os resultados de IA são probabilísticos e podem ser imprecisos, incompletos ou inadequados em um contexto de saúde, e que o Cliente é o único responsável por supervisionar seus agentes e por qualquer decisão tomada com base nesses resultados.

6.2. A Grovity não é responsável pela precisão clínica do conteúdo fornecido pelo Cliente, por Decisões Clínicas tomadas pelo Cliente, por seu pessoal ou por Usuários Finais, nem pelo resultado de qualquer serviço de saúde.

7.1. O Cliente defenderá e indenizará a Grovity contra reclamações de terceiros, sanções regulatórias e perdas decorrentes de: (i) ausência de base legal válida ou de consentimento para os Dados de Saúde tratados por meio dos Serviços; (ii) uso dos Serviços para qualquer finalidade proibida na Seção 2.4; (iii) conteúdo clínico, médico ou de saúde fornecido ou aprovado pelo Cliente; ou (iv) transmissão de PHI sem um BAA celebrado.

7.2. As limitações de responsabilidade estabelecidas nos Termos e Condições ou no Contrato aplicam-se a este Adendo.

Salvo instrução em contrário do Cliente, a Grovity retém os dados de conversas que contenham Dados de Saúde durante a vigência do Contrato. O Cliente poderá solicitar, a qualquer momento, a eliminação antecipada de conversas ou de Titulares específicos. O Cliente permanece responsável por reter, em seus próprios sistemas de registro, quaisquer informações que seja legalmente obrigado a manter.

Sem limitar a obrigação do Cliente de identificar a legislação aplicável às suas atividades, as seguintes leis tratam os Dados de Saúde como dados sensíveis ou regulam seu Tratamento nas jurisdições em que os Clientes da Grovity comumente atuam:

• Estados Unidos: a HIPAA e o HITECH Act; o FTC Act e a FTC Health Breach Notification Rule; leis estaduais sobre dados de saúde do consumidor (tais como o My Health My Data Act de Washington).
• Colômbia: Ley 1581 de 2012 e Decreto 1377 de 2013 (dados sensíveis); Resolución 1995 de 1999 e Ley 2015 de 2020 (registros clínicos); Ley 1419 de 2010 e Resolución 2654 de 2019 (telessaúde).
• Brasil: Lei Geral de Proteção de Dados Pessoais (LGPD – Lei nº 13.709/2018), Artigo 11 (dados pessoais sensíveis), e Lei nº 13.787/2018 (prontuário eletrônico do paciente).
• México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (2025).
• Costa Rica: Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales.
• Guatemala: proteções constitucionais da privacidade e dos registros pessoais, e as normas de sigilo profissional aplicáveis.
• Jamaica: Data Protection Act, 2020.
• União Europeia / EEE: GDPR, Artigo 9.

Dúvidas sobre este Adendo ou solicitações de BAA: privacy@grovity.ai.