Versão 3.0 | Vigente a partir de 20/09/2026 · Substitui a versão 2 · Celebrado por contrato, mediante solicitação.
Este Business Associate Agreement ("BAA") é celebrado entre F2W Brasil Ltda., CNPJ 60.943.300/0001-36, operadora dos serviços AutoJus ("Associado Comercial" ou "AutoJus"), e o cliente que seja Covered Entity ou Business Associate nos termos da HIPAA e utilize a Plataforma com Informações de Saúde Protegidas ("Cliente"). Complementa os Termos de Uso e o Acordo de Processamento de Dados (DPA) e prevalece sobre eles no que diz respeito a PHI. No que este BAA silencia, aplica-se o DPA.
1.1. Este BAA aplica-se apenas quando o Cliente está sujeito à HIPAA e opta por tratar PHI na Plataforma. É celebrado por contrato escrito; não se presume pelo uso da Plataforma. 1.2. O AutoJus é Associado Comercial exclusivamente quanto à PHI armazenada e tratada no workspace do Cliente na Plataforma (o "Console"). Não é Associado Comercial quanto ao tratamento realizado pelos provedores de IA contratados pelo Cliente (Seção 4).
"HIPAA" designa o Health Insurance Portability and Accountability Act de 1996 e sua regulamentação em 45 CFR Partes 160 e 164, com as alterações posteriores, inclusive o HITECH Act. "PHI" designa Protected Health Information, inclusive em meio eletrônico, conforme 45 CFR 160.103, recebida do Cliente ou criada, mantida ou transmitida em seu nome. "Breach", "Security Incident", "Subcontractor", "Unsecured PHI" e demais termos em maiúscula não definidos aqui têm o significado dado pela HIPAA.
3.1. O AutoJus usa e divulga PHI apenas para prestar os serviços da Plataforma ao Cliente, conforme permitido por este BAA ou exigido por lei. 3.2. O AutoJus não usa PHI para treinar, ajustar, avaliar ou aprimorar modelos de IA (DPA §3.3), não vende PHI e não a usa para marketing. 3.3. O AutoJus não desidentifica PHI nem agrega PHI entre clientes. 3.4. O AutoJus não usará nem divulgará PHI de modo que violaria a Subparte E de 45 CFR Parte 164 se praticado pelo Cliente.
4.1. A Plataforma envia conteúdo, inclusive a PHI que o Cliente submeter, ao provedor de IA (LLM, embeddings, OCR, busca web) escolhido pelo Cliente, com a chave de API e a conta do Cliente (DPA §3.2). Esse provedor é contratado pelo Cliente, não pelo AutoJus, e não é Subcontractor do AutoJus. 4.2. O Cliente é responsável por manter BAA, ou arranjo equivalente conforme a HIPAA, com cada provedor de IA que utilizar com PHI — não só o modelo de linguagem: o provedor de OCR recebe o arquivo inteiro e o de embeddings e rerank recebe trechos do documento — e por selecionar os planos e configurações do provedor adequados a PHI. O AutoJus não dá garantia sobre o tratamento de PHI por provedor algum. 4.3. A entrevista de onboarding (Scan), anterior à contratação, transcreve mídia com chave de API da AutoJus na OpenAI. O Scan está fora deste BAA; o Cliente não deve submeter PHI ao Scan. 4.4. A Plataforma produz estudos e minutas; não protocola, não envia a terceiros e não assina (DPA §3.4, Termos §2.2). Qualquer divulgação de PHI fora do Console é ato do Cliente.
5.1. O AutoJus implementa salvaguardas administrativas, físicas e técnicas que protegem de forma razoável e apropriada a confidencialidade, a integridade e a disponibilidade de ePHI, conforme a Subparte C de 45 CFR Parte 164, incluindo: criptografia em trânsito (TLS) e em repouso; chaves de API cifradas (AES-256-GCM) e decifradas só em memória; isolamento lógico por workspace; controle de acesso por papéis; e log de auditoria com eventos nomeados e checksum por registro (DPA §10.1). 5.2. O processamento e o armazenamento do Console ocorrem em região única, em São Paulo, Brasil (Vercel gru1, Supabase sa-east-1). O conteúdo enviado aos provedores de IA nos termos da Seção 4 sai dessa região para onde o provedor contratado pelo Cliente processa. Nenhuma PHI passa por conta do AutoJus em provedor de IA algum. 5.3. O AutoJus não possui, nesta data, certificação de terceiro (SOC 2, HITRUST, ISO 27001). Evidências das salvaguardas são fornecidas mediante solicitação, em até 30 dias úteis (DPA §10.3).
6.1. O AutoJus assegura que todo Subcontractor que crie, receba, mantenha ou transmita PHI em seu nome se obrigue por escrito a restrições e condições no mínimo tão rigorosas quanto as deste BAA. Os Subcontratados que podem tratar PHI são Supabase (banco de dados e armazenamento, sa-east-1) e Vercel (execução da aplicação, gru1, PHI apenas em trânsito). Stripe, Resend, GitHub e, se ativado com consentimento do visitante, Google Analytics não recebem PHI (DPA §6). 6.2. Alterações de Subcontratados são comunicadas com 30 dias de antecedência; o Cliente pode opor-se e rescindir (DPA §6.2).
7.1. O AutoJus comunica ao Cliente qualquer Security Incident de que tome conhecimento e qualquer Breach de Unsecured PHI, sem demora injustificada e em até 10 dias úteis após a descoberta, com as informações exigidas por 45 CFR 164.410(c) então disponíveis, complementadas à medida que forem conhecidas. 7.2. As partes acordam que tentativas malsucedidas que não resultem em acesso, uso, divulgação, modificação ou destruição não autorizados de PHI (como pings, varreduras de porta e tentativas de login bloqueadas) são comunicadas de forma agregada, mediante solicitação, e não individualmente. 7.3. O AutoJus coopera com a avaliação de risco do Cliente e, se solicitado, com as notificações a indivíduos, ao HHS e à mídia que são de responsabilidade do Cliente.
8.1. O Cliente tem acesso direto, pela Plataforma, à PHI do seu workspace e pode corrigi-la ou excluí-la por conta própria. Quando o Cliente precisar da assistência do AutoJus para responder a pedido de acesso (45 CFR 164.524), retificação (164.526) ou relato de divulgações (164.528), o AutoJus responde em até 15 dias úteis. 8.2. Se um indivíduo contatar o AutoJus diretamente, o AutoJus encaminha o pedido ao Cliente em até 5 dias úteis e não responde em nome do Cliente.
O AutoJus disponibiliza suas práticas internas, livros e registros relativos ao uso e à divulgação de PHI ao Secretário do HHS para fins de verificação da conformidade do Cliente com a HIPAA.
10.1. Este BAA vigora enquanto o contrato do Cliente com o AutoJus estiver em vigor e houver PHI na Plataforma. 10.2. Qualquer das partes pode rescindir por violação material não sanada em 30 dias da notificação escrita. Quando a sanação não for viável, o Cliente pode rescindir de imediato. 10.3. Devolução. Mediante solicitação, antes ou depois da rescisão, o AutoJus entrega a exportação integral do acervo, skills e histórico do Cliente em formatos abertos (DOCX/PDF; JSON para metadados e histórico), sem custo, em até 30 dias (DPA §11.2). 10.4. Destruição. Após a rescisão, o AutoJus exclui toda a PHI sob sua responsabilidade direta em até 90 dias e confirma por escrito (DPA §11.3). Quando a devolução ou destruição for inviável por obrigação legal de retenção, o AutoJus estende as proteções deste BAA a essa PHI, limita usos e divulgações às finalidades que tornam a devolução ou destruição inviável e a destrói ao término da obrigação. 10.5. Arquivos de mídia (áudio e vídeo) são removidos ao concluir a transcrição ou, no máximo, 60 dias após o upload, por rotina diária; nesta data a rotina não alcança mídia cujo processamento falhou. As transcrições permanecem no workspace até a exclusão prevista em 10.4.
Esta seção declara o que existe hoje, para que as obrigações acima sejam lidas contra ela. A exportação (10.3) e a exclusão (10.4) são procedimentos executados por pessoa, mediante solicitação a admin@autojus.com; não há rotina self-service. O log de auditoria registra eventos nomeados com checksum por registro; não registra, nesta data, login e logout nem o acesso individual de leitura ou download de documentos por usuários do Cliente ou por processos de IA. Registra o acesso ao Portal do Cliente, as mensagens de chat nele e os downloads feitos por terceiros através dele, sem o nome do arquivo. O AutoJus não possui certificação de terceiro. Esta seção é atualizada sempre que qualquer desses fatos mudar, e o número de versão deste BAA muda com ela.
12.1. Qualquer ambiguidade é resolvida de modo a permitir a conformidade com a HIPAA. As referências à HIPAA incluem as alterações em vigor. Se a HIPAA for alterada de forma que exija mudanças neste BAA, as partes o aditam. 12.2. Este BAA rege-se, quanto à relação contratual, pelos Termos de Uso (Seção 9); os termos da HIPAA são interpretados segundo a legislação federal dos Estados Unidos. 12.3. Este BAA é publicado em inglês, português e espanhol. Prevalece a versão em inglês para a interpretação dos termos da HIPAA.
Privacidade, Security Incidents e Breaches: privacy@autojus.com Operação, exportação e exclusão: admin@autojus.com F2W Brasil Ltda. — CNPJ 60.943.300/0001-36 — Florianópolis, Brasil