Política de Privacidade

1 Identificação do Controlador e do Operador

Nos termos da LGPD, identificamos as partes envolvidas no tratamento de dados:

1.1 Controlador de Dados (Clínica/Profissional de Saúde)

O Contratante da plataforma — médico, clínica ou estabelecimento de saúde — é o Controlador dos dados pessoais e de saúde de seus pacientes, pois é quem decide sobre as finalidades e os meios do tratamento.

1.2 Operador de Dados (Clínica Digital)

A Clínica Digital atua como Operadora, realizando o tratamento de dados pessoais em nome do Controlador, nos limites das instruções recebidas e das finalidades do serviço contratado.

2 Dados Coletados

2.1 Dados dos Contratantes (Clínica / Profissionais)

• Nome completo, e-mail, telefone;
• Dados da clínica: nome, endereço, CNPJ/CPF, telefone, logotipo, site;
• Dados de acesso: e-mail e senha (armazenada com hash criptográfico);
• Dados de faturamento e pagamento (processados por gateway de pagamento terceirizado);
• Registros de acesso: IP, data, hora, duração das sessões (cumprimento do Marco Civil da Internet).

2.2 Dados dos Pacientes (inseridos pelo Contratante)

• Dados de identificação: nome, CPF, RG, gênero, data de nascimento;
• Dados de contato: e-mail, telefone celular, telefone fixo;
• Dados de endereço: CEP, rua, número, complemento, bairro, cidade, estado;
• Dados de saúde (sensíveis): prontuários médicos, receitas, laudos, histórico clínico, descrições cirúrgicas, solicitações de exame, atestados, contratos médicos;
• Documentos de exame: arquivos de imagens e documentos de exames carregados pelo profissional;
• Dados de agendamento: datas e horários de consultas, especialidade, observações, status do agendamento;
• Dados de responsável: nome e CPF do responsável (para pacientes menores ou incapazes).

2.3 Dados Coletados Automaticamente

• Cookies essenciais de sessão para autenticação;
• Logs de acesso e atividade (endereço IP, navegador, data/hora);
• Dados de uso anonimizados para melhoria do sistema.

3 Finalidade e Base Legal do Tratamento

O tratamento de dados na plataforma Clínica Digital ocorre com as seguintes finalidades e bases legais (Art. 7º e Art. 11 da LGPD):

3.1 Dados dos Contratantes

• Execução do contrato (Art. 7º, V): prestação do serviço de software, faturamento e suporte;
• Cumprimento de obrigação legal (Art. 7º, II): emissão de nota fiscal, guarda de registros de acesso (Marco Civil);
• Legítimo interesse (Art. 7º, IX): comunicações sobre o serviço, melhorias do sistema, segurança.

3.2 Dados dos Pacientes

• Tutela da saúde (Art. 11, II, f): o tratamento de dados de saúde pelo profissional de saúde responsável, em contexto de prestação de serviços médicos, é permitido pela LGPD para tutela da saúde do titular;
• Execução do contrato (Art. 7º, V): funcionamento das funcionalidades de agenda, prontuário e demais módulos;
• Consentimento do titular (Art. 11, I): para casos onde o Contratante optou por obter o consentimento explícito do paciente.

4 Dados Sensíveis de Saúde

A Clínica Digital adota as seguintes salvaguardas para dados de saúde:

• Isolamento por tenant: cada clínica opera em um ambiente lógico isolado — os dados de uma clínica não são acessíveis por outra;
• Controle de acesso: apenas usuários autenticados e autorizados pela própria clínica podem acessar os dados de seus pacientes;
• Criptografia: dados em trânsito protegidos por TLS/HTTPS; senhas armazenadas com algoritmo de hash seguro;
• Minimização: coletamos apenas os dados estritamente necessários para as funcionalidades da plataforma;
• Token de acesso para pacientes: pacientes que acessam seus próprios exames o fazem por meio de token exclusivo, sem necessidade de cadastro;
• Acesso restrito interno: colaboradores da Clínica Digital têm acesso aos dados de clientes apenas quando estritamente necessário para suporte técnico, mediante registro de acesso (log).

5 Compartilhamento de Dados

A Clínica Digital não vende, aluga ou comercializa dados pessoais de Contratantes ou de seus Pacientes. O compartilhamento ocorre apenas nas seguintes situações:

• Prestadores de serviço (suboperadores): empresas de hospedagem em nuvem, processadores de pagamento e provedores de e-mail transacional — todos contratualmente obrigados a manter confidencialidade e conformidade com a LGPD;
• Obrigação legal: quando exigido por ordem judicial, autoridade competente ou obrigação legal expressa;
• Defesa de direitos: em processos judiciais, administrativos ou arbitrais onde a Clínica Digital necessite defender seus direitos;
• Consentimento expresso: em qualquer outra hipótese, somente com consentimento prévio e específico do Contratante.

6 Retenção e Exclusão de Dados

6.1 Durante a vigência do contrato

Os dados são mantidos enquanto o contrato estiver ativo e pelo período necessário ao cumprimento das finalidades descritas nesta Política.

6.2 Após o cancelamento

Após o cancelamento da conta, os dados são mantidos por 30 dias para possibilitar a exportação pelo Contratante. Após esse prazo:

• Dados operacionais são excluídos;
• Registros de acesso são mantidos por 6 meses, conforme o Marco Civil da Internet (Lei nº 12.965/2014, Art. 15);
• Dados financeiros e fiscais são mantidos pelo período exigido pela legislação tributária (mínimo de 5 anos).

6.3 Prontuários médicos

Conforme a Resolução CFM nº 1.821/2007, prontuários médicos devem ser guardados por, no mínimo, 20 anos. O Contratante é responsável por realizar exportações e manter cópias em conformidade com esse prazo legal antes do cancelamento.

6.4 Solicitação de exclusão pelo Titular (Paciente)

O Paciente pode solicitar a exclusão de seus dados. Contudo, havendo obrigação legal de retenção (como o prazo de guarda de prontuários do CFM) ou legítimo interesse preponderante, a exclusão poderá ser realizada apenas parcialmente, com comunicação ao solicitante sobre o fundamento da retenção.

7 Segurança da Informação

A Clínica Digital implementa medidas técnicas e organizacionais adequadas para proteger os dados contra acesso não autorizado, destruição, perda, alteração, divulgação ou qualquer forma de tratamento inadequado:

• Comunicação segura: todo tráfego entre o usuário e a plataforma utiliza protocolo HTTPS com TLS;
• Autenticação: senhas armazenadas com hash seguro (bcrypt); sessões autenticadas com tokens seguros;
• Isolamento de dados: arquitetura multi-tenant com segregação lógica garantida entre clientes;
• Controle de acesso: permissões por perfil de usuário (médico, recepcionista, administrador);
• Backup: cópias de segurança realizadas regularmente com possibilidade de recuperação;
• Monitoramento: logs de acesso e atividades suspeitas são monitorados;
• Acesso mínimo: colaboradores da Clínica Digital seguem o princípio do privilégio mínimo no acesso a dados de clientes.

Apesar das medidas adotadas, nenhum sistema é 100% inviolável. Em caso de incidente, o Contratante e a ANPD serão notificados nos termos do item 11.

8 Direitos dos Titulares

Nos termos do Art. 18 da LGPD, os titulares de dados têm os seguintes direitos, que podem ser exercidos junto ao DPO da Clínica Digital (item 12) ou diretamente com a clínica (Controladora):

Para exercer qualquer desses direitos, envie e-mail para [email protected] com o assunto "Direitos LGPD" e identificação do titular. Respondemos em até 15 dias úteis.

9 Cookies e Rastreamento

9.1 Cookies essenciais

Utilizamos cookies estritamente necessários para o funcionamento da plataforma, como cookies de sessão de autenticação. Esses cookies não podem ser desativados sem comprometer o funcionamento do sistema.

9.2 Cookies analíticos (opcionais)

Com seu consentimento, podemos utilizar ferramentas de análise anônima de uso para melhorar a plataforma. Esses cookies não identificam usuários individualmente e não são vinculados a dados de saúde.

9.3 Sem cookies de publicidade

A Clínica Digital não utiliza cookies de rastreamento publicitário e não integra plataformas de publicidade comportamental que possam acessar dados de uso da plataforma.

O consentimento para cookies não essenciais pode ser gerenciado a qualquer momento pelo banner de cookies exibido no site.

10 Transferência Internacional de Dados

Os dados podem ser processados ou armazenados em servidores localizados fora do Brasil, exclusivamente por prestadores de serviços de infraestrutura em nuvem (hospedagem). Nessas situações, garantimos que:

• Os países de destino oferecem nível adequado de proteção de dados, conforme avaliação da ANPD (Art. 33, I da LGPD); ou
• Os contratos com os suboperadores contêm cláusulas contratuais padrão de proteção de dados (Art. 33, II da LGPD); ou
• A transferência é necessária para execução do contrato com o Contratante (Art. 33, V da LGPD).

11 Incidentes de Segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares dos dados, a Clínica Digital se compromete a:

1. Comunicar o Contratante afetado em até 72 horas após a ciência do incidente;
2. Notificar a Autoridade Nacional de Proteção de Dados (ANPD) no prazo legal aplicável;
3. Fornecer informações sobre a natureza dos dados afetados, o número de titulares atingidos, as medidas técnicas de contenção adotadas e o contato do DPO;
4. Cooperar plenamente com as investigações da ANPD.

12 Encarregado de Dados (DPO)

Nos termos do Art. 41 da LGPD, a Clínica Digital possui um Encarregado pelo Tratamento de Dados Pessoais (DPO — Data Protection Officer), responsável por:

• Receber e responder às demandas dos titulares de dados;
• Comunicar-se com a ANPD;
• Orientar os colaboradores da empresa sobre práticas de proteção de dados;
• Zelar pela conformidade permanente com a LGPD.

13 Alterações desta Política

Esta Política de Privacidade pode ser atualizada periodicamente para refletir alterações na legislação, nas práticas da empresa ou nas funcionalidades da plataforma.

Alterações significativas serão comunicadas por e-mail aos Contratantes com antecedência mínima de 15 dias antes da vigência. A continuidade do uso da plataforma após a vigência das alterações constitui aceite da nova versão.

Versões anteriores desta Política podem ser solicitadas ao DPO pelo e-mail [email protected].