Política de Privacidade

1. Controlador de Dados e DPO

O Controlador dos dados pessoais tratados neste site e na Plataforma é:

Nosso Encarregado pelo Tratamento de Dados (DPO) é Pedro Scardua, acessível pelo e-mail [email protected]. O DPO é o canal oficial para exercício de direitos, dúvidas e reclamações relacionadas à privacidade.

Quando o Cliente utiliza a Plataforma para tratar dados de seus Pacientes, o Cliente é o Controlador desses dados e a Secretar.AI atua como Operadora, nos termos do art. 39 da LGPD.

2. Dados que Coletamos

2.1 Dados de Clientes e Usuários

• Cadastro: nome, e-mail, telefone, CPF/CNPJ, dados do profissional de saúde (CRM, CRO, CRN etc.), cargo e senha (armazenada em hash).
• Pagamento: dados de faturamento e método de pagamento (processados por terceiros — não armazenamos número de cartão).
• Uso da Plataforma: logs de acesso, IP, agente de usuário, eventos de clique, fluxos utilizados, consumo de créditos de IA e metadados de sessão.
• Comunicações: histórico de suporte, e-mails e mensagens trocadas conosco.

2.2 Dados de Pacientes (inseridos pelo Cliente)

• Nome, data de nascimento, CPF, telefone, e-mail e endereço;
• Dados de saúde: anamneses, diagnósticos, prescrições, evoluções clínicas, exames, alergias e contraindicações;
• Imagens clínicas (fotos pré/pós-procedimento, documentação odontológica);
• Histórico de conversas no WhatsApp mediadas pelos agentes de IA;
• Dados financeiros do paciente: orçamentos, pagamentos e créditos.

2.3 Dados coletados automaticamente

• Cookies e tecnologias similares (veja seção 10);
• Dados de performance e diagnóstico da Plataforma;
• Metadados de integrações (Google Calendar, WhatsApp Business API, webhooks).

3. Finalidade e Base Legal

4. Dados Sensíveis de Saúde

Dados de saúde são considerados dados pessoais sensíveis pela LGPD (art. 5º, II) e recebem proteção reforçada:

• Acesso restrito por perfil de usuário configurado pelo Cliente;
• Criptografia em trânsito (TLS 1.3) e em repouso (AES-256);
• Logs de auditoria de todos os acessos ao prontuário;
• Não utilizados para treinamento de modelos de IA sem anonimização prévia e consentimento específico.

O Cliente, como Controlador, é responsável por obter o consentimento adequado dos Pacientes para o tratamento de seus dados de saúde na Plataforma, em conformidade com a LGPD e as normas do conselho profissional aplicável (CFM, CFO, CFF etc.).

5. Compartilhamento de Dados

Não vendemos dados pessoais. Compartilhamos dados apenas nas seguintes situações:

• Prestadores de serviço (Suboperadores): provedores de infraestrutura em nuvem (servidores em São Paulo – BR), processadores de pagamento, provedores de e-mail transacional e ferramentas de suporte — todos vinculados por acordos de proteção de dados equivalentes a esta Política;
• WhatsApp Business API: mensagens trafegam pela infraestrutura da Meta; aplicam-se as políticas de privacidade da Meta para os dados de mensagens;
• Integrações ativadas pelo Cliente: Google Calendar, MCPs externos e webhooks configurados pelo próprio Cliente — sob responsabilidade do Cliente;
• Obrigação legal: quando exigido por lei, decisão judicial ou autoridade competente (ex.: ANPD);
• Proteção de direitos: para fazer valer estes Termos ou proteger a segurança da Plataforma e de terceiros.

Em caso de fusão, aquisição ou venda de ativos, os dados poderão ser transferidos ao sucessor, que ficará obrigado a respeitar esta Política.

6. Transferência Internacional

Os dados são armazenados preferencialmente em servidores localizados no Brasil (São Paulo – SP). Alguns subprocessadores de suporte e analytics podem processar dados fora do país. Nesses casos, adotamos garantias adequadas (cláusulas contratuais padrão ou equivalentes) conforme exigido pela LGPD (art. 33).

7. Retenção e Exclusão

• Conta ativa: dados mantidos pelo tempo necessário à prestação do serviço;
• Após cancelamento: 30 dias disponíveis para exportação, depois excluídos ou anonimizados;
• Inadimplência: após 30 dias sem pagamento e sem acordo, os dados podem ser excluídos;
• Obrigação legal: registros fiscais e logs de segurança podem ser retidos pelos prazos legais exigidos (ex.: 5 anos para documentos fiscais);
• Dados de Pacientes: o Cliente define a política de retenção; a Secretar.AI aplica a exclusão a pedido do Cliente, respeitando eventuais obrigações legais do setor de saúde (ex.: CFM Res. 1.638/2002 — prontuário por 20 anos).

8. Seus Direitos (LGPD – art. 18)

Você tem os seguintes direitos em relação aos seus dados pessoais:

• Confirmação e acesso: saber se tratamos seus dados e obter cópia;
• Correção: retificar dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação: de dados desnecessários ou tratados em desconformidade com a LGPD;
• Portabilidade: receber seus dados em formato interoperável (CSV/JSON);
• Eliminação: de dados tratados com base em consentimento, salvo hipóteses legais de retenção;
• Informação sobre compartilhamento: saber com quem compartilhamos seus dados;
• Revogação de consentimento: retirar consentimento a qualquer momento, sem prejuízo do tratamento anterior;
• Oposição: opor-se a tratamento realizado com fundamento em legítimo interesse;
• Reclamação à ANPD: peticionar à Autoridade Nacional de Proteção de Dados.

Para exercer qualquer direito, entre em contato com o DPO: [email protected]. Responderemos em até 15 dias úteis. Poderemos solicitar verificação de identidade antes de atender a solicitação.

Pacientes que desejam exercer seus direitos devem contatar diretamente o profissional de saúde ou clínica que inseriu seus dados (o Controlador), que poderá acionar a Secretar.AI (Operadora) quando necessário.

9. Segurança

Adotamos medidas técnicas e organizacionais adequadas para proteger os dados pessoais contra acesso não autorizado, perda, alteração ou divulgação:

• Criptografia em trânsito (TLS 1.3) e em repouso (AES-256);
• Controle de acesso baseado em papéis (RBAC) com autenticação multifator disponível;
• Logs de auditoria imutáveis para operações sensíveis;
• Monitoramento contínuo de segurança e programa de resposta a incidentes;
• Backups automatizados com testes de restauração periódicos;
• Treinamento de segurança para colaboradores com acesso a dados.

Em caso de incidente de segurança que possa afetar seus dados, comunicaremos o ocorrido à ANPD e aos titulares afetados nos prazos e formas exigidos pela LGPD.

10. Cookies e Tecnologias Similares

Utilizamos cookies e tecnologias similares neste site e na Plataforma:

• Essenciais: necessários para o funcionamento do site (autenticação, preferências de sessão). Não requerem consentimento.
• Analytics: coletam dados de uso agregados e anonimizados para melhorar a experiência. Requerem consentimento e podem ser recusados pelo banner de cookies.
• Marketing: utilizados para mensurar eficácia de campanhas (Meta Pixel, Google Tag). Requerem consentimento explícito.

Você pode gerenciar suas preferências de cookies a qualquer momento nas configurações do seu navegador ou pelo painel de preferências de privacidade da Plataforma.

11. Menores de Idade

A Plataforma não é destinada a menores de 18 anos como Clientes ou Usuários. Dados de Pacientes menores de idade podem ser inseridos pelo Cliente exclusivamente no contexto de atendimento clínico, sob responsabilidade do profissional de saúde e com o consentimento do responsável legal, conforme legislação aplicável.

12. Atualizações desta Política

Podemos atualizar esta Política periodicamente. Mudanças materiais serão comunicadas por e-mail e/ou aviso na Plataforma com antecedência mínima de 15 dias. A data da última atualização está sempre indicada no topo deste documento.

O uso continuado da Plataforma após a entrada em vigor de uma nova versão constitui aceitação das alterações.

13. Contato

Para questões sobre esta Política, exercício de direitos LGPD ou qualquer dúvida sobre privacidade:

Você também pode registrar reclamações diretamente com a Autoridade Nacional de Proteção de Dados (ANPD): www.gov.br/anpd.