Política de Privacidade

1.Nosso papel: quando somos controlador e quando somos operador

Esta distinção define quem responde por cada dado e é a base de todo o restante deste documento.

Somoscontroladoresdos dados de nossos próprios clientes: o cadastro da clínica, o nome e o e-mail dos usuários, os dados de cobrança e os registros de uso da plataforma.

Somosoperadoresdos dados de pacientes que a clínica insere. A clínica decide o que registrar e por quê; nós apenas armazenamos e processamos conforme suas instruções, sem uso próprio.

2.Dados que tratamos

Da clínica e de seus usuários:razão social ou nome, CNPJ ou CPF, endereço, estado e cidade, nome e e-mail de cada usuário, papel na organização e histórico de acessos administrativos.

Dos pacientes, inseridos pela clínica:nome, telefone, data do atendimento, tipo de atendimento e serviços realizados, forma de pagamento, valor e observações internas.

De uso e técnicos:endereço IP, data e hora de acesso, tipo de navegador e registros de erro, necessários à segurança e ao funcionamento.

Financeiros:plano contratado, período de vigência e situação da assinatura. Como o pagamento é feito por Pix diretamente com o suporte,não coletamos nem armazenamos dados de cartão de créditoem momento algum.

3.Dados sensíveis de saúde

Quando a clínica registra o nome de um paciente vinculado a um tipo de atendimento ou procedimento, esse conjunto constituidado pessoal sensível, na definição do art. 5º, II, da LGPD, por revelar informação referente à saúde de pessoa identificada.

Tratamos esses dados exclusivamente como operadores, sob as instruções da clínica controladora, com as medidas técnicas descritas na seção 7. Não os utilizamos para publicidade, perfilamento, venda ou qualquer finalidade própria.

Orientamos as clínicas a registrar apenas o necessário à gestão financeira, evitando descrições clínicas, diagnósticos ou qualquer informação que exceda essa finalidade.

4.Finalidades e bases legais

• Prestar o serviço contratado— execução de contrato (art. 7º, V).
• Cobrança e faturamento— execução de contrato e cumprimento de obrigação legal (art. 7º, V e II).
• Segurança, prevenção a fraude e registros de acesso— legítimo interesse e obrigação legal (art. 7º, IX e II).
• Suporte ao cliente— execução de contrato (art. 7º, V).
• Dados de pacientes— tratados como operador; a base legal é definida pela clínica controladora.
• Comunicações sobre o produto— legítimo interesse, com possibilidade de descadastro a qualquer momento.

5.Com quem compartilhamos

Não vendemos dados pessoais.O compartilhamento se limita a fornecedores necessários à operação, que atuam como suboperadores e estão obrigados contratualmente a proteger as informações:

• LovableeSupabase— hospedagem da aplicação, banco de dados e envio de e-mails de convite e recuperação de senha;
• instituição financeira do Cliente— o pagamento é feito por Pix diretamente à Showa Marketing, sem intermediário que receba dados pessoais dos pacientes;
• autoridades públicas, quando houver determinação legal ou judicial.

6.Transferência internacional de dados

A aplicação em si é entregue por uma rede de distribuição global, com pontos de presença em diversos países, inclusive no Brasil. Essa camada apenasentrega a interface e processa a requisição; ela não armazena os dados da clínica nem de seus pacientes, que permanecem em repouso exclusivamente no banco de dados descrito acima.

Essa transferência internacional observa o art. 33 da LGPD, amparada nas cláusulas contratuais firmadas com os fornecedores de infraestrutura, que asseguram grau de proteção de dados pessoais compatível com o previsto na legislação brasileira. Ao utilizar a plataforma, o Cliente está ciente dessa condição, que deve ser considerada na avaliação de risco da própria clínica enquanto controladora.

7.Segurança da informação

Adotamos medidas técnicas e administrativas compatíveis com a natureza dos dados tratados:

• isolamento entre organizações aplicado no próprio banco de dados, verificado a cada consulta, e não apenas na interface;
• controle de acesso por papéis, com funções administrativas restritas;
• convites de acesso nominais, com link de uso único e validade de 7 dias;
• registro de auditoria das ações administrativas;
• criptografia em trânsito e senhas armazenadas sob algoritmo de derivação;
• rotinas de backup da base de dados.

Nenhum sistema é integralmente imune a incidentes. Comprometemo-nos a agir com diligência e a comunicar eventos relevantes conforme a seção 12.

8.Prazo de retenção

Não eliminamos dados automaticamente pelo fim da assinatura.Encerrado o período contratado sem renovação, os registros da clínica permanecem armazenados por tempo indeterminado, com o acesso limitado à consulta: a equipe deixa de poder inserir novos registros, mas continua podendo visualizar o histórico. A finalidade é permitir a retomada do serviço sem perda de informação.

A eliminação ocorrea pedido. O responsável pela clínica pode solicitá-la ao suporte a qualquer momento, e ela é executada de forma imediata e definitiva.

Independentemente disso, conservamos pelos prazos legais: documentos fiscais relativos aos pagamentos, conforme a legislação tributária, e registros de acesso à aplicação por 6 (seis) meses, conforme o art. 15 do Marco Civil da Internet.

Se você é paciente e deseja a eliminação dos seus dados, o pedido deve ser dirigido à clínica que os registrou, conforme a seção 10.

9.Direitos dos titulares

Nos termos do art. 18 da LGPD, você pode solicitar confirmação da existência de tratamento, acesso aos dados, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamentos e revogação de consentimento.

Solicitações devem ser feitas paraapp.doclytics@gmail.come serão respondidas nos prazos legais. Podemos solicitar informações adicionais para confirmar sua identidade, medida de segurança em seu próprio benefício.

10.Se você é paciente de uma clínica usuária

Se seus dados foram inseridos por uma clínica que usa o Doclytics,a clínica é a controladorae é a ela que seus pedidos devem ser dirigidos — é ela quem decide quais dados registrar e por quanto tempo mantê-los.

Se você nos procurar diretamente, encaminharemos sua solicitação à clínica responsável e a apoiaremos no atendimento, mas não podemos alterar ou excluir dados por conta própria sem instrução dela.

11.Cookies

Utilizamos apenas cookies e armazenamento localnecessários ao funcionamento: manutenção da sessão autenticada, preferências de interface e segurança. Por serem estritamente necessários à prestação do serviço, não dependem de consentimento prévio e não exibimos banner de cookies.

Não utilizamos cookies de publicidade, de rastreamento entre sites ou de perfilamento de visitantes. Caso venhamos a adotar ferramentas de medição de audiência ou de anúncios, esta Política será atualizada e passaremos a solicitar consentimento antes da ativação.

12.Incidentes de segurança

Havendo incidente que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os controladores afetados em prazo razoável, informando a natureza do ocorrido, os dados envolvidos e as medidas adotadas, conforme o art. 48 da LGPD.

13.Encarregado pelo tratamento de dados

Nosso encarregado pelo tratamento de dados pessoais (DPO) éVictor Lucas de Andrade, que pode ser contatado emapp.doclytics@gmail.com.

14.Alterações desta política

Esta Política pode ser atualizada. A data no topo indica a última revisão, e alterações relevantes serão comunicadas aos clientes por e-mail ou aviso na plataforma.