Política de Privacidade

1. Quem decide sobre os dados

Dados dos pacientes e de quem conversa com uma clínica pelo WhatsApp: a clínica é a controladora. Nós somos operadores: tratamos esses dados apenas para prestar o serviço à clínica, segundo as instruções dela e um contrato de tratamento de dados (DPA) assinado com cada clínica.

Dados das contas da equipe da clínica, de quem preenche o formulário de contato do nosso site e de quem visita nossas páginas: nós somos os controladores.

2. Quais dados tratamos

• Conta da equipe da clínica: nome, e-mail, papel (dono, recepção, marketing), senha guardada apenas como hash, registro de ações no sistema (por exemplo, quem respondeu uma conversa ou marcou um agendamento).
• Conversas do WhatsApp recebidas pela API oficial (WhatsApp Business Platform da Meta): número de telefone, nome do perfil do WhatsApp, texto das mensagens, horário e status de entrega. Fotos e áudios ficam na Meta e são buscados apenas quando a equipe abre a conversa; não guardamos o arquivo.
• Origem da conversa: o anúncio da Meta que levou à mensagem (identificador, título e texto do anúncio, identificador do clique), ou a página do site da clínica, os parâmetros UTM e os identificadores de clique (gclid, fbclid) registrados pelo script da clínica.
• O que a equipe da clínica registra: etapa da conversa, agendamentos, serviço, convênio, valor, notas, categoria (por exemplo, motivo de perda) e consentimento do paciente para receber mensagens de marketing.
• Script no site da clínica: guarda no navegador do visitante (localStorage, sem cookies) como ele chegou ao site, por até 30 dias, e envia isso ao clicar em um link do WhatsApp. Se a clínica ativar o formulário prévio, o telefone digitado e o consentimento.
• Formulário de contato do nosso site: nome, clínica, telefone, e-mail e mensagem.
• Cookies do painel: sessão de login, idioma escolhido e clínica selecionada. São necessários para o funcionamento; não usamos cookies de publicidade.

3. Dados de saúde

Mensagens de pacientes podem conter dados sensíveis, como informações de saúde. Tratamos esses dados apenas em nome da clínica e para o serviço contratado, com acesso restrito por papel. A clínica é responsável pela base legal do tratamento (por exemplo, tutela da saúde ou execução de contrato com o paciente) e pelo consentimento exigido para mensagens de marketing.

4. Para que usamos os dados e com qual base legal

Não vendemos dados, não usamos dados de pacientes para publicidade própria e não usamos dados recebidos da Meta para outro fim que não seja prestar o serviço à clínica.

• Prestar o serviço à clínica (caixa de entrada, agendamentos, lembretes, campanhas, relatório): execução do contrato com a clínica; para os dados dos pacientes, conforme as instruções da clínica.
• Mostrar à clínica de qual anúncio, página ou link veio cada conversa: execução do contrato com a clínica.
• Leitura automática por IA, apenas quando a clínica ativa: um resumo e uma sugestão de categoria de cada conversa, que a equipe confirma ou corrige. Antes do envio ao modelo, nomes, telefones e e-mails são retirados do texto. Se a transcrição de áudios estiver ativada, o áudio é enviado ao modelo para virar texto e não pode ser anonimizado antes.
• Segurança e prevenção de abuso (bloqueio após senhas erradas, registros técnicos): legítimo interesse.
• Responder a quem preenche o formulário de contato: procedimentos preliminares a um contrato, a pedido do titular.
• Cumprir obrigações legais e defender direitos: obrigação legal e exercício regular de direitos.

5. Com quem compartilhamos

Usamos estes fornecedores (suboperadores), cada um com contrato e apenas para o necessário:

• Meta Platforms (WhatsApp Business Platform): envio e recebimento das mensagens, modelos de mensagem aprovados pela Meta.
• Vercel Inc.: hospedagem da aplicação, em servidores no Brasil (São Paulo).
• Supabase Inc.: banco de dados, em servidores no Brasil (São Paulo).
• OpenRouter Inc. (Estados Unidos) e o provedor do modelo de IA escolhido: apenas para a leitura por IA, quando ativada, com o texto sem nomes nem telefones e com a opção de não reter dados ativada.

6. Transferência internacional

Os dados das clínicas e dos pacientes ficam guardados em servidores no Brasil. Eles saem do Brasil apenas em três casos: (a) a leitura por IA, quando a clínica a ativa, envia o texto já sem nomes nem telefones ao OpenRouter e ao provedor do modelo, nos Estados Unidos; (b) a própria Meta trata as mensagens do WhatsApp na sua infraestrutura, também fora do Brasil; (c) nossa equipe, na Polônia (União Europeia), acessa o painel para dar suporte. Essas transferências seguem o art. 33 da LGPD, com cláusulas contratuais padrão (Resolução CD/ANPD nº 19/2024) ou outro mecanismo previsto em lei, e, na União Europeia, as regras do RGPD.

7. Por quanto tempo guardamos

• Dados da clínica e de seus pacientes: enquanto o contrato com a clínica estiver ativo. Depois do fim do contrato, ou a pedido da clínica, excluímos em até 90 dias, salvo o que a lei exigir guardar.
• Contas da equipe: até a clínica desativar o usuário ou encerrar o contrato.
• Formulário de contato: até 12 meses depois do último contato, se não houver contrato.
• Registros técnicos de segurança: até 6 meses.

8. Segurança

Conexões cifradas (HTTPS); os dados de cada clínica ficam separados e cada usuário vê apenas o que o seu papel permite; senhas guardadas como hash; bloqueio da conta após cinco senhas erradas; chaves de acesso da Meta de cada clínica guardadas cifradas; mensagens recebidas da Meta são aceitas apenas com assinatura válida.

9. Seus direitos

Você pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade, exclusão, informação sobre compartilhamento e revogação de consentimento (art. 18 da LGPD).

Se você é paciente ou conversou com uma clínica pelo WhatsApp, fale primeiro com a clínica: ela decide sobre os seus dados. Se você nos escrever, encaminhamos o pedido à clínica em até 5 dias úteis e a apoiamos na resposta. Para exclusão, veja também a página Exclusão de dados.

Para dados que controlamos (contas da equipe, formulário de contato), escreva para contact@docpulso.com. Respondemos em até 15 dias. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

10. Encarregado (DPO)

Encarregado pelo tratamento de dados pessoais: Philippe Skibniewski, contact@docpulso.com.

11. Crianças e adolescentes

O painel é para profissionais das clínicas, não para crianças. Se uma clínica atende menores, ela é responsável pelo consentimento dos pais ou responsáveis exigido pela lei.

12. Mudanças nesta política

Podemos atualizar esta política. A data no topo mostra a última versão. Mudanças importantes são avisadas às clínicas com antecedência.