Política de Privacidade — Plataforma Nittida

Documento aplicável ao canal de produto Nittida (gestão de clínicas e consultórios).

Esta Política de Privacidade ("Política") descreve como a plataforma Nittida ("Plataforma"), operada pela equipe da plataforma Minha Leve Rotina ("nós"), trata dados pessoais no contexto da contratação e do uso do serviço por clínicas e consultórios ("Contratante", "Clínica"). Ela complementa os Termos de Uso e observa a Lei nº 13.709/2018 (LGPD), o Marco Civil da Internet (Lei nº 12.965/2014) e as normas aplicáveis dos conselhos profissionais.

1. Papéis no tratamento de dados

A Plataforma opera com dois papéis distintos, e isso define responsabilidades:

| Conjunto de dados | Papel da Plataforma | Papel da Clínica | |---|---|---| | Dados do Contratante, do Responsável pela Conta e da Equipe (cadastro, acessos, cobrança, suporte) | Controladora | Titular/fonte dos dados | | Dados de Pacientes registrados na Plataforma (agenda, prontuário, financeiro do paciente, comunicações) | Operadora — trata por conta e ordem da Clínica | Controladora — define finalidades e responde perante os titulares |

Para exercício de direitos sobre Dados de Pacientes, o canal competente é a própria Clínica (controladora). A Plataforma disponibiliza à Clínica ferramentas para esse atendimento (Portal do DPO) e, quando acionada diretamente por um paciente, encaminhará a solicitação à Clínica responsável.

2. Dados que coletamos (como controladora)

• Cadastro e conta: nome do responsável, e-mail, telefone/WhatsApp, dados da clínica (razão/nome, CNPJ quando aplicável, endereço, registro profissional e documentos de validação).
• Equipe: nome, e-mail, papel e vínculos configurados pelo Contratante.
• Cobrança: plano, ciclo, histórico de pagamentos. Dados completos de cartão são tratados diretamente pelas instituições de pagamento parceiras — não os armazenamos.
• Uso e segurança: registros de acesso (IP, dispositivo, data/hora), trilhas de auditoria e logs técnicos necessários à segurança e à comprovação de conformidade (Art. 15 do Marco Civil).
• Comunicações: mensagens trocadas com nosso suporte e aceites registrados (versão do documento, hash, IP, data/hora).

3. Finalidades e bases legais (como controladora)

| Finalidade | Base legal (LGPD) | |---|---| | Criar e manter a conta, validar o cadastro, prestar o serviço | Execução de contrato (Art. 7º, V) | | Cobrança e emissão de documentos fiscais | Execução de contrato e obrigação legal (Art. 7º, II e V) | | Segurança, prevenção a fraudes, trilhas de auditoria | Legítimo interesse e obrigação legal (Art. 7º, II, IX; Art. 10) | | Registro de aceites de termos e consentimentos | Cumprimento de obrigação legal/regulatória e exercício regular de direitos (Art. 7º, II e VI) | | Comunicações operacionais (avisos de serviço, mudanças de termos, incidentes) | Execução de contrato e obrigação legal | | Comunicações de novidades do produto | Legítimo interesse, com opção de descadastro |

4. Dados de Pacientes (como operadora)

4.1. A Clínica registra na Plataforma dados de seus pacientes, incluindo dados sensíveis de saúde (prontuário, evoluções, documentos clínicos, agendamentos, consentimentos e registros financeiros do atendimento).

4.2. Tratamos esses dados exclusivamente para executar as funcionalidades contratadas pela Clínica, conforme suas instruções refletidas na configuração e no uso do sistema. Não usamos Dados de Pacientes para publicidade nem os compartilhamos fora dos suboperadores necessários ao serviço.

4.3. Recursos de IA processam dados de sessões somente quando habilitados pela Clínica e sujeitos aos consentimentos específicos aplicáveis (gravação, transcrição, análise). Todo acesso a dados sensíveis por recursos de IA é registrado em trilha de auditoria própria. Conteúdo gerado com apoio de IA é apoio à equipe profissional — a decisão é sempre humana.

4.4. Dados agregados e anonimizados (sem identificação de clínicas ou pacientes) podem ser usados para estatísticas, segurança e melhoria do produto (Art. 12 da LGPD).

5. Suboperadores e compartilhamento

Utilizamos prestadores estritamente necessários à operação ("suboperadores"), com contratos e salvaguardas adequados:

• Infraestrutura e banco de dados: Supabase (infraestrutura em nuvem AWS) e Vercel (hospedagem da aplicação).
• Backups: armazenamento criptografado em provedor independente (Cloudflare R2).
• E-mails transacionais: Resend.
• Pagamentos: instituições de pagamento parceiras (ex.: Mercado Pago).
• Assinatura eletrônica: ZapSign (quando habilitada pela Clínica).
• Mensageria WhatsApp: Meta Platforms (quando habilitada pela Clínica).
• Recursos de IA: provedores configuráveis pela Clínica (ex.: OpenAI, Google, AWS Bedrock), acionados apenas para as funções habilitadas.
• Notificações push e serviços dos aplicativos: Google/Firebase e Apple.

Alguns suboperadores processam dados fora do Brasil. Nesses casos, a transferência internacional observa o Art. 33 da LGPD, com base em cláusulas contratuais e garantias de proteção adequadas dos provedores.

Além dos suboperadores, dados podem ser compartilhados: (a) por obrigação legal ou ordem de autoridade competente; (b) para proteção de direitos em processos; (c) em operações societárias, preservada esta Política.

Não vendemos dados pessoais.

6. Segurança

Adotamos medidas técnicas e administrativas compatíveis com a sensibilidade dos dados tratados:

• Isolamento por clínica (Row Level Security) e controle de acesso por perfil de tela;
• Criptografia em trânsito (TLS) e em repouso; criptografia adicional em nível de aplicação para credenciais críticas;
• Trilha de auditoria de acessos ao prontuário (quem, quando, de onde), com retenção de 5 anos;
• Anotações privadas de profissionais visíveis apenas ao autor, com acesso excepcional somente por custódia formal auditada;
• Documentos clínicos emitidos com trava de imutabilidade, numeração sequencial e hash de integridade;
• Backups diários criptografados (AES-256) em provedor independente, com restauração validada a cada execução;
• Registro e gestão de incidentes de segurança, com avaliação de notificação à ANPD (Art. 48 da LGPD; Resolução CD/ANPD nº 15/2024).

Nenhum sistema é imune a riscos. Comprometemo-nos a comunicar incidentes relevantes nos termos da regulamentação.

7. Retenção e eliminação

• Conta ativa: dados mantidos enquanto durar a relação contratual.
• Após o término: exportação disponível por 60 dias; depois, eliminação ou anonimização, ressalvadas retenções legais — registros de saúde e trilhas de auditoria (5 anos), documentos fiscais (5 anos) e registros de acesso a aplicações (6 meses, Art. 15 do Marco Civil).
• Aceites e consentimentos: mantidos pelo prazo prescricional, como evidência de conformidade.

8. Direitos dos titulares (Art. 18 da LGPD)

Titulares podem solicitar: confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação (quando cabível), informação sobre compartilhamentos, revogação de consentimento e revisão de decisões automatizadas.

• Dados do Contratante/Equipe: solicite pelos canais de suporte da Plataforma.
• Dados de Pacientes: dirija a solicitação à Clínica responsável (controladora). A Plataforma oferece às clínicas um canal público do titular e o Portal do DPO para processar essas solicitações com prazo controlado.

9. Cookies e tecnologias de medição

Utilizamos cookies essenciais (sessão, segurança) e, mediante consentimento no banner, cookies analíticos para entender o uso do site e melhorar a experiência. Preferências podem ser revistas a qualquer momento em "Gerenciar cookies".

10. Crianças e adolescentes

O cadastro e a gestão da conta destinam-se a maiores de 18 anos. Dados de pacientes menores de idade são registrados pela Clínica, a quem cabe observar o Art. 14 da LGPD (consentimento do responsável) — a Plataforma disponibiliza modelos de consentimento específicos para esse fim.

11. Alterações desta Política

Esta Política é versionada. Alterações serão publicadas com nova versão e comunicadas pelo sistema de notificações do Portal; alterações materiais exigem novo aceite do Responsável pela Conta, registrado para auditoria.

12. Encarregado e contato

Solicitações sobre dados pessoais, incidentes ou dúvidas sobre esta Política devem ser dirigidas ao canal do Encarregado (DPO) da Plataforma pelo e-mail de contato indicado no Portal e na página do produto. Responderemos nos prazos da LGPD e da regulamentação da ANPD.