Política de Privacidade

1. Quem somos e a quem esta política se aplica

O OrbitaMed, operado por [razão social], inscrita no CNPJ [CNPJ], com sede em [endereço], é uma plataforma de gestão para clínicas e consultórios: agenda, prontuário, atendimento por WhatsApp, funil comercial, documentos, financeiro e recursos de inteligência artificial.

Esta política explica como tratamos dados pessoais de três grupos de pessoas: (a) os usuários da plataforma — titulares, médicos, secretárias e equipe das clínicas; (b) os pacientes e interessados (leads) cujos dados as clínicas registram no sistema; e (c) os visitantes das nossas páginas de venda que deixam o contato para conhecer o OrbitaMed.

2. Nosso papel no tratamento dos dados

• Dados dos usuários e das clínicas contratantes: o OrbitaMed é o CONTROLADOR, pois decide como esses dados são usados para prestar o serviço.
• Dados de visitantes que deixam o contato nas páginas de venda: o OrbitaMed é o CONTROLADOR.
• Dados de pacientes e leads: a CLÍNICA é a controladora. O OrbitaMed atua como OPERADOR, tratando esses dados apenas para executar as funções do sistema, conforme as instruções da clínica e o contrato.
• Por isso, pedidos de pacientes sobre seus dados (acesso, correção, eliminação) devem ser feitos primeiro à clínica. Ajudamos a clínica a atendê-los.

3. Quais dados tratamos

• Cadastro de usuários: nome, e-mail, telefone, cargo, registro profissional (CRM) e credenciais de acesso.
• Dados da clínica: nome, CNPJ, endereço, telefone, áreas de atuação e configurações.
• Dados técnicos e de uso: endereço IP, navegador, data e hora de acesso, registros de auditoria (quem viu ou alterou cada informação) e registros de erro.
• Contatos das páginas de venda: nome, WhatsApp, e-mail e nome da clínica (quando informados), o interesse escolhido (teste grátis, conversa com especialista ou simulação), o plano e o ciclo que estava vendo, a página de origem, o endereço IP, o navegador e a data do envio.
• Pagamento: plano contratado e situação da assinatura. Os dados de cartão e de pagamento são tratados pela plataforma de pagamento (Greenn); o OrbitaMed não armazena dados de cartão.
• Dados inseridos pela clínica sobre pacientes e leads: identificação e contato, histórico de atendimento, prontuário, exames, documentos clínicos, conversas de WhatsApp, e — quando a clínica usa esses recursos e com o consentimento do paciente — gravações e transcrições de consulta. Dados de saúde são dados pessoais sensíveis e recebem proteção reforçada.

4. Para que usamos os dados e com qual base legal

• Prestar o serviço contratado: criar contas, dar acesso, armazenar e exibir as informações da clínica, enviar e-mails de acesso e avisos do sistema — execução de contrato (art. 7º, V, da LGPD).
• Cumprir obrigações legais e regulatórias, como a guarda de registros de acesso (Marco Civil da Internet, art. 15) e o apoio à guarda de prontuários (Lei 13.787/2018 e Resolução CFM 1.638/2002) — obrigação legal (art. 7º, II).
• Dados de saúde de pacientes: tratados pela clínica para tutela da saúde, por profissionais de saúde (art. 11, II, f), e pelo OrbitaMed apenas como operador.
• Segurança, prevenção a fraudes, controle de tentativas de acesso e melhoria do produto com dados agregados — legítimo interesse (art. 7º, IX), sempre respeitando os direitos dos titulares.
• Comunicações de marketing e gravação de consultas: somente com consentimento, que pode ser retirado a qualquer momento.
• Contatos das páginas de venda: usados apenas para responder ao pedido feito (liberar o teste grátis, marcar a conversa com um especialista ou enviar a simulação) e falar sobre o OrbitaMed por WhatsApp e e-mail — consentimento (art. 7º, I), dado ao marcar a autorização no formulário. O endereço IP e o navegador servem para evitar envios automáticos e abuso — legítimo interesse (art. 7º, IX). Esses contatos são vistos apenas pela equipe comercial e de suporte do OrbitaMed, nunca pelas clínicas, e não são vendidos nem cedidos.

5. Inteligência artificial

Alguns recursos (como a assistente Noah, a análise e a transcrição de consultas, a geração de roteiros e a tradução de artigos) enviam o conteúdo necessário a provedores de inteligência artificial para gerar o resultado pedido pelo usuário. Esse envio acontece apenas quando o recurso é usado, e o resultado é devolvido à clínica.

O OrbitaMed não vende dados e não usa dados de pacientes para treinar modelos próprios. As sugestões da IA são apoio ao trabalho da equipe e não substituem o julgamento clínico do profissional de saúde.

6. Com quem compartilhamos

Compartilhamos dados somente com fornecedores necessários para o funcionamento da plataforma, que atuam como suboperadores e estão sujeitos a obrigações de confidencialidade e segurança:

• Supabase — banco de dados, autenticação e armazenamento de arquivos.
• Cloudflare — hospedagem e entrega do aplicativo.
• Lovable AI Gateway, com modelos do Google (Gemini) e da OpenAI — recursos de inteligência artificial e transcrição.
• Resend — envio de e-mails transacionais.
• Evolution API — conexão com o WhatsApp da clínica.
• ZapSign — assinatura eletrônica de documentos.
• Greenn — processamento de pagamentos e assinaturas.
• Tavily — pesquisa na web em recursos que consultam informações públicas.
• Google — login com conta Google, quando o usuário escolhe essa opção.
• Autoridades públicas, quando houver obrigação legal ou ordem judicial.

7. Transferência internacional

Alguns fornecedores processam dados fora do Brasil. Nesses casos, a transferência ocorre para cumprir o contrato e com salvaguardas adequadas, como cláusulas contratuais e padrões de segurança reconhecidos, nos termos do art. 33 da LGPD.

8. Por quanto tempo guardamos

• Dados de conta e da clínica: enquanto o contrato estiver ativo e, depois, pelo prazo necessário para cumprir obrigações legais e exercer direitos.
• Registros de acesso: no mínimo 6 meses, conforme o Marco Civil da Internet.
• Contatos das páginas de venda: até 12 meses após o envio, se não virarem contratação, ou antes, se a pessoa pedir a exclusão ou retirar o consentimento. Depois disso são apagados automaticamente.
• Prontuários: a guarda por no mínimo 20 anos é obrigação da clínica (Lei 13.787/2018). Ao encerrar o contrato, a clínica pode exportar os prontuários pelo próprio sistema antes da exclusão.
• Depois desses prazos, os dados são eliminados ou anonimizados.

9. Como protegemos os dados

• Conexão criptografada (HTTPS) em todo o acesso.
• Separação por clínica no banco de dados: cada clínica só acessa os próprios dados.
• Perfis de acesso por cargo, verificação em duas etapas e registro de auditoria das ações.
• Acesso interno restrito à equipe que precisa dele para dar suporte.
• Em caso de incidente de segurança que possa gerar risco ou dano relevante, comunicaremos a clínica, os titulares afetados e a ANPD, conforme a lei.

10. Seus direitos

Nos termos do art. 18 da LGPD, você pode pedir: confirmação de que tratamos seus dados, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade, informação sobre compartilhamentos, e revogação do consentimento. Usuários da plataforma podem fazer o pedido pelo e-mail [e-mail de privacidade]. Pacientes devem procurar a clínica responsável pelo atendimento.

11. Cookies e armazenamento no navegador

Usamos apenas o armazenamento necessário para o funcionamento: manter a sessão de login (inclusive a opção “manter conectado”), lembrar preferências como o tema claro ou escuro, e carregar fontes do Google Fonts. Não usamos cookies de publicidade.

12. Encarregado de dados (DPO)

O encarregado pelo tratamento de dados pessoais do OrbitaMed é [nome do encarregado], que pode ser contatado pelo e-mail [e-mail de privacidade].

13. Alterações desta política

Podemos atualizar esta política. Quando a mudança for relevante, a nova versão será exibida no sistema e o aceite será solicitado novamente. A data da versão vigente aparece no topo deste documento.