1. Dados que Coletamos
| Categoria | Exemplos | Finalidade | Base legal LGPD |
|---|---|---|---|
| Cadastrais | Nome, e-mail, CPF, registro profissional (CRM e outros conselhos), especialidade, telefone, endereço profissional, foto e carimbo de assinatura; em conta acadêmica, instituição e matrícula | Autenticação, emissão de documentos, cumprimento de obrigação profissional | Art. 7º, V (execução de contrato) + Art. 7º, II (cumprimento de obrigação legal) |
| Pagamento | Identificação do pagador, últimos 4 dígitos do cartão e histórico de faturas (cartão tokenizado no processador); nas compras pelos aplicativos, o recibo da loja | Cobrança de assinaturas, créditos e compras avulsas | Art. 7º, V (execução de contrato) |
| Uso e segurança | IP, registros de acesso, identificação do navegador ou aparelho, sessões ativas, eventos de autenticação e registros de auditoria de acesso a dados de pacientes | Segurança da informação, detecção de fraude, atendimento aos arts. 46 e 48 da LGPD | Art. 7º, IX (legítimo interesse) + Art. 7º, II (obrigação legal) |
| Telemetria de produto | Eventos de navegação e de uso de funcionalidades e erros técnicos, coletados por sistema próprio | Melhoria do produto, diagnóstico de falhas | Art. 7º, IX (legítimo interesse) |
| Dados de pacientes (categoria sensível) | Nome, data de nascimento, CPF, CNS, RG, endereço, contato, diagnósticos (CID), prescrições, procedimentos, registros de atendimento, anexos e, quando o profissional conecta um número, mensagens trocadas com o paciente | Emissão de documentos e registro do atendimento, conforme as instruções do profissional controlador | Art. 11, II, "a" (consentimento, quando exigível) + Art. 11, II, "f" (tutela da saúde) |
| Certificados digitais | Certificado digital e chave privada emitidos pela plataforma para o profissional, armazenados cifrados | Assinatura digital dos documentos emitidos | Art. 7º, V (execução de contrato) + Lei 14.063/2020 |
| Outros perfis de acesso | Pacientes no portal, farmacêuticos e contas de recepção: nome, celular ou e-mail de contato, códigos de acesso e registros de acesso; identificação profissional declarada pelo farmacêutico | Autenticação e registro das operações feitas por cada perfil | Art. 7º, V (execução de contrato) + Art. 7º, IX (legítimo interesse) |
| Comunidade e Marketplace | Nome e perfil profissional exibidos aos membros dos grupos de que você participa; para Criadores de Conteúdo, dados fiscais e de recebimento | Compartilhamento de catálogo entre profissionais e repasse de vendas | Art. 7º, V (execução de contrato) |
2. Papéis
Nas operações envolvendo dados de pacientes, o profissional de saúde (usuário da plataforma) atua como Controlador. O MedComposer atua como Operador, tratando os dados exclusivamente conforme instruções do Controlador e para as finalidades do Serviço. Os detalhes desse arranjo (segurança, incidentes, direitos dos titulares e término) estão no Anexo A dos Termos de Uso.
3. Compartilhamento e Suboperadores
Contratamos suboperadores apenas para finalidades específicas, com cláusulas contratuais de proteção e sem revenda de dados:
| Suboperador | Dado enviado | Finalidade | Local |
|---|---|---|---|
| Provedor de infraestrutura em nuvem | Dados armazenados e processados pela aplicação | Hospedagem da aplicação e do banco de dados | Brasil |
| Cópia de segurança off-site | Backup cifrado do banco de dados | Recuperação de desastre | Exterior |
| Provedor de e-mail transacional | E-mail, nome e conteúdo das mensagens transacionais | Verificação de conta, redefinição de senha, convites e alertas | Conforme a infraestrutura contratada |
| Stripe | Nome, e-mail, CPF (opcional) e dados tokenizados do pagamento | Processamento de pagamentos feitos pela web | Infraestrutura global conforme o contrato do provedor |
| Apple App Store e Google Play | Identificador da transação e recibo da compra feita pelo aplicativo | Cobrança de assinaturas e pacotes contratados pelos aplicativos para iOS e Android | Infraestrutura global conforme o contrato de cada loja |
| Autoridade de carimbo do tempo (TSA) | Resumo criptográfico do documento (não contém dado pessoal) | Carimbo do tempo da assinatura digital | EUA |
| Certillion (quando selecionado pelo profissional) | Identificação do titular do certificado e dados técnicos necessários à assinatura | Assinatura qualificada ICP-Brasil em nuvem | Conforme a infraestrutura contratada do provedor |
| Provedores de modelos de linguagem e de transcrição (somente com recurso de IA acionado por você) | Conteúdo necessário ao recurso acionado: áudio da consulta ou de mensagens para transcrição, texto do atendimento em curso, trecho selecionado no editor, pedido escrito ao assistente e material enviado para importação de modelos | Recursos descritos no §8 dos Termos de Uso, sob contrato que veda uso para treinamento de modelos | EUA |
| Provedor de envio de SMS | Número de celular e conteúdo do SMS transacional (código de verificação — sem conteúdo clínico) | Verificação de celular e autenticação por SMS | Brasil |
| WhatsApp Business Platform (Meta Platforms) | Número de celular e conteúdo das mensagens enviadas pela plataforma (códigos, links e avisos operacionais) e, quando você conecta um número à sua conta, as conversas com pacientes e as mídias enviadas e recebidas por esse número | Autenticação, avisos operacionais e atendimento por mensagens (integração opcional) | EUA / infraestrutura global |
| Autoridades públicas | Conforme ordem judicial | Cumprimento de obrigação legal | Brasil |
As páginas do aplicativo podem carregar fontes tipográficas de um provedor externo (Google Fonts) e, em telas de integração, o componente oficial do parceiro (por exemplo, o conector da Meta para vincular um número de WhatsApp). Esses provedores recebem apenas os dados técnicos da requisição, como o endereço IP.
Dados identificáveis não são vendidos nem cedidos a terceiros. Estatísticas agregadas e anonimizadas, que não identificam paciente nem profissional, podem ser utilizadas conforme a Seção 4. Não usamos serviços de analytics ou de publicidade de terceiros; a telemetria de produto é própria e fica em nossos servidores.
4. Teleconsulta, IA e Estatísticas
- Teleconsulta: o áudio e o vídeo trafegam criptografados entre os dispositivos dos participantes e não são gravados nem armazenados em nossos servidores. Armazenamos os metadados da sessão (agendamento e consentimento do paciente com data, hora e origem) e o que o profissional registrar no prontuário. A transcrição durante a chamada, se acionada pelo profissional, segue a regra dos recursos de IA.
- Recursos de IA: operam somente quando acionados pelo profissional, enviando aos provedores listados na Seção 3 apenas o conteúdo necessário à função. Detalhes e responsabilidades no §8 dos Termos de Uso.
- Estatísticas: podemos produzir estatísticas agregadas e anonimizadas, que não permitem identificar paciente nem profissional, para operar, aprimorar e estudar o uso do Serviço.
5. Integrações com o Google (opcionais)
O MedComposer oferece duas integrações com a conta Google do próprio profissional: Google Agenda e Google Drive. Ambas são opcionais, ficam desligadas até que você as conecte e usam acesso limitado pelas APIs do Google apenas aos dados criados pelo próprio aplicativo. O MedComposer não tem acesso aos seus demais calendários, arquivos, e-mails ou contatos.
| Integração | Permissão solicitada ao Google | O que o MedComposer faz | O que não faz |
|---|---|---|---|
| Google Agenda | calendar.app.created, além de e-mail e identificação básica da conta (openid, email) | Cria na sua conta um calendário próprio chamado “MedComposer - Agenda” e mantém nele os seus compromissos, nos dois sentidos: o que você agenda no MedComposer aparece nesse calendário, e alterações feitas nele voltam para a agenda do MedComposer. | Não lê nem altera nenhum outro calendário seu. Os eventos enviados levam apenas data, horário, tipo genérico (por exemplo, “Consulta”) e o nome do local — nunca o nome do paciente, anotações ou qualquer dado clínico. |
| Google Drive | drive.file, além de e-mail e identificação básica da conta (openid, email) | Quando você escolhe o Drive como local de armazenamento dos anexos de pacientes, os arquivos que você anexa são gravados numa pasta criada pelo aplicativo no seu Drive. O MedComposer também consulta o espaço disponível na conta para mostrar o uso. | Não lê, lista nem altera arquivos que não tenham sido criados pelo próprio aplicativo. |
Uso limitado. O uso e a transferência, para qualquer outro aplicativo, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado (Limited Use). Em particular, os dados obtidos do Google:
- são usados somente para fornecer e manter a integração que você ativou;
- não são vendidos, não são usados para publicidade e não são transferidos a terceiros, salvo quando necessário para operar a própria integração, por exigência legal ou com sua autorização;
- não são usados para treinar modelos de inteligência artificial;
- não são lidos por pessoas da nossa equipe, salvo com sua autorização expressa, para fins de segurança ou por exigência legal.
Credenciais e desconexão. As credenciais de acesso concedidas pelo Google são armazenadas de forma criptografada nos nossos servidores. Você pode desconectar qualquer das integrações a qualquer momento pelo próprio MedComposer, o que revoga o acesso concedido. Ao desconectar o Google Agenda, o calendário “MedComposer - Agenda” é removido da sua conta; ao desconectar o Google Drive, os arquivos já gravados permanecem no seu Drive, sob seu controle. O acesso também pode ser removido diretamente em myaccount.google.com/permissions.
Ao usar o Google Drive para anexos, os arquivos ficam armazenados na infraestrutura do Google, na conta do próprio profissional, que continua sendo o Controlador desses dados (Seção 2).
6. Retenção
- Dados cadastrais: durante a vigência da conta + 5 anos (prescrição civil).
- Documentos, prontuários, anexos e conversas vinculadas à sua conta: durante a vigência da conta. Após o encerramento, aplicam-se as janelas de exportação e eliminação do §9 dos Termos de Uso. O dever legal de guarda do prontuário (como regra, 20 anos, Lei 13.787/2018) é do profissional ou estabelecimento Controlador, que deve manter exportações próprias.
- Registros públicos de validação de documentos assinados já emitidos: mantidos para proteger quem recebeu o documento.
- Logs de acesso: 6 meses (Marco Civil da Internet, art. 15).
- Dados de pagamento: 5 anos (prescrição tributária) e obrigações do processador de pagamento.
- Registros de uso dos recursos de IA: mantidos para controle de consumo, segurança e melhoria do recurso, com acesso restrito.
7. Segurança
- Senhas armazenadas apenas como hash criptográfico.
- Dados de cartão não são armazenados em nossos servidores; a tokenização fica com o processador de pagamento, certificado PCI DSS.
- Certificados digitais e credenciais de integração armazenados de forma criptografada. Certificados em token físico são lidos por um componente instalado na máquina do usuário, e a chave privada não sai do dispositivo.
- Criptografia em trânsito em todas as conexões.
- Autenticação em duas etapas opcional: aplicativo autenticador, e-mail, WhatsApp ou SMS.
- Isolamento de dados por organização, registros de auditoria de acesso a dados de pacientes e backups cifrados.
8. Seus Direitos (LGPD Art. 18)
Você pode, a qualquer momento:
- Confirmar existência de tratamento.
- Acessar seus dados.
- Corrigir dados incompletos ou desatualizados.
- Solicitar anonimização, bloqueio ou eliminação.
- Portar seus dados para outro fornecedor (formato estruturado).
- Revogar consentimento (quando aplicável).
- Peticionar perante a ANPD.
Para exercer esses direitos, envie solicitação para dpo@medcomposer.com. Respondemos em até 15 dias (LGPD, art. 19, II).
Pedidos de pacientes sobre dados registrados por um profissional devem ser dirigidos ao profissional (Controlador), conforme o Anexo A dos Termos; se um paciente nos contatar diretamente, o orientaremos a procurá-lo, ressalvadas as hipóteses em que a lei nos obrigue a agir.
Se não ficar satisfeito com nossa resposta, você pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd/pt-br/canais_atendimento/cidadao.
9. Cookies
Usamos apenas cookies e armazenamento local essenciais ao funcionamento do Serviço (sessão, segurança e preferências de uso). Não usamos cookies de publicidade nem de rastreamento entre sites.
10. Menores
O Serviço não se destina a menores de 18 anos. Dados de pacientes menores são tratados sob responsabilidade do profissional de saúde (Controlador) e de seus pais/responsáveis.
11. Transferência Internacional
Alguns suboperadores processam dados fora do Brasil (ver Seção 3). A transferência é amparada por cláusulas contratuais e limitada ao necessário:
- Stripe (EUA/Irlanda): cláusulas contratuais padrão e certificação PCI DSS.
- Apple e Google (EUA / infraestrutura global): compras feitas pelos aplicativos para iOS e Android.
- Carimbo do tempo (EUA): recebe apenas resumo criptográfico, sem dado pessoal.
- Provedores de modelos de linguagem e de transcrição (EUA): somente com o recurso acionado pelo profissional, sob contrato que veda retenção para treinamento.
- WhatsApp / Meta (EUA): mensagens de autenticação e avisos e, se você conectar um número à sua conta, as conversas dessa integração.
- Backup off-site (exterior): cópia cifrada de recuperação de desastre.
- Google (EUA / infraestrutura global): somente se você conectar o Google Agenda ou o Google Drive (Seção 5), na sua própria conta Google.
12. Atualizações
Alterações relevantes serão comunicadas por e-mail com 15 dias de antecedência ou, quando exigirem novo aceite, apresentadas no próprio aplicativo.