Política de privacidade

1. Quem é quem no tratamento

A clínica assinante é a controladora dos dados pessoais de seus pacientes e profissionais. O ClinicStack atua como operadora, tratando esses dados exclusivamente conforme as instruções da controladora e para a prestação do serviço.

Para dados de cadastro, navegação no site e cobrança, o ClinicStack é controlador. O encarregado pelo tratamento de dados (DPO) pode ser contatado em privacidade@clinicstack.com.br.

2. Dados que tratamos

Dependendo do uso, podemos tratar:

• Cadastro e acesso: nome, e-mail, telefone, senha protegida, IP e logs de sessão.
• Dados da clínica: razão social, CNPJ/CPF, endereço, equipe e permissões.
• Dados de pacientes: identificação, contato, CPF, data de nascimento, histórico clínico, anamnese, evoluções, fotos e documentos, fornecidos pela clínica.
• Dados financeiros: cobranças, notas, formas de pagamento e comissões.
• Dados de uso: funcionalidades acessadas, erros, métricas agregadas e registros de auditoria.

Dados de saúde são dados pessoais sensíveis e recebem proteção reforçada, incluindo criptografia em repouso e controle de acesso por papel.

3. Bases legais

• Execução de contrato e procedimentos preliminares (art. 7º, V).
• Tutela da saúde, em procedimento realizado por profissionais de saúde (art. 11, II, f).
• Cumprimento de obrigação legal ou regulatória, inclusive guarda de prontuário (art. 7º, II).
• Consentimento, quando exigido, para finalidades específicas como uso de imagens (art. 7º, I e art. 11, I).
• Legítimo interesse para segurança, prevenção a fraudes e melhoria do serviço, com avaliação de impacto e respeito aos direitos dos titulares.

4. Compartilhamento

Não vendemos dados pessoais. Compartilhamos apenas o necessário com operadores e suboperadores que apoiam o serviço, como provedores de infraestrutura, armazenamento escolhido pela clínica, processamento de pagamentos, e-mail transacional e provedores de IA contratados. Todos são vinculados por obrigações contratuais de confidencialidade e segurança.

Quando a clínica usa armazenamento ou IA próprios, o fluxo de dados ocorre diretamente entre a clínica e o fornecedor escolhido, conforme as credenciais configuradas.

5. Transferência internacional

Alguns suboperadores podem processar dados fora do Brasil. Nesses casos, adotamos cláusulas contratuais e avaliamos o nível de proteção do país de destino, nos termos dos arts. 33 e 34 da LGPD. A clínica pode escolher regiões de armazenamento no Brasil.

6. Retenção e eliminação

Mantemos os dados pelo tempo necessário às finalidades e às obrigações legais. Registros clínicos são preservados conforme prazos legais aplicáveis (em regra, 20 anos). Após o prazo, os dados são eliminados ou anonimizados de forma segura.

Pedidos de eliminação de dados que não precisam ser retidos por lei são atendidos em até 15 dias, com registro de auditoria.

7. Direitos do titular

O titular pode solicitar confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamentos e revogação de consentimento. Pacientes devem procurar a clínica controladora; o ClinicStack apoia a controladora no atendimento. Também é possível falar diretamente com nosso DPO.

Veja o passo a passo na Central LGPD.

8. Segurança

Adotamos medidas técnicas e administrativas como isolamento lógico por clínica no banco de dados (Row Level Security), criptografia de dados sensíveis e credenciais, controle de acesso baseado em papéis, autenticação em dois fatores, registro de auditoria, backups e testes de segurança.

9. Incidentes

Em caso de incidente de segurança relevante, o ClinicStack notificará a controladora e a ANPD, bem como os titulares quando aplicável, nos prazos legais, com descrição do ocorrido, dados afetados, medidas adotadas e recomendações.

10. Cookies

Usamos cookies estritamente necessários para autenticação e segurança. Cookies analíticos e de marketing só são utilizados com consentimento, quando aplicável, e podem ser recusados sem prejuízo do uso do serviço.

11. Alterações

Podemos atualizar esta política para refletir mudanças legais ou de produto. Alterações relevantes serão comunicadas com antecedência e, quando necessário, submetidas a novo consentimento.

12. Contato

Dúvidas ou solicitações: privacidade@clinicstack.com.br. Respondemos em até 15 dias.