Política de Privacidade do medclinic360

1. Quem trata os dados e em que papel

A medclinic360 pode atuar em dois papéis distintos, a depender do contexto do tratamento.

• como controladora, quando trata dados relacionados ao próprio relacionamento comercial e operacional com clientes, leads, usuários de conta, faturamento, suporte, segurança e prevenção a fraude;
• como operadora, quando trata em nome do profissional de saúde ou da clínica os dados de pacientes e demais dados inseridos na plataforma para viabilizar o uso do serviço.

Em regra, o profissional de saúde ou a clínica contratante é o responsável pelas decisões sobre os dados de pacientes inseridos na plataforma, inclusive quanto à base legal aplicável, sigilo profissional, retenção e atendimento aos direitos do titular, quando cabível.

A exceção é a receita digital emitida pela Memed: na contratação da Memed, a medclinic360 figura como controladora perante a Memed, que atua como operadora (veja a seção 5).

2. Dados que podemos tratar

• dados de cadastro e conta, como nome, email, telefone, CPF, data de nascimento, dados profissionais e identificadores de usuário;
• dados operacionais e de uso da plataforma, como agendamentos, status de consultas, convites, perfis de acesso e eventos de uso necessários para operação do sistema;
• dados de pacientes e dados de saúde inseridos por usuários autorizados, como cadastro do paciente, informações clínicas, prontuário, documentos, prescrições, anexos e registros relacionados ao atendimento;
• dados de cobrança e assinatura, como identificadores de pagamento, status de transação, plano contratado e informações necessárias para faturamento e conciliação;
• dados técnicos e de segurança, como endereço IP em formato protegido por hash em fluxos específicos de monitoramento, identificadores de sessão, user-agent, logs operacionais, token de push, idioma, fuso horário e informações do dispositivo;
• dados de comunicação, como telefone e histórico relacionado a confirmações e mensagens operacionais enviadas por WhatsApp, push ou outros canais habilitados.

3. Finalidades do tratamento

• permitir cadastro, autenticação e acesso seguro à conta do usuário;
• operar funcionalidades de agenda, prontuário, documentos, prescrições, financeiro, gestão clínica e comunicação operacional;
• enviar notificações, lembretes, confirmações e mensagens relacionadas ao serviço, inclusive por provedores integrados, quando configurados;
• processar cobranças, validar pagamentos e manter registros administrativos e financeiros;
• proteger a plataforma, prevenir fraude, investigar falhas, registrar eventos de auditoria e melhorar estabilidade e segurança;
• cumprir obrigações legais, regulatórias e ordens de autoridades competentes;
• em páginas institucionais e áreas autenticadas, medir uso e desempenho do serviço por ferramentas analíticas, quando habilitadas.

4. Bases legais

O tratamento pode ocorrer com fundamento, conforme o caso, na execução de contrato, no cumprimento de obrigação legal ou regulatória, no exercício regular de direitos, no legítimo interesse e, quando necessário, no consentimento do titular.

Quando a medclinic360 atuar apenas como operadora em nome do cliente, a definição da base legal para os dados de pacientes caberá ao profissional de saúde ou à clínica controladora.

No envio de dados à Memed para emissão de receita digital, em que a medclinic360 figura como controladora perante a Memed (veja as seções 1 e 5), o tratamento se apoia na tutela da saúde, em procedimento realizado por profissional de saúde (art. 11, II, "f", da LGPD), e, quanto aos dados do médico prescritor, na execução do contrato (art. 7º, V, da LGPD).

5. Compartilhamento de dados

Os dados podem ser compartilhados, quando necessário para a operação do serviço, com operadores e parceiros tecnológicos contratados para viabilizar a plataforma.

• serviços de autenticação, banco de dados, armazenamento e infraestrutura em nuvem;
• provedores de notificações push para entrega de alertas no aplicativo;
• provedores de pagamento para processamento de cobranças, assinaturas e confirmação de transações;
• provedores de mensageria e comunicação, como canais de WhatsApp, para envio de confirmações, lembretes e comunicações operacionais quando aplicável;
• Memed, plataforma de prescrição digital contratada pela medclinic360: quando o médico emite uma receita digital pela plataforma, a Memed recebe os dados do médico (nome, CPF, data de nascimento, CRM e UF, especialidade, telefone e email), os dados do paciente que constam no cadastro (nome, sexo, CPF, data de nascimento, telefone, email e endereço), o local de atendimento (nome, endereço e telefone da clínica) e os itens da receita, para emitir, assinar e enviar a receita. A Memed atua como operadora, apenas para essa finalidade; nessa contratação, a medclinic360 figura como controladora perante a Memed;
• ferramentas de análise e mensuração de uso do serviço, quando habilitadas;
• autoridades legais ou regulatórias, quando houver obrigação legal ou requisição válida.

A medclinic360 busca compartilhar apenas o necessário para cada finalidade, observados controles de acesso, exigências contratuais e a legislação aplicável.

6. Armazenamento, segurança e registros

A medclinic360 adota medidas técnicas e administrativas compatíveis com a natureza do serviço para reduzir o risco de acesso não autorizado, perda, alteração, destruição ou divulgação indevida de dados.

• uso de conexões seguras por HTTPS/TLS e políticas de transporte seguro para acesso à plataforma;
• uso de cookies de sessão com atributos de segurança, incluindo HttpOnly e Secure, para autenticação web;
• controle de acesso por autenticação, perfil e regras de autorização;
• registro de determinados eventos de auditoria, segurança e operação para investigação de incidentes e governança;
• restrição de acesso a buckets e áreas privadas de armazenamento conforme políticas internas e de infraestrutura.

Esta política não representa garantia de invulnerabilidade nem promessa de rotina específica de backup, retenção de contingência ou criptografia adicional em nível de aplicação para todos os campos, salvo quando isso for expressamente informado em documentação contratual ou técnica.

7. Retenção e exclusão

Os dados são mantidos pelo tempo necessário para prestação dos serviços, cumprimento de obrigações legais, contratuais, regulatórias e exercício regular de direitos. Após esse período, poderão ser excluídos ou anonimizados, quando aplicável.

8. Direitos do titular

O titular dos dados poderá solicitar, conforme aplicável e nos limites da legislação, confirmação do tratamento, acesso, correção, atualização, anonimização, bloqueio, eliminação e informações sobre compartilhamento de dados.

Quando a medclinic360 atuar apenas como operadora de dados em nome do cliente, poderá encaminhar a solicitação ao profissional de saúde ou à clínica responsável pela decisão sobre o tratamento.

9. Cookies, analytics e comunicações

A plataforma utiliza recursos de sessão para autenticação e pode utilizar ferramentas de analytics e canais de comunicação integrados para avisos operacionais, lembretes, atualizações relacionadas ao uso do serviço e mensuração de uso do produto. O usuário pode gerenciar permissões de notificações diretamente nas configurações do aparelho, quando disponível.

No site, os cookies e registros no navegador se dividem em:

• Necessários, sempre ativos: sessão de acesso (mc_edge_session), a escolha sobre cookies (mc_consent, 12 meses) e a versão de página exibida em testes de melhoria do site (mc_ab_lp_medicos, 60 dias), que não identifica o visitante.
• Receita digital (Memed), só no prontuário, quando o médico abre a receita digital: o módulo da Memed, carregado na página, usa ferramentas de medição e monitoramento da própria Memed (RudderStack, CleverTap e Datadog), que recebem dados de uso e navegação desse módulo, como páginas e ações, aparelho e navegador. A Memed as utiliza para operar e melhorar a plataforma de prescrição, e elas seguem a política de privacidade da Memed.
• Medição, só com o seu aceite: Google Analytics 4 (_ga e _ga_*) e a origem da visita em campanhas (mc_marketing_attribution_v1, 90 dias), usados para saber quais anúncios e páginas trazem cadastros. Quando um médico com esse aceite se cadastra, o identificador do clique no anúncio é enviado ao Google Ads só com a data e a hora do cadastro, sem nome, CPF, CRM ou contato.

Sem o aceite, o Google Analytics funciona no modo de consentimento negado: nenhum cookie de medição é gravado, a origem da campanha não é guardada no navegador nem associada ao cadastro, e os dados de anúncio são retirados dos envios ao Google. O identificador do clique no anúncio pode seguir apenas no endereço das páginas visitadas, para a medição agregada das campanhas. Também contamos, de forma anônima (sem IP, cookie ou identificador), quantas vezes este aviso aparece e quantas pessoas aceitam ou recusam, e quantas visitas as páginas de divulgação e cada etapa do cadastro recebem. A escolha pode ser revista a qualquer momento pelo link "Preferências de cookies", no rodapé da página inicial.

10. Incidentes de segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a medclinic360 adotará as medidas cabíveis de contenção, apuração e comunicação, inclusive na forma exigida pela legislação aplicável e, quando pertinente, em articulação com o cliente controlador dos dados.

11. Alterações desta política

Esta Política de Privacidade poderá ser atualizada para refletir mudanças legais, regulatórias, técnicas ou operacionais. A versão vigente será sempre disponibilizada nesta página.