- Os dados de pacientes cadastrados no Virtual Clínica pertencem à clínica. Nós os tratamos apenas para prestar o serviço contratado, conforme as instruções da clínica.
- Não vendemos dados pessoais e não os usamos para publicidade.
- Os dados ficam hospedados em servidores da Amazon Web Services (AWS) na região de São Paulo, separados por clínica e protegidos por perfis de acesso.
- Integrações como Google Agenda, WhatsApp e inteligência artificial são opcionais e só funcionam quando ativadas pela clínica ou pelo profissional.
1. Quem somos
O Virtual Clínica é uma plataforma em nuvem para gestão de clínicas e consultórios, desenvolvida e operada pela Prospex Tecnologia da Informação LTDA, inscrita no CNPJ sob o nº 19.256.093/0001-48, com sede na Av. Dr. Jaime Ribeiro da Luz, 971, Sala 5, 2º andar, Bairro Santa Mônica, Uberlândia – MG, CEP 38.408-188 (“Prospex”, “nós”).
Esta política vale para o site virtualclinica.com.br, para a plataforma Virtual Clínica (aplicação web, painel de chamadas e integrações) e para os nossos canais de atendimento.
2. Nosso papel e o da clínica
A LGPD diferencia quem decide sobre o uso dos dados (controlador) de quem trata os dados em nome dele (operador). No Virtual Clínica, os papéis são:
| Dados | Controlador | Papel da Prospex |
|---|---|---|
| Pacientes e demais pessoas cadastradas pela clínica (agenda, prontuário, financeiro, documentos) | A clínica ou o profissional que contratou o Virtual Clínica | Operadora: trata os dados apenas para prestar o serviço, conforme as instruções da clínica |
| Conta do cliente e dos usuários da plataforma (cadastro, acesso, faturamento) | Prospex | Controladora |
| Visitantes do site e interessados que entram em contato (formulários, chat, WhatsApp) | Prospex | Controladora |
Se você é paciente de uma clínica que usa o Virtual Clínica, a responsável pelos seus dados é essa clínica. Para acessar, corrigir ou excluir seus dados, procure a clínica diretamente. Se você nos procurar, encaminharemos o pedido a ela.
3. Dados que tratamos
3.1 Visitantes do site e interessados
- Dados que você nos informa: nome, telefone, e-mail, nome da clínica e o conteúdo da conversa (chat do site, WhatsApp, telefone ou e-mail).
- Dados de navegação: endereço IP, tipo de navegador e dispositivo, páginas visitadas e data e hora de acesso.
3.2 Clientes e usuários da plataforma
- Cadastro: nome, CPF ou CNPJ, e-mail, telefone, endereço, registro profissional e dados da clínica.
- Acesso: login, perfil de acesso, empresas vinculadas, endereço IP, data e hora de acesso e registros das operações realizadas (para segurança e auditoria).
- Faturamento: plano contratado, histórico de pagamentos e dados necessários à cobrança e à emissão de notas fiscais.
3.3 Dados inseridos pela clínica
São os dados que a clínica cadastra para operar o dia a dia. Podem incluir: identificação e contato de pacientes e responsáveis, agenda, prontuário, anamnese, odontograma, planos de tratamento, imagens, documentos, assinaturas eletrônicas, convênios e informações financeiras.
Parte desses dados é dado pessoal sensível (dados referentes à saúde), que recebe proteção reforçada pela LGPD. Esses dados são usados apenas para executar as funcionalidades contratadas pela clínica.
3.4 Integrações opcionais
Quando a clínica ou o profissional ativa uma integração, tratamos também os dados necessários a ela, como o e-mail da conta Google conectada, mensagens trocadas pelo WhatsApp, Instagram ou Facebook, e áudios ou textos enviados para os recursos de inteligência artificial. Os detalhes estão nas seções 5 e 6.
4. Para que usamos os dados e com qual base legal
| Finalidade | Base legal (LGPD) |
|---|---|
| Prestar o serviço contratado: agenda, prontuário, financeiro, documentos, notificações e integrações ativadas | Execução de contrato (art. 7º, V). Para os dados de pacientes, segundo as instruções da clínica controladora |
| Autenticar usuários, controlar perfis de acesso e prevenir fraudes | Execução de contrato e legítimo interesse (art. 7º, V e IX) |
| Guardar registros de acesso à aplicação | Cumprimento de obrigação legal (art. 7º, II; Marco Civil da Internet, art. 15) |
| Cobrança, emissão de notas fiscais e obrigações contábeis e fiscais | Execução de contrato e obrigação legal (art. 7º, II e V) |
| Suporte técnico, capacitação e comunicações sobre o serviço (incluindo comunicados dentro da plataforma) | Execução de contrato e legítimo interesse |
| Melhorar a plataforma com estatísticas de uso | Legítimo interesse |
| Responder contatos e apresentar o Virtual Clínica a interessados | Procedimentos preliminares a contrato e legítimo interesse (art. 7º, V e IX) |
| Exercer direitos em processos judiciais, administrativos ou arbitrais | Exercício regular de direitos (art. 7º, VI) |
O tratamento de dados de saúde de pacientes é decidido pela clínica, que o fundamenta nas hipóteses do art. 11 da LGPD aplicáveis à sua atividade, como a tutela da saúde por profissionais de saúde e o cumprimento de obrigações legais e regulatórias.
5. Integração com o Google Agenda
O profissional pode, se quiser, conectar sua conta Google para ver seus agendamentos do Virtual Clínica no Google Agenda. A conexão é feita pelo próprio profissional, com autorização exibida pelo Google, e pode ser desfeita a qualquer momento.
O que acessamos
- Identificação da conta (
openideemail): para mostrar qual conta Google está conectada. - Calendários criados pelo próprio Virtual Clínica (
calendar.app.created): criamos um calendário chamado “Virtual Clínica” e, dentro dele, criamos, atualizamos e removemos os eventos correspondentes aos agendamentos do profissional. Também lemos as alterações feitas nesse calendário para refletir horários e cancelamentos no Virtual Clínica.
Não temos acesso aos outros calendários da conta, ao Gmail, aos contatos, ao Drive nem a qualquer outro dado da conta Google.
Como protegemos e quando apagamos
- As credenciais de acesso fornecidas pelo Google são armazenadas de forma cifrada e usadas apenas pelos nossos servidores. Elas nunca são enviadas ao navegador.
- Para desconectar, use a opção “Desconectar Google Agenda” no Virtual Clínica ou remova o acesso nas configurações de segurança da sua conta Google. Ao desconectar, revogamos a autorização junto ao Google e deixamos de sincronizar. Os eventos já criados continuam no seu Google Agenda, onde você pode apagá-los.
O uso e a transferência, para qualquer outro aplicativo, de informações recebidas das APIs do Google pelo Virtual Clínica obedecerão à Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.
Os dados obtidos do Google são usados exclusivamente para sincronizar a agenda do profissional. Eles não são vendidos, não são usados para publicidade, não são lidos por pessoas (salvo com autorização expressa do usuário, por exigência legal ou para segurança e investigação de abusos) e não são usados para desenvolver, melhorar ou treinar modelos de inteligência artificial.
6. Com quem compartilhamos
Não vendemos dados pessoais. Compartilhamos dados apenas com fornecedores necessários à prestação do serviço, que atuam como suboperadores e seguem obrigações de confidencialidade e segurança:
| Fornecedor | Finalidade | Quando |
|---|---|---|
| Amazon Web Services (AWS) | Hospedagem da plataforma, banco de dados e arquivos | Sempre |
| Google (Google Agenda, Firebase e Google Analytics) | Sincronização de agenda, envio de notificações e estatísticas de uso da plataforma | Agenda: quando o profissional conecta a conta. Demais: no uso da plataforma |
| Meta (WhatsApp, Instagram e Facebook) | Envio e recebimento de mensagens com pacientes e interessados | Quando a clínica ativa o Virtual Clínica Conecta ou integrações de mensagens |
| Provedores de inteligência artificial (OpenAI e Groq) | Transcrição de áudio, melhoria de textos e automação de atendimento | Somente quando a clínica usa esses recursos |
| Focus NFe e prefeituras | Emissão de notas fiscais de serviço e de produto | Quando a clínica emite notas pela plataforma |
| Bancos e instituições de pagamento (como Asaas, Cielo, PagSeguro, Sicredi e Itaú) | Emissão de boletos, links de pagamento e conciliação | Quando a clínica ativa essas cobranças |
| Provedores de e-mail e SMS | Lembretes, confirmações e comunicações enviadas pela clínica | Quando a clínica usa esses envios |
| Leadster | Chat de atendimento do site | Quando você conversa pelo chat do site |
Também podemos compartilhar dados com autoridades públicas quando houver obrigação legal ou ordem judicial, e em caso de reorganização societária, mantidas as garantias desta política.
7. Transferência internacional
A plataforma é hospedada no Brasil. Alguns fornecedores listados acima, como Google, Meta, OpenAI e Groq, podem processar dados em servidores fora do país. Nesses casos, a transferência ocorre para a execução do serviço contratado e com fornecedores que adotam garantias de proteção compatíveis com a LGPD (art. 33).
8. Armazenamento e segurança
- Os dados ficam em servidores da AWS na região de São Paulo (Brasil).
- A comunicação entre o seu navegador e a plataforma é criptografada (HTTPS).
- Os dados de cada clínica são separados logicamente: cada usuário só acessa as empresas às quais está vinculado, conforme o seu perfil de acesso.
- As senhas não são armazenadas em texto aberto, e as credenciais de integrações com terceiros são armazenadas cifradas.
- Mantemos registros de acesso e das principais operações, para auditoria e investigação de incidentes.
Nenhum sistema é totalmente imune a falhas. Por isso, a segurança também depende de cada usuário: não compartilhe sua senha, encerre a sessão em computadores compartilhados e conceda perfis de acesso de acordo com a função de cada colaborador.
9. Por quanto tempo guardamos
- Dados da clínica e de pacientes: enquanto o contrato estiver vigente. Após o encerramento, a clínica pode solicitar a exportação dos seus dados em até 30 (trinta) dias. Depois desse prazo, os dados são excluídos ou anonimizados, exceto quando a lei exigir a guarda.
- Prontuários: a legislação exige que prontuários sejam guardados por, no mínimo, 20 anos (Lei nº 13.787/2018). A guarda pelo prazo legal é responsabilidade da clínica, que deve exportar os dados antes de encerrar o contrato.
- Registros de acesso à aplicação: no mínimo 6 meses (Marco Civil da Internet, art. 15).
- Dados fiscais e de cobrança: pelo prazo exigido pela legislação tributária.
- Contatos de interessados: até você pedir a exclusão ou enquanto houver interesse legítimo na relação comercial.
10. Seus direitos
Pela LGPD (art. 18), você pode solicitar:
- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- portabilidade dos dados a outro fornecedor;
- eliminação dos dados tratados com base no consentimento, e informação sobre a possibilidade de não consentir e suas consequências;
- informação sobre com quem compartilhamos seus dados;
- revogação do consentimento, quando essa for a base legal;
- revisão de decisões tomadas unicamente com base em tratamento automatizado.
Para exercer seus direitos, entre em contato com o nosso encarregado de dados (seção 14). Podemos solicitar informações para confirmar sua identidade. Se os dados forem de um paciente, o pedido será encaminhado à clínica responsável.
Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.
12. Crianças e adolescentes
O site e a plataforma são destinados a profissionais e empresas. Dados de pacientes crianças e adolescentes são cadastrados pela clínica, que é responsável por tratá-los no melhor interesse do paciente e com a participação dos pais ou responsáveis, conforme o art. 14 da LGPD.
13. Incidentes de segurança
Se ocorrer um incidente de segurança que possa causar risco ou dano relevante, comunicaremos as clínicas afetadas sem demora indevida e colaboraremos com elas nas comunicações à ANPD e aos titulares, conforme a LGPD e a regulamentação da ANPD.
14. Encarregado de dados (DPO)
Dúvidas, solicitações e reclamações sobre dados pessoais podem ser enviadas ao nosso encarregado:
- Encarregado: Alexandre Zerbeto
- E-mail: alexandre@prospextecnologia.com.br
- Endereço: Av. Dr. Jaime Ribeiro da Luz, 971, Sala 5, 2º andar, Bairro Santa Mônica, Uberlândia – MG, CEP 38.408-188
15. Alterações desta política
Podemos atualizar esta política para refletir mudanças na plataforma, na legislação ou nos fornecedores. A data da última atualização fica no topo da página. Mudanças relevantes serão informadas aos clientes por e-mail ou por comunicado dentro da plataforma.
Veja também os nossos Termos de Serviço.