Política de Privacidade — ArcadaFlow
Esta Política explica como [nome e CPF/CNPJ do responsável pela plataforma — a definir] ("Plataforma") trata dados pessoais no ArcadaFlow. Ela vale para os profissionais e suas equipes (usuários do sistema) e descreve o tratamento dos dados dos pacientes que os profissionais registram.
1. Papéis
- Dados dos profissionais e da equipe (cadastro, login, cobrança): a Plataforma é a controladora.
- Dados dos pacientes (cadastro, saúde, prontuário, financeiro, comunicações): o profissional ou consultório é o controlador; a Plataforma é a operadora e trata esses dados apenas para prestar o serviço, em nome dele.
2. Dados tratados e finalidades
| Dados | Para quê | Base legal |
|---|---|---|
| Nome, e-mail, celular, CPF, CRO/UF, senha (cifrada) | criar e proteger a conta, verificar o profissional | execução de contrato; obrigação legal |
| Pagamentos da assinatura | cobrança | execução de contrato |
| Registros de acesso (data, hora, IP, navegador) | segurança e auditoria | obrigação legal; legítimo interesse |
| Dados dos pacientes | prestar o serviço ao profissional (controlador) | conforme as bases do controlador (ex.: tutela da saúde, obrigação legal) |
| Dados estatísticos anonimizados | aprimorar o sistema | não são dados pessoais (art. 12 da LGPD) |
3. Dados estatísticos
A Plataforma não acessa dados que identifiquem os pacientes. Para aprimorar o sistema, ela gera e utiliza dados estatísticos, agregados e anonimizados a partir do uso do serviço — como faixa etária e sexo dos pacientes, procedimentos, valores praticados, formas de pagamento, agenda, comunicações e uso das funcionalidades. Esses dados não permitem identificar pacientes nem profissionais e não são vendidos nem cedidos de forma identificável.
4. Compartilhamento
Os dados são tratados por fornecedores necessários ao serviço (suboperadores), sob contrato e com dados no Brasil sempre que possível: hospedagem e armazenamento, envio de e-mails e pagamentos. Não há venda de dados pessoais. Autoridades podem receber dados quando a lei ou uma ordem judicial exigir.
5. Segurança
Conexão cifrada (HTTPS), verificação em duas etapas obrigatória, senhas com hash forte, criptografia dos documentos de identificação, isolamento entre contas, trilha de auditoria imutável, cópias de segurança e acesso restrito de pessoal. O suporte só vê dados de uma conta quando o profissional concede acesso temporário, que fica registrado.
6. Guarda e eliminação
- Dados da conta e de cobrança: enquanto a conta existir e pelos prazos legais (ex.: fiscais).
- Dados dos pacientes: enquanto a conta existir; após o cancelamento, 90 dias de guarda para consulta e exportação e, depois, eliminação conforme a instrução do profissional. A guarda legal do prontuário (20 anos) é responsabilidade do profissional, que deve exportar os dados antes da eliminação.
- Registros de auditoria: pelo menos pelo mesmo prazo dos dados a que se referem.
7. Direitos dos titulares
- Profissionais e equipe: podem pedir confirmação, acesso, correção, portabilidade, informação sobre compartilhamentos e eliminação do que não for obrigatório guardar, pelo contato abaixo.
- Pacientes: devem dirigir seus pedidos ao profissional que os atende (controlador), que os registra e responde pela tela "Solicitações LGPD". A Plataforma apoia o profissional no atendimento.
8. Incidentes
Em caso de incidente de segurança que possa trazer risco aos titulares, a Plataforma avalia o caso, comunica os profissionais afetados e, conforme a regulamentação, a ANPD e os titulares.
9. Encarregado e contato
Encarregado pelo tratamento de dados e canal de atendimento: [e-mail de contato e do encarregado de dados — a definir].
10. Alterações
Esta Política pode ser atualizada. A nova versão é publicada no sistema e precisa ser aceita no acesso seguinte.