Política de Privacidade

Esta política descreve como o Prontuu coleta, utiliza, armazena e protege dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD), o Código de Ética Médica e as demais normas aplicáveis ao setor de saúde no Brasil.

1. Quem somos

O controlador dos dados pessoais é a Prontuu Healthtech Desenvolvimento e Licenciamento de Software Ltda. (nome fantasia Prontuu Healthtech), inscrita no CNPJ sob o nº 66.410.253/0001-41, com sede em Rua Santa Patrícia, 228 — Jardim Oriental, São Paulo/SP — CEP 04347-040, responsável pela plataforma Prontuu de gestão clínica e prontuário eletrônico para profissionais e estabelecimentos de saúde.

Importante: em relação aos dados de pacientes inseridos pelo profissional/clínica usuária, o Prontuu atua como operador de dados, processando-os exclusivamente conforme as instruções do controlador (o profissional ou estabelecimento contratante).

2. Dados que coletamos

2.1. Dados do profissional/usuário

• Nome completo, CPF, e-mail e telefone
• Dados profissionais (CRM, CRO, CRP, CRN, CRF, CREFITO, RQE, especialidade)
• Razão social, CNPJ, endereço da clínica e dados fiscais
• Dados de pagamento (processados diretamente por gateway terceiro)
• Logs de acesso, IP, navegador e métricas de uso da plataforma
• Conteúdo de comunicações com nosso suporte

2.2. Dados de pacientes (inseridos pelo profissional)

• Identificação: nome, CPF, RG, data de nascimento, sexo, contato
• Endereço, convênio e dados de responsável legal quando aplicável
• Dados sensíveis de saúde: anamnese, histórico clínico, diagnósticos (CID-10), prescrições, exames, evoluções, atestados, imagens e documentos médicos
• Agendamentos, comparecimentos e histórico financeiro do atendimento
• Consentimentos assinados (telemedicina, termos específicos)

2.3. Cookies e tecnologias similares

Veja a seção 9 para detalhes.

3. Para que usamos os dados

• Operação do serviço: autenticação, prontuário, agenda, financeiro, prescrições, telemedicina e demais funcionalidades
• Suporte técnico: atendimento, resolução de incidentes e investigação de problemas
• Comunicação: envio de notificações operacionais, avisos de segurança, atualizações de produto e cobrança
• Melhoria contínua: análise estatística agregada, métricas de produto e correção de bugs
• Segurança: prevenção de fraudes, detecção de acessos indevidos e auditoria
• Cumprimento legal: obrigações fiscais, regulatórias (CFM, ANPD) e respostas a autoridades

Não utilizamos dados de pacientes para marketing, treinamento de IA própria de terceiros ou qualquer finalidade alheia à prestação do serviço.

4. Base legal (LGPD)

O tratamento ocorre com fundamento nas seguintes hipóteses:

• Execução de contrato (art. 7º, V) — para prestação dos serviços contratados pelo profissional/clínica
• Cumprimento de obrigação legal (art. 7º, II) — para guarda de prontuário, emissão fiscal e atendimento a determinações de autoridades
• Tutela da saúde (art. 11, II, "f") — para tratamento de dados sensíveis de saúde por profissionais habilitados
• Legítimo interesse (art. 7º, IX) — para segurança da plataforma e prevenção de fraudes, sempre respeitando direitos fundamentais
• Consentimento (art. 7º, I e art. 11, I) — para finalidades específicas, como envio de comunicações de marketing ou uso de cookies não essenciais

5. Com quem compartilhamos

Não vendemos dados. Compartilhamos apenas com operadores estritamente necessários para a prestação do serviço, sempre sob contrato de proteção de dados:

• Supabase Inc. / Amazon Web Services (AWS): hospedagem da aplicação, banco de dados e armazenamento de arquivos
• Asaas: processamento de pagamentos de assinaturas (PIX, boleto e cartão)
• Google LLC: integração opcional com Google Calendar e Google Meet (telemedicina), quando ativada pelo usuário
• Mevo e parceiros de prescrição digital: emissão de receitas eletrônicas, quando integradas
• Provedores de e-mail e SMS transacional: envio de notificações ao paciente/profissional
• Autoridades públicas: mediante ordem judicial ou requisição legal

A lista atualizada de operadores pode ser solicitada ao Encarregado (DPO).

6. Onde armazenamos

Os dados são armazenados em infraestrutura de nuvem da Supabase, hospedada em data centers da Amazon Web Services (AWS) localizados preferencialmente na região Brasil (sa-east-1, São Paulo). Eventuais transferências internacionais ocorrem apenas com operadores que apresentem garantias adequadas de proteção, conforme art. 33 da LGPD.

Aplicamos criptografia em trânsito (TLS 1.2+) e em repouso (AES-256), controle de acesso por papel (RBAC), segregação por tenant, registro de auditoria e backups redundantes.

7. Por quanto tempo guardamos

• Dados cadastrais e contratuais: durante a vigência do contrato e por até 5 anos após o término, para defesa de direitos (art. 206, §5º, I, CC)
• Dados de prontuário e registros clínicos: mínimo de 20 anos a partir do último registro, conforme Resolução CFM nº 1.821/2007 e legislação de saúde aplicável
• Documentos fiscais: 5 anos, conforme legislação tributária
• Logs de acesso a aplicações: mínimo de 6 meses, conforme Marco Civil da Internet (art. 15)
• Dados de marketing (com consentimento): até a revogação do consentimento

Após os prazos, os dados são eliminados ou anonimizados de forma segura.

8. Direitos do titular

Nos termos do art. 18 da LGPD, você pode solicitar a qualquer momento:

• Confirmação da existência de tratamento
• Acesso aos dados
• Correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade
• Portabilidade a outro fornecedor
• Eliminação de dados tratados com base em consentimento
• Informação sobre compartilhamentos
• Revogação do consentimento
• Revisão de decisões automatizadas, quando aplicável

Pacientes: as solicitações relativas ao prontuário devem ser direcionadas ao profissional/clínica responsável pelo atendimento, que é o controlador desses dados. O Prontuu auxilia o controlador a atender a demanda enquanto operador.

Solicitações podem ser feitas pelo e-mail do Encarregado (seção 10). Responderemos em até 15 dias.

9. Cookies

Utilizamos as seguintes categorias de cookies:

• Essenciais: autenticação de sessão, segurança (CSRF), preferências de idioma e tema. Não podem ser desativados.
• Funcionais: memorização de filtros, abas e configurações da interface.
• Analíticos: métricas agregadas de uso (página, tempo, erros) para melhoria do produto. Mediante consentimento.
• Marketing: em campanhas pontuais no site institucional. Mediante consentimento.

Você pode gerenciar suas preferências pelo banner de consentimento exibido no primeiro acesso ou pelas configurações do seu navegador. A desativação de cookies essenciais pode comprometer o funcionamento da plataforma.

10. Encarregado pelo Tratamento de Dados (DPO)

Em conformidade com o art. 41 da LGPD, indicamos como Encarregado:

• Nome: Rafael Akira Tanaka
• E-mail: dpo@prontuu.com.br
• Endereço postal: Rua Santa Patrícia, 228 — Jardim Oriental, São Paulo/SP — CEP 04347-040

11. Alterações nesta política

Podemos atualizar esta política para refletir mudanças legais, regulatórias ou operacionais. Alterações materiais serão comunicadas com antecedência mínima de 15 dias por e-mail e por aviso na plataforma. A data de "Última atualização" no topo desta página indica a versão vigente.

12. Contato

Dúvidas, reclamações ou solicitações relativas a esta política e à proteção de dados podem ser enviadas para:

• E-mail geral: contato@prontuu.com.br
• E-mail do DPO: dpo@prontuu.com.br
• Endereço postal: Prontuu Healthtech Desenvolvimento e Licenciamento de Software Ltda. — Rua Santa Patrícia, 228 — Jardim Oriental, São Paulo/SP — CEP 04347-040

O titular também pode peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.