Política de privacidade

Dados dos pacientes (cadastro, agenda, prontuário, orçamentos, pagamentos e conversas com a clínica): a clínica que usa o AXIClinic é a controladora. A Comm7 é a operadora: trata esses dados somente para prestar o serviço à clínica e conforme as instruções dela.

Dados das clínicas e das suas equipes (contas de acesso) e do uso do sistema: a Comm7 é a controladora.

• Equipe da clínica: nome, e-mail, telefone, função e registros de acesso.
• Pacientes, informados pela clínica: identificação (nome, CPF, data de nascimento), contato, endereço, agenda, prontuário odontológico, anamnese, exames, orçamentos e pagamentos. Dados de saúde são dados sensíveis e recebem proteção reforçada.
• Mensagens trocadas com a clínica pelos canais que ela conecta (WhatsApp, WhatsApp Business Platform da Meta, Instagram e o chat do site): conteúdo das mensagens, fotos, áudios e documentos, número de telefone ou identificação na plataforma e nome de perfil.
• Dados técnicos: endereço IP, data e hora de acesso e registros de auditoria, para segurança.

• Prestar o serviço contratado pela clínica: agenda, prontuário, orçamentos, financeiro e atendimento aos pacientes.
• Enviar e receber mensagens em nome da clínica: confirmações e lembretes de consulta, respostas da recepção, orçamentos e avisos.
• Transcrever áudios recebidos e sugerir respostas à equipe da clínica, quando a clínica liga esses recursos de IA. O texto gerado é automático, aparece identificado como tal, é revisado pela equipe antes de qualquer envio e não é usado para decidir nada sobre o paciente.
• Manter a segurança, a auditoria e o suporte do sistema.
• Cumprir obrigações legais e regulatórias, como a guarda do prontuário.

Não vendemos dados pessoais e não os usamos para publicidade. Mensagens recebidas pelas plataformas da Meta (WhatsApp e Instagram) são usadas somente para mostrar a conversa à equipe da clínica e registrar o atendimento na conta da própria clínica.

Execução do contrato com a clínica; cumprimento de obrigação legal ou regulatória; tutela da saúde, em procedimento realizado por profissionais de saúde (dados sensíveis); legítimo interesse, para segurança e prevenção a fraudes; e consentimento, quando exigido (por exemplo, mensagens de marketing).

Somente com fornecedores necessários para o serviço funcionar, que tratam os dados conforme nossas instruções:

• Supabase: banco de dados e arquivos, em servidores no Brasil (São Paulo).
• Meta Platforms (WhatsApp Business Platform e Instagram), quando a clínica conecta esses canais.
• Google Cloud (Gemini): transcrição de áudios recebidos e sugestão de respostas para a equipe, quando a clínica liga esses recursos. O Google não usa esses dados para treinar modelos de IA.
• Brevo: envio de e-mails do sistema.
• Cientte/ZapSign (termos de consentimento) e Google Agenda, quando a clínica usa essas integrações.
• Asaas: cobrança da assinatura da clínica (dados de quem contrata, nunca de pacientes).
• Cloudflare: proteção e entrega do tráfego do site e do sistema, verificação contra robôs no chat do site e guarda da cópia de segurança (backup), criptografada antes de sair dos nossos servidores.
• Sentry: registro de erros técnicos do sistema, para corrigir falhas. Antes do envio são removidos o conteúdo do pedido, a identificação do usuário, CPF, CNPJ, telefones, e-mails e o endereço IP.
• Infraestrutura de hospedagem contratada pela Comm7.

Transferência internacional: os dados ficam armazenados no Brasil. A cópia de segurança fica na Cloudflare, fora do Brasil, criptografada com chave que só a Comm7 tem: quem a guarda não consegue ler o conteúdo. Quando a clínica usa os recursos de IA, as mensagens e os áudios usados podem ser processados pelo Google em servidores fora do Brasil, apenas pelo tempo necessário para gerar o texto, com as garantias contratuais exigidas pela LGPD (art. 33). As plataformas da Meta também podem tratar dados fora do Brasil, conforme os termos delas. Os registros de erro ficam no Sentry, na União Europeia, sem dados pessoais.

Também compartilhamos dados quando exigido por lei ou por ordem de autoridade competente.

Usamos conexão criptografada, isolamento dos dados de cada clínica, controle de acesso por função, registros de auditoria e cofre para credenciais de integração. O acesso aos dados dos pacientes é restrito às pessoas autorizadas pela própria clínica.

• Prontuário: pelo prazo exigido pela legislação (em regra, 20 anos a partir do último registro, conforme a Lei 13.787/2018). Prontuário não é apagado, apenas arquivado.
• Conversas e demais dados da clínica: enquanto a clínica mantiver a conta, ou pelo prazo que ela definir, salvo obrigação legal de guarda.
• Registros técnicos de integração: até 30 dias.

Você pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamento, revogação do consentimento e eliminação dos dados, nos termos do art. 18 da LGPD.

Pacientes: o pedido deve ser feito à clínica, que é a controladora dos seus dados. A Comm7 apoia a clínica no atendimento. Se não conseguir falar com a clínica, escreva para [email protected].

Exclusão de dados recebidos pelo WhatsApp ou Instagram: peça à clínica ou escreva para [email protected] informando o número de telefone ou o perfil usado. Atendemos em até 15 dias, respeitadas as obrigações legais de guarda.

Dúvidas, pedidos e reclamações sobre privacidade: [email protected].

Esta política pode ser atualizada. A data da última atualização aparece no início da página.