Quem somos e como falar com a gente
O AgendarSaúde oferece a clínicas e serviços de saúde uma assistente virtual no WhatsApp e um Painel para a equipe acompanhar as conversas.
- Responsável (controlador): Oliver Contador Digital Tecnologia LTDA, CNPJ 52.171.648/0001-24, Av. Pres. Juscelino Kubitschek, 1327, conj. 41, Vila Nova Conceição, São Paulo/SP, 04543-011.
- Encarregado pelo tratamento de dados pessoais (DPO): Roberto Sousa, pelo e-mail [email protected].
O encarregado recebe pedidos e reclamações dos titulares, fala com a Autoridade Nacional de Proteção de Dados (ANPD) e orienta a equipe sobre proteção de dados (LGPD, art. 41).
Dois papéis diferentes
A LGPD (Lei 13.709/2018) separa quem decide sobre os dados (o controlador) de quem trata os dados em nome dele (o operador). O AgendarSaúde ocupa um papel ou outro conforme a situação:
- Controlador: nos dados de quem visita este site, conversa com a Maria (a demonstração) ou com a Clara (o atendimento comercial), e nos dados das clínicas que nos contratam.
- Operador: nos dados dos pacientes que conversam com a assistente de uma clínica cliente. Ali, a clínica é a controladora; nós tratamos os dados segundo as instruções dela (LGPD, art. 39).
Se você é paciente de uma clínica que usa o AgendarSaúde, a política de privacidade que vale para você é a da clínica. Os seus pedidos sobre esses dados devem ir para ela. Se chegarem a nós, encaminhamos à clínica e ajudamos no que for preciso.
Dados que tratamos como controlador
Visitantes do site: o site não tem cadastro. Como todo serviço na internet, o servidor registra dados técnicos de acesso, como endereço IP, data e hora, página pedida e tipo de navegador.
Conversas com a Maria e com a Clara no WhatsApp: número de telefone, nome do perfil do WhatsApp, o conteúdo das mensagens e a data e a hora de cada uma.
A Maria é uma assistente de demonstração, de uma clínica fictícia (a Clínica da Saúde). Ela não marca consulta de verdade. Por favor, não envie a ela dados reais de saúde, documentos ou exames.
Clínicas clientes: nome e contato das pessoas responsáveis, dados da empresa, dados da contratação e do pagamento. Na contratação pelo site, o formulário pede nome, CPF ou CNPJ, e-mail e WhatsApp, usados para emitir a cobrança e a nota fiscal e para combinar a implantação.
Dados dos pacientes das clínicas clientes
Quando a assistente atende os pacientes de uma clínica, tratamos, em nome dela:
- nome, número de telefone e nome do perfil do WhatsApp;
- o conteúdo das mensagens, incluindo imagens, áudios e documentos que o paciente enviar;
- dados de agendamento, como profissional, data, horário, confirmações e cancelamentos;
- dados de cobrança e de pagamento, quando a clínica usa essa função;
- outros dados que a clínica configurar como necessários ao atendimento.
Usamos esses dados apenas para prestar o serviço contratado pela clínica: responder, agendar, lembrar, cobrar e chamar a equipe quando preciso. Não usamos esses dados para fins próprios, não os vendemos e não os usamos para publicidade.
Dados de saúde
Dado referente à saúde é dado pessoal sensível (LGPD, art. 5º, II) e só pode ser tratado nas hipóteses do art. 11. Numa conversa com uma clínica, o paciente pode contar algo sobre a própria saúde, mesmo sem que isso seja pedido.
A clínica, como controladora, define a base legal desse tratamento, por exemplo a tutela da saúde em procedimento realizado por profissionais ou serviços de saúde (art. 11, II, f) ou o consentimento específico do paciente (art. 11, I).
A assistente não faz diagnóstico, triagem nem orientação clínica. Quando um assunto clínico aparece, ela não opina e deixa o caso com a equipe da clínica. A assistente também não é prontuário eletrônico: o prontuário continua no sistema da clínica.
Inteligência artificial
A assistente usa inteligência artificial para entender as mensagens e escrever as respostas. Para isso, o texto da conversa é processado por provedores de inteligência artificial contratados por nós, que agem como suboperadores.
- ela se apresenta como assistente virtual logo na primeira mensagem;
- ela responde com base no que a clínica cadastrou: serviços, horários, preços e regras;
- a qualquer momento, o paciente pode pedir para falar com uma pessoa, e a equipe da clínica acompanha as conversas pelo Painel;
- ela não toma decisões clínicas nem comunica diagnóstico, prognóstico ou tratamento.
Se você entender que uma decisão tomada só por meio automatizado afetou os seus interesses, pode pedir a revisão dela (LGPD, art. 20).
Por que tratamos os dados (finalidades e bases legais)
Nos dados em que somos controladores:
- Responder a quem nos procura, mostrar a demonstração e negociar a contratação: procedimentos preliminares e execução de contrato (LGPD, art. 7º, V).
- Prestar o serviço contratado, cobrar e dar suporte às clínicas: execução de contrato (art. 7º, V).
- Guardar registros de acesso e documentos fiscais exigidos por lei: cumprimento de obrigação legal (art. 7º, II).
- Manter o site e o serviço seguros e funcionando, e prevenir abusos: legítimo interesse (art. 7º, IX), sempre respeitando os seus direitos.
- Defender direitos em processos judiciais, administrativos ou arbitrais: exercício regular de direitos (art. 7º, VI).
Nos dados dos pacientes, as finalidades e as bases legais são as definidas pela clínica controladora.
Com quem compartilhamos
Para o serviço funcionar, contamos com empresas que tratam dados sob nossa orientação (suboperadores). Elas recebem apenas o necessário para cada tarefa:
- Meta Platforms, Inc., pela WhatsApp Business Platform, que entrega as mensagens entre a clínica e o paciente e trata esse conteúdo como operadora, segundo os termos de tratamento de dados do WhatsApp Business.
- Provedores de inteligência artificial, que processam o texto das conversas para que a assistente compreenda e responda.
- Asaas, que processa cobranças e pagamentos (os nossos e, quando a clínica usa essa função, os da clínica, pela conta dela).
- Provedores de hospedagem e infraestrutura, onde o site, o Painel e os dados ficam armazenados.
Também podemos compartilhar dados com autoridades quando a lei ou uma ordem judicial exigir. A clínica cliente pode pedir a lista atualizada dos suboperadores.
Quando você clica num link do WhatsApp ou do Asaas no site, passa a valer também a política de privacidade dessas empresas.
Transferência internacional
Alguns suboperadores, como a Meta e provedores de inteligência artificial, podem processar dados em servidores fora do Brasil. Nesses casos, a transferência segue as hipóteses do art. 33 da LGPD: países reconhecidos pela ANPD como de proteção adequada ou as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD 19/2024), que garantem os princípios da lei e os direitos do titular.
Por quanto tempo guardamos
- Conversas dos pacientes: o Painel apaga os dados automaticamente depois do prazo de retenção definido com a clínica. Ao fim do contrato, a clínica tem 30 dias para pedir uma cópia; depois, os dados são eliminados em até 60 dias.
- Conversas com a Maria e com a Clara: pelo tempo necessário para o atendimento e a negociação, até 12 meses depois da última mensagem.
- Registros de acesso ao site: 6 meses, como exige o Marco Civil da Internet (Lei 12.965/2014, art. 15).
- Dados de contratação e cobrança: pelo prazo exigido pela legislação fiscal e contábil.
Terminado o prazo, os dados são eliminados. A lei permite guardar alguns dados por mais tempo em casos específicos, como para cumprir obrigação legal (LGPD, art. 16).
Seus direitos
A LGPD (art. 18) garante a você, a qualquer momento e mediante pedido:
- confirmar se tratamos dados seus e ter acesso a eles;
- corrigir dados incompletos, inexatos ou desatualizados;
- pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- pedir a portabilidade dos dados a outro fornecedor;
- pedir a eliminação dos dados tratados com o seu consentimento;
- saber com quem compartilhamos os seus dados;
- saber que pode não dar o consentimento e o que acontece se não der;
- revogar o consentimento;
- se opor a um tratamento feito em desacordo com a lei;
- pedir a revisão de decisões tomadas só por meio automatizado que afetem os seus interesses (art. 20).
Para exercer qualquer direito, escreva para [email protected]. Podemos pedir informações para confirmar a sua identidade. O acesso completo aos dados é fornecido em até 15 dias a partir do pedido (art. 19). Para apagar dados, siga as instruções de exclusão. Você também pode reclamar à ANPD.
Se você é paciente de uma clínica cliente, faça o pedido à clínica. Nós a ajudamos a responder.
Segurança
Adotamos medidas técnicas e administrativas para proteger os dados contra acesso não autorizado, perda ou uso indevido (LGPD, art. 46), entre elas:
- comunicação criptografada (HTTPS) no site e no Painel;
- acesso ao Painel só por pessoas autorizadas da clínica, cada uma com o próprio usuário;
- a assistente só trata dos dados de quem está atendendo e não fala de um paciente com outro;
- eliminação automática dos dados ao fim do prazo de retenção;
- acesso interno restrito a quem precisa dele para operar o serviço.
Nenhum sistema é 100% invulnerável, mas trabalhamos para reduzir os riscos e agir rápido se algo acontecer.
Incidentes de segurança
Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante aos titulares, comunicamos a ANPD e as pessoas afetadas em até 3 dias úteis, como mandam o art. 48 da LGPD e a Resolução CD/ANPD 15/2024, com a descrição do ocorrido, dos riscos e das medidas adotadas. Guardamos o registro de cada incidente por pelo menos 5 anos.
Quando o incidente envolver dados de pacientes, avisamos a clínica controladora sem demora indevida, a tempo de ela cumprir esse prazo, e damos a ela as informações de que precisa para fazer as comunicações.
Crianças e adolescentes
O site e a demonstração são voltados a adultos e a clínicas. Não coletamos, de propósito, dados de crianças por aqui.
Nas clínicas clientes, pais ou responsáveis costumam falar em nome de crianças e adolescentes. Nesses casos, a clínica, como controladora, garante que o tratamento seja feito no melhor interesse deles e, para crianças, com o consentimento específico de pelo menos um dos pais ou do responsável legal quando essa for a base legal (LGPD, art. 14).
Mudanças nesta política
Podemos atualizar esta política quando o serviço ou a lei mudar. A data de vigência no topo mostra a versão atual. Mudanças relevantes são avisadas às clínicas clientes com antecedência.
Dúvidas? Escreva para [email protected].
As regras de uso do site, da demonstração e do serviço estão nos Termos de uso.