Política de Privacidade

1. Quem somos

O MedRaphAI é uma plataforma de software usada por clínicas, hospitais e outros serviços de saúde para agendar, cobrar e realizar consultas, presenciais e por vídeo, e para guardar o prontuário. Esta política explica como tratamos dados pessoais, nos termos da Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018).

O MedRaphAI não presta serviço de saúde. Quem atende você, define o preço, contrata os profissionais e decide sobre os dados do atendimento é a clínica que você escolheu.

2. Controlador e operador

Somos controladores dos dados da sua conta de login (nome, e-mail, senha e celular), da segurança e dos registros de acesso, do suporte da plataforma, das comunicações da plataforma e do cadastro e faturamento das clínicas.

Para os dados do atendimento (agenda, consulta, prontuário, receitas, atestados, transcrição, assistente com inteligência artificial, pagamento e avisos da consulta), a controladora é a clínica. Nesse caso somos operadores: tratamos os dados só para a clínica e conforme as instruções dela (LGPD, arts. 5º, VI e VII, e 39). As regras desses dados estão na política e no termo de consentimento da clínica.

A sua conta é uma só para todas as clínicas que usam o MedRaphAI. Cada clínica vê apenas o atendimento que ela fez; não existe prontuário único compartilhado entre clínicas.

3. Dados que coletamos

Conta: nome, e-mail, senha (guardada apenas como resumo criptográfico, nunca em texto), celular com WhatsApp, vínculos com clínicas e papéis.

Segurança: tentativas de login, bloqueios, segundo fator de autenticação, quando ativado, e registros de auditoria sem conteúdo clínico.

Registros de acesso: data, hora, endereço IP, porta de origem e a rota acessada, sem senha, token ou dado clínico.

Clínicas: razão social, CNPJ, representantes, uso medido, faturas e pagamentos à plataforma.

Dados de saúde do atendimento são tratados por nós apenas como operadores, em nome da clínica.

4. Finalidades e bases legais

Criar e manter a conta e permitir o uso do serviço: execução de contrato ou de procedimentos preliminares a pedido do titular (art. 7º, V).

Proteger a conta e a plataforma contra acesso indevido e fraude e investigar incidentes: legítimo interesse (art. 7º, IX) e obrigação legal de segurança (arts. 7º, II, e 46).

Guardar registros de acesso à aplicação: obrigação legal (art. 7º, II; Marco Civil da Internet, Lei 12.965/2014, art. 15).

Cobrar o serviço da clínica e cumprir obrigações fiscais: execução de contrato e obrigação legal (art. 7º, V e II).

Para os dados de saúde do atendimento, a base legal é escolhida pela clínica, por exemplo a tutela da saúde (art. 11, II, "f") ou o cumprimento da obrigação legal de guardar o prontuário (art. 11, II, "a"). O uso de inteligência artificial depende do seu consentimento ao termo da clínica.

Não vendemos dados. Não usamos os dados do atendimento para treinar inteligência artificial, para publicidade ou para estatística própria. Não fazemos marketing hoje; se passarmos a fazer, pediremos consentimento, com descadastro fácil.

5. Compartilhamento

Compartilhamos dados só com quem precisa deles para o serviço funcionar: o provedor do servidor onde a plataforma roda, o provedor de envio de e-mail, a Stripe (pagamentos), contadores e advogados (obrigações fiscais e defesa de direitos) e autoridades, quando a lei ou uma ordem judicial exigir.

MEMED: quando o médico emite receita, pedido de exame ou atestado, os dados necessários à emissão (do médico e do paciente) são enviados à MEMED, onde o documento é assinado com o certificado digital ICP-Brasil do médico.

Provedores de inteligência artificial: quando a clínica usa transcrição e assistente e você aceitou o termo de IA, partes da consulta são enviadas a esses provedores para processamento. A lista com o nome, a finalidade e o país de cada um fica no termo da clínica.

Pagamentos: os dados do cartão são digitados no campo da Stripe e nunca passam pelos nossos servidores.

6. Transferência internacional

Alguns fornecedores, em especial os provedores de inteligência artificial, podem tratar dados fora do Brasil. Para os dados de saúde do atendimento, isso só acontece com o seu consentimento ao termo da clínica e com contrato de tratamento de dados com o fornecedor.

Nas transferências, usamos uma das hipóteses do art. 33 da LGPD, preferencialmente as cláusulas-padrão aprovadas pela ANPD (Res. CD/ANPD 19/2024). Você pode pedir cópia das cláusulas pelo canal do encarregado.

7. Por quanto tempo guardamos

Dados da conta: enquanto a conta existir e, depois, só pelo tempo que a lei exigir ou para exercício de direitos (LGPD, arts. 15 e 16).

Registros de acesso: no mínimo 6 meses, em sigilo (Marco Civil, art. 15).

Prontuário e documentos do atendimento: no mínimo 20 anos, sob responsabilidade da clínica (Lei 13.787/2018, art. 6º). Nada no sistema apaga o prontuário.

O áudio da consulta não é gravado. O texto da transcrição e as sugestões do assistente são apagados quando o atendimento fecha.

Documentos fiscais e de pagamento: pelo prazo da legislação fiscal. Cópias de segurança cifradas são apagadas depois do prazo de retenção do backup.

8. Segurança

Usamos medidas técnicas e administrativas adequadas a dados de saúde (LGPD, art. 46): conexão cifrada, dados de cada clínica separados, conteúdo clínico cifrado, senha guardada só como resumo, segundo fator de autenticação para a equipe, nenhum token em endereço de página, trilha de auditoria que não pode ser alterada e cópias de segurança cifradas.

Nenhuma medida elimina todo risco. Se houver incidente que possa causar risco ou dano relevante, o controlador comunica a ANPD e os titulares (LGPD, art. 48).

9. Seus direitos e como exercê-los

Você pode pedir, de graça: confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei; portabilidade; eliminação dos dados tratados com consentimento, salvo as exceções legais; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir; e revogação do consentimento (LGPD, art. 18).

Você também pode pedir a revisão de decisão tomada só por tratamento automatizado (art. 20). A plataforma não toma decisão clínica automatizada: toda sugestão passa pelo profissional.

Para os dados de que somos controladores, use o canal do encarregado indicado nesta página. Para os dados do atendimento, fale com a clínica; se o pedido chegar a nós, nós o encaminhamos à clínica e avisamos você.

Exclusão da conta: excluímos os dados da conta de que somos controladores, mas não o prontuário e os documentos que as clínicas devem guardar por lei. Enquanto a exclusão não estiver disponível na própria tela, o pedido é feito pelo canal do encarregado.

Você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) ou ao órgão de defesa do consumidor.

10. Encarregado (DPO)

O encarregado pelo tratamento de dados pessoais do MedRaphAI recebe os pedidos dos titulares e as comunicações da ANPD (LGPD, art. 41) pelo e-mail de privacidade indicado nesta página.

11. Cookies

Usamos apenas cookies necessários: o cookie de sessão (HttpOnly, que o JavaScript não lê) e o de preferência de tema. Não usamos cookies de publicidade nem ferramentas de analytics de terceiros, e não carregamos fontes ou scripts externos.

12. Crianças e adolescentes

A conta de paciente menor de 18 anos deve ser criada e usada pelo pai, mãe ou responsável legal, que consente pelo menor quando necessário (LGPD, art. 14).

13. Alterações desta política

Avisamos mudanças relevantes por e-mail e na plataforma com antecedência. A versão aceita, a data e a hora do aceite ficam registradas.