Política de Privacidade

Esta Política de Privacidade explica como a plataforma notodoc (app.notodoc.com.br), operada por PSGC Tecnologia Ltda - ME, inscrita no CNPJ sob o nº 59.607.814/0001-31, trata dados pessoais, em conformidade com a Lei Geral de Proteção de Dados — Lei nº 13.709/2018 (LGPD) — e com o Marco Civil da Internet (Lei nº 12.965/2014). Ela integra os Termos de Uso.

1. Papéis: quem responde por quais dados

A Plataforma envolve duas categorias distintas de dados, com papéis diferentes:

• Dados dos Usuários (profissionais de saúde e equipe que criam conta): o notodoc é o Controlador — decide como e por que esses dados são tratados.
• Dados dos Pacientes (registrados no prontuário pelo profissional): o Usuário/Clínica é o Controlador — o tratamento decorre da relação assistencial entre profissional e paciente — e o notodoc é o Operador: armazena e processa esses dados exclusivamente para prestar o serviço, conforme as instruções do Controlador, sem utilizá-los para finalidade própria.

Se você é Paciente de um profissional que usa o notodoc: os seus dados clínicos estão sob a responsabilidade do seu médico ou clínica. Para exercer seus direitos sobre eles (acesso, correção, cópia do prontuário etc.), procure diretamente o profissional. O notodoc dá ao profissional as ferramentas para atendê-lo e o auxilia no que for necessário.

2. Dados que coletamos

2.1. Dados dos Usuários (fornecidos no cadastro e nas configurações)

• Identificação civil: nome, CPF e data de nascimento (exigidos no cadastro para confirmar seu registro profissional junto ao Conselho Federal de Medicina), sexo (opcional), e-mail e senha (armazenada apenas como hash criptográfico irreversível);
• Dados profissionais: CRM e UF. No cadastro, confirmamos seu registro junto ao CFM e armazenamos o que o Conselho nos devolve — nome civil registrado, situação e tipo da inscrição, especialidades e data da última atualização no CFM. O nome e o CRM são impressos nos documentos médicos emitidos;
• Dados da clínica: nome, CNPJ, telefone e endereço (opcionais), papel timbrado;
• Assinatura digital: provedor escolhido (VIDaaS ou BirdID), CPF do titular do certificado e tokens técnicos da sessão de assinatura (armazenados criptografados);

2.2. Dados dos Pacientes (inseridos pelo profissional — tratados como Operador)

• Cadastrais: nome, nome social, CPF, RG, data de nascimento, sexo, telefone, e-mail, endereço, nome da mãe e dados de convênio;
• Dados sensíveis de saúde (LGPD art. 5º, II): evoluções de prontuário, diagnósticos (CID), prescrições, atestados, resultados de exames e anexos.

2.3. Dados coletados automaticamente

• Registros de acesso e trilha de auditoria: data/hora, conta, endereço IP, identificação do navegador (user-agent) e ação realizada — inclusive leituras de prontuário. Exigência do Marco Civil (art. 15) e medida de segurança e prestação de contas da LGPD;
• Telemetria técnica mínima de funcionamento, sem conteúdo clínico.

2.4. Medição de audiência e publicidade (só nas páginas públicas)

Nas páginas públicas de apresentação e de cadastro — e somente nelas — usamos ferramentas de medição de audiência e de publicidade: Google Analytics 4, Google Ads e Meta Pixel, carregadas por um gerenciador de tags (Google Tag Manager). Elas registram a navegação nessas duas páginas — telas vistas, origem da visita e o identificador do clique no anúncio — para sabermos quais anúncios trazem médicos que de fato se cadastram.

Separadamente dessas ferramentas, e sem depender delas, nós mesmos guardamos o identificador do clique que trouxe cada cadastro, no cookie notodoc_origem e depois no seu registro de conta. É informação nossa, que não sai do notodoc e não tem base legal no consentimento — está descrita, com a razão disso, na seção 4.1.

Nada disso identifica você sem o seu consentimento. Antes de você aceitar, nenhuma dessas ferramentas grava cookie ou cria identificador seu, e o Meta Pixel não é carregado de forma alguma. O gerenciador de tags é carregado e opera em modo restrito: envia ao Google o registro de que uma visita aconteceu — sem cookie e sem identificador, nada que permita reconhecer você ou ligar esta visita a qualquer outra. Ao aceitar, as ferramentas passam a operar por inteiro; ao recusar, permanecem restritas. Você muda de ideia nos dois sentidos quando quiser, pelo controle da seção 4.2.

Essas ferramentas não existem dentro da Plataforma. Nenhuma tag de medição roda em tela de prontuário, agenda, ficha de paciente ou documento. E quem garante esse limite não é a nossa disciplina de não colar o script no lugar errado: é a política de segurança de conteúdo que o seu navegador aplica a cada página, que simplesmente não autoriza esses domínios ali.

3. Para que usamos os dados e com que base legal

• Prestar o serviço (autenticação, prontuário, agenda, documentos, assinatura): execução de contrato (LGPD art. 7º, V) para dados de Usuários; para dados de Pacientes, atuamos como Operador sob a base legal do Controlador — em regra, tutela da saúde por profissional de saúde (art. 11, II, “f”);
• Segurança e auditoria (trilha de auditoria, registros de acesso, prevenção a fraude e abuso, limitação de tentativas de login): cumprimento de obrigação legal (art. 7º, II) e legítimo interesse (art. 7º, IX), com o mínimo de dados necessário;
• Comunicações operacionais (avisos de segurança, mudanças nos termos, suporte): execução de contrato e legítimo interesse. Não enviamos marketing sem consentimento;
• Cobrança da assinatura (processar o pagamento do plano, emitir fatura e controlar os prazos de teste gratuito e de regularização): execução de contrato (art. 7º, V). Aplica-se somente ao Usuário que contrata — secretárias não são cobradas — e nenhum dado de Paciente participa dessa finalidade;
• Medição de audiência e publicidade nas páginas públicas de apresentação e cadastro (seção 2.4): consentimento (art. 7º, I), colhido no aviso que aparece na primeira visita e revogável a qualquer momento. É a única finalidade da Plataforma que depende de consentimento — e a única que você pode recusar sem perder nada do serviço;
• Cumprimento de obrigações legais e regulatórias e exercício regular de direitos em processos (art. 7º, II e VI).

4. Cookies

Em toda a Plataforma, usamos apenas cookies essenciais — os que seguem. Cookies de medição e publicidade existem só nas páginas públicas de apresentação e cadastro, dependem do seu consentimento e estão listados mais abaixo.

4.1. Essenciais (não dependem de consentimento)

• prontuario_session: cookie de sessão autenticada (httpOnly), necessário para manter o login. Expira em poucas horas;
• notodoc_aviso_cobranca: guarda o instante em que o Usuário fechou o aviso de cobrança no topo da tela, para não reexibi-lo por 24 horas. Não é httpOnly (é escrito pelo próprio navegador), não identifica ninguém e contém apenas esse instante;
• contactData: dado do canal de atendimento (nome, e-mail e um identificador da conversa), gravado localmente no navegador pelo widget de suporte quando você abre a landing ou a página de Suporte. Não é cookie de publicidade nem de rastreamento entre sites, e não é lido fora dessas duas telas;
• notodoc_consentimento_medicao: registra a sua decisão sobre a medição (seção 2.4) — “aceito” ou “recusado”, e nada além disso. É essencial justamente por ser o que nos permite honrar a sua escolha, inclusive a recusa. Vale para todo o domínio notodoc.com.br, para você não ser perguntado de novo ao passar da página de apresentação para a de cadastro, e expira em 6 meses — depois disso perguntamos outra vez;
• notodoc_origem: quando você chega por um anúncio nosso, guarda o identificador daquele clique e os parâmetros de campanha que vieram no endereço, para sabermos qual anúncio trouxe qual cadastro. É httpOnly — nenhum script da página consegue lê-lo — e vale para todo o domínio notodoc.com.br, porque a página de apresentação e a de cadastro ficam em endereços diferentes e sem isso a informação se perderia no caminho entre uma e outra. Expira em 30 dias. Ao criar a conta, esse dado é copiado para o seu cadastro e o cookie deixa de ser necessário. É nosso, não é enviado a terceiros e não acompanha você fora do notodoc;
• Preferência de tema (claro/escuro), armazenada localmente no navegador.

O notodoc_origem e a cópia dele no seu cadastro não esperam o aviso de cookies, e a razão é que não são da mesma natureza dos itens da seção 4.2: não são ferramenta de terceiro, não saem do notodoc e existem apenas para que possamos atribuir a nossa própria publicidade. A base legal é o legítimo interesse (LGPD, art. 7º, IX). Você pode se opor a esse tratamento a qualquer momento (art. 18, §2º), escrevendo para contato@notodoc.com.br — e isso não limita nada do seu uso da plataforma.

4.2. Medição e publicidade (só com o seu consentimento)

Presentes apenas na página de apresentação e na de cadastro, e criados somente depois de você aceitar:

• Google Analytics 4 (_ga e correlatos): distingue visitas e sessões para medir audiência. Não identifica você pelo nome;
• Google Ads (_gcl_*): guarda o identificador do clique no anúncio, para ligar uma assinatura à campanha que a trouxe;
• Meta Pixel (_fbp): mesma função, do lado do Facebook e do Instagram.

Se você recusar, nenhum deles é criado — e a recusa não limita nada: você se cadastra e usa a Plataforma exatamente igual.

Mudar de ideia, agora:

5. Com quem compartilhamos dados

Não vendemos dados pessoais, e nenhum dado de Paciente é compartilhado para publicidade em hipótese alguma. Fora da medição descrita na seção 2.4 — que alcança só o Usuário, só nas páginas públicas e nos limites ali descritos —, não compartilhamos dados para finalidade publicitária. O compartilhamento limita-se a:

• Google Cloud Platform (hospedagem, banco de dados e armazenamento de arquivos): infraestrutura localizada na região de São Paulo, Brasil (southamerica-east1), atuando como suboperador, com criptografia em trânsito e em repouso;
• VALID Certificadora (VIDaaS) ou Soluti Certificadora (BirdID), conforme o provedor escolhido pelo Usuário: quando o Usuário assina um documento, o fluxo de assinatura envia à certificadora o resumo criptográfico (hash) do documento e a identificação do titular do certificado — não o prontuário em si;
• Conselho Federal de Medicina (CFM), no cadastro de médico: enviamos CPF, data de nascimento, número e UF do CRM para confirmar que o registro profissional pertence a quem se cadastra e que está regular. O CFM devolve nome, situação da inscrição e especialidades registradas. A consulta ocorre uma única vez, no cadastro (ou quando o próprio médico pede a alteração do seu CRM) — não há reconsulta periódica. Bases legais: execução de contrato (art. 7º, V) e exercício regular de direito (art. 7º, VI), já que emitir receita e atestado pela Plataforma pressupõe registro médico habilitado;
• Resend (envio de e-mail transacional: ativação de conta, redefinição de senha e aviso de tentativa de cadastro): recebe o endereço de e-mail e o conteúdo da mensagem. Nenhum dado de paciente trafega por e-mail;
• Stripe (processamento do pagamento da assinatura, quando o Usuário decide assinar): recebe o endereço de e-mail do Usuário e um identificador interno da conta, e devolve os dados de cobrança que ele mesmo informa no pagamento (nome no cartão e endereço de cobrança), além da situação da assinatura. Os dados do cartão são digitados na página do Stripe e nunca transitam pela Plataforma. Nenhum dado de Paciente — e nenhum dado de prontuário — é enviado ao Stripe. Atua como operador; a infraestrutura dele está nos Estados Unidos (ver seção 6);
• ViaCEP (consulta pública de CEP no cadastro de endereço): recebe apenas o CEP consultado;
• Whaticket (canal de atendimento por chat, disponível na página pública de apresentação e na página de Suporte dentro da Plataforma): recebe seu nome, e-mail e um identificador da sua conta, além do conteúdo das mensagens que você escrever. O chat é oferecido apenas nessas duas telas, e nunca em telas de prontuário, agenda ou ficha de paciente — nenhum dado é coletado automaticamente do que está na sua tela. Como o atendimento existe para resolver problemas de uso, é possível que você descreva um caso concreto e, ao fazê-lo, informe dado de paciente: nesse caso, esse conteúdo transita e fica registrado no histórico do atendimento;
• Google (Google Analytics 4, Google Ads e Google Tag Manager), se você consentir com a medição: recebe a navegação nas páginas públicas de apresentação e cadastro e o identificador do clique no anúncio (seção 2.4). Atua como operador; infraestrutura nos Estados Unidos (ver seção 6);
• Meta (Meta Pixel), nas mesmas condições e com o mesmo conteúdo, do lado do Facebook e do Instagram. Atua como operador; infraestrutura nos Estados Unidos (ver seção 6);
• Autoridades públicas, mediante obrigação legal ou ordem judicial, no limite estrito da determinação;
• Validação pública de documento: quem recebe um documento emitido (ex.: farmácia) pode conferi-lo por token e código de desbloqueio fornecidos pelo próprio documento — o acesso é restrito àquele documento e registrado em auditoria.

6. Transferência internacional

O prontuário e todos os dados de Pacientes ficam no Brasil (região São Paulo do Google Cloud). Nada de conteúdo clínico sai do país.

As transferências internacionais são duas, e nenhuma delas envolve dado de Paciente:

• Cobrança: o Stripe processa o pagamento da assinatura em infraestrutura nos Estados Unidos, recebendo o e-mail e o identificador interno da conta (seção 5). É inerente ao serviço contratado;
• Medição de anúncios: Google e Meta tratam em infraestrutura nos Estados Unidos os dados descritos na seção 2.4. Esta só acontece se você consentir, e cessa se você revogar.

Ambas ocorrem com as salvaguardas do art. 33 da LGPD, mediante cláusulas contratuais que asseguram o cumprimento da lei brasileira.

Se alguma operação acessória implicar outra transferência (ex.: mecanismos globais de suporte do provedor de nuvem), ela seguirá o mesmo art. 33, para países ou organismos com grau de proteção adequado ou mediante cláusulas contratuais equivalentes.

7. Como protegemos os dados

• Criptografia em trânsito (HTTPS/TLS) e em repouso;
• Senhas armazenadas com algoritmo de hash moderno e resistente (Argon2id); tokens de integração criptografados em repouso;
• Controle de acesso por perfil: contas administrativas, clínicas e de secretariado têm permissões distintas; conteúdo clínico é restrito ao profissional autor, salvo compartilhamento expresso e revogável;
• Trilha de auditoria completa (inclusive leituras de prontuário) e verificação de integridade dos registros clínicos por encadeamento de hashes;
• Isolamento por clínica (multi-tenant), limitação de tentativas de login, proteção de borda (WAF) e política de segurança de conteúdo (CSP) no navegador;
• Cópias de segurança rotineiras e segregação de credenciais em cofre de segredos.

Nenhum sistema é infalível. Em caso de incidente de segurança com risco ou dano relevante a titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os afetados — diretamente ou por meio do Controlador, no caso de dados de Pacientes — nos termos do art. 48 da LGPD.

8. Por quanto tempo guardamos os dados

• Dados de conta do Usuário: enquanto a conta existir e, após o encerramento, pelo prazo necessário ao cumprimento de obrigações legais e ao exercício regular de direitos;
• Prontuários e documentos de Pacientes: enquanto a conta do Controlador estiver ativa. No encerramento da conta, o Controlador tem 60 dias para exportá-los; depois são eliminados de forma segura (a guarda legal de 20 anos do prontuário — Lei nº 13.787/2018 — é obrigação do profissional/Clínica, conforme os Termos de Uso);
• Registros de acesso: no mínimo 6 meses (Marco Civil, art. 15); a trilha de auditoria clínica é conservada por prazo compatível com a guarda do prontuário, por ser parte da sua integridade e rastreabilidade;
• Cópias de segurança: expiram em ciclo próprio de retenção após a eliminação do dado primário.

9. Seus direitos (LGPD art. 18)

O titular de dados pode solicitar: confirmação de tratamento, acesso, correção, anonimização ou eliminação de dados desnecessários, portabilidade, informação sobre compartilhamentos, revisão de decisões automatizadas (a Plataforma não toma decisões automatizadas com efeito sobre titulares) e revogação de consentimento, quando essa for a base legal.

• Usuários: solicite pelo e-mail contato@notodoc.com.br. Responderemos nos prazos da LGPD;
• Pacientes: dirija a solicitação ao seu médico/clínica (Controlador). Se acionado diretamente, o notodoc encaminhará a solicitação ao Controlador e o auxiliará no atendimento.

A eliminação de dados clínicos a pedido do Paciente pode ser limitada pela obrigação legal de guarda do prontuário, que prevalece nos termos da lei.

10. Crianças e adolescentes

A Plataforma não é destinada ao uso por menores de 18 anos. Dados de Pacientes menores de idade podem constar do prontuário, sempre sob responsabilidade do profissional (Controlador), no contexto da tutela da saúde e com observância do melhor interesse do menor (LGPD art. 14).

11. Encarregado e contato

O canal para assuntos de privacidade e proteção de dados, inclusive contato com o Encarregado (DPO), é: contato@notodoc.com.br.

12. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças na Plataforma ou na legislação. A versão vigente, com data de atualização, estará sempre publicada nesta página; alterações materiais serão comunicadas aos Usuários com antecedência mínima de 15 (quinze) dias.