Privacidade e proteção de dados

1. Os dois conjuntos de dados

Dados da profissional que assina

Nome, e-mail, telefone, registro profissional, cidade, dados de cobrança e o que ela escolher publicar na página pública.

Aqui o Gradiva é o controlador: somos nós que decidimos coletar isso, e por quê.

Dados dos pacientes

Nome, data de nascimento, diagnóstico, evoluções, laudos, avaliações, responsáveis, valores — tudo o que a profissional registra sobre quem ela atende.

Aqui é o contrário: a clínica é a controladora e o Gradiva é apenas operador. Nos processamos esses dados em nome dela, seguindo as instruções dela. Não decidimos o que ela coleta, não usamos esses dados para finalidade própria e não os acessamos fora do necessário para operar o serviço.

Na prática: a relação com o paciente e com a família e da profissional. O consentimento, o contrato e o dever de guarda do prontuário são dela. Nos somos a infraestrutura.

2. Dado sensível de saúde

Prontuário e dado pessoal sensível (art. 5o, II). A maior parte dos titulares aqui e criança ou adolescente, o que exige cuidado adicional (art. 14): o tratamento se da no melhor interesse do titular e com consentimento de ao menos um dos pais ou responsável legal — consentimento que a profissional obtém, não a plataforma.

A base legal do tratamento pela clínica costuma ser a tutela da saúde (art. 11, II, “f”), exercida por profissional de saúde. Confirme com sua assessoria qual base se aplica a sua prática.

3. O que fazemos para proteger

Estas não são promessas genéricas — são decisões de arquitetura:

Isolamento por clínica

Cada clínica tem sua própria área no banco de dados, separada estruturalmente das demais. Não é um filtro em tabela compartilhada que alguém possa esquecer de aplicar: uma clínica não alcança dado de outra nem por erro de programação.

Arquivos fora do alcance da internet

Laudo, protocolo preenchido e PDF de avaliação ficam em área que o servidor web não pública. Não existe endereço que abra o arquivo direto, nem para quem descobrir o nome dele — que, aliás, e aleatório e não revela paciente nem conteúdo.

Trilha de acesso

Toda leitura e toda alteração de prontuário ficam registradas com data, hora e endereço de rede. A profissional le essa trilha na própria ficha do paciente — é um direito do titular saber quem acessou o dele.

Nada de prontuário no aparelho

O sistema funciona como aplicativo instalável, mas não guarda página autenticada no dispositivo. Guardar deixaria nome, diagnóstico e evolução legíveis no celular depois do logout.

Senhas e links

Senhas são guardadas como hash, nunca em texto. Link de redefinição também: o banco guarda apenas o resumo criptográfico dele, tem prazo e uso único.

Transporte cifrado

O acesso é por HTTPS. A sessão usa cookie restrito ao próprio site e inacessível a scripts.

Registro de acesso ao sistema

Para reconhecer tentativa de invasao e uso indevido, guardamos de cada pedido feito ao sistema: data e hora, endereço IP, o navegador declarado e o endereço pedido. Não guardamos o conteúdo do que é enviado — senha, texto de evolução e arquivo não entram nesse registro.

Quando o pedido vem de quem está com a sessão aberta, o endereço é guardado sem os identificadores: registra-se que a tela de um paciente foi aberta, não qual paciente. Quem abriu qual prontuário é a trilha de acesso descrita acima, que vive dentro da área da própria clínica.

4. O que NÃO fazemos

• Não vendemos dados, nem os cedemos para publicidade.
• Não há rastreadores de terceiros. Nenhum Google Analytics, pixel de rede social ou mapa de calor. Nenhuma página carrega recurso de outro domínio — fontes, estilos e scripts são servidos por nos.
• Não há cookie de marketing. O sistema usa um cookie, o de sessão, que existe para manter você conectada. E guarda no navegador uma única preferência: se o menu lateral esta recolhido.
• Não usamos dado de paciente para treinar nada, nem para estatística própria, nem para melhorar produto.

5. Com quem os dados são compartilhados

Somente com quem é necessário para o serviço existir, e nada além disso:

• Hospedagem: Hostinger. Os servidores ficam fora do Brasil — veja Transferência internacional, logo abaixo. [confirmar o país do datacenter]
• Consulta de CEP: ViaCEP, serviço público de consulta de endereços. Quando um CEP é digitado, o nosso servidor pergunta o logradouro — o navegador de quem está preenchendo nunca fala com esse serviço. Vai só o CEP: oito dígitos, sem nome, sem quem perguntou e sem qualquer dado de paciente.
• Localização de endereço IP: ipwho.is. Quando um acesso é identificado como tentativa de invasão, o nosso servidor pergunta de que país e cidade aquele endereço IP vem, para que a equipe consiga reconhecer uma varredura. Vai só o endereço IP — sem nome, sem quem acessou, sem qualquer dado de paciente — e somente de acesso suspeito: quem apenas navegou não é consultado.
• Envio de e-mail: um provedor de e-mail transacional, para os e-mails que o sistema envia. Recebe apenas o endereço da destinatária e o conteúdo da mensagem do sistema (redefinição de senha, aviso de acesso). Nunca dado de paciente.
• Cobrança da assinatura: Asaas (Asaas Gestão Financeira S.A., Brasil), que emite a cobrança do acesso à plataforma. Recebe o nome, CPF ou CNPJ, e-mail e telefone da profissional, e os dados de endereço que ela preencher ao pagar. Nunca dado de paciente. Dados de cartão são digitados direto na página do Asaas e não passam pelo nosso servidor.
• WhatsApp: só quando a profissional escolhe o envio automático. Nesse caso a mensagem que ela redigiu passa pela Meta. No modo padrão do sistema, nada e enviado por nos — a conversa abre no WhatsApp dela.

Fora isso, dados só são entregues mediante ordem judicial ou requisição de autoridade competente, e a clínica é informada sempre que a lei permitir.

O canal de suporte

Quando a profissional abre um chamado, o que ela escreve e anexa fica guardado na plataforma e é lido pela nossa equipe. Pedimos que ela não inclua dados de paciente — mas um relato real às vezes traz um primeiro nome ou uma imagem de tela, e por isso tratamos essas conversas com o mesmo cuidado do prontuário: arquivos fora do alcance direto do servidor web, acesso restrito à equipe e registro de quem leu cada chamado. O atendimento feito por WhatsApp ou telefone pode ser registrado no mesmo canal, e a clínica vê o que foi registrado.

Cupom de indicação

Quem se cadastra com o cupom de uma profissional parceira fica ligado a esse cupom, porque é ele que dá o desconto. A parceira vê apenas quantas indicações dela estão em dia — nunca o nome, o e-mail ou qualquer outro dado de quem se cadastrou.

Transferência internacional

Os servidores que guardam o prontuário ficam fora do Brasil [confirmar o país]. A transferência se apoia nas garantias do art. 33 da LGPD — cláusulas contratuais com o fornecedor de hospedagem. O mesmo vale para os demais fornecedores desta lista que tratem dados fora do país. Se isso mudar, a página é atualizada antes.

6. Por quanto tempo guardamos

• Prontuário: pelo prazo que a legislação e o conselho profissional exigem da clínica. Suspender ou cancelar a assinatura não apaga nada: o acesso e cortado, os dados continuam guardados.
• Trilha de acesso: mantida enquanto o prontuário existir — e ela que prova quem acessou o que.
• Registro de acesso ao sistema: 30 dias para o tráfego comum e 180 dias para o que foi identificado como tentativa de invasão. O prazo maior existe porque campanha de varredura volta meses depois, e reconhecê-la é o que torna o registro útil.
• Dados da profissional: enquanto a conta existir, e depois pelo prazo necessário para obrigação legal (fiscal, por exemplo).

A eliminação definitiva de uma clínica e feita apenas mediante pedido formal dela, por procedimento manual e registrado. Não existe botão de excluir cliente, e isso é deliberado: apagar a área de uma clínica apagaria o prontuário de todas as crianças que ela atende.

7. Direitos do titular

Quem tem dados tratados aqui pode, a qualquer momento (art. 18): confirmar o tratamento, acessar os dados, corrigir dado incompleto ou desatualizado, pedir anonimização ou bloqueio, pedir portabilidade, pedir eliminação, saber com quem foram compartilhados e revogar consentimento.

Para quem pedir: se você é paciente ou responsável, o pedido vai a profissional que atende — ela é a controladora daqueles dados e tem as ferramentas para atendê-la, inclusive a trilha de acesso. Se você é a profissional, ou tem dúvida sobre os dados da sua própria conta, fale conosco no contato abaixo.

Prazo: pedidos são respondidos de imediato, em formato simplificado, ou em até 15 dias quando exigem declaração completa (art. 19). Se a resposta não vier, ou não resolver, o titular pode reclamar à Autoridade Nacional de Proteção de Dados (art. 18, §1º), em gov.br/anpd.

8. Incidentes

Se houver incidente de seguranca com risco relevante, comunicamos a clínica afetada e a Autoridade Nacional de Proteção de Dados nos prazos da lei, com o que se sabe e o que está sendo feito.

9. Contato

Controlador: GMZ ADMINISTRAÇÃO LTDA, CNPJ 59.323.398/0001-40, com endereço cadastral em Avenida dos Expedicionários, nº 2022, apto B202, Jardim Caviúna, Rolândia/PR, CEP 86.605-016, que atua sob a marca Seatech e opera a plataforma Gradiva.
Encarregado pelo tratamento de dados (DPO): Gabriel Paulo da Silva — dpo@seatech.com.br.

Dúvidas sobre esta página, ou pedido relativo a dados da sua conta: escreva para dpo@seatech.com.br.

10. Mudanças nesta página

Alterações relevantes são avisadas às clínicas ativas por e-mail antes de passarem a valer. A data no topo indica a última revisão.

Esta página integra os Termos de Uso, que descrevem as regras de uso da plataforma.