Política de Privacidade

Esta política explica como o WayClinic (“WayClinic”, “nós”) trata dados pessoais, em conformidade com a Lei nº 13.709/2018 — a Lei Geral de Proteção de Dados (LGPD).

1. Dois papéis diferentes

A WayClinic atua de duas formas distintas, e é importante separá-las:

• Como controladora, quando trata dados de visitantes do site e das pessoas que nos procuram para contratar o sistema (formulário de contato, e-mail, WhatsApp).
• Como operadora, quando trata os dados que a clínica cliente insere na plataforma — inclusive dados de pacientes. Nesse caso, a clínica é a controladora: é ela quem decide o que coletar, por quanto tempo manter e com quem compartilhar. Nós apenas processamos esses dados conforme as instruções da clínica e o contrato firmado.

2. Dados que tratamos

2.1. Visitantes do site

• Dados que você digita no formulário de contato: nome, e-mail, telefone, nome da clínica, cidade, porte da equipe e a mensagem.
• Registros técnicos de acesso: endereço IP, data e hora, navegador e página de origem — usados para segurança, prevenção de abuso e diagnóstico de erros.

2.2. Usuários da plataforma

• Nome, e-mail, perfil de acesso e permissões.
• Senha, guardada exclusivamente como hash — não temos acesso à senha em texto legível.
• Registro de auditoria das ações realizadas no sistema (autor, ação, data e hora).
• Segredo da verificação em duas etapas, quando ativada, guardado com criptografia.

2.3. Dados de pacientes

São inseridos pela clínica e podem incluir dados sensíveis de saúde. A WayClinic não os utiliza para qualquer finalidade própria, não os comercializa e não os cruza entre clínicas. O acesso da nossa equipe é restrito a situações de suporte técnico solicitado pela clínica ou a operações de manutenção indispensáveis, sempre com registro.

Quando a clínica usa o portal do paciente, o próprio paciente acessa parte desses dados (consultas, documentos, pagamentos e, se a clínica liberar, resultados de exames) depois de se identificar por CPF, data de nascimento e um código enviado ao telefone ou e-mail cadastrado pela clínica.

3. Para que usamos e com qual base legal

• Responder ao seu contato e apresentar propostas — execução de procedimentos preliminares a contrato e legítimo interesse (art. 7º, V e IX).
• Fornecer e manter a plataforma — execução do contrato (art. 7º, V).
• Segurança, prevenção a fraude e registro de auditoria — legítimo interesse e cumprimento de obrigação legal (art. 7º, II e IX).
• Cumprir obrigações fiscais e regulatórias — obrigação legal (art. 7º, II).
• Tratamento de dados de saúde na plataforma — tutela da saúde, realizada por profissionais de saúde ou serviços de saúde (art. 11, II, “f”), sob responsabilidade da clínica controladora.

4. Cookies e rastreamento

Este site não usa cookies de publicidade, nem redes de rastreamento de terceiros. Utilizamos apenas o cookie de sessão necessário ao funcionamento — por exemplo, para manter o token de segurança do formulário e o seu login na plataforma ou no portal do paciente. Ele é essencial e não depende de consentimento prévio nos termos do art. 7º, V da LGPD.

As fontes tipográficas do site são carregadas do Google Fonts, o que expõe o seu endereço IP a esse serviço para a entrega do arquivo. Nenhum outro dado é enviado.

5. Compartilhamento

Compartilhamos dados somente quando necessário e sempre com finalidade definida:

• Provedor de hospedagem e infraestrutura, no Brasil, para armazenar e servir a aplicação.
• Armazenamento de arquivos (Bunny.net, região de São Paulo), para exames e documentos anexados — os arquivos são cifrados antes de sair do nosso servidor, e o provedor não tem a chave.
• Mensageria de WhatsApp (WayBot), quando a clínica ativa confirmações, lembretes, o bot de agendamento ou o código de acesso do portal — trafegam o telefone e o nome do paciente, a data, o horário e o profissional da consulta, e as mensagens trocadas com o bot.
• Pagamentos e nota fiscal (Safe2Pay), quando a clínica cobra por PIX ou boleto ou emite NFS-e — trafegam nome, CPF, contato e endereço do pagador, o valor e a descrição do serviço. A cobrança é feita na conta da própria clínica; não recebemos nem guardamos dados de cartão.
• Inteligência artificial (OpenAI), somente quando a clínica ativa o assistente e um profissional pede um rascunho. Antes do envio, nome, CPF, telefones e e-mails do paciente são retirados do texto. O áudio de consulta gravado é transcrito e apagado em seguida. A imagem de um laudo escaneado só é enviada depois de confirmação expressa de quem está usando o sistema, pois nela não é possível retirar a identificação. Os dados enviados pela API da OpenAI não são usados para treinar modelos, e o sistema pede que a conversa não fique guardada para consulta posterior.
• Teleconsulta: o vídeo e o áudio trafegam diretamente entre o aparelho do profissional e o do paciente, sem gravação. Servidores de conexão (STUN/TURN) podem intermediar o tráfego cifrado quando a rede exige, sem acesso ao conteúdo.
• Autoridades públicas, mediante requisição legal ou ordem judicial.

Não vendemos dados pessoais. Não usamos dados de clínicas ou de pacientes para treinar modelos, montar bases comerciais ou alimentar publicidade.

6. Transferência internacional

O assistente de IA é processado pela OpenAI, nos Estados Unidos — por isso só recebe texto sem a identificação direta do paciente, e só quando a clínica ativa o recurso. Essa e qualquer outra transferência para fora do Brasil observa as garantias do art. 33 da LGPD, com cláusulas contratuais adequadas e nível de proteção compatível com a legislação brasileira.

7. Por quanto tempo guardamos

• Contatos comerciais: até 24 meses após o último contato, ou antes disso se você pedir a exclusão.
• Dados da plataforma: enquanto durar o contrato com a clínica. Encerrado o contrato, os dados ficam disponíveis para exportação por 30 dias e são então eliminados, ressalvadas as hipóteses do art. 16 da LGPD.
• Áudio de consulta gravado para a IA: apagado assim que é transcrito.
• Arquivo de exportação gerado pela clínica: apagado 48 horas depois de criado.
• Registros de acesso: pelo prazo do art. 15 do Marco Civil da Internet.

8. Como protegemos

• Tráfego cifrado por HTTPS em todas as páginas e chamadas de API.
• Prontuário, pré-atendimento, resultados de exames, transcrições e arquivos anexados guardados com criptografia.
• Senhas armazenadas apenas como hash (Argon2id) e verificação em duas etapas disponível no login.
• Isolamento lógico entre clínicas: toda consulta ao banco carrega a identificação da clínica.
• Controle de acesso por perfil e por permissão individual, com revogação imediata.
• Proteção contra CSRF nas operações de escrita e limite de tentativas de login.
• Registro de auditoria das ações relevantes, inclusive de quem abriu cada registro de paciente, consultável pela clínica.
• Nenhum dado de paciente guardado no aparelho quando o sistema é instalado como aplicativo.

Nenhum sistema é imune a incidentes. Se ocorrer um incidente de segurança relevante, comunicaremos a clínica controladora e a Autoridade Nacional de Proteção de Dados nos prazos e formas previstos no art. 48 da LGPD.

9. Seus direitos

A LGPD garante ao titular: confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade, informação sobre compartilhamentos, revogação do consentimento e oposição a tratamento feito com base em legítimo interesse.

Se você é paciente de uma clínica que usa o WayClinic, o pedido deve ser dirigido à clínica, que é a controladora dos seus dados. Encaminharemos a ela qualquer solicitação que chegue até nós.

10. Encarregado (DPO) e contato

Pedidos relacionados a dados pessoais podem ser enviados para contato@wayclinic.com.br. Respondemos em até 15 dias.

11. Alterações desta política

Quando o texto mudar de forma relevante, atualizamos a data no topo desta página e, no caso de clientes ativos, avisamos por e-mail. Recomendamos a leitura periódica.

Dúvidas sobre este documento? Escreva para contato@wayclinic.com.br ou use a página de contato.