Política de Privacidade

1. Objetivo desta política

Este documento explica como D. R. Gomes Marketing, inscrita no CNPJ sob o nº 28.424.122/0001-24, com sede em Av. Nazaré, 1065 — Rio de Janeiro/RJ, trata dados pessoais na plataforma Clinic In Flow, conforme a Lei nº 13.709/2018 (LGPD).

Ele vale tanto para a clínica que contrata o serviço quanto para os pacientes que conversam com o assistente pelo WhatsApp.

2. Quem é controlador e quem é operador

Esta é a parte mais importante do documento, porque define de quem é cada responsabilidade.

Em relação aos dados dos pacientes — nome, telefone, mensagens trocadas, agendamentos — a clínica contratante é a CONTROLADORA. É ela quem decide coletar, para qual finalidade e por quanto tempo. Nós atuamos como OPERADORES: tratamos esses dados exclusivamente para executar o serviço contratado e seguindo as instruções da clínica.

Em relação aos dados de cadastro da própria clínica e de seus usuários — nome, e-mail, telefone de contato, dados de cobrança — nós somos os CONTROLADORES.

Na prática: se um paciente quiser exercer direitos sobre os dados dele, o pedido deve ser dirigido à clínica, que tem as ferramentas no painel para atendê-lo. Damos suporte à clínica nesse processo.

3. Dados que tratamos

A plataforma trata as seguintes categorias de dados:

• Da clínica: razão social ou nome do profissional, endereço, especialidades, convênios, serviços e preços cadastrados.
• Dos usuários do painel: nome, e-mail, senha (armazenada de forma criptografada) e registros de acesso.
• Dos pacientes: nome, telefone, conteúdo das mensagens trocadas com o assistente, agendamentos e as anotações que a clínica registrar.
• De uso: métricas de volume de mensagens e documentos, para controle de plano e faturamento.
• De pagamento: processados diretamente pelo provedor de pagamentos. Não armazenamos números de cartão.

4. Dados de saúde

Conversas com um consultório podem conter dados sensíveis de saúde, protegidos pelo art. 11 da LGPD.

A plataforma não solicita esse tipo de informação e o assistente é orientado a não pedir detalhes clínicos. Ainda assim, o paciente pode espontaneamente relatar um sintoma ao escrever.

Esses dados recebem o mesmo tratamento de segurança dos demais e são usados apenas para viabilizar o atendimento. A base legal aplicável é a tutela da saúde, em procedimento realizado por profissionais de saúde ou serviços de saúde, nos termos do art. 11, II, 'f' da LGPD.

Recomendamos que a clínica configure o assistente para orientar o paciente a tratar questões clínicas diretamente na consulta.

5. Para que usamos

Tratamos dados apenas para finalidades determinadas:

• Executar o contrato: fazer o assistente responder, agendar consultas e manter o painel funcionando (art. 7º, V da LGPD).
• Cumprir obrigação legal ou regulatória, como guarda de registros fiscais (art. 7º, II).
• Exercício regular de direitos, inclusive em processo judicial (art. 7º, VI).
• Legítimo interesse, para segurança da plataforma, prevenção a fraude e melhoria do serviço, sempre com avaliação de impacto sobre seus direitos (art. 7º, IX).
• Comunicações sobre o serviço — aviso de fim de teste, limite atingido ou falha de conexão. São mensagens operacionais, não publicidade.

6. Com quem compartilhamos

Não vendemos dados. Não os cedemos para publicidade de terceiros. O compartilhamento se limita aos fornecedores necessários para o serviço funcionar, todos sujeitos a obrigações contratuais de confidencialidade e segurança:

• Supabase — Banco de dados e autenticação (Estados Unidos).
• Vercel — Hospedagem da aplicação (Estados Unidos).
• Anthropic — Modelo de linguagem que gera as respostas (Estados Unidos).
• Meta / WhatsApp — Canal de mensagens (Estados Unidos).
• Stripe — Processamento de pagamentos (Estados Unidos).
• Resend — Envio de e-mails transacionais (Estados Unidos).

7. Transferência internacional

Parte da infraestrutura fica em servidores fora do Brasil, conforme a tabela acima. As transferências ocorrem com base no art. 33 da LGPD, amparadas em cláusulas contratuais que asseguram nível de proteção compatível com a legislação brasileira.

8. Inteligência artificial

As respostas são geradas por modelo de linguagem operado pela Anthropic. Para produzir uma resposta, o conteúdo da conversa e as informações cadastradas pela clínica são enviados ao provedor.

Esses dados não são utilizados para treinar modelos. O provedor atua como suboperador, tratando a informação apenas para gerar a resposta solicitada.

Nenhuma decisão com efeito jurídico ou impacto relevante sobre o paciente é tomada de forma automatizada pela plataforma.

9. Por quanto tempo guardamos

Os dados são mantidos enquanto durar a relação contratual com a clínica.

Encerrado o contrato, os dados ficam disponíveis para exportação por 30 dias e depois podem ser eliminados. Registros necessários para cumprimento de obrigação legal ou defesa em processo são mantidos pelo prazo exigido pela lei.

A clínica pode, a qualquer momento, excluir pacientes individualmente ou solicitar a eliminação de toda a base pelo painel.

10. Seus direitos

A LGPD garante ao titular, no art. 18, o direito de:

• Confirmar a existência de tratamento e acessar seus dados.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Solicitar anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei.
• Solicitar a portabilidade dos dados a outro fornecedor.
• Obter informação sobre com quem os dados foram compartilhados.
• Revogar o consentimento, quando essa for a base legal utilizada.

11. Como exercer seus direitos

Se você é cliente, o próprio painel resolve os principais pedidos: em Minha assinatura você exporta todos os dados da clínica em arquivo legível e pode solicitar a exclusão da conta.

Se você é paciente de uma clínica que usa a plataforma, dirija seu pedido diretamente a ela — é a controladora dos seus dados. Se não obtiver resposta, pode nos acionar que intermediamos.

Para qualquer pedido relacionado a dados pessoais, escreva para privacidade@clinicinflow.com.br. Respondemos em até 15 dias.

12. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados, entre elas: conexão criptografada em todo o tráfego, senhas armazenadas com algoritmo de hash, isolamento de dados por clínica no banco (uma clínica nunca acessa dados de outra) e controle de acesso restrito da equipe interna.

Nenhum sistema é totalmente imune. Em caso de incidente de segurança com risco relevante aos titulares, comunicaremos os afetados e a Autoridade Nacional de Proteção de Dados nos prazos legais.

13. Encarregado e contato

O encarregado pelo tratamento de dados pessoais pode ser contatado em privacidade@clinicinflow.com.br.

Assuntos gerais: contato@clinicinflow.com.br.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

14. Alterações desta política

Esta política está na versão 1.0, vigente desde 27 de julho de 2026. Alterações relevantes serão comunicadas por e-mail e no painel com antecedência mínima de 30 dias.