Política de Privacidade

1. Quem trata os dados, e em que papel

A Plataforma é fornecida por BOOKKEEP GESTÃO EMPRESARIAL LTDA, CNPJ 36.154.139/0001-37, com sede na Rua Pastor Rui Franco, nº 445, bairro São João Batista, Belo Horizonte/MG, Brasil.

• Dados dos pacientes — a clínica ou o profissional de saúde que utiliza o sistema é o controlador (decide por que e como tratar o prontuário dos seus pacientes). O fornecedor da Plataforma atua como operador, tratando esses dados apenas conforme as instruções do controlador e para viabilizar o serviço contratado (LGPD, art. 5º, VI e VII).
• Dados da conta do profissional usuário (nome, e-mail, registro no conselho, telefone, registros de acesso) — aqui o fornecedor é controlador, porque esses dados existem para viabilizar a autenticação, a segurança e a relação contratual do SaaS.

2. Canal de privacidade e proteção de dados

A BOOKKEEP GESTÃO EMPRESARIAL LTDA mantém como canal de privacidade o e-mail Matheusdyas4@gmail.com. Todos os pedidos de exercício de direitos, dúvidas sobre o tratamento de dados e comunicações da ANPD devem ser dirigidos a esse canal.

3. Quais dados são tratados

3.1 Dados do profissional usuário

• Identificação e contato: nome, e-mail, telefone, especialidade.
• Registro profissional (CREFITO ou equivalente) e situação de habilitação para assinar documento clínico.
• Credenciais: senha armazenada exclusivamente como hash — nunca em texto legível.
• Nível de acesso, permissões e, no caso de estágio, o vínculo com o supervisor.
• Registros de segurança: data e hora dos acessos, endereço IP, tentativas de login (guardadas apenas como valores irreversíveis) e ações relevantes na trilha de auditoria.
• Aceite dos documentos legais: versão aceita, data e hora, endereço IP e identificador do navegador — guardados como prova do aceite, em registro que não pode ser alterado nem excluído.

3.2 Dados dos pacientes — dado pessoal sensível

Dado referente à saúde é dado pessoal sensível (LGPD, art. 5º, II) e recebe proteção reforçada. A Plataforma trata:

• Identificação: nome completo, data de nascimento, gênero, profissão, telefone, e-mail, endereço, responsável legal (quando menor de idade) e modalidade de atendimento (clínica, domiciliar ou hospitalar).
• Dados de saúde: queixa principal, história da doença atual e pregressa, medicamentos em uso, hipótese/diagnóstico codificado em CID-10, avaliação cinesiológico-funcional (amplitude de movimento, força muscular, escalas de dor — EVA —, testes especiais), plano terapêutico, evoluções SOAP por sessão, intercorrências e termo de alta.
• Exames e documentos anexados pelo profissional ao prontuário (imagens, laudos e relatórios), que podem conter dados sensíveis adicionais.
• Áudio da sessão, quando o recurso de IA é utilizado — inclusive a voz do paciente, que é dado pessoal, e cujo conteúdo é dado de saúde. Ver o item 5.
• Agendamentos: data, hora, profissional responsável e situação do atendimento.

3.3 Dados técnicos

Cookie de sessão, cookie opcional de “lembrar neste dispositivo”, endereço IP, identificador do navegador e registros de acesso à aplicação (item 9).

4. Finalidades e bases legais

O consentimento do titular não é a base do registro do prontuário: a base é a tutela da saúde. Isso significa que retirar o consentimento de IA não apaga o prontuário — mas interrompe imediatamente o uso do recurso de IA sobre aquele paciente.

5. O assistente de voz com IA (Voice-to-SOAP)

Quando o profissional utiliza o gravador, o áudio é enviado a um provedor externo de inteligência artificial contratado para transcrição e organização do texto nos campos da evolução SOAP. A transcrição do áudio é feita pela Groq, Inc. (Estados Unidos), com a OpenAI, L.L.C. (Estados Unidos) como reserva quando a Groq está indisponível; a organização do texto nos campos é feita pela OpenAI, que recebe apenas o texto, não o áudio. Antes do envio, os trechos de silêncio da gravação são cortados no próprio navegador. Isso merece leitura atenta:

• Consentimento é obrigatório quando o áudio contém a voz do paciente. O sistema exige que o consentimento esteja registrado na ficha do paciente — sem ele, a gravação com voz do titular é recusada pelo servidor, e não apenas escondida na tela.
• O profissional pode declarar que a gravação contém apenas a própria voz (ditado de achados e conduta). Nesse caso não há voz de titular no arquivo, e o consentimento específico de IA não se aplica àquela gravação — mas o conteúdo continua sendo dado de saúde e segue todas as demais regras desta Política.
• Como o áudio é enviado: cada gravação dura no máximo 50 minutos. Em gravações longas, a cada 10 minutos o trecho já gravado é enviado, guardado no prontuário e transcrito enquanto a sessão continua, para que uma queda de conexão não faça perder o atendimento. Ao final, somente o texto transcrito de todos os trechos é enviado à OpenAI para ser organizado nos campos clínicos.
• Papel dos provedores de IA: Groq e OpenAI atuam como suboperadores, contratados para prestar exclusivamente o serviço de transcrição e de organização do texto. O uso que podem fazer dos dados recebidos é limitado pelos respectivos contratos e Adendos de Processamento de Dados (DPA).
• Retenção do áudio: as gravações são eliminadas automaticamente após 90 dias. O documento clínico válido é a evolução assinada, não o áudio — guardar a gravação por mais tempo seria dado sensível excedente à finalidade (LGPD, art. 6º, III).
• Transferência internacional: o provedor de IA pode processar os dados principalmente nos Estados Unidos e nas jurisdições em que atuem seus subprocessadores. A transferência observa o art. 33 da LGPD, as salvaguardas dos Adendos de Processamento de Dados (DPA) da Groq e da OpenAI e os mecanismos aplicáveis da Resolução CD/ANPD nº 19/2024.
• A IA não decide nada. A transcrição e o texto sugerido são rascunho: o profissional revisa e assina. Nenhum diagnóstico, conduta ou alta é produzido automaticamente pelo sistema.

6. Compartilhamento de dados

Os dados não são vendidos e não são usados para publicidade ou perfilamento comercial. O compartilhamento se limita ao necessário para o funcionamento do serviço:

• Provedor de infraestrutura e hospedagem contratado, que armazena a base de dados e os arquivos anexados.
• Provedores de inteligência artificial, exclusivamente para o assistente de voz, conforme o item 5: Groq, Inc. (Estados Unidos), que recebe o áudio para transcrição; e OpenAI, L.L.C. (Estados Unidos), que recebe o texto transcrito para organizá-lo nos campos clínicos e o áudio apenas quando a Groq estiver indisponível.
• Provedor de e-mail transacional, para mensagens operacionais da conta (por exemplo, recuperação de senha).
• Serviço público de consulta cadastral de CNPJ, quando a clínica cadastra os próprios dados empresariais. Nenhum dado de paciente é enviado nessa consulta.
• Google Agenda, quando a integração opcional for ativada pelo profissional sob autorização da clínica. Para criar o compromisso são enviados apenas nome do paciente, horário, duração, modalidade e local do atendimento. Prontuário, CID, contato, observações e evoluções não são enviados. O Google pode realizar tratamento e transferência internacional conforme os termos e controles da conta Google conectada. Desconectar impede novos envios, mas não apaga automaticamente eventos que já foram criados nessa conta.
• Autoridades públicas, quando houver requisição legal, ordem judicial ou dever de comunicação (por exemplo, à ANPD, em caso de incidente).

Os prestadores que atuam como operadores tratam os dados conforme as instruções e os contratos aplicáveis. Integrações opcionais ativadas pela organização também ficam sujeitas aos termos do terceiro e às escolhas da conta conectada.

7. Segurança da informação

São adotadas medidas técnicas e administrativas proporcionais à sensibilidade do dado tratado (LGPD, art. 46). Em termos gerais, sem detalhar configuração que possa ser explorada:

• Tráfego cifrado entre o navegador e o servidor.
• Senha guardada apenas como hash, com política mínima de complexidade e limite de tentativas de acesso.
• Controle de acesso por papel e por vínculo: o prontuário não fica disponível a “qualquer usuário logado”. O alcance depende do nível da conta e do vínculo assistencial, e a verificação é feita no servidor, em toda requisição — esconder um botão na tela não é considerado controle de acesso neste sistema.
• Imutabilidade do documento clínico: evoluções assinadas e termos de alta não podem ser alterados nem excluídos, com carimbo de tempo e código de verificação de integridade gerados pelo servidor.
• Trilha de auditoria de eventos de segurança, de gestão de contas e dos atos que retiram dado sensível do sistema (geração de relatório, download de exame, reprodução de áudio). A trilha registra identificadores, nunca conteúdo clínico.
• Expiração automática de sessão por inatividade e por tempo total, e revogação imediata de sessões ao trocar senha ou permissão.
• Registros técnicos de erro não expõem dado de paciente.

Nenhum sistema é imune a incidentes. Estas medidas reduzem risco; não o eliminam.

8. Cookies

• Cookie de sessão (estritamente necessário): mantém o usuário autenticado durante a navegação. Sem ele o sistema não funciona.
• Cookie “lembrar neste dispositivo” (opcional): criado apenas se o usuário marcar a opção na tela de acesso, permite reentrar sem digitar a senha por até 30 dias. É revogado ao sair, ao desmarcar a opção em um novo acesso e ao redefinir a senha.

Não são utilizados cookies de publicidade, de rastreamento entre sites ou de analytics de terceiros.

9. Retenção e eliminação

Encerrado o prazo e a finalidade, os dados são eliminados ou anonimizados, salvo hipótese de conservação autorizada pelo art. 16 da LGPD.

10. Direitos do titular (LGPD, art. 18)

O titular pode, a qualquer momento e gratuitamente, solicitar:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade a outro fornecedor, mediante requisição expressa;
• eliminação dos dados tratados com base em consentimento;
• informação sobre com quem os dados foram compartilhados;
• informação sobre a possibilidade de não consentir e sobre as consequências da negativa;
• revogação do consentimento — em especial o consentimento de uso da IA sobre a voz.

Limite importante e deliberado: o pedido de exclusão não alcança o prontuário enquanto durar o prazo legal de guarda, nem os documentos clínicos já assinados — que são imutáveis por exigência de integridade do registro em saúde. Nessa hipótese, o pedido é respondido com a justificativa legal da recusa. Correções de identificação são feitas por retificação registrada, preservando o histórico.

Como exercer: pacientes devem procurar a clínica ou o profissional responsável pelo atendimento, que é o controlador dos seus dados. Profissionais usuários podem baixar seus dados pessoais e encerrar o próprio login em Perfil → Privacidade e conta, ou escrever ao Encarregado (item 2). O encerramento não apaga prontuários nem documentos sujeitos à guarda legal. O prazo de resposta às demais solicitações observa o art. 19 da LGPD.

11. Crianças e adolescentes

O atendimento de menores é registrado com identificação do responsável legal, cuja indicação é obrigatória no cadastro. O tratamento observa o melhor interesse do menor (LGPD, art. 14) e, quando a base for o consentimento — como no uso da IA sobre a voz —, ele deve ser dado pelo responsável legal.

12. Incidentes de segurança

Havendo incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a ANPD e os titulares afetados serão comunicados em prazo razoável, com a descrição da natureza dos dados, dos riscos envolvidos e das medidas adotadas (LGPD, art. 48).

13. Alterações desta Política

Esta Política pode ser revisada para refletir mudanças no serviço ou na legislação. Toda revisão relevante recebe nova versão e o sistema volta a exigir o aceite antes de liberar as telas — o aceite anterior permanece registrado e não é apagado. A versão vigente é a exibida no topo desta página.

14. Contato

Privacidade, assuntos contratuais e suporte: Matheusdyas4@gmail.com ou WhatsApp (31) 99082-5833, de segunda a sexta-feira, das 08h às 18h. O titular também pode peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD).