Política de Privacidade

Última atualização: 7 de agosto de 2026

Esta Política de Privacidade descreve como o VESALIA Clinical Operations ("Plataforma", "nós" ou "nosso") coleta, utiliza, armazena, compartilha e protege dados pessoais, inclusive dados pessoais sensíveis de saúde, no contexto da operação do software de gestão clínica oferecido às clínicas contratantes e do Portal da Paciente disponibilizado aos titulares.

A Plataforma é operada por VESALIA SYSTEMS LTDA, inscrita no CNPJ sob o nº 67.250.864/0001-32, com sede em Rua Desembargador Lauro Nogueira, 1500, sala 310 — Fortaleza/CE — CEP 60.176-065.

Esta Política observa a Lei nº 13.709/2018 ("LGPD"), as Resoluções do Conselho Federal de Medicina (em especial a Resolução CFM nº 1.821/2007 que disciplina a guarda de prontuários) e demais normas aplicáveis ao tratamento de dados de saúde no Brasil.

1. Definições

• Titular: pessoa natural a quem se referem os dados pessoais (paciente, profissional, colaborador, responsável da clínica).
• Clínica Contratante: pessoa jurídica que contrata o uso da Plataforma para gerir sua operação clínica.
• Controlador: aquele a quem competem as decisões sobre o tratamento dos dados pessoais. Em regra, a Clínica Contratante é controladora dos dados de seus pacientes e colaboradores.
• Operador: aquele que realiza o tratamento em nome do controlador. O VESALIA Clinical Operations atua como operador em relação aos dados de pacientes e colaboradores das clínicas.
• Encarregado (DPO): pessoa indicada para atuar como canal de comunicação entre controlador, titulares e a ANPD.

2. Papéis no tratamento

Como regra geral, a Clínica Contratante atua como Controladora dos dados de pacientes, colaboradores, agendamentos, prontuários, orçamentos, financeiro e demais dados inseridos na Plataforma. O VESALIA Clinical Operations atua como Operadora, tratando esses dados conforme as instruções da Clínica e nos limites do contrato.

Em situações específicas, o VESALIA Clinical Operations atua como Controlador — por exemplo, em dados estritamente operacionais da Plataforma (logs de acesso para fins de segurança, cadastros de teste, dados de contato comercial, comunicações sobre o serviço).

3. Dados que tratamos

3.1 Dados cadastrais

• Nome completo, CPF, RG, data de nascimento, sexo, estado civil.
• Endereço, telefone, e-mail, contatos de emergência.
• Dados profissionais (CRM, CRO, COREN e outros conselhos), especialidade, formação.
• Dados financeiros operacionais: PIX, conta bancária para repasses.

3.2 Dados pessoais sensíveis de saúde

• Anamnese, queixa principal, histórico clínico e familiar.
• Prontuário eletrônico, evoluções, prescrições, atestados, exames e laudos.
• Fotografias clínicas (pré e pós-procedimento) quando aplicável, mediante consentimento específico.
• Procedimentos realizados, materiais usados, fluxo cirúrgico.
• Dados de pós-operatório (alertas, checklists, sintomas reportados).

3.3 Dados de relacionamento e funil comercial

• Origem do lead, etapa no funil, histórico de contatos.
• Orçamentos emitidos, valores, formas de pagamento, parcelamento, recebimentos.
• Tentativas de reativação e respostas.

3.4 Dados técnicos e de acesso

• Endereço IP, user-agent, identificadores de dispositivo.
• Cookies estritamente necessários para autenticação e sessão.
• Hash (SHA-256) de tokens de magic link, 2FA e sessão — nunca o token em claro.
• Logs de auditoria (criação, alteração, exclusão de registros e quem executou).

3.5 Dados de comunicação

• E-mails transacionais (confirmações, links de acesso, notificações).
• Mensagens trocadas via WhatsApp Cloud API e Instagram Graph API (quando a clínica habilita os canais oficiais Meta), incluindo conteúdo de mensagens, identificadores de remetente (telefone, IGSID), mídia anexada (áudio, imagem, vídeo, documento) e metadados de entrega, nos limites do consentimento concedido pelo titular.
• Transcrição automática de mensagens de áudio recebidas, gerada por serviços de inteligência artificial contratados como operadores, conforme detalhado na seção 6 desta Política.

4. Bases legais

O tratamento se dá com fundamento em uma ou mais das seguintes bases legais previstas na LGPD:

• Execução de contrato (art. 7º, V) — para operar a Plataforma contratada pela clínica.
• Cumprimento de obrigação legal ou regulatória (art. 7º, II) — em especial guarda de prontuário e obrigações fiscais.
• Tutela da saúde (art. 11, II, "f") — para o tratamento de dados sensíveis de saúde por profissionais habilitados.
• Legítimo interesse (art. 7º, IX) — para prevenção de fraude, segurança da informação e melhoria contínua do serviço, sempre observado o teste de proporcionalidade.
• Consentimento (art. 7º, I e art. 11, I) — quando o tratamento não puder se amparar em outra base, em especial para fins de marketing ativo, uso de fotografias clínicas e comunicação por canais opcionais.

5. Finalidades

• Operar todas as funcionalidades da Plataforma contratada.
• Manter prontuário eletrônico, agenda, controle de cirurgias, orçamentos, fluxo financeiro e demais rotinas clínicas.
• Autenticar e proteger o acesso ao Portal da Paciente (magic link + 2FA + dispositivos confiáveis).
• Enviar comunicações transacionais (lembretes, confirmações, links de acesso, recibos).
• Gerar indicadores, relatórios e dashboards para a Clínica Contratante.
• Atender solicitações de direitos do titular e responder a autoridades competentes.
• Prevenir fraude, abuso, incidentes de segurança e uso indevido.

6. Compartilhamento com sub-operadores

Para operar a Plataforma, contratamos prestadores que tratam dados sob nossas instruções e em condições contratuais compatíveis com a LGPD. São eles, no momento da publicação desta Política:

• Amazon Web Services (AWS S3) — armazenamento de arquivos (fotos, exames, documentos, contratos assinados, backups diários). Bucket privado, acesso por URLs assinadas com expiração.
• Google Workspace — serviços de e-mail corporativo e colaboração interna.
• Google Calendar API — sincronização bidirecional opcional de agenda, autorizada individualmente por cada profissional (OAuth pessoal).
• Resend — envio de e-mails transacionais.
• ClickSign — assinatura eletrônica de contratos e termos.
• Meta Platforms (WhatsApp Cloud API e Instagram Graph API) — envio e recebimento de mensagens via WhatsApp Business e Instagram Direct, quando os canais oficiais Meta são habilitados pela clínica. Sediada nos Estados Unidos.
• Z-API — integração gerenciada com o WhatsApp em modo bridge, quando esse é o canal escolhido pela clínica. Sediada no Brasil.
• Manychat, Inc. — envio e recebimento de mensagens do Instagram Direct, quando a clínica opta por conectar o canal por esse caminho. Sediada nos Estados Unidos.
• OpenAI, L.L.C. — transcrição automática de mensagens de áudio recebidas via canais habilitados (modelo Whisper). Sediada nos Estados Unidos.
• Anthropic PBC — classificação automática de mensagens recebidas (lead, dúvida, urgência etc.) e geração de rascunhos de resposta exibidos como sugestão à equipe humana da clínica antes de qualquer envio (modelo Claude). Sediada nos Estados Unidos.
• Sentry — monitoramento de erros e estabilidade. Não captura dados sensíveis intencionalmente; filtros de PII aplicados.
• Railway Corp — hospedagem da aplicação e do banco de dados. Sediada nos Estados Unidos.
• Cloudflare, Inc. — DNS, entrega de conteúdo, proteção de tráfego e processamento de e-mails recebidos. Sediada nos Estados Unidos.
• Asaas — cobrança da assinatura da Plataforma junto à Clínica Contratante (dados cadastrais e de pagamento da clínica e de seu responsável). Não trata dados de pacientes. Sediada no Brasil.
• Pluggy — conexão bancária via Open Finance para importação do extrato da clínica, quando a clínica autoriza o banco. Não trata dados de pacientes. Sediada no Brasil.
• Canva — criação de materiais de marketing, quando a clínica conecta a própria conta. Sediada na Austrália.

A relação atualizada, com a finalidade e o país de tratamento de cada prestador, é mantida em vesalia.com.br/legal/sub-operadores. Dúvidas podem ser encaminhadas ao nosso Encarregado pelo e-mail dpo@vesalia.com.br.

7. Transferência internacional de dados

Alguns sub-operadores podem realizar tratamento em servidores fora do Brasil (especialmente Estados Unidos). Nesses casos, a transferência se dá com base no art. 33 da LGPD, mediante cláusulas contratuais específicas e medidas técnicas adequadas, observando o nível de proteção exigido pela legislação brasileira.

8. Retenção

Os dados são mantidos pelo tempo necessário ao cumprimento das finalidades acima e das obrigações legais aplicáveis. Em particular:

• Prontuário eletrônico: mínimo de 20 (vinte) anos, a contar do último registro, conforme Resolução CFM nº 1.821/2007.
• Documentos fiscais e contábeis: conforme prazos previstos na legislação tributária aplicável.
• Backups operacionais: retidos por até 30 dias por regra de ciclo de vida (S3 lifecycle).
• Exports temporários: retidos por até 7 dias.
• Após cancelamento do contrato com a clínica: mantemos os dados em ambiente segregado por até 60 (sessenta) dias para fins de exportação solicitada pela controladora. Findo este prazo, os dados são apagados ou anonimizados, ressalvada a retenção legal aplicável a prontuários e documentos fiscais.
• Logs de acesso e auditoria: retidos por padrão por 6 (seis) meses, prorrogáveis em caso de investigação de incidente.

9. Direitos do titular

Nos termos do art. 18 da LGPD, o titular pode exercer, a qualquer tempo e gratuitamente:

• Confirmação da existência de tratamento;
• Acesso aos dados pessoais;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Portabilidade dos dados a outro fornecedor de serviço ou produto, observados os regulamentos da ANPD;
• Eliminação dos dados pessoais tratados com fundamento no consentimento, quando aplicável;
• Informação sobre as entidades públicas e privadas com as quais seus dados tenham sido compartilhados;
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências dessa negativa, quando aplicável;
• Revogação do consentimento, nos termos da legislação vigente;
• Oposição ao tratamento realizado com fundamento em hipótese legal diversa do consentimento, quando cabível.

O exercício dos direitos pode ser solicitado pelo e-mail do Encarregado pelo Tratamento de Dados (DPO): dpo@vesalia.com.br. Para proteger os dados pessoais contra solicitações fraudulentas, poderemos solicitar informações ou documentos adicionais necessários à confirmação da identidade do requerente antes do atendimento do pedido.

Quando a VESALIA atuar exclusivamente como Operadora dos dados, a solicitação poderá ser encaminhada à respectiva Clínica Contratante, na qualidade de Controladora, permanecendo a VESALIA responsável por cooperar com o atendimento do pedido, nos termos da LGPD.

O titular poderá solicitar a eliminação de seus dados pessoais quando presentes os requisitos da LGPD, especialmente quando: (a) os dados tiverem sido tratados com fundamento no consentimento posteriormente revogado; (b) forem desnecessários, excessivos ou tratados em desconformidade com a legislação; ou (c) houver outra hipótese legal que autorize sua eliminação. Cada solicitação é analisada individualmente, observadas as obrigações legais e regulatórias aplicáveis.

Sempre que a eliminação imediata não for juridicamente possível, os dados poderão permanecer bloqueados, restritos ou anonimizados, conforme permitido pela legislação. A exclusão consiste na remoção dos dados das bases ativas da Plataforma, observados os ciclos de retenção de backups. Eventuais cópias de segurança serão substituídas conforme seus ciclos regulares, permanecendo inacessíveis para uso operacional, exceto quando necessárias à recuperação de desastres ou ao cumprimento de obrigação legal. A anonimização utiliza meios técnicos razoáveis para impedir, de forma irreversível ou conforme o estado da técnica, que o titular seja identificado, hipótese em que os dados deixam de ser considerados dados pessoais para os fins da LGPD. As solicitações são respondidas nos prazos previstos na legislação aplicável.

10. Portabilidade e fim do lock-in

A clínica controladora pode, a qualquer tempo, solicitar a exportação integral de seus dados — incluindo histórico por profissional — em formato estruturado (ZIP com bases relacionais e arquivos vinculados), mediante solicitação à superadministração da Plataforma.

11. Segurança da informação

• Conexões protegidas por TLS (HTTPS) em toda a aplicação.
• Senhas armazenadas com hash unidirecional (bcrypt) e tokens sensíveis armazenados apenas como hash SHA-256.
• Controle de acesso baseado em papéis (RBAC) e segmentação multitenant por clinica_id.
• Autenticação em duas etapas obrigatória para o Portal da Paciente.
• Bucket de uploads privado; arquivos servidos somente por URLs assinadas com expiração curta.
• Auditoria de criação, alteração e exclusão de registros relevantes.
• Backups diários automatizados, criptografados em repouso e mantidos em região segregada.
• Política de gestão de incidentes; comunicação aos titulares e à ANPD nas hipóteses do art. 48 da LGPD.

12. Cookies

Utilizamos cookies estritamente necessários para autenticação e manutenção de sessão. Cookies app_session_id (staff), opus_paciente_sid e opus_paciente_device são marcados como HttpOnly, Secure e SameSite quando aplicável. Não utilizamos cookies de marketing ou de rastreio publicitário.

13. Tratamento de dados de crianças e adolescentes

O tratamento de dados pessoais de crianças e adolescentes é realizado no melhor interesse do titular, nos termos do art. 14 da LGPD, mediante consentimento específico de ao menos um dos pais ou responsável legal, salvo quando o tratamento for indispensável para contatar os responsáveis ou para sua proteção em situações concretas, ou estiver amparado em outra hipótese legal.

14. Encarregado pelo Tratamento de Dados (DPO)

Para exercer seus direitos, esclarecer dúvidas, reportar incidentes ou registrar reclamações, contate o nosso Encarregado:

• E-mail: dpo@vesalia.com.br
• Endereço postal: Rua Desembargador Lauro Nogueira, 1500, sala 310 — Fortaleza/CE — CEP 60.176-065

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD): www.gov.br/anpd.

15. Alterações desta Política

Esta Política pode ser revista a qualquer tempo. A versão vigente é sempre a publicada nesta página, com a data de "Última atualização" indicada no topo. Alterações materiais serão comunicadas pelos canais cadastrados das clínicas e, quando cabível, dos titulares afetados.

16. Lei aplicável e foro

Esta Política é regida pelas leis da República Federativa do Brasil. Para dirimir quaisquer controvérsias dela decorrentes, fica eleito o foro da Comarca de Fortaleza/CE, com renúncia a qualquer outro, por mais privilegiado que seja.