Política de Privacidade

1. Quem somos e como falar conosco

52.970.673 LUAN DUARTE CAVALHEIRO, inscrita no CNPJ sob o nº 52.970.673/0001-78, com sede em Florianópolis/SC, que opera sob o nome fantasia RXSync Tecnologia e Automação em Saúde (“RXSync”, “nós”).

Canal para assuntos de privacidade e proteção de dados: contato@rxsync.com.br (use “Privacidade” no assunto). O responsável por esse canal é o fundador da RXSync, Jean Duarte Cavalheiro, que atua como encarregado pelo tratamento de dados pessoais, nos termos do art. 41 da Lei nº 13.709/2018 (LGPD).

Esta Política vale para o site rxsync.com.br, para as páginas de contratação, implantação, conexão e configuração da Plataforma, e para o atendimento que a RXSync presta às clínicas. Os Termos de Uso e o Acordo de Tratamento de Dados Pessoais (Anexo II dos Termos) regulam a relação com as clínicas clientes e prevalecem, quanto aos dados de pacientes, sobre o que está resumido aqui.

2. Em que papel tratamos os dados

A LGPD distingue quem decide sobre os dados (controlador) de quem os trata por conta de outro (operador). A RXSync atua nos dois papéis, em situações diferentes:

3. Dados que tratamos como controladora

Tratamos apenas o necessário para cada finalidade. A tabela mostra o que coletamos, para quê e com qual base legal (art. 7º da LGPD).

Não vendemos dados pessoais e não os usamos para publicidade de terceiros. Usamos o e-mail e o WhatsApp informados por você para falar sobre o seu pedido, a sua contratação e o serviço (avisos de implantação, de fim de teste, de cobrança e de alterações importantes). Não enviamos boletim promocional sem que você peça.

Não coletamos de propósito dados pessoais sensíveis dos contratantes. O número de registro do responsável técnico em conselho profissional é coletado como prova da aprovação do conteúdo, e não para tratar informação de saúde.

4. Dados de pacientes (RXSync como operadora)

Quando um paciente conversa pelo WhatsApp de uma clínica que usa a RXSync, quem decide sobre esses dados é a clínica, que é a controladora e responde pela base legal, pela política de privacidade dirigida aos seus pacientes e pelo atendimento aos direitos deles. A RXSync trata esses dados somente conforme as instruções da clínica, previstas nos Termos de Uso.

4.1. O que a Plataforma trata

• Nome, telefone, e-mail, CPF, data de nascimento e convênio, quando a clínica os solicita no atendimento;
• Conteúdo das mensagens, incluindo áudios (transcritos para texto) e os dados que o paciente decidir informar;
• No plano Gestão Inteligente, fotos e documentos em PDF que o paciente enviar (como pedido de exame, guia, carteirinha do convênio ou documento de identidade), dos quais a assistente extrai apenas dados administrativos para a equipe da clínica;
• Dados de agendamento, lista de espera, lembretes e pesquisa de satisfação (nota e comentário, ligados ao código do paciente);
• No plano Gestão Inteligente, o registro das mensagens de relacionamento enviadas ao paciente (aviso de retorno, convite para voltar e convite para avaliar a clínica no Google: data, tipo e situação do envio) e, se o paciente pedir, a marca de que ele não quer receber essas mensagens;
• No plano Enterprise, quando a clínica liga a ligação com o sistema dela (seção 4.2), o registro dos avisos enviados a esse sistema e dos pedidos de envio de mensagem feitos por ele (o texto da mensagem é apagado assim que o pedido termina);
• No plano Gestão Inteligente, quando a clínica liga a função “Perguntas antes de agendar”, as respostas do paciente às perguntas que a própria clínica cadastrou, guardadas no agendamento e no resumo do paciente para a equipe da clínica;
• Dados pessoais sensíveis de saúde, apenas se o próprio paciente os informar na conversa. A assistente é configurada para não pedir nem interpretar informação clínica.

4.2. Para que a RXSync os usa

Atendimento automatizado e humano, triagem administrativa, agendamento, perguntas antes do agendamento definidas pela clínica (pré-consulta), lembretes de consulta, mensagens de retomada de conversa, avisos de vaga da lista de espera, pesquisa de satisfação, indicadores operacionais, e o assistente de gestão e o resumo diário da agenda enviados à equipe da clínica da própria clínica. A mensagem de retomada não é enviada a quem pediu para não receber mais mensagens.

No plano Gestão Inteligente, quando a clínica liga essas funções, a assistente também envia mensagens de relacionamento em nome da clínica:

• Aviso de retorno: quando passa o prazo de retorno da última consulta, uma vez por consulta, oferecendo horários;
• Convite para voltar: para quem já consultou e não volta há um tempo definido pela clínica, no máximo uma vez por período; depois de dois convites sem resposta, a assistente para;
• Convite para avaliar a clínica no Google: enviado a quem responde a pesquisa de satisfação, qualquer que seja a nota, e uma única vez a quem não responde, dois dias depois. Cada paciente recebe no máximo um convite por ano, e a pesquisa vai no máximo uma vez a cada 30 dias. Avaliar no Google é opcional e feito pelo próprio paciente, na página do Google.

Essas mensagens saem só em dias úteis, em horário comercial, com limite por dia e por hora para cada clínica, e trazem a opção de sair: quem responde SAIR (ou pede de outro jeito na conversa) deixa de receber os avisos de retorno, os convites, a pesquisa de satisfação e o convite para avaliar. Os lembretes das consultas já marcadas continuam.

No plano Enterprise, por instrução da clínica, a RXSync também se liga ao sistema indicado pela própria clínica (por exemplo, o sistema de gestão dela), por uma interface protegida por chave de acesso exclusiva da clínica:

• Consulta e alteração: o sistema da clínica lê os dados dos pacientes dela (nome, telefone, consultas, resumo do paciente, nota da pesquisa e respostas da pré-consulta), a agenda e as configurações, e pode marcar, remarcar e cancelar consultas, como a equipe faz no painel;
• Avisos de eventos: quando a clínica pede, a RXSync avisa o sistema dela quando uma consulta é marcada, remarcada ou cancelada (com o código do paciente, sem nome nem telefone), quando a conversa é passada para a equipe (com o motivo resumido pela assistente) e quando chega mensagem dos números da equipe cadastrados pela clínica e do WhatsApp que recebe os avisos (com o texto da mensagem). Os avisos vão assinados e só para endereço seguro (https);
• Envio de mensagens: o sistema da clínica pede, e a RXSync envia a mensagem pelo WhatsApp da clínica, só a pacientes que já conversaram com ela, em horário e quantidade limitados e nunca a quem pediu para sair. O texto vai como a clínica escreveu, e a RXSync avisa o sistema dela se a mensagem saiu ou não.

O que o sistema da clínica faz com os dados que recebe é decisão da clínica e segue o contrato dela com o fornecedor desse sistema.

4.3. O que a RXSync não faz

• Não usa dados de pacientes para finalidade própria, nem os comercializa;
• Não os usa para treinar modelos de linguagem de terceiros;
• Não dá orientação clínica, diagnóstico ou prescrição por meio da assistente, nem interpreta o conteúdo clínico de exames, receitas ou laudos enviados pelo paciente.

4.4. Se você é paciente

Para saber como seus dados são tratados e para exercer seus direitos, fale primeiro com a clínica: ela é a controladora e informou, na primeira mensagem, o endereço da sua política de privacidade quando o cadastrou na Plataforma. Se você escrever para a RXSync, encaminharemos o pedido à clínica e a auxiliaremos a atendê-lo no prazo previsto no contrato.

5. Assistente virtual e inteligência artificial

• A assistente se identifica como virtual, e não como pessoa, na primeira interação;
• As respostas são geradas por modelo de linguagem de provedor externo (veja as seções 6 e 7), que recebe apenas o conteúdo necessário para gerar a resposta;
• A assistente atua só no atendimento administrativo. Diante de urgência, de assunto fora do seu limite ou de pedido do paciente para falar com uma pessoa, passa a conversa para a equipe humana da clínica;
• O conteúdo que a assistente usa (horários, serviços, preços, orientações) é aprovado pelo responsável técnico da clínica antes de entrar no ar.

A assistente não toma decisões com efeitos jurídicos ou semelhantes sobre o paciente. Se, ainda assim, você quiser a revisão de uma decisão tomada com base em tratamento automatizado (art. 20 da LGPD), basta pedir à clínica ou a nós, e a revisão será feita por uma pessoa.

6. Com quem compartilhamos

Compartilhamos dados pessoais apenas com quem é necessário para operar o serviço, na medida do necessário, e exigimos de cada um deles proteção compatível com esta Política. Esses fornecedores atuam como suboperadores (quando tratam dados de pacientes) ou como prestadores da RXSync (nos demais casos):

A RXSync também mantém seu próprio ambiente de atendimento (Chatwoot) e de automação (n8n), instalados na infraestrutura contratada junto ao provedor de hospedagem acima.

Além desses fornecedores, compartilhamos dados quando a lei, uma ordem judicial ou uma autoridade competente exigir, para defender direitos da RXSync em processo judicial, administrativo ou arbitral, ou, em caso de reorganização societária, com quem vier a suceder a RXSync, mantidas as garantias desta Política.

A lista oficial de suboperadores para fins do contrato é a do Anexo II dos Termos de Uso. Alterações nela são comunicadas aos clientes com 30 dias de antecedência.

7. Transferência internacional de dados

Alguns dos fornecedores acima (em especial o provedor do modelo de linguagem, o canal de mensagens, o envio de e-mail, a mensageria interna, a análise de uso do site e a hospedagem das páginas) têm infraestrutura no exterior. Por isso, parte dos dados pode ser transferida para fora do Brasil, com fundamento no art. 33 da LGPD e, quando aplicável, nas cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024, limitada ao conteúdo estritamente necessário para cada finalidade.

8. Por quanto tempo guardamos

Os dados de pacientes pertencem à clínica (controladora). Ao fim do contrato, são exportados e eliminados conforme a tabela acima e a Cláusula 19 dos Termos de Uso.

9. Cookies e tecnologias do site

O site usa:

• Google Analytics 4 (medição de audiência): grava cookies próprios (como _ga) e envia ao Google dados de navegação — páginas, cliques em botões e planos, profundidade de rolagem, aparelho, navegador, origem do acesso e localização aproximada. Nas páginas com link pessoal de cadastro, o endereço enviado ao Google é reescrito sem o código de acesso do link;
• Chat de atendimento (Chatwoot): guarda no seu navegador um identificador para manter a sua conversa aberta enquanto você navega. É necessário para o chat funcionar;
• Fontes e bibliotecas de terceiros (Google Fonts, Tailwind CSS e Lucide), carregadas de servidores externos, que por isso recebem o seu endereço IP e dados técnicos do navegador.

Como recusar a medição de audiência: você pode bloquear cookies nas configurações do navegador, usar o modo anônimo ou instalar o complemento de desativação do Google Analytics. O site continua funcionando normalmente sem o Analytics.

Não usamos cookies para publicidade nem para criar perfis de comportamento para terceiros.

10. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados contra acesso não autorizado, perda e uso indevido, entre elas: criptografia em trânsito (TLS) nas conexões externas; cópias de segurança criptografadas fora do ambiente de produção; bases de dados sem exposição à rede pública; separação lógica entre clientes; controle de acesso individualizado e de menor privilégio; registros de acesso; ambiente de produção separado do de testes; e termo de confidencialidade para quem trabalha com os dados.

Nenhum sistema é totalmente invulnerável. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante, a RXSync (i) notifica a clínica controladora em até 24 horas da confirmação, nos casos de dados de pacientes, e (ii) comunica a ANPD e os titulares afetados nos prazos da Resolução CD/ANPD nº 15/2024, quando a RXSync for a controladora dos dados.

Cuide também da sua parte: o acesso ao painel de configuração e à página de conexão é feito por link pessoal; não o compartilhe com quem não deva acessar a conta.

11. Seus direitos

Como titular, você pode pedir à RXSync, em relação aos dados de que somos controladora:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• portabilidade dos dados, nos termos da regulamentação;
• eliminação dos dados tratados com base em consentimento, quando houver;
• informação sobre as entidades com as quais compartilhamos seus dados;
• informação sobre a possibilidade de não fornecer consentimento e suas consequências, e revogação do consentimento, quando for a base legal;
• oposição a tratamento feito com base em legítimo interesse ou outra hipótese que dispense consentimento, se houver descumprimento da lei;
• revisão de decisões tomadas unicamente com base em tratamento automatizado.

Como pedir: escreva para contato@rxsync.com.br, com o assunto “Privacidade”, informando seu nome e e-mail ou telefone usados no cadastro. Para sua segurança, podemos pedir uma confirmação de identidade antes de entregar ou alterar dados. Respondemos em até 15 dias, como prevê o art. 19, II, da LGPD.

Alguns pedidos têm limites legais. Por exemplo, não podemos eliminar dados que a lei nos obriga a guardar (como os fiscais) nem os que precisamos manter para nos defendermos em processo; nesses casos, explicamos o motivo e a duração da guarda.

Pacientes: o pedido deve ser dirigido à clínica; veja a seção 4.4.

Se entender que o tratamento de seus dados viola a LGPD, você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd, sem prejuízo de procurar os órgãos de defesa do consumidor ou o Poder Judiciário.

12. Crianças e adolescentes

O site e a contratação da RXSync são dirigidos a profissionais e empresas de saúde, e não a menores de 18 anos. Pacientes menores de idade podem ser atendidos pela clínica por meio da Plataforma, caso em que a clínica, como controladora, é a responsável por observar o art. 14 da LGPD (tratamento no melhor interesse da criança e do adolescente, com o consentimento específico de ao menos um dos pais ou do responsável legal, quando exigido).

13. Alterações desta política

Podemos atualizar esta Política para refletir mudanças no serviço, nos fornecedores ou na lei. A versão vigente é sempre a publicada nesta página, com o número da versão e a data de início de vigência no topo. Mudanças relevantes que afetem clientes serão comunicadas ao e-mail cadastrado, com a antecedência prevista nos Termos de Uso. O uso do site e do serviço depois da vigência da nova versão não afeta os direitos que você tem pela lei.

Histórico de versões

• 2026-10-v6, vigente a partir de 11 de outubro de 2026: entra a ligação do plano Enterprise com o sistema indicado pela clínica (consulta e alteração pela interface de acesso, avisos de eventos, inclusive as mensagens dos números da equipe, e envio de mensagens pedido pelo sistema da clínica) na seção 4; a seção 6 diz o que esse sistema recebe; a seção 8 ganha os prazos dos avisos (30 dias) e dos pedidos de envio (texto apagado no fim do pedido; registro, 90 dias).
• 2026-10-v5, vigente a partir de 11 de outubro de 2026: entram as mensagens de relacionamento do plano Gestão Inteligente (aviso de retorno, convite para voltar e convite para avaliar a clínica no Google, enviado a todos, qualquer que seja a nota), com limites e a opção de responder SAIR (seção 4); a seção 8 ganha os prazos do registro dessas mensagens (400 dias), do pedido para não recebê-las e da nota da pesquisa de satisfação.
• 2026-10-v4, vigente a partir de 11 de outubro de 2026: as respostas da pré-consulta entram nos dados de pacientes (seção 4); a seção 8 diz onde elas ficam guardadas e ganha o prazo das conversas do WhatsApp com pacientes; o Google deixa de guardar o cadastro e a base de conhecimento, e fica só a análise de uso do site (seções 6 e 7).
• 2026-10-v3, vigente a partir de 11 de outubro de 2026: o encarregado pelo tratamento de dados pessoais passa a ser Jean Duarte Cavalheiro (seção 1) e entra o prazo de guarda das respostas da pré-consulta, apagadas 90 dias depois da consulta (seção 8).
• 2026-10-v2, vigente a partir de 7 de outubro de 2026: versão anterior.

Dúvidas sobre esta Política? Escreva para contato@rxsync.com.br.