Política de Privacidade

1. Quem é o responsável pelo Clinus

O Clinus é operado pela entidade identificada abaixo. A definição formal dos papéis de controlador e operador para cada finalidade ainda depende de validação jurídica e será registrada nesta política.

• Responsável pelo Clinus (razão social): a definir
• CNPJ: a definir
• Endereço: a definir
• Canal de privacidade: a definir
• Encarregado (DPO): a definir — a definir

2. Quais dados são tratados

Dados de saúde são dados pessoais sensíveis. O usuário é responsável por inserir apenas o necessário à sua atividade profissional.

• Dados cadastrais do usuário: nome, e-mail e informações profissionais preenchidas no perfil (ex.: especialidade, registro profissional, assinatura clínica).
• Dados de autenticação: credenciais gerenciadas pelo serviço de autenticação, tokens de sessão e registros técnicos de acesso.
• Dados de pacientes inseridos pelo usuário: nome ou identificação, idade, sexo, prontuário, leito, unidade, hospital de origem e datas de internação.
• Dados clínicos: evoluções, avaliação atual, plano terapêutico, observações, exames, medicações, dispositivos, ventilação mecânica, achados de POCUS e demais registros criados pelo usuário.
• Dados técnicos e de segurança: metadados de requisições, contadores de limite de uso e registros de auditoria de operações sensíveis (sem conteúdo clínico).

3. Finalidades do tratamento

• Cadastro e autenticação do profissional: Criar e manter a conta, autenticar acessos e recuperar senha. Base legal: a definir.
• Apoio à organização clínica: Registrar e organizar informações clínicas inseridas pelo profissional para apoio ao raciocínio e à rotina assistencial. Base legal: a definir.
• Funcionalidades de apoio com inteligência artificial: Transcrição, extração e sugestões geradas a partir do conteúdo enviado pelo profissional, sempre sujeitas à revisão humana. Base legal: a definir.
• Segurança da informação e auditoria: Registro de metadados de operações sensíveis, controle de acesso, limites de uso e prevenção a abuso. Base legal: a definir.

4. Como os dados são armazenados e protegidos

• Banco de dados PostgreSQL gerenciado, com criptografia em trânsito (HTTPS/TLS).
• Isolamento por usuário aplicado no próprio banco (Row Level Security) em todas as tabelas clínicas: um usuário não acessa registros de outro.
• Rotas de inteligência artificial exigem autenticação e possuem limites de uso por usuário.
• Cabeçalhos de segurança aplicados na borda (CSP, HSTS, Referrer-Policy, Permissions-Policy) e sanitização do HTML antes da renderização.
• Rascunhos clínicos mantidos no dispositivo são removidos no encerramento da sessão.
• Registros de auditoria de operações sensíveis não podem ser alterados nem removidos pelo usuário.

5. Quem pode ter acesso

O acesso aos dados clínicos é restrito ao próprio usuário que os inseriu. Pessoal técnico autorizado pode acessar a infraestrutura para manutenção e resposta a incidentes, sujeito a obrigações de confidencialidade. Os fornecedores de infraestrutura listados nesta política podem tratar dados exclusivamente para executar os serviços contratados.

6. Serviços e fornecedores utilizados

• Supabase — Banco de dados PostgreSQL, autenticação, backups e API de dados. Dados tratados: Dados cadastrais do usuário, credenciais gerenciadas pelo provedor de autenticação e dados clínicos inseridos pelo usuário. Infraestrutura: AWS us-west-2 (Estados Unidos). Transferência internacional: sim. Mecanismo do art. 33 da LGPD: pendente de formalização contratual.
• Lovable (hospedagem e execução do aplicativo) — Hospedagem da aplicação, execução das rotas de servidor e entrega do front-end. Dados tratados: Metadados técnicos de requisição e conteúdo em trânsito necessário para executar as funcionalidades. Infraestrutura: a definir. Transferência internacional: sim. Mecanismo do art. 33 da LGPD: pendente de formalização contratual.
• Lovable AI Gateway — Intermediação das chamadas de inteligência artificial usadas nas funcionalidades de apoio (transcrição, extração e sugestões). Dados tratados: Conteúdo clínico pseudonimizado no servidor do Clinus, sem identificadores diretos do paciente, e imagens enviadas pelo próprio usuário. Infraestrutura: a definir. Transferência internacional: sim. Mecanismo do art. 33 da LGPD: pendente de formalização contratual.
• Google (modelos Gemini, via Lovable AI Gateway) — Processamento dos modelos de linguagem e visão usados na extração de texto, leitura de imagens e sugestões de avaliação. Dados tratados: Conteúdo clínico pseudonimizado e imagens enviadas pelo usuário, apenas durante a execução da tarefa. Infraestrutura: a definir. Transferência internacional: sim. Mecanismo do art. 33 da LGPD: pendente de formalização contratual.
• OpenAI (modelos de transcrição e normalização, via Lovable AI Gateway) — Transcrição do ditado clínico por voz e normalização textual do resultado da transcrição. Dados tratados: Áudio gravado pelo profissional, não armazenado pelo Clinus, e texto de apoio pseudonimizado. Infraestrutura: a definir. Transferência internacional: sim. Mecanismo do art. 33 da LGPD: pendente de formalização contratual.
• Google Fonts — Entrega de fontes tipográficas da interface. Dados tratados: Metadados técnicos de requisição (ex.: endereço IP e agente do navegador). Infraestrutura: a definir. Transferência internacional: sim. Mecanismo do art. 33 da LGPD: pendente de formalização contratual.

7. Uso de inteligência artificial

Algumas funcionalidades utilizam inteligência artificial para apoiar o processamento das informações fornecidas pelo usuário (transcrição de ditado, leitura de imagens de monitor, extração de informações de texto e sugestões de avaliação).

Pseudonimização obrigatória antes do envio: todo texto clínico destinado a um modelo de IA passa por remoção automática de identificadores diretos no servidor do Clinus — nome do paciente e de profissionais, prontuário/registro, leito, CPF, CNS, RG, telefone, e-mail e data de nascimento são substituídos por marcadores. Os valores originais não saem do servidor, e os prompts instruem o modelo a nunca reconstruir nem devolver identificadores.

A idade é mantida quando presente, por ser clinicamente indispensável à interpretação e por não identificar o titular isoladamente.

Imagens enviadas pelo usuário (monitor, ventilador, folhas de controle) são processadas apenas na memória da requisição e não são armazenadas. Como a redação automática de cabeçalhos impressos em imagem não é possível, o usuário é orientado a cobrir ou recortar áreas com identificação antes do envio.

Áudio de ditado não é armazenado e sai da memória com a requisição; o texto de apoio que acompanha o áudio também é pseudonimizado.

Os resultados são sempre auxiliares e exigem revisão do profissional antes de qualquer uso clínico ou documental.

8. Transferência internacional de dados

A infraestrutura de banco de dados, autenticação e backups está hospedada na região AWS us-west-2, nos Estados Unidos. As funcionalidades de inteligência artificial são executadas por provedores que podem processar os dados fora do Brasil, conforme a lista de fornecedores desta política.

Portanto, dados pessoais e dados pessoais sensíveis de saúde podem ser armazenados e processados fora do território nacional. Antes de qualquer envio a provedores de inteligência artificial, o conteúdo é pseudonimizado no servidor do Clinus, de modo que identificadores diretos do paciente não são transferidos.

Nos termos do art. 33 da LGPD e da Resolução CD/ANPD nº 19/2024, a transferência internacional exige mecanismo jurídico adequado (cláusulas-padrão contratuais, cláusulas específicas, normas corporativas globais ou outra hipótese legal aplicável). O mecanismo efetivamente adotado com cada fornecedor depende de formalização contratual e será identificado nesta seção assim que concluída, permanecendo indicado como pendente enquanto não estiver formalizado.

9. Retenção e exclusão

Pacientes excluídos passam por exclusão lógica e permanecem recuperáveis em Pacientes excluídos até a exclusão permanente, que remove definitivamente o registro e seus dados vinculados. A exclusão da conta remove ou anonimiza os dados associados conforme a política de retenção definida.

• Dados de pacientes ativos: Mantidos enquanto a conta do profissional estiver ativa e o registro não for excluído. Prazo: a definir.
• Pacientes excluídos (lixeira): Período em que o registro permanece recuperável em Pacientes excluídos antes da exclusão permanente. Prazo: a definir.
• Registros de auditoria de acesso: Metadados de operações sensíveis, sem conteúdo clínico. Prazo: a definir.
• Dados temporários e rascunhos locais: Rascunhos no dispositivo são removidos no logout e na expiração da sessão. Prazo: a definir.

10. Direitos dos titulares

Solicitações podem ser registradas em Configurações → Privacidade e Segurança → Meus dados, ou pelo canal de privacidade indicado nesta política.

• Confirmação da existência de tratamento e acesso aos dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos.
• Portabilidade e exportação dos dados, nos termos da regulamentação.
• Informação sobre compartilhamento e sobre as consequências da negativa de consentimento, quando o consentimento for a base aplicável.
• Revogação do consentimento, quando aplicável.

11. Canal de contato

• Responsável pelo Clinus (razão social): a definir
• CNPJ: a definir
• Endereço: a definir
• Canal de privacidade: a definir
• Encarregado (DPO): a definir — a definir

12. Atualizações desta política

Esta política pode ser atualizada. Cada versão é identificada e registrada; quando a alteração exigir novo aceite, o usuário é avisado no aplicativo. Versão atual: 1.1. Última atualização: 2026-08-30.