Política de Privacidade — UniClinic

Versão 1.0 · Em vigor desde 24 de julho de 2026

Esta política descreve como a UniClinic trata dados pessoais e dados de saúde na plataforma de gestão clínica, quem é responsável por cada tipo de dado e como você exerce os seus direitos.

1. Quem somos e o alcance desta política de privacidade

A UniClinic é uma plataforma de software como serviço (SaaS) de gestão clínica. Ela é contratada por clínicas e profissionais de saúde independentes para organizar agendamentos, prontuários, comunicação com pacientes e controle financeiro.

Esta política se aplica ao uso do sistema UniClinic, incluindo os canais de comunicação que a plataforma opera em nome das clínicas — entre eles o WhatsApp.

Foi elaborada em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD) e com o Marco Civil da Internet (Lei nº 12.965/2014).

2. Papéis no tratamento: quem é controlador e quem é operador

Esta é a seção mais importante do documento, porque define de quem é cada responsabilidade.

Sobre os dados de pacientes, a clínica é a CONTROLADORA e a UniClinic é a OPERADORA. Quem decide quais dados coletar, para que finalidade e por quanto tempo mantê-los é a clínica que atende o paciente. A UniClinic trata esses dados exclusivamente segundo as instruções da clínica contratante e nos limites do contrato.

Na prática, a UniClinic não decide sozinha o destino dos dados de saúde de um paciente. Se você é paciente e quer exercer direitos sobre os seus dados, o caminho mais direto é falar com a clínica que o atende. Ainda assim, também atendemos solicitações recebidas diretamente por nós, encaminhando-as à clínica responsável e apoiando o atendimento.

Há um segundo conjunto de dados em que a UniClinic atua como controladora: os dados de cadastro e uso da própria plataforma pelas clínicas clientes e por suas equipes (nome e e-mail do profissional que acessa o sistema, registros de acesso e de auditoria, dados de contratação e faturamento da assinatura).

3. Quais dados são tratados

Dados de pacientes (clínica é a controladora), conforme o que cada clínica opta por registrar:

• Identificação e contato: nome, data de nascimento, CPF, telefone, e-mail e endereço.

• Dados de atendimento: agendamentos, comparecimentos, faltas e histórico de sessões.

• Dados de saúde: anamnese, evoluções clínicas, planos de tratamento, laudos e demais anotações do prontuário.

• Dados financeiros do atendimento: valores, formas de pagamento, parcelas e convênios.

• Conteúdo de conversas trocadas com a clínica pelos canais operados pela plataforma, incluindo WhatsApp.

Dados de profissionais e equipe da clínica (UniClinic é a controladora): nome, e-mail corporativo, perfil de acesso e permissões, foto de perfil quando fornecida, preferências pessoais do sistema e registros de auditoria das ações realizadas.

Dados técnicos: endereço IP, identificadores de sessão, tipo de dispositivo e navegador, e registros de erro e desempenho.

Registramos em trilha de auditoria as operações relevantes feitas no sistema (quem alterou o quê e quando), especialmente em prontuário, agenda e financeiro. Essa trilha é uma medida de segurança e de integridade da informação clínica.

4. Finalidades e bases legais

• Prestar o serviço contratado pela clínica: agenda, prontuário, comunicação com pacientes e controle financeiro — base legal: execução de contrato (art. 7º, V) e, quanto ao paciente, tutela da saúde por profissional de saúde (art. 11, II, “f”).

• Enviar lembretes, confirmações e comunicações operacionais de atendimento aos pacientes, em nome da clínica — base legal: tutela da saúde e legítimo interesse na continuidade do cuidado, sempre com consentimento registrado para o canal WhatsApp.

• Cumprir obrigações legais e regulatórias, inclusive de guarda de prontuário e obrigações fiscais — base legal: cumprimento de obrigação legal (art. 7º, II).

• Garantir segurança, prevenir fraude e apurar incidentes, por meio de registros de acesso e trilha de auditoria — base legal: legítimo interesse e cumprimento de obrigação legal.

• Gerir a relação comercial com a clínica cliente (contratação, cobrança e suporte) — base legal: execução de contrato.

O que NÃO fazemos: não vendemos dados pessoais; não utilizamos dados de pacientes para publicidade, segmentação de anúncios ou perfilamento comercial; não compartilhamos dados entre clínicas diferentes; e não utilizamos conteúdo de prontuário ou de conversas de pacientes para treinar modelos de inteligência artificial de terceiros.

5. Dados de saúde: tratamento como dado sensível

Dados referentes à saúde são dados pessoais sensíveis na LGPD (art. 5º, II) e recebem proteção reforçada. Na plataforma, isso se traduz em medidas concretas:

• Anotações clínicas e conteúdo de conversas são armazenados cifrados em repouso, com algoritmo AES-256-GCM.

• O acesso é controlado por perfil: cada profissional acessa apenas as funcionalidades atribuídas ao seu perfil pela clínica.

• Os dados de cada clínica ficam isolados dos dados das demais clínicas, com filtro obrigatório de clínica em todas as consultas.

• Notificações enviadas para o celular da equipe não exibem diagnóstico, valores financeiros nem nome completo do paciente na tela de bloqueio.

O tratamento de dados de saúde se dá para tutela da saúde, em procedimento realizado por profissionais de saúde ou por entidade sanitária, nos termos do art. 11, II, alínea “f”, da LGPD.

6. WhatsApp e a Plataforma de Negócios da Meta

A plataforma integra-se à WhatsApp Business Platform (Cloud API), operada pela Meta, para que a clínica converse com seus pacientes pelo número de WhatsApp da própria clínica.

• A conexão é autorizada pela clínica, que permanece titular da sua conta do WhatsApp Business e pode desconectá-la a qualquer momento pelo próprio aplicativo.

• Mensagens enviadas e recebidas por esse canal transitam pela infraestrutura da Meta e ficam sujeitas também às políticas de privacidade da Meta.

• O envio de mensagens a pacientes exige consentimento prévio (opt-in) registrado na plataforma, com data e origem. O paciente pode revogá-lo a qualquer momento.

• O conteúdo das conversas é armazenado cifrado e vinculado exclusivamente à clínica correspondente.

• Quando a clínica opta por conectar um número já em uso no aplicativo WhatsApp Business, o histórico recente de conversas pode ser importado para a plataforma, mediante autorização explícita dada por ela no momento da conexão.

Não utilizamos dados obtidos pelo WhatsApp para publicidade, nem os transferimos à Meta para finalidades de anúncios. O uso da integração é restrito à comunicação assistencial e operacional entre a clínica e seus pacientes.

7. Uso de inteligência artificial

Algumas funcionalidades utilizam modelos de linguagem para apoiar a equipe da clínica — por exemplo, sugerir a redação de uma resposta a uma mensagem de paciente ou preparar o rascunho de um documento clínico.

• As saídas de IA são sempre RASCUNHOS sujeitos a revisão e validação humana. Nenhum documento clínico é finalizado automaticamente.

• Os provedores de modelo são contratados como operadores, sob obrigação de confidencialidade e sem autorização para usar o conteúdo em treinamento de modelos.

• Enviamos ao modelo apenas o contexto necessário para a tarefa solicitada.

8. Com quem compartilhamos dados

Não comercializamos dados. O compartilhamento ocorre apenas com fornecedores necessários à operação (suboperadores), com autoridades quando a lei exigir, e nas hipóteses abaixo:

• Infraestrutura de banco de dados e autenticação (Supabase) — armazenamento dos dados da plataforma.

• Hospedagem e entrega da aplicação (Vercel) — execução do sistema e métricas agregadas de desempenho e audiência.

• Meta Platforms — quando a clínica usa a integração de WhatsApp, para o transporte das mensagens.

• Google — autenticação de acesso dos profissionais por login federado (Google OAuth).

• Provedores de modelos de inteligência artificial — nas funcionalidades descritas na seção anterior.

• Autoridades judiciais, administrativas ou governamentais, mediante determinação legal, requisição ou ordem judicial.

• Sucessores, em caso de reorganização societária, mantidas as obrigações desta política.

9. Transferência internacional de dados

Parte da infraestrutura que sustenta a plataforma está localizada fora do Brasil. Assim, dados pessoais podem ser transferidos e processados no exterior, sempre com fornecedores que adotam garantias adequadas de proteção, nos termos do Capítulo V da LGPD.

10. Segurança da informação

• Comunicação cifrada em trânsito (HTTPS/TLS) e cifragem em repouso dos campos sensíveis.

• Isolamento rigoroso entre clínicas: toda consulta de dados é filtrada pela clínica do usuário autenticado.

• Controle de acesso por perfil, com permissões concedidas funcionalidade a funcionalidade.

• Bloqueio automático de estação por inatividade e expiração de sessão.

• Trilha de auditoria das operações sensíveis em prontuário, agenda e financeiro.

Nenhum sistema é absolutamente imune a incidentes. Em caso de incidente de segurança com risco relevante aos titulares, comunicaremos a clínica controladora e, quando aplicável, a Autoridade Nacional de Proteção de Dados e os titulares afetados, nos termos do art. 48 da LGPD.

11. Por quanto tempo os dados são mantidos

• Prontuário e registros clínicos: pelo prazo exigido pela regulamentação profissional e sanitária aplicável, sob responsabilidade da clínica controladora.

• Documentos fiscais e financeiros: pelos prazos da legislação tributária.

• Registros de acesso e trilha de auditoria: pelo prazo necessário à segurança e à defesa em eventual processo.

• Conteúdo de conversas: sujeito a política de retenção configurada, com expurgo automático após o período definido.

Encerrado o prazo, os dados são eliminados ou anonimizados, ressalvadas as hipóteses do art. 16 da LGPD.

12. Direitos do titular

Nos termos do art. 18 da LGPD, o titular pode solicitar a qualquer momento:

• Confirmação da existência de tratamento e acesso aos dados.

• Correção de dados incompletos, inexatos ou desatualizados.

• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei.

• Portabilidade a outro fornecedor, mediante requisição expressa.

• Informação sobre com quem os dados foram compartilhados.

• Revogação do consentimento, quando esta for a base legal do tratamento.

Como a clínica é a controladora dos dados de pacientes, pedidos sobre dados clínicos são direcionados a ela. Recebendo a solicitação diretamente, nós a encaminhamos à clínica responsável e prestamos o apoio técnico necessário.

13. Como solicitar a exclusão dos seus dados

Para solicitar a exclusão de dados pessoais, envie uma mensagem para secretariauniclinic@gmail.com com o assunto “Solicitação de exclusão de dados”, informando:

• Seu nome completo.

• O nome da clínica com a qual você tem ou teve relação.

• O telefone ou e-mail utilizado no cadastro.

• Se o pedido se refere a todos os dados ou apenas a um canal específico (por exemplo, deixar de receber mensagens no WhatsApp).

Confirmaremos o recebimento e responderemos em até 15 (quinze) dias. Pedidos que envolvam prontuário são encaminhados à clínica controladora, que avaliará a solicitação diante do dever legal de guarda do registro clínico — nesses casos, os dados podem ser bloqueados para novos usos mesmo quando não puderem ser eliminados imediatamente.

Para deixar de receber mensagens no WhatsApp, basta responder pedindo a interrupção do contato, ou solicitar à recepção da clínica. A revogação é registrada na plataforma e interrompe os envios automáticos.

14. Cookies e telemetria

Utilizamos cookies estritamente necessários para manter a sessão autenticada e proteger o acesso à conta. Sem eles o sistema não funciona.

Coletamos também métricas agregadas de audiência e desempenho, para identificar erros e lentidão. Essas métricas não são usadas para publicidade e não constroem perfil comercial do usuário.

A plataforma pode ser instalada como aplicativo (PWA) e armazenar dados localmente no dispositivo para funcionar sem conexão. Esse conteúdo local é removido ao sair da conta ou ao desinstalar o aplicativo.

15. Encarregado pelo tratamento de dados

Para exercer direitos, esclarecer dúvidas ou comunicar incidentes, contate o encarregado pelo tratamento de dados pessoais (LGPD, art. 41): secretariauniclinic@gmail.com

16. Alterações desta política

Esta política pode ser atualizada para refletir mudanças na plataforma ou na legislação. A versão vigente é sempre a publicada, com número de versão e data de vigência indicados no topo. Alterações materiais são comunicadas às clínicas contratantes.

17. Legislação aplicável e foro

Esta política é regida pela legislação brasileira. Fica eleito o foro do domicílio do titular para dirimir controvérsias dela decorrentes, quando o titular for consumidor; nos demais casos, o foro da sede da empresa.

Veja tudo em https://uniclinic.vercel.app/privacidade

https://uniclinic.vercel.app/privacidade