Esta política descreve como o MedChat coleta, usa e protege dados — em especial dados de saúde, que recebem tratamento sensível conforme a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018).
1. Quem é o controlador
A clínica/profissional contratante é o controlador dos dados dos pacientes. O MedChat (PowerAds) atua como operador, processando dados sob instruções da clínica.
2. Dados que coletamos
- Da clínica: nome, CNPJ, email, telefone, dados dos profissionais (nome, conselho, especialidade), serviços oferecidos, FAQ.
- Dos pacientes: número de WhatsApp, nome (quando informado), conteúdo das conversas, dados de pré-anamnese (sintomas, queixas).
- Técnicos: IP, user-agent, logs de acesso, métricas de uso.
3. Bases legais (Art. 7º e 11 LGPD)
- Execução de contrato com a clínica.
- Consentimento do paciente ao iniciar conversa no WhatsApp.
- Tutela da saúde (Art. 11, II, "f") — exclusiva pra dados de saúde.
- Cumprimento de obrigação legal — registros mínimos exigidos por CFM/conselhos.
4. Onde os dados ficam
- Banco de dados: Supabase (AWS São Paulo, sa-east-1) — encrypted at rest.
- Servidor de aplicação: Google Cloud Run (southamerica-east1).
- Modelo de IA: Google Gemini via Vertex AI (us-central1) — sem armazenamento persistente das mensagens pelo provider.
- Gateway WhatsApp: Evolution API auto-hospedada em GCP.
5. Quem tem acesso
- Profissionais autorizados pela clínica (via login).
- Equipe técnica MedChat — somente pra suporte/manutenção, com audit log de cada acesso.
- Não compartilhamos dados com terceiros pra fins comerciais.
6. Por quanto tempo guardamos
- Conversas e dados clínicos: 20 anos (CFM Resolução 1.821/2007).
- Dados de cadastro: enquanto a conta estiver ativa + 5 anos após encerramento (prescrição civil).
- Logs técnicos: 6 meses (Marco Civil da Internet).
7. Direitos do titular (Art. 18 LGPD)
Pacientes podem exercer seus direitos de acesso, correção, anonimização, portabilidade e eliminação diretamente com a clínica, que tem 15 dias pra responder. A clínica pode usar o painel MedChat pra atender essas solicitações.
8. Encarregado (DPO)
A clínica deve cadastrar seu próprio DPO no painel — esse email recebe as solicitações dos titulares. Para questões sobre a infraestrutura MedChat: dpo@powerads.marketing.
9. Incidentes de segurança
Em caso de vazamento ou incidente, notificaremos a clínica em até 24h e a ANPD em até 72h, conforme Art. 48 LGPD.
10. Mudanças nesta política
Atualizações serão comunicadas por email com 30 dias de antecedência. Continuar usando o serviço após esse prazo significa aceitação dos termos atualizados.