Política de Privacidade

1. Controlador de Dados

STAIDOC TECNOLOGIA LTDA, CNPJ 60.940.879/0001-83, é a controladora dos dados pessoais tratados pelo STAiDOC Vox.

2. Dados que Coletamos

2.1 Dados do Médico (Titular)

• Nome completo e número de registro no conselho profissional (CRM, CRP ou CRN, para assinatura de documentos)
• E-mail (para autenticação)
• Senha (armazenada com hash, nunca em texto puro)
• Especialidade ou área profissional (uma por conta, para adequar os documentos gerados)
• Dados de pagamento: processados pelo nosso processador de pagamentos, exclusivamente por cartão. Não armazenamos o número do cartão; guardamos apenas o identificador da assinatura e o status do pagamento.
• Chave de API de integração (plano Enterprise): armazenada somente como hash criptográfico, nunca em texto claro.
• Origem do cadastro: se você chegou por um link de campanha (por exemplo, um anúncio), guardamos com a sua conta os identificadores da campanha e o site de origem, para medir quais canais trazem médicos. Nenhum dado de consulta ou de paciente entra nisso. Base legal deste item: legítimo interesse (LGPD Art. 7, IX).
• Código de indicação: se você chegou pelo link ou pelo código de um parceiro que divulga a plataforma, guardamos esse código com a sua conta e a sua assinatura, para calcular a comissão do parceiro. O parceiro nunca recebe seus dados: recebe apenas a quantidade de indicações e os valores. Base legal: execução de contrato e legítimo interesse (LGPD Art. 7, V e IX).
• Dados fiscais no processador de pagamentos (nome, e-mail e CPF ou CNPJ): continuam guardados pelo processador após a exclusão da conta, pelo prazo legal, por obrigação fiscal (LGPD Art. 16, I).

Base legal: execução de contrato (LGPD Art. 7, V).

2.2 Dados de Pacientes

O STAiDOC Vox foi projetado para NÃO coletar, armazenar ou processar dados pessoais identificáveis de pacientes em seus servidores.

• Áudio da consulta: nunca é gravado em disco, banco de dados ou storage. Transita apenas em memória durante a transcrição e é descartado ao final do processamento. Junto ao fornecedor de transcrição, ativamos o opt-out de retenção em todas as chamadas: o áudio não é retido nem utilizado para melhoria de modelos.
• Transcrição: exibida no navegador do médico. Antes de qualquer envio ao servidor, dados pessoais (nome, CPF, RG, endereço, telefone, e-mail e data de nascimento) são substituídos por marcadores anônimos ([NOME_ANONIMIZADO], [CPF_ANONIMIZADO] e similares) por algoritmo determinístico executado no navegador. A mesma anonimização é reaplicada no servidor antes de qualquer envio ao modelo de IA ou gravação em banco, como segunda camada de proteção. A idade do paciente é generalizada em faixa etária de cinco anos (por exemplo, 67 anos torna-se a faixa 65 a 69); a idade exata nunca é enviada nem armazenada. A anonimização automática opera em regime de melhor esforço: o médico permanece responsável por revisar os documentos antes de utilizá-los.
• Histórico da transcrição: por padrão, o sistema guarda apenas métricas da consulta (número de palavras e duração), sem o texto. O texto da transcrição, já anonimizado, só é armazenado no histórico se o médico ativar essa opção na própria consulta, e pode ser excluído por ele a qualquer momento.
• Documentos gerados: armazenados no servidor somente na versão anonimizada, sem os dados pessoais detectados pela anonimização automática. Como a detecção opera em regime de melhor esforço, o médico deve revisar o documento antes de utilizá-lo e pode excluí-lo a qualquer momento.
• Dados para PDF: nome e data de nascimento do paciente, inseridos pelo médico no momento de gerar o PDF, são utilizados exclusivamente no navegador para renderizar o documento. Estes dados não são enviados ao servidor.
• Consultas desta sessão: para o médico rever o que possa ter esquecido, as consultas encerradas (transcrição e documentos gerados, com as edições dele) ficam guardadas temporariamente no armazenamento da aba do navegador do próprio médico. Esse recurso não envia nada ao servidor. As consultas são apagadas ao sair da conta, ao fechar a aba ou 6 (seis) horas depois da gravação, e no máximo 10 (dez) ficam guardadas. O nome do paciente inserido para o PDF não é guardado.

Base legal: o processamento transitório do áudio e da transcrição ocorre para tutela da saúde, em procedimento realizado por profissional de saúde (LGPD Art. 11, II, f), sob responsabilidade do médico usuário. A prestação do serviço ao médico apoia-se na execução de contrato (LGPD Art. 7, V). Os registros de auditoria apoiam-se no cumprimento de obrigação legal e regulatória (LGPD Art. 7, II).

3. Fluxo de Dados

O caminho do dado, do início da consulta ao documento final, tem quatro etapas:

Em todo o fluxo, o sistema foi projetado para que dados identificáveis de pacientes não sejam armazenados nos nossos servidores.

4. Logs e Auditoria (LGPD Art. 37)

Mantemos os seguintes registros imutáveis para fins de prestação de contas:

• Registro de anonimização: quantos e quais tipos de dados pessoais foram detectados e substituídos em cada documento, sem armazenar os dados originais.
• Registro de auditoria: eventos do sistema, como geração de documentos, pagamento, troca de especialidade e tentativas rejeitadas.
• Registro de acesso: autenticações e acessos aos dados da conta.

O conteúdo desses registros não pode ser alterado nem excluído, e eles são mantidos pelo período legal aplicável.

Há uma única exceção, e ela existe a seu favor: quando você apaga a sua conta, o vínculo entre os registros e você é desfeito. O identificador da sua conta é anulado e, no registro de consentimento, o endereço de e-mail é substituído por um código irreversível. Nenhuma linha é apagada e nenhum conteúdo é editado: o que desaparece é a ligação com a sua pessoa. É assim que a eliminação dos seus dados convive com a obrigação legal de prestação de contas: continuamos podendo demonstrar a uma autoridade que as operações ocorreram, sem manter dados que identifiquem você.

5. Compartilhamento com Terceiros

Compartilhamos dados somente com prestadores tecnológicos contratados, das seguintes categorias de operadores:

• Fornecedor de reconhecimento de fala: recebe áudio para transcrição. Não armazena o áudio após o processamento. Sede nos Estados Unidos. Transferência internacional amparada por cláusulas contratuais padrão.
• Fornecedor de modelo de linguagem: recebe somente o texto já anonimizado para estruturação dos documentos. Não utiliza dados enviados pela API para treinamento de modelos. Sede nos Estados Unidos; a transferência internacional é amparada por cláusulas contratuais e pelas garantias previstas na LGPD (Art. 33) e no GDPR (Capítulo V).
• Processador de pagamentos: processa os pagamentos por cartão, incluindo a ativação da avaliação de 30 dias e as mensalidades. Os dados do cartão são coletados e tratados diretamente pelo processador, em conformidade com o padrão PCI DSS; não armazenamos o número do cartão. Sede nos Estados Unidos; transferência internacional amparada por cláusulas contratuais padrão.
• Provedor de infraestrutura em nuvem: infraestrutura de backend, com banco de dados hospedado no Brasil. Dados criptografados em repouso (AES-256) e em trânsito (TLS 1.3).

6. Direitos do Titular (LGPD Art. 18)

O médico usuário pode exercer os seguintes direitos:

• Acesso aos seus dados pessoais
• Correção de dados incompletos ou desatualizados
• Eliminação de dados pessoais. Os registros legais de auditoria não são apagados, mas são desvinculados de você na exclusão da conta, como descrito no item 4
• Portabilidade dos dados
• Revogação do consentimento
• Informação sobre compartilhamento com terceiros
• Reclamação à Autoridade Nacional de Proteção de Dados (ANPD)

Quanto aos dados de pacientes: o sistema foi projetado para não reter dados pessoais identificáveis de pacientes em seus servidores; o que é armazenado passa pela anonimização automática (em regime de melhor esforço) e pode ser excluído pelo médico a qualquer momento.

7. Retenção de Dados

• Dados do médico: mantidos enquanto a conta estiver ativa
• Origem do cadastro: enquanto a conta existir; apagada com a exclusão da conta
• Documentos anonimizados: 365 dias (configurável)
• Logs de auditoria: 5 anos (exigência legal)
• Áudio: não retido (transita só em memória, com opt-out no fornecedor)
• Texto da transcrição no histórico: só quando o médico ativa; excluível a qualquer momento
• Consultas desta sessão, só no navegador do médico: até sair da conta, fechar a aba ou completar 6 horas da gravação
• Dados identificáveis de pacientes: não retidos no servidor (anonimizados antes de qualquer gravação)
• Cópia cifrada de documentos enviados a outro computador (função "Enviar para o computador"): até 10 minutos, ou até a confirmação de recebimento, o que ocorrer primeiro
• Após a exclusão da conta: um código irreversível derivado do seu e-mail, que não permite recuperar o endereço nem identificar você. Ele serve a dois propósitos: manter válida a prova de qual versão dos Termos foi aceita e quando, e impedir que o período de avaliação seja renovado indefinidamente pelo mesmo endereço. Nenhum e-mail em texto legível é mantido depois da exclusão

8. Segurança

• Criptografia em trânsito (TLS 1.3)
• Criptografia em repouso (AES-256)
• Senhas armazenadas somente como hash criptográfico
• Controle de acesso por registro: cada médico acessa somente os próprios dados
• Validação de credenciais em todas as chamadas
• Sanitização das entradas contra conteúdo malicioso
• Chamadas ao servidor restritas ao domínio da aplicação
• Chaves de acesso nunca expostas ao navegador
• Encerramento automático da sessão após 2 horas sem uso, em qualquer aparelho, apagando as consultas guardadas na aba. Uma gravação ou geração de documento em curso conta como uso.
• Enviar para o computador: ao usar essa função para levar um documento gerado até outro computador, o texto é cifrado no aparelho do médico com uma chave que só os dois aparelhos envolvidos conhecem. A plataforma transporta apenas esse conteúdo cifrado e não consegue lê-lo. A cópia cifrada é apagada assim que o computador confirma o recebimento e, em qualquer caso, em até 10 minutos. O código de conexão exibido no computador vale por 5 minutos. A conexão se encerra ao fechar o navegador do computador, depois de 2 horas sem uso ou, no limite, depois de 12 horas, e nenhum documento fica armazenado no computador que recebe. A trilha de auditoria registra apenas o evento, como envio ou recebimento, nunca o conteúdo.

9. Usuários na União Europeia (GDPR)

Para titulares na União Europeia, o tratamento apoia-se na execução de contrato (GDPR Art. 6.1.b) e, para dados de saúde tratados de forma transitória, no Art. 9.2.h (finalidade de cuidados de saúde por profissional sujeito a sigilo). Além dos direitos da LGPD, o titular na UE tem direito de acesso, retificação, apagamento, limitação, portabilidade e oposição, e pode reclamar a uma autoridade de controle europeia. As transferências internacionais para os prestadores tecnológicos contratados sediados nos Estados Unidos (fornecedores de reconhecimento de fala, de modelo de linguagem e de pagamentos) e a infraestrutura de banco de dados no Brasil são amparadas por cláusulas contratuais padrão e demais garantias do Capítulo V do GDPR. Contato para exercício de direitos: [email protected].

10. Alinhamento à HIPAA

A STAIDOC TECNOLOGIA LTDA não é uma covered entity e não declara conformidade ou certificação HIPAA. As salvaguardas do produto são desenhadas em alinhamento à HIPAA Security Rule: retenção zero de áudio, anonimização em dupla camada, criptografia em trânsito e em repouso, controle de acesso por registro e trilhas de auditoria de conteúdo imutável. Informação de saúde só transita de forma anonimizada. O eventual atendimento a entidades sujeitas à HIPAA, no plano Enterprise, depende de avaliação e assinatura de Business Associate Agreement (BAA) com os operadores envolvidos.

11. Contato do Encarregado (DPO)

Para exercer seus direitos ou esclarecer dúvidas sobre o tratamento de dados, fale com o nosso Encarregado de Proteção de Dados (DPO):
STAIDOC TECNOLOGIA LTDA · CNPJ 60.940.879/0001-83
[email protected]