Política de Privacidade

Esta política explica como o Plann.ai trata dados pessoais. Ela vale para dois grupos diferentes de pessoas, e a distinção importa: a clínica, que contrata e usa o sistema, e o paciente, cujos dados a clínica insere para montar uma proposta de tratamento ou organizar consultas.

Os papéis de cada um

Em relação aos dados do paciente, a clínica é a controladora: é ela quem decide quais dados coleta e para quê. O Plann.ai é operador, tratando esses dados apenas para prestar o serviço contratado, seguindo as instruções da clínica.

Em relação aos dados de cadastro da própria clínica e de seus usuários, o Plann.ai é controlador.

Que dados são tratados

Da clínica e de quem usa o sistema

• Nome da clínica, nome e e-mail de cada usuário, e o papel de cada um.
• Senha, guardada apenas como hash criptográfico. Não temos acesso à senha em si.
• Telefone, logo, cor e condições de pagamento, quando a clínica os informa.
• O registro das ações feitas no painel — quem fez, o quê, quando e de qual endereço IP —, para que a clínica possa responder por alterações e acessos.

Do paciente

• Nome, e, quando informados pela clínica, telefone e e-mail.
• Consultas agendadas: paciente, profissional, motivo administrativo, data, duração e situação do atendimento.
• O conteúdo da proposta: descrição do diagnóstico, plano de tratamento, procedimentos e valores. Isso inclui dado pessoal sensível de saúde (art. 11 da LGPD).
• Imagens e arquivos que a clínica anexa, como fotos clínicas e escaneamentos. Das fotos, removemos no envio os metadados que o celular grava junto — localização, aparelho, data e hora.

Gerado pelo uso da proposta

• Registro de quando a proposta foi aberta, tempo estimado de visualização e seção ou página do PDF consultada no visualizador do site, e se o telefone ou o WhatsApp da clínica foi tocado dentro da proposta — associado a um identificador aleatório de sessão que dura enquanto a aba estiver aberta, e não identifica o dispositivo nem permite rastrear a pessoa em outros sites. O tempo é contado com a página visível e em foco; não monitoramos PDFs baixados e abertos fora do site. A estimativa não comprova leitura ou compreensão do conteúdo.
• Se o paciente aceitar o plano, guardamos data e hora, endereço IP e navegador, além de um resumo criptográfico da versão exata da proposta que estava na tela. Esse registro existe para servir de prova do aceite e por isso não é anonimizado.

Cookies

Só os necessários ao funcionamento: o de sessão, para quem entra no painel, e o comprovante de que o código de acesso de uma proposta foi digitado, válido por 12 horas. Não usamos cookies de publicidade, não há rastreadores de terceiros, e nenhum dado é vendido ou compartilhado para fins de marketing.

Como a proposta é protegida

A proposta fica em um endereço próprio, sem necessidade de login. Para que isso seja seguro:

• O endereço é aleatório e longo o bastante para não ser adivinhado, e não contém o nome do paciente.
• A página é bloqueada para buscadores e não é indexada.
• A clínica pode definir prazo de validade para o link.
• A clínica pode exigir um código de acesso: sem ele, quem tiver só o link não abre a proposta, e tentativas seguidas são bloqueadas.
• O isolamento entre clínicas é imposto no próprio banco de dados, não apenas na aplicação: uma clínica não alcança o dado de outra mesmo em caso de falha no código.
• Todo o tráfego é cifrado, e senhas usam derivação de chave resistente a ataque.

Por quanto tempo guardamos

• Dados da conta: enquanto a conta existir. Vencido o teste ou a assinatura, a publicação e os convites param, e a consulta e a exportação continuam disponíveis por 60 dias. Passado esse prazo sem que a assinatura volte a ficar em dia, os dados da clínica são apagados. Avisamos por e-mail três vezes antes: no vencimento, 30 dias depois e uma semana antes da exclusão.
• Propostas e seus registros de leitura e aceite: enquanto a clínica mantiver a conta, ou até que ela solicite exclusão. O aceite pode ser mantido pelo prazo legal aplicável, por ser registro de manifestação de vontade.
• Encerrada a conta, os dados são excluídos ou anonimizados, salvo obrigação legal de retenção.
• Backups: as cópias de segurança guardam as sete últimas execuções e são sobrescritas em rodízio. Um dado excluído sai do sistema na hora e desaparece dos backups quando a última cópia que o continha for descartada.

Direitos do titular

Qualquer pessoa pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade ou exclusão de seus dados, além de revogar consentimento.

Paciente: o pedido deve ser feito à clínica que enviou a proposta, que é a controladora dos seus dados. Se nos procurar diretamente, encaminharemos à clínica e apoiaremos o atendimento.

Clínica: pedidos sobre os dados da conta podem ser feitos diretamente pelo contato abaixo.

Compartilhamento

Não vendemos nem cedemos dados. Para operar o serviço, contamos com fornecedores que tratam dados apenas nas funções abaixo, sob contrato, e nunca para fins próprios:

• Hospedagem, banco de dados e armazenamento de arquivos — onde o sistema, os dados e as imagens anexadas ficam guardados.
• Envio de e-mail (Resend, Estados Unidos) — confirmação de conta, convites, recuperação de senha e avisos, com o endereço de destino e o texto da mensagem. Nenhum e-mail é enviado a pacientes.
• Caixa de correio do suporte (Titan, contratado pela HostGator) — as mensagens enviadas a nós.
• Controle de abuso — endereço IP e e-mail digitado no login, guardados por no máximo um dia para limitar tentativas.
• Monitoramento de erros — a descrição técnica de uma falha. Endereços de e-mail são mascarados antes do envio, e conteúdo de proposta não entra.
• Inteligência artificial (Anthropic, Estados Unidos) — descrita na seção seguinte.

Fornecedores situados fora do Brasil caracterizam transferência internacional de dados, nos termos do art. 33 da LGPD.

Geração de texto por inteligência artificial

A clínica pode pedir que o texto da proposta seja escrito a partir dos tópicos que ela digitou. Quando isso acontece, o que sai do sistema são apenas os tópicos do diagnóstico, os nomes dos procedimentos, o texto-base do catálogo e o tom de voz definido pela clínica.

O paciente não é identificado. Nome, telefone, e-mail, imagens e qualquer outro dado que permita identificá-lo ficam fora do envio — o texto é escrito na segunda pessoa. Ainda assim, tópico de diagnóstico é dado de saúde, e o envio é uma transferência internacional sujeita ao art. 33 da LGPD.

O fornecedor de inteligência artificial é a Anthropic, e o conteúdo enviado está sujeito a contrato que veda uso para treinamento de modelos. O texto gerado volta para a clínica revisar e editar; nada é publicado sem que uma pessoa confirme.

O recurso só funciona quando a chave do fornecedor está configurada. Sem ela, o botão não aparece, nada sai do sistema, e a clínica escreve o texto à mão.

Como exercer esses direitos

A clínica encontra os controles dentro do próprio sistema, em Configurações → Seus dados:

• Exportar. Baixa um arquivo com os dados da conta — clínica, equipe, catálogo, pacientes, propostas, versões publicadas, aceites e auditoria. As imagens não vão dentro do arquivo, que traz o endereço de cada uma; elas continuam acessíveis pelo painel enquanto a conta existir.
• Excluir um paciente. Apaga a ficha e todas as propostas dele. Os links já enviados param de abrir na mesma hora.
• Encerrar a conta. Apaga a clínica inteira, em cascata, sem cópia retida por nós. Exporte antes: depois do encerramento não há o que baixar.

Exclusão aqui é exclusão de verdade: o registro sai do banco, não é marcado como oculto. A única sobrevida é a das cópias de segurança, no rodízio descrito acima.

Encarregado de dados

a definir — suporte@plannai.com.br

Aviso: o encarregado ainda não foi nomeado. Enquanto estiver assim, o sistema não deve ser usado com dados de pacientes reais — a indicação do encarregado é exigência da LGPD, não formalidade.

Contato

Controlador: a definir. Contato: suporte@plannai.com.br.