Política de Privacidade

1. Responsável pelo tratamento dos dados

A Includi Soluções em Tecnologia LTDA — CNPJ 50.361.026/0001-33, Av. Bento Munhoz da Rocha Neto, 632, Torre Norte, 19º Andar, Salas 1905–1908, Maringá/PR — é a empresa responsável pela plataforma Includi Clinic e por este site institucional.

Atuamos como controladora dos dados de usuários do sistema (profissionais, gestores e administradores das clínicas) e visitantes deste site. Em relação aos dados dos pacientes, atuamos como operadora — sendo a clínica contratante a controladora responsável por esses dados.

2. Quais dados coletamos

2.1 Clientes e usuários do sistema (clínicas)

• Nome completo e CPF/CNPJ do responsável legal
• E-mail e número de telefone/WhatsApp
• Dados de faturamento — processados por gateway certificado PCI-DSS
• Credenciais de acesso (e-mail + hash de senha; nunca a senha em texto puro)
• Logs de acesso, ações no sistema e endereço IP

2.2 Pacientes das clínicas (operados pela Includi, controlados pela clínica)

• Dados cadastrais: nome, CPF, data de nascimento, endereço, contato
• Dados de saúde: histórico clínico, prontuários, laudos e exames
• Agendamentos: datas, horários e tipo de consulta
• Dados financeiros: cobranças, planos de saúde e pagamentos
• Comunicações via WhatsApp: confirmações, lembretes e documentos

2.3 Visitantes do site institucional

• Nome, e-mail e telefone preenchidos em formulários de contato ou demonstração
• Dados de navegação coletados por cookies (veja a seção 8)

3. Como e por que usamos seus dados

• Prestação e melhoria contínua do serviço contratado
• Gestão de conta, autenticação e controle de acesso
• Faturamento, emissão de notas fiscais e obrigações tributárias
• Envio de comunicados transacionais (confirmações, lembretes, alertas)
• Suporte técnico e atendimento ao cliente
• Prevenção a fraudes e segurança da plataforma
• Comunicações de marketing — somente com seu consentimento

4. Tratamento de dados via WhatsApp Business API (Meta)

O Includi Clinic utiliza a WhatsApp Business API fornecida pela Meta Platforms, Inc. para o envio automatizado de mensagens aos pacientes das clínicas contratantes. A Includi atua como Parceira de Solução (BSP) credenciada pela Meta.

4.1 Dados transmitidos à infraestrutura da Meta

• Número de telefone do destinatário — imprescindível para o envio
• Conteúdo do template aprovado (ex.: nome, data e hora da consulta)
• Metadados de entrega: status (enviado / entregue / lido) e timestamps

A Includi Clinic não transmite dados sensíveis de saúde, CPF, dados financeiros ou prontuários aos servidores da Meta. O conteúdo das mensagens é restrito ao mínimo necessário para identificar o agendamento.

4.2 Finalidades do uso do WhatsApp

• Confirmação e lembrete de consultas e procedimentos
• Notificação de cancelamento ou reagendamento
• Envio de documentos para assinatura eletrônica
• Comunicados administrativos da clínica ao paciente
• Respostas a interações iniciadas pelo próprio paciente

4.3 Consentimento e opt-out

O envio de mensagens depende do consentimento prévio do paciente, coletado pela clínica no momento do cadastro. O paciente pode revogar esse consentimento a qualquer momento junto à clínica ou respondendo "PARAR" a qualquer mensagem — o sistema processa automaticamente o opt-out.

4.4 Política da Meta

Dados transmitidos à infraestrutura da Meta estão também sujeitos à Política de Privacidade da Meta Platforms, disponível em whatsapp.com/legal/privacy-policy. A integração é realizada sob os contratos de processamento de dados (DPA) exigidos pela Meta para parceiros BSP, em conformidade com o art. 42 da LGPD.

5. Compartilhamento com terceiros

A Includi Clinic não vende, aluga ou comercializa dados pessoais. O compartilhamento ocorre somente nas situações abaixo, sempre com base legal aplicável:

• Meta (WhatsApp API): transmissão mínima para envio de mensagens (seção 4)
• Gateways de pagamento: dados de cobrança para processadores certificados PCI-DSS (ex.: Asaas)
• Infraestrutura de nuvem: provedores com certificações de segurança reconhecidas (ex.: AWS, GCP)
• Autoridades públicas: quando exigido por lei, decisão judicial ou órgão regulador competente
• Suporte técnico: acesso restrito e sob cláusulas contratuais de confidencialidade

Todos os subprocessadores assinam acordos de processamento de dados alinhados à LGPD.

6. Retenção e exclusão de dados

Os dados são mantidos pelo tempo estritamente necessário para cada finalidade:

• Dados contratuais da clínica: durante a vigência + até 5 anos após o encerramento (obrigação fiscal)
• Prontuários de pacientes: mínimo 20 anos para prontuários médicos, conforme CFM
• Logs de acesso ao sistema: 6 meses (Marco Civil da Internet, art. 15)
• Metadados de mensagens WhatsApp: até 12 meses para fins de auditoria
• Dados de formulários do site: até 2 anos ou até revogação do consentimento

Após o prazo aplicável, os dados são eliminados de forma segura ou anonimizados irreversivelmente.

7. Segurança da informação

Adotamos medidas técnicas e organizacionais para proteger os dados contra acesso não autorizado, perda ou divulgação indevida:

• Criptografia em trânsito (TLS 1.2+) e em repouso (AES-256)
• Autenticação multifator (MFA) no acesso administrativo
• Controle de acesso por perfil (RBAC)
• Backups automatizados e testados periodicamente
• Monitoramento contínuo e alertas de segurança
• Testes periódicos de vulnerabilidade (pentest)
• Política interna de resposta a incidentes (PDRI)

Em caso de incidente relevante, notificaremos a ANPD e os titulares afetados dentro dos prazos previstos na LGPD.

8. Cookies e tecnologias de rastreamento

Este site utiliza cookies para melhorar a experiência de navegação:

• Cookies essenciais: necessários para o funcionamento básico (sessão, segurança)
• Cookies de análise: dados agregados e anonimizados de navegação para melhoria do site
• Cookies de marketing: utilizados somente mediante consentimento explícito

Você pode recusar cookies nas configurações do seu navegador. A recusa de cookies essenciais pode afetar o funcionamento de algumas áreas do site.

9. Atualizações desta política

Esta Política pode ser atualizada para refletir mudanças em nossas práticas ou na legislação. Alterações relevantes serão comunicadas por e-mail e/ou aviso na plataforma com antecedência mínima de 15 dias antes de entrarem em vigor.

10. Contato e Encarregado de Dados (DPO)

Dúvidas, solicitações ou comunicação de incidentes relacionados à privacidade:

Caso não se sinta satisfeito com nossa resposta, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.