1. Quem somos
A Includi Soluções em Tecnologia LTDA, inscrita no CNPJ sob o nº 50.361.026/0001-33, com sede na Av. Bento Munhoz da Rocha Neto, 632, Torre Norte, 19º Andar, Salas 1905 a 1908, Maringá – PR, CEP 87030-010, é a empresa controladora responsável pelo tratamento dos dados pessoais coletados por meio do software Includi Clinic e deste site institucional.
Atuamos como operador em relação aos dados dos pacientes das clínicas contratantes — sendo a própria clínica (pessoa jurídica contratante) o controlador desses dados — e como controlador em relação aos dados dos usuários do sistema (profissionais, administradores e gestores) e visitantes deste site.
2. Quais dados coletamos
2.1 Dados de clientes e usuários do sistema (clínicas)
- Nome completo e CPF/CNPJ do responsável legal
- Endereço de e-mail e número de telefone/WhatsApp
- Dados de faturamento e pagamento (processados por gateway certificado PCI-DSS)
- Credenciais de acesso (e-mail e hash de senha — nunca a senha em texto puro)
- Logs de acesso, ações dentro do sistema e endereço IP
2.2 Dados de pacientes (tratados pela clínica, operados pela Includi)
- Dados cadastrais: nome, CPF, data de nascimento, endereço, contato
- Dados de saúde: histórico clínico, prontuários, laudos e exames
- Dados de agendamento: datas, horários e tipo de consulta
- Dados financeiros: cobranças, planos de saúde e pagamentos
- Comunicações via WhatsApp: confirmações, lembretes e documentos assinados digitalmente
2.3 Dados de visitantes deste site
- Nome, e-mail e telefone preenchidos em formulários de contato ou demonstração
- Dados de navegação coletados por cookies (veja a seção de cookies)
Dados sensíveis de saúde: os prontuários e informações clínicas dos pacientes são classificados como dados pessoais sensíveis pela LGPD (art. 5º, II). Seu tratamento requer consentimento explícito ou outra base legal específica, e conta com camadas adicionais de segurança e controle de acesso.
3. Bases legais para o tratamento (LGPD, art. 7º e 11)
Todo tratamento de dados realizado pela Includi Clinic possui fundamento em ao menos uma das seguintes bases legais:
| Finalidade | Base legal (LGPD) | Artigo |
|---|---|---|
| Prestação do serviço contratado | Execução de contrato | Art. 7º, V |
| Prontuário eletrônico e dados de saúde | Tutela da saúde / exercício regular de direitos | Art. 11, II, f |
| Envio de lembretes e confirmações via WhatsApp | Consentimento do titular | Art. 7º, I |
| Emissão de nota fiscal e obrigações tributárias | Cumprimento de obrigação legal | Art. 7º, II |
| Prevenção a fraudes e segurança da plataforma | Legítimo interesse | Art. 7º, IX |
| Comunicações de marketing e novidades do produto | Consentimento do titular | Art. 7º, I |
| Suporte técnico e atendimento ao cliente | Execução de contrato / legítimo interesse | Art. 7º, V e IX |
4. Uso da API do WhatsApp (Meta Business Platform)
O Includi Clinic utiliza a WhatsApp Business API, fornecida pela Meta Platforms, Inc., para viabilizar o envio automatizado de mensagens aos pacientes das clínicas contratantes. Este recurso está sujeito aos termos de uso, políticas de privacidade e diretrizes da Meta.
Como funciona a integração
A clínica contratante conecta seu próprio número de WhatsApp Business à plataforma Includi Clinic. A Includi atua como Parceira de Solução (BSP) da Meta, transmitindo as mensagens em nome da clínica, de acordo com os modelos (templates) aprovados pela Meta.
4.1 Quais dados são transmitidos à infraestrutura da Meta
- Número de telefone do destinatário (paciente) — necessário para o envio da mensagem
- Conteúdo da mensagem conforme o template aprovado (ex.: nome do paciente, data e hora da consulta)
- Metadados de entrega: status (enviado, entregue, lido) e timestamps
A Includi Clinic não transmite dados sensíveis de saúde, CPF, dados financeiros ou prontuários para os servidores da Meta. O conteúdo das mensagens é restrito ao mínimo necessário para identificar o agendamento.
4.2 Finalidades do uso do WhatsApp
- Confirmação e lembrete de consultas e procedimentos
- Notificações de cancelamento ou reagendamento
- Envio de documentos para assinatura eletrônica
- Comunicados administrativos da clínica ao paciente
- Respostas a interações iniciadas pelo próprio paciente
4.3 Consentimento e opt-out
O envio de mensagens pelo WhatsApp depende do consentimento prévio do paciente, coletado pela clínica no momento do cadastro ou da primeira consulta. O paciente pode, a qualquer momento, revogar esse consentimento junto à clínica ou diretamente respondendo "PARAR" a qualquer mensagem recebida — o sistema processará automaticamente a solicitação de opt-out.
4.4 Política de privacidade da Meta
Ao utilizar este recurso, os dados transmitidos à infraestrutura da Meta estão sujeitos também à Política de Privacidade da Meta Platforms. Recomendamos a leitura do documento disponível em www.whatsapp.com/legal/privacy-policy.
Responsabilidade compartilhada: nos termos da LGPD (art. 42), a clínica (controladora) e a Includi Clinic (operadora) compartilham responsabilidades sobre o tratamento dos dados dos pacientes. A integração com a Meta é realizada sob os contratos de processamento de dados (DPA) exigidos pela própria Meta para parceiros BSP.
5. Compartilhamento de dados com terceiros
A Includi Clinic não vende, aluga ou comercializa dados pessoais de seus clientes ou pacientes. O compartilhamento ocorre apenas nas seguintes situações, sempre com base legal aplicável:
- Meta (WhatsApp API): transmissão mínima necessária para envio de mensagens (veja seção 4)
- Processadores de pagamento: dados de cobrança para gateways certificados (ex.: Stripe, Asaas)
- Infraestrutura de nuvem: servidores hospedados em provedores com certificações de segurança (ex.: AWS, GCP)
- Autoridades públicas: quando exigido por lei, decisão judicial ou regulatório competente
- Prestadores de suporte técnico: acesso restrito e mediante cláusulas contratuais de confidencialidade
Todos os subprocessadores são selecionados com critérios de segurança e assinam acordos de processamento de dados alinhados à LGPD e, quando aplicável, ao GDPR europeu.
6. Retenção e exclusão de dados
Os dados são mantidos pelo tempo estritamente necessário para cada finalidade:
- Dados contratuais (clínica): durante a vigência do contrato e por até 5 anos após o encerramento (obrigação legal fiscal e contábil)
- Prontuários de pacientes: conforme prazo mínimo definido pelo CFM e CFF — geralmente 20 anos para prontuários médicos
- Logs de acesso ao sistema: por 6 meses (Marco Civil da Internet, art. 15)
- Mensagens WhatsApp (metadados): por até 12 meses para fins de auditoria
- Dados de visitantes do site (formulários): por até 2 anos ou até revogação do consentimento
Após o prazo aplicável, os dados são eliminados de forma segura ou anonimizados de modo que não seja possível a reidentificação do titular.
7. Medidas de segurança
Adotamos medidas técnicas e organizacionais adequadas para proteger os dados pessoais contra acesso não autorizado, perda acidental, destruição ou divulgação indevida:
- Criptografia em trânsito (TLS 1.2+) e em repouso (AES-256)
- Autenticação multifator (MFA) para acesso administrativo
- Controle de acesso baseado em perfis (RBAC) — cada usuário acessa apenas o necessário
- Backups automatizados e testados periodicamente
- Monitoramento contínuo e alertas de segurança
- Testes periódicos de vulnerabilidade e penetração (pentest)
- Política interna de resposta a incidentes (PDRI)
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, notificaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados dentro do prazo previsto na LGPD.
8. Seus direitos como titular de dados (LGPD, art. 18)
Você, como titular de dados, possui os seguintes direitos, que podem ser exercidos a qualquer momento mediante solicitação ao nosso canal de atendimento:
Para exercer qualquer um desses direitos, entre em contato com nosso Encarregado de Proteção de Dados (DPO) pelo e-mail privacidade@includi.com.br. Responderemos no prazo de até 15 dias úteis.
Pacientes de clínicas: se você é paciente de uma clínica que usa o Includi Clinic, seus direitos como titular devem ser exercidos primeiramente junto à própria clínica (controladora dos seus dados). Podemos auxiliar a clínica no atendimento dessas solicitações.
9. Cookies e tecnologias de rastreamento
Este site utiliza cookies para melhorar a experiência de navegação e coletar informações de desempenho:
- Cookies essenciais: necessários para o funcionamento básico do site (sessão, segurança)
- Cookies de análise: dados agregados e anonimizados de navegação para melhoria do site
- Cookies de marketing: utilizados apenas mediante seu consentimento explícito
Você pode configurar seu navegador para recusar cookies ou ser alertado quando eles forem enviados. A recusa de cookies essenciais pode impactar o funcionamento de algumas áreas do site.
10. Atualizações desta política
Esta Política de Privacidade pode ser atualizada periodicamente para refletir mudanças em nossas práticas, na legislação aplicável ou nas funcionalidades do sistema.
Quando realizarmos alterações relevantes, notificaremos os usuários do sistema por e-mail e/ou por aviso dentro da plataforma, com antecedência mínima de 15 dias antes da entrada em vigor das mudanças.
Recomendamos que você revise esta página periodicamente. A data da última atualização está sempre indicada no topo deste documento.
11. Encarregado de Proteção de Dados (DPO) e contato
Nos termos do art. 41 da LGPD, a Includi Soluções em Tecnologia LTDA designa um Encarregado de Proteção de Dados (DPO — Data Protection Officer) para atuar como canal de comunicação entre a empresa, os titulares de dados e a ANPD.
Fale com nosso DPO
Dúvidas, solicitações de direitos ou comunicação de incidentes
Caso não se sinta satisfeito com nossa resposta, você tem o direito de apresentar reclamação diretamente à Autoridade Nacional de Proteção de Dados (ANPD) pelo portal www.gov.br/anpd.