Política de Privacidade

1. Quem somos e a quem esta política se aplica

A Crommos, com sede em Teresópolis/RJ, oferece o Crommos Clinic, software de gestão para clínicas e consultórios médicos (site crommos.tech; aplicativo clinic.crommos.tech).

Há dois papéis diferentes:

Situação	Controlador	Papel da Crommos
Visitantes do site, clínicas clientes e pessoas da equipe que usam a plataforma (login, conta, assinatura, suporte)	Crommos	Controladora, regida por esta política
Pacientes e demais pessoas cadastradas pela clínica (prontuário, agenda, financeiro etc.)	A clínica	Operadora: trata só por instrução da clínica, conforme o Contrato de Operador (DPA)

Paciente: quem decide sobre os seus dados é a clínica que atende você. Pedidos sobre eles (acesso, correção, cópia) devem ser feitos à clínica. Esta política explica como a plataforma funciona, para dar transparência; o aviso de privacidade da clínica é o que vale para você. A Crommos oferece às clínicas o aviso-modelo do Anexo desta política.

2. Canal de privacidade

Fale com a Crommos sobre privacidade e proteção de dados pelo e-mail suporte@crommos.tech.

O encarregado pelo tratamento de dados pessoais da Crommos é Elzo Junior (substituto: Roberto Azevedo), indicado nos termos do art. 41 da LGPD e da Res. CD/ANPD 18/2024. Fale com ele pelo e-mail suporte@crommos.tech, sobre os seus direitos e sobre qualquer dúvida de privacidade. Para os dados dos pacientes, a controladora é a clínica: o pedido vai a ela (seção 1).

3. Dados que a Crommos trata como controladora

Dados	Finalidade	Base legal (LGPD)
Nome, e-mail, telefone, CPF/CNPJ e dados da clínica no cadastro; versão e data dos textos aceitos (Termos, Política e DPA)	Criar a conta, prestar o serviço, provar o aceite	Art. 7º, V
De onde veio o cadastro (o botão do site que levou a ele, gravado como um código curto)	Saber quais canais trazem clientes	Art. 7º, IX
Registros de acesso: login (inclusive tentativas que falharam), logout, renovação de sessão, troca e redefinição de senha, aceite de convite, eventos da verificação em duas etapas — com IP, navegador, data e hora. Registro de erros do sistema, com IP e navegador	Segurança, prevenção a fraude e guarda obrigatória (Marco Civil, art. 15)	Art. 7º, II e IX
Verificação em duas etapas: segredo do aplicativo autenticador (cifrado) e códigos de recuperação (só o resumo criptográfico)	Proteger o acesso	Art. 7º, V e IX
Dados de cobrança da assinatura (processados pela AbacatePay); módulos contratados e pessoas marcadas em cada módulo; contagem de teleconsultas concluídas (só o código do atendimento, sem dado do paciente); e-mail dos administradores para a confirmação do cancelamento, o aviso antes da renovação do semestral e do anual e os avisos antes da eliminação dos dados (pela Resend)	Cobrar a assinatura e a franquia da Telemedicina; confirmar o cancelamento (Decreto 7.962/2013, arts. 4º, VI, e 5º, § 4º) e avisar antes da renovação e da eliminação	Art. 7º, II e V
Mensagens de suporte	Atender a clínica	Art. 7º, V e IX
Contatos e pedidos de acesso ao beta pelo site (o que o visitante escreve no próprio e-mail ou WhatsApp)	Responder, liberar o acesso e apresentar os produtos	Art. 7º, V e IX
Medição do site (Google Analytics, pelo Google Tag Manager), só se o visitante aceitar no aviso de cookies: páginas visitadas, cliques, tipo de aparelho e navegador, cidade aproximada e um identificador aleatório do navegador. Sem nome, e-mail ou telefone	Saber quantas pessoas visitam cada página e quais botões usam	Art. 7º, I (consentimento), que pode ser retirado em "Preferências de cookies", no rodapé do site

4. Como a plataforma trata os dados dos pacientes (em nome da clínica)

Resumo por módulo. A clínica escolhe os módulos que contrata e é quem define a base legal; as bases abaixo são as que a Crommos indica no aviso-modelo.

Módulo	O que acontece com os dados
Agendamento online	O paciente (ou o responsável legal, se o paciente tiver menos de 18 anos) escolhe um horário na página pública da clínica e informa nome, celular, nascimento, o convênio (se for usar) e, se quiser, e-mail, depois de aceitar um aviso de privacidade que mostra o telefone e o e-mail da clínica. O sistema grava data, hora, IP e versão do aceite. Se a clínica já tem um cadastro com o mesmo nome, nascimento e celular, a consulta entra nele; senão, nasce um cadastro marcado para a recepção pedir o CPF na chegada e completar o restante. Os dados servem para marcar a consulta, compor o cadastro do paciente na clínica e enviar a confirmação e os lembretes dela. Há limite de marcações por celular e proteção contra robôs
Confirmação e lembretes	Confirmação, lembrete, remarcação e cancelamento por e-mail (Resend) e WhatsApp (Meta), sem dado clínico, em nome da clínica. Base: tutela da saúde e execução do atendimento (art. 7º, V, e art. 11, II, "f"), sem depender de consentimento. O paciente pode sair a qualquer momento (SAIR no WhatsApp ou link de descadastro no e-mail). No registro de envios, o telefone fica só como código cifrado com chave, não em texto
Comunicações e campanhas	Só para o paciente que consentiu (art. 7º, I), com opção de sair a qualquer momento
Pesquisa de satisfação	Após a consulta, link de uso único com nota de 0 a 10 e comentário opcional, guardado cifrado. Vem desligada; a clínica decide ligar. Base: legítimo interesse da clínica (art. 7º, IX), com teste de balanceamento registrado, aviso e opção de não receber. Não vai a quem pediu para sair das mensagens. Respostas apagadas em 2 anos
Agenda no celular	O profissional pode ver a agenda no calendário do celular por um link pessoal, por legítimo interesse. Por padrão aparece só "Consulta", sem o nome do paciente; o profissional pode escolher o nome abreviado. Nada clínico. O link pode ser trocado ou desligado
Prontuário, documentos e assinatura digital	Registro clínico cifrado, acesso só pelos profissionais de saúde que atendem o paciente e pelos que administram a clínica, trilha de auditoria. Atestados, laudos, encaminhamentos, pedidos de exame e evoluções são assinados com certificado ICP-Brasil do médico: o certificado em nuvem que a Crommos oferece pela Soluti (BirdID Pro), suboperadora da Crommos na assinatura, ou o de outro prestador contratado pelo próprio médico. Nos dois casos, só um código (hash) do documento sai da Crommos; à Soluti vão também o CPF do médico e o código do aplicativo dele, para abrir a sessão de assinatura. Os documentos médicos levam os dados da Res. CFM 2.299/2021, art. 2º: do médico, nome, CRM, RQE e endereço; do paciente, o nome (o social com o civil entre parênteses) e o número de um documento dele por extenso ou, sem documento próprio, o nome, o parentesco e o CPF do responsável; e a data e a hora. Sem esse número, o documento não é emitido. Documentos assinados têm QR para conferência pública: por 1 ano, quem tem o código vê quem assinou e quando e, com assinatura ICP-Brasil, baixa o PDF assinado. Dos retornos pedidos pelo médico, a recepção vê só o paciente, o médico e a data, sem a observação clínica. O documento emitido em teleconsulta traz "Emitido em teleconsulta (telemedicina)", e o atestado de teleconsulta só é impresso ou baixado depois de assinado com certificado ICP-Brasil
Receita digital (Memed)	A receita é emitida no painel da Memed, dentro da tela de atendimento. Vão à Memed os dados do médico (nome, CPF, nascimento, CRM/UF, e-mail, especialidade, cidade), do paciente (nome, nome social, sexo, CPF, nascimento, telefone, e-mail e as alergias registradas) e, se a clínica tiver CNES, o local. No cadastro do médico e na emissão, a Memed é suboperadora da Crommos; no que faz por conta própria (como enviar a receita ao paciente), é controladora, sob a política dela
Teleconsulta	Indisponível até a Crommos se inscrever no Conselho Regional de Medicina do Rio de Janeiro, com médico responsável técnico (Termos, cláusula 9.1); nada vai ao Daily enquanto isso. Quando liberada: vídeo pelo Daily, sem gravação e sem chat, pela tutela da saúde (art. 11, II, "f"). Antes de entrar, o paciente ou o responsável aceita o termo de consentimento (TCLE), exigência ética da Res. CFM 2.314/2022; ficam registrados data, hora, IP, versão e quem aceitou, junto da teleconsulta, e o aceite aparece no prontuário (linha do tempo e impressão). Se o cadastro indicar menos de 18 anos, só o responsável legal aceita, com o nome. O paciente aparece como "Paciente". Servidor de vídeo em São Paulo; metadados podem ser tratados nos EUA. O médico pode abrir uma sala de teste de câmera (10 minutos, só ele, nada gravado)
Transcrição da consulta (recurso do Prontuário)	Com o acordo do paciente, o médico pode transformar a fala da consulta em texto no próprio computador: o áudio não é enviado à Crommos nem a ninguém e não é guardado; fica só o texto que o médico levar ao prontuário, depois de revisar. Base: tutela da saúde (art. 11, II, "f"). Antes de começar, o médico confirma na tela que avisou o paciente; a trilha de auditoria registra só esse fato (quem, quando, qual atendimento), sem conteúdo. Na teleconsulta, capta também o som da chamada no computador do médico (a voz do paciente), do mesmo jeito; o TCLE informa o paciente (item 7). A organização do texto pelos campos do prontuário, quando usada, também roda no computador do médico e é só uma sugestão que ele revisa: os campos preenchidos ficam destacados até ele editar ou confirmar. Os arquivos dos modelos (transcrição e organização) são baixados uma vez de um repositório público (Hugging Face), sem dado de paciente
Recebimentos online	Link ou QR de pagamento PIX/cartão pela conta da própria clínica no gateway de pagamento que ela escolheu (AbacatePay, Asaas, Efí ou Stripe). A Crommos não recebe nem guarda o dinheiro: o pagamento vai direto para a clínica. A plataforma envia ao gateway só valor e descrição genérica; os dados do pagamento o paciente informa direto ao gateway, sob a política de privacidade dele. O link enviado é da Crommos, não mostra dado nenhum e vale 7 dias. O QR PIX vale 15 minutos
Fiscal (NFS-e, Receita Saúde, DMED)	Nota emitida pela clínica no Emissor Nacional (Receita Federal) ou, em município com emissor próprio (ex.: São Paulo capital), pela Focus NFe, empresa contratada pela Crommos, só com a autorização expressa do administrador da clínica: ela recebe os dados da nota, da clínica e o certificado digital. A nota leva nome, CPF/CNPJ e endereço do tomador, por obrigação legal. Arquivos da Receita Saúde e da DMED são gerados para a clínica entregar à Receita; a consulta em tela é auditada
Convênio (TISS)	Os dados necessários ao faturamento vão à operadora do plano de saúde (identificação, carteirinha, procedimentos e, se a operadora exigir, o CID), com base no art. 11, II, "d" e "f", sem consentimento à parte
Integrações (API e webhooks)	O administrador da clínica pode ligar o Crommos Clinic a outro sistema que a clínica usa (site, chatbot, BI) com uma chave de acesso que ele cria, com validade de até 1 ano, permissões por módulo contratado e revogação a qualquer momento (no máximo 3 chaves válidas); ao criar, ele declara que a clínica tem contrato com quem vai usar a chave. Com a chave, o sistema escolhido pela clínica lê e grava o cadastro do paciente (nome, nome social, CPF, nascimento, sexo, e-mail, telefone e convênio com a carteirinha; sem endereço nem responsável), sempre por busca de ao menos 3 caracteres (a chave não lista o cadastro inteiro), e a agenda (inclusive especialidade e procedimento; a observação do agendamento entra, mas não volta nas respostas) e, se liberado, lê os lançamentos financeiros. Nunca prontuário, exames ou documentos clínicos. Os avisos automáticos (webhooks) levam a um endereço da clínica só o tipo do evento e o código do registro, sem dado do paciente. Esse sistema é fornecedor da clínica, escolhido e contratado por ela, que responde por ele, inclusive se ele tratar dados fora do Brasil; a Crommos entrega os dados por instrução da clínica, e o que a integração altera e os cadastros e agendamentos que ela lê ficam na trilha de auditoria com o nome da chave
Cópia de todos os dados da clínica	O administrador baixa um arquivo ZIP com os dados da clínica em planilhas. O prontuário, os exames e os documentos clínicos só saem para quem tem acesso a todos os prontuários. Antes do download, a tela lembra que o arquivo tem dado de saúde e deve ser guardado cifrado. Cada cópia fica na trilha de auditoria, e os demais administradores recebem um aviso
Importação	A clínica pode importar pacientes, agenda, contas e histórico clínico de outro sistema por planilha. O arquivo não fica guardado; a importação pode ser desfeita em 24 horas e é auditada
Auditoria	Leituras de prontuário, leituras do cadastro de pacientes e da agenda pela API, exportações, aceites, importações e outras ações ficam numa trilha que não pode ser alterada nem apagada pela aplicação, com IP e navegador
Direitos do titular	A clínica exporta tudo o que tem do paciente e pode corrigir o cadastro e fazer a anonimização dele: eliminação dos dados que não precisam ser guardados (art. 16). Exportar, corrigir e anonimizar funcionam também quando a conta está em modo leitura. O prontuário fica pelo prazo legal de guarda, só para consulta (não recebe registro clínico novo), e o nome na nota fiscal fica por obrigação fiscal. O sistema integrado pela API que assina os avisos automáticos recebe o aviso de que o cadastro mudou; a clínica pede a ele que repita a correção ou a anonimização (art. 18, § 6º)

5. Com quem os dados são compartilhados

Somente com os terceiros necessários ao serviço, listados em Suboperadores: hospedagem e armazenamento, Daily, Resend, Meta (WhatsApp), Memed, Soluti (assinatura digital), prestadores de certificado digital, o gateway de pagamento escolhido pela clínica, Focus NFe, Receita Federal (NFS-e) e operadoras de plano de saúde (quando a clínica fatura convênio). Também recebem dados os sistemas que a própria clínica liga pela API (seção 4), por instrução dela.

Como controladora, a Crommos usa ainda a AbacatePay (cobrança da assinatura), a Resend (e-mails da conta) e, só com o aceite do visitante, o Google (medição do site).

A Crommos não vende dados e não os usa para publicidade nem para treinar modelos de inteligência artificial.

6. Uso de dados anonimizados

A Crommos pode usar dados anonimizados e agregados, que não identificam pessoa nem clínica, para estatística e melhoria do produto (LGPD, art. 12).

7. Transferência internacional

A regra é tratar os dados no Brasil: o servidor, o banco de dados e os arquivos ficam no Brasil. Os fornecedores abaixo tratam dados fora do país. Só vai o mínimo necessário, sem conteúdo clínico, e a transferência se apoia nas cláusulas-padrão contratuais da ANPD (LGPD, art. 33, II, "b", e Res. CD/ANPD 19/2024), que a Crommos adota na íntegra no contrato com cada um desses fornecedores antes de enviar a ele qualquer dado.

Fornecedor	País	O que vai	Para quê	Por quanto tempo	Quem é o controlador
Daily	EUA (o vídeo passa por São Paulo)	IP e dados técnicos da conexão, nome exibido ("Paciente" e o nome do médico); imagem e som só em trânsito, sem gravação	Teleconsulta (só depois de liberada a Telemedicina)	Registros técnicos da chamada (logs e métricas) pelo prazo de retenção do plano contratado, apagados automaticamente; no fim do contrato, devolvidos ou eliminados (acordo de tratamento de dados do Daily, seção 2.4 e Anexo C)	A clínica
Resend	EUA (o envio sai de São Paulo)	Nome e e-mail do destinatário e links; no e-mail ao paciente, também clínica, data, hora, profissional e local	E-mails ao paciente (clínica) e e-mails da conta (Crommos)	E-mails e registros de envio por 30 dias (retenção do plano, publicada em resend.com/pricing); no fim do contrato, eliminados em até 90 dias (acordo de tratamento de dados da Resend, Anexo A)	A clínica (paciente); a Crommos (conta)
Meta (WhatsApp)	EUA e outros países	Telefone, primeiro nome, clínica, data, hora, profissional, local, links e a resposta do paciente	Mensagens ao paciente	Conteúdo por até 30 dias	A clínica
Google (Analytics)	EUA	Os dados de medição da seção 3, só com o aceite do visitante	Medição do site	2 meses, o menor prazo de retenção que o Google Analytics permite (retenção de dados)	A Crommos

Quem tiver os dados transferidos pode pedir à Crommos (suporte@crommos.tech) a íntegra das cláusulas usadas, respondida em até 15 dias (Res. CD/ANPD 19/2024, art. 17), e exercer os direitos da seção 10, inclusive reclamar à ANPD. Para dados de paciente, o pedido vai à clínica, e a Crommos fornece a ela as cláusulas.

Ficam por conta da clínica, que os escolhe e contrata:

• Gateway de pagamento: se a clínica usar um que trata dados fora do Brasil (ex.: Stripe), os dados que você digita na página de pagamento seguem as garantias desse gateway. A Crommos não envia a ele dado seu além do valor e de uma descrição genérica.
• Sistemas integrados pela API: se o sistema escolhido pela clínica tratar dados fora do Brasil, cabe à clínica garantir a transferência (art. 33).

Sem dado de paciente, o navegador também busca arquivos públicos fora da Crommos: os modelos da transcrição local, uma vez, no Hugging Face (EUA); e o endereço pelo CEP digitado no ViaCEP (Brasil). Esses serviços veem o endereço IP e o navegador de quem abre a página, e o ViaCEP vê também o CEP. As letras da tela são servidas pelo próprio aplicativo, sem serviço externo.

8. Segurança

Cifra dos dados sensíveis (AES-256-GCM), conexão segura (TLS), isolamento entre clínicas no banco de dados, controle de acesso por papel e por módulo, verificação em duas etapas (recomendada fortemente; a clínica pode exigir), trilha de auditoria imutável com IP, registros de acesso, alerta de leitura anômala de prontuário, cópias de segurança cifradas fora do servidor e links públicos com código imprevisível e prazo de validade. As chaves da API ficam guardadas só como resumo criptográfico, com prazo de validade e permissões limitadas; os avisos automáticos (webhooks) são assinados, levam só o código do registro e só vão a endereço seguro (HTTPS) na internet pública. Incidentes relevantes são comunicados à clínica em até 24 horas; a clínica comunica a ANPD e os titulares (art. 48), com o apoio da Crommos.

9. Por quanto tempo guardamos

Dado	Prazo
Registros de acesso à plataforma (login, senha, verificação em duas etapas)	1 ano
Trilha de auditoria	5 anos; o IP e o navegador nela, 1 ano
Registro de erros do sistema (com IP e navegador)	7 dias
Registro de mensagens enviadas	1 ano
Links vencidos, usados ou revogados	30 dias
Avisos automáticos (webhooks) entregues ou encerrados	30 dias
Respostas guardadas para evitar cadastro em dobro quando a integração repete um envio	24 horas
Medição do site (Google Analytics)	2 meses
Respostas da pesquisa de satisfação	2 anos
O que uma importação desfeita criou	90 dias
Dados fiscais (NFS-e, recebimentos, DMED)	5 anos
Prontuário	No mínimo 20 anos do último registro (Lei 13.787/2018), guardados pela clínica
Cópias de segurança	30 dias
Dados da conta após o término da assinatura	Cobrança e fiscal: 5 anos. Na eliminação dos dados da clínica, depois dos 90 dias de modo leitura, o login (nome, e-mail, senha e verificação em duas etapas) de quem só tinha acesso a essa clínica é anonimizado; quem tem acesso a outra clínica mantém o login. Os registros de acesso ficam pelo prazo deles (1 ano)
Dados da clínica (pacientes, prontuário, agenda e demais) após o término (cancelamento, avaliação não contratada ou 60 dias seguidos em modo leitura por atraso)	90 dias em modo leitura para exportar, com avisos por e-mail 30 e 7 dias antes (aos administradores ou, sem administrador, ao e-mail de cobrança); depois, eliminados (cópias de segurança em até 30 dias). Ficam a razão social e o CNPJ e a trilha de auditoria, sem o conteúdo dos registros, pelo prazo dela (5 anos; IP e navegador, 1 ano), como prova do tratamento realizado

Quem exclui a própria conta tem nome e e-mail anonimizados na hora; o mesmo acontece, na eliminação dos dados de uma clínica, com quem só tinha acesso a ela. Uma rotina diária elimina o que venceu.

10. Seus direitos

Confirmação, acesso, correção, anonimização, bloqueio ou eliminação, portabilidade, informação sobre compartilhamento, revogação do consentimento, oposição e revisão de decisões automatizadas (LGPD, arts. 18 a 20). A Crommos não toma decisões automatizadas sobre pessoas. A confirmação de existência e o acesso em formato simplificado são imediatos; a declaração completa sai em até 15 dias do pedido (art. 19). Os demais pedidos são respondidos em até 15 dias; se não for possível atender de imediato, a resposta, dentro desse prazo, explica o motivo (art. 18, § 4º).

• Dados da conta: na plataforma, "Baixar meus dados" entrega uma cópia (inclusive os seus registros de acesso) e "Excluir conta" anonimiza nome e e-mail. Outros pedidos: suporte@crommos.tech.
• Dados de paciente: peça à clínica. Se o pedido chegar à Crommos, ele é repassado à clínica em até 2 dias úteis. Se a clínica tiver encerrado a conta, a Crommos orienta o titular a procurá-la e, durante os 90 dias de modo leitura, apoia a clínica a atender o pedido.

Você também pode reclamar à ANPD (gov.br/anpd) ou a um órgão de defesa do consumidor (art. 18, §§ 1º e 8º).

11. Cookies

A plataforma usa só o que é essencial: um cookie de sessão protegido (para manter o login) e o armazenamento local do navegador para preferências e dados básicos do usuário logado (nome, e-mail, papel).

O site crommos.tech não usa cookies de publicidade. A medição de audiência (Google Analytics, pelo Google Tag Manager) só começa se você aceitar no aviso da primeira visita; "Recusar" tem o mesmo destaque, e sem aceite o Google Tag Manager nem carrega. A escolha fica guardada no seu navegador e pode ser mudada a qualquer momento em "Preferências de cookies", no rodapé. O formulário de contato e o pedido de acesso só abrem o seu e-mail ou WhatsApp; o site não guarda o que você escreve.

12. Alterações

Cada versão desta política recebe um número. Mudanças relevantes são avisadas na plataforma e por e-mail e podem pedir novo aceite.

Anexo — Aviso de privacidade-modelo da clínica ao paciente

A Crommos fornece este modelo para a clínica adotar como o seu aviso de privacidade, completando os campos indicados entre « » e ajustando o que for diferente na sua operação. Enquanto a Telemedicina estiver indisponível (Termos, cláusula 9.1), apague a linha da teleconsulta e as menções ao Daily. A clínica é a controladora e responde pelo aviso que publica.

Aviso de privacidade — «nome da clínica»

Quem cuida dos seus dados. «nome da clínica», CNPJ «CNPJ da clínica», «endereço da clínica» ("clínica"), é a controladora dos seus dados pessoais. Contato: «telefone» · «e-mail». Pedidos e dúvidas sobre os seus dados: «encarregado da clínica, quando houver, ou o contato da clínica».

Que dados usamos e para quê.

Para quê	Dados	Base legal (LGPD)
Atender você e registrar o atendimento no prontuário. Com o seu acordo, o médico pode transformar a fala da consulta em texto no próprio computador, sem guardar nem enviar o áudio	Cadastro, contato e dados de saúde	Tutela da saúde (art. 11, II, "f") e obrigação legal (art. 11, II, "a")
Marcar consultas, inclusive pela internet, e enviar confirmação, lembrete, remarcação e cancelamento por e-mail e WhatsApp	Nome, contato, data, hora e local da consulta (sem dado de saúde)	Execução do atendimento e tutela da saúde (art. 7º, V; art. 11, II, "f"). Você pode deixar de receber as mensagens respondendo SAIR no WhatsApp ou pelo link de descadastro do e-mail
Teleconsulta, quando você escolher esse atendimento	Imagem e som em tempo real (sem gravação), dados técnicos da conexão, aceite do termo de consentimento	Tutela da saúde (art. 11, II, "f"); o termo de consentimento atende à Res. CFM 2.314/2022
Emitir receita digital	Seus dados de identificação e contato, alergias registradas e a prescrição	Tutela da saúde e obrigação regulatória (art. 11, II, "a" e "f")
Faturar o seu convênio	Identificação, carteirinha, procedimentos e, se a operadora exigir, o CID	Exercício regular de direitos em contrato e tutela da saúde (art. 11, II, "d" e "f")
Emitir nota fiscal e cumprir obrigações fiscais	Nome, CPF e endereço do tomador, valor e serviço	Obrigação legal (art. 7º, II; art. 11, II, "a")
Receber pagamentos online	Valor e descrição; os dados do pagamento você informa direto ao provedor	Execução de contrato (art. 7º, V)
Pesquisa de satisfação depois da consulta	Nota e comentário opcional (não escreva dados de saúde no comentário)	Legítimo interesse da clínica (art. 7º, IX), com opção de não receber
Comunicações e campanhas da clínica	Nome e contato	Só com o seu consentimento (art. 7º, I), que pode ser revogado a qualquer momento
Convite para estudos e pesquisas científicas	Nome e contato e, para escolher a quem convidar, os dados do prontuário ligados ao estudo	Só com o seu consentimento (art. 11, I), que pode ser revogado a qualquer momento. Para participar de um estudo, você assina antes o termo próprio dele, aprovado por comitê de ética; sem esse termo, seus dados identificados não entram em pesquisa

Com quem compartilhamos. Com o fornecedor do sistema de gestão (Crommos, operadora) e os terceiros que ele usa para prestar o serviço: hospedagem no Brasil, envio de e-mail (Resend) e de WhatsApp (Meta), vídeo da teleconsulta (Daily), receita digital (Memed), certificado digital do médico, o gateway de pagamento da clínica (quando você paga online), emissão de nota fiscal (Receita Federal e, em alguns municípios, Focus NFe) e a operadora do seu plano de saúde, quando houver convênio. «Se a clínica ligar outro sistema ao dela pela API, liste-o aqui com a finalidade — ex.: "o chatbot de agendamento «nome», que lê e marca consultas e lê o seu cadastro, sem endereço e sem prontuário"; se não houver, apague esta frase.» A clínica decide como os seus dados são usados e responde por isso; a Crommos e os demais fornecedores tratam os dados só para prestar o serviço à clínica, sob contrato. Não vendemos os seus dados.

Transferência internacional. Alguns fornecedores tratam dados fora do Brasil, sem conteúdo clínico e com as garantias das cláusulas-padrão contratuais da ANPD (LGPD, art. 33, II, "b"):

• e-mail (Resend, EUA): nome, e-mail, data, hora, profissional e local da consulta, para enviar confirmação, lembretes e avisos;
• WhatsApp (Meta, EUA e outros países): telefone, primeiro nome, data, hora, profissional, local e a sua resposta, para o mesmo fim; a Meta guarda o conteúdo por até 30 dias;
• teleconsulta (Daily, EUA): dados técnicos da conexão (como o IP), para fazer a chamada; o vídeo passa por São Paulo e não é gravado.

«Se a clínica usar a Stripe para pagamentos online ou um sistema integrado que trate dados fora do Brasil, inclua aqui o país, os dados, a finalidade e a garantia; senão, apague esta frase.» Você pode pedir a íntegra das cláusulas usadas, que entregamos em até 15 dias.

Por quanto tempo guardamos. Prontuário: no mínimo 20 anos do último registro (Lei 13.787/2018). Dados fiscais: 5 anos. Registro das mensagens enviadas: 1 ano. Respostas da pesquisa de satisfação: 2 anos. Os demais dados, enquanto houver relação com você ou obrigação legal.

Seus direitos. Você pode pedir, sem custo: confirmação e acesso aos seus dados, correção, anonimização, bloqueio ou eliminação do que não for necessário, portabilidade, informação sobre com quem compartilhamos, informação sobre a possibilidade de não consentir e o que acontece se não consentir, revogação do consentimento e oposição (LGPD, art. 18). A confirmação e o acesso simplificado são imediatos; a cópia completa sai em até 15 dias. Os demais pedidos, respondemos em até 15 dias; se não for possível atender de imediato, explicamos o motivo nesse prazo. O prontuário e os dados fiscais não podem ser apagados antes do prazo legal (art. 16). Entregamos a cópia dos seus dados presencialmente ou pelo e-mail cadastrado. Você também pode reclamar à ANPD (gov.br/anpd) ou a um órgão de defesa do consumidor.

Segurança. Os dados ficam cifrados, com acesso restrito a quem precisa, registro de cada acesso ao prontuário e cópias de segurança.

Contato. «telefone» · «e-mail» · «endereço da clínica».