Como o CliniqMais protege dados sensíveis de saúde mental: criptografia, retenção, direitos do titular e conformidade com a LGPD.
A transparência e a segurança rigorosa dos seus Dados de Saúde e Cadastro são a nossa fundação. Adotamos medidas técnicas e organizacionais rigorosas de segurança da informação para reduzir ao máximo o risco de acesso indevido, vazamento ou subversão dos seus dados. Buscamos cumprir a Lei 13.709/2018 (Lei Geral de Proteção de Dados) e as normas éticas aplicáveis ao prontuário, como as do Conselho Federal de Medicina (CFM).
1. Classificação das Partes no Ecossistema
Titulares: Pacientes que são alvo do cuidado médico ou Profissionais que operam e assinam a plataforma.
Controlador (A Clínica/O Médico): Profissional independente credenciado que decide inserir no software um prontuário. Para os dados sensíveis de saúde, sua base legal é, em regra, a tutela da saúde (Art. 11, II, "f", da LGPD) e o cumprimento de obrigação legal ou regulatória, como a guarda do prontuário (Art. 11, II, "a"); o consentimento do paciente (Art. 11, I) aplica-se a finalidades específicas que o exijam; para os dados cadastrais comuns, no cumprimento de obrigação legal e na execução de contrato (Art. 7º, II e V).
Operador (CliniqMais): Plataforma tecnológica de Software as a Service. Quanto aos dados de pacientes inseridos pelo Controlador, a CliniqMais processa o dado estrita e passivamente sob os comandos do Controlador. Não decidimos diagnósticos, não vendemos banco de dados e não realizamos cruzamento (Data Mining) de prontuários. Quanto aos dados de cadastro, cobrança e comunicação do próprio profissional e à medição de anúncios do site (seções 4.1 e 4.2), a CliniqMais atua como Controladora.
2. A Natureza dos Dados Tratados
Tratamos as Seguintes Categorias de Informação, em banco de dados com segregação lógica por conta (Row-Level Security, seção 3):
Dados Cadastrais: E-mail, telefone, nome, documentos civis (Para cumprimento de obrigação legal ou execução de contrato - Art. 7, II e V da LGPD).
Dados Sensíveis de Saúde: CID, receituários físicos e de controle especial, História Clínica, evolução e anotações psiquiátricas/psicológicas (dado sensível, sob a base de tutela da saúde — Art. 11, II, "f" — a encargo do Controlador).
Dados de Rastreabilidade (Auditoria): Endereços de IP, tipo do dispositivo, carimbo de hora e data, tokens de JWT para autenticação. Apenas utilizamos para a Segurança e prevenção a invasores cibernéticos em caso de requisição forense.
3. Isolamento Criptográfico e Medidas Técnicas Rigorosas
Construímos nosso forte tecnológico sob os conceitos Privacy By Design e Privacy By Default.
Row-Level Security (RLS) PostgreSQL: O próprio banco de dados filtra as linhas que cada conta pode ler, para que uma clínica não acesse CPF ou dados clínicos de outra dentro do mesmo banco. É uma camada de defesa no banco, somada às verificações da aplicação: reduz o risco de acesso indevido, sem eliminá-lo por completo.
Criptografia em Trânsito (TLS): O tráfego de rede com o que o médico digita sobre anamnese é protegido contra interceptação por TLS (versão 1.2 ou superior; 1.3 nos navegadores atuais).
Política Estrita de Senhas (180 Dias): Nossas lógicas forçam a rotação da senha a cada 180 dias, mantendo o histórico irrevogável das últimas 6 (seis) para evitar reuso (ataques de força bruta e acomodação comportamental).
Multi-Fator de Autenticação (2FA) Híbrido: A autenticação de dois fatores está disponível e é fortemente recomendada a todos os profissionais, ativável em Configurações › Segurança — ela não vem ativada por padrão. O reset do 2FA de membros da equipe pelo administrador da clínica fica registrado na trilha de auditoria e não pode ser usado pelo administrador para remover o próprio segundo fator; a desativação do 2FA pelo próprio usuário, em Configurações › Segurança, também fica registrada.
Backups Encriptados Georedundantes: Realizamos backups diários do banco de dados e dos arquivos anexados. A cópia é gerada num ambiente de execução automatizada do GitHub (GitHub Actions, EUA), encriptada ali com GPG/AES-256 antes do upload e armazenada em dois fornecedores independentes (Backblaze B2 nos EUA e Cloudflare R2 em edge global). Uma vez por semana, um teste automatizado de restauração, no mesmo tipo de ambiente, baixa uma cópia, decifra-a e a restaura num banco descartável para confirmar que a recuperação funciona. Nesses dois processos, a cópia integral do banco é tratada de forma transitória nesse ambiente temporário, descartado ao fim de cada execução. A chave de descriptografia não fica com os provedores de armazenamento (Backblaze e Cloudflare): fica sob controle do responsável técnico da CliniqMais e guardada, cifrada, no cofre de segredos do GitHub, para uso no teste de restauração. Retenção mínima de 30 dias (cópia primária) e 90 dias (cópia espelho imutável). Monitoramento de execução por Cronitor com alerta automático em caso de falha.
4. Sub-processadores Declarados
Em compromisso com a transparência prevista no Art. 9º da LGPD e nas melhores práticas de proteção de dados, declaramos abaixo a lista de fornecedores (sub-processadores) que tratam dados pessoais nas operações da CliniqMais. Eles são contratados com obrigações de confidencialidade e segurança; informações sobre as certificações e os termos contratuais de cada fornecedor podem ser solicitadas ao Encarregado (seção 7):
O banco de dados primário e a autenticação operam em território nacional (AWS São Paulo, sa-east-1). Os sub-processadores localizados fora do Brasil (como os de backup, IA, e-mail, telemedicina e monitoramento) implicam transferência internacional de dados pessoais, que a LGPD só admite nas hipóteses do Art. 33 — entre elas, as cláusulas contratuais regulamentadas pela ANPD na Resolução CD/ANPD nº 19/2024. O mecanismo adotado com cada fornecedor e a íntegra das cláusulas aplicáveis podem ser solicitados ao Encarregado (seção 7). Reservamo-nos o direito de atualizar esta lista; mudanças significativas serão comunicadas via aviso no aplicativo.
Supabase Inc.
Banco de dados primário e autenticação
Brasil (AWS sa-east-1, São Paulo)
Vercel Inc.
Hospedagem da aplicação web e CDN
Edge global
Backblaze Inc.
Armazenamento de backups (cópia primária, encriptada)
EUA (us-west)
Cloudflare Inc.
Armazenamento de backups espelho (cópia secundária imutável, encriptada)
Edge global
Cronitor LLC
Monitoramento de execução do pipeline de backup (apenas metadados, sem dados clínicos)
EUA
GitHub Inc.
Execução automatizada (GitHub Actions) do backup diário e do teste semanal de restauração: nesses processos, a cópia integral do banco é tratada de forma transitória, em ambiente temporário descartado ao final; guarda, cifrada, a chave de descriptografia dos backups (ver seção 3)
EUA
Stripe Inc.
Processamento de pagamentos de assinaturas (dados financeiros do profissional, não do paciente)
EUA
OpenAI, L.L.C.
Modelos de IA para transcrição de consulta, leitura de texto em imagens (OCR), apoio clínico, o assistente virtual do chat do site e a IA de suporte que responde no WhatsApp de primeiros passos, via API — o que vai em cada recurso está nas seções 4.3, 4.4 e 4.5. Pela política da OpenAI para a API, os dados enviados não são usados para treinar os modelos; os conteúdos de texto e imagem podem ficar em registros de monitoramento de abuso por até 30 dias, e o áudio enviado para transcrição não é retido. A CliniqMais aceitou o Contrato de Associado Comercial (Business Associate Agreement) da OpenAI, que rege o tratamento dos dados de saúde enviados pelos recursos de IA clínica
EUA
Resend Inc.
Envio dos e-mails do sistema: transacionais e de relacionamento ao profissional (seção 4.2), e-mails sobre o produto a visitantes que autorizaram no chat do site ou pediram um material (seção 4.4) e, quando o profissional ativa, lembretes e formulários aos pacientes dele
EUA
Google LLC (Workspace)
Email corporativo de operação e suporte
EUA
Soluti (BirdID)
Assinatura digital ICP-Brasil para receituários controlados
Brasil
Daily (Daily.co, Inc.)
Infraestrutura de telemedicina — processamento de áudio e vídeo das consultas médicas em tempo real (sem gravação por padrão)
EUA
Memed Brasil Ltda.
Prescrição digital — recebe nome, nome social, sexo, CPF, data de nascimento, telefone e e-mail do paciente, a medicação que o profissional registra na receita e CPF/CRM do prescritor para emissão de receituário eletrônico (ver 4.3)
Brasil
PostHog Inc.
Analytics de produto e comportamento de uso (metadados de sessão do profissional, sem dados clínicos de paciente), enviados ao servidor da PostHog nos EUA (us.i.posthog.com)
EUA
Sentry (Functional Software, Inc.)
Monitoramento de erros da aplicação (stack traces e logs de erro, sem dados de prontuário)
EUA
Meta Platforms, Inc. (Facebook/Instagram)
Medição de resultado de anúncios — com o aceite no aviso de cookies, recebe as visitas às páginas públicas do site e o evento de cadastro e de assinatura do profissional (ver 4.1). Nenhum dado de paciente ou de prontuário é usado nessa medição
EUA
Google LLC (Google Ads / Analytics)
Medição de resultado de anúncios e de tráfego do site — eventos de cadastro e de assinatura do profissional (ver 4.1). O script do Google só é carregado nas páginas públicas do site e no retorno da contratação do plano — nunca no prontuário, no portal do paciente nem na teleconsulta (ver 4.3). Nenhum nome, documento ou conteúdo de prontuário de paciente é usado nessa medição
EUA
Meta Platforms, Inc. (WhatsApp Business)
Envio de confirmações, lembretes, cancelamentos e remarcações de consulta ao paciente pelo WhatsApp, quando o profissional ativa o recurso e registra a autorização do paciente. Recebe o nome e o telefone do paciente, a data e o horário da consulta e, conforme a mensagem, o nome do profissional e o local de atendimento, além das respostas do paciente. Nenhum conteúdo de prontuário. Também envia ao profissional que informou o WhatsApp no cadastro as mensagens de primeiros passos e as respostas do suporte (seção 4.5): nesse caso, recebe o nome e o telefone do profissional e as mensagens trocadas
EUA
OpenAI, L.L.C. (anúncios no ChatGPT)
Medição de resultado de anúncios no ChatGPT — com o aceite no aviso de cookies, recebe as visitas às páginas públicas do site e os eventos de cadastro e de assinatura do profissional (ver 4.1). Nenhum dado de paciente ou de prontuário é usado nessa medição
EUA
4.1. Medição de anúncios (dados do profissional, nunca do paciente)
Para saber quais anúncios trazem novos profissionais à plataforma, informamos à Meta, ao Google e à OpenAI (anúncios no ChatGPT) quando um cadastro ou uma assinatura acontece. Com o aceite no aviso de cookies, os pixels dessas plataformas também registram as visitas às páginas públicas do site. Esse envio diz respeito exclusivamente ao profissional que cria a conta — nenhum nome, documento ou conteúdo de prontuário de paciente é compartilhado com plataformas de publicidade. As tags de publicidade e medição dessas plataformas só rodam nas páginas públicas do site e no retorno da contratação do plano — nunca no prontuário, no portal do paciente nem na teleconsulta (detalhes na seção 4.3).
O que é enviado: o tipo do evento (cadastro ou assinatura) e, na assinatura, o valor; o e-mail e, em alguns casos, o identificador interno da conta somente em formato irreversível (hash SHA-256), usados para a plataforma reconhecer se aquele cadastro veio de um anúncio; e o endereço IP e o navegador usados no momento do cadastro.
Como é enviado: por cookies e pixels no navegador, que só são ativados se você clicar em "Aceitar" no aviso de cookies; e diretamente dos nossos servidores (Conversions API), com base no aceite desta Política no momento do cadastro.
Como recusar: ao clicar em "Recusar" no aviso de cookies, nenhum desses envios é feito a partir daquele navegador — nem pelo navegador, nem pelos nossos servidores no cadastro. Você também pode se opor a esse tratamento a qualquer momento pelo canal do Encarregado (seção 7).
4.2. E-mails ao profissional (dados do profissional, nunca do paciente)
Enviamos e-mails ao profissional titular da conta em quatro grupos, cada um com sua finalidade e base legal. O conteúdo desses e-mails nunca inclui dado de paciente nem conteúdo de prontuário.
Avisos do plano, dicas e novidades e ofertas se baseiam no legítimo interesse (Art. 7º, IX e Art. 10 da LGPD): ajudar quem criou uma conta a usar o serviço que escolheu e informar sobre ele, dentro do que um profissional que se cadastra razoavelmente espera. Para decidir qual mensagem é útil, usamos apenas dados cadastrais e informações sobre o uso da conta pelo profissional — por exemplo, data do cadastro, plano, se já cadastrou um paciente, quantas evoluções registrou e quando acessou a plataforma pela última vez. Nunca usamos o conteúdo do prontuário, diagnósticos, escalas, medicamentos ou qualquer dado que identifique pacientes.
Essenciais da conta: confirmação de cadastro, redefinição de senha, avisos de segurança, pagamento, falha de cobrança e cancelamento. São necessários para prestar o serviço contratado (execução de contrato — Art. 7º, V da LGPD) e por isso não têm opção de descadastro.
Avisos do plano: o prazo do período de cortesia do plano Profissional — quando ele está para terminar e quando terminou, com o que muda e o que não muda na conta. É informação sobre a própria conta, mas você pode deixar de recebê-la pelo link no rodapé.
Dicas e novidades: orientações de primeiros passos, reconhecimento de etapas de uso, contato quando a conta fica parada, novidades do produto e avisos regulatórios que afetam a rotina clínica.
Ofertas: convite para indicar o CliniqMais a colegas e comunicados comerciais.
Como deixar de receber: todo e-mail desses grupos traz no rodapé um link de descadastro daquele grupo, e os principais serviços de e-mail também oferecem o botão de cancelar inscrição. Você também pode pedir pelo canal do Encarregado (seção 7). O pedido é respeitado por todos os envios automáticos e comunicados daquele grupo.
Proteção do endereço: quando o provedor informa que um endereço não existe mais ou que a mensagem foi marcada como spam, deixamos de enviar e-mails opcionais para ele.
4.3. O que cada serviço externo recebe
Além da tabela acima, detalhamos o que vai a cada serviço externo quando o recurso correspondente é usado.
OpenAI (IA): o áudio da consulta enviado para transcrição e as imagens enviadas para leitura de texto (OCR) — anotações manuscritas fotografadas e imagens de prontuário importado — vão integrais, sem desidentificação, e podem conter nome, documentos e dados clínicos do paciente. No assistente e na reescrita, CPF, CNS e telefone saem do texto e o nome do paciente vira iniciais antes do envio; no plano da próxima consulta e na estruturação da evolução gravada, o nome também vai como iniciais.
Memed (prescrição digital): ao abrir a prescrição, recebe nome, nome social, sexo, CPF, data de nascimento, telefone e e-mail do paciente, além da medicação que o profissional registra na receita.
Valid (VIDaaS) e Soluti (BirdID) — assinatura digital ICP-Brasil: recebem o CPF do profissional para autorizar a assinatura e, para cada documento, o resumo criptográfico (hash) do PDF e o nome do documento — que, na assinatura em lote de evoluções, inclui o nome do paciente. O conteúdo do documento não é enviado.
Anvisa — SNCR: quando o profissional usa a numeração de receituário do SNCR, o pedido leva o conselho, a UF e o número de registro do prescritor (e, nos blocos de controle especial, o CNPJ da CliniqMais), depois do login do profissional no gov.br. Nenhum dado de paciente vai nesse pedido.
ViaCEP: ao preencher o endereço do paciente, o CEP digitado é consultado no serviço ViaCEP para completar rua, bairro e cidade. Só o CEP é enviado.
Organização Mundial da Saúde — API da CID-11: a busca online de diagnósticos envia à OMS, a partir dos nossos servidores, apenas o termo digitado na busca.
Google (script gtag): é carregado apenas nas páginas públicas de apresentação do CliniqMais aos profissionais (como a página inicial, os planos, o blog e a página de cadastro), para quem não está logado, e no retorno da contratação de um plano. Nunca é carregado no prontuário nem no restante da área logada, no portal do paciente, na teleconsulta ou nas páginas com link de acesso do paciente. Sem o aceite no aviso de cookies, funciona no modo de consentimento negado, sem gravar cookies de publicidade nem de análise. Com o aceite, registra o endereço e o título das páginas públicas visitadas. No retorno da contratação, não registra visita de página: envia só os eventos de assinatura, com um endereço genérico no lugar do endereço real da tela.
4.4. Chat do site e contatos de visitantes (pessoas sem conta)
Nas páginas públicas do site, um assistente virtual com inteligência artificial responde dúvidas sobre o CliniqMais. Ele se identifica como assistente virtual e não fala em nome de uma pessoa. O chat não aparece no prontuário, no portal do paciente nem na teleconsulta.
O que tratamos: as mensagens trocadas; a página em que a conversa aconteceu; um identificador aleatório guardado no navegador, sem nome nem e-mail, que liga as mensagens da mesma pessoa; e o que a pessoa contar sobre o próprio perfil na conversa (especialidade, se atende sozinha ou em clínica e com quantos profissionais, se prescreve medicamentos controlados, volume de atendimentos). Nome, e-mail e WhatsApp só são tratados se a pessoa preencher o formulário do chat.
Para quê e com qual base legal: responder às dúvidas e melhorar o atendimento (legítimo interesse, Art. 7º, IX da LGPD). O e-mail e o WhatsApp informados no formulário do chat servem só para responder àquela conversa: não entram em lista de e-mails nem em mensagens automáticas. Quando a pessoa conta que atende em uma clínica com três ou mais profissionais, a equipe comercial pode responder pelo canal que ela informou.
Inteligência artificial: as mensagens são enviadas à OpenAI para gerar a resposta. Antes do envio, e-mails, telefones e números de documentos (CPF, CNS, RG) digitados na conversa são retirados do texto. Como nos demais recursos (seção 4), a OpenAI não usa esses dados para treinar os modelos e pode mantê-los em registros de monitoramento de abuso por até 30 dias. Não envie dados de pacientes no chat; o assistente não dá orientação clínica.
Se a pessoa criar uma conta: quando o cadastro é feito no mesmo navegador ou com o mesmo e-mail informado no chat, a conversa passa a fazer parte do histórico de relacionamento dessa conta.
Materiais das calculadoras e do blog: quem pede um material informa nome, e-mail e, se quiser, WhatsApp; recebe o material e e-mails sobre o produto.
Como deixar de receber: todo e-mail traz no rodapé um link de descadastro, e o pedido é respeitado em todos os envios dessa categoria. A pessoa também pode pedir acesso, correção ou eliminação dos seus dados pelo canal do Encarregado (seção 7).
4.5. WhatsApp de primeiros passos (dados do profissional, nunca do paciente)
Quem informa o WhatsApp no cadastro pode receber, por um número do CliniqMais dedicado a isso, até duas mensagens de primeiros passos nos primeiros dias da conta — por exemplo, como trazer os pacientes de outro sistema ou o que está dificultando começar. Metade das contas novas, escolhida por sorteio, não recebe essas mensagens: é assim que medimos se elas ajudam. As mensagens nunca incluem dado de paciente nem conteúdo de prontuário.
Base legal e dados usados: legítimo interesse (Art. 7º, IX e Art. 10 da LGPD), como as dicas e novidades por e-mail (seção 4.2), e a finalidade informada no próprio campo do cadastro. Para decidir se e quando enviar, usamos só a data do cadastro, se a conta já tem um paciente cadastrado, se você já respondeu à pergunta sobre o que dificulta começar e quando acessou a plataforma pela última vez.
Como deixar de receber: responda PARAR ou toque em “Agora não”, e nenhuma outra mensagem automática é enviada. Também dá para pedir pelo canal do Encarregado (seção 7).
Suas respostas: ficam registradas na conta. Perguntas escritas são respondidas pela IA de suporte: o texto vai à OpenAI depois de retirados e-mails, telefones e números de documentos (CPF, CNS, RG), nas mesmas condições da seção 4; quando a IA não resolve, a conversa segue por e-mail para a equipe de suporte. Arquivos, imagens e áudios enviados a esse número não são baixados nem abertos. Não envie dados de pacientes por esse canal.
Quem recebe: a Meta (WhatsApp Business) recebe seu nome, seu telefone e as mensagens trocadas.
5. Diretrizes de Retenção e Deleção (Soft Delete)
A Lei 13.787/2018 determina o prazo mínimo de 20 anos de guarda para todos os prontuários de paciente, inclusive os nativamente eletrônicos, a contar do último registro (art. 6º, caput e §5º). A Resolução CFM 1.821/2007 estabelece os padrões técnicos de digitalização e guarda do prontuário médico e prevê guarda permanente para o prontuário arquivado eletronicamente (art. 7º). Para profissionais de psicologia, a Resolução CFP 001/2009 fixa prazo mínimo de 5 anos para os registros documentais; como a Lei 13.787/2018 se refere a todos os prontuários de paciente, há divergência sobre qual prazo vale para o psicólogo — por prudência, recomendamos adotar o de 20 anos e consultar o seu conselho. O CliniqMais não exclui prontuários automaticamente.
Mediante revogação do consentimento por parte do Titular Paciente, a exclusão nunca será permanente de forma bruta caso viole a obrigação legal de guarda do prontuário. Entretanto, na exclusão de uma conta de Médico/Clínica, operamos com "Soft Delete": cancelamos a assinatura, pseudonimizamos os dados de cadastro do profissional e revogamos o login irreversivelmente, mas preservamos a rastreabilidade médica legal inerte e fria aos dados do banco, conforme o Art. 16, inciso I da LGPD, pelo prazo legal de guarda. Não há exclusão automática ao fim desse prazo: a devolução ou a eliminação dos dados de prontuário é feita conforme solicitação do controlador (o profissional ou a clínica).
6. Direitos do Titular (Art. 18 LGPD)
Os pedidos sobre dados de prontuário — confirmação do tratamento, acesso e cópias, correção, portabilidade e os demais direitos do Art. 18 da LGPD — devem ser feitos ao profissional ou à clínica que atende o paciente, que é o controlador desses dados. Se preferir, o paciente pode escrever ao Encarregado da CliniqMais (seção 7), que encaminhará o pedido ao controlador. O titular também pode peticionar à Autoridade Nacional de Proteção de Dados — ANPD (Art. 18, §1º, da LGPD).
7. Encarregado Pelo Tratamento de Dados Pessoais (DPO)
Identidade do nosso Encarregado LGPD / Data Protection Officer, disponível para manifestações formais de violação ou requisições técnicas de extração.
DPO (Data Protection Officer): Dr. Diego Tinoco Rodrigues — CRM-MG 58241, RQE 37921
Canal oficial: suporte@cliniqmais.com
8. Notificação de Incidentes de Segurança
Se o incidente de segurança envolver dados de pacientes — dos quais a CliniqMais é operadora —, a CliniqMais avisará sem demora, por e-mail, o profissional ou a clínica responsável (controlador), com as informações necessárias para que ele avalie o caso. Quando o incidente puder acarretar risco ou dano relevante aos titulares, cabe ao controlador comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os pacientes afetados em até 3 (três) dias úteis contados do seu conhecimento do incidente (Art. 48 da LGPD e Resolução CD/ANPD nº 15/2024), com o apoio da CliniqMais. Se o incidente envolver dados de que a CliniqMais é controladora (por exemplo, os dados de cadastro e cobrança do profissional) e puder acarretar risco ou dano relevante, a própria CliniqMais fará essas comunicações no mesmo prazo. A comunicação incluirá a natureza dos dados afetados, as medidas adotadas para mitigar os efeitos e as recomendações ao titular para reduzir o impacto.
Última atualização: 1 de novembro de 2026. · Documentação válida para toda extensão territorial (jurisdição brasileira).