Clarice.
Política de privacidade
Rascunho para revisão jurídica. Escrito a partir do que o sistema faz de fato. Precisa de advogado e da nomeação formal do encarregado (DPO) antes de publicação.
1. Papéis
A profissional é a controladora dos dados dos seus pacientes: decide o que registra e por quê. A Clarice é operadora: guarda e processa por conta dela, sob suas instruções. Para os dados da própria profissional (conta, pagamento), a Clarice é controladora. Numa clínica com mais de uma profissional, cada uma é controladora do prontuário dos pacientes que atende.
2. Que dados tratamos
- Da profissional: nome, e-mail, CRP, CPF/CNPJ, telefone, dados de pagamento (processados pelo gateway, não armazenados aqui).
- Do paciente: identificação e contato, e o que a profissional registra no prontuário — evolução, anamnese, documentos anexados (laudos, encaminhamentos, contratos) e, quando ela usa a gravação de sessão, o áudio e sua transcrição. Tudo isso é dado de saúde, sensível nos termos do art. 11 da LGPD.
- Técnicos: registro de acesso (quem abriu qual prontuário e quando), endereço IP e navegador nas sessões de login.
3. Base legal
Dados de saúde são tratados para tutela da saúde, em procedimento realizado por profissional de saúde (art. 11, II, f), e para cumprimento de obrigação legal de guarda do prontuário (CFP). O consentimento do paciente é registrado na ficha, com data e versão do termo, como prática de transparência. Para a gravação de sessão, o consentimento é específico e registrado a cada gravação — ver seção 5.
4. Onde ficam e quem acessa
- Servidor no Brasil. Backup diário, criptografado, incluindo os arquivos anexados ao prontuário.
- Nenhum script, fonte ou serviço de terceiro é carregado nas páginas do sistema — o endereço IP de quem usa não é entregue a ninguém.
- Só a profissional acessa os dados dos seus pacientes. Prontuário, anamnese, anotação privada, documentos e transcrições são lidos apenas por quem atende: numa clínica, nem a responsável abre o prontuário de outra profissional. A equipe da Clarice não lê prontuário; acesso técnico ao banco é excepcional, registrado e restrito a manutenção.
- Toda leitura de conteúdo clínico é gravada em trilha de auditoria.
5. Gravação e transcrição de sessão
É um recurso opcional, desligado por padrão. Quando a profissional o utiliza:
- Ela declara, a cada gravação, que informou o paciente e obteve o consentimento dele. A declaração fica registrada com data e hora.
- O áudio é enviado ao servidor da Clarice e transcrito por software que roda em máquina nossa. Nenhum serviço de transcrição, nuvem de terceiro ou provedor de inteligência artificial externo recebe o áudio ou o texto. Nada sai do Brasil.
- O áudio é apagado assim que a transcrição fica pronta. O que permanece é o texto, visível apenas para quem atendeu.
- A transcrição é material de apoio, não prontuário. Ela só entra no prontuário se a profissional revisar e salvar como evolução, e pode ser descartada a qualquer momento.
- O paciente pode retirar o consentimento; nesse caso a profissional apaga a gravação e a transcrição pelo próprio sistema.
6. Compartilhamento
Lembretes saem pelo e-mail e pelo número de WhatsApp da própria profissional, sem conteúdo clínico. Pagamentos da assinatura passam pelo gateway (Asaas). Não vendemos, cedemos nem cruzamos dados com terceiros.
Dois recursos opcionais envolvem serviço externo, e só funcionam se a profissional os ativar: entrar com Google, que informa ao Google apenas que houve um login, e a assinatura de calendário (Google Agenda, Apple, Outlook), que por padrão exporta os horários sem o nome do paciente. Ativar o envio de nomes para o calendário externo é escolha dela, avisada na tela.
7. Retenção
Prontuário: mínimo de 5 anos após o último registro, por exigência do CFP, mesmo após encerramento da conta. Registro de acesso: 5 anos. Dados de conta: enquanto a conta existir, e por 5 anos após, para obrigações fiscais. Áudio de sessão: apagado logo após a transcrição, e em no máximo 30 dias se a transcrição não puder ser concluída. Link de questionário enviado ao paciente: 14 dias.
Ao encerrar a conta, os dados são exportados para a profissional e anonimizados na plataforma: identificação da profissional, dos pacientes e o texto dos registros clínicos são removidos, restando apenas estrutura sem identificação. A guarda do prontuário passa a ser exercida pela profissional sobre a cópia exportada, como determina o CFP.
8. Direitos do titular
O paciente tem direito a confirmação de tratamento, acesso, correção e cópia do prontuário — não das anotações privadas da profissional, que são impressões pessoais dela. A cópia é emitida pelo próprio sistema, em PDF, e inclui identificação, anamnese, evoluções e histórico de sessões. Pedidos devem ser feitos à profissional, que os atende pelo sistema. A profissional tem os mesmos direitos sobre os dados da própria conta, incluindo exportação completa e encerramento.
9. Incidentes
Em caso de incidente de segurança com risco aos titulares, a profissional afetada é avisada em até 48 horas, com o que aconteceu, o que foi afetado e o que foi feito, para que ela cumpra a comunicação à ANPD e aos pacientes.
10. Encarregado
Contato do encarregado pelo tratamento de dados: privacidade@clarice.app.