Política de Privacidade

Esta Política de Privacidade descreve como a SynapkZ, plataforma operada pela Zephex Serviços Tecnológicos LTDA (CNPJ 63.483.569/0001-75), coleta, usa, armazena e compartilha dados pessoais ao prestar seus serviços de gestão clínica e comunicação via WhatsApp Business API.

Estamos comprometidos com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD) e seguimos as exigências da plataforma WhatsApp Business da Meta.

1. Quem somos

A SynapkZ é uma plataforma SaaS de gestão clínica operada pela Zephex Serviços Tecnológicos LTDA (CNPJ 63.483.569/0001-75, sede em Curitiba/PR, CEP 82.515-000), utilizada por clínicas, consultórios e profissionais da saúde para administrar agendamentos, prontuários, faturamento e comunicação com pacientes.

Para fins de LGPD, atuamos como operadora dos dados de pacientes (a clínica é a controladora) e como controladora dos dados cadastrais dos seus usuários administradores.

2. Dados que coletamos

2.1 Dados da clínica e seus usuários

• Razão social, CNPJ, endereço, telefone, e-mail
• Nome, CPF, e-mail e telefone dos profissionais cadastrados
• CRM, especialidades e demais dados profissionais
• Dados de pagamento (processados por gateways parceiros — não armazenamos cartões)

2.2 Dados de pacientes (processados em nome da clínica)

• Nome, CPF, data de nascimento, gênero
• Telefone e e-mail para contato
• Endereço
• Histórico de agendamentos, atendimentos e procedimentos
• Convênios, autorizações e dados de faturamento (TISS/ANS)
• Dados clínicos inseridos pelo profissional (evolução, prescrições, exames)
• Conteúdo das mensagens WhatsApp trocadas com a clínica

2.3 Dados técnicos

• Endereço IP, tipo de navegador e dispositivo
• Logs de acesso e operação
• Cookies de sessão e preferências (sem rastreamento publicitário)

3. Finalidades do tratamento

• Prestação do serviço: permitir o uso das funcionalidades contratadas pela clínica
• Comunicação com pacientes: envio de lembretes, confirmações e mensagens transacionais via WhatsApp Business API
• Faturamento e cobrança: processamento de mensalidades e gestão financeira da clínica
• Segurança: prevenção a fraudes, auditoria e atendimento a obrigações legais
• Suporte: resposta a dúvidas e resolução de incidentes
• Aprimoramento do produto: análise agregada e anonimizada de uso

4. Base legal (LGPD)

Tratamos dados pessoais com base nas seguintes hipóteses legais previstas nos artigos 7º e 11 da LGPD:

• Execução de contrato — quando a clínica contrata a SynapkZ
• Consentimento — para envio de mensagens WhatsApp ao paciente, obtido pela clínica
• Cumprimento de obrigação legal — guarda de dados fiscais, regulatórios e sanitários
• Tutela da saúde — tratamento de dados clínicos sob responsabilidade de profissional da saúde
• Legítimo interesse — segurança, prevenção a fraudes e melhoria do serviço

5. Comunicação via WhatsApp Business API

A SynapkZ utiliza a WhatsApp Business Platform da Meta Platforms para envio e recebimento de mensagens em nome das clínicas contratantes. Cada clínica conecta sua própria WhatsApp Business Account (WABA) através do fluxo Embedded Signup oficial.

Ao usar essa funcionalidade, dados de telefone e conteúdo das mensagens são compartilhados com a Meta para fins exclusivos de entrega, controle de spam e auditoria, conforme a Política Comercial do WhatsApp e a Política de Privacidade do WhatsApp.

O opt-in do paciente para receber mensagens WhatsApp da clínica é responsabilidade da própria clínica, que deve coletá-lo de forma clara, específica e revogável a qualquer momento.

6. Compartilhamento com terceiros

Compartilhamos dados pessoais apenas com operadores e parceiros essenciais à prestação do serviço, todos sujeitos a obrigações contratuais de confidencialidade e proteção de dados:

• Provedores de infraestrutura de nuvem — hospedagem, armazenamento e processamento, em datacenters localizados no Brasil e/ou no exterior
• Meta Platforms — WhatsApp Business API — envio e recebimento de mensagens em nome da clínica (ver Seção 5)
• Plataformas de comunicação transacional — envio de e-mail, SMS e mensagens automatizadas quando aplicável
• Gateways de pagamento — processamento de cobranças (apenas dados estritamente necessários)
• Autoridades públicas — quando exigido por lei ou ordem judicial

A relação nominal dos sub-operadores em uso pela SynapkZ é detalhada no Anexo I (DPA) dos Termos de Uso e pode ser solicitada ao DPO pelo e-mail [email protected].

7. Transferência internacional de dados

Parte da nossa infraestrutura e dos sub-operadores que utilizamos (incluindo a Meta para a WhatsApp Business API) pode armazenar ou processar dados fora do Brasil. Realizamos essas transferências internacionais mediante cláusulas-padrão contratuais celebradas com os respectivos operadores e/ou outras garantias previstas no art. 33 da LGPD e na Resolução CD/ANPD nº 19/2025, assegurando nível de proteção compatível com a legislação brasileira.

8. Tempo de retenção

• Dados de cadastro da clínica: enquanto o contrato estiver ativo + 5 anos para fins fiscais/legais
• Dados clínicos de pacientes: conforme exigência do Conselho Federal de Medicina (mínimo 20 anos a contar do último registro)
• Conteúdo de mensagens WhatsApp: 12 meses, podendo ser ajustado conforme contrato
• Áudio bruto e transcrição não integrada ao prontuário (Transcritor IA): até 7 (sete) dias corridos a contar da geração; eliminação automática após esse prazo. O conteúdo revisado e incorporado ao prontuário segue a política de guarda do prontuário (mínimo 20 anos).
• Logs de acesso e auditoria: 6 meses (Marco Civil da Internet)

9. Segurança

Adotamos medidas técnicas e organizacionais adequadas para proteger seus dados, incluindo criptografia em trânsito e em repouso, controle de acesso baseado em perfil, registros de auditoria e monitoramento contínuo.

10. Notificação de incidente de segurança

Em caso de incidente de segurança envolvendo dados pessoais que possa acarretar risco ou dano relevante aos titulares, comunicaremos:

• À Autoridade Nacional de Proteção de Dados (ANPD) em até 3 (três) dias úteis a contar do conhecimento do incidente, conforme Resolução CD/ANPD nº 15/2024, com possibilidade de complementação posterior;
• À clínica controladora em até 24 (vinte e quatro) horas a contar do conhecimento, para que esta possa adotar as providências cabíveis junto aos titulares afetados;
• Aos titulares afetados em prazo razoável compatível com a gravidade do incidente, quando exigido pela legislação ou pela ANPD, com descrição do ocorrido, dos dados envolvidos, das medidas tomadas e dos riscos associados.

Mantemos plano interno de resposta a incidentes e registros conforme exigido pelo art. 48 da LGPD.

11. Tratamento de dados de menores

A SynapkZ é utilizada por clínicas que atendem pacientes de todas as faixas etárias, incluindo crianças e adolescentes. O tratamento de dados pessoais de menores de 18 anos é realizado em conformidade com o art. 14 da LGPD, observando os seguintes princípios:

• Melhor interesse do menor: todo tratamento prioriza o melhor interesse da criança ou adolescente;
• Consentimento parental: o tratamento de dados de menores de 18 anos depende de consentimento específico e em destaque dado por pelo menos um dos pais ou responsável legal, obtido e armazenado pela clínica controladora;
• Tutela da saúde: em hipóteses de tutela da saúde, o tratamento pode ser realizado por profissional da saúde ou sob sua responsabilidade, independentemente de consentimento, conforme art. 11, II, "f" da LGPD;
• Mínimo necessário: coletamos apenas os dados estritamente necessários ao atendimento clínico;
• Sem perfilamento publicitário: dados de menores não são utilizados para marketing direcionado, criação de perfis comerciais ou compartilhamento com terceiros para fins publicitários.

12. Decisões automatizadas e uso de IA

A SynapkZ utiliza recursos de inteligência artificial como apoio à decisão clínica e operacional, sempre com revisão humana significativa antes de qualquer impacto sobre o titular. Os recursos atuais incluem:

• Transcritor IA: conversão automática de voz para texto durante a consulta, com revisão obrigatória pelo profissional de saúde antes da gravação no prontuário. Áudio bruto e transcrição não integrada ao prontuário são eliminados em até 7 dias corridos (ver seção 8);
• Sugestões e automações operacionais: lembretes, classificações e roteamentos internos, com possibilidade de edição manual pelo usuário da clínica.

A SynapkZ não toma decisões totalmente automatizadas sobre o titular paciente que produzam efeitos jurídicos ou afetem significativamente seus interesses. Caso isso venha a ocorrer no futuro, comunicaremos previamente e disponibilizaremos as informações exigidas pelo art. 20 da LGPD.

Em qualquer hipótese, o titular tem direito à revisão humana de decisões automatizadas que o afetem. Para exercer esse direito, envie e-mail para [email protected].

13. Portabilidade e devolução de dados

A clínica controladora pode solicitar a exportação dos dados tratados na Plataforma a qualquer momento durante a vigência do contrato, em formatos estruturados e interoperáveis (CSV, JSON ou padrão TISS, conforme aplicável).

Ao término do contrato, garantimos:

• Janela de exportação de no mínimo 30 (trinta) dias para que a clínica realize o download completo dos dados em formato estruturado;
• Suporte técnico à exportação, sem custo adicional além do previsto em contrato;
• Conformidade com o CFM: reconhecemos que prontuários médicos devem ser preservados por no mínimo 20 (vinte) anos a contar do último registro (Resolução CFM nº 1.821/2007). Cabe à clínica controladora garantir essa guarda após a exportação;
• Eliminação dos dados da nossa infraestrutura após o término da janela de exportação, exceto quanto a dados que devamos reter por obrigação legal.

14. Seus direitos (LGPD)

Conforme a LGPD, você pode solicitar a qualquer momento:

• Confirmação da existência de tratamento dos seus dados
• Acesso aos dados
• Correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a LGPD
• Portabilidade dos dados
• Revogação do consentimento
• Informação sobre compartilhamentos realizados

Para exercer esses direitos, envie um e-mail para [email protected]. Responderemos em até 15 dias úteis.

15. Cookies

Utilizamos cookies estritamente necessários para autenticação e funcionamento do sistema (manter sessão, lembrar preferências de tema). Não utilizamos cookies de rastreamento publicitário.

16. Encarregado de Proteção de Dados (DPO)

Para questões relacionadas à privacidade e proteção de dados, entre em contato com o nosso DPO:

Nome: Marcos Yoshinori Kojima
E-mail: [email protected]

17. Alterações nesta Política

Podemos atualizar esta Política periodicamente. Mudanças relevantes serão comunicadas com antecedência razoável por e-mail e/ou na plataforma. A data da última atualização está sempre no topo deste documento.

18. Lei aplicável e foro

Esta Política é regida pela legislação brasileira. Eventuais conflitos serão dirimidos no foro da comarca de Curitiba/PR, salvo competência legal diversa.