Política de Privacidade da nexclinica

Última atualização: 28 de setembro de 2026

Versão: 1.1

1. Quem somos e a quem esta Política se aplica

A STEADFAST TECH LTDA, sociedade empresária limitada inscrita no CNPJ sob o nº 57.639.468/0001-48, com sede na QS 03, Lotes 03 a 09, Estrada Parque Contorno (EPCT, Pistão Sul), Brasília/DF, CEP 71953-000 (“nexclinica”, “nós”), é a desenvolvedora e fornecedora da plataforma de software de atendimento por inteligência artificial no WhatsApp e de agendamento para clínicas comercializada sob a marca nexclinica (a “Plataforma”).

Esta Política de Privacidade (“Política”) descreve como tratamos dados pessoais e se aplica a duas situações distintas, com papéis jurídicos diferentes sob a LGPD:

• Parte I, o site nexclinica.com.br: quando você visita nosso site institucional, preenche o formulário de contato ou fala conosco. Aqui, a nexclinica atua como Controladora dos dados.
• Parte II, a Plataforma (produto SaaS): quando uma clínica contrata e utiliza a Plataforma para atender seus pacientes. Aqui, a clínica contratante é a Controladora dos dados de seus pacientes, e a nexclinica atua como Operadora, tratando os dados em nome e conforme as instruções da clínica.

Por que essa distinção importa. No site, decidimos as finalidades do tratamento (é nossa responsabilidade). No produto, quem decide as finalidades é a clínica; nós executamos o tratamento sob contrato. As responsabilidades de cada parte estão detalhadas na Parte II e no contrato de prestação de serviços firmado com cada clínica.

A nexclinica encontra-se em fase beta, atualmente focada no atendimento de balcão via agentes de inteligência artificial no WhatsApp. As funcionalidades e os tratamentos descritos nesta Política podem evoluir; alterações relevantes serão comunicadas conforme a Seção 13.

2. Definições

Adotamos as definições da LGPD (art. 5º), com destaque para:

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre saúde, vida sexual, dado genético ou biométrico, origem racial/étnica, convicção religiosa, opinião política, entre outros (art. 5º, II). Dados de saúde de pacientes são dados sensíveis e recebem proteção reforçada.
• Titular: a pessoa natural a quem os dados se referem (você, visitante; o paciente; o profissional usuário).
• Controlador: quem decide sobre o tratamento.
• Operador: quem trata os dados em nome do Controlador.
• Tratamento: qualquer operação com dados pessoais (coleta, uso, armazenamento, compartilhamento, eliminação etc.).
• ANPD: Autoridade Nacional de Proteção de Dados.

3. Dados que coletamos no site

Não coletamos dados de saúde no site. Não solicite, no formulário ou no WhatsApp comercial, informações de saúde suas ou de terceiros. Esse canal é destinado a contato comercial.

4. Finalidades e bases legais (site)

5. Cookies e tecnologias de rastreamento

O site utiliza cookies essenciais, de desempenho/análise (Google Analytics 4) e de publicidade (Google Ads), além de armazenamento local do navegador para funcionalidades da página. Os cookies não essenciais somente são ativados mediante o seu consentimento. O detalhamento e as opções de gerenciamento estão na Política de Cookies.

6. Com quem compartilhamos os dados do site

Para operar o site e nosso processo comercial, contamos com prestadores que atuam como nossos operadores, sob contrato e dever de confidencialidade:

Também poderemos compartilhar dados com autoridades públicas quando exigido por lei ou ordem judicial, e com assessores (jurídico, contábil) sob dever de sigilo. Não vendemos seus dados pessoais.

7. Transferência internacional (site)

Alguns dos prestadores acima estão localizados nos Estados Unidos, o que caracteriza transferência internacional de dados. Realizamos essas transferências com base em garantias contratuais adequadas (art. 33, II, da LGPD): cláusulas contratuais específicas e/ou cláusulas-padrão, na forma da Resolução CD/ANPD nº 19/2024 e dos instrumentos de proteção de dados de cada prestador. Assim, asseguramos padrão de proteção compatível com a LGPD.

8. Por quanto tempo guardamos (site)

• Dados de lead (contato comercial): mantidos enquanto durar a tratativa. Encerradas as tratativas sem contratação, podem ser conservados por até 24 (vinte e quatro) meses a contar do último contato, para eventual retomada; nesse período, a manutenção do contato apoia-se em legítimo interesse (art. 7º, IX), com opção de descadastro a qualquer momento. Você pode solicitar a exclusão a qualquer tempo.
• Conteúdo de comunicações (mensagens e e-mails de retorno): até 24 meses após o último contato.
• Cookies e dados de navegação: conforme a vigência de cada cookie, detalhada na Política de Cookies.
• Registros de acesso à aplicação: pelo prazo legal do Marco Civil da Internet (mínimo de 6 meses).
• Dados tratados com base em consentimento: até a revogação do consentimento, ressalvada a conservação autorizada pelo art. 16 da LGPD.

Esta Parte descreve, de forma transparente, como a Plataforma trata os dados quando uma clínica a utiliza. A clínica contratante é a Controladora desses dados e é responsável pela base legal e pelo relacionamento com o titular (paciente). A nexclinica atua como Operadora (art. 39 da LGPD), nos termos do contrato e do respectivo Acordo de Tratamento de Dados (DPA).

9. Papéis e responsabilidades

• A clínica (Controladora) decide quais dados trata, para quê, e é responsável por: possuir base legal válida; obter os consentimentos necessários dos pacientes, inclusive para o uso do componente de IA e para transferências internacionais; e atender, em primeira linha, aos direitos dos pacientes.
• A nexclinica (Operadora) trata os dados estritamente conforme as instruções documentadas da clínica, mantém medidas de segurança e auxilia a clínica no cumprimento de suas obrigações.

10. Dados tratados na Plataforma e bases legais

11. Componente de inteligência artificial e decisões automatizadas

A Plataforma inclui um componente de IA (recepcionista virtual) que conversa com pacientes no WhatsApp para agendar, remarcar, confirmar consultas e prestar informações administrativas.

• A IA executa exclusivamente tarefas administrativas (agendamento, confirmação, lembretes e informações administrativas). Ela não realiza triagem clínica, diagnóstico, prescrição ou qualquer ato privativo de profissional de saúde, não substitui o profissional e não toma decisões clínicas.
• As interações são transparentes: a Plataforma identifica a IA ao paciente por padrão (ex.: “assistente virtual”). A qualquer momento o paciente pode solicitar atendimento humano.
• Quando houver tratamento automatizado que afete interesses do titular, este tem direito a solicitar a revisão da decisão (art. 20 da LGPD) e a receber informações claras sobre os critérios e procedimentos utilizados (art. 20, §1º), observados os segredos comercial e industrial. Esse direito é exercido perante a clínica controladora, com nosso apoio técnico.
• A responsabilidade por toda conduta clínica baseada (ou não) em informações da IA é exclusiva da clínica e de seus profissionais.

11.1 Integração com o Google Agenda

Quando um profissional conecta sua conta Google, a nexclinica acessa somente os eventos das agendas que ele possui (escopo calendar.events.owned) e o e-mail da conta. Usamos esses dados apenas para: (1) criar, atualizar e cancelar os agendamentos da nexclinica na agenda do profissional, com link do Google Meet para teleconsultas; e (2) ler uma única vez os eventos já existentes para bloquear esses horários na agenda da clínica.

Os dados do Google não são vendidos, não são compartilhados com terceiros e não são usados para criar, treinar ou aprimorar modelos de inteligência artificial ou aprendizado de máquina. O componente de IA da nexclinica apenas consulta se um horário está livre, sem acessar o conteúdo dos eventos. O profissional pode desconectar a integração a qualquer momento em Minha Conta › Integrações, o que apaga o token de acesso armazenado.

The use of raw or derived user data received from Google Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.

12. Sub-operadores e transferência internacional (Plataforma)

Para prestar o serviço, a nexclinica contrata sub-operadores, mantidos sob obrigações de proteção de dados equivalentes às suas. Os principais são:

Os dados da Plataforma são armazenados primariamente em servidores nos Estados Unidos. Há, portanto, transferência internacional de dados no armazenamento e no processamento da Plataforma, bem como ao processar mensagens pelo componente de IA (OpenAI, EUA) e pelo WhatsApp (Meta). Essas transferências apoiam-se em garantias contratuais adequadas (art. 33, II), incluindo cláusulas contratuais específicas e/ou cláusulas-padrão, na forma da Resolução CD/ANPD nº 19/2024 e dos instrumentos de proteção de dados de cada prestador. A LGPD aplica-se integralmente a esse tratamento, independentemente do local de armazenamento, nos termos do art. 3º.

Os dados enviados ao componente de IA não são utilizados para treinar modelos de uso geral da OpenAI. Conversas só são utilizadas para melhoria do modelo da nexclinica quando a clínica obtém consentimento específico e destacado do paciente (art. 11, I) e, nesse caso, a transferência observa o consentimento de transferência internacional (art. 33, VIII). Sempre que tecnicamente possível, esses dados são anonimizados; quando apenas pseudonimizados, permanecem sendo dados pessoais e seguem integralmente protegidos por esta Política e pelas garantias acima.

A nexclinica não comercializa nem compartilha dados de saúde para obtenção de vantagem econômica, em conformidade com o art. 11, §4º, da LGPD.

13. Retenção na Plataforma

A nexclinica retém os dados pelo tempo necessário à prestação do serviço e conforme as instruções da clínica e a lei:

• Prontuários e dados de saúde: prazo legal mínimo de 20 (vinte) anos a contar do último registro (Lei nº 13.787/2018, art. 6º), inclusive para prontuário eletrônico.
• Dados fiscais e de faturamento: 5 (cinco) anos.
• Logs de auditoria e segurança: 5 (cinco) anos.
• Encerrado o contrato, a clínica dispõe de prazo para exportar os dados; após esse prazo, os dados são eliminados dos ambientes de produção, ressalvada a retenção legal obrigatória acima.

14. Incidentes de segurança (Plataforma)

Ao confirmar um incidente de segurança que afete dados sob nossa operação, comunicaremos a clínica (Controladora) sem demora injustificada, com as informações disponíveis. A comunicação à ANPD e aos titulares é responsabilidade da clínica (art. 48 da LGPD), com nosso apoio técnico.

15. Segurança da informação

Adotamos medidas técnicas e administrativas para proteger os dados pessoais (art. 46 da LGPD), entre elas: criptografia em trânsito e em repouso, controle de acesso baseado em papéis (RBAC), registros de auditoria, segregação de ambientes, backups e compromissos de confidencialidade da equipe. A segurança é considerada desde a concepção do serviço (art. 46, §2º). Nenhum sistema é absolutamente imune a incidentes; comprometemo-nos a mitigar riscos e responder adequadamente.

16. Direitos do titular

Nos termos do art. 18 da LGPD, o titular pode, a qualquer momento e gratuitamente, solicitar:

1. confirmação da existência de tratamento;
2. acesso aos dados;
3. correção de dados incompletos, inexatos ou desatualizados;
4. anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
5. portabilidade dos dados a outro fornecedor;
6. eliminação dos dados tratados com base no consentimento;
7. informação sobre com quem compartilhamos seus dados;
8. informação sobre a possibilidade de não consentir e suas consequências;
9. revogação do consentimento;
10. oposição a tratamento realizado com base em hipótese de dispensa de consentimento (por exemplo, legítimo interesse), em caso de descumprimento da lei (art. 18, §2º).

Além disso, é assegurado o direito de revisão de decisões automatizadas (art. 20) e de petição à ANPD (art. 18, §1º).

Prazos. Pedidos de confirmação e acesso são atendidos de forma imediata (formato simplificado) ou, em formato completo, em até 15 (quinze) dias (art. 19 da LGPD); os demais pedidos são atendidos em prazo razoável e gratuito.

Como exercer: envie sua solicitação para o Encarregado: encarregado@nexclinica.com.br.

• Para dados tratados pelo site (Parte I), responderemos diretamente.
• Para dados de paciente tratados na Plataforma (Parte II), o pedido deve ser dirigido à clínica controladora; se recebido por nós, informaremos que não somos o agente controlador e indicaremos a clínica responsável (art. 18, §4º, I), prestando o apoio técnico necessário e podendo solicitar a comprovação de identidade.

17. Crianças e adolescentes

O site não é direcionado a menores de idade. Na Plataforma, o tratamento de dados de crianças e adolescentes pacientes é realizado no melhor interesse do menor (art. 14 da LGPD), cabendo à clínica controladora obter o consentimento específico e em destaque de pelo menos um dos pais ou responsável legal, quando exigido.

18. Encarregado pelo Tratamento de Dados (DPO)

Em cumprimento ao art. 41 da LGPD, a nexclinica indica como canal de comunicação com titulares e com a ANPD:

• Encarregado (DPO): Pedro Henrique Oliveira Marques
• E-mail: encarregado@nexclinica.com.br

19. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças legais, regulatórias ou operacionais. A versão vigente estará sempre disponível em nosso site, com a data da última atualização. Alterações relevantes serão comunicadas pelos canais apropriados.

20. Legislação aplicável e foro

Esta Política é regida pelas leis da República Federativa do Brasil, em especial a LGPD. Fica eleito o foro da Circunscrição Judiciária de Brasília/DF, sem prejuízo do direito de o titular recorrer aos órgãos de defesa do consumidor e à ANPD.

21. Contato

STEADFAST TECH LTDA, CNPJ 57.639.468/0001-48
QS 03, Lotes 03 a 09, EPCT (Pistão Sul), Brasília/DF, CEP 71953-000
E-mail geral: contato@nexclinica.com.br · Encarregado: encarregado@nexclinica.com.br