Política de Privacidade

Esta Política explica como a plataforma PRISE, fornecida por PRISE (empresa em constituição) (CNPJ em providência), trata dados pessoais, incluindo dados pessoais sensíveis de saúde, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD).

1. Quem é controlador e quem é operador

Esta distinção define quem responde por quê e é a base de toda esta Política:

• A clínica (ou o profissional autônomo) é a CONTROLADORA dos dados dos seus pacientes. É ela quem decide quais dados coletar, para qual finalidade e por quanto tempo mantê-los, e é ela quem mantém a relação assistencial com o paciente.
• O PRISE é OPERADOR: trata os dados em nome da clínica, seguindo suas instruções e os limites desta Política e dos Termos de Uso. O PRISE não usa dados de pacientes para finalidade própria.

Em relação aos dados cadastrais dos profissionais e clínicas contratantes (nome, e-mail, registro no conselho, dados de cobrança), o PRISE atua como controlador, pois é quem decide sobre esse tratamento para viabilizar o contrato.

2. Dados tratados

2.1 Dados do profissional e da clínica

• Identificação: nome, e-mail, telefone;
• Registro profissional: conselho, número, UF e especialidade;
• Dados da clínica: razão social, CNPJ, endereço;
• Dados de cobrança necessários à assinatura;
• Registros de acesso: data, hora, endereço IP e agente de navegação.

2.2 Dados de pacientes (dados sensíveis de saúde)

• Identificação e contato: nome, CPF, data de nascimento, telefone, endereço;
• Dados clínicos: anamnese, evoluções, hipóteses e diagnósticos, prescrições, atestados, requisições e resultados de exames;
• Dados de acompanhamento clínico: questionários clínicos validados aplicados pelo profissional, métricas laboratoriais e antropométricas;
• Áudio de consultas e respectivas transcrições, quando o recurso de gravação for utilizado com consentimento do paciente;
• Documentos e imagens enviados pelo paciente ou pelo profissional.

2.3 Dados de quem entra em contato pelo site

O formulário de contato coleta nome, e-mail e a mensagem enviada, usados apenas para responder à solicitação. O PRISE não envia comunicações promocionais a partir desses dados.

3. Bases legais

• Tutela da saúde (art. 11, II, “f”) — tratamento de dados de saúde do paciente por profissional de saúde ou serviço de saúde, para fins assistenciais. É a base principal do prontuário;
• Cumprimento de obrigação legal ou regulatória (arts. 7º, II e 11, II, “a”) — guarda do prontuário por 20 anos (Lei nº 13.787/2018 e normas do CFM) e guarda de registros de acesso (Marco Civil da Internet, art. 15);
• Execução de contrato (art. 7º, V) — dados cadastrais e de cobrança do profissional e da clínica;
• Legítimo interesse (art. 7º, IX) — registros de auditoria e rastreamento de erros técnicos, para segurança e estabilidade da Plataforma, sempre com dados minimizados;
• Consentimento (arts. 7º, I e 11, I) — gravação de consultas e outras finalidades específicas informadas ao titular no momento da coleta. O consentimento pode ser revogado a qualquer tempo.

4. Subprocessadores

Para operar a Plataforma, o PRISE utiliza os terceiros abaixo, que tratam dados sob instrução do PRISE e obrigação contratual de confidencialidade e segurança:

A transcrição do áudio das consultas é feita em servidores do PRISE no Brasil e não é enviada a terceiros. Apenas trechos de texto já transcritos, sem nome, CPF ou contato do paciente, são submetidos à extração estruturada por IA.

Esta lista é atualizada sempre que um novo subprocessador passa a ser utilizado. Alterações relevantes são comunicadas às clínicas contratantes.

4.1 Transferência internacional de dados

Os serviços do Google (Gemini API), da Resend e do Sentry processam dados fora do Brasil. Essas transferências se apoiam no art. 33, II, da LGPD, por meio de cláusulas-padrão contratuais aprovadas pela Autoridade Nacional de Proteção de Dados (Resolução CD/ANPD nº 19/2024), firmadas com cada fornecedor.

O PRISE aplica minimização ao que sai do país: ao Gemini vão somente trechos de texto clínico sem identificadores diretos do paciente; à Resend, o e-mail e o conteúdo da mensagem transacional; ao Sentry, dados técnicos do erro, com dados pessoais removidos por configuração. O PRISE não autoriza o uso desses dados para treinamento de modelos.

O titular pode obter cópia das cláusulas-padrão contratuais aplicáveis solicitando ao encarregado pelo e-mail dpo@prise.med.br.

5. Inteligência artificial e decisões automatizadas

A Plataforma usa inteligência artificial para gerar rascunhos de nota clínica a partir da transcrição da consulta e para extrair dados de resultados de exames enviados como documento. O objetivo é poupar digitação, não substituir o profissional.

• Nada é gravado no prontuário sem o aceite explícito do profissional: cada rascunho é apresentado separado do registro e pode ser editado, aceito ou descartado;
• Nenhuma decisão sobre o paciente é tomada de forma automatizada: diagnóstico, conduta, prescrição e demais atos são sempre do profissional de saúde;
• O conteúdo gerado pode conter erros e é sinalizado como automático na interface até ser revisado.

Nos termos do art. 20 da LGPD, o titular pode solicitar informações sobre os critérios utilizados e a revisão, por pessoa natural, de qualquer tratamento automatizado que entenda ter afetado seus interesses, pelo e-mail do encarregado (dpo@prise.med.br).

6. Retenção e eliminação

Cada categoria de dado é mantida apenas pelo prazo necessário à sua finalidade ou pelo prazo que a lei exige:

A eliminação do áudio preserva a transcrição e o registro clínico dela derivado, que passam a seguir o prazo do prontuário. Dados sob prazo legal de guarda não são eliminados a pedido do titular; quando cabível, os dados de identificação são anonimizados.

7. Segurança

O PRISE adota, entre outras medidas técnicas e organizacionais:

• criptografia em trânsito (HTTPS/TLS);
• isolamento lógico entre clínicas (multi-tenancy), de modo que uma clínica não acesse dados de outra;
• controle de acesso por papel e por escopo de permissão;
• registro de auditoria dos acessos a dados de pacientes;
• autenticação por credenciais individuais e intransferíveis;
• backups periódicos com os prazos da seção 6.

Nenhuma medida elimina integralmente riscos. Em caso de incidente de segurança com risco relevante aos titulares, o PRISE comunicará a clínica controladora, a quem cabe a comunicação à ANPD e aos titulares, prestando o apoio técnico necessário.

8. Direitos do titular

Nos termos do art. 18 da LGPD, o titular pode solicitar:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• portabilidade dos dados;
• informação sobre compartilhamento com terceiros;
• revogação do consentimento, quando essa for a base legal aplicável;
• revisão de tratamento automatizado, na forma da seção 5.

A Plataforma disponibiliza exportação dos dados do titular e solicitação de exclusão da conta diretamente na área do usuário. A eliminação observa os limites da guarda obrigatória do prontuário: dados sob prazo legal de retenção são preservados, e os dados de identificação são anonimizados quando cabível.

Como a clínica é a controladora, pedidos relativos ao prontuário devem ser dirigidos preferencialmente a ela. O PRISE presta o apoio técnico necessário ao atendimento no prazo legal.

9. Cookies e armazenamento local

Nenhum dos aplicativos do PRISE — site institucional, painel profissional e app do paciente — usa cookies de publicidade ou de rastreamento, nem ferramentas de análise de terceiros. Fontes, scripts e demais recursos são servidos pelos próprios domínios do PRISE, sem requisições a terceiros ao abrir as páginas.

O que fica guardado no seu dispositivo é o mínimo para o aplicativo funcionar:

Esses itens são essenciais: sem eles não é possível manter a sessão ou usar o aplicativo, por isso não dependem de consentimento. Você pode apagá-los a qualquer momento limpando os dados do site no navegador — isso encerra a sessão e faz o aviso do site aparecer de novo.

10. Encarregado pelo tratamento de dados (DPO)

Encarregado: Administrador da plataforma PRISE
Contato: dpo@prise.med.br

Solicitações relativas a dados pessoais podem ser encaminhadas a esse contato e serão respondidas nos prazos previstos na LGPD.

11. Alterações desta Política

Esta Política pode ser atualizada. Cada versão recebe número próprio e data de vigência, exibidos no topo desta página. Alterações relevantes são comunicadas às clínicas contratantes.