Política de Privacidade e Cookies - TOT Saúde

Como ler este documento

Queremos ser transparentes sobre o que fazemos com os seus dados. Esta Política explica, em linguagem simples, quais informações tratamos, por que precisamos delas, quem pode acessá-las, por quanto tempo as guardamos e quais são os seus direitos.

Ela descreve o que a Plataforma faz hoje. Quando uma funcionalidade ainda não existe, dizemos isso com clareza, em vez de descrever a intenção como se já estivesse pronta.

Esta Política e os Termos de Uso (/termos.html) formam um conjunto único: têm a mesma versão, são exibidos juntos e são aceitos no mesmo ato. Onde um deles trata de um assunto em detalhe, o outro remete a ele em vez de repeti-lo.

1. Quem somos nessa história

A clínica, o consultório ou o profissional de saúde que atende você é a CONTROLADORA dos seus dados de saúde: é quem decide que você será acompanhado, quais questionários serão aplicados e qual conduta será adotada.

A KF SERVIÇOS MÉDICOS LTDA é a OPERADORA: tratamos os dados por conta e sob instruções da clínica, para que a Plataforma funcione. Não decidimos sobre o seu cuidado e não usamos os seus dados de saúde para finalidade própria.

Há uma exceção: em relação ao seu cadastro na Plataforma, aos registros técnicos de acesso e ao funcionamento do aplicativo do paciente, somos CONTROLADORA — porque essas finalidades são definidas por nós. Nesses casos, você fala diretamente conosco.

Os nossos fornecedores de tecnologia — hospedagem, processamento de exames, sala de vídeo, envio de e-mail e notificações — são SUBOPERADORES, contratualmente obrigados às mesmas regras. Eles estão nomeados na seção 6.

2. A quem esta Política se aplica

3. Quais dados tratamos, por que e por quanto tempo

4. Seu cadastro e os seus vínculos

O seu cadastro na Plataforma é único. Se você é atendido em mais de uma clínica, não são criadas várias contas: é criado um vínculo entre a sua conta e cada clínica.

Quando uma clínica informa o seu CPF para cadastrá-lo e ele já existe na Plataforma, nenhuma conta nova é criada — apenas se estabelece o vínculo.

O seu histórico clínico permanece separado por clínica. Uma clínica não vê os atendimentos, exames ou registros feitos em outra.

A nossa equipe interna só altera dados da sua conta a seu pedido. Hoje essa alteração não gera um registro próprio na Plataforma, como explica a seção 12.

5. Pacientes menores de 18 anos e pessoas sob curatela

O cadastro de paciente menor de 18 anos, ou de pessoa sujeita a curatela, é feito pela clínica, que é responsável por obter, verificar e guardar a autorização do responsável legal, tutor ou curador, em documento assinado. Essa autorização não é coletada nem armazenada pela Plataforma.

Ao liberar o acesso, a clínica declara possuir a autorização necessária e mantê-la à disposição para exibição.

• Não usamos dados de nenhum usuário, de qualquer idade, para publicidade ou perfilamento comercial. A vedação do art. 14, §4º da LGPD é cumprida na origem.
• Coletamos apenas os dados necessários ao acompanhamento, no melhor interesse do paciente.
• O responsável legal pode, a qualquer momento e sem custo, acessar, corrigir, portar ou revogar a autorização — solicitando à clínica.
• A revogação encerra o acesso do paciente à Plataforma, mas não elimina os registros clínicos já produzidos, que permanecem sob guarda da clínica pelo prazo legal.

6. Com quem compartilhamos seus dados

Não vendemos dados. Não usamos dados de saúde para publicidade. Compartilhamos apenas quando necessário:

Os fornecedores de tecnologia que tratam dados pessoais por nossa conta são:

Não há, nesta fase, compartilhamento de dados entre clínicas. Se você é atendido em mais de uma, cada uma mantém o seu histórico separadamente (seção 7).

Não compartilhamos dados para pesquisa científica. Se isso vier a ocorrer, será apenas com dados anonimizados, mediante instrumento específico com cada clínica e informação prévia a você, como preveem os Termos de Uso na seção 18.

Nunca compartilhamos os seus dados de saúde com planos de saúde, seguradoras, instituições financeiras ou empregadores para finalidades estranhas ao seu cuidado.

7. Atendimento em mais de uma clínica

Cada clínica em que você é atendido mantém o seu próprio histórico. Os atendimentos, exames e registros de uma clínica não são visíveis para outra.

Nesta fase, não há compartilhamento de exames entre clínicas. Se você quiser que uma segunda clínica tenha um exame seu, envie o arquivo também no atendimento dela.

Essa escolha é deliberada. O exame que o profissional usa para decidir a sua conduta precisa fazer parte do prontuário daquela clínica, sujeito à guarda legal de 20 anos, e não depender de um acesso que possa ser encerrado depois.

Dentro de uma mesma clínica, é diferente: o histórico de exames e os documentos anexados podem ser vistos pela equipe autorizada daquela clínica, e não apenas pelo profissional que acompanha você. Quem alcança o quê é definido pela clínica, no perfil de cada função. Dizemos isso com clareza porque é o ponto em que o alcance real do sistema é mais amplo do que a intuição sugere.

8. Processamento automatizado e inteligência artificial

A Plataforma usa processamento automatizado, incluindo inteligência artificial, em três situações — todas dentro da área da equipe clínica, e nenhuma delas oferecida ao paciente para autoavaliação: a leitura do exame em PDF, a análise do exame já extraído e a sugestão de diagnóstico pedida pelo profissional. A seção 12 dos Termos de Uso (/termos.html) descreve cada uma.

Para a leitura do exame, o arquivo e os seus dados de identificação — nome, CPF e data de nascimento — são enviados ao serviço de processamento nomeado na seção 6, que se apoia em modelo de inteligência artificial do Google. O tratamento ocorre fora do Brasil (seção 10).

O que a inteligência artificial produz é rascunho, não laudo. Nenhuma decisão sobre o seu cuidado, o seu diagnóstico ou o seu tratamento é tomada exclusivamente por meio automatizado: o texto só entra no prontuário se o profissional de saúde o revisar e assumir, e é ele quem responde pela conduta. Quando o resultado exige conferência humana, a Plataforma o marca como pendente de revisão.

A soma de pontos de um questionário não é inteligência artificial: é cálculo aritmético segundo o critério que o profissional configurou, apresentado a ele para interpretação.

Não usamos dados de pacientes para treinar modelos de inteligência artificial, próprios ou de terceiros, e exigimos o mesmo compromisso dos fornecedores contratados.

Esses recursos podem estar desligados na clínica em que você é atendido, conforme o que ela contratou. Cada uso fica registrado com quem pediu, quando e o resultado devolvido.

9. Teleconsulta: o que é tratado na sala de consulta online

A sala de consulta online é operada pelo fornecedor nomeado na seção 6, e a conexão é criptografada. O consentimento para a teleconsulta está na seção A.2.1 dos Termos de Uso (/termos.html), aceito junto com esta Política.

A Plataforma não grava áudio nem vídeo da consulta, não a transmite ao vivo e não gera transcrição nem legenda automática: os três recursos são desabilitados no acesso à sala, para todos os participantes, inclusive o profissional.

Durante a chamada, a sala oferece conversa por texto (chat) e compartilhamento de tela. Nenhum dos dois é armazenado por nós: o que for escrito no chat desaparece com o fim da consulta.

O que fica guardado da teleconsulta é o que o profissional anotar: a identificação dele e a sua, a data e a hora, e o conteúdo clínico do atendimento. Isso integra o seu prontuário, e a clínica tem a obrigação legal de guardá-lo por, no mínimo, 20 anos.

Para participar da consulta, o aplicativo precisa da sua permissão de câmera e de microfone, que você pode revogar a qualquer momento nas configurações do aparelho.

10. Seus dados vão para fora do Brasil?

Sim. Parte do tratamento ocorre fora do Brasil, nos casos abaixo, e apenas eles:

• a leitura do exame, a análise e a sugestão de diagnóstico, que se apoiam em modelo de inteligência artificial do Google (seção 8);
• a sala de consulta online, operada pela 8x8, enquanto a chamada acontece (seção 9);
• a entrega das notificações push, pelo Firebase Cloud Messaging, do Google (seção 6);
• a hospedagem da aplicação, do banco de dados e dos arquivos que você envia, e a entrega dos e-mails da Plataforma, na Amazon Web Services (AWS), em região dos Estados Unidos. Isso alcança todo o conteúdo da Plataforma em repouso, inclusive o prontuário e os exames anexados.

Nessas transferências exigimos dos fornecedores garantias contratuais de proteção equivalentes às da LGPD, nos termos dos seus arts. 33 a 35, incluindo o compromisso de não usar os dados para finalidade própria nem para treinar modelos.

A Resolução CFM nº 2.314/2022, no art. 17, recomenda servidores nacionais para dados de telemedicina. A arquitetura atual não atende a essa recomendação, e a justificativa fica documentada e à disposição da clínica e da autoridade.

11. Como protegemos seus dados

• Criptografia em trânsito (HTTPS/TLS) em todo o acesso à Plataforma.
• Senha guardada de forma cifrada e não reversível: nem a nossa equipe consegue lê-la.
• Acesso controlado por perfil e por vínculo: cada usuário alcança apenas os pacientes e as informações que o seu perfil, na clínica em que está vinculado, autoriza.
• Separação entre clínicas, de modo que nenhuma acesse o histórico clínico de outra.
• Registro do aceite, do pedido de exclusão, da autoria de cada registro clínico e do uso dos recursos de inteligência artificial (seção 12).
• Obrigação de sigilo para toda a nossa equipe, inclusive após o desligamento, e acesso a dados de produção apenas quando necessário para sustentar a operação.

Também dizemos o que não temos, porque contar com uma proteção que não existe é pior do que saber que ela falta:

• A Plataforma não utiliza autenticação em dois fatores. O acesso é feito por credencial nominal.
• A sessão não expira sozinha por inatividade. Em computador ou aparelho compartilhado, encerre a sessão manualmente ao terminar.

12. O que registramos das suas ações

Esta seção descreve exatamente o que a Plataforma registra hoje. A seção 11 dos Termos de Uso (/termos.html) trata do mesmo assunto.

• Aceite destes documentos — identificação do usuário, nome, versão, data e hora, endereço IP e user agent.
• Pedido de exclusão de conta — identificação do usuário, clínicas escolhidas, versão do texto exibido, desfecho de cada clínica, data e hora, endereço IP e user agent.
• Registro clínico — cada atendimento identifica o profissional que o criou, com data e hora de criação e de última alteração.
• Respostas de questionário — cada preenchimento gera um registro próprio, com data, hora de início e hora de conclusão.
• Documentos e exames — a data do envio e o atendimento a que o arquivo se refere.
• Recursos de inteligência artificial — quem solicitou, quando, o modelo utilizado e o resultado devolvido.
• Registros técnicos de operação — endereço IP, data, hora, rota acessada e falhas do sistema.

13. Seus direitos

Os direitos que o art. 18 da LGPD assegura ao titular valem integralmente para você. O quadro abaixo traz os que mais aparecem no uso da Plataforma, e o que cada um significa na prática:

Para qualquer pedido sobre os seus dados, procure a clínica onde você é atendido. Ela avalia o pedido, resolve o que estiver sob seu controle e aciona a Plataforma quando for necessário. O exercício de direitos é gratuito.

O canal é a clínica porque ela é a controladora. A exclusão da conta é a exceção: nela, a própria interface mostra os seus vínculos a você, e o pedido é feito por você mesmo no aplicativo (seção 16).

Se a clínica onde você era atendido encerrou as atividades na Plataforma, os dados foram devolvidos a ela, que permanece responsável pela guarda do prontuário pelo prazo legal. Procure a instituição ou o profissional responsável técnico dela. Podemos informar a quem os dados foram entregues e quando.

O contato do nosso Encarregado de dados está na seção 18.

14. Consentimento: quando pedimos e o que acontece se você recusar

A maior parte do tratamento de dados de saúde na Plataforma não se funda em consentimento, e sim na tutela da saúde por profissional habilitado (LGPD, art. 11, II, f) e na obrigação legal de guarda do prontuário (art. 11, II, a). Isso é uma proteção sua: o seu cuidado não fica dependente de uma autorização que possa ser perdida, e ao mesmo tempo não podemos usar esses dados para outra finalidade a pretexto de você ter consentido.

O que depende da sua vontade, e você pode retirar a qualquer momento:

• o consentimento para teleconsulta (Termos de Uso, seção A.2.1) — você pode recusar o atendimento por vídeo e pedir atendimento presencial, sem prejuízo ao seu cuidado;
• as permissões do aparelho — câmera, microfone, notificações, arquivos e galeria —, revogáveis nas configurações do sistema, com efeito apenas sobre a funcionalidade correspondente;
• o seu vínculo com cada clínica e a sua conta, encerrados por você no aplicativo (seção 16).

O que continua mesmo depois de você revogar, e por quê:

• o seu acompanhamento clínico e os questionários do seu cuidado — fundam-se na tutela da saúde e nunca dependeram de consentimento;
• as suas respostas de questionário e os exames que enviou — integram o prontuário desde o registro e estão sujeitos à obrigação legal de guarda;
• o prontuário já produzido — a clínica é obrigada por lei a guardá-lo por, no mínimo, 20 anos;
• os registros de acesso e o próprio registro da sua revogação, que são a prova de que ela foi cumprida.

A revogação nunca bloqueia o seu acesso à Plataforma, ao seu histórico ou aos canais de contato.

15. O que fazemos se ocorrer um vazamento

• Adotamos medidas imediatas de contenção.
• Comunicamos a clínica ou consultório em até 24 horas da ciência do fato.
• Apoiamos a clínica, que é a controladora, na comunicação à ANPD e aos titulares, em prazo que lhe permita cumprir os próprios prazos legais.
• Comunicamos diretamente a ANPD e os titulares quando o incidente atingir dados dos quais somos controladora.
• Registramos o incidente e mantemos o registro por, no mínimo, 5 anos.

16. Encerramento da conta e do contrato

O encerramento é feito por clínica, por você mesmo no aplicativo, em Perfil › Excluir minha conta. A tela pede a sua senha, mostra as clínicas em que você tem vínculo e deixa você escolher de quais deseja sair. O encerramento em uma não afeta as demais. Se preferir, ou se não conseguir acessar o aplicativo, pode pedir o encerramento por escrito a suporte@totsaude.com.br, com os mesmos efeitos. A página /exclusao-de-conta.html explica os dois caminhos e pode ser consultada sem instalar o aplicativo.

Havendo qualquer atendimento registrado naquela clínica, o vínculo é inativado, e não excluído: o acesso ao aplicativo é encerrado, você deixa de receber comunicações, e o prontuário permanece sob guarda da clínica pelo prazo legal, acessível apenas à equipe clínica.

Permanecem ligados ao prontuário o seu nome, CPF e data de nascimento, e também os registros de aceite e de consentimento — os primeiros porque um prontuário que não identifica o paciente não cumpre sua função legal, e os segundos porque são a prova de que o consentimento foi colhido.

São eliminados, na clínica de que você sai: o seu endereço, os seus dados de cobrança e o vínculo com os profissionais que te atendiam. As suas avaliações de atendimento deixam de estar ligadas ao seu nome. Encerrados todos os seus vínculos, também são eliminados o seu telefone, o seu telefone de emergência e a sua foto de perfil. Não havendo nenhum atendimento registrado, a exclusão é completa desde logo.

A eliminação alcança os campos do seu cadastro. Menções a telefone ou endereço escritas dentro de um registro clínico integram o prontuário e não são editadas.

Passados os 20 anos a contar do último registro, a eliminação do prontuário deixa de encontrar obstáculo legal.

Documento e exame que você enviou podem ser removidos antes desse prazo pela equipe autorizada da clínica; você mesmo retira um arquivo da lista enquanto ainda está anexando, antes de enviar. A remoção apaga o arquivo e os resultados extraídos dele. Como o documento pode ser parte do que fundamentou uma conduta, e a guarda do prontuário é responsabilidade da clínica, confira antes de remover.

Se o contrato com a clínica encerrar: a Plataforma disponibiliza a exportação integral dos dados clínicos daquela clínica, em até 30 dias corridos. A responsabilidade pela guarda do prontuário é da clínica desde sempre; a exportação cumpre o nosso dever de devolução e não transfere responsabilidade.

17. Cookies e tecnologias semelhantes

A Plataforma não usa cookies de publicidade, de analytics ou de rastreamento, e não incorpora ferramentas de terceiros que acompanhem a sua navegação. Por isso não há banner de cookies a aceitar: tudo o que guardamos no seu navegador é estritamente necessário para o funcionamento.

No aplicativo móvel valem os mesmos itens, guardados no armazenamento da webview do aplicativo, e eliminados quando ele é desinstalado.

Você pode apagar esses dados a qualquer momento nas configurações do navegador ou do aparelho. Como o token de acesso está entre eles, apagá-los encerra a sua sessão e a Plataforma pedirá a senha de novo.

18. Nosso Encarregado de Dados (DPO)

O contato do Encarregado está publicamente acessível no site e no aplicativo, sem necessidade de login, como exige o art. 41, §1º da LGPD.

Pedidos sobre o seu atendimento devem ser dirigidos à clínica onde você é atendido, conforme a seção 13. Este canal existe para o que a clínica não puder resolver, para quem não tenha mais clínica ativa vinculada, e para reclamações sobre o tratamento dos seus dados pela Plataforma.

Se você não ficar satisfeito com a nossa resposta, pode reclamar à Autoridade Nacional de Proteção de Dados, em www.gov.br/anpd.

19. Atualizações desta Política

Esta Política e os Termos de Uso são versionados juntos: atualizar qualquer um dos dois cria uma versão nova de ambos, que entra em vigor na data que ela própria informa. O texto de uma versão que já vigorou não é alterado.

Não há aviso prévio. A tela de aceite dos dois documentos aparece quando a versão nova entra em vigor, e não antes dela: no seu primeiro acesso seguinte, antes de qualquer outra tela. A versão anterior continua publicada em endereço próprio, e o registro do seu aceite continua apontando para o texto que você leu na época.

Enquanto você não aceitar, a Plataforma não fica disponível para você. Seguem abertos, sem depender do aceite, as páginas públicas, os nossos canais de contato e o pedido de encerramento da conta por escrito ao suporte, como descreve a seção 16.

Se a alteração implicar novo tratamento de dados sensíveis ou nova finalidade não amparada pelas bases atuais, será colhido novo consentimento específico e destacado.