Política de Privacidade
Esta política explica quais dados pessoais tratamos, para quê, com quem compartilhamos, por quanto tempo guardamos e como você exerce os seus direitos, de acordo com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD).
1. Quem somos
A GMB-INFORMATICA LTDA (nome fantasia Gestor Centro Médico), CNPJ 01.821.775/0001-90, com sede na Rua Rio das Flores, s/nº, Quadra 7, Lote 9 – Sobrado, Boa Esperança, Seropédica/RJ, CEP 23890-001, desenvolve e mantém:
- o site
gestorcm.com.br; - o GestorCM, o canal de mensagens entre cada clínica e os seus pacientes, oferecido às clínicas como serviço (endereço
chat.gestorcm.com.br), incluindo as integrações opcionais com WhatsApp, Instagram e o aplicativo da clínica.
2. A quem esta política se aplica e qual é o nosso papel
| Situação | Quem decide sobre os dados (controlador) | Nosso papel |
|---|---|---|
| Você visita o site ou pede uma demonstração | GMB-INFORMATICA LTDA | Controladora |
| Você é paciente e conversa com uma clínica pelo GestorCM, pelo WhatsApp ou pelo Instagram da clínica | A clínica com quem você conversa | Operadora: tratamos os dados em nome da clínica e segundo as instruções dela |
| Você faz parte da equipe de uma clínica que usa o GestorCM | A clínica | Operadora |
| Você é cliente (a clínica contratante) | GMB-INFORMATICA LTDA, para os dados do contrato | Controladora |
Se você é paciente, a clínica é a principal responsável pelos seus dados e é a ela que você deve se dirigir em primeiro lugar. Nós ajudamos a clínica a atender o seu pedido e também atendemos diretamente pelo contato do item 14.
3. Quais dados tratamos
3.1 Visitantes do site
- Nome, telefone, e-mail e mensagem que você preenche no formulário de contato.
- Dados técnicos de navegação necessários para o site funcionar (endereço IP, tipo de navegador).
- O formulário usa o Google reCAPTCHA para barrar robôs; o Google recebe dados técnicos do seu navegador para fazer essa verificação.
3.2 Equipe da clínica (usuários do GestorCM)
- Nome, e-mail, telefone, CPF e foto (opcional).
- Cargo, setor, unidade em que atende e perfil de acesso.
- Registros de acesso: data e hora de entrada e saída, endereço IP e ações realizadas no sistema (auditoria).
3.3 Pacientes
Dependendo de como a clínica configura o GestorCM, podemos tratar:
- Cadastro: nome, CPF, telefone, e-mail e foto de perfil (opcional). Na entrada direta pelo site da clínica, o cadastro pode conter apenas o nome.
- Conversas: o conteúdo das mensagens trocadas com a clínica — textos, fotos, áudios, documentos, localização e contatos que você decidir enviar —, a data e hora de cada mensagem, e se ela foi lida, editada ou apagada. Quando uma mensagem é editada, o texto anterior é mantido cifrado como registro e não é exibido em nenhuma tela.
- Unidade da clínica escolhida para o atendimento.
- Login com Google (se você escolher usá-lo): nome, e-mail e o identificador da sua conta Google.
- Aplicativo da clínica (se a clínica contratar essa integração): o aplicativo da clínica nos envia nome, CPF, telefone e e-mail para abrir o seu acesso.
- Aparelho lembrado: na entrada direta, um identificador guardado no seu navegador para reconhecer o aparelho sem senha (ver item 10).
As conversas podem conter dados de saúde, que a LGPD considera dados sensíveis. Por isso eles recebem as proteções do item 8.
3.4 Dados recebidos do WhatsApp e do Instagram
Quando a clínica ativa a integração com o WhatsApp ou com o Instagram e você envia uma mensagem para a clínica por esses aplicativos, recebemos, por meio das ferramentas oficiais de conexão:
- WhatsApp: seu número de telefone, o nome do seu perfil e o conteúdo das mensagens e arquivos que você enviar para a clínica.
- Instagram: o identificador que a Meta atribui a você naquela conta da clínica, seu nome, seu nome de usuário (@), sua foto de perfil e o conteúdo das mensagens e arquivos que você enviar para a clínica pelo Direct.
Na primeira mensagem, criamos um cadastro com esses dados para que a clínica possa responder pelo GestorCM. A resposta da clínica é entregue a você pelo mesmo aplicativo.
Usamos esses dados exclusivamente para entregar e registrar a conversa entre você e a clínica. Não os usamos para publicidade, não traçamos perfil, não os vendemos, não os cruzamos com dados de outras clínicas e não os usamos para treinar inteligência artificial. Não enviamos mensagens que você não tenha pedido: pelo Instagram, a clínica só responde a quem escreveu para ela.
A Meta (empresa responsável pelo WhatsApp e pelo Instagram) trata esses dados também segundo as políticas de privacidade dela.
3.5 Dados técnicos e de segurança (todos os usuários)
- Endereço IP, data e hora de acesso e tentativas de login (para bloquear tentativas repetidas de adivinhar senhas).
- Cookies e armazenamento do navegador necessários ao funcionamento (item 10).
4. Para que usamos os dados e com qual base legal
| Finalidade | Base legal (LGPD) |
|---|---|
| Responder a quem pede contato ou demonstração pelo site | Procedimentos preliminares a contrato (art. 7º, V) e legítimo interesse (art. 7º, IX) |
| Prestar o serviço de mensagens às clínicas contratantes | Execução de contrato (art. 7º, V) |
| Entregar e registrar as conversas entre paciente e clínica, inclusive as que contêm dados de saúde | Conforme definido pela clínica controladora — em geral, tutela da saúde (art. 11, II, "f") e exercício regular de direitos (art. 11, II, "d") |
| Autenticar usuários, impedir acesso indevido e manter registros de auditoria | Legítimo interesse (art. 7º, IX), prevenção à fraude e segurança do titular (art. 11, II, "g") e cumprimento de obrigação legal (art. 7º, II — Marco Civil da Internet, art. 15) |
| Enviar e-mails de definição de senha e avisos de segurança | Execução de contrato (art. 7º, V) |
| Enviar informações comerciais | Consentimento (art. 7º, I), que pode ser revogado a qualquer momento |
Não tomamos decisões automatizadas sobre você. O único envio automático do sistema é a pergunta sobre qual unidade da clínica deve atender você, quando a clínica tem mais de uma.
5. Com quem compartilhamos
Não vendemos nem alugamos dados pessoais. Compartilhamos apenas o necessário com:
| Quem | Para quê |
|---|---|
| A clínica com quem você conversa | É ela quem atende você e controla os dados da conversa |
| Provedor de hospedagem (servidores no Brasil, em São Paulo) | Armazenar e processar os dados do sistema |
| Meta Platforms (WhatsApp e Instagram) | Entregar as mensagens, somente quando a clínica ativa essas integrações |
| Login com Google (se você escolher) e reCAPTCHA no formulário do site | |
| Provedor de envio de e-mail | Enviar links de definição de senha e avisos |
| Redes de distribuição de conteúdo (fontes e ícones das telas) | Exibir as telas; recebem apenas dados técnicos do navegador |
| Aplicativo da clínica | Somente quando a clínica contrata essa integração |
| Autoridades públicas | Quando exigido por lei ou ordem judicial |
Esses parceiros só podem usar os dados para a finalidade descrita.
6. Transferência internacional
Nossos servidores ficam no Brasil. Alguns parceiros — Meta (WhatsApp e Instagram) e Google — podem processar dados em servidores fora do Brasil. Essas transferências ocorrem para cumprir o serviço que você ou a clínica escolheram usar (art. 33 da LGPD), e esses parceiros adotam salvaguardas próprias de proteção de dados.
7. O que não fazemos
- Não vendemos dados pessoais.
- Não usamos o conteúdo das conversas para publicidade nem para criar perfis.
- Não usamos dados de pacientes para treinar inteligência artificial.
- Não compartilhamos dados de uma clínica com outra: cada clínica tem um banco de dados próprio e isolado.
- Não lemos as conversas, exceto quando indispensável para suporte técnico solicitado pela clínica ou por obrigação legal.
8. Como protegemos os dados
- Cifra: telefone, e-mail, CPF e o conteúdo das mensagens são gravados cifrados (AES-256).
- Senhas nunca são guardadas em texto: usamos um resumo irreversível (Argon2id). Ninguém da nossa equipe consegue ver a sua senha.
- Arquivos (fotos, áudios, documentos) ficam fora da área pública do servidor e só são entregues a quem participa da conversa, depois de conferido o acesso.
- Isolamento: um banco de dados separado para cada clínica.
- Acesso por perfil: cada pessoa da equipe vê apenas o que o seu perfil, setor e unidade permitem.
- Sessões expiram após 30 minutos sem uso; tentativas repetidas de senha bloqueiam o acesso temporariamente.
- Conexão cifrada (HTTPS) em todas as páginas.
- Auditoria das ações importantes (acessos, exclusões, alterações de cadastro).
Nenhum sistema é totalmente imune a incidentes. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante, comunicaremos a clínica, os titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD), conforme a lei.
9. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Contatos recebidos pelo site | Até 2 anos após o último contato, ou até você pedir a exclusão |
| Cadastros e conversas da clínica | Enquanto a clínica mantiver o contrato. Ao término, os dados são devolvidos à clínica ou eliminados, conforme o contrato, ressalvados os prazos legais |
| Registros de acesso (login, logout, tentativas negadas) | 1 ano |
| Demais registros de auditoria (alterações e exclusões) | 5 anos |
| Cópia técnica das mensagens no servidor de conexão do WhatsApp | Até 3 dias |
| Cópias de segurança | Por tempo limitado, com a mesma proteção dos dados originais |
Mensagens apagadas deixam de ser exibidas imediatamente e o seu conteúdo permanece cifrado e inacessível pelas telas até a eliminação dos dados da conversa. A exclusão definitiva pode ser pedida a qualquer momento (item 13).
10. Cookies e armazenamento no navegador
Usamos apenas o necessário para o funcionamento e a segurança. Não usamos cookies de publicidade nem ferramentas de análise de terceiros.
| Nome / tipo | Para quê | Duração |
|---|---|---|
ci_session |
Manter você conectado | Até sair ou 30 min sem uso |
csrf_cookie_name |
Proteger os formulários contra ataques | Sessão |
gestorcm_aparelho |
Reconhecer o aparelho na entrada direta, sem senha (só no navegador onde você entrou) | Cerca de 1 ano, renovado a cada uso; removido ao usar "Sair deste aparelho" |
| Armazenamento local do navegador | Lembrar preferências, como tema claro/escuro e filtros da tela | Até você limpar os dados do navegador |
| Google reCAPTCHA (no site) | Diferenciar pessoas de robôs no formulário de contato | Definido pelo Google |
Você pode apagar os cookies pelas configurações do navegador, mas isso pode desconectar você ou impedir o uso do sistema.
11. Crianças e adolescentes
O GestorCM é usado por clínicas para falar com os seus pacientes, que podem incluir crianças e adolescentes. Nesses casos, o tratamento é feito no melhor interesse do menor, e cabe à clínica obter o consentimento do responsável legal quando a lei exigir (art. 14 da LGPD).
12. Seus direitos
A LGPD (art. 18) garante a você:
- confirmar se tratamos seus dados e acessá-los;
- corrigir dados incompletos, inexatos ou desatualizados;
- pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- pedir a portabilidade dos dados a outro fornecedor;
- pedir a eliminação dos dados tratados com o seu consentimento;
- saber com quem compartilhamos os seus dados;
- saber que pode não dar o consentimento e quais as consequências;
- revogar o consentimento a qualquer momento;
- reclamar à ANPD (Autoridade Nacional de Proteção de Dados —
gov.br/anpd).
Se você é paciente, pode fazer o pedido diretamente à clínica ou a nós. Respondemos em até 15 dias. Podemos pedir uma confirmação de identidade antes de atender, para proteger os seus dados de pedidos feitos por outra pessoa.
13. Exclusão de dados
As instruções completas para pedir a exclusão dos seus dados — inclusive dos dados recebidos pelo WhatsApp e pelo Instagram — estão em gestorcm.com.br/exclusao-de-dados.
14. Encarregado de Proteção de Dados (DPO)
Gésio Macedo Braga
E-mail: gesiobraga@gmail.com
É o canal para exercer os seus direitos, tirar dúvidas sobre esta política ou comunicar qualquer problema relacionado aos seus dados.
15. Alterações desta política
Esta política pode ser atualizada para refletir mudanças no serviço ou na lei. A data da última atualização aparece no topo. Mudanças relevantes serão comunicadas às clínicas contratantes.