Política de Privacidade

Última atualização: 28 de agosto de 2026 · Versão 1.0

Aviso: este documento é um modelo e deve ser revisado por profissional jurídico e pelo Encarregado de Proteção de Dados antes de entrar em vigor. Os campos entre colchetes ([assim]) precisam ser preenchidos.

Esta Política descreve como a plataforma KobertoClin, um sistema de gestão para clínicas e consultórios médicos operado por [RAZÃO SOCIAL] (CNPJ [00.000.000/0000-00]), coleta, utiliza, compartilha e protege dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — "LGPD") e demais normas aplicáveis.

1. Papéis: controlador e operador

Os papéis variam conforme o tipo de dado:

Dados dos pacientes (agenda, prontuário, exames, financeiro do atendimento): a clínica cliente é a Controladora e a KobertoClin atua como Operadora, tratando os dados apenas para operar a plataforma e conforme as instruções da clínica.
Dados cadastrais da clínica e dos usuários do sistema (conta, login, permissões, dados de cobrança, logs de uso): a KobertoClin é a Controladora.

2. Dados que tratamos

Categoria	Exemplos	Origem
Dados da clínica	Razão social, CNPJ, endereço, telefone, e-mail, dados de contato	Fornecidos no cadastro
Dados dos usuários do sistema	Nome, e-mail, login, cargo/função, grupo de permissão, registros de acesso	Cadastrados pela clínica
Dados de pagamento	Identificador de cliente e de assinatura na Asaas, forma de pagamento, últimos 4 dígitos e bandeira do cartão, status de cobrança	Gerados na contratação (processados pela Asaas)
Dados de pacientes (inseridos pela clínica)	Identificação, contato, convênio, agendamentos, prontuário eletrônico, evolução, condutas, lançamentos financeiros	Inseridos pela clínica e seus profissionais
Dados técnicos e de uso	Endereço IP, data/hora de acesso, ações realizadas, cabeçalhos de requisição (com dados sensíveis mascarados), logs de erro e de auditoria	Coletados automaticamente

Não armazenamos o número completo, a validade ou o código de segurança do cartão de crédito. Esses dados trafegam de forma criptografada diretamente para a Asaas, responsável pelo processamento do pagamento.

3. Finalidades e bases legais

Finalidade	Base legal (LGPD)
Criar e manter a conta, autenticar usuários e controlar permissões	Execução de contrato (art. 7º, V)
Disponibilizar os módulos contratados e operar as funcionalidades	Execução de contrato (art. 7º, V)
Processar a assinatura recorrente e as cobranças	Execução de contrato (art. 7º, V) e cumprimento de obrigação legal/regulatória (art. 7º, II)
Prestar suporte técnico e comunicar avisos operacionais	Execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX)
Manter registros de auditoria e prevenir fraudes e acessos indevidos	Legítimo interesse (art. 7º, IX) e cumprimento de obrigação legal (art. 7º, II)
Tratar dados de pacientes para operar a plataforma	Instrução da clínica controladora; tutela da saúde (art. 11, II, "f") quando aplicável
Cumprir determinações de autoridades e exercer direitos em processo	Cumprimento de obrigação legal (art. 7º, II) e exercício regular de direitos (art. 7º, VI)
Enviar comunicações de marketing (quando houver)	Consentimento (art. 7º, I), revogável a qualquer tempo

4. Dados de saúde e sigilo

Dados de saúde são dados pessoais sensíveis e recebem proteção reforçada. A KobertoClin os trata exclusivamente como Operadora, sob instrução da clínica Controladora, para viabilizar o funcionamento do prontuário eletrônico, da agenda e dos módulos correlatos. O acesso interno é restrito ao pessoal estritamente necessário para operação e suporte, sujeito a dever de sigilo. A responsabilidade pelo conteúdo clínico e pelo sigilo profissional é da clínica e dos profissionais de saúde.

5. Compartilhamento

Compartilhamos dados apenas quando necessário e com salvaguardas contratuais:

Asaas — processamento de pagamentos e assinaturas recorrentes.
Provedores de infraestrutura e hospedagem — [provedor / região], para armazenamento e disponibilização da plataforma.
Provedores de serviços auxiliares — envio de e-mails transacionais, emissão de nota fiscal de serviço (NFS-e), quando aplicável.
Autoridades públicas — mediante requisição legal ou ordem judicial.
Operações societárias — em caso de fusão, aquisição ou reorganização, mediante comunicação e manutenção das obrigações desta Política.

Não vendemos dados pessoais e não os compartilhamos para publicidade de terceiros.

6. Cookies e registros de navegação

A plataforma utiliza cookies e tecnologias equivalentes estritamente necessários para autenticar a sessão, manter preferências de exibição e garantir a segurança. Registros de acesso e de requisição são mantidos nos termos do Marco Civil da Internet (Lei nº 12.965/2014). Cabeçalhos e campos sensíveis são mascarados nos logs.

7. Segurança da informação

Isolamento lógico dos dados de cada clínica (arquitetura multi-tenant com banco de dados por cliente).
Controle de acesso baseado em perfis e permissões, com o princípio do menor privilégio.
Criptografia em trânsito (HTTPS/TLS) e proteção de credenciais e segredos.
Registros de auditoria de alterações e de acessos.
Rotinas periódicas de backup.
Monitoramento e resposta a incidentes.

Nenhum sistema é totalmente imune a riscos. Trabalhamos continuamente para mitigar ameaças, mas não podemos garantir segurança absoluta.

8. Retenção e eliminação

Os dados de pacientes são mantidos enquanto durar a relação com a clínica. Encerrada a relação, ficam disponíveis para exportação por [30] dias e, após, são eliminados, ressalvada a guarda mínima exigida pela legislação médica (por exemplo, prontuários) e fiscal.
Os dados cadastrais e financeiros da clínica são retidos pelos prazos legais e prescricionais aplicáveis (por exemplo, obrigações fiscais e contábeis).
Os registros de acesso são mantidos pelo prazo mínimo legal.
Após os prazos, os dados são eliminados ou anonimizados de forma segura.

9. Direitos do titular

Nos termos do art. 18 da LGPD, o titular pode solicitar:

confirmação da existência de tratamento e acesso aos dados;
correção de dados incompletos, inexatos ou desatualizados;
anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
portabilidade a outro fornecedor, observados os segredos comercial e industrial;
informação sobre compartilhamentos;
revogação do consentimento, quando esta for a base legal.

Quando a clínica for a Controladora (dados de pacientes), os pedidos devem ser dirigidos à própria clínica; a KobertoClin dará o suporte técnico necessário. Para os dados de que a KobertoClin é Controladora, os pedidos podem ser feitos pelos canais da cláusula 12.

10. Transferência internacional

Caso provedores de infraestrutura ou serviços auxiliares estejam localizados fora do Brasil, a transferência ocorrerá apenas para países com grau adequado de proteção ou mediante garantias contratuais compatíveis com a LGPD (cláusulas-padrão, por exemplo). Infraestrutura atual: [provedor / país-região].

11. Incidentes de segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a KobertoClin comunicará a clínica afetada e, quando cabível, a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares, em prazo razoável, com as informações exigidas pelo art. 48 da LGPD.

12. Encarregado (DPO) e contato

Encarregado pelo Tratamento de Dados Pessoais: [nome do Encarregado]
E-mail: [dpo@kobertoclin.com.br]
Endereço para correspondência: [endereço]

13. Alterações desta Política

Esta Política pode ser atualizada a qualquer tempo. Alterações relevantes serão comunicadas por e-mail ou aviso na plataforma, com antecedência razoável. A versão vigente é sempre a publicada neste endereço, com a data de atualização no topo.