Política de Privacidade

01 Introdução e âmbito

A Soma Mais Tecnologia Ltda, inscrita no CNPJ sob o nº 56.419.474/0001-27 ("Soma Mais", "nós"), desenvolve e opera o Dr. Agenda+ — plataforma de gestão clínica e atendimento automatizado por inteligência artificial (a "Plataforma"), que inclui a recepcionista virtual Lívia, atuante em canais de mensagem como WhatsApp e Instagram.

Esta Política de Privacidade explica, de forma transparente, quais dados pessoais tratamos, por que tratamos, com quem compartilhamos, por quanto tempo guardamos e como você exerce os seus direitos. Ela se aplica a:

• Visitantes deste site (www.dragendamais.com.br) e de nossas páginas em redes sociais;
• Clientes e potenciais clientes — clínicas, consultórios, redes, hospitais e profissionais de saúde — e seus usuários autorizados;
• Pacientes atendidos por meio dos canais operados com a Plataforma pelas clínicas contratantes.

O tratamento de dados observa a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014 e Decreto nº 8.771/2016), o Código de Defesa do Consumidor (Lei nº 8.078/1990), o sigilo profissional em saúde e as demais normas aplicáveis.

Esta Política integra e complementa os nossos Termos de Uso. Ao utilizar a Plataforma, o site ou os nossos canais de atendimento, você declara ter lido e compreendido este documento.

02 Definições

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre saúde, vida sexual, dado genético ou biométrico, origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político.
• Titular: pessoa natural a quem se referem os dados pessoais.
• Controlador: quem toma as decisões sobre as finalidades e os meios do tratamento.
• Operador: quem realiza o tratamento em nome do Controlador e conforme suas instruções.
• Suboperador: terceiro contratado pelo Operador para auxiliar na execução do tratamento (por exemplo, provedores de nuvem).
• Tratamento: toda operação com dados pessoais — coleta, produção, recepção, classificação, uso, acesso, reprodução, transmissão, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração.
• Anonimização: uso de meios técnicos razoáveis que retiram do dado a possibilidade de associação a um indivíduo.
• Encarregado (DPO): pessoa indicada para atuar como canal de comunicação entre o Controlador, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).
• Cliente: clínica, consultório, rede, hospital ou profissional de saúde que contrata a Plataforma.
• Lívia: agente de atendimento por inteligência artificial que opera nos canais do Cliente.
• Plataforma: o conjunto de sistemas, painéis, integrações e agentes de IA do Dr. Agenda+.

03 Quem é o responsável pelo tratamento

A Plataforma Dr. Agenda+ é desenvolvida e operada por:

Para assuntos de proteção de dados, utilize os canais indicados na seção Encarregado (DPO) e contato.

04 Nossos papéis: quando somos Controlador e quando somos Operador

A LGPD atribui responsabilidades distintas conforme o papel exercido. Na operação do Dr. Agenda+, esses papéis são os seguintes:

Quando atuamos como Operador:

• A clínica Cliente define as finalidades do tratamento, é responsável por adotar as bases legais adequadas perante seus pacientes e por prestar as informações exigidas pela LGPD;
• A Soma Mais não utiliza dados de pacientes para finalidades próprias, não os comercializa e não os emprega em publicidade;
• Solicitações de titulares recebidas por nós são encaminhadas à clínica Controladora, a quem cabe a decisão, com o nosso suporte técnico para atendê-la.

05 Dados que tratamos

Tratamos apenas os dados necessários a cada finalidade, observando o princípio da necessidade (art. 6º, III, da LGPD).

5.1 Visitantes do site e leads comerciais

5.2 Clientes e usuários da Plataforma

5.3 Pacientes (tratados em nome da clínica)

06 Como obtemos os dados

• Fornecidos por você: formulários do site, conversas de WhatsApp e Instagram, e-mail, telefone, reuniões comerciais e uso da Plataforma.
• Gerados pelo uso: registros de acesso, logs de aplicação, dados de navegação e cookies.
• Fornecidos pelo Cliente: a clínica cadastra na Plataforma dados de seus profissionais, unidades, agendas e pacientes, inclusive por importação de sua base própria.
• Recebidos de terceiros: plataformas de mensageria e canais de atendimento (por exemplo, WhatsApp Business Platform e Instagram, ambos da Meta), que nos transmitem a mensagem e o identificador do remetente para viabilizar a resposta; e ferramentas de medição de audiência e anúncios, quando aplicável.

07 Finalidades e bases legais

Todo tratamento realizado está amparado em uma base legal do art. 7º (dados pessoais) ou do art. 11 (dados sensíveis) da LGPD:

Quando o tratamento se apoiar em legítimo interesse, realizamos avaliação prévia da adequação, necessidade e balanceamento com os direitos e liberdades do titular, adotando medidas para mitigar riscos. Você pode solicitar informações sobre essa avaliação pelos canais da seção 23 e opor-se ao tratamento.

08 Dados de saúde (dados pessoais sensíveis)

Dados de saúde recebem proteção reforçada. Quando tratados por meio da Plataforma, são coletados exclusivamente no contexto do atendimento prestado pela clínica e utilizados para viabilizar o agendamento e a continuidade do cuidado. Comprometemo-nos a:

• Não utilizar dados de saúde de pacientes para publicidade, perfilamento comercial, venda ou compartilhamento com terceiros não essenciais à prestação do serviço;
• Não comunicar nem compartilhar dados de saúde com operadoras de planos de saúde para fins de seleção de riscos ou de contratação e exclusão de beneficiários (vedação do art. 11, § 4º e § 5º, da LGPD);
• Não emitir diagnósticos, prescrições, laudos ou orientações clínicas por meio da IA;
• Restringir o acesso a esses dados ao mínimo necessário, com autenticação individual, controle por perfil e registro das operações realizadas;
• Manter isolamento lógico por clínica (arquitetura multi-tenant), de modo que os dados de uma clínica não sejam acessíveis a outra.

O sigilo profissional em saúde, previsto na legislação e nas normas dos conselhos de classe, é observado por nós e por nossa equipe, que atua sob obrigação contratual de confidencialidade.

09 Atendimento por inteligência artificial e decisões automatizadas

A Plataforma utiliza modelos de linguagem para interpretar a mensagem do paciente e produzir a resposta do atendimento. É importante que você saiba como isso funciona:

• Identificação da IA: a Lívia é um agente virtual e se identifica como tal quando questionada. O paciente pode, a qualquer momento, pedir para falar com um atendente humano.
• Dados reais, não inventados: a IA consulta em tempo real os dados operacionais da clínica (especialidades, profissionais, unidades, convênios e horários livres) por meio de interfaces controladas. Ela não é autorizada a criar informações que não constem do sistema.
• O que é enviado ao modelo: o conteúdo da conversa recente e os dados estritamente necessários à resposta. Adotamos janela de contexto limitada às mensagens recentes e evitamos trafegar identificadores técnicos e dados desnecessários.
• Uso para treinamento: não utilizamos o conteúdo das conversas de pacientes para treinar modelos de inteligência artificial próprios ou de terceiros. Contratamos os provedores de modelo em modalidades que vedam o uso dos dados enviados para treinamento.
• Supervisão humana: a clínica mantém acesso ao histórico e pode assumir a conversa a qualquer momento. Casos sensíveis, urgências, reclamações e situações fora do escopo administrativo são escalonados para pessoas.

10 Canais de terceiros (Meta, Google e outros)

O atendimento acontece dentro de plataformas de terceiros, que possuem políticas próprias de privacidade, às quais você também está sujeito ao usá-las:

• WhatsApp / WhatsApp Business Platform e Instagram (Meta Platforms) — transporte das mensagens entre o paciente e a clínica. Consulte a Política de Privacidade do WhatsApp e a Política de Privacidade do Instagram.
• Google Analytics — medição de audiência deste site. Consulte a Política de Privacidade do Google.

Não temos controle sobre o tratamento realizado por essas plataformas em suas próprias operações. Utilizamos as interfaces oficiais disponibilizadas por elas e respeitamos as respectivas políticas de uso, inclusive as regras de consentimento prévio (opt-in) e de janela de atendimento aplicáveis a mensagens comerciais.

Se você chegou a esta página a partir de uma revisão de aplicativo (Meta, Google ou equivalente), as instruções de exclusão de dados estão em www.dragendamais.com.br/exclusao-de-dados.html.

11 Compartilhamento de dados e suboperadores

Não vendemos dados pessoais e não os cedemos a terceiros para publicidade própria de terceiros. O compartilhamento ocorre apenas nas hipóteses abaixo, sempre limitado ao necessário e sob salvaguardas contratuais de confidencialidade e segurança:

Selecionamos suboperadores que demonstrem nível de proteção compatível com a LGPD e firmamos com eles instrumentos que impõem confidencialidade, restrição de finalidade, medidas de segurança e cooperação em incidentes.

12 Transferência internacional de dados

Alguns provedores de nuvem, mensageria e modelos de IA processam dados em servidores localizados fora do Brasil. Nesses casos, a transferência internacional observa as hipóteses e garantias do art. 33 da LGPD, especialmente cláusulas contratuais específicas ou padrão, compromissos de confidencialidade e medidas técnicas de segurança que assegurem nível de proteção compatível com a legislação brasileira. Você pode solicitar informações adicionais sobre essas garantias pelos canais da seção 23.

13 Cookies e tecnologias de rastreamento

Cookies são pequenos arquivos gravados no seu dispositivo. Neste site utilizamos as seguintes categorias:

Você pode bloquear ou apagar cookies nas configurações do seu navegador e, quando disponível, ajustar suas preferências no aviso de cookies do site. A desativação de cookies analíticos e de marketing não impede o uso do site. A Plataforma (área logada) utiliza apenas cookies e tokens necessários à autenticação e à segurança da sessão.

14 Comunicações e marketing

• Enviamos comunicações comerciais a leads e clientes por e-mail, WhatsApp ou telefone, com base em consentimento ou legítimo interesse, e sempre com opção de descadastro simples e gratuita.
• Respeitamos as regras das plataformas de mensagem quanto a opt-in prévio e à natureza da mensagem (utilidade, autenticação ou marketing).
• Nunca utilizamos dados de pacientes das clínicas Clientes para divulgar nossos próprios produtos, nem os incorporamos a listas de marketing.
• Para deixar de receber mensagens nossas, use o link de descadastro, responda "SAIR" no canal de mensagem ou escreva para contato@dragendamais.com.br.

15 Segurança da informação

Adotamos medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, entre elas:

• Autenticação e autorização: credenciais individuais, senhas armazenadas com hash, autenticação por tokens (JWT) e controle de acesso baseado em papéis.
• Isolamento multi-tenant: segregação lógica dos dados por clínica, aplicada na camada de acesso a dados.
• Criptografia: tráfego protegido por TLS/HTTPS e proteção dos dados em repouso conforme a infraestrutura utilizada.
• Menor privilégio: acesso da nossa equipe restrito ao estritamente necessário, formalmente autorizado e revisado periodicamente.
• Registro e monitoramento: logs estruturados de acesso e de operações relevantes, com retenção compatível com a legislação.
• Backups periódicos e procedimentos de recuperação.
• Governança: confidencialidade contratual para colaboradores e prestadores, e boas práticas de desenvolvimento seguro.

Nenhum sistema é integralmente imune a riscos. Trabalhamos continuamente para reduzi-los e contamos com a sua colaboração: mantenha suas credenciais em sigilo, use senhas fortes e não compartilhe acessos.

16 Incidentes de segurança

Mantemos procedimento interno de resposta a incidentes que contempla contenção, investigação, avaliação de risco, correção e registro. Caso ocorra incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados em prazo razoável, nos termos do art. 48 da LGPD e da regulamentação aplicável, informando a natureza dos dados envolvidos, os riscos e as medidas adotadas.

Quando atuarmos como Operador, comunicaremos o incidente à clínica Controladora sem demora injustificada, prestando as informações necessárias para que ela cumpra seus deveres legais.

Identificou uma vulnerabilidade? Escreva para contato@dragendamais.com.br com o assunto "Segurança". Analisamos toda comunicação recebida de boa-fé e agradecemos a divulgação responsável.

17 Retenção e eliminação

Mantemos os dados apenas pelo tempo necessário ao cumprimento das finalidades e dos prazos legais. Como referência:

Encerrado o tratamento, os dados são eliminados de forma segura ou anonimizados, ressalvadas as hipóteses do art. 16 da LGPD (obrigação legal, estudo por órgão de pesquisa com anonimização, transferência a terceiro com observância da lei, ou uso exclusivo do controlador com dados anonimizados). Dados presentes em backups são eliminados no ciclo natural de rotação das cópias.

18 Direitos do titular

Nos termos do art. 18 da LGPD, você pode, a qualquer momento e gratuitamente, solicitar:

1. Confirmação da existência de tratamento;
2. Acesso aos dados;
3. Correção de dados incompletos, inexatos ou desatualizados;
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
5. Portabilidade a outro fornecedor de serviço ou produto, mediante requisição expressa;
6. Eliminação dos dados tratados com base no consentimento;
7. Informação sobre entidades públicas e privadas com as quais compartilhamos dados;
8. Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
9. Revogação do consentimento, a qualquer momento;
10. Oposição a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento da LGPD;
11. Revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20).

Como exercer

Envie o pedido para contato@dragendamais.com.br (assunto: "LGPD — direitos do titular") ou pelo WhatsApp (11) 5170-0101. Para proteger você, poderemos solicitar informações adicionais que confirmem a sua identidade — usadas apenas para essa verificação. Respondemos em até 15 dias os pedidos de acesso e, nos demais casos, em prazo razoável, informando eventual necessidade de extensão.

19 Como excluir seus dados

Publicamos uma página dedicada, com o passo a passo, o que é excluído, o que precisa ser retido por lei e os prazos de execução:

• Instruções de exclusão de dados: www.dragendamais.com.br/exclusao-de-dados.html

Essa é também a URL de referência para os processos de revisão de aplicativos de plataformas como Meta e Google.

20 Crianças e adolescentes

O tratamento de dados de crianças e adolescentes é realizado em seu melhor interesse, nos termos do art. 14 da LGPD e do Estatuto da Criança e do Adolescente. Quando um agendamento envolver menor de idade, os dados são fornecidos por pai, mãe ou responsável legal, a quem cabe o consentimento específico e destacado exigido pela lei, sob responsabilidade da clínica Controladora.

• Não condicionamos a participação em atividades a fornecimento de dados além do necessário;
• Não direcionamos publicidade a crianças;
• A Plataforma, em sua área de gestão, destina-se exclusivamente a profissionais e maiores de 18 anos.

21 Boa conduta no uso dos dados e da ferramenta

A proteção de dados é uma responsabilidade compartilhada. Além das nossas obrigações, esperamos das clínicas Clientes e de seus usuários as seguintes práticas — que também constam dos Termos de Uso:

• Base legal e transparência: informar aos pacientes que o atendimento pode ser realizado por assistente virtual e manter política de privacidade própria acessível.
• Contas individuais: um login por pessoa. É vedado compartilhar credenciais entre membros da equipe.
• Necessidade: não inserir na Plataforma dados sensíveis desnecessários ao agendamento (por exemplo, laudos, imagens de exames ou prontuário detalhado em campos livres de conversa).
• Finalidade: usar os dados de pacientes apenas para o cuidado e a relação assistencial — nunca para marketing de terceiros, venda de listas ou fins alheios ao atendimento.
• Comunicação responsável: respeitar opt-in, horários adequados e as políticas das plataformas de mensagem; não utilizar os canais para disparos em massa não solicitados.
• Encerramento de acessos: revogar imediatamente o acesso de colaboradores desligados.
• Sigilo profissional: observar as normas dos conselhos de classe quanto ao sigilo e à publicidade em saúde.
• Comunicação de incidentes: avisar-nos imediatamente ao suspeitar de acesso indevido ou vazamento.

O descumprimento dessas práticas pode ensejar suspensão de acesso, nos termos dos Termos de Uso, e responsabilização do infrator perante a LGPD.

22 Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças legais, regulatórias, tecnológicas ou de produto. A versão vigente é sempre a publicada nesta página, com a data de última atualização indicada no topo. Alterações materiais serão comunicadas por meios razoáveis — como aviso na Plataforma ou e-mail aos Clientes — com antecedência sempre que possível. Recomendamos a consulta periódica a esta página.

23 Encarregado (DPO) e contato

Para exercer seus direitos, tirar dúvidas sobre esta Política ou comunicar um incidente, fale com o nosso Encarregado pela Proteção de Dados Pessoais:

Se não ficar satisfeito com a nossa resposta, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) pelos canais oficiais em gov.br/anpd, bem como aos órgãos de defesa do consumidor.