Política de Privacidade — MedSimples

Art. 1º — Introdução e Controlador

1.1. A MedSimples Soluções LTDA, inscrita no CNPJ sob o nº 52.009.979/0001-62, com sede na Rua Jose Pires Neto, 314, bloco A, cj 91, CEP 13.025-170, Cambui, Campinas - SP, atua como controladora dos dados pessoais tratados no âmbito das Plataformas, nos termos do art. 5º, VI, da LGPD.

1.2. Em determinadas situações específicas de cada Plataforma, a MedSimples poderá atuar como operadora de dados pessoais em nome de clínicas, Profissionais de Saúde, operadoras de planos de saúde ou outros Contratantes pessoa jurídica, nos termos do Art. 4º desta Política e dos Anexos aplicáveis.

Art. 2º — Definições

• "Dado Pessoal": informação relacionada a pessoa natural identificada ou identificável (art. 5º, I, LGPD).
• "Dado Pessoal Sensível": dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico (art. 5º, II, LGPD).
• "Titular": pessoa natural a quem se referem os dados pessoais objeto de tratamento.
• "Tratamento": toda operação realizada com dados pessoais, como coleta, uso, acesso, armazenamento, eliminação e compartilhamento.
• "Controlador": a quem competem as decisões referentes ao tratamento de dados pessoais.
• "Operador": quem realiza o tratamento de dados pessoais em nome do controlador.
• "Encarregado" ou "DPO": pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).

Art. 3º — Âmbito de Aplicação, Estrutura e Ordem de Prevalência

3.1. Esta Política aplica-se ao tratamento de dados pessoais de Usuários, pacientes, Profissionais de Saúde, clínicas, operadoras e demais pessoas cujos dados sejam tratados por meio de qualquer uma das Plataformas.

3.2. O documento é estruturado em duas partes: a Parte I contém disposições gerais, comuns a todas as Plataformas; a Parte II contém disposições específicas de cada Plataforma (Anexos I, II e III).

3.3. Em caso de conflito entre uma disposição da Parte I e uma disposição do Anexo aplicável a determinada Plataforma, prevalecerá, para as questões específicas daquela Plataforma, a disposição do respectivo Anexo, por constituir norma mais específica.

3.4. Esta Política complementa e deve ser lida em conjunto com o Termo de Uso unificado das Plataformas.

Art. 4º — Papéis no Tratamento: Controladora e Operadora de Dados

4.1. A MedSimples atua como controladora dos dados pessoais relacionados ao cadastro, à autenticação e ao uso das Plataformas pelos próprios Usuários (Profissionais de Saúde, clínicas, operadoras e demais Contratantes), determinando as finalidades e os meios desse tratamento.

4.2. Quando uma Plataforma disponibilizar funcionalidades que permitam a Profissionais de Saúde ou a clínicas credenciadas registrar dados pessoais de pacientes — tais como prontuário eletrônico, histórico de atendimento ou dados clínicos inseridos no curso da prestação de serviços de saúde —, a MedSimples atua como operadora desses dados de pacientes, tratando-os exclusivamente em nome e sob instruções do Profissional de Saúde ou da clínica, que figura como controlador independente perante o paciente.

4.3. Nessa qualidade de operadora, a MedSimples:

• (i) não decide sobre as finalidades ou os meios do tratamento dos dados do paciente, atuando apenas sob instrução do controlador;
• (ii) aplica a esses dados as mesmas medidas técnicas e organizacionais de segurança previstas no Art. 11º;
• (iii) não responde por decisões de tratamento tomadas de forma autônoma pelo Profissional de Saúde ou pela clínica controladora; e
• (iv) auxilia, no que for tecnicamente possível, o atendimento de solicitações de titulares (pacientes) encaminhadas por meio do Profissional de Saúde ou da clínica controladora.

4.4. Cabe ao Profissional de Saúde ou à clínica credenciada, na qualidade de controlador dos dados de seus pacientes, fornecer a estes o aviso de privacidade próprio, identificar as bases legais aplicáveis e responder, em primeira linha, pelas obrigações da LGPD relativas a esses dados perante os respectivos titulares.

4.5. As disposições específicas de cada Plataforma, nos Anexos aplicáveis, detalham as hipóteses em que a MedSimples atua como operadora, especialmente na Plataforma MedSimples Credenciamento (Anexo III).

Art. 5º — Origem dos Dados

5.1. A maior parte dos dados pessoais tratados pela MedSimples é fornecida diretamente pelo próprio Titular, no momento do cadastro ou do uso das funcionalidades das Plataformas.

5.2. A MedSimples também pode receber dados pessoais de terceiros nas seguintes hipóteses:

• (i) de operadoras de planos de saúde e clínicas credenciadas, no contexto do processo de credenciamento;
• (ii) de empresas Contratantes, quanto aos dados necessários à gestão do vínculo de seus profissionais ou colaboradores com as Plataformas; e
• (iii) de órgãos públicos e autoridades competentes, para cumprimento de obrigações legais e regulatórias.

5.3. Os dados recebidos de terceiros são tratados exclusivamente para as finalidades descritas nesta Política e sujeitam-se às mesmas medidas de proteção aplicáveis aos dados coletados diretamente do Titular.

Art. 6º — Categorias Gerais de Dados Coletados

Independentemente da Plataforma utilizada, a MedSimples poderá coletar as seguintes categorias gerais de dados, detalhadas e complementadas nos Anexos:

• dados de identificação e cadastro: nome completo, CPF, e-mail, telefone e, quando aplicável, registro profissional (CRM ou equivalente) ou dados da pessoa jurídica (CNPJ, razão social);
• dados coletados automaticamente: endereço IP, informações do dispositivo e navegador, dados de navegação e uso da Plataforma, logs de acesso e atividades no sistema;
• cookies e tecnologias similares, nos termos do Art. 10º;
• dados inseridos voluntariamente pelo Usuário no uso de funcionalidades das Plataformas, cujo detalhamento consta dos Anexos aplicáveis.

Art. 7º — Finalidades Gerais do Tratamento

Os dados pessoais são tratados, entre outras finalidades detalhadas nos Anexos, para:

• viabilizar o cadastro, a identificação e a autenticação do Usuário nas Plataformas;
• prestar, operar, manter e aprimorar as funcionalidades das Plataformas;
• fornecer suporte técnico e atendimento ao cliente;
• prevenir fraudes e garantir a segurança das Plataformas e de seus Usuários;
• cumprir obrigações legais e regulatórias aplicáveis;
• enviar comunicações operacionais sobre o serviço e, mediante consentimento específico quando exigido por lei, comunicações de marketing;
• produzir estatísticas de uso, preferencialmente de forma agregada ou anonimizada.

Art. 8º — Bases Legais

O tratamento de dados pessoais pela MedSimples fundamenta-se, conforme o caso, nas seguintes bases legais previstas nos arts. 7º e 11 da LGPD:

• execução de contrato ou de procedimentos preliminares relacionados a contrato do qual o Titular seja parte;
• cumprimento de obrigação legal ou regulatória pelo controlador;
• tutela da saúde, em procedimento realizado por profissionais de saúde ou por entidades sanitárias, quando aplicável a dados de saúde;
• legítimo interesse da MedSimples, observados os direitos e liberdades fundamentais do Titular, para finalidades como segurança, prevenção a fraudes e melhoria das Plataformas;
• consentimento do Titular, quando aplicável a finalidades específicas, podendo ser revogado a qualquer momento.

Art. 9º — Compartilhamento de Dados

9.1. A MedSimples nunca vende dados pessoais de seus Usuários a terceiros. Os dados pessoais podem ser compartilhados nas seguintes situações, detalhadas nos Anexos aplicáveis:

• com prestadores de serviços terceirizados (infraestrutura, hospedagem, analytics, meios de pagamento), sob contratos de confidencialidade e instruções específicas de tratamento;
• com clínicas, Profissionais de Saúde ou operadoras de planos de saúde, quando estritamente necessário à prestação do serviço solicitado pelo Usuário;
• com autoridades competentes, quando exigido por lei, regulamento ou ordem judicial;
• em caso de fusão, aquisição, reorganização societária ou venda de ativos da MedSimples, mediante notificação prévia aos Titulares afetados, quando exigível.

9.2. A MedSimples não compartilha dados de saúde ou outras categorias de dados pessoais sensíveis com terceiros para fins de publicidade, tampouco permite segmentação publicitária baseada nesses dados.

Art. 10º — Cookies e Tecnologias Similares

10.1. As Plataformas utilizam cookies e tecnologias similares para viabilizar funcionalidades essenciais, melhorar a experiência do Usuário, analisar o uso da Plataforma e, quando aplicável, personalizar conteúdo.

10.2. O Usuário pode gerenciar suas preferências de cookies por meio das configurações do navegador ou do dispositivo utilizado, ciente de que a desativação de determinados cookies pode limitar funcionalidades das Plataformas.

Art. 11º — Segurança da Informação

A MedSimples adota medidas técnicas e organizacionais para proteger os dados pessoais contra acesso não autorizado e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, incluindo, entre outras:

• criptografia de dados em trânsito e em repouso;
• controles de acesso e, quando aplicável, autenticação multifator;
• monitoramento contínuo de segurança e registro de operações (logs);
• backups regulares e planos de recuperação de dados;
• treinamento periódico da equipe em segurança da informação e proteção de dados.

11.2. Nenhum sistema é absolutamente seguro. Em caso de incidente relevante, aplica-se o disposto no Art. 17º desta Política.

11.3. Sem prejuízo das medidas gerais acima, a MedSimples poderá adotar camadas adicionais de proteção especificamente para dados de saúde e demais dados pessoais sensíveis, tais como segregação lógica entre dados clínicos e demais categorias de dados, controle de acesso reforçado por perfil de usuário e registro de auditoria específico para acessos a esses dados.

Art. 12º — Retenção e Eliminação de Dados

12.1. A MedSimples mantém os dados pessoais apenas pelo tempo necessário ao cumprimento das finalidades descritas nesta Política, ao exercício regular de direitos em processo judicial, administrativo ou arbitral, e ao cumprimento de obrigações legais e regulatórias.

12.2. Prazos de retenção específicos por categoria de dado e por Plataforma constam dos Anexos aplicáveis. Encerrada a necessidade de tratamento, os dados serão eliminados ou anonimizados, ressalvadas as hipóteses de guarda obrigatória previstas em lei (art. 16, LGPD).

12.3. Sem prejuízo dos prazos específicos indicados nos Anexos, contas inativas (assim consideradas aquelas sem acesso ou uso das Plataformas pelo período de 3 (três) anos) poderão ter seus dados pessoais eliminados ou anonimizados, ressalvadas as hipóteses de guarda obrigatória previstas em lei, desde que o Titular não se manifeste em sentido contrário quando contatado pela MedSimples.

Art. 13º — Transferência Internacional de Dados

13.1. Os dados pessoais tratados pela MedSimples são processados prioritariamente no Brasil. Caso seja necessária transferência internacional de dados, a MedSimples adotará as salvaguardas exigidas pelos arts. 33 e seguintes da LGPD, incluindo, quando aplicável, cláusulas contratuais específicas com o destinatário.

Art. 14º — Direitos do Titular

Nos termos do art. 18 da LGPD, o Titular pode solicitar, a qualquer momento:

• confirmação da existência de tratamento e acesso aos seus dados pessoais;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• portabilidade dos dados a outro fornecedor de serviço ou produto, observada a regulamentação da ANPD;
• eliminação dos dados pessoais tratados com base no consentimento, ressalvadas as hipóteses legais de guarda;
• informação sobre as entidades públicas e privadas com as quais a MedSimples compartilhou dados;
• informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• revogação do consentimento previamente fornecido;
• oposição ao tratamento realizado com fundamento em legítimo interesse, incluindo o direito de se opor, a qualquer momento e sem custo, a comunicações de marketing direto, mediante solicitação ao Encarregado ou pelos mecanismos de descadastramento (opt-out) disponibilizados nas próprias comunicações;
• revisão de decisões tomadas unicamente com base em tratamento automatizado, quando aplicável, nos termos do Art. 15º.

14.2. As solicitações serão atendidas nos prazos e formas previstos na LGPD e na regulamentação da ANPD, por meio dos canais indicados no Art. 20º.

14.3. Para proteção do próprio Titular contra acessos não autorizados, a MedSimples poderá adotar procedimentos de verificação de identidade do solicitante antes de atender a pedidos relacionados a dados pessoais, sempre que houver dúvida razoável quanto à identidade de quem os formula.

Art. 15º — Tomada de Decisões Automatizadas

15.1. A MedSimples não realiza, atualmente, tratamento de dados pessoais que resulte em decisões tomadas unicamente com base em processos automatizados e que produzam efeitos jurídicos ou impacto significativo sobre o Titular.

15.2. Caso a MedSimples venha a adotar, no futuro, funcionalidades de inteligência artificial ou automação que impliquem tomada de decisão automatizada com efeitos sobre os Titulares, tal uso será previamente informado nesta Política, observados os princípios de finalidade, necessidade, transparência e não discriminação, e o Titular poderá, nos termos do art. 20 da LGPD, solicitar a revisão da decisão por pessoa natural, pelos canais indicados no Art. 20º.

Art. 16º — Dados de Menores de Idade

16.1. O cadastro e o uso das Plataformas por menores de 18 (dezoito) anos somente são admitidos quando realizados e geridos por pais ou responsáveis legais, nos termos do Termo de Uso, e o tratamento de dados pessoais de menores observará o disposto no art. 14 da LGPD, com consentimento específico e em destaque do responsável legal.

16.2. A MedSimples não solicita, de forma deliberada, dados pessoais de menores além do estritamente necessário à prestação do serviço contratado pelo responsável legal.

Art. 17º — Incidentes de Segurança

17.1. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos Titulares, a MedSimples notificará a Autoridade Nacional de Proteção de Dados (ANPD) e os Titulares afetados em prazo razoável, observado o art. 48 da LGPD, envidando esforços para comunicar Usuários e Contratantes impactados em até 2 (dois) dias úteis a contar da ciência do incidente.

17.2. A comunicação de incidente conterá, no mínimo, a descrição da natureza dos dados afetados, as medidas técnicas e de segurança adotadas, os riscos relacionados ao incidente e as medidas que serão adotadas para reverter ou mitigar seus efeitos.

Art. 18º — Disposições Gerais

18.1. Responsabilidade do Usuário. O Usuário responde pelos danos causados à MedSimples ou a terceiros em decorrência de violação desta Política, do uso indevido das Plataformas ou do fornecimento de dados falsos, incompletos ou de terceiros sem autorização.

18.2. Cooperação com Autoridades. A MedSimples cooperará com autoridades públicas e órgãos do Poder Judiciário, fornecendo as informações legalmente exigidas para fins de investigação, fiscalização ou cumprimento de decisão judicial.

18.3. Sites e Serviços de Terceiros. Esta Política aplica-se exclusivamente ao tratamento de dados realizado no âmbito das Plataformas. Eventuais links para sites, aplicativos ou serviços de terceiros não são de responsabilidade da MedSimples, que recomenda a leitura das políticas de privacidade próprias de tais terceiros antes do fornecimento de dados pessoais a eles.

Art. 19º — Alterações desta Política

19.1. Esta Política pode ser atualizada periodicamente. Alterações materiais serão comunicadas aos Usuários por meio das Plataformas ou por e-mail, com indicação clara da data de atualização no topo do documento.

Art. 20º — Encarregado de Dados (DPO) e Canais de Contato

20.1. Para exercer seus direitos ou tratar de assuntos relacionados a dados pessoais, o Titular pode contatar o Encarregado pelo Tratamento de Dados Pessoais (DPO) da MedSimples:

• E-mail: dpo@medsimples.com.br
• Endereço: Rua Jose Pires Neto, 314, bloco A, cj 91, CEP 13.025-170, Cambui, Campinas - SP
• Horário de atendimento: segunda a sexta, das 9h às 17h

20.2. Canais de contato adicionais específicos de cada Plataforma, quando existentes, constam do respectivo Anexo.

Anexo I — MedSimples Core (Plataforma Geral de Gestão em Saúde)

1. Dados Coletados

Além das categorias gerais do Art. 6º da Parte I, esta Plataforma trata, em especial:

• dados de agendamento: datas, horários, tipo de consulta ou procedimento, Profissional de Saúde ou clínica selecionada;
• dados de saúde (dados pessoais sensíveis, art. 5º, II, LGPD): histórico de consultas, informações de prontuário eletrônico quando aplicável, dados inseridos pelo paciente ou pelo Profissional de Saúde no curso do atendimento, incluindo eventual telemedicina;
• dados financeiros e de faturamento: informações de pagamento, faturas e dados necessários à gestão financeira do plano ou serviço contratado;
• dados de credenciamento junto a operadoras, quando o Usuário utilizar essa funcionalidade diretamente por meio desta Plataforma.

2. Finalidades Específicas

Os dados acima são tratados, adicionalmente às finalidades gerais do Art. 7º da Parte I, para: viabilizar o agendamento e a realização de consultas e procedimentos, inclusive por telemedicina; processar faturamento e cobranças; e apoiar o processo de credenciamento junto a operadoras de planos de saúde.

3. Base Legal Específica

O tratamento de dados de saúde nesta Plataforma fundamenta-se, em especial, na tutela da saúde (art. 11, II, "f", LGPD), em procedimento realizado por Profissionais de Saúde, além das demais bases legais aplicáveis do Art. 8º da Parte I.

4. Retenção Específica

Dados de prontuário eletrônico e de atendimento, quando tratados por esta Plataforma, são mantidos pelo prazo mínimo de 20 (vinte) anos, conforme a Lei nº 13.787/2018 (Lei do Prontuário Eletrônico). Dados financeiros seguem os prazos exigidos pela legislação fiscal aplicável.

Anexo II — MedSimples Pro (Plataforma para Médicos com apoio à Decisão Clínica)

1. Controlador

A MedSimples Soluções LTDA, na qualidade de controladora de dados pessoais, trata as informações de Usuários da plataforma MedSimples Pro em conformidade com esta Política e com a LGPD.

2. Dados Coletados

• dados de cadastro, fornecidos por meio do acesso único MedSimples: nome completo, CPF, registro profissional (CRM), e-mail e informações do perfil profissional que o Usuário optar por preencher;
• dados de uso e analytics: interações com telas e recursos, informações técnicas do dispositivo e do navegador, registros de acesso (logs) exigidos pela legislação;
• dados que o Usuário insere voluntariamente ao usar recursos do aplicativo, como publicações na comunidade, agenda e ferramentas financeiras.

2.2. O Serviço não se destina ao armazenamento de dados pessoais de pacientes; a MedSimples recomenda que Profissionais de Saúde não insiram tais dados em campos de texto livre do MedSimples Pro.

3. Finalidades Específicas

• identificar e autenticar o Usuário e verificar sua habilitação profissional junto ao respectivo conselho de classe;
• prestar, operar, manter e aprimorar as funcionalidades do Serviço;
• produzir estatísticas de uso, preferencialmente de forma agregada ou anonimizada.

4. Compartilhamento Específico

Além das hipóteses gerais do Art. 9º da Parte I, dados do MedSimples Pro podem ser compartilhados com parceiros de serviços específicos apenas quando o Usuário solicitar o serviço correspondente, mediante aviso próprio no fluxo respectivo.

5. Retenção Específica

Os dados pessoais são mantidos pelo tempo necessário ao cumprimento das finalidades desta Política, ao exercício regular de direitos e ao atendimento de obrigações legais, incluindo o prazo mínimo legal de guarda de registros de acesso.

Anexo III — MedSimples Hub (Plataforma de Credenciamento)

1. Dados Coletados

1.1 Dados fornecidos pelo Usuário:

• nome completo e dados de identificação, CPF e documentos de identidade;
• endereço de e-mail e telefone; informações profissionais e cargo;
• dados da clínica ou operadora (CNPJ, razão social, entre outros);
• documentos necessários ao processo de credenciamento.

1.2 Dados coletados automaticamente: endereço IP e informações do dispositivo; dados de navegação e uso da Plataforma; cookies e tecnologias similares; logs de acesso e atividades no sistema.

2. Dados de Pacientes Tratados por Clínicas Credenciadas

Caso a funcionalidade de prontuário eletrônico disponibilizada nesta Plataforma trate dados pessoais de pacientes das clínicas credenciadas, tais dados — incluindo eventuais dados de saúde (dados pessoais sensíveis) — são tratados pela MedSimples na qualidade de operadora, nos termos do Art. 4º da Parte I, em nome e sob instruções da clínica credenciada (controladora desses dados), aplicando-se as medidas de segurança do Art. 11º da Parte I e os prazos de guarda de prontuário eletrônico previstos na Lei nº 13.787/2018.

3. Como Usamos os Dados

• processar e gerenciar solicitações de credenciamento;
• facilitar a comunicação entre clínicas e operadoras;
• verificar identidade e validar documentos;
• fornecer suporte técnico e atendimento ao cliente;
• cumprir obrigações legais e regulamentares; prevenir fraudes e garantir a segurança da Plataforma.

4. Compartilhamento Específico

Além das hipóteses gerais do Art. 9º da Parte I, os dados desta Plataforma podem ser compartilhados com operadoras de planos de saúde durante o processo de credenciamento, estritamente para essa finalidade.

5. Retenção Específica