Política de Privacidade

• Dados de pacientes (cadastros e conversas): a clínica é a controladora, porque decide quais dados registrar e para quê. A NextStep é a operadora: trata esses dados apenas para prestar o serviço, seguindo as instruções da clínica.
• Dados das contas de acesso (a equipe da clínica), dados técnicos de uso e as aplicações preenchidas no site: a NextStep é a controladora.

Se você é paciente de uma clínica que usa o Acelerador Médico, faça seus pedidos sobre seus dados à própria clínica. Nós ajudamos a clínica a atendê-los.

• Equipe da clínica: nome, e-mail, perfil de acesso, senha (guardada apenas como um código irreversível), data do último acesso e o registro das ações feitas no sistema.
• Pacientes: nome, telefone, etapa do atendimento, etiquetas, anotações, informações adicionais que a clínica decidir registrar (como o plano de saúde) e as mensagens trocadas com a clínica pelo WhatsApp, inclusive imagens, áudios e documentos.
• Conta do WhatsApp Business da clínica, recebida da Meta quando a clínica conecta o número: identificadores da conta e do número, número exibido, nome verificado e um código de acesso (token) que permite enviar e receber mensagens em nome da clínica. Esse código fica guardado criptografado.
• Quem preenche uma aplicação no site: as respostas do formulário, como nome, WhatsApp, cidade e dados da clínica, guardadas à medida que você responde, mesmo que a aplicação não chegue a ser enviada, e dados da visita: o endereço da página, até onde a aplicação foi preenchida, o endereço IP, o navegador e os identificadores das ferramentas de medição.
• Dados técnicos: endereço IP, data e hora de acesso e tipo de navegador, usados para a segurança do sistema e, na página de aplicação, para medir as visitas (até onde cada uma chegou) e separar as de robôs.

As conversas e anotações podem conter informações de saúde, que a LGPD considera dados sensíveis. A clínica deve registrar apenas o necessário e ter base legal para isso, como a tutela da saúde por profissionais de saúde (LGPD, art. 11, II, “f”).

No sistema, usamos apenas os cookies necessários para manter você conectado e proteger os formulários.

Em todas as páginas do site, como a página inicial, a página de aplicação, a base de conhecimento, o blog, os termos e esta política, usamos ferramentas de medição e de publicidade de outras empresas, como Google Analytics, Pixel da Meta e Microsoft Clarity. Elas rastreiam dados de quem visita essas páginas, como o anúncio de origem, os cliques e a navegação, o endereço IP e dados do aparelho e do navegador, por meio de cookies e identificadores. Usamos esses dados para medir as visitas e os resultados dos nossos anúncios. O site também guarda no seu navegador, por até 30 dias, o anúncio de origem da visita, que segue com as respostas da aplicação. Você pode bloquear ou apagar esses cookies e dados nas configurações do seu navegador.

• Prestar o serviço: organizar os pacientes, enviar e receber mensagens pelo WhatsApp, fazer transmissões e usar os modelos de mensagem que a clínica escolher.
• Conectar os sistemas e os assistentes de IA que a clínica escolher, como o site da clínica, a agenda, o Claude ou o ChatGPT: entregar a eles os dados que pedirem, dentro das permissões que a clínica marcou, e registrar cada leitura e cada ação que fizerem.
• Manter o sistema seguro: login, prevenção de abusos, registros de auditoria e cópias de segurança.
• Falar com a clínica sobre a conta: convites, redefinição de senha e avisos sobre o serviço.
• Avaliar as aplicações preenchidas no site, inclusive as que não foram enviadas, e falar com quem as preencheu.
• Medir as visitas ao site e os resultados dos nossos anúncios.
• Cumprir obrigações legais e ordens de autoridades.

Quando somos controladores, tratamos os dados para executar o contrato com a clínica e avaliar as aplicações que o antecedem (LGPD, art. 7º, V), por legítimo interesse na segurança do serviço e na divulgação do Acelerador Médico (art. 7º, IX) e para cumprir obrigações legais (art. 7º, II).

Não vendemos dados pessoais, e os dados guardados no sistema nunca são usados para publicidade. O sistema só envia mensagens aos pacientes quando a clínica as envia, agenda ou configura uma automação.

• Meta (Plataforma WhatsApp Business): as mensagens entre a clínica e os pacientes passam pelos servidores da Meta, que as trata segundo os próprios termos e política de privacidade. A Meta cobra da clínica, diretamente, pelas conversas.
• WhatsApp, para avisar a nossa equipe: as respostas de cada aplicação preenchida no site, enviada ou não, chegam à nossa equipe numa mensagem de WhatsApp, que passa pelos servidores da Meta.
• Meta e Google, para medir os anúncios: quando uma aplicação enviada está no perfil das vagas, avisamos a Meta e o Google dessa conversão, pelas ferramentas da página. À Meta, o aviso também sai do nosso servidor, com o WhatsApp e o nome codificados (em hash), o endereço IP, o navegador e os identificadores de anúncio da visita, para relacionar a aplicação ao anúncio de origem.
• Sistemas e assistentes de IA conectados pela clínica: quando a clínica cria uma chave de API ou conecta um assistente de IA (como o Claude, da Anthropic, ou o ChatGPT, da OpenAI), os dados que eles pedirem, inclusive mensagens e informações de saúde dos pacientes, saem do Acelerador Médico para eles, por instrução da clínica. Cada empresa trata esses dados segundo os próprios termos e o contrato dela com a clínica, inclusive fora do Brasil. Só donos e administradores conectam um assistente, e a clínica pode desconectá-lo a qualquer momento em Configurações › Integrações.
• Prestadores de infraestrutura: hospedagem do servidor, proteção e entrega do site (Cloudflare), monitoramento de erros do sistema (Sentry) e envio de e-mails. Eles tratam os dados apenas para nos prestar esses serviços.
• Ferramentas de medição e de publicidade do site, citadas na seção 2: recebem os dados de quem visita as páginas do site e os tratam também segundo as próprias políticas de privacidade.
• Autoridades públicas, quando a lei ou uma ordem judicial exigir.

Alguns desses prestadores, como o Google, a Meta, a Cloudflare e a Sentry, podem processar dados fora do Brasil. Essas transferências seguem as regras do art. 33 da LGPD.

• Os dados da clínica e dos seus pacientes ficam guardados enquanto a clínica usar o serviço.
• Quando a clínica encerra o contrato ou pede a exclusão, apagamos os dados dela, inclusive os arquivos de mídia. As cópias de segurança são substituídas em até 14 dias.
• As aplicações preenchidas no site, enviadas ou não, ficam guardadas enquanto servirem para falar com quem as preencheu, ou até a pessoa pedir a exclusão.
• Registros de acesso e de auditoria podem ser mantidos pelo prazo que a lei exigir, como o do Marco Civil da Internet.

• Todo acesso ao sistema usa conexão criptografada (HTTPS).
• Os dados de cada clínica ficam isolados: uma clínica não vê os dados de outra.
• Senhas são guardadas de forma irreversível, e os códigos de acesso do WhatsApp, criptografados.
• O acesso da equipe da NextStep é restrito, protegido por verificação em duas etapas e registrado.
• Fazemos cópias de segurança diárias.

Nenhum sistema é imune a falhas. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante, avisaremos as clínicas afetadas e a Autoridade Nacional de Proteção de Dados (ANPD), como determina a LGPD.

A LGPD garante a você, entre outros, o direito de:

• confirmar se tratamos seus dados e ter acesso a eles;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desacordo com a lei;
• pedir a portabilidade dos seus dados;
• saber com quem compartilhamos seus dados;
• revogar o consentimento, quando ele for a base do tratamento, e se opor a tratamentos irregulares.

Pacientes devem fazer o pedido à clínica. Equipes, clínicas e quem preencheu uma aplicação podem escrever para [email protected]. Respondemos em até 15 dias. Você também pode apresentar reclamação à ANPD.

O Acelerador Médico usa o login da Meta apenas para que a clínica autorize o acesso à própria conta do WhatsApp Business. Não guardamos dados do seu perfil pessoal do Facebook.

• Para desconectar: remova o aplicativo em Configurações do Facebook → Integrações comerciais. A partir daí, o sistema deixa de acessar a conta do WhatsApp Business da clínica.
• Pedidos de exclusão feitos pelo Facebook recebem um código de confirmação, mostrado na nossa página de exclusão de dados.
• Para apagar todos os dados de uma clínica, o responsável pela clínica escreve para [email protected]. Se quiser, enviamos antes uma cópia dos dados.

O Acelerador Médico é usado pela equipe das clínicas e não se destina a menores de idade. Ao registrar dados de pacientes crianças ou adolescentes, a clínica deve agir no melhor interesse deles e com a base legal adequada, como o consentimento de um dos pais ou do responsável (LGPD, art. 14).

Podemos atualizar esta política. A versão em vigor fica sempre nesta página, com a data da última atualização. Mudanças relevantes serão avisadas às clínicas com antecedência.

O encarregado pelo tratamento de dados pessoais da NextStep atende pelo e-mail [email protected]. Veja também os Termos de Uso.