Esta política explica como o Gonio trata dados pessoais: os seus, como profissional que usa o Gonio, e os dos seus pacientes, que você registra aqui.
1. Quem é quem
- O Gonio é oferecido por [razão social], CNPJ [número], [endereço]. Chamamos de "nós".
- Para os dados da sua conta (seu nome, CPF, registro no CREFITO, e-mail e o uso do Gonio), nós somos o controlador.
- Para os dados dos seus pacientes, você é a controladora: é você quem decide o que registrar e para quê. Nós somos o operador: tratamos esses dados só para prestar o serviço, conforme as suas instruções (LGPD, art. 5º, VI e VII, e art. 39).
2. Que dados tratamos
- Da sua conta: nome, CPF, CREFITO, e-mail, fuso horário, preferências e o registro de entrada.
- Do seu uso do Gonio: que telas você abre e que funções usa (por exemplo, "criou um atendimento", "assinou uma ficha"), ligados ao identificador interno da sua conta, sem o seu nome nem o seu e-mail.
- Dos seus pacientes: cadastro (nome, CPF, data de nascimento, contatos, responsável legal), prontuário (fichas de avaliação, evoluções, anexos e fotos, estas só com o consentimento de imagem registrado), agenda, pagamentos e recibos.
- Histórico de acesso ao prontuário: quem abriu e quando. Fica no Brasil, com o prontuário.
- Registros de funcionamento do sistema: erros e tempo de resposta das telas, que não levam dado de paciente.
3. Para que usamos
Para prestar o serviço que você contratou: prontuário, agenda, conciliação dos recibos do Receita Saúde, aviso de pendências e suporte. E, com os registros de funcionamento e os dados de uso, para achar e corrigir falhas e melhorar o Gonio. Não vendemos dados, não usamos para publicidade e não usamos dados de pacientes para treinar inteligência artificial. A versão atual do Gonio não usa inteligência artificial.
4. Bases legais
- Dados de saúde dos pacientes: a tutela da saúde em procedimento feito por profissional de saúde (LGPD, art. 11, II, "f") e o cumprimento de obrigação legal, como a guarda do prontuário (Resolução COFFITO 414/2012). A base de cada tratamento é definida por você, como controladora.
- Dados da sua conta: a execução do contrato com você (LGPD, art. 7º, V).
- Dados de uso e registros de funcionamento do sistema: o legítimo interesse em manter o serviço funcionando e melhorá-lo (LGPD, art. 7º, IX). Eles não levam dado de paciente.
5. Onde os dados ficam e com quem compartilhamos
Os dados dos seus pacientes e da sua conta ficam no Brasil, na região de São Paulo. Os registros de funcionamento do sistema e os dados de uso, que não levam dado de paciente, ficam na União Europeia. Estes fornecedores tratam dados em nosso nome (suboperadores):
- Amazon Web Services (AWS), região São Paulo: o servidor, o banco de dados, os arquivos anexados, as cópias de segurança e o envio de e-mails. Os e-mails do Gonio não levam dado de paciente.
- Google (Google Agenda): só se você conectar a sua agenda. O Gonio envia a data, a hora e o título de cada atendimento, no formato que você escolhe (o padrão são as iniciais do paciente). O Google pode guardar esses dados fora do Brasil, conforme os termos dele.
- Magalu Cloud, no Brasil: uma segunda cópia de segurança, cifrada.
- Healthchecks.io: recebe só sinais de que as rotinas rodaram, sem nenhum dado pessoal.
- Sentry (Functional Software), na União Europeia: recebe os erros e o tempo de resposta do Gonio, para acharmos e corrigirmos falhas: a tela, o tipo do erro, o navegador e o sistema. Não recebe o seu IP, e o Gonio tira antes do envio o que você digita, as buscas e números como CPF e telefone. Não recebe dado de paciente.
- PostHog, na União Europeia: mede o uso do Gonio (que telas e funções são usadas, e o tipo de navegador e de aparelho), pelo identificador interno da sua conta, sem o seu nome nem o seu e-mail e sem cookie. O seu IP chega com a conexão e é descartado na chegada. Não recebe dado de paciente.
- O serviço de notificação do seu navegador (Google, Mozilla ou Apple): só se você ligar o aviso no navegador. Ele entrega a notificação, que vai cifrada de ponta a ponta: o serviço não consegue ler o texto. A notificação só conta pendências, sem nome de paciente.
A ida dos registros de funcionamento e dos dados de uso para a União Europeia se apoia na adequação do nível de proteção de dados de lá, reconhecida pela ANPD (LGPD, art. 33, I). O Sentry e o PostHog são empresas dos Estados Unidos: elas guardam esses dados na União Europeia, mas podem acessá-los de lá para prestar o serviço, sob os contratos de proteção de dados que temos com elas, que seguem as regras europeias para levar dados aos Estados Unidos.
A Receita Federal não recebe nada do Gonio: o arquivo de emissão em lote é você quem envia, no Carnê-Leão Web.
6. Acesso da equipe do Gonio
A equipe do Gonio não lê os dados dos seus pacientes, a não ser que você permita, num pedido de suporte, por até 72 horas (até o horário que aparece quando você permite). Você pode revogar a qualquer momento, e a permissão também acaba quando a equipe encerra o pedido (resolvido ou recusado). A equipe só lê: nunca altera prontuário nem dado fiscal.
Para responder, a equipe lê a conversa do pedido e abre os arquivos que você anexa a um pedido, sem precisar dessa permissão. Por isso, não anexe dado de paciente sem precisar. A equipe só entra na sua conta por um pedido aberto, ou encerrado há até 7 dias.
Com a permissão, a lista de pacientes mostra à equipe só as iniciais. Cada vez que a equipe abre o prontuário de um paciente, uma ficha ou uma evolução, e cada download de arquivo pela equipe (um anexo do prontuário ou um arquivo que você anexou a um pedido), fica registrado e aparece para você em Conta e privacidade › Quem acessou seus dados, com a data e o pedido. Se um dia for preciso acessar o banco de dados diretamente (restauração ou incidente), o acesso fica no nosso registro interno de operações, com quem, quando e o motivo, e avisamos você. Se pedir, informamos o que foi feito.
7. Segurança
- Conexão cifrada (HTTPS) e dados cifrados no disco e nas cópias de segurança.
- Cada conta é isolada das outras no próprio banco de dados.
- Arquivos só abrem por link temporário, e sempre como download.
- Nenhum dado de paciente vai para os registros de funcionamento do sistema, os e-mails ou os avisos.
8. Por quanto tempo guardamos
- Prontuário: no mínimo 5 anos a contar do último registro de cada paciente (Resolução COFFITO 414/2012). Por isso, um registro de prontuário não pode ser apagado pelo Gonio.
- Conta cancelada: você tem 90 dias para exportar os dados. Depois disso, eles continuam guardados até o fim da guarda do prontuário e então são apagados.
- Cópias de segurança: a cópia mensal é guardada por 5 anos e 1 mês; as outras, por até 35 dias.
- Registros de funcionamento do sistema (Sentry): 30 dias.
- Dados de uso (PostHog): 1 ano.
9. Seus direitos
- Você, como profissional, pode ver, corrigir e exportar os dados da sua conta a qualquer momento (Conta e privacidade › Exportar seus dados) e pedir o cancelamento da conta.
- Seus pacientes exercem os direitos deles com você, que é a controladora. Nós ajudamos no que depender do sistema. Um pedido de exclusão de prontuário dentro do prazo de guarda é recusado, com a explicação (LGPD, art. 16, I).
10. Cookies
O Gonio usa só o cookie da sua sessão, necessário para você entrar. Não usamos cookies de publicidade nem de análise de navegação. A medição de uso (PostHog, seção 5) funciona sem cookie e sem guardar nada no seu navegador.
11. Contato e encarregado
Encarregado pelo tratamento de dados: [nome], [e-mail]. Você também pode escrever pelo suporte, em Falar com a gente.
12. Mudanças nesta política
Se esta política mudar, avisamos por e-mail com 30 dias de antecedência.