Política de Privacidade

1. Quem somos e alcance desta Política

O SurgFlow é uma plataforma de gestão da prática cirúrgica disponibilizada pela Vion Health Tech LTDA, inscrita no CNPJ sob o nº 66.879.287/0001-80 ("SurgFlow" ou "nós").

Esta Política de Privacidade explica quais dados pessoais tratamos, por que e com base em quais hipóteses legais, com quem os compartilhamos, por quanto tempo os guardamos, como os protegemos e como os titulares podem exercer os seus direitos, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, "LGPD").

Ela se aplica:

• à Plataforma, acessível em app.surgflow.com.br, usada por cirurgiões e pelos membros das suas Equipes;
• ao portal do paciente, aberto pelo link individual que o profissional envia ao Paciente;
• ao site institucional surgflow.com.br, inclusive ao seu formulário de contato.

Esta Política integra os Termos de Uso. Os termos iniciados por letra maiúscula, como Plataforma, Usuário, Contratante, Equipe, Paciente e Dados de Pacientes, têm o significado definido nos Termos de Uso.

2. Papéis no tratamento de dados

A LGPD distingue o controlador, a quem competem as decisões sobre o tratamento de dados pessoais, do operador, que realiza o tratamento em nome do controlador. No SurgFlow, esses papéis se dividem assim:

• Dados de Pacientes e registros da prática profissional: o cirurgião e, quando for o caso, a clínica a que ele se vincula são os controladores, pois decidem quais dados registrar e com qual finalidade. A Vion Health Tech LTDA atua como operadora: trata esses dados em nome do controlador, segundo as instruções dadas pelo contrato, pelos Termos de Uso e pelas configurações escolhidas na Plataforma, e apenas para prestar o serviço (art. 39 da LGPD). O mesmo vale para os dados de outras pessoas registradas pelos Usuários, como auxiliares, médicos encaminhadores e fornecedores.
• Dados de Usuários e de cobrança: a Vion Health Tech LTDA é a controladora dos dados de cadastro, autenticação, auditoria e cobrança dos Usuários e do Contratante, dos registros de acesso à Plataforma e ao portal do paciente, dos registros de aceite dos Termos de Uso e dos dados enviados pelo formulário de contato do site.

Quando uma Equipe reúne vários cirurgiões, ou quando uma clínica organiza várias Equipes, cabe a eles definir entre si quem decide sobre cada conjunto de dados. O SurgFlow segue os papéis, as permissões e as delegações que eles configurarem na Plataforma.

Se você é Paciente e quer saber como os seus dados são usados, corrigi-los ou exercer outro direito, procure diretamente o seu médico ou a clínica que o atende, que são os responsáveis pelos seus dados. Se preferir, escreva para o canal da seção 15: encaminharemos o pedido ao controlador e daremos o apoio técnico necessário ao atendimento.

3. Dados que tratamos

Tratamos apenas os dados necessários às funcionalidades da Plataforma. A tabela resume os dados por categoria de titular e a sua origem.

3.1. Dados de saúde

Os registros de Pacientes incluem dados pessoais sensíveis referentes à saúde, como: histórico médico, medicamentos em uso e alergias; diagnóstico e código CID; procedimentos e os seus códigos TUSS e SIGTAP; lateralidade, via de acesso e tipos de anestesia e de internação; exames e avaliações pré-operatórios, necessidade de UTI e reserva de sangue; materiais especiais (OPME); dados trans-operatórios, como porte, duração, sangramento, transfusões, achados e intercorrências; dados pós-operatórios, como alta, dias de internação e de UTI, complicações, readmissão e reintervenção; descrições cirúrgicas; documentos médicos, como solicitações de exames e de cirurgia, laudos, guias SADT e atestados; e termos de consentimento livre e esclarecido (TCLE). Até o simples registro de que alguém é paciente de determinado cirurgião revela informação de saúde e recebe a mesma proteção.

3.2. Dados financeiros

A Plataforma registra honorários da equipe cirúrgica e repasses a auxiliares; faturamento por convênio, SUS e particular, com valores previstos, cobrados e recebidos, glosas e os seus motivos e números de guia; pagamentos recebidos e comprovantes; orçamentos enviados a Pacientes; despesas do profissional ou da clínica, com fornecedores e comprovantes; e extratos e demonstrativos importados para reconciliação, como arquivos de convênios e extratos bancários nos formatos OFX, CSV, planilha, PDF ou imagem, cujas linhas podem conter nomes de Pacientes e de pagadores e valores. O SurgFlow não recebe nem armazena dados de cartão de pagamento.

3.3. Dados coletados automaticamente

• Sessões: endereço IP, identificação do navegador e horário da última atividade de cada sessão.
• Trilhas de auditoria: autor, ação, data e hora, endereço IP e navegador de ações relevantes, como login, alterações em cadastros de Pacientes, cirurgias e consultas, impressão e compartilhamento de documentos, troca de senha e de e-mail, exportações e mudanças de papéis e permissões. Para garantir a rastreabilidade, a trilha pode guardar os valores anteriores e posteriores dos campos alterados e uma cópia do registro excluído.
• Registros técnicos da aplicação, inclusive das tentativas de login malsucedidas, com o e-mail digitado, o endereço IP e o navegador.
• Aceite dos Termos de Uso: data e hora, endereço IP, navegador, versão e cópia do título e do texto aceitos.
• Portal do paciente: data e endereço IP do último uso do link e, no aceite dos termos do portal, data e hora, endereço IP, navegador e cópia do texto aceito.

4. Finalidades e bases legais

Não vendemos dados pessoais, não usamos Dados de Pacientes para publicidade e não os tratamos para finalidades próprias alheias à prestação do serviço.

4.1. O papel do TCLE

O termo de consentimento livre e esclarecido (TCLE) é o documento pelo qual o Paciente, depois de informado sobre o procedimento, os seus riscos e as alternativas, concorda com a sua realização, conforme as normas éticas da medicina. Ele não se confunde com a base legal do tratamento de dados: o tratamento de dados de saúde pelo profissional se apoia, em regra, na tutela da saúde (art. 11, II, "f", da LGPD), que não depende de consentimento. Por isso, assinar o TCLE não equivale a consentir com o tratamento de dados, e desistir do procedimento não elimina, por si só, o dever de guardar os registros já produzidos.

Na Plataforma, o profissional mantém modelos de TCLE, emite o termo de cada Paciente com os dados de identificação, o procedimento, o CID e as complicações possíveis, insere a imagem da sua assinatura e pode disponibilizá-lo ao Paciente pelo portal, por link ou por mensagem. O SurgFlow gera e guarda o PDF e registra a emissão e cada compartilhamento, mas não colhe o consentimento em nome do profissional. O conteúdo clínico do TCLE é de responsabilidade exclusiva do profissional.

5. Inteligência artificial e leitura de documentos

Algumas funcionalidades enviam conteúdo a provedores externos de inteligência artificial para ler documentos e estruturar informações. O envio acontece apenas quando o Usuário aciona a funcionalidade:

• Cadastro de Paciente por foto: a imagem de carteirinha de convênio, RG, CNH ou pedido médico é lida para extrair dados cadastrais, como nome, CPF, data de nascimento, contato e convênio.
• Descrição cirúrgica: a imagem da descrição é lida para extrair procedimentos, equipe e horários.
• Demonstrativos e extratos: os arquivos importados na reconciliação são lidos para identificar Pacientes, procedimentos e valores pagos ou glosados.

O provedor principal é o gateway de inteligência artificial da Lovable, que repassa a requisição ao modelo de IA configurado. Na leitura de demonstrativos e extratos, se o provedor principal falhar, a requisição pode ser repassada a provedores de contingência: Google (Gemini), Anthropic (Claude) e OpenAI. Quando a Equipe configura credenciais próprias de reconhecimento de texto do Google (Cloud Vision ou Gemini), as imagens correspondentes são enviadas a esse provedor.

As imagens enviadas para cadastro de Paciente e para descrição cirúrgica são apagadas do armazenamento da Plataforma ao fim do processamento, e o resultado da leitura fica registrado para conferência. Os arquivos de demonstrativos e extratos ficam guardados com a importação, para permitir conferir a reconciliação. Os resultados são sugestões sujeitas a erro e devem ser conferidos pelo Usuário antes de salvos ou usados.

Cada envio se limita aos dados necessários para a tarefa solicitada, e cada provedor trata esses dados conforme os termos e as políticas que regem o uso da sua API.

6. Dados obtidos do Google (Google Calendar)

A integração com o Google Calendar é opcional. Ela só é ativada quando o próprio Usuário conecta a sua conta Google na página de perfil e autoriza o acesso na tela de consentimento do Google.

6.1. Dados acessados

• Permissões solicitadas: calendar.events, para criar, alterar e excluir eventos e ler os eventos da agenda escolhida, e calendar.calendarlist.readonly, para ler a lista de agendas.
• Lista de agendas: usada apenas para o Usuário escolher em qual agenda os eventos serão sincronizados.
• Eventos da agenda escolhida: lidos para identificar mudanças de horário e cancelamentos feitos no Google nos eventos que a própria Plataforma criou. Eventos que não foram criados pelo SurgFlow são ignorados e não são armazenados.
• Dados guardados na Plataforma: os tokens de acesso emitidos pelo Google, a agenda escolhida e os identificadores dos eventos criados.

6.2. Como usamos

• Criar, atualizar e excluir na agenda escolhida os eventos das consultas e cirurgias do Usuário, com os dados descritos na seção 7.3.
• Levar para a Plataforma as mudanças de data, horário e cancelamento que o Usuário fizer no Google nesses eventos.
• Receber avisos do Google sobre alterações na agenda escolhida, para manter a sincronização em dia.

6.3. Armazenamento, compartilhamento e desconexão

• Os tokens de acesso são guardados criptografados.
• Os dados obtidos do Google são usados apenas para a sincronização descrita acima. Eles não são vendidos, não são usados para publicidade e não são compartilhados com terceiros, salvo quando necessário para prestar essa funcionalidade, cumprir obrigação legal ou proteger a segurança da Plataforma.
• A equipe do SurgFlow não lê esses dados, exceto com autorização do Usuário, para investigar problemas de segurança ou abuso, ou para cumprir a lei.
• O Usuário pode desconectar a integração a qualquer momento na página de perfil. Ao desconectar, a Plataforma deixa de receber os avisos do Google e apaga os tokens de acesso. O acesso também pode ser revogado nas permissões da conta Google, em myaccount.google.com/permissions. Os eventos já criados continuam na agenda até que o Usuário os exclua.

6.4. Uso Limitado

O uso e a transferência, para qualquer outro aplicativo, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

7. Compartilhamento e suboperadores

Não vendemos dados pessoais nem os compartilhamos para publicidade. Os dados são compartilhados somente nas situações descritas abaixo.

7.1. Dentro da Plataforma

• Os membros de uma Equipe acessam os dados da Equipe conforme o seu papel, as suas permissões e as delegações recebidas de cada cirurgião, que podem ser completas, só de agenda ou só de financeiro.
• Cirurgias registradas no modo Solo ficam fora da Equipe: não aparecem para os outros cirurgiões, mas continuam acessíveis à equipe de apoio que trabalha com o cirurgião.
• Equipes de uma mesma clínica podem localizar e reaproveitar o cadastro de um Paciente já registrado por outra Equipe da clínica, limitado a identificação, contato e endereço, sem dados clínicos, para evitar cadastros duplicados.
• Quando um cirurgião indica outro Usuário como auxiliar externo e o vínculo entre eles é aceito, o auxiliar passa a ter, no seu financeiro e nas suas estatísticas, os registros das cirurgias de que participou, com os dados necessários para acompanhar a sua participação e os seus honorários.
• A equipe interna do SurgFlow tem acesso técnico às Equipes e o utiliza apenas quando necessário para suporte, segurança, cobrança e cumprimento de obrigações legais.

7.2. Com o Paciente

O profissional pode gerar o link do portal do paciente e enviar ao Paciente termos de consentimento e outros documentos por link. Quando o Usuário escolhe enviar uma mensagem por WhatsApp ou por e-mail, a Plataforma apenas abre o aplicativo do próprio Usuário com a mensagem preenchida; o envio é feito por ele, pela conta dele nesses serviços.

7.3. Suboperadores e outros prestadores

Os prestadores abaixo recebem apenas os dados necessários à respectiva funcionalidade.

7.4. Recursos carregados pelo navegador

Algumas páginas carregam recursos de terceiros diretamente no navegador de quem as acessa: as fontes do Google Fonts, a biblioteca de mapas Leaflet, servida pelo unpkg.com, e as imagens de mapa do OpenStreetMap. Para buscar esses recursos, o navegador informa a esses serviços dados técnicos da conexão, como o endereço IP e a identificação do navegador. O SurgFlow não envia a eles dados de cadastro nem Dados de Pacientes.

7.5. Outras hipóteses

• Interface de leitura no padrão FHIR: permite que Usuários autorizados (cirurgiões, administradores e financeiro) extraiam dados em formato padronizado; cada extração é autenticada e registrada em trilha de auditoria própria.
• Cumprimento de obrigação legal ou regulatória, de ordem judicial ou de requisição de autoridade competente.
• Exercício regular de direitos em processos judiciais, administrativos ou arbitrais.

8. Transferência internacional

Alguns prestadores da seção 7 são sediados no exterior e podem tratar dados em servidores fora do Brasil: Lovable, Google, Anthropic, OpenAI, Sentry e OpenStreetMap, além do unpkg.com, carregado pelo navegador. Asaas, Gemed e ViaCEP são serviços brasileiros.

Os dados da Plataforma ficam hospedados em servidores de provedor de infraestrutura contratado pelo SurgFlow.

As transferências internacionais ocorrem apenas na medida necessária às funcionalidades descritas e devem observar as hipóteses do art. 33 da LGPD e a regulamentação da ANPD. Conforme o caso, essas transferências se apoiam nas salvaguardas previstas nessas normas.

9. Cookies e tecnologias similares

A Plataforma e o portal do paciente usam somente cookies próprios e o armazenamento local do navegador:

Os cookies de sessão e de segurança são estritamente necessários: sem eles não é possível fazer login nem usar a Plataforma com segurança. Os demais guardam apenas preferências de interface. O site institucional não usa cookies.

Não usamos cookies de publicidade, ferramentas de análise de navegação nem pixels de rastreamento de terceiros. É possível apagar os cookies e o armazenamento local nas configurações do navegador, o que encerra a sessão e desfaz as preferências salvas. Os recursos de terceiros carregados pelo navegador estão descritos no item 6.4.

10. Retenção e eliminação

Guardamos os dados pelo tempo necessário às finalidades desta Política e, depois disso, apenas pelo tempo exigido para cumprir obrigações legais ou regulatórias e exercer direitos, nos limites do art. 16 da LGPD.

• Registros de acesso: guardados, sob sigilo e em ambiente controlado, por no mínimo 6 (seis) meses, como exige o Marco Civil da Internet (Lei nº 12.965/2014).
• Trilhas de auditoria, registros técnicos e registros de aceite: não são apagados automaticamente e ficam guardados enquanto forem necessários à segurança, à comprovação de fatos e ao exercício regular de direitos. Os registros de aceite não podem ser alterados nem excluídos.
• Dados de Pacientes, registros clínicos e documentos: ficam na Plataforma enquanto o controlador os mantiver, pois o SurgFlow não aplica prazos automáticos de exclusão a eles. Os prazos de guarda cabem ao controlador: o prontuário, por exemplo, deve ser guardado pelo profissional e pela instituição de saúde por no mínimo 20 (vinte) anos a partir do último registro, nos termos da Lei nº 13.787/2018, e os registros financeiros seguem os prazos fiscais aplicáveis. Como o SurgFlow não é o prontuário oficial do Paciente, o controlador deve manter fora da Plataforma o que essas normas exigirem.
• Contas de Usuários: mantidas enquanto ativas. A desativação bloqueia o acesso imediatamente, e a remoção do Usuário de todas as suas Equipes exclui a conta apenas logicamente. Nos dois casos, o cadastro é preservado para manter a autoria e o histórico dos registros, e as contas de Usuários de Equipe não são excluídas definitivamente.
• Notificações da Plataforma: expiram em 30 dias e são excluídas automaticamente.
• Imagens enviadas para leitura assistida de cadastro de Paciente e de descrição cirúrgica: apagadas ao fim do processamento.
• Links de acesso: o link do portal do paciente vale por até 90 dias; gerar um novo link revoga o anterior; o profissional pode revogá-lo a qualquer momento; e ele é revogado automaticamente quando, ao ser aberto, não há mais pendências, cirurgia prevista nem termo de consentimento compartilhado. O link de TCLE enviado ao Paciente por mensagem vale por 30 dias.
• Sessões: os registros de sessões expiradas são apagados periodicamente.
• Cópias de segurança: feitas diariamente; as cópias com mais de 30 dias são descartadas automaticamente.

10.1. Exclusão feita pelo controlador

A exclusão de um Paciente pelo controlador é definitiva e alcança as cirurgias, as consultas, os documentos médicos e os links do portal vinculados a ele. Para preservar registros que precisam ser guardados, a Plataforma impede a exclusão de Pacientes que tenham, por exemplo, faturamento, orçamentos, pendências ou termos de consentimento vinculados. A trilha de auditoria guarda uma cópia do cadastro excluído, e os dados podem permanecer nas cópias de segurança até o descarte delas.

10.2. Encerramento do contrato

Encerrado o contrato, o Contratante pode pedir a exportação dos dados da Equipe em formato estruturado, preparada pela equipe do SurgFlow, nos prazos previstos nos Termos de Uso. Depois disso, os dados são eliminados ou anonimizados, ressalvada a conservação permitida pela LGPD, como para cumprimento de obrigação legal ou regulatória, exercício regular de direitos e guarda dos registros de acesso.

11. Segurança da informação

Adotamos medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados e contra situações acidentais ou ilícitas de destruição, perda, alteração ou divulgação (art. 46 da LGPD). Entre elas:

• Criptografia em trânsito: o acesso à Plataforma e ao portal do paciente usa HTTPS (TLS), com redirecionamento automático de HTTP para HTTPS.
• Autenticação: acesso apenas para Usuários cadastrados ou convidados; senhas guardadas com hash criptográfico (bcrypt); limite de tentativas de login, com bloqueio temporário progressivo; links de redefinição de senha válidos por 60 minutos; e bloqueio imediato do acesso de contas desativadas.
• Controle de acesso: separação dos dados por Equipe, aplicada automaticamente às consultas ao banco de dados; papéis e permissões por perfil; delegações explícitas entre o cirurgião e a equipe de apoio; e regras de autorização nas operações sobre os registros.
• Aceite obrigatório: quando há versão vigente dos Termos de Uso, o acesso fica bloqueado até o aceite, e também quando a verificação do aceite falha.
• Modo privacidade: o Usuário pode ocultar em tela os nomes, exibidos apenas pelas iniciais, e os valores financeiros. A ocultação é aplicada no servidor, antes de os dados chegarem ao navegador. PDFs e exportações não são mascarados.
• Portal do paciente: link com código aleatório de 256 bits, guardado na base apenas na forma de hash, com prazo de validade, revogação manual e automática e limite de requisições por minuto.
• Documentos: termos de consentimento, documentos médicos, assinaturas e extratos importados ficam em áreas de armazenamento privadas, sem endereço público, e são acessados apenas por Usuários autorizados ou por links assinados e temporários.
• Credenciais de integrações: as chaves configuradas pelas Equipes e os tokens de acesso ao Google Calendar são guardados criptografados.
• Rastreabilidade: trilhas de auditoria das ações relevantes, com autor, data e hora, endereço IP e navegador, e registros de aceite que não podem ser alterados nem excluídos.
• Exportações administrativas: restritas aos administradores da plataforma, com mascaramento dos dados de identificação e registro em auditoria.
• Notificações de pagamento: a autenticidade das notificações automáticas recebidas do intermediador de pagamentos é verificada antes do processamento.
• Cópias de segurança diárias do banco de dados.

A segurança também depende de cada Usuário: use senha forte e exclusiva, não compartilhe o acesso, encerre a sessão em computadores compartilhados e envie o link do portal apenas ao Paciente ou ao seu responsável legal.

12. Incidentes de segurança

Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante aos titulares:

• quanto aos dados que tratamos como operador, comunicaremos o controlador afetado sem demora injustificada, com as informações disponíveis sobre a natureza do incidente, os dados e os titulares envolvidos e as medidas adotadas, e o apoiaremos na avaliação do caso e nas comunicações que cabem a ele;
• quanto aos dados que tratamos como controlador, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, nos termos do art. 48 da LGPD e da regulamentação da ANPD.

Em qualquer caso, adotaremos as medidas necessárias para conter o incidente e reduzir os seus efeitos e manteremos registro do ocorrido. Para comunicar uma suspeita de incidente, use o canal da seção 15.

13. Direitos dos titulares

Nos termos do art. 18 da LGPD, o titular pode pedir:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• portabilidade dos dados a outro fornecedor de serviço ou produto, observados os segredos comercial e industrial e a regulamentação da ANPD;
• eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses de conservação previstas em lei;
• informação sobre as entidades públicas e privadas com as quais compartilhamos dados;
• informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• revogação do consentimento, quando essa for a base legal;
• oposição a tratamento realizado com fundamento em outra base legal, em caso de descumprimento da LGPD.

13.1. Usuários e interessados

Na página de perfil, o Usuário pode consultar e corrigir os próprios dados cadastrais e profissionais, trocar o e-mail, mediante confirmação pelo novo endereço, trocar a senha, remover a imagem da assinatura e desconectar o Google Calendar. Os demais pedidos devem ser enviados ao canal da seção 15. Para proteger o titular, podemos pedir informações que confirmem a identidade de quem faz o pedido. Responderemos nos prazos previstos na LGPD e na regulamentação da ANPD.

13.2. Pacientes

Como os Dados de Pacientes são controlados pelo profissional ou pela clínica, o pedido deve ser feito a eles, que têm na Plataforma os meios para consultar, corrigir e excluir os registros e para fornecer cópia dos documentos. Se o pedido chegar a nós, vamos encaminhá-lo ao controlador responsável, avisar o Paciente do encaminhamento e apoiar tecnicamente o atendimento. A eliminação de dados de saúde pode ser limitada pelo dever legal de guarda da documentação médica.

O titular também pode apresentar petição à ANPD, conforme a seção 15.

14. Crianças e adolescentes

A Plataforma se destina ao uso profissional e não é oferecida a crianças e adolescentes como Usuários.

A Plataforma pode conter dados de Pacientes menores de idade, registrados pelo profissional de saúde para a prestação do cuidado. Esse tratamento deve ser feito no melhor interesse da criança ou do adolescente (art. 14 da LGPD) e sob a responsabilidade do controlador, a quem cabe identificar o responsável legal e envolvê-lo nas etapas que dependem dele, como a assinatura do TCLE e o recebimento do link do portal do paciente e dos documentos.

15. Encarregado e contato

Encarregado pelo tratamento de dados pessoais (DPO): atendimento pelo canal indicado abaixo.

Para exercer direitos, tirar dúvidas sobre esta Política, falar com o encarregado ou comunicar suspeita de incidente, escreva para contato@surgflow.com.br com o assunto "Privacidade/LGPD".

Se o seu pedido não for atendido, você pode apresentar petição à Autoridade Nacional de Proteção de Dados (ANPD) pelos canais indicados em www.gov.br/anpd.

16. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças na Plataforma, nos prestadores que utilizamos ou na legislação. A versão vigente fica publicada nesta página, com a data da última atualização no topo. Mudanças relevantes serão comunicadas aos Usuários na Plataforma ou por e-mail.

Esta Política deve ser lida em conjunto com os Termos de Uso.