Documento legal

Política de privacidade

Versão 2026-11-04 · Vigente a partir de 4 de novembro de 2026

1. A quem esta política se aplica

A quem usa o sistema LineHealth ("Usuários": profissionais, recepção, administradores), às pessoas cadastradas por eles ("Pacientes") e aos visitantes do site linehealth.com.br. O responsável pelo tratamento descrito aqui é a SAO JOSE SERVICOS E ASSESSORIA EM TECNOLOGIA E GESTAO EMPRESARIAL LTDA – ME, inscrita no CNPJ sob o nº 11.913.830/0001-26, com sede na R. Visconde de Mauá, 3111, Dionísio Torres, Fortaleza/CE, CEP 60.125-161, que opera as marcas Neuraline e LineHealth ("nós").

2. Papéis segundo a LGPD

• Dados de Usuários (nome, e-mail, telefone, preferências, registros de acesso, uso do sistema): somos controladores.
• Dados de Pacientes (cadastro, agendamentos, prontuário, documentos, mensagens, financeiro): a clínica ("Organização") é a controladora e nós somos operadores. Tratamos esses dados só conforme instrução da Organização, para prestar o serviço.
• Visitantes do site: somos controladores dos dados de navegação descritos na seção 7.

3. Quais dados tratamos e para quê

3.1 Usuários

• Nome, e-mail, telefone (opcional), senha (armazenada apenas como hash), identificador da conta Google quando há login social.
• Registros de sessão: dispositivo, endereço IP, navegador, data e hora. Finalidade: segurança da conta e possibilidade de o próprio Usuário ver e encerrar sessões.
• Preferências de interface (idioma, formatos, densidade).
• Eventos de uso do sistema (telas acessadas, ações realizadas), de forma agregada e pseudonimizada, para melhorar o produto. Não incluem conteúdo de prontuário nem dado de paciente.

3.2 Pacientes (em nome da Organização)

• Cadastro: nome, nome social, data de nascimento, sexo biológico, gênero, contatos, documentos, endereço, responsável, alertas clínicos, campos definidos pela clínica.
• Agenda: agendamentos, status, histórico de alterações.
• Prontuário e documentos: registros clínicos, versões, documentos emitidos, sinais vitais, formulários e anexos. O conteúdo do prontuário é cifrado na aplicação com chave gerenciada fora do banco de dados.
• Comunicação: mensagens enviadas, canal, status de entrega, consentimentos por canal e sua revogação.
• Financeiro: pedidos, pagamentos, recibos.

Dados de saúde são dados sensíveis. O tratamento se dá para tutela da saúde, em procedimento realizado por profissionais de saúde e serviços de saúde (art. 11, II, "f" da LGPD), e para cumprimento de obrigação legal de guarda de prontuário, sob responsabilidade da Organização controladora.

3.3 Conexão com IA (adicional contratado pela Organização)

Quando a Organização contrata a Conexão com IA e um Usuário autorizado conecta um assistente de inteligência artificial escolhido por ela (por exemplo, Claude ou ChatGPT), o assistente passa a ler, somente para consulta, uma base de análise separada do sistema, preenchida por cópia com lista fechada de informações:

• Entra: agenda (atendimentos, situação, horários, valores), financeiro (cobranças, pagamentos, contas), marketing (investimento, campanhas, origem dos pacientes) e números do WhatsApp (volume e tempos de resposta). O paciente aparece apenas pelo número que tem na clínica, com faixa etária, sexo, bairro e cidade.
• Nunca entra: nome, telefone, e-mail, CPF, data de nascimento ou endereço do paciente; prontuário, documentos, receitas e anexos.
• Conversas do WhatsApp, no nível escolhido pela Organização (o padrão é o mais restrito): (i) só números, como tempos de resposta e desfechos; (ii) números e o texto das mensagens da equipe; ou (iii) a conversa completa, incluindo o texto escrito pelos pacientes. Em qualquer nível, só entram as conversas dos últimos 90 dias, com o texto tratado para retirar nome, telefone, e-mail, documento, endereço e data de nascimento, e áudios aparecem apenas como marcação, sem transcrição.

O texto de uma conversa pode conter informação de saúde relatada pelo paciente, ainda que sem identificação. Ao escolher o nível "conversa completa", a Organização, como controladora, decide que esse conteúdo seja processado pelo provedor de IA que ela escolheu, para a finalidade de avaliar e melhorar a gestão e o atendimento da clínica. Recomendamos desativar, nas configurações do assistente, o uso das conversas para treinamento. Cada pessoa vê pela IA apenas o que já pode ver no sistema; a conexão pode ser desligada a qualquer momento e a clínica sai da base de análise quando cancela o adicional.

3.4 Aplicativo para celular (Android e iOS)

O aplicativo LineHealth é usado pela equipe da clínica (Usuários) e mostra os mesmos dados do sistema, conforme as permissões de cada pessoa. Além do descrito em 3.1, ele trata:

• Identificador do aparelho para avisos (token de notificação): para enviar avisos de pedido de agendamento, resposta de paciente, relatórios e atualizações. O texto do aviso nunca traz nome nem dado do paciente. Quando a pessoa sai da conta ou encerra o aparelho em "Aparelhos conectados", o aparelho deixa de receber avisos.
• Eventos de uso e gravação de sessão (PostHog): telas abertas, toques e a versão do aplicativo, ligados ao identificador da conta, para entender onde o uso trava e corrigir falhas. Na gravação, o conteúdo das telas da clínica, os campos digitados e as imagens aparecem como tarjas; nome, telefone, valores, mensagens e prontuário de paciente não são gravados.
• Bloqueio por biometria ou PIN: a verificação acontece no próprio aparelho; não recebemos digital, rosto nem PIN.
• Arquivos que o Usuário escolhe compartilhar (por exemplo, o PDF de uma nota fiscal enviado pelo WhatsApp): o arquivo é gerado no aparelho e enviado pelo aplicativo escolhido pela pessoa.

O aplicativo não exibe anúncios e não usa o identificador de publicidade do aparelho. A exclusão da conta pode ser pedida dentro do aplicativo (Mais → Meu perfil → Excluir minha conta); o passo a passo está em linehealth.com.br/excluir-conta.

4. Com quem compartilhamos

Apenas com fornecedores necessários à operação, sob contrato e com o mínimo de dados:

• Envio de e-mail (Brevo): endereço de e-mail do destinatário e conteúdo da mensagem transacional (lembrete, confirmação, verificação de conta). Registramos eventos de entrega e abertura para diagnóstico de falhas.
• Hospedagem e armazenamento: servidor dedicado contratado da Hostinger, no Brasil; tráfego de rede e proteção do site pela Cloudflare (que pode processar o tráfego em servidores no Brasil e nos Estados Unidos); armazenamento de arquivos compatível com S3 (Cloudflare R2). Dados em repouso são cifrados.
• Análise de uso (PostHog): eventos de navegação de Usuários no sistema, no aplicativo e no site, pseudonimizados, e gravação de sessão com o conteúdo mascarado (item 3.4). Nunca dado de paciente.
• Entrega de avisos no celular (Expo e Firebase Cloud Messaging, do Google): o token do aparelho e o texto do aviso, que não traz nome nem dado de paciente.
• Autenticação (Google): apenas quando o Usuário escolhe entrar com a conta Google.
• Gerenciamento de tags (Google Tag Manager) no site institucional, para medição de campanhas. Não é carregado dentro da área logada com dado de paciente.
• WhatsApp (Meta, API oficial do WhatsApp Business), quando a Organização conecta a conta dela: telefone do paciente e conteúdo das mensagens trocadas com ele trafegam pela Meta, que é controladora e operadora nos termos dela. O LineHealth atua como provedor de tecnologia em nome da Organização: guarda o token de acesso da conta cifrado, registra as mensagens e seus status para o atendimento, e envia à Meta eventos de conversão de anúncios somente com o identificador do clique do anúncio (nunca nome, telefone, e-mail ou dado clínico). O atendimento pelo WhatsApp dentro do sistema usa ferramenta hospedada em nosso próprio servidor.
• Pagamentos (Asaas): dados de cobrança da Organização (razão social, documento, e-mail). Não inclui dado de paciente.
• Prescrição digital (Memed), quando o profissional ativa: dados do profissional exigidos pela regulação (nome civil, CPF, data de nascimento, registro no conselho) e os dados do paciente necessários à receita.
• Agenda do Google (Google Calendar), quando o profissional conecta a própria conta: data, horário e tipo de cada consulta dele e, se a Organização mantiver a opção ligada, o nome do paciente. Nunca telefone, observações ou conteúdo clínico. Se o profissional ativar, o sistema lê da conta dele apenas os intervalos de tempo ocupados, sem título nem descrição dos compromissos.
• Assistente de IA escolhido pela Organização (Conexão com IA): apenas o que está descrito no item 3.3, e só quando um Usuário autorizado conecta o assistente.
• Resultados de anúncio (Meta), quando a Organização contrata a gestão de marketing e só para quem chegou por um anúncio: o identificador do clique e a etapa (contato, consulta confirmada, pagamento ou atendimento, com valor). Nunca são enviados nome, telefone, e-mail (nem transformados por hash), diagnóstico, especialidade, tipo de atendimento, motivo da consulta, conteúdo de prontuário ou de conversa.

WhatsApp não é canal clínico. O WhatsApp é usado para comunicação administrativa (consultas, lembretes, avisos e conversa da recepção). Conteúdo clínico (prontuário, resultados, receitas) fica no sistema, cifrado, e não deve ser enviado pelo WhatsApp.

Não vendemos nem cedemos dados a terceiros para fins próprios deles. Podemos compartilhar dados por determinação legal ou judicial, informando o titular quando a lei permitir.

Pedidos de autoridades públicas. Todo pedido de dados feito por autoridade pública é analisado quanto à sua base legal e legitimidade antes de qualquer resposta; pedidos que considerarmos ilegais ou excessivos são contestados pelos meios cabíveis; quando houver obrigação de atender, entregamos apenas o mínimo necessário; e registramos internamente cada pedido, a resposta dada, a fundamentação legal e as pessoas envolvidas. Quando os dados forem de uma Organização cliente, ela é avisada, salvo proibição legal.

5. Segurança

• Cifra em trânsito (TLS) e em repouso; conteúdo de prontuário cifrado em coluna com chave fora do banco e rotacionável.
• Isolamento entre Organizações aplicado no próprio banco de dados (Row Level Security), não apenas na aplicação.
• Identificadores opacos em URLs e API. Autenticação em dois fatores. Limite de tentativas de login. Sessões revogáveis.
• Registro de leitura e de alteração de prontuário e de dados de contato, consultável pela Organização e disponível ao Paciente que solicitar relatório de acesso.
• Backups diários cifrados, com teste periódico de restauração.
• Incidentes de segurança com risco relevante aos titulares são comunicados à Organização afetada e à ANPD nos prazos legais.

6. Retenção e exclusão

• Contas inativas não são excluídas por inatividade. O Usuário pode pedir a exclusão da própria conta a qualquer momento; como fazer e o que é apagado ou mantido está em linehealth.com.br/excluir-conta.
• Dados da Organização são mantidos enquanto a conta existir. A exclusão da Organização tem carência de 30 dias e é precedida da oferta de exportação.
• Prontuário está sujeito a prazo legal de guarda definido por lei e por conselho profissional. Pedido de exclusão de Paciente anonimiza o cadastro e preserva o registro clínico pelo prazo legal, sob responsabilidade da Organização.
• Trilha de auditoria é retida por prazo maior que o dado operacional e preservada de forma anonimizada quanto ao titular após exclusão.
• Registros de sessão expiram junto com a sessão; registros de segurança (tentativas de login) são mantidos por até 12 meses.
• A base de análise da Conexão com IA é refeita a cada hora; nela, conversas do WhatsApp ficam por no máximo 90 dias. Ao cancelar o adicional, os dados da Organização são apagados dessa base.

7. Cookies e site

O site institucional usa cookies e tecnologias similares para medição de audiência e de campanhas (Google Tag Manager e ferramentas configuradas por ele) e análise de uso (PostHog). A área logada usa apenas cookies estritamente necessários à sessão, com atributos HttpOnly, Secure e SameSite. Você pode bloquear cookies não essenciais no navegador.

8. Direitos dos titulares

Usuários e Pacientes têm direito a confirmação do tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamento, revogação de consentimento e eliminação, nos termos da LGPD.

• Usuário: exerce diretamente na aplicação (perfil, sessões, exclusão de conta) ou pelo e-mail abaixo.
• Paciente: deve dirigir o pedido à clínica que o atende, que é a controladora. O sistema oferece à clínica a exportação individual dos dados do Paciente em formato aberto, o registro e revogação de consentimento por canal, o relatório de acesso ao prontuário e a anonimização. Se preferir, o Paciente pode nos escrever e encaminharemos à Organização.

9. Transferência internacional

Os servidores principais estão no Brasil. Alguns fornecedores (e-mail, análise de uso, armazenamento, WhatsApp) podem processar dados fora do país (incluindo a entrega de avisos no celular), com salvaguardas contratuais adequadas. O assistente de IA conectado pela Organização (item 3.3) é operado pelo provedor escolhido por ela, que pode processar os dados fora do país conforme os termos desse provedor. Dado de prontuário não é enviado a fornecedor de análise nem à IA.

10. Encarregado de dados (DPO)

Encarregada pelo tratamento de dados pessoais (DPO): SAO JOSE SERVICOS E ASSESSORIA EM TECNOLOGIA E GESTAO EMPRESARIAL LTDA – ME, CNPJ 11.913.830/0001-26. Contato: [email protected]. Pedidos de titular recebidos por esse endereço são respondidos em até 15 dias.

11. Alterações

Esta política pode ser atualizada. A versão vigente fica nesta página, com data. Mudanças relevantes são comunicadas por e-mail ou na aplicação.