Política de Privacidade

Esta Política descreve como o SyncMed trata dados pessoais. A plataforma é operada por Silvestre Tecnologia LTDA, CNPJ 67.515.954/0001-08, com sede em Blumenau/SC («SyncMed», «nós»). Papéis (LGPD): quanto aos dados de pacientes e da operação clínica, a clínica contratante é a Controladora e o SyncMed é Operador, agindo sob as instruções da clínica e do contrato; quanto aos dados de cadastro e uso da plataforma (conta, faturamento, telemetria), o SyncMed é Controlador. Esta Política aplica-se ao site público e à plataforma em app.sync.med.br.

• Controlador / Operador: conforme a LGPD (Lei nº 13.709/2018).
• Clínica: pessoa jurídica ou profissional que contrata a plataforma (Controladora dos dados de pacientes).
• Usuário: pessoa autorizada pela Clínica a acessar a plataforma.
• Paciente / Titular: pessoa natural a quem os dados se referem.
• Dados do Google: informações obtidas das APIs do Google mediante autorização do usuário (lista de agendas e eventos do Google Calendar).

Tratamos diferentes categorias de dados, conforme a finalidade:

• Conta e profissional: nome, e-mail, registro no conselho (ex.: CRM) e credenciais de acesso — sempre protegidas e nunca armazenadas em texto puro.
• Dados de pacientes, inclusive dados sensíveis de saúde (prontuário, histórico clínico, agenda), tratados sob instrução da clínica controladora.
• Dados do Google (opcional): quando o profissional conecta a agenda, a lista de suas agendas e os eventos (data, hora, título, participantes) da agenda escolhida, além de um token de acesso — usados apenas para a sincronização (ver seção «Dados do Google»).
• Comunicação: mensagens de atendimento trocadas via WhatsApp oficial, pela WhatsApp Business Platform da Meta (Meta Cloud API), com a conta conectada pela própria clínica.
• Instagram Direct e Messenger (opcional): quando a clínica conecta a Página do Facebook e a conta profissional do Instagram ligada a ela, as mensagens diretas recebidas e as respostas da equipe (ver seção «Instagram Direct e Messenger»).
• Marketing e atribuição: dados de lead e origem de campanha, para medir resultado.
• Registros técnicos e de auditoria: informações de uso da plataforma e registros das ações sensíveis, para segurança e rastreabilidade.

O SyncMed oferece integrações opcionais com serviços do Google, autorizadas individualmente pelo titular e revogáveis a qualquer momento em Configurações → Integrações. O uso de informações obtidas via APIs do Google adere à Google API Services User Data Policy, incluindo o Uso Limitado (Limited Use).

O que acessamos e para quê. Com a autorização do profissional, o SyncMed usa dois escopos mínimos do Google Calendar: ver a lista de agendas (para o profissional escolher qual sincronizar) e ver e editar eventos (para a sincronização bidirecional). Acessamos apenas a lista de agendas e os dados de eventos necessários; não criamos nem excluímos agendas e não gerenciamos compartilhamentos/permissões (ACL).

Com quem compartilhamos, transferimos ou divulgamos os Dados do Google. Os Dados do Google e o token de acesso são armazenados na infraestrutura do SyncMed na Hostinger (São Paulo, Brasil), transitam pela Cloudflare (borda de rede e segurança) e são copiados, de forma restrita, para backup off-site na Backblaze B2 (bucket privado). Nenhum outro terceiro recebe os Dados do Google: eles não são compartilhados com Meta, Asaas, Soluti/Valid, provedores de IA (OpenAI/Anthropic) ou Google Ads; não são vendidos; não são divulgados a terceiros para finalidades próprias deles; não são usados para publicidade; e não são usados para desenvolver, melhorar ou treinar quaisquer modelos de inteligência artificial ou de aprendizado de máquina. O uso e a transferência aderem à Google API Services User Data Policy, incluindo o Uso Limitado (Limited Use).

Retenção e exclusão. O token é armazenado criptografado (AES-256-GCM). Ao desconectar a integração (Configurações → Integrações) ou revogar o acesso na sua Conta Google (myaccount.google.com/permissions), paramos de acessar a agenda e removemos os dados sincronizados correspondentes. Cópias em backup são eliminadas conforme o ciclo de retenção descrito na seção «Retenção».

O SyncMed é um Provedor de Tecnologia (Tech Provider) do WhatsApp Business Platform. Cada clínica conecta a sua própria conta oficial do WhatsApp Business pelo cadastro integrado (Embedded Signup) da Meta, e pode desconectá-la quando quiser em Configurações → Canais. A partir dessa autorização, o SyncMed trata as mensagens em nome da clínica, exclusivamente para operar o atendimento aos pacientes.

A conexão é opcional e feita pela própria clínica, em Configurações → Canais, com o login do Facebook. A clínica escolhe a Página e a conta profissional do Instagram ligada a ela; o SyncMed recebe da Meta apenas o necessário para o atendimento por mensagem.

O que recebemos. As mensagens diretas enviadas a essas contas; o identificador do contato que a Meta fornece para aquela Página ou conta (não é o telefone); o nome, o nome de usuário e a foto públicos do perfil, quando a Meta os informa — no Instagram, também o número de seguidores, se o perfil é verificado e se a pessoa e a clínica se seguem; e os anexos recebidos (fotos, vídeos, áudios e arquivos) — de respostas a stories, o conteúdo do story não é guardado. Quando o contato chega por um anúncio ou link, registramos a origem (identificador do anúncio e referência), para a clínica saber de onde veio a conversa.

Para que usamos. Somente para mostrar as conversas no chat da clínica e enviar as respostas da equipe — texto, fotos, vídeos, áudios e arquivos PDF — apenas dentro do prazo que a Meta permite depois da última mensagem do contato. Lembretes de consulta, automações e documentos clínicos não são enviados por esses canais. Se a clínica ligar o organizador de fluxo ou o assistente de IA para esses canais, eles também podem responder ao contato, só dentro do prazo padrão da Meta; o conteúdo lido pelo assistente segue a seção «Recursos de inteligência artificial». Quando o contato desfaz (apaga) uma mensagem, apagamos o texto e os anexos dela. Não publicamos conteúdo, não acessamos métricas da conta e não usamos esses dados para publicidade.

Comentários nos posts (opcional). Quando a clínica liga a resposta automática a comentários e escolhe as palavras-chave e os posts, recebemos da Meta os comentários feitos nos posts da conta da clínica — o texto, o nome de usuário público de quem comentou e o identificador do post — e guardamos esses dados apenas nas clínicas que ligaram o recurso. Quem comenta uma das palavras-chave recebe uma única mensagem privada da clínica sobre aquele comentário e, se a clínica escolher, uma resposta curta no próprio comentário; a conversa só continua se a pessoa responder. Comentários sem palavra-chave não geram mensagem, e os comentários não são usados para publicidade.

Guarda e exclusão. O token de acesso da Página é guardado criptografado (AES-256-GCM). Ao desconectar o canal em Configurações → Canais, paramos de receber as mensagens e, se nenhum outro canal da clínica usar a mesma Página, desligamos a Página do aplicativo; a clínica também pode remover o acesso do aplicativo nas configurações da Página na Meta. O histórico das conversas segue a seção «Retenção» e pode ter a exclusão solicitada conforme a seção «Direitos do titular».

Tratamos dados com base na Lei nº 13.709/2018 (LGPD). Dados assistenciais/de saúde: tutela da saúde por profissionais ou serviços de saúde (art. 11, II, «f») e cumprimento de obrigação legal/regulatória (art. 11, II, «a»), sem necessidade de consentimento; execução do contrato com a clínica (art. 7º, V); finalidades acessórias (atribuição de marketing, comunicações não essenciais, IA opcional) e as integrações opcionais (incl. Google) — consentimento específico e granular (art. 7º, I; art. 11, I), revogável a qualquer tempo. Em resumo: o necessário ao atendimento e a obrigações legais não depende de consentimento; o acessório e as integrações são sempre opt-in.

Não vendemos dados pessoais. Compartilhamos dados apenas com operadores que os tratam por nossa conta, sob contrato, com obrigações de segurança e confidencialidade, e somente para as finalidades contratadas — hospedagem e banco de dados, borda de rede e proteção contra abuso, cópia de backup, meios de pagamento, assinatura digital ICP-Brasil, mensageria e provedor de modelos de IA nos recursos opcionais.

A relação nominal e atualizada desses operadores está à disposição do titular e da clínica contratante mediante solicitação ao Encarregado (DPO), no e-mail indicado ao final desta página. O compartilhamento dos Dados do Google é descrito de forma específica e nominal na seção «Dados do Google», que prevalece para esses dados.

Podemos ainda divulgar dados quando exigido por lei, ordem judicial ou autoridade competente, ou para exercer/defender direitos — sempre no limite do necessário.

Os dados primários ficam no Brasil. Alguns operadores podem tratar dados fora do Brasil — em especial na borda de rede (dados em trânsito) e na cópia de backup off-site. Nesses casos, adotamos salvaguardas adequadas (cláusulas contratuais e medidas técnicas, incluindo criptografia) para garantir proteção compatível com a LGPD.

Recursos opcionais de IA podem processar conteúdo clínico junto a um provedor de modelos (operador, sob contrato), sempre sob o controle da clínica, observando a Resolução CFM nº 2.454/2026 — a decisão e a responsabilidade clínicas permanecem do médico. Os Dados do Google (agenda) não são enviados a esses recursos e não são usados para treinar ou melhorar modelos de IA/ML.

Adotamos medidas técnicas e organizacionais compatíveis com a sensibilidade dos dados de saúde: cada clínica tem o seu espaço totalmente separado (isolamento por tenant com Row-Level Security no banco), as informações ficam protegidas em trânsito e em repouso, o acesso é controlado conforme o papel de cada usuário e mantemos registros de auditoria das ações sensíveis. Senhas e tokens (incl. o token do Google) nunca são guardados em texto puro. Em caso de incidente de segurança relevante, atuamos para conter e mitigar e comunicamos os afetados e a ANPD quando exigido pela LGPD.

Guardamos o prontuário pelo prazo exigido pela legislação e pelas normas do CFM. Dados de conta são mantidos enquanto durar a relação contratual, acrescidos dos prazos legais aplicáveis. Dados do Google são mantidos enquanto a integração estiver conectada e removidos ao desconectar. As cópias de backup seguem um ciclo com retenção limitada (diária/semanal/mensal) e são sobrescritas/eliminadas ao fim de cada janela. Ao desconectar uma integração, paramos de acessar os dados correspondentes.

Você pode, a qualquer tempo: confirmar a existência de tratamento; acessar seus dados; corrigir dados incompletos, inexatos ou desatualizados; anonimizar, bloquear ou eliminar dados desnecessários ou tratados em desconformidade; portar seus dados; obter informação sobre as entidades com quem compartilhamos dados; e revogar o consentimento. Para dados assistenciais sob controle da clínica, encaminhamos a solicitação à clínica controladora. Atendemos as solicitações nos prazos da LGPD. Para exercer seus direitos: contato@sync.med.br.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

A plataforma é destinada a clínicas e profissionais. Dados de pacientes menores de idade podem ser tratados no contexto assistencial, sob responsabilidade da clínica controladora e no melhor interesse do menor (LGPD, art. 14), cabendo à clínica obter o consentimento do responsável quando exigido.

Utilizamos apenas cookies e registros técnicos mínimos, necessários ao funcionamento, à autenticação (sessão) e à segurança da plataforma. Não usamos cookies para publicidade comportamental.

O SyncMed não toma decisões unicamente automatizadas com efeitos jurídicos ou impacto significativo sobre o titular. Recursos de automação e de IA são ferramentas de apoio — a decisão clínica e as ações relevantes permanecem sob controle humano da clínica/profissional (LGPD, art. 20).

O canal para dúvidas e solicitações sobre privacidade e o Encarregado pelo Tratamento de Dados (DPO, art. 41 da LGPD) é contato@sync.med.br.

Podemos atualizar esta Política. Quando isso acontecer, alteramos a versão e a data no topo desta página. Consulte também os nossos Termos de Uso.