Dados clínicos com máxima segurança

Chronafy Desenvolvimento de Software LTDA
CNPJ 62.582.918/0001-43 • Florianópolis, SC, Brasil
Chrona Care — uso profissional e clínico

1. Controladora e Operadora de dados

A CHRONAFY DESENVOLVIMENTO DE SOFTWARE LTDA, CNPJ 62.582.918/0001-43, com sede em Florianópolis, SC, atua em dois papéis nos planos Chrona Care, nos termos da LGPD (Lei nº 13.709/2018). Para os dados do próprio Profissional (conta, autenticação, plano e faturamento), a Chronafy é Controladora. Para os dados dos pacientes inseridos ou gerados no atendimento, a clínica ou o Profissional é o Controlador, pois decide as finalidades do tratamento e responde pela guarda dos registros perante o CFM, e a Chronafy é Operadora, tratando esses dados sob instrução do Controlador.

Para os dados transmitidos a plugins opcionais de terceiros ativados pelo Usuário, cada empresa parceira atua como Controladora Independente. A responsabilidade pelo tratamento após o recebimento dos dados é dessas empresas, não da Chronafy. Cada plugin possui um Documento Suplementar (Addendum) específico que detalha essa relação.

Encarregado de Dados (DPO): [email protected]

Solicitações de direitos de titulares: [email protected]

2. Dados coletados e finalidade

Os planos na Chrona Care envolvem tratamento de dois tipos distintos de dados: dados do Profissional (usuário da plataforma) e dados dos Pacientes/Clientes cadastrados pelo Profissional.

2.1 Dados do Profissional

2.2 Dados dos Pacientes/Clientes — Módulo de Gestão

Os dados tratados diretamente pela Chronafy no módulo de gestão de pacientes são:

3. Compartilhamento de dados com terceiros

A Chronafy não vende dados pessoais. O compartilhamento ocorre apenas com os parceiros abaixo, estritamente necessários para a operação da plataforma Chrona Care:

Transferência internacional. Os provedores de IA do Copilot — o Google Cloud (Vertex AI), que recebe as mensagens, anexos e os dados de agenda necessários ao pedido, e a OpenAI (API Whisper), que recebe somente os áudios para transcrição — processam os dados fora do Brasil, e os dados enviados a eles não identificam o paciente ou qualquer dado clínico. O envio ocorre apenas mediante consentimento explícito do Usuário, revogável a qualquer momento em Configurações → Privacidade → Consentimentos, e nenhum provedor usa esses dados para treinar modelos de IA. Essas transferências são amparadas por cláusulas contratuais padrão e por DPA firmado com cada empresa, que asseguram proteção igual ou equivalente à desta Política. Os arquivos e documentos clínicos do Chronafy Cloud são armazenados no Brasil, sem transferência internacional.

4. Segurança dos dados

A Chronafy adota as seguintes medidas técnicas de segurança nos planos Chrona Care:

• CPF de pacientes criptografados.
• Tokens de integração de provedores externos criptografados.
• Tokens OAuth criptografados.
• Prontuários criptografados.
• HTTPS (TLS) para todos os dados em trânsito.
• Armazenamento de arquivos médicos em servidor autogerenciado no Brasil, criptografado de ponta a ponta, com backup no Brasil, seguindo as melhores práticas segundo o CFM.
• Logs de auditoria geral, com todas as ações sensíveis registradas.

Em caso de incidente de segurança, a Chronafy notificará os titulares e a ANPD em até 72 horas (LGPD Art. 48).

5. Retenção e exclusão de dados

Âncoras de identidade — o que guardamos. Ao excluir a conta, a Chronafy mantém por 24 meses um código irreversível (HMAC-SHA256) calculado a partir do telefone verificado, dos identificadores das contas Google, Microsoft e Apple (o identificador que o provedor nos entrega, nunca o e-mail), do CPF do perfil profissional e do vínculo da compra na App Store, junto dos números de consumo do plano gratuito. Nada além disso é guardado: não há e-mail, não há nome e não há qualquer ligação com a conta excluída.

O que isso muda para você. Se você excluir a conta e criar outra com o mesmo telefone, a mesma conta Google, Microsoft ou Apple, ou o mesmo CPF, devolvemos à conta nova os limites, as cotas e o consumo que você já tinha feito — inclusive a verba de IA já gasta, os lembretes já usados e o período de teste já consumido. Criar uma conta nova não zera o que já foi usado.

Que tipo de dado é esse. As âncoras são hashes irreversíveis: não é possível voltar delas ao seu telefone, ao seu CPF ou à sua conta, e sozinhas elas não identificam ninguém. São calculadas com uma chave própria, diferente da usada nos dados das contas ativas, justamente para que as duas bases não possam ser cruzadas. Não são usadas para marketing, publicidade, perfil comportamental, enriquecimento de base, nem para reconstruir a conta excluída.

Base legal e seus direitos. Esse tratamento se apoia no interesse legítimo (Art. 7º, IX) de prevenir o abuso do plano gratuito e funciona como medida de segurança: por isso as âncoras não podem ser desativadas a pedido, já que desligá-las anularia a própria finalidade. O direito de eliminação (Art. 18, VI) alcança os dados tratados com base em consentimento, e a prevenção a abuso não se apoia em consentimento — é por isso que essa retenção continua depois da exclusão da conta. Você pode pedir informações sobre esse tratamento e, se considerar que uma cota reatribuída ou um bloqueio foi indevido, pedir que uma pessoa, e não um sistema automático, revise a decisão (Art. 20), escrevendo para [email protected].

6. Direitos do titular

O Profissional e seus pacientes têm os seguintes direitos nos termos dos Arts. 17 a 22 da LGPD:

Como a Chronafy é Operadora dos dados dos pacientes, o paciente exerce seus direitos junto à clínica (Controladora) ou pelo App do Paciente. A Chronafy apoia a clínica no atendimento dessas solicitações.

7. Cookies e tecnologias

A Chronafy utiliza cookies essenciais para funcionamento da sessão autenticada, cookies de preferências (tema, idioma, layout) e tokens de push notification com consentimento. Não utilizamos cookies de rastreamento publicitário.

8. Alterações e contato

Alterações relevantes nesta Política serão comunicadas por e-mail com antecedência mínima de 30 dias.

Encarregado de Dados (DPO): [email protected]

Solicitações de titulares: [email protected]

Suporte geral: [email protected]