Política de Privacidade

1. Identificação do Controlador de Dados

O controlador dos dados pessoais tratados nesta política é a empresa responsável pela plataforma AXIEL Core (razão social a ser definida no momento da constituição formal da pessoa jurídica), com sede no Estado de São Paulo, Brasil. Para quaisquer questões relacionadas à privacidade e proteção de dados, entre em contato pelo endereço eletrônico oficial: privacidade@axielcore.com.

2. Dados Pessoais Coletados

Coletamos diferentes categorias de dados de acordo com o tipo de titular e com a finalidade do tratamento:

3. Base Legal para o Tratamento (LGPD)

Todo tratamento de dados realizado pela AXIEL Core está fundamentado em bases legais expressamente previstas na LGPD:

4. Finalidades do Tratamento

Os dados pessoais são tratados exclusivamente para as seguintes finalidades:

• ■Criação, manutenção e autenticação de contas de usuário na plataforma;
• ■Operação das funcionalidades: agenda, prontuário eletrônico, comunicações automáticas, financeiro e relatórios;
• ■Processamento de pagamentos e emissão de cobranças referentes à assinatura do plano;
• ■Envio de notificações transacionais (confirmações de agendamento, lembretes, atualizações do sistema);
• ■Geração de insights clínicos por inteligência artificial, exclusivamente a partir dos dados do próprio paciente e para uso do profissional responsável;
• ■Monitoramento da segurança, detecção de acessos não autorizados e prevenção de fraudes;
• ■Melhoria contínua dos serviços por meio de dados agregados e anonimizados;
• ■Cumprimento de obrigações legais, regulatórias e contratuais.

5. Compartilhamento de Dados com Terceiros

A AXIEL Core jamais vende, aluga ou cede dados pessoais a terceiros para fins comerciais. O compartilhamento ocorre exclusivamente com os seguintes fornecedores técnicos, na qualidade de operadores de dados, que atuam sob contrato e em conformidade com a LGPD:

Além dos fornecedores acima, poderemos compartilhar dados quando exigido por lei, ordem judicial ou autoridade competente, ou para proteger os direitos, propriedade ou segurança da AXIEL Core, de seus usuários ou de terceiros.

6. Transferência Internacional de Dados

Alguns de nossos fornecedores técnicos possuem infraestrutura em território estrangeiro. Toda transferência internacional de dados pessoais é realizada em conformidade com o Art. 33 da LGPD, mediante adoção de cláusulas contratuais padrão ou constatação de que o país de destino oferece grau de proteção adequado ao previsto na legislação brasileira. Atualmente, dados podem ser processados em servidores localizados nos Estados Unidos e na União Europeia, ambos com mecanismos de adequação reconhecidos pela ANPD e pela doutrina especializada.

7. Prazo de Retenção dos Dados

Os dados pessoais são retidos pelo tempo necessário para cumprir as finalidades descritas nesta política, observados os seguintes critérios:

• ■Conta ativa: Os dados são mantidos durante toda a vigência do contrato de prestação de serviços.
• ■Após encerramento da conta: Os dados são retidos por até 5 (cinco) anos para cumprimento de obrigações legais nas áreas fiscal (Decreto n. 9.580/2018), previdenciária e de saúde (Resolução CFM n. 1.821/2007 e normas equivalentes).
• ■Logs de acesso: Retidos por 6 (seis) meses, conforme o Art. 15 do Marco Civil da Internet (Lei n. 12.965/2014).
• ■Dados anonimizados: Podem ser retidos indefinidamente para fins de inteligência de negócios e melhoria de produto, uma vez que não permitem a identificação do titular.

8. Direitos do Titular (LGPD, Art. 18)

O titular dos dados pessoais possui os seguintes direitos, que podem ser exercidos a qualquer momento mediante solicitação ao nosso Encarregado pelo endereço privacidade@axielcore.com:

Responderemos a todas as solicitações em até 15 (quinze) dias corridos, podendo esse prazo ser prorrogado por igual período, devidamente justificado, nos termos da regulamentação da ANPD.

9. Medidas de Segurança

Adotamos medidas técnicas e organizacionais adequadas para proteger os dados pessoais contra acesso não autorizado, perda, destruição, alteração ou divulgação indevida:

• ■Criptografia em trânsito via TLS 1.2 ou superior em todas as comunicações entre cliente e servidor;
• ■Criptografia em repouso (AES-256) para todos os dados armazenados em banco de dados e no serviço de armazenamento de arquivos;
• ■Row-Level Security (RLS) garantindo que cada profissional acesse exclusivamente os dados de seus próprios pacientes;
• ■Autenticação segura com suporte a autenticação multifator (MFA) e tokens de sessão com expiração controlada;
• ■Logs de auditoria registrando todas as ações relevantes realizadas na plataforma;
• ■Controle de acesso interno baseado no princípio do menor privilégio, restringindo o acesso de colaboradores da AXIEL Core aos dados estritamente necessários;
• ■Testes regulares de segurança e revisão de vulnerabilidades;
• ■Procedimento de resposta a incidentes com notificação à ANPD e aos titulares afetados dentro do prazo legal.

10. Responsabilidade do Profissional sobre os Dados dos Pacientes

O profissional de saúde usuário da plataforma é o controlador dos dados pessoais de seus pacientes, cabendo à AXIEL Core a função de operadora de dados, conforme Art. 5, inciso VII, da LGPD. Nessa condição, o profissional é responsável por: (i) obter o consentimento adequado dos pacientes para a coleta e tratamento de seus dados clínicos; (ii) garantir a exatidão e atualização das informações inseridas; (iii) observar os deveres éticos e as normas dos respectivos conselhos profissionais (CFM, CFP, CRN, CREFITO e outros); e (iv) comunicar a seus pacientes a existência desta Política de Privacidade quando aplicável. A AXIEL Core disponibiliza ao profissional todas as ferramentas técnicas necessárias para o cumprimento dessas obrigações.

11. Inteligência Artificial e Tratamento Automatizado

A plataforma AXIEL Core utiliza recursos de inteligência artificial para gerar insights clínicos, sugestões de evolução e resumos de atendimento. Esses recursos processam os dados clínicos do paciente exclusivamente para apoiar o trabalho do profissional de saúde responsável, e jamais para tomar decisões diagnósticas ou terapêuticas de forma autônoma. Nenhum dado é utilizado para treinar modelos de inteligência artificial de terceiros sem anonimização prévia e consentimento explícito. O titular tem o direito de solicitar a revisão de qualquer processamento automatizado que o afete, conforme descrito na Seção 8.

12. Portal do Paciente

O Portal do Paciente é um ambiente disponibilizado ao profissional para que seus pacientes possam visualizar informações de acompanhamento do tratamento. Quando o paciente acessa o Portal, seus dados de acesso (nome, e-mail, preferências) são coletados com base em seu consentimento explícito. O paciente pode, a qualquer momento, solicitar a revogação do acesso ao Portal diretamente ao profissional responsável pelo seu atendimento. O conteúdo exibido no Portal é de responsabilidade exclusiva do profissional que o configura.

13. Menores de Idade

A plataforma AXIEL Core é destinada exclusivamente a profissionais de saúde maiores de 18 (dezoito) anos. Dados pessoais de crianças e adolescentes podem ser inseridos na plataforma pelo profissional responsável pelo atendimento, como dados de pacientes pediátricos. Nesses casos, o tratamento deve observar o Art. 14 da LGPD e as normas do Estatuto da Criança e do Adolescente (ECA — Lei n. 8.069/1990), sendo de responsabilidade do profissional obter o consentimento dos pais ou responsáveis legais quando exigido.

14. Incidentes de Segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a AXIEL Core notificará a ANPD e os titulares afetados dentro do prazo estabelecido pela regulamentação vigente. A notificação conterá: (i) descrição da natureza dos dados afetados; (ii) informações sobre os titulares envolvidos; (iii) indicação das medidas técnicas e de segurança utilizadas; (iv) riscos relacionados ao incidente; e (v) medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do incidente.

15. Encarregado pelo Tratamento de Dados (DPO)

Nos termos do Art. 41 da LGPD, a AXIEL Core designou um Encarregado pelo Tratamento de Dados Pessoais (Data Protection Officer — DPO), responsável por atuar como canal de comunicação entre a empresa, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). O Encarregado pode ser contatado pelo endereço eletrônico: privacidade@axielcore.com.

16. Alterações nesta Política

Esta Política de Privacidade pode ser atualizada periodicamente para refletir mudanças nas práticas de tratamento de dados, novas funcionalidades da plataforma ou alterações legislativas. Notificaremos os usuários sobre alterações materiais por e-mail e por aviso destacado na plataforma, com antecedência mínima de 15 (quinze) dias antes da entrada em vigor. O uso continuado da plataforma após a data de vigência das novas condições constituirá aceitação das alterações. Versões anteriores desta política serão mantidas em arquivo e disponibilizadas mediante solicitação.

17. Foro e Lei Aplicável

Esta Política de Privacidade é regida pelas leis da República Federativa do Brasil, em especial pela Lei n. 13.709/2018 (LGPD), pelo Marco Civil da Internet (Lei n. 12.965/2014) e pelo Código de Defesa do Consumidor (Lei n. 8.078/1990). Para dirimir quaisquer controvérsias decorrentes desta política, fica eleito o foro da Comarca de São Paulo, Estado de São Paulo, com expressa renúncia a qualquer outro, por mais privilegiado que seja.