1.Compromisso e Princípios

O Donat(IA) adota a privacidade e o sigilo médico como pilares estruturais de sua arquitetura de software. Reconhecemos a natureza ultrassensível das informações de saúde e operamos em estrita observância à Lei Geral de Proteção de Dados (Lei nº 13.709/2018), ao Código de Ética Médica e às Resoluções do Conselho Federal de Medicina (CFM nº 1.821/2007 e nº 2.299/2021).

2.Categorias de Dados Tratados

Tratamos exclusivamente os dados necessários para o funcionamento e auditoria da plataforma:

3.Base Legal para o Tratamento (Artigo 11 da LGPD)

O tratamento de dados pessoais sensíveis de saúde no Donat(IA) é respaldado pelas seguintes hipóteses legais previstas no Artigo 11, inciso II da Lei nº 13.709/2018:

• Tutela da Saúde (Alínea "f"): Procedimento realizado por profissionais de saúde e entidades do setor de saúde para registro e controle de assistência cirúrgica prestada ao paciente.
• Execução Contratual (Alínea "d"): Prestação de serviços de gestão, apuração e conciliação de honorários devidos ao cirurgião.
• Exercício Regular de Direitos: Prestação de contas perante operadoras de saúde, auditorias hospitalares e conciliação tributária.

4.Processamento Óptico com Inteligência Artificial (Gemini Vision)

Ao utilizar a funcionalidade de escaneamento de etiquetas hospitalares ou cadernos de anotações:

• As imagens são transmitidas por canal criptografado via API corporativa do Google Generative AI (Google Cloud Platform).
• O processamento opera com base no Termo de Processamento de Dados Corporativo, o que garante que nenhum dado ou imagem é arquivado para treinamento de modelos de linguagem (LLMs) ou comercializado com anunciantes.
• Após a devolução do JSON com os dados estruturados da etiqueta para a tela do cirurgião, a imagem temporária é descartada do buffer da aplicação.
• Uso sem conexão: para funcionar no centro cirúrgico sem sinal, o aplicativo guarda neste aparelho a última versão das telas abertas, os dados já consultados e os registros feitos sem conexão (inclusive fotos de etiquetas aguardando leitura). Tudo fica cifrado (AES-GCM de 256 bits) com uma chave gerada no próprio aparelho, que não pode ser copiada. Registros e fotos são apagados do aparelho assim que chegam ao servidor; registros não enviados em 7 dias são descartados com aviso; e tudo é apagado ao sair da conta.
• Extratos bancários (OFX/CSV): o arquivo do extrato é lido por regras automáticas, sem inteligência artificial, e descartado em seguida. Só as despesas que o médico escolhe lançar são gravadas (data, valor, descrição e categoria); entradas, saldo e dados da conta não são armazenados.
• Assistente, ditado e conversa ao vivo: perguntas, comandos e áudios são processados pela IA do Google (Gemini, versão paga, sem uso para treinar modelos) apenas para responder e preparar alterações; o áudio não é guardado. As conversas ficam disponíveis por 30 dias e depois são apagadas. Nenhuma alteração é gravada sem a confirmação do médico, e os registros de uso guardam só a função usada e o custo, sem dados de pacientes.
• Conector com Claude, ChatGPT ou outra IA: só é ativado pelo próprio médico, com um endereço pessoal que pode ser revogado a qualquer momento. Os dados consultados passam a ser tratados também pelo provedor de IA escolhido por ele, conforme a política desse provedor. Por padrão, os nomes de pacientes são enviados apenas como iniciais.

5.Segurança e Arquitetura Multi-Tenant

Empregamos as melhores práticas técnicas de cibersegurança:

• Isolamento por conta: cada pessoa autenticada lê e altera os próprios registros. A secretária com vínculo ativo lê e altera as cirurgias do cirurgião, inclusive o status de pagamento. O instrumentador com vínculo ativo vê a escala (data, hospital, paciente e procedimento) e pode copiar para a própria conta, sem honorários nem status de pagamento. Quem não tem vínculo ativo não vê esses registros.
• Opção de Anonimização em Relatórios: A plataforma oferece um botão de 1 clique para emissão de relatórios com as iniciais do paciente (ex: "J. D. S. S."), ideal para auditorias externas sem expor a identidade civil do indivíduo.
• Cópias de segurança: o banco desta versão não tem backup automático do provedor. Uma cópia semanal cifrada pode ser configurada pelo operador do serviço; ela não está ativa enquanto essa configuração não existir, e não substitui a exclusão pedida pelo titular.

6.Direitos do Titular e Exclusão Total (Artigo 18 da LGPD)

O médico usuário e os titulares de dados possuem os direitos fundamentais garantidos pela legislação:

• Confirmação da existência de tratamento e acesso aos dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Portabilidade parcial: os relatórios que o aplicativo exporta (Excel ou CSV), como produção cirúrgica, consultas e plantões. Não há um arquivo único com a cópia integral da conta.
• Exclusão da conta: no painel de perfil, a exclusão só é confirmada quando os dados ligados à conta e o login são apagados. Se alguma etapa falhar, a tela avisa e a exclusão não é dada como concluída; é possível tentar de novo. Também pode ser pedida ao encarregado pelo e-mail abaixo.

7.Encarregado de Proteção de Dados (DPO) e Contato

Para esclarecer dúvidas sobre esta Política de Privacidade, relatar qualquer incidente ou exercer os direitos previstos na LGPD, entre em contato diretamente com o nosso Encarregado pelo Tratamento de Dados Pessoais (DPO):