Aviso de privacidade

Quem trata os dados

Cada clínica que usa a plataforma é a controladora dos dados dos pacientes dela: é ela quem decide para que os usa, e é com ela que o paciente fala para pedir acesso, correção, portabilidade ou exclusão. O contato do encarregado de cada clínica está na política de privacidade dela.

A Orbe Agência de Marketing Ltda, CNPJ 48.663.423/0001-18, com sede em Goiânia/GO, é a operadora: guarda e processa esses dados em nome da clínica, conforme o contrato de tratamento com ela, e não os usa para finalidade própria.

A Orbe é controladora apenas do que precisa para manter o serviço: o cadastro e o e-mail de quem usa o sistema, os registros de acesso e as métricas de consumo. Trata esses dados para cumprir o contrato com a clínica, manter a plataforma segura e cumprir a lei, inclusive a guarda dos registros de acesso exigida pelo Marco Civil da Internet (Lei 12.965/2014, art. 15).

Os dados que chegam da Meta ao aplicativo Orbe Clinix — da conta do Facebook de quem entra com ela, das Páginas, dos perfis do Instagram e das contas de anúncio conectados — são usados só em nome e por instrução da clínica que os conectou. Perante a Meta, quem responde por esses dados é a Orbe, dona do aplicativo. Os dados de cada clínica ficam separados dos de todas as outras.

O que a plataforma guarda

• cadastro do paciente, agenda e confirmações de consulta;
• prontuário, evoluções, anexos e documentos clínicos;
• conversas de WhatsApp entre o paciente e a clínica;
• orçamentos e o acompanhamento comercial deles;
• lançamentos financeiros e extratos bancários que a clínica importa;
• consentimentos — o de ser atendido e, separado dele, o de receber campanhas — e os pedidos para não receber mensagens;
• de quem usa o sistema: nome, e-mail, papel, registro profissional e o registro de cada acesso.

A Orbe usa apenas métricas agregadas, como quantidade de mensagens, de agendamentos e de uso de cada recurso, para operar e melhorar a plataforma. Elas não incluem conteúdo clínico e não identificam pacientes.

Entrar com Facebook e as contas da Meta

Quem trabalha na clínica, ou na Orbe, pode entrar com o botão Entrar com Facebook. A janela da Meta mostra cada permissão pedida e deixa escolher quais Páginas, perfis do Instagram, contas de anúncio e portfólios o Orbe Clinix pode usar. Da conta do Facebook guardamos o nome, o e-mail e o identificador da pessoa no aplicativo. O e-mail é o login: é por ele que a conta do Orbe Clinix é encontrada, e nenhuma conta é criada sem convite da clínica. O token de acesso fica cifrado, só no servidor.

Das contas que a clínica conecta, a plataforma trata:

• Páginas do Facebook e perfis profissionais do Instagram: os posts criados e aprovados no sistema e publicados por ele, a lista de posts com curtidas e comentários, o alcance e as visualizações de cada post;
• comentários nos posts, avaliações da Página e posts em que ela foi marcada, para a clínica responder, curtir, ocultar ou excluir;
• conversas do Messenger e do Instagram Direct com quem escreve para a clínica — preço, convênio, horário, procedimentos oferecidos e agendamento. Uma triagem automática por regras fixas responde primeiro e passa para uma pessoa da equipe; a triagem não usa inteligência artificial e não dá orientação de saúde;
• contas de anúncio: investimento, alcance, resultados e custo por resultado das campanhas, e as campanhas criadas pelo sistema, sempre por ação de alguém da clínica ou da Orbe;
• o portfólio empresarial: os ativos dele, o acesso da Orbe a esses ativos e as pessoas com permissão em cada um.

Mensagens e comentários chegam em tempo real, pela assinatura que a plataforma faz em cada Página conectada (webhook). O aviso que a Meta manda a cada mensagem ou comentário fica guardado por 30 dias, para conferir a entrega, e depois é apagado.

Campanhas só com autorização

Mensagem de divulgação — promoção, novidade, convite de retorno — só sai para quem autorizou, num termo separado do de atendimento. Quem não autorizou fica fora de todo disparo, e a plataforma recusa o envio. Para escolher o que enviar, a clínica pode usar os procedimentos que a pessoa fez, e é isso que o termo de campanhas autoriza.

Para sair, basta responder SAIR ou PARAR a qualquer mensagem, ou pedir à clínica. O pedido vale na hora, inclusive no meio de uma campanha já montada, e não afeta as mensagens sobre as suas consultas.

Nenhuma lista de pacientes é enviada à Meta para montar público de anúncio.

Inteligência artificial

Os recursos de inteligência artificial — o assistente virtual (SDR) que atende no WhatsApp, a sugestão de objeção do paciente e o rascunho de mensagem — processam dados das conversas da clínica. Eles estão disponíveis para todas as clínicas, e a Orbe garante o contrato de operador com cada provedor de IA.

• a IA não lê o prontuário e não recebe CPF, telefone, e-mail, data de nascimento nem endereço;
• o nome do paciente é trocado por um marcador antes do envio, e essa troca não é perfeita: apelido, nome de outra pessoa citada na conversa e documento digitado na mensagem passam;
• os dados enviados não são usados para treinar modelos de IA;
• o assistente virtual se apresenta como assistente virtual, não responde perguntas clínicas, não marca horário e passa a conversa para a equipe da clínica, que pode assumir a qualquer momento.

Com quem o dado é dividido

• Hostinger, o servidor onde a plataforma roda, no Brasil: sistema, banco de dados, arquivos e automações. O servidor é compartilhado com outro sistema da mesma empresa, o Orbe Insights.
• Cloudflare (R2), onde fica a cópia de segurança fora do servidor: o banco inteiro, cifrado com uma chave que só a Orbe tem, e os arquivos anexados, como fotos e documentos, cifrados pela própria Cloudflare. Trata o dado fora do Brasil.
• Meta (Facebook, Instagram, Messenger e WhatsApp Business), para enviar e receber as mensagens da clínica, publicar e moderar nas contas dela e mostrar os anúncios. As contas da Meta — Páginas, perfis do Instagram, contas de anúncio e WhatsApp Business — são todas da própria clínica. Trata o dado fora do Brasil.
• Resend, para os e-mails do sistema, como links de acesso e avisos. Recebe o e-mail de quem usa o sistema, e não dado clínico. Trata o dado fora do Brasil.
• Sentry, para o registro de erros técnicos da plataforma. Recebe o erro sem o corpo da requisição, cookies ou cabeçalhos, com o identificador da clínica. Trata o dado nos Estados Unidos.
• Anthropic, provedor de inteligência artificial: recebe trechos das conversas do WhatsApp, inclusive as que o assistente virtual (SDR) atende, com o procedimento e o valor do orçamento e, no assistente virtual, o catálogo de preços. Quando a clínica importa um extrato bancário em PDF, recebe o extrato inteiro para ler os lançamentos, com o nome e, se o banco imprimir, o CPF de quem pagou ou recebeu. Trata o dado nos Estados Unidos.
• Google, provedor de inteligência artificial: recebe trechos das conversas do WhatsApp, inclusive as que o assistente virtual (SDR) atende, com o procedimento e o valor do orçamento e, no assistente virtual, o catálogo de preços. Quando a clínica importa um extrato bancário em PDF, recebe o extrato inteiro para ler os lançamentos, com o nome e, se o banco imprimir, o CPF de quem pagou ou recebeu. Trata o dado fora do Brasil, em qualquer país onde o Google mantenha instalações.

Não recebem dado pessoal de pacientes: o monitor externo de disponibilidade (Better Stack), que só acessa endereços públicos e recebe um sinal de funcionamento sem conteúdo, e o serviço de repositório de código. O armazenamento de arquivos roda dentro do servidor da Orbe.

A transferência para fora do Brasil segue o art. 33 da LGPD. A Orbe avisa a clínica com 15 dias de antecedência antes de incluir ou trocar um desses fornecedores.

Como o dado é protegido

• banco e arquivos ficam num volume cifrado, com a chave fora do servidor;
• uma clínica não enxerga o dado de outra: o isolamento é feito pelo próprio banco;
• o acesso é individual, com segundo fator obrigatório para quem administra a clínica e para a equipe da Orbe;
• toda leitura de prontuário e todo acesso excepcional ficam registrados;
• credenciais de terceiros ficam cifradas, e toda chamada à Meta sai do servidor com a prova do segredo do aplicativo.

Quando a Orbe acessa os dados da clínica

A Orbe entra no ambiente de uma clínica só para prestar suporte pedido por ela, corrigir falha, fazer a implantação, responder a incidente, gerir os recursos contratados ou cumprir ordem legal. Cada entrada exige segundo fator e um motivo escrito, que fica na trilha de auditoria que a administração da clínica consulta.

Pela plataforma, quem opera pela Orbe não vê o prontuário, os documentos clínicos nem o conteúdo das mensagens de WhatsApp. Quem administra o servidor tem acesso técnico ao banco de dados, que não passa pela trilha da plataforma: esse acesso é usado só para manutenção, cópia de segurança e resposta a incidente, com registro interno do motivo e termo de sigilo de cada pessoa.

Incidentes

Diante de qualquer incidente de segurança, confirmado ou suspeito, a Orbe avisa a clínica em até 24 horas, sem esperar o fim da apuração. Cabe à clínica, como controladora, comunicar a Autoridade Nacional de Proteção de Dados e os pacientes afetados quando a lei exige, e a Orbe entrega a ela as informações para isso.

Por quanto tempo

• prontuário e documentos clínicos: 20 anos, como exigem a Resolução CFM 1.821/2007 e a Lei 13.787/2018, mesmo depois do encerramento do cadastro;
• no encerramento do cadastro, somem a identificação, as conversas e o que não é obrigação legal;
• dados vindos da Meta: enquanto a conta estiver conectada. Desconectar apaga na hora;
• avisos recebidos da Meta (webhook): 30 dias;
• registros de acesso ao sistema: 6 meses, como pede o Marco Civil da Internet;
• registros técnicos do servidor: 30 dias;
• pacote com os dados de um paciente, gerado a pedido dele: o link vale 7 dias, e o arquivo é apagado no dia seguinte;
• cópias de segurança: a diária fica cerca de 12 semanas; uma cópia anual, cifrada, é guardada pelo prazo do prontuário e usada só para restaurá-lo ou cumprir ordem legal. As versões anteriores dos arquivos no espelho da cópia ainda não expiram sozinhas, e a expiração em 90 dias está prevista.

Quando o contrato com uma clínica termina, a Orbe entrega a ela todos os dados em até 30 dias e depois elimina o que não precisa guardar por lei, conforme o contrato. O prontuário é guardado pelos 20 anos por quem a clínica escolheu: ela mesma ou a Orbe.

Como pedir

O pedido sobre os seus dados vai para a clínica, pelo encarregado dela. A plataforma dá à clínica os meios de atender: exportar os dados de um paciente e encerrar o cadastro. O prontuário fica guardado pelos 20 anos da Resolução CFM 1.821/2007, sem a identificação que não é exigida por ela.

O canal da Orbe é admin@orbeagencia.com.br. Para os dados de pacientes, ele é a via da clínica, e não a sua: um pedido sobre os seus dados que chegue aqui é repassado à clínica em até 2 dias úteis, e ela é quem responde; você recebe de volta o aviso de que ele foi encaminhado. Para os dados de quem usa o sistema, dos quais a Orbe é controladora, o pedido é atendido pela própria Orbe nesse mesmo canal.

Quem entrou com Facebook

Para apagar o que veio da sua conta do Facebook, há dois caminhos, e os dois são imediatos:

• no Orbe Clinix, quem administra a clínica entra em Configurações > Facebook e Instagram e clica em Desconectar. O acesso é removido na Meta e apagamos o token e tudo o que veio por ele: as Páginas, os perfis do Instagram, as contas de anúncio e os portfólios conectados, com as publicações, os comentários e as conversas do Messenger e do Instagram Direct ligados a eles;
• no Facebook, em Configurações > Aplicativos e sites, remova o Orbe Clinix e peça a exclusão dos dados. A Meta nos avisa, apagamos o mesmo conjunto e você recebe um código para acompanhar o pedido em useligare.com/exclusao.

Os posts já publicados continuam no Facebook e no Instagram, onde a Página ou o perfil os apaga. A sua conta de acesso ao Orbe Clinix — nome, e-mail e o registro de acesso — não vem da Meta: o pedido sobre ela vai para a administração da clínica ou para o canal acima.

WhatsApp

A conexão oficial do WhatsApp guarda o token da conta comercial da clínica, o número e o identificador da conta. Para apagar, quem administra a clínica entra em Configurações > WhatsApp e clica em Desconectar: a remoção é imediata, sem prazo de espera.