Política de privacidade

1. Quem é o controlador

Para os dados necessários à criação e à administração da conta e à prestação dos serviços da Plataforma, o controlador é D. D. Weiss da Silva Consultoria em Tecnologia da Informação LTDA, inscrita no CNPJ sob o nº 42.788.277/0001-70, doravante denominada Kineti, nós ou nosso.

Contato para assuntos de privacidade e exercício de direitos: contato@kineti.com.br.

2. Aplicação desta política e papéis no tratamento

Esta política aplica-se ao aplicativo Kineti, aos seus serviços relacionados, ao site www.kineti.com.br e aos formulários de solicitação de acesso e de exclusão de conta.

Quando tratamos dados cadastrais e dados de uso para disponibilizar e administrar a Plataforma, a Kineti atua como controladora. Quando um profissional ou serviço de saúde usa a Plataforma para registrar dados de seus pacientes no contexto de assistência, esse profissional ou serviço de saúde normalmente define as finalidades do tratamento e atua como controlador desses dados; nessa situação, a Kineti trata os dados em seu nome e conforme suas instruções, na qualidade de operadora, quando aplicável.

3. Dados que podemos tratar

Podemos tratar as seguintes categorias de dados, conforme os recursos utilizados:

• dados de conta e identificação profissional, como nome, e-mail, telefone, foto de perfil e credenciais de acesso;
• dados de pacientes inseridos pelo profissional, como nome, CPF, data de nascimento, telefone, e-mail, endereço e localização;
• dados de agenda, atendimentos, pacotes, registros financeiros e informações necessárias à operação da Plataforma;
• dados de saúde e outros registros clínicos, como anamneses, avaliações, evoluções, testes, observações e anexos vinculados ao atendimento;
• dados técnicos e de segurança, como registros de acesso, endereço IP, tipo de dispositivo, sistema operacional e informações necessárias para prevenir fraudes, falhas e uso indevido;
• dados de localização, quando você autorizar o recurso no seu dispositivo, para apoiar a busca e a organização de endereços.
• dados enviados pelo formulário do site, como nome e e-mail;

Dados de saúde são dados pessoais sensíveis e recebem proteção reforçada nos termos da LGPD.

4. Finalidades e bases legais

Tratamos dados pessoais para criar e manter contas, autenticar acessos, disponibilizar recursos da Plataforma, organizar pacientes e atendimentos, prestar suporte, responder a solicitações enviadas pelo formulário do site, proteger a segurança do serviço, cumprir obrigações legais e regulatórias, prevenir fraudes e exercer direitos em processos administrativos, arbitrais ou judiciais.

Endereços e localização. Os endereços de pacientes e locais de atendimento são informados pelo profissional e usados para cadastrar pacientes, organizar a agenda e apoiar o planejamento de rotas. Eles identificam o local do atendimento e não são usados para acompanhar a localização do profissional em tempo real. Quando o profissional autoriza e utiliza uma funcionalidade que precisa da localização do dispositivo, ela é usada para atender à solicitação feita no app; o Kineti não mantém monitoramento contínuo da localização em segundo plano.

Rastreamento para publicidade. O Kineti não usa dados pessoais coletados no app para vincular a atividade do usuário a dados de outros apps, sites ou empresas para publicidade direcionada ou medição de anúncios, nem compartilha esses dados com corretores de dados. O e-mail é usado para criar e administrar a conta e para comunicações relacionadas ao serviço. Dados de falhas são usados para identificar e corrigir problemas técnicos, e não para rastreamento publicitário.

Para os dados de conta tratados pela Kineti como controladora, usamos a base legal adequada a cada finalidade, como execução do contrato, cumprimento de obrigação legal ou regulatória, exercício regular de direitos e legítimo interesse, quando aplicável. Para os dados clínicos tratados em nome de um profissional ou serviço de saúde, o respectivo controlador define a base legal aplicável, e a Kineti atua conforme suas instruções.

Recursos de inteligência artificial podem ser processados no dispositivo do profissional. Quando o recurso de resumo clínico com processamento externo estiver disponível e for solicitado pelo profissional, a API da Kineti enviará ao fornecedor contratado somente os trechos de texto clínico necessários à solicitação, após a remoção de nome, CPF, endereço, contatos e outros elementos identificadores detectados. Fotos, vídeos e outros anexos não serão enviados para essa finalidade. O resultado será apoio ao profissional, deverá ser revisado por ele e não substituirá sua avaliação ou decisão assistencial. A Kineti somente ativará esse envio após definir o fornecedor, as condições de retenção e uso dos dados e, quando aplicável, as informações sobre transferência internacional.

Textos clínicos podem conter informações que permitam identificar uma pessoa indiretamente, mesmo após a retirada de identificadores diretos. Por isso, os dados enviados para geração de resumos são tratados como dados pessoais sensíveis sempre que houver possibilidade razoável de reidentificação. O profissional ou serviço de saúde que controla os dados clínicos deve assegurar a base legal e a informação devida ao paciente; a Kineti deve adotar medidas de segurança e limitar o processamento à função solicitada.

A Kineti poderá desenvolver e treinar recursos internos de inteligência artificial com dados clínicos somente após anonimização efetiva, com finalidade informada, fundamento jurídico adequado e instrução ou autorização do profissional ou serviço de saúde controlador. O risco de reidentificação deverá ser avaliado e controlado antes e durante esse uso. Dados clínicos que ainda permitam identificar pacientes não serão usados para treinamento interno com base nesta cláusula.

5. Compartilhamento e fornecedores

Compartilhamos dados somente quando necessário para fornecer a Plataforma, cumprir a lei, proteger direitos ou atender solicitações válidas de autoridades. Os destinatários podem incluir:

• prestadores de infraestrutura em nuvem, hospedagem de aplicações e APIs, bancos de dados, armazenamento, autenticação e segurança;
• serviços de pesquisa de endereços e geolocalização, quando o usuário utilizar esses recursos;
• fornecedores externos de inteligência artificial, somente quando o profissional solicitar a geração de resumo clínico e apenas com o texto clínico necessário, conforme a seção anterior;
• prestadores de serviços contratados que atuem conforme a finalidade do serviço e com obrigações de confidencialidade e segurança;
• autoridades públicas, órgãos reguladores ou terceiros, quando houver obrigação legal, ordem válida ou necessidade de exercício ou defesa de direitos.

As categorias acima descrevem os tipos de destinatários e suas finalidades. O titular pode solicitar, pelo canal indicado nesta política, informações sobre as entidades com as quais seus dados tenham sido compartilhados, nos termos da LGPD. O login por provedores de identidade, quando escolhido pelo usuário, também poderá envolver o tratamento de dados pelo respectivo provedor, sujeito à política dele.

6. Transferências internacionais

O banco de dados e o armazenamento de arquivos da Plataforma ficam no Brasil, em São Paulo. A API da Kineti é hospedada nos Estados Unidos. Quando o profissional usa o aplicativo, os dados necessários à operação solicitada, inclusive dados de conta, pacientes, agenda e registros clínicos, podem ser transmitidos pela internet e processados pela API nos Estados Unidos para autenticação, consulta, gravação, sincronização, suporte técnico e segurança. Esse processamento ocorre durante o uso do serviço; registros técnicos seguem os prazos da seção 8. Os registros persistentes e arquivos são armazenados no Brasil. A hospedagem da API é prestada por operador técnico que atua sob as instruções aplicáveis da Kineti. A Kineti responde pelas decisões relativas aos dados que controla e pela seleção e supervisão de seus prestadores; nos dados clínicos, atua conforme as instruções do profissional ou serviço de saúde controlador. As medidas de segurança são descritas na seção 7, e os direitos podem ser exercidos pelo contato da seção 1. Antes de ativar o processamento externo de IA ou transferir dados pessoais para outro país, a Kineti atualizará as informações pertinentes desta política.

7. Segurança

Adotamos medidas técnicas e administrativas de segurança proporcionais aos dados tratados, às finalidades do serviço e aos riscos para os titulares, para proteger os dados pessoais contra acesso não autorizado, perda, alteração, divulgação ou destruição indevida. Essas medidas são avaliadas e aprimoradas conforme as necessidades do serviço.

Nenhum sistema é totalmente imune a riscos. Se identificarmos incidente de segurança capaz de gerar risco ou dano relevante aos titulares, adotaremos as medidas cabíveis, incluindo comunicação aos envolvidos e à ANPD quando exigida pela legislação.

8. Retenção e eliminação

Os prazos variam de acordo com o tipo de informação:

• dados do formulário de solicitação de acesso do site: por até 1 ano contado do envio, para responder ao pedido e acompanhar o interesse no serviço; ao fim desse prazo, a exclusão será executada manualmente, salvo obrigação legal ou necessidade comprovada de exercício de direitos;
• dados de cadastro e de conta profissional controlados pela Kineti: enquanto a conta estiver ativa e, depois do encerramento, por até 1 ano para suporte, segurança e exercício ou defesa de direitos, salvo quando outro prazo for necessário ou exigido por lei;
• registros de acesso à aplicação, como data e hora de acesso e endereço IP: por 6 meses, sob sigilo e em ambiente seguro, conforme o Marco Civil da Internet, salvo ordem válida de preservação por prazo maior;
• registros fiscais, contábeis e de transações: pelo prazo previsto na legislação aplicável a cada obrigação, ou enquanto forem necessários para atender determinação de autoridade e exercer ou defender direitos;
• dados clínicos de pacientes e anexos mantidos na Plataforma: durante o acesso à conta e por até 90 dias após o fim efetivo do acesso, para permitir a exportação solicitada pelo profissional controlador; depois, a exclusão do ambiente ativo será executada manualmente, ressalvadas instruções lícitas do controlador e hipóteses legais de conservação. O profissional ou instituição deve manter a cópia exportada pelo prazo legal aplicável aos prontuários, cujo período mínimo é de 20 anos desde o último registro;
• texto enviado a fornecedor externo de IA e resultado gerado: o resultado incorporado ao prontuário segue o prazo desse registro. O prazo de retenção de cópias técnicas pelo fornecedor externo será definido em contrato e informado antes do uso do recurso;

Após o fim efetivo do acesso, o profissional poderá solicitar a exportação de todos os dados e registros vinculados à conta pelo e-mail contato@kineti.com.br. A exportação será preparada manualmente, e a Kineti atenderá à solicitação em até 5 dias úteis após receber as informações necessárias para confirmar a identidade e localizar a conta. O profissional deve solicitar a exportação dentro do período de 90 dias e conservar a cópia pelo prazo legal aplicável. Quando a Kineti atuar como operadora dos dados de pacientes, seguirá as instruções lícitas do controlador, respeitadas as obrigações legais de guarda.

Quando a eliminação for permitida, os dados serão eliminados ou anonimizados de forma segura. Cópias de segurança poderão persistir temporariamente até sua substituição nos ciclos técnicos de backup, com acesso restrito e sem uso ordinário, ressalvadas obrigações legais de conservação.

9. Direitos dos titulares

Nos termos da LGPD, o titular pode solicitar, conforme aplicável, confirmação da existência de tratamento, acesso aos dados, correção de dados incompletos, inexatos ou desatualizados, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, portabilidade, informações sobre compartilhamento, revogação do consentimento e revisão de decisões automatizadas que afetem seus interesses.

Para dados de pacientes tratados em nome de um profissional ou serviço de saúde, o pedido deve ser direcionado inicialmente ao profissional ou serviço responsável pelo atendimento. A Kineti prestará a assistência necessária a esse controlador dentro de suas atribuições legais e contratuais.

Para exercer seus direitos relativos aos dados controlados pela Kineti, envie uma solicitação para contato@kineti.com.br. Podemos solicitar informações razoáveis para confirmar sua identidade e proteger seus dados contra acesso indevido. A exclusão da conta e dos dados vinculados à Plataforma pode ser solicitada pelo formulário em www.kineti.com.br/exclusao-de-conta ou pelo e-mail contato@kineti.com.br. A Kineti concluirá a solicitação em até 5 dias úteis após receber as informações necessárias para confirmar a identidade e a autoridade do solicitante e localizar a conta. Esse pedido expresso de exclusão prevalece sobre os períodos de conservação destinados apenas à exportação ou ao suporte, ressalvadas as obrigações legais de guarda, as instruções lícitas do controlador e as hipóteses legais de conservação. Cópias de segurança seguem os ciclos técnicos de substituição descritos nesta Política. A pessoa solicitante será notificada por e-mail quando a solicitação for concluída, com informação sobre eventuais dados conservados e os respectivos motivos.

10. Crianças e adolescentes

Quando a Plataforma tratar dados de crianças e adolescentes, o tratamento observará o seu melhor interesse e as regras aplicáveis. O profissional ou serviço de saúde responsável pelo atendimento deve assegurar a legitimidade do registro e da utilização desses dados.

11. Atualizações desta política

Podemos atualizar esta política para refletir mudanças na Plataforma, nas práticas de tratamento ou na legislação. A versão vigente ficará disponível em www.kineti.com.br/privacidade, com a data da última atualização.

12. Fale conosco

Em caso de dúvidas sobre esta Política de Privacidade ou sobre o tratamento de dados pessoais pela Kineti, entre em contato pelo e-mail contato@kineti.com.br.

Você também poderá apresentar petição à Autoridade Nacional de Proteção de Dados - ANPD, nos termos da legislação aplicável, após buscar o atendimento pelos canais disponibilizados pelo controlador.