Política de Privacidade

Este modelo é base para sua conformidade com a LGPD (Lei 13.709/2018). Revise com seu DPO antes de publicar em produção.

1. Quem somos

O PEP Neuro é operado por BM SERVICOS MEDICOS LTDA, CNPJ 53.301.166/0001-04. Encarregado pelo Tratamento de Dados (DPO): Brendow Mártin Freitas Gadelha, email: neuro.brendow@gmail.com.

2. Dois papéis distintos de tratamento

Em relação ao médico assinante, o PEP Neuro é controlador dos dados cadastrais (nome, CRM, e-mail, financeiro).

Em relação aos pacientes do médico, o PEP Neuro é operador. O controlador é o próprio médico/clínica assinante. Não fazemos tratamento dos dados de pacientes para finalidade própria.

3. Dados que coletamos

• Dados de cadastro do médico: nome, CRM, RQE, CPF, e-mail, telefone, endereço.
• Dados de uso: logs técnicos, IPs, ações no sistema (para auditoria).
• Dados financeiros: histórico de pagamentos via provedor.
• Dados de pacientes inseridos pelo médico: ficam isolados no banco, criptografados em repouso, acessíveis apenas via login do próprio médico.

4. Como protegemos

• Hospedagem em datacenter Tier 3 (Supabase/AWS) com certificações ISO 27001 e SOC 2.
• Criptografia em repouso (AES-256) e em trânsito (TLS 1.3).
• Isolamento de dados entre tenants via Row-Level Security do PostgreSQL.
• Autenticação multifator opcional via Supabase Auth.
• Logs de auditoria de acesso por 12 meses.

5. Seus direitos (Art. 18 LGPD)

Você pode requisitar acesso, correção, anonimização ou portabilidade dos seus dados a qualquer momento por e-mail. Atendemos em até 15 dias.

6. Compartilhamento com terceiros

Compartilhamos dados apenas com integradores essenciais ao serviço, sempre sob acordo de operação:

• Supabase / AWS: hospedagem do banco e arquivos.
• Stripe: processamento de pagamentos da assinatura.
• Memed, NotaaS: apenas quando o médico ativa e configura essas integrações.
• OpenAI: recursos de IA inclusos na plataforma (organização de texto, OCR de exames, apoio a laudos), processados no servidor sob chave da plataforma, nos planos que incluem IA.
• Groq: transcrição por voz das consultas (modelo Whisper), processada no servidor sob chave da plataforma, nos planos que incluem voz. O áudio é enviado diretamente ao provedor para transcrição e não é armazenado: retornamos e guardamos apenas o texto transcrito.

As chaves de IA e de voz são exclusivamente da plataforma e ficam no servidor; o médico não cadastra chaves próprias.

Transferência internacional: a IA (OpenAI) e a transcrição por voz (Groq) processam dados em servidores fora do Brasil. Esse tratamento segue o Art. 33 da LGPD, limita-se ao necessário para a prestação do serviço e é regido por acordo de operação/cláusulas contratuais com cada operador.

7. Retenção

Dados de pacientes são retidos enquanto a assinatura estiver ativa. Após cancelamento, 30 dias de janela de exportação; depois disso, exclusão permanente, exceto o que a lei exigir manter (ex: 20 anos para prontuário, conforme CFM).

8. Contato

Dúvidas: suporte@pepneuro.com.br.