Política de Privacidade e Proteção de Dados Pessoais

1. Identificação do Controlador e do Encarregado

Controladora: Cinematica Academy, inscrita no CNPJ sob o nº 54.427.651/0001-91.

Encarregado pelo Tratamento de Dados Pessoais (DPO): [NOME DO ENCARREGADO]

E-mail do Encarregado: [EMAIL DO ENCARREGADO]

Para exercer quaisquer dos seus direitos como titular de dados pessoais, entre em contato com nosso Encarregado pelos canais acima, conforme Art. 41 da LGPD e Resolução CD/ANPD nº 18/2024.

2. Dados Pessoais que Coletamos

2.1. Dados do Profissional (usuário da plataforma)

• Dados de identificação: nome completo, e-mail, telefone, foto de perfil
• Dados profissionais: número do CREFITO, especialidade
• Dados de acesso: credenciais de login (senha armazenada com hash bcrypt — não armazenamos a senha em texto)
• Dados financeiros: identificador Stripe (não armazenamos dados de cartão de crédito)
• Dados biométricos: descritores faciais para reconhecimento facial no ponto eletrônico — dado sensível (Art. 5º, II)

2.2. Dados do Paciente (inseridos pelo profissional)

• Dados de identificação: nome, e-mail, telefone, data de nascimento, sexo
• Dados sensíveis de saúde (Art. 11): histórico médico, comorbidades, medicações, avaliações clínicas, evoluções, questionários de triagem, medidas de desfecho (PROMs), protocolos VBHC, prescrições de exercícios
• Dados biométricos: descritores faciais para identificação
• Imagens e vídeos: fotos e vídeos clínicos armazenados em servidor seguro (AWS S3)
• Dados de interação com IA: conversas com agentes de IA contendo informações clínicas

2.3. Dados coletados automaticamente

• Endereço IP e user agent (registros de consentimento)
• Cookies essenciais (autenticação e sessão)
• Dados de navegação (Google Analytics, mediante consentimento prévio)

3. Finalidades e Bases Legais do Tratamento

4. Compartilhamento e Operadores (Sub-processadores)

Compartilhamos dados pessoais com os seguintes operadores/sub-processadores, estritamente para as finalidades indicadas:

Não vendemos, alugamos ou compartilhamos dados pessoais com terceiros para fins de marketing, publicidade ou qualquer outra finalidade não relacionada à prestação dos serviços contratados.

Em conformidade com o Art. 11, §4º da LGPD, é vedada a comunicação ou uso compartilhado de dados sensíveis de saúde com objetivo de obter vantagem econômica, exceto para prestação de serviços de saúde em benefício do titular.

5. Transferência Internacional de Dados (Art. 33)

Os dados pessoais tratados pela plataforma podem ser transferidos para servidores localizados nos Estados Unidos da América, por meio dos operadores listados na Seção 4.

A transferência internacional é realizada com base em:

• Cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024, Anexo II);
• Medidas técnicas e organizacionais de segurança adequadas;
• Compromissos contratuais dos operadores em manter nível de proteção equivalente ao da LGPD.

Para dados sensíveis de saúde, são aplicadas salvaguardas adicionais, incluindo criptografia em trânsito (TLS) e em repouso, controle de acesso por credenciais e auditoria de acessos.

6. Processamento por Inteligência Artificial (Art. 20)

6.1. O que a IA faz na plataforma

• Estruturação de anamnese e exame físico
• Sugestão de testes especiais e escalas clínicas
• Identificação de red flags para segurança clínica
• Geração de relatórios PDF profissionais
• Apoio ao raciocínio clínico baseado em evidências

6.2. Limites da IA

A IA é ferramenta de apoio. Conforme as resoluções do COFFITO, o diagnóstico e a conduta terapêutica são atos soberanos do fisioterapeuta. Nenhuma decisão clínica é tomada unicamente por processamento automatizado.

6.3. Seus direitos em relação à IA

O titular tem direito a:

• Solicitar informações claras sobre a lógica utilizada pela IA (Art. 20, §1º)
• Solicitar revisão de qualquer análise gerada pela IA (Art. 20)
• Optar por não utilizar as funcionalidades de IA, sem prejuízo do uso das demais funcionalidades da plataforma

7. Dados Biométricos

A plataforma oferece funcionalidades de reconhecimento facial para:

• Identificação de pacientes
• Registro de ponto eletrônico de funcionários

Os descritores faciais são dados sensíveis (Art. 5º, II) e seu tratamento requer consentimento específico e destacado (Art. 11, I). O processamento ocorre localmente no navegador (face-api.js) e os descritores numéricos são armazenados no banco de dados. O titular pode solicitar a exclusão dos dados biométricos a qualquer momento.

8. Retenção de Dados

Após solicitação de exclusão, os dados são anonimizados (não eliminados completamente) para preservar a integridade dos registros clínicos conforme obrigação do COFFITO, com remoção completa de dados pessoais identificáveis.

9. Direitos do Titular (Art. 18 da LGPD)

O titular de dados pessoais tem direito a, mediante requisição ao Encarregado:

• I — Confirmação da existência de tratamento;
• II — Acesso aos dados;
• III — Correção de dados incompletos, inexatos ou desatualizados;
• IV — Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• V — Portabilidade dos dados a outro fornecedor de serviço (Art. 18, V);
• VI — Eliminação dos dados pessoais tratados com base em consentimento;
• VII — Informação sobre com quem seus dados foram compartilhados;
• VIII — Informação sobre a possibilidade de não fornecer consentimento e consequências da negativa;
• IX — Revogação do consentimento (Art. 8º, §5º);
• X — Revisão de decisões automatizadas (Art. 20).

O prazo para atendimento de solicitações é de 15 (quinze) dias, conforme Art. 19, II da LGPD.

As solicitações podem ser feitas:

• Pelo painel de controle da plataforma (Configurações > Dados & Legal)
• Por e-mail ao Encarregado: [EMAIL DO ENCARREGADO]

10. Segurança da Informação

Implementamos medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou comunicação. Entre as medidas adotadas:

• Criptografia em trânsito (HTTPS/TLS em todas as comunicações)
• Senhas armazenadas com hash bcrypt
• Autenticação via JWT (JSON Web Tokens)
• Proteção de rotas por middleware
• Rate limiting por endpoint
• Logs de auditoria imutáveis (ConsentLog)
• Controle de acesso baseado em funções (administrador, profissional)
• URLs pré-assinadas para acesso temporário a arquivos
• Guardrails anti-prompt-injection nos agentes de IA

11. Cookies

Cookies analíticos só são ativados após consentimento do usuário por meio do banner de cookies (LGPD Cookie Banner). Cookies essenciais são necessários para o funcionamento da plataforma e não podem ser desativados.

12. Menores de Idade (Art. 14)

A plataforma é destinada a profissionais de fisioterapia maiores de idade. Dados de pacientes menores de idade podem ser inseridos pelo profissional no exercício de suas atribuições clínicas, com base na tutela da saúde (Art. 11, II, 'f'). Nestes casos, o consentimento é dos pais ou responsáveis legais do menor, obtido pelo profissional responsável pelo atendimento.

13. Procedimento de Exclusão de Dados

Você pode solicitar a exclusão dos seus dados pessoais a qualquer momento. O procedimento é o seguinte:

• Acesse Configurações > Dados & Legal no painel de controle, ou envie e-mail ao Encarregado
• Sua solicitação será registrada e confirmada por e-mail
• A exclusão/anonimização será processada em até 15 dias úteis
• Dados sujeitos a retenção legal (registros clínicos — COFFITO 5 anos) serão anonimizados, com remoção de dados pessoais identificáveis
• Você receberá confirmação quando o processo for concluído

Para exclusão de dados de pacientes específicos, o profissional pode utilizar o botão "Excluir Paciente" no painel de controle. Esta ação é permanente e irreversível.

14. Alterações nesta Política

Esta política pode ser atualizada periodicamente. A data da última atualização será sempre indicada no topo do documento. Alterações substanciais serão comunicadas por e-mail e/ou notificação na plataforma. O uso continuado da plataforma após a notificação de alterações constitui aceitação da política atualizada.

15. Contato do Encarregado (DPO)

Para exercer seus direitos, esclarecer dúvidas sobre o tratamento de dados ou registrar reclamações, entre em contato com nosso Encarregado pelo Tratamento de Dados Pessoais:

• Encarregado (DPO): [NOME DO ENCARREGADO]
• E-mail: [EMAIL DO ENCARREGADO]

Caso não obtenha resposta satisfatória ou queira fazer uma reclamação, você poderá entrar em contato com a Autoridade Nacional de Proteção de Dados (ANPD) em www.gov.br/anpd.