Política de Privacidade do DuSaúde ERP

Sistema

DuSaúde ERP

Versão

1.6.0

Vigente desde

03/11/2026

Hash do conteúdo

8dce60f2fa7246e0bec16a08c8edef31c1151a7eb5902c3fc358644af5b3cda7

Nesta versão

Na 1.6.0: 4: a IA passa a ser "fornecedores de inteligência artificial configurados pela DUO", nos Estados Unidos ou em outros países, com a relação e o país em /legal/suboperadores; alcança o texto submetido à IA e, quando ligada, o áudio da transcrição. 4.1: sai "fora da UE e do Brasil, só texto anonimizado"; a clínica é a controladora e obtém a autorização do paciente (arts. 33, VIII, e 11, I); a retirada de nome, documentos, contatos e datas fica, sem ser condição. 4.2: a lista de IA muda pela página, sem nova versão. Na 1.5.3: 4: sai da lista um provedor de IA que o sistema deixou de usar (ficam OpenAI, Anthropic e Google, com o texto anonimizado). 4: hospedagem e telemedicina na Contabo GmbH, data center na União Europeia; IA com o texto anonimizado, nos Estados Unidos. 4.1: hospedagem pelo art. 33, I, e Res. CD/ANPD 32/2026; fora da UE e do Brasil, a IA recebe só texto anonimizado; Google direto do navegador, sem dado de paciente. 8.2-A: todos os pedidos do art. 18 em até 15 dias, sem prazo em dobro. 11: o encarregado é a própria DUO, pessoa jurídica, com razão social, CNPJ, sede e canal do titular (1.5.1). 9.2: nos dados de que a DUO é controladora, comunicação à ANPD e aos titulares em até 3 dias úteis do conhecimento (Res. CD/ANPD 15/2024, arts. 6º e 9º). 9.3: nos dados de que é operadora, a comunicação cabe à clínica, no mesmo prazo, com o apoio da DUO. 9.4: registro interno de todo incidente. Na 1.3.0: a DUO passa a ser controladora da conta do paciente, da conta do profissional, dos pedidos de vínculo e dos códigos do Clube. 2.3: conta única, sem uma clínica ver a ficha da outra; conta pela página pública. 2.4: perfil público revisado; o pedido leva ao parceiro só os dados autorizados, sem prontuário de outras clínicas; do destaque, só contagens. 2.5: a empresa do Clube recebe só o código e o primeiro nome, e o valor da compra volta para a DUO; oferta nunca escolhida por prontuário. Na 1.2.0: prazos de retenção, resposta ao titular e incidente vindos dos parâmetros.

# POLÍTICA DE PRIVACIDADE DO DUSAÚDE ERP

**Controladora / Operadora:** DUO SISTEMAS INTELIGENTES LTDA, CNPJ nº 53.552.100/0001-97, com sede na Avenida Goiás, 2032, Quadra 09 Lote 02 Sala 13 Letra G — Setor Central, Gurupi/TO, CEP 77410-010 ("DUO").

Esta Política explica como a DUO trata dados pessoais no **DuSaúde ERP**, sistema de gestão de clínicas e serviços de saúde.

## 1. OS DOIS PAPÉIS DA DUO

O ponto mais importante desta Política, e o que determina a quem dirigir cada pedido:

**1.1. A DUO é OPERADORA** dos dados que a clínica assinante insere no Sistema — dados de pacientes, prontuários, prescrições, atestados, agendamentos, dados dos profissionais e dos demais usuários da clínica. Quem decide coletar, para que e por quanto tempo é a **clínica**, que é a controladora. A DUO os trata seguindo as instruções documentadas da clínica e as finalidades do Contrato.

**1.2. A DUO é CONTROLADORA** de: dados cadastrais do assinante e da organização; dados de contratação, faturamento e pagamento; registros de aceite eletrônico e suas evidências técnicas; logs de auditoria e de segurança da Plataforma; dados de suporte; a **conta do paciente** no Portal (CPF, nome, data de nascimento, contato e credencial), que liga as fichas de todas as clínicas onde a pessoa é atendida; a **conta do profissional** (nome e número de inscrição no conselho), que liga os seus cadastros nas clínicas onde atende; os **pedidos de vínculo** do Parceiros DuSaúde; e os **códigos do Clube de Benefícios**.

**1.3. Consequência prática:** pedidos de acesso, correção ou eliminação de dados de **prontuário e atendimento** devem ser dirigidos à **clínica**. A DUO, como operadora, não os elimina por conta própria — repassa o pedido à clínica e a auxilia a respondê-lo.

## 2. DADOS TRATADOS

**2.1. Dados que a clínica insere (DUO como operadora):**
- identificação de pacientes: nome, CPF, data de nascimento, sexo, endereço, telefone, e-mail;
- **dados pessoais sensíveis de saúde**: prontuários, evoluções, diagnósticos, prescrições, atestados, exames, anotações clínicas, dados de telemedicina;
- dados de convênio e plano de saúde;
- dados de profissionais: nome, registro no conselho, especialidade, agenda;
- dados de usuários da clínica: nome, e-mail, perfil de acesso.

**2.2. Dados de que a DUO é controladora:**
- cadastro do assinante e da organização: razão social ou nome, CNPJ ou CPF, endereço, e-mail, telefone;
- dados de contratação: plano, preço, periodicidade, faturas, pagamentos;
- **evidências do aceite eletrônico**: endereço IP e a localização aproximada derivada dele (cidade, estado e país, calculados no próprio servidor com uma base local, sem enviar o IP a terceiros; IP Geolocation by DB-IP, https://db-ip.com), navegador (user agent), identificador de sessão, método de autenticação, data, hora, fuso horário, hashes dos documentos aceitos e encadeamento criptográfico dos registros;
- registros de acesso e de auditoria: quem fez o quê, quando, de qual endereço;
- registros de tentativa de autenticação, inclusive as que falharam.

**2.3. Dados do paciente no Portal do Paciente:** credenciais próprias de acesso e os registros de uso do Portal. A conta é uma só por CPF: a mesma credencial abre a ficha de cada clínica onde a pessoa é atendida, e **nenhuma clínica vê a ficha que a outra mantém**. Quem cria a conta pela página pública do Parceiros DuSaúde, antes de ser paciente de alguma clínica, informa CPF, nome, data de nascimento e contato.

**2.4. Parceiros DuSaúde.** O perfil público de uma clínica ou profissional contém o que o próprio assinante publica (inclusive nome e número de inscrição dos profissionais que ele escolhe mostrar), depois da revisão da DUO. O **pedido de vínculo** leva ao parceiro escolhido os dados que o paciente autoriza no pedido — nome, CPF, data de nascimento, contato, sexo e endereço —, com o texto da autorização registrado; o prontuário mantido em outras clínicas **não** é compartilhado. Com o aceite do parceiro, a ficha criada lá passa a ser de responsabilidade dele, como controlador. Das buscas e dos destaques patrocinados, a DUO guarda apenas contagens (aparições, cliques, pedidos), sem identificar quem buscou.

**2.5. Clube de Benefícios.** Ao gerar um código, a empresa parceira recebe **somente o código e o primeiro nome** de quem o gerou — nenhum dado de saúde, de prontuário ou de receita. A empresa informa à DUO o valor da compra feita com o código, para o cálculo da participação combinada. As ofertas são mostradas por público (clínica ou paciente), e **nunca** escolhidas a partir de prontuário, receita ou especialidade.

## 3. FINALIDADES E BASES LEGAIS

| Tratamento | Finalidade | Base legal (LGPD) |
|---|---|---|
| Dados de saúde inseridos pela clínica | Prestar o serviço de gestão contratado pela clínica | Art. 11, II, "f" — tutela da saúde, em procedimento realizado por serviços de saúde; a DUO opera segundo instruções da clínica controladora |
| Cadastro do assinante e contratação | Executar o contrato | Art. 7º, V — execução de contrato |
| Faturamento, cobrança e inadimplência | Cobrar o que é devido e exercer direitos | Art. 7º, V e VI — execução de contrato e exercício regular de direitos |
| Evidências do aceite eletrônico (IP, user agent, sessão, hashes) | Comprovar autoria e integridade da manifestação de vontade; preservar prova | Art. 7º, VI — exercício regular de direitos em processo |
| Logs de acesso e auditoria | Segurança da Plataforma, apuração de incidente, cumprimento do art. 15 do Marco Civil da Internet | Art. 7º, II e VI — cumprimento de obrigação legal e exercício regular de direitos |
| Registro de tentativas de login | Prevenção a fraude e a acesso não autorizado | Art. 7º, IX — legítimo interesse, com o titular protegido pela mesma medida |
| Comunicações operacionais e de suporte | Atender e informar | Art. 7º, V — execução de contrato |

**3.1.** A DUO **não** utiliza consentimento como base legal genérica para todas as atividades. Onde o consentimento for a base — e ele o será apenas onde nenhuma outra couber —, isso é dito no ponto de coleta e a revogação é oferecida no mesmo lugar.

**3.2.** A DUO **não** vende dados pessoais, não os cede a terceiros para publicidade e não realiza perfilamento publicitário.

## 4. FORNECEDORES E SUBOPERADORES

A DUO utiliza os fornecedores abaixo. Nenhum deles recebe dados para finalidade própria; todos os tratam por conta e ordem da DUO ou, quando o caso, do assinante.

| Fornecedor | Serviço | Dados que alcança | Onde |
|---|---|---|---|
| Asaas Gestão Financeira | Gateway de pagamento (boleto, Pix, cartão) | Nome, CPF/CNPJ, e-mail, telefone e valor do pagador | Brasil |
| Jitsi Meet, em servidor próprio na Contabo GmbH (Alemanha), data center na União Europeia | Sala de videoconferência de telemedicina | Metadados da sala e o áudio/vídeo da consulta enquanto ela ocorre | União Europeia |
| Google (OAuth e reCAPTCHA) | Login federado e proteção contra automação | E-mail e nome da conta Google, no login federado; sinais técnicos do navegador, no reCAPTCHA | Exterior |
| Contabo GmbH (Alemanha), data center na União Europeia | Hospedagem do Sistema: servidor (VPS) e armazenamento de objetos | Todos os dados do Sistema, inclusive os arquivos enviados, que podem conter dados de saúde | União Europeia |
| Fornecedores de inteligência artificial configurados pela DUO, quando o recurso de IA estiver ativo (relação atualizada, com o país de cada um, em /legal/suboperadores) | Assistente de inteligência artificial e, quando ligada, transcrição da teleconsulta | O texto submetido à funcionalidade de IA, que pode conter dados de saúde, e, na transcrição, o áudio da consulta. Antes do envio, o sistema retira do texto o nome, os documentos, os contatos e as datas que identificam o paciente | Estados Unidos ou outros países |
| Provedor de e-mail (SMTP configurado pelo assinante ou pela DUO) | Envio de notificações e comunicações | Endereço de e-mail e conteúdo da mensagem | Conforme o provedor |
| ViaCEP | Consulta de endereço por CEP | Apenas o CEP digitado | Brasil |

**4.1. Transferência internacional.**
- **Hospedagem e telemedicina (Contabo GmbH, Alemanha, data center na União Europeia):** transferência com base no art. 33, I, da LGPD e na Resolução CD/ANPD nº 32/2026, que reconhece a União Europeia como destino com grau de proteção adequado, inclusive para dados pessoais sensíveis.
- **Inteligência artificial de terceiros:** algumas funções usam inteligência artificial de terceiros, com servidores nos Estados Unidos ou em outros países. Os fornecedores podem mudar; a relação atualizada, com o país de cada um, está na Lista de Suboperadores, em /legal/suboperadores. Quando você é paciente ou cliente de uma clínica que usa o DuSaúde ERP, essa clínica é a controladora dos seus dados e é responsável por informar você e obter a sua autorização para esse tratamento (LGPD, art. 33, VIII, e, para dado de saúde, art. 11, I). A retirada do nome, dos documentos, dos contatos e das datas antes do envio reduz o risco, mas não é condição para o uso.
- **Google (login federado, opcional, e reCAPTCHA):** o navegador do usuário se comunica diretamente com o Google, que recebe os dados indicados no quadro acima; nenhum dado de paciente é enviado a ele.

**4.2.** Esta lista é mantida atualizada. A inclusão de novo suboperador relevante é refletida em nova versão desta Política. Os fornecedores de inteligência artificial mudam conforme a configuração do serviço e ficam, com o país de cada um, na página pública /legal/suboperadores, que é atualizada a cada mudança.

## 5. COMPARTILHAMENTO ALÉM DOS FORNECEDORES

A DUO compartilha dados pessoais apenas quando: (a) o assinante determinar, no âmbito do serviço; (b) houver ordem judicial ou requisição de autoridade competente; (c) for necessário ao exercício regular de direitos, inclusive em cobrança e em processo; ou (d) houver obrigação legal ou regulatória.

## 6. SEGURANÇA

**6.1.** A DUO adota medidas técnicas e administrativas de segurança, entre as quais: transporte cifrado; controle de acesso por perfil; segregação lógica de dados entre organizações (multi-tenant); política de senha com exigência de complexidade; bloqueio temporário após tentativas sucessivas de login; registro de auditoria das operações relevantes; e armazenamento de credenciais sob algoritmo de derivação com sal.

**6.2.** Nenhuma medida de segurança elimina integralmente o risco. A DUO **não** declara o Sistema invulnerável, isento de erros ou impenetrável.

## 7. RETENÇÃO E ELIMINAÇÃO

**7.1.** Dados de saúde e de prontuário são retidos pelo prazo que a **clínica controladora** determinar, observada a regulamentação profissional e sanitária aplicável a ela.

**7.2.** Dos dados de que é controladora, a DUO guarda, e elimina ao fim do prazo por rotina automática diária:

| Categoria | Prazo | Contado de | Fundamento |
|---|---|---|---|
| Registros de acesso e log operacional — tentativas de login, acessos a documentos e as operações de rotina do registro de auditoria | 12 (doze) meses | a data do registro | Marco Civil da Internet, art. 15 (6 meses é o mínimo legal) |
| Prova de obrigação — registro de auditoria de contratação, plano, cobrança, cupom e exercício de direito | vigência do contrato + 10 (dez) anos | o encerramento do contrato | Código Civil, art. 205 (prescrição decenal) |
| Registros de aceite eletrônico e suas evidências | não são eliminados | — | prova da manifestação de vontade; só saem por ordem judicial |
| Histórico de pedidos de titulares, de incidentes de privacidade e de alteração de parâmetros da Plataforma | não são eliminados | — | demonstração de conformidade (LGPD, art. 6º, X) |

**7.3.** A razão dessa preservação é objetiva: cumprimento de obrigação legal e regulatória; exercício regular de direitos; prevenção a fraude; defesa em processo; preservação de evidências; cobrança; e auditoria. Durante o período de retenção, o uso desses dados fica **restrito a essas finalidades**.

**7.4.** Dos dados de que a DUO é operadora, o prazo é o que a clínica determina. Encerrado o contrato, eles ficam disponíveis para exportação por 30 (trinta) dias e, passados 30 (trinta) dias do encerramento, são eliminados por decisão de pessoa responsável da DUO, na forma do Contrato e do DPA — nunca por rotina automática.

## 8. DIREITOS DO TITULAR

**8.1.** Nos termos do art. 18 da LGPD, o titular pode requerer: confirmação da existência de tratamento; acesso; correção de dado incompleto, inexato ou desatualizado; anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade; portabilidade; informação sobre compartilhamento; informação sobre a possibilidade de não consentir e as consequências; revogação do consentimento, quando essa for a base legal; e oposição a tratamento realizado com fundamento em legítimo interesse.

**8.2. Para onde dirigir o pedido.** Dados de **prontuário e atendimento**: à clínica que o atendeu, que é a controladora. Dados **cadastrais, de contratação, de aceite ou de log da Plataforma**: à DUO.

**8.2-A. Prazos.** A confirmação da existência de tratamento e o acesso aos dados são respondidos **de imediato, em formato simplificado**, no momento do pedido, ou por **declaração clara e completa em até 15 (quinze) dias** contados do requerimento (LGPD, art. 19). Os demais pedidos do art. 18 são atendidos no mesmo prazo de até 15 (quinze) dias. A DUO não usa o prazo em dobro de agente de tratamento de pequeno porte. O requerente recebe por e-mail o protocolo na abertura e o aviso na conclusão.

**8.3. Verificação de identidade.** A DUO confirma a identidade do requerente antes de responder. Não é rigor formal: atender pedido de acesso sem confirmar quem pede é criar o vazamento que a lei manda evitar.

**8.4. Limite à eliminação.** Registros de aceite, hashes, evidências, dados de cobrança e logs de auditoria **não são eliminados** enquanto houver base legal para preservá-los. Nesse caso, a DUO informa a impossibilidade, informa a base legal correspondente, restringe o uso e preserva apenas pelo tempo necessário.

## 9. INCIDENTES DE SEGURANÇA

**9.1.** Havendo incidente de segurança que possa acarretar risco ou dano relevante, a DUO comunica o assinante em prazo razoável e, sempre que possível, em até 48 (quarenta e oito) horas da **confirmação** do incidente, com o que se sabe, o que se investiga e as medidas adotadas.

**9.2.** Nos dados de que a DUO é **controladora** (item 1.2), havendo incidente que possa acarretar risco ou dano relevante aos titulares, a DUO o comunica à Autoridade Nacional de Proteção de Dados e aos titulares afetados **em até 3 (três) dias úteis** contados do conhecimento do incidente (LGPD, art. 48; Resolução CD/ANPD nº 15/2024, arts. 6º e 9º), salvo prazo diverso previsto em legislação específica. A avaliação de risco e relevância é feita por decisão humana responsável — não é automática.

**9.3.** Nos dados de que a DUO é **operadora** (item 1.1), a comunicação à Autoridade e aos titulares cabe à clínica, que é a controladora e tem o mesmo prazo de 3 (três) dias úteis contados do conhecimento; a comunicação do item 9.1 existe para que ela possa cumpri-lo, e a DUO lhe fornece as informações do art. 48, §1º, da LGPD que estiverem ao seu alcance.

**9.4.** Todo incidente é registrado internamente, com detecção, classificação e contenção.

## 10. COOKIES

Descritos na Política de Cookies do DuSaúde ERP.

## 11. CANAL DE COMUNICAÇÃO COM O TITULAR

**Encarregado e canal do titular.** O encarregado pelo tratamento de dados pessoais é a própria DUO SISTEMAS INTELIGENTES LTDA, pessoa jurídica, CNPJ 53.552.100/0001-97, com sede na Avenida Goiás, 2032, Quadra 09 Lote 02 Sala 13 Letra G — Setor Central, Gurupi/TO, CEP 77410-010 (LGPD, art. 41; Resolução CD/ANPD nº 18/2024, art. 12, II). As solicitações de titulares e as comunicações da ANPD devem ser dirigidas a **[email protected]**.

Os pedidos também podem ser abertos pelo formulário da página pública /legal/titular, que emite protocolo.

## 12. VERSIONAMENTO

Esta Política é versionada. Versões anteriores são preservadas, marcadas como substituídas e permanecem consultáveis, com o hash do conteúdo original. Cada versão registra o que mudou e se a alteração é material.