1.Quem é o controlador e o encarregado#
A GUEBLY LTDA ("Guebly"), CNPJ 63.316.501/0001-00, sede em Rua Antero Figueiredo Filho, 166, Jardim São Luís, São Paulo/SP, CEP 05812-020, é a controladora dos dados pessoais tratados para criar e manter a conta, cobrar, proteger o serviço e cumprir obrigações legais. O canal do Encarregado pelo Tratamento de Dados Pessoais (art. 41 da LGPD e Resolução CD/ANPD nº 18/2024) é gabriel@guebly.com.br (encarregado: Gabriel Pereira da Silva).
Para os dados dos pacientes e de seus responsáveis, a clínica é a controladora e a Guebly é operadora. Se você é paciente, dirija seus pedidos de titular à clínica que cuida de você; se nos procurar, encaminharemos.
2.Dados que tratamos#
Tratamos:
- Da clínica e dos usuários: nome, e-mail, telefone, CPF/CNPJ, registro profissional, senha (hash), perfil de acesso, dados de cobrança e registros de acesso.
- Dos pacientes e responsáveis, inseridos pela clínica: nome, data de nascimento, contato, endereço, convênio, dados do responsável, queixas, histórico, evoluções, avaliações, protocolos, laudos, anexos e agendamentos.
- Mensagens de WhatsApp trocadas com pacientes, se a clínica ativar a comunicação.
- Dados técnicos: IP, dispositivo, navegador e registros de auditoria de quem acessou cada prontuário.
3.Dados pessoais sensíveis e de saúde#
Prontuário, avaliações, laudos e condições de saúde (inclusive de crianças e adolescentes com o transtorno do espectro autista ou outros diagnósticos) são dados pessoais sensíveis (art. 5º, II, da LGPD). O tratamento é feito pela clínica, como controladora, normalmente para a tutela da saúde em procedimento realizado por profissionais de saúde (art. 11, II, "f") e para cumprir obrigação legal de guarda do prontuário (art. 11, II, "a"); quando for necessário o consentimento, ele é coletado pela clínica de forma específica e destacada, do paciente ou de um dos pais ou responsável.
O PassoLab protege esses dados com controle de acesso por perfil, registro de auditoria dos acessos, cifragem em trânsito e cópias de segurança cifradas. A Guebly não usa dados de pacientes para publicidade, venda ou treinamento próprio de modelos de IA, e só acessa o prontuário para suporte quando a clínica autoriza ou para atender ordem legal.
4.Para que usamos os dados e em qual base legal#
Cada tratamento tem uma finalidade e uma base legal da LGPD (arts. 7º e 11):
- Prestar o serviço contratado à clínica — execução de contrato (art. 7º, V).
- Tratar dados de pacientes em nome da clínica — instrução da controladora, com base escolhida por ela (art. 11, II, "f" ou consentimento do art. 11, I).
- Cobrar a assinatura e prevenir fraude — execução de contrato e legítimo interesse (art. 7º, V e IX).
- Segurança, auditoria e melhoria do serviço, com métricas agregadas — legítimo interesse (art. 7º, IX).
- Cumprir obrigações legais, fiscais e ordens de autoridades — obrigação legal (art. 7º, II).
Quando a base é o legítimo interesse (art. 7º, IX), tratamos apenas o necessário, avaliamos o impacto sobre o titular (art. 10) e você pode se opor. Quando a base é o consentimento, você pode revogá-lo a qualquer momento, sem prejuízo do que já foi tratado.
5.Com quem compartilhamos#
Não vendemos dados pessoais. Compartilhamos apenas o necessário com quem nos ajuda a prestar o serviço (operadores e suboperadores) e com autoridades quando a lei exigir:
- Guebly Pay e instituições de pagamento parceiras (Asaas): cobrança da assinatura.
- Provedor de inteligência artificial (Anthropic, Groq ou OpenAI conforme a configuração): somente se a clínica ativar a anamnese assistida ou outro recurso de IA.
- Meta (WhatsApp Business Platform), por meio do Guebly Connect: somente se a comunicação por WhatsApp for ativada.
- Resend: e-mails transacionais.
- Cloudflare R2: armazenamento de anexos e arquivos.
- Hospedagem e infraestrutura: servidores da Guebly em provedor de VPS, com rede protegida pela Cloudflare (DNS, CDN e proteção contra ataques).
- Cópias de segurança cifradas armazenadas em provedores de nuvem (Cloudflare R2 e banco gerenciado Neon).
- Autoridades judiciais, policiais ou administrativas, mediante ordem ou requisição legal.
Os provedores acima podem ser trocados por equivalentes; a lista atualizada pode ser pedida pelo canal do Encarregado.
6.Transferência internacional#
Alguns provedores (por exemplo de e-mail, monitoramento, inteligência artificial e mensageria) podem tratar dados fora do Brasil. Fazemos essa transferência com base nos arts. 33 a 36 da LGPD e na Resolução CD/ANPD nº 19/2024, usando cláusulas contratuais padrão, outro mecanismo previsto em lei ou o seu consentimento específico quando exigido, e enviando somente o necessário.
7.Por quanto tempo guardamos#
Dados da clínica e dos pacientes: enquanto durar o contrato e conforme as instruções da clínica. A guarda legal do prontuário (mínimo de 20 anos, Lei nº 13.787/2018) é responsabilidade da clínica; recomendamos exportar os dados antes de encerrar a conta.
Após o encerramento, os dados ficam disponíveis para exportação por 30 dias e depois são eliminados ou anonimizados, salvo ordem legal.
Dados de cobrança e fiscais: 5 anos. Cópias de segurança cifradas: mantidas em rodízio, com eliminação periódica.
Registros de acesso à aplicação (data, hora e IP) são guardados por no mínimo 6 (seis) meses, como exige o art. 15 do Marco Civil da Internet (Lei nº 12.965/2014).
8.Seus direitos (art. 18 da LGPD)#
Você pode pedir, a qualquer momento e gratuitamente:
- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
- portabilidade a outro fornecedor, nos termos da regulamentação da ANPD;
- eliminação dos dados tratados com base no consentimento;
- informação sobre as entidades com quem compartilhamos os dados;
- informação sobre a possibilidade de não consentir e suas consequências;
- revogação do consentimento;
- oposição a tratamento feito com base em hipótese diferente do consentimento, se houver descumprimento da lei;
- revisão de decisões tomadas unicamente de forma automatizada que afetem seus interesses (art. 20).
Peça pelo e-mail gabriel@guebly.com.br. Confirmamos a existência do tratamento de imediato e respondemos ao pedido completo em até 15 (quinze) dias (art. 19). Podemos pedir comprovação de identidade para proteger você. Se agirmos como operadora dos dados que o nosso cliente controla, encaminharemos o seu pedido ao controlador (o cliente) para que ele responda.
Se não ficar satisfeito, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.
9.Segurança e incidentes#
- Comunicação protegida por HTTPS/TLS; senhas guardadas com hash unidirecional.
- Controle de acesso por perfil e registros de auditoria; o acesso da Guebly aos dados dos clientes se limita ao necessário para suporte e segurança, com registro.
- Cópias de segurança cifradas e rotina de restauração; firewall e isolamento de rede nos servidores.
Se ocorrer incidente que possa acarretar risco ou dano relevante, comunicaremos a ANPD e os titulares afetados em até 3 (três) dias úteis do conhecimento (art. 48 da LGPD e Resolução CD/ANPD nº 15/2024). Quando formos operadora, avisaremos o controlador sem demora injustificada para que ele cumpra a mesma obrigação.
10.Cookies e tecnologias semelhantes#
Usamos cookies e armazenamento local estritamente necessários para manter a sua sessão, proteger o login contra fraude e lembrar preferências básicas (como o tema). Eles não dependem de consentimento porque são indispensáveis ao serviço que você pediu (art. 7º, V, da LGPD).
Não usamos cookies de publicidade nem vendemos dados de navegação.
11.Crianças e adolescentes#
O PassoLab é de uso profissional e não é destinado a menores de 18 anos como usuários. Pacientes menores de idade (incluindo crianças com TEA) têm dados registrados pela clínica, que é a controladora e deve observar o art. 14 da LGPD, a Lei nº 8.069/1990 (ECA) e a Lei nº 15.211/2025 (ECA Digital), quando aplicáveis. A Guebly, como operadora, só trata esses dados conforme a instrução da clínica.
12.Alterações desta política#
Podemos atualizar esta política. Mudanças relevantes serão avisadas por e-mail ou no painel com antecedência razoável, e a data de atualização fica no topo da página.
13.Contato#
Encarregado e canal de privacidade: gabriel@guebly.com.br. GUEBLY LTDA, CNPJ 63.316.501/0001-00.
Leia também: Termos de Uso · Política de Cookies