Versão 2026-04-30 v1

Política de Privacidade — Vinlet

A Vinlet trata dados pessoais com base na Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD), no Código de Ética Médica e nas resoluções do Conselho Federal de Medicina (CFM). Este documento descreve quais dados coletamos, com que finalidade, com quem compartilhamos, por quanto tempo retemos e quais são os direitos do titular.

1. Quem somos

Controlador: a clínica contratante (cada clínica que utiliza a plataforma Vinlet é a controladora dos dados de seus pacientes).
Operadora: Vinlet Tecnologia (CNPJ a ser registrado), atuando como operadora dos dados nos termos do art. 5º VIII da LGPD.

2. Encarregado de Tratamento de Dados (DPO)

Em conformidade com o art. 41 da LGPD, o Encarregado pode ser contatado em dpo@vinlet.com.br. Solicitações serão respondidas em até 15 dias.

3. Quais dados coletamos

• Dados de identificação: nome, CPF, RG, data de nascimento, endereço, telefone, e-mail.
• Dados de saúde (categoria sensível — art. 5º II + art. 11): histórico clínico, prontuário, evoluções, exames, prescrições, atestados, fotos clínicas, transcrições de consulta.
• Dados financeiros: valores de procedimentos, formas de pagamento (sem armazenar dados de cartão).
• Dados de uso: logs de acesso (Marco Civil da Internet art. 15), cliques, dispositivos.

4. Bases legais (art. 7 e art. 11)

• Execução de contrato com a clínica para prestação do serviço (art. 7º V).
• Cumprimento de obrigação legal (CFM Res. 1.821/2007 — retenção mínima de 20 anos do prontuário).
• Consentimento específico para tratamento de dados sensíveis (art. 11 I) e para envio de mensagens via WhatsApp (art. 7º I).
• Tutela da saúde exclusivamente por profissionais de saúde (art. 11 II f).

5. Subprocessadores e transferência internacional

Para prestar o serviço utilizamos os seguintes subprocessadores. Alguns operam fora do território brasileiro — esta transferência ocorre com base no art. 33 da LGPD e em garantias contratuais equivalentes.

• Google Cloud / Firebase (Estados Unidos) — banco de dados, autenticação e armazenamento.
• Vercel (Estados Unidos) — hospedagem da aplicação web.
• Anthropic (Estados Unidos) — modelos de inteligência artificial de texto (assistente Violet, resumo da consulta, identificação de pedidos do profissional e rascunho de documentos). Antes do envio, nomes de pacientes, CPF, telefone e e-mail são substituídos por códigos (pseudonimização); segue o conteúdo clínico necessário à tarefa e, nos rascunhos de documento, os dados profissionais que constam no documento (nome da clínica e CRM).
• Groq (Estados Unidos) — transcrição do áudio da consulta, somente quando gravada com o consentimento do paciente.
• Meta WhatsApp Business — envio de mensagens autorizadas pelo paciente.
• Sentry (Estados Unidos) — monitoramento de erros técnicos. Configurado para remover dados pessoais antes do envio (PHI scrubbing).
• Upstash Redis — cache e limitação de taxa.
• Memed (Brasil) — emissão de receituário digital conforme legislação da Anvisa.

A lista atualizada de subprocessadores está disponível em /privacidade/subprocessadores. Mudanças substanciais serão comunicadas com 30 dias de antecedência.

6. Retenção de dados

• Prontuário, evoluções, prescrições, atestados: 20 anos a partir da última consulta (CFM Res. 1.821/2007).
• Receituário controlado: 5 anos (Portaria SVS 344/1998 art. 57).
• Logs de acesso: mínimo de 6 meses (Marco Civil art. 15).
• Mensagens WhatsApp: 24 meses ou até a revogação do consentimento.
• Dados financeiros: 5 anos (CTN art. 174).

Após esses prazos, os dados são anonimizados (art. 12) ou eliminados (art. 16 IV). Em caso de cancelamento da clínica, os prontuários são mantidos em arquivo seguro pelo prazo legal e disponibilizados à clínica sucessora ou ao paciente mediante solicitação.

7. Direitos do titular (art. 18)

O titular pode, a qualquer momento, solicitar:

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários;
• Portabilidade dos dados;
• Eliminação dos dados tratados com consentimento;
• Informação sobre compartilhamento;
• Revogação do consentimento.

Solicitações devem ser enviadas para dpo@vinlet.com.br ou pelo portal do paciente. Resposta em até 15 dias.

8. Segurança

Aplicamos medidas técnicas e administrativas: criptografia em trânsito (HTTPS, HSTS), criptografia em repouso (AES-256-GCM com chaves derivadas por clínica), controle de acesso por papel (RBAC), autenticação multifator (2FA) para administradores e médicos, registro de auditoria imutável, segregação multi-tenant.

9. Incidentes de segurança

Em caso de incidente que cause risco ou dano relevante aos titulares, notificaremos a ANPD e os titulares afetados em prazo razoável, conforme art. 48 da LGPD.

10. Menores

O tratamento de dados de menores de 18 anos requer consentimento específico de pelo menos um dos pais ou do responsável legal (art. 14). A clínica é responsável por coletar este consentimento.

11. Atualizações desta política

Mudanças substanciais serão comunicadas pelo portal e por e-mail. A versão vigente (2026-04-30 v1) substitui versões anteriores.

12. Foro

Foro da comarca da clínica contratante. Em caso de pacientes, prevalece o foro do domicílio do titular.

Última revisão: 2026-04-30 v1