Política de Privacidade — RMed para Clínicas

A RMED LTDA, CNPJ nº 59.552.238/0001-72, sede em Araranguá/SC ("RMed", "Nós"), leva a privacidade e a segurança dos dados a sério. Esta Política descreve como coletamos, usamos, compartilhamos e protegemos os dados pessoais tratados na plataforma rmed.life ("Plataforma") no contexto de contratação por Clínicas, em conformidade com a Lei nº 13.709/2018 (LGPD), com o Marco Civil da Internet e com as normas do CFM aplicáveis.

Esta Política complementa os Termos de Uso para Clínicas e é dirigida à Clínica contratante, aos seus gestores, médicos e secretárias ("Usuários da Clínica") e aos pacientes cujos dados são inseridos na Plataforma.

1. Papéis no tratamento de dados

1.1. Em relação aos dados dos Usuários da Clínica (cadastro, credenciais, uso da Plataforma), a RMed atua como controladora.

1.2. Em relação aos dados de pacientes inseridos pelos Usuários da Clínica (identificação, histórico clínico, áudios, documentos), a Clínica é a controladora, pois define as finalidades e os meios do tratamento no exercício de sua atividade. A RMed atua como operadora, tratando tais dados exclusivamente para prestar os serviços contratados pela Clínica.

1.3. Quando a Clínica delega acesso a médicos e secretárias, a Clínica é responsável por definir e revisar as permissões concedidas na Plataforma.

2. Dados que tratamos

2.1. Dados da Clínica e dos Usuários da Clínica

• Cadastrais da Clínica: nome fantasia, razão social, CNPJ, endereço, e-mail e telefone de contato, dados do gestor responsável.
• Cadastrais dos Usuários da Clínica: nome, e-mail, telefone, CPF, CRM/UF (para médicos), especialidade, RQE quando aplicável.
• Financeiros: plano contratado, número de cadeiras, histórico de cobranças, meios de pagamento (armazenados diretamente no provedor), dados fiscais quando ativado o módulo de cobrança de pacientes.
• Uso da Plataforma: logs de acesso, dispositivo, IP, geolocalização aproximada, ações realizadas, trilhas de auditoria por Usuário da Clínica e uso de recursos de IA.
• Comunicações: mensagens trocadas com o suporte, feedbacks e respostas de pesquisas.

2.2. Dados de pacientes (inseridos pelos Usuários da Clínica)

• Identificação: nome, CPF, data de nascimento, sexo, contatos, endereço.
• Dados sensíveis de saúde: anamnese, histórico clínico, hipóteses diagnósticas, prescrições, exames, laudos, anexos e demais documentos clínicos.
• Áudio de consulta: gravado quando o médico acionar a funcionalidade e mediante consentimento do paciente, utilizado para transcrição e geração de documentos.
• Financeiros: valores cobrados pela Clínica ao paciente pela Plataforma, status de pagamento e recibos.
• Contato: quando a Clínica optar por lembretes de agenda ou envio de cobrança/documentos, poderão ser tratados e-mail e telefone/WhatsApp do paciente.

3. Finalidades e bases legais

Tratamos dados para as seguintes finalidades e bases legais:

• Execução do contrato — criação e manutenção das contas, disponibilização da Plataforma, transcrição, geração de documentos, prontuário, agenda, cobrança de assinatura;
• Cumprimento de obrigação legal e regulatória — guarda de prontuário pelo prazo legal, obrigações fiscais e atendimento a requisições de autoridades;
• Legítimo interesse — segurança da Plataforma, prevenção a fraudes, melhoria dos produtos e análises estatísticas agregadas e anonimizadas;
• Tutela da saúde por profissional de saúde ou serviço de saúde — para dados sensíveis de pacientes (art. 11, II, "f", LGPD);
• Consentimento — quando aplicável, especialmente para comunicações de marketing e para a gravação de áudio do paciente, obtido pela Clínica/médico;
• Exercício regular de direitos — em processos judiciais, administrativos ou arbitrais.

4. Uso de Inteligência Artificial

4.1. As funcionalidades de IA (transcrição, copiloto clínico, geração de documentos e chat clínico) podem processar áudio e texto inseridos pelos Usuários da Clínica, incluindo dados sensíveis de saúde, exclusivamente para gerar as saídas solicitadas.

4.2. Utilizamos provedores de modelos de IA contratualmente comprometidos a não treinar seus modelos com o conteúdo da Clínica e a excluir os dados dos ambientes de inferência conforme sua política.

4.3. Áudios de consulta são utilizados para transcrição e geração de documentos e podem ser mantidos enquanto necessários à finalidade e ao cumprimento das obrigações legais aplicáveis ao prontuário, ou excluídos a pedido da Clínica controladora quando não houver obrigação legal em contrário.

5. Compartilhamento com terceiros

Compartilhamos dados apenas com operadores essenciais à operação da Plataforma, sob contrato e obrigações de segurança e confidencialidade:

• Infraestrutura em nuvem (hospedagem, banco de dados, storage, autenticação);
• Provedores de IA para transcrição e geração de texto;
• Provedores de pagamento (Stripe e adquirentes) para processar a assinatura da RMed e as cobranças que a Clínica emite a seus pacientes;
• Provedores de comunicação (e-mail transacional, WhatsApp Business, SMS) para envio de notificações, lembretes, recibos e cobranças, conforme configurado pela Clínica;
• Provedores de analytics e observabilidade, com dados minimizados e/ou anonimizados;
• Autoridades públicas, quando exigido por lei, ordem judicial ou requisição legítima.

Não vendemos dados pessoais e não utilizamos dados de pacientes para publicidade.

6. Transferência internacional

Alguns provedores utilizados pela RMed operam fora do Brasil. Nesses casos, adotamos salvaguardas contratuais e técnicas compatíveis com a LGPD, incluindo cláusulas-padrão e verificação de nível adequado de proteção.

7. Segurança da informação

Aplicamos medidas técnicas e organizacionais compatíveis com o estado da arte, incluindo:

• criptografia em trânsito (TLS) e em repouso;
• controle de acesso baseado em função (RBAC) — gestor, médico e secretária — e princípio do menor privilégio;
• autenticação com MFA disponível aos Usuários da Clínica;
• trilhas de auditoria para acessos e ações sensíveis, especialmente de secretárias;
• backups regulares e planos de continuidade;
• monitoramento contínuo, testes de segurança e resposta a incidentes.

8. Retenção e exclusão

8.1. Dados cadastrais dos Usuários da Clínica: enquanto durar o vínculo com a Clínica e a conta ativa, e por até 5 anos após o encerramento, para fins legais e defesa de direitos.

8.2. Prontuário e documentos clínicos: mantidos pelo prazo mínimo de 20 anos a contar do último registro, conforme legislação sanitária e normas do CFM, mesmo após o cancelamento da conta da Clínica.

8.3. Dados financeiros e fiscais: pelos prazos exigidos pela legislação tributária e civil (em regra, 5 a 10 anos).

8.4. Áudios de consulta: pelo período necessário à geração dos documentos e ao cumprimento das obrigações legais aplicáveis, observadas as configurações da Clínica controladora.

9. Direitos do titular

Nos termos da LGPD, o titular pode solicitar:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade;
• informação sobre compartilhamentos e sobre a possibilidade de não fornecer consentimento;
• revogação do consentimento, quando aplicável.

Importante: quando os dados forem de pacientes, a solicitação deve ser dirigida à Clínica controladora. A RMed apoiará a Clínica no atendimento dessas solicitações.

10. Cookies e tecnologias similares

Utilizamos cookies estritamente necessários (sessão, autenticação, segurança) e cookies analíticos com dados agregados para melhorar a experiência. Você pode gerenciá-los nas configurações do navegador.

11. Menores de idade

A Plataforma é destinada exclusivamente a profissionais e organizações da área médica. Dados de pacientes crianças e adolescentes eventualmente inseridos pela Clínica são tratados com base na tutela da saúde e sob responsabilidade da Clínica controladora, conforme a LGPD.

12. Incidentes de segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a RMed comunicará a ANPD e os titulares afetados nos prazos e formas exigidos pela LGPD, adotando as medidas de mitigação cabíveis, e apoiará a Clínica em suas próprias obrigações de comunicação.

13. Encarregado (DPO) e contato

Para exercer direitos ou tirar dúvidas sobre esta Política:
E-mail: dpo@rmed.life
Suporte: contato@rmed.life
Endereço: RMED LTDA — Araranguá/SC.

14. Alterações desta Política

Podemos atualizar esta Política a qualquer tempo. Alterações materiais serão comunicadas pelo e-mail cadastrado e/ou aviso destacado na Plataforma, com antecedência mínima de 15 dias.

15. Adequação à Resolução CFM nº 2.454/2026 (uso de IA na medicina)

15.1. Esta Política foi complementada para refletir a Resolução CFM nº 2.454, de 11 de fevereiro de 2026, que normatiza o uso de Inteligência Artificial (IA) na medicina. As disposições desta cláusula prevalecem, no que forem específicas, sobre as regras gerais de IA previstas no item 4.

15.2. Privacidade desde a concepção e por padrão. A RMed incorpora medidas de privacy by design e privacy by default em todo o ciclo de vida das funcionalidades de IA, incluindo minimização de dados enviados aos modelos, criptografia em trânsito e em repouso, controle de acesso por função (gestor, médico, secretária) e ambientes segregados de inferência (Anexo I, XV e XVI, da Resolução CFM nº 2.454/2026).

15.3. Base legal específica para IA em saúde. O tratamento de dados sensíveis de pacientes por funcionalidades de IA ocorre com fundamento na tutela da saúde, prestada por profissional/serviço de saúde (art. 11, II, "f", LGPD), e, quando aplicável, na execução de contrato ou em consentimento específico obtido pela Clínica controladora.

15.4. Compartilhamento mínimo com provedores de IA. Enviamos aos provedores de modelos de IA apenas o conteúdo estritamente necessário para gerar a saída solicitada pelo Usuário da Clínica. Não utilizamos dados de pacientes para treinar modelos de terceiros e exigimos contratualmente essa mesma vedação de nossos provedores.

15.5. Direito do paciente à informação e à recusa. Cabe à Clínica controladora informar o paciente, de forma clara e acessível, quando a IA for utilizada como apoio relevante em seu cuidado, diagnóstico ou tratamento, e coletar/registrar sua eventual recusa (Art. 5º, §§1º e 3º). A Plataforma disponibiliza recursos para operacionalizar essa comunicação e o respectivo registro.

15.6. Não delegação de comunicação à IA. A RMed não permite que a IA da Plataforma comunique diretamente ao paciente diagnósticos, prognósticos ou decisões terapêuticas sem a mediação humana do médico responsável (Art. 5º, §2º). Os canais automatizados voltados ao paciente têm caráter administrativo e educacional, e não substituem avaliação médica.

15.7. Contestabilidade. Toda saída de IA na Plataforma pode ser questionada, revisada ou rejeitada pelo médico responsável. Canais internos permitem reportar inconsistências, imprecisões e potenciais vieses, viabilizando a correção e a melhoria contínua das funcionalidades (Anexo I, XX).

15.8. Supervisão humana e auditabilidade institucional. As soluções de IA da RMed não são soberanas: adotamos supervisão humana obrigatória sobre as saídas relevantes, monitoramento contínuo e trilhas de auditoria por Usuário da Clínica, permitindo à Clínica cumprir seu dever de auditoria especializada e monitoramento contínuo (Art. 9º, §2º).

15.9. Transparência. A RMed disponibiliza, em linguagem simples, informações sobre finalidade, funcionamento, limitações e riscos das principais funcionalidades de IA da Plataforma, bem como sobre os provedores utilizados, respeitados o segredo industrial e comercial.