Resumo em uma tela

A extensão Santé funciona dentro da aba do WhatsApp Web, ao lado da sua conversa. Ela identifica o contato aberto pelo número de telefone e mostra o cadastro e a agenda daquele paciente, que já existem no sistema da sua clínica.

Nenhum dado de paciente é gravado no seu computador. O que aparece na tela vive apenas na memória, enquanto a tela está aberta.
A extensão não lê o conteúdo de nenhuma mensagem do WhatsApp.
Ela nunca envia mensagem sozinha. Ela pode preencher a caixa de digitação, mas quem aperta enviar é sempre você.
A extensão trata dados de saúde, que a lei chama de dados sensíveis, e por isso segue regras mais rígidas.
Nada é vendido, nada vira publicidade e não existe rastreamento de comportamento.
Quem responde pelos dados do paciente é a sua clínica. A Santé é a empresa que opera o sistema para ela.

1. Quem somos

Santé Sistemas Ltda, CNPJ 27.819.855/0001-03. Contato: sante@santesistemas.io

Esta política vale apenas para a extensão de navegador, disponível para o Google Chrome. O sistema web e o aplicativo são cobertos pela Política de Privacidade principal.

2. O que a extensão acessa da página do WhatsApp Web

A extensão lê, da aba aberta no seu navegador:

O nome do contato da conversa aberta, para mostrar de quem é a conversa dentro do painel.
A foto do contato, para mostrar o avatar dentro do painel.
O número de telefone do contato, para localizar o cadastro do paciente no sistema Santé.
O telefone das conversas já carregadas na tela, para achar a conversa certa quando você abre um paciente pelo painel.

O que a extensão não lê: o conteúdo de nenhuma mensagem, a prévia da última mensagem na lista de conversas, o histórico da conversa, nem qualquer mídia enviada ou recebida.

Quando a conversa é de um grupo, a extensão apenas identifica que é grupo e para por ali. Nenhum dado de grupo é lido ou enviado.

3. O que a extensão escreve no WhatsApp

A extensão pode preencher a caixa de digitação com um texto pronto, por exemplo a mensagem de parabéns da clínica no aniversário do paciente.

Ela nunca envia a mensagem. Não existe envio automático, agendado, em lote ou por tentativa repetida. O envio é sempre uma ação sua.

Para saber que a mensagem de parabéns foi enviada, a extensão observa apenas se uma nova mensagem de saída apareceu na conversa. Ela olha o identificador dessa mensagem, nunca o texto dela.

4. O que a extensão acessa do sistema Santé

Apenas os dados da clínica em que você já tem acesso, com o mesmo nível de permissão que o seu usuário tem no sistema web:

Cadastro do paciente: nome, telefone, data de nascimento, código do cadastro, nome do responsável, convênio e o campo de observações.
Agenda e consultas: data, horário, duração, profissional, sala ou cadeira, tipo de consulta, situação do agendamento e observações do atendimento.
Retornos programados.
Foto do paciente, quando existir.

A extensão não recebe CPF, RG, sexo, e-mail nem endereço. Também não recebe prontuário, anamnese, diagnóstico, alergia ou medicação: esses campos não existem em nenhuma tela dela.

Sobre CPF: ainda que ele não seja devolvido pelo sistema, se você digitar um CPF na busca de pacientes, esse número é enviado ao servidor da Santé para localizar o cadastro.

A extensão exibe e permite atualizar informações de cadastro e de agenda dos pacientes da clínica, conforme as permissões do seu usuário no Santé. Ela não dá acesso a nada que você já não pudesse ver ou fazer no sistema web.

5. O que a extensão acessa de você, usuário da clínica

E-mail e senha, enviados ao servidor da Santé apenas no momento do login.
Ou o código QR, quando você escolhe entrar pareando com uma sessão já autenticada.
Seu nome, a clínica a que pertence e as suas permissões, para exibição e controle de acesso no painel.

6. Dados sensíveis de saúde

Parte do que a extensão exibe é dado pessoal sensível na definição do artigo 5º, inciso II da LGPD, porque diz respeito à saúde da pessoa. Em concreto:

o convênio ou plano do paciente;
o tipo de consulta e a situação do agendamento;
o campo de observações, que é de texto livre e, na prática, costuma conter informação clínica escrita pela clínica, por exemplo uma queixa relatada pelo paciente;
o simples fato de existir uma consulta marcada em uma clínica.

Por isso: esses dados nunca são gravados no seu computador, nem em cache em disco, nem em banco local. Eles trafegam apenas entre o seu navegador e o servidor da sua clínica no Santé. Nenhum deles é usado para qualquer finalidade além de mostrar a você, profissional autorizado, a informação de que precisa naquele atendimento.

O tratamento se apoia no artigo 11, inciso II, alínea “f” da LGPD, que autoriza o tratamento de dado de saúde para a tutela da saúde, em procedimento realizado por profissionais de saúde ou por entidade sanitária.

7. Dados de crianças e adolescentes

Clínicas de odontopediatria e de pediatria usam o sistema, então a extensão pode exibir o cadastro de menores de idade, incluindo o nome do responsável.

Esses dados recebem o mesmo tratamento dos demais: são buscados na hora, exibidos ao profissional autorizado e descartados ao fechar a tela. Nenhum dado de criança é usado para publicidade, perfilamento ou qualquer finalidade que não seja o atendimento.

O consentimento do responsável e o cumprimento do artigo 14 da LGPD são obrigação da clínica, que é a controladora dos dados.

8. Onde os dados ficam, e por quanto tempo

Dados de paciente: nada é gravado em disco. Enquanto a tela da agenda está aberta, a extensão mantém os agendamentos já consultados apenas na memória, para não precisar buscar a mesma informação duas vezes. Essa memória é descartada quando você troca de dia ou fecha o painel, e nunca é salva.

O que fica salvo no navegador:

Preferência de tema e de interface, até você desinstalar a extensão.
Produto escolhido, Odonto ou Clinic, até você desinstalar a extensão.
Um identificador anônimo da instalação, sem dado pessoal, até você desinstalar a extensão.
O token de sessão, somente se você marcar “Manter conectado”: vale 30 dias, é renovado a cada uso e é apagado no logout ou ao desligar a opção.

Se você não marcar “Manter conectado”, a sessão fica só na memória e fechar o navegador encerra o acesso. A chave de acesso usada nas chamadas ao sistema vale 1 hora e é renovada automaticamente.

Nada é sincronizado com a sua conta Google. Ao desinstalar a extensão, o Chrome apaga tudo que ela guardou.

Os dados no sistema da clínica continuam existindo no Santé, com o prazo de guarda definido na Política de Privacidade principal e na legislação de prontuário.

9. Com quem compartilhamos

Não vendemos, não alugamos e não cedemos dados a ninguém. Não há publicidade, não há análise de comportamento, não há rastreador de terceiros.

A extensão se comunica com estes destinos, e apenas com eles:

Servidor da Santé, para as consultas e atualizações de cadastro e agenda.
Amazon Web Services, no Brasil, que serve a foto do paciente por link temporário.
Ably, que transporta os eventos de agenda em tempo real, e esses eventos incluem nome e telefone do paciente.

Além disso, o sistema da Santé usa o serviço New Relic para monitorar desempenho. Em consultas lentas ao banco de dados, o texto da consulta pode ser enviado a esse serviço e conter dados de paciente.

O que é o Ably: é o serviço que faz a agenda se atualizar na sua tela no mesmo instante em que alguém muda alguma coisa, sem você recarregar a página. Ele transporta os eventos e não guarda cópia deles.

O acesso é individual por clínica: a cada sessão, o servidor da Santé emite uma credencial que vale 1 hora, permite apenas escutar e funciona somente no canal daquela clínica. Nenhuma clínica consegue escutar o canal de outra.

10. Transferência internacional de dados

Toda a infraestrutura da Santé fica no Brasil: a aplicação, o banco de dados e as fotos de paciente.

Dois serviços ficam fora do país, e por isso configuram transferência internacional nos termos do artigo 33 da LGPD:

Ably, no Reino Unido, que recebe os eventos de agenda com nome e telefone do paciente.
New Relic, nos Estados Unidos, que recebe o texto de consultas lentas ao banco, que pode conter dados de paciente.

A transferência se limita ao necessário para o funcionamento do serviço e se apoia na execução do contrato entre a Santé e a clínica contratante.

11. Quem responde pelo quê

A lei separa dois papéis, e eles são diferentes conforme o dado:

Dados do paciente, ou seja cadastro, agenda e consultas: a clínica contratante é a controladora e a Santé Sistemas é a operadora.
Dados de você, usuário, ou seja e-mail, senha, nome e permissões: a Santé Sistemas é a controladora.

Para os dados do paciente, a clínica decide o que é coletado e por quê; a Santé apenas processa em nome dela, seguindo instruções. Base legal: execução do contrato entre a Santé e a clínica, somada às bases próprias da clínica para tratar dado de saúde.

Para os seus dados de usuário, a base legal é a execução do contrato de uso do sistema. Em todos os casos tratamos o mínimo necessário para a extensão funcionar.

12. Permissões que a extensão pede ao navegador

Armazenamento, para guardar tema, produto escolhido e, se você optar, o token de sessão.
Acesso a web.whatsapp.com, para ler o contato da conversa aberta e inserir texto na caixa de digitação.
Acesso a app.santeodonto.io e app.santeclinic.io, para fazer as consultas ao sistema da sua clínica.

Só isso. A extensão não pede acesso ao seu histórico de navegação, a outras abas, aos seus cookies, à sua localização, à câmera, ao microfone nem aos seus arquivos.

13. Segurança

Toda comunicação é feita por HTTPS.
A extensão não guarda a sua senha depois do login.
A permissão é verificada no servidor, não na tela. Esconder um botão é conveniência; quem não tem permissão recebe recusa do servidor mesmo que tente contornar a interface. E ninguém alcança dado de outra clínica, nem sabendo o identificador.
A credencial do tempo real é emitida por sessão, vale 1 hora, só permite escutar e só funciona no canal da sua clínica.
Recomendamos não marcar “Manter conectado” em computador compartilhado com outras pessoas da clínica.

14. Seus direitos

A LGPD garante a você e ao paciente o direito de confirmar a existência do tratamento, acessar os dados, corrigir dados incompletos ou errados, pedir anonimização ou exclusão, pedir portabilidade e saber com quem os dados foram compartilhados.

Se você é paciente, o pedido deve ir para a clínica onde você se trata, que é a controladora dos seus dados. Se preferir, escreva para nós em sante@santesistemas.io e encaminhamos à clínica responsável.

Se você é usuário da clínica, escreva direto para sante@santesistemas.io. Respondemos em até 15 dias.

15. Encarregado pelo tratamento de dados

O canal para assuntos de proteção de dados, nos termos do artigo 41 da LGPD, é o e-mail sante@santesistemas.io.

16. Alterações

Mudanças nesta política são publicadas nesta mesma página, com nova data no topo. Se a mudança alterar de forma relevante o que a extensão acessa, avisamos dentro do próprio painel antes de a mudança entrar em vigor.

17. Contato

Santé Sistemas Ltda, CNPJ 27.819.855/0001-03. E-mail: sante@santesistemas.io

Política de Privacidade da Extensão