Política de Privacidade

A EXON GENOMICS MEDICAL LTDA, inscrita no CNPJ sob o n.º 57.357.101/0001-31, com sede em São Paulo/SP, é a controladora dos dados pessoais tratados no site (exongenomics.com), na plataforma web (app.exongenomics.com) e nos aplicativos Exon Genomics, nos termos da Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD).

Encarregado pelo tratamento de dados (DPO): Dr. Pedro Henrique Santana Castro
E-mail: contato@drpedrocastro.com

Quando a plataforma é usada por médicos e clínicas parceiras para atender os próprios pacientes, esses profissionais também respondem, perante seus pacientes e conselhos de classe, pelo prontuário que mantêm, e a Exon trata esses dados em seu nome e conforme suas instruções.

• Pacientes e seus responsáveis legais;
• Médicos e demais profissionais de saúde que usam a plataforma;
• Colaboradores administrativos (recepção, secretaria, faturamento);
• Visitantes do site e pessoas que entram em contato conosco (formulários, WhatsApp, e-mail).

Recebemos esses dados diretamente de você, do seu médico ou responsável legal, dos laboratórios que realizam seus exames e de sistemas clínicos anteriores usados pela clínica (por exemplo, importação de prontuário).

Não usamos seus dados para publicidade, não os vendemos e não traçamos perfis comerciais a partir deles.

Dados de saúde e genéticos são dados pessoais sensíveis e estão protegidos também pelo sigilo médico (Código de Ética Médica). Por isso:

• só são usados para o seu cuidado, para os exames que você ou seu médico solicitaram e para obrigações legais;
• não são compartilhados com operadoras de planos de saúde, seguradoras ou empregadores para seleção de riscos, contratação ou exclusão de benefícios (art. 11, §5º, LGPD) — a operadora recebe apenas o estritamente necessário para autorizar e pagar o procedimento coberto;
• não são usados em pesquisa sem consentimento específico ou sem anonimização, nos termos da lei;
• resultados genéticos podem revelar informações sobre familiares biológicos; recomendamos que o compartilhamento com a família seja feito com orientação médica.

Dados de crianças e adolescentes são tratados no seu melhor interesse (art. 14, LGPD). O cadastro, o acesso ao prontuário e as decisões sobre o tratamento dos dados de menores de idade e de pessoas legalmente incapazes são feitos pelos seus pais ou responsáveis legais, que acessam os dados do dependente pela própria conta. O vínculo de responsável é registrado pela clínica.

O acesso é controlado por perfil, no próprio banco de dados (Row Level Security), e registrado:

A plataforma oferece recursos de inteligência artificial para apoiar o trabalho do médico:

• Transcrição de consultas: o áudio gravado pelo médico é convertido em texto;
• Organização do texto da consulta e preenchimento de modelos de anamnese;
• Parecer de apoio sobre o caso e sugestão de pendências a partir da conduta;
• leitura de documentos e importação de agendas.

Garantias:

• A IA não toma decisões clínicas. Todo conteúdo gerado é uma sugestão, revisado e aprovado pelo médico antes de entrar no prontuário;
• no parecer de apoio e na sugestão de pendências, o texto é desidentificado antes do envio: nome do paciente e de familiares, CPF, contatos, endereço e data de nascimento exata são removidos;
• os modelos são operados pela Anthropic, PBC (Claude) e, na transcrição de áudio, pela OpenAI, como operadores contratados. Pelos termos de uso das APIs desses fornecedores, os dados enviados não são usados para treinar seus modelos e são retidos apenas pelo prazo necessário à prestação do serviço e à prevenção de abusos;
• você pode pedir ao seu médico que não use esses recursos no seu atendimento.

Compartilhamos dados apenas com fornecedores (operadores) necessários para o funcionamento da plataforma, contratados com obrigações de confidencialidade e segurança, e somente o necessário para cada função:

Também podemos compartilhar dados com convênios (apenas o necessário para autorização e pagamento de procedimentos), com outros médicos mediante sua autorização, e com autoridadesquando exigido por lei ou ordem judicial.

Alguns fornecedores da seção 9 processam dados fora do Brasil, principalmente nos Estados Unidos. Essas transferências ocorrem para a execução do serviço e a tutela da sua saúde (art. 33, LGPD), com fornecedores que adotam garantias contratuais e técnicas de proteção compatíveis com a LGPD, como criptografia em trânsito e em repouso e cláusulas de confidencialidade e de proteção de dados.

Profissionais de saúde podem, por escolha própria, conectar sua conta Google ao Exon pelo próprio Perfil. A conexão é opcional e não é exigida de pacientes.

Quais dados da conta Google acessamos e para quê:

• E-mail da conta — para mostrar ao profissional qual conta está conectada;
• Agenda criada pelo Exon— o Exon cria na conta uma agenda separada, "Exon - Consultório", e grava nela as consultas marcadas na plataforma (data, horário, duração, local, nome e telefone do paciente, status e link do prontuário). Remarcações, mudanças de status e cancelamentos atualizam ou removem esses eventos;
• Horários ocupados das demais agendas — consultados somente para não oferecer horários em conflito com compromissos do profissional. Esses horários não são armazenados.

Guardamos apenas os tokens de acesso necessários para manter a conexão, de forma segura e acessível só pelos servidores do Exon. Nenhum outro dado da conta Google é lido ou armazenado.

O uso e a transferência de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. Esses dados não são vendidos, não são usados para publicidade, não são repassados a terceiros e não são usados para desenvolver, melhorar ou treinar modelos de inteligência artificial. Só são vistos por pessoas quando o próprio profissional pede suporte, por segurança ou por exigência legal.

O profissional pode desconectar a qualquer momento em Perfil → Google Agenda no Exon, ou nas permissões da conta Google. Ao desconectar, o acesso é revogado e os tokens são apagados; os eventos já criados permanecem na agenda do profissional, que pode excluí-los.

English summary:Physicians may optionally connect their Google account. Exon Genomics then (1) reads the account e-mail to show which account is connected, (2) creates a dedicated "Exon - Consultório" calendar and writes the appointments booked on the platform to it, and (3) reads free/busy times from the physician's other calendars, without storing them, to avoid scheduling conflicts. Exon Genomics' use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements. Google user data is never sold, used for advertising, shared with third parties, or used to develop, improve or train AI models. Access can be revoked at any time in the Exon profile or in the Google account permissions.

Usamos WhatsApp, e-mail e notificações do aplicativo para avisos ligados ao seu atendimento: confirmação e lembrete de consultas, laudos disponíveis, novas pendências, respostas às suas solicitações, links de cadastro e acesso. As notificações no celular são enviadas apenas se você as ativar, e podem ser desligadas a qualquer momento em Meu Perfil ou nos ajustes do aparelho. O texto exibido na tela bloqueada é genérico e não inclui resultados ou diagnósticos.

Links de cadastro enviados ao paciente são pessoais, valem por 48 horas e deixam de funcionar após o uso.

• Essenciais: cookies de sessão para manter você conectado com segurança — sem eles a plataforma não funciona;
• Preferências: armazenamento local do navegador para lembrar escolhas (como a ordem dos painéis) e o controle de inatividade;
• Biometria (opcional): ao ativar o acesso por Face ID ou digital, a chave privada fica apenas no seu aparelho; guardamos somente a chave pública, que não permite reconstruir sua biometria;
• Estatísticas: medição de acesso e desempenho agregada, sem cookies de rastreamento e sem fins publicitários.

Não usamos cookies de publicidade nem de rastreamento entre sites.

• criptografia em trânsito (TLS) e em repouso;
• controle de acesso por perfil diretamente no banco de dados (Row Level Security) e chaves de serviço restritas ao servidor;
• autenticação obrigatória, confirmação de e-mail, acesso por biometria (opcional) e encerramento automático da sessão por inatividade;
• registro das alterações de cadastro e de prontuário, com histórico de versões;
• verificação de vírus nas fotos de exames e de perfil enviadas pelo paciente, e limite de tentativas em rotas públicas;
• links públicos temporários e de uso único (cadastro do paciente) e textos de notificação sem dados clínicos.

Nenhum sistema é totalmente imune a falhas; por isso mantemos o procedimento de resposta a incidentes da seção 17.

Encerrados os prazos, os dados são eliminados ou anonimizados, salvo quando a lei exigir ou permitir sua guarda (art. 16, LGPD).

Nos termos do art. 18 da LGPD, você pode, a qualquer momento:

• confirmar se tratamos seus dados e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados (vários deles diretamente em Meu Perfil, no app);
• pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
• pedir a portabilidade dos seus dados e uma cópia do seu prontuário;
• saber com quem compartilhamos seus dados (seção 9);
• revogar consentimentos dados (por exemplo, Google Agenda, biometria, notificações) e saber as consequências;
• pedir revisão de decisões tomadas apenas com base em tratamento automatizado — o que não ocorre na plataforma, pois toda decisão clínica é do médico;
• encerrar sua conta: em Meu Perfil → Zona de perigo, ou pelo e-mail do encarregado.

Ao encerrar a conta, seu acesso é removido. O prontuário, porém, continua guardado pelo prazo legal da seção 15, com acesso restrito, porque a lei obriga a sua conservação.

Para exercer seus direitos, escreva para contato@drpedrocastro.com. Podemos pedir informações para confirmar sua identidade. Respondemos em até 15 dias. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

Se ocorrer um incidente de segurança que possa causar risco ou dano relevante a você, adotaremos medidas imediatas para contê-lo e comunicaremos a ANPD e os titulares afetados em prazo razoável, conforme o art. 48 da LGPD e a regulamentação da ANPD, informando a natureza dos dados afetados, os riscos e as medidas tomadas.

Esta política pode ser atualizada para refletir mudanças na plataforma ou na legislação. A data da última versão fica no topo da página. Mudanças relevantes serão comunicadas no aplicativo ou por e-mail.

Dúvidas sobre esta política ou sobre seus dados: contato@drpedrocastro.com (Encarregado: Dr. Pedro Henrique Santana Castro).

EXON GENOMICS MEDICAL LTDA · CNPJ 57.357.101/0001-31 · São Paulo/SP · Termos de Serviço