Política de Privacidade

1. Escopo e legislação aplicável

Esta Política aplica-se ao site xdocctor.com, ao Concierge (concierge.xdocctor.com), APIs, aplicativos e demais interfaces da Xdocctor. Observamos a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD), o Marco Civil da Internet, as resoluções aplicáveis do Conselho Federal de Medicina (CFM), as diretrizes da CVM e do Banco Central para produtos financeiros, e as práticas do HIPAA para operações internacionais.

2. Dados que coletamos

• Dados cadastrais: nome, e-mail, telefone, CPF/CNPJ, profissão e credenciais profissionais (CRM, CRO, CRF, quando aplicável).
• Dados de saúde (sensíveis): prontuário eletrônico, histórico clínico, exames, prescrições e evidências carregadas pelo profissional ou paciente.
• Dados financeiros: informações necessárias para KYC/AML, tokenização de recebíveis e liquidação de operações estruturadas.
• Dados de uso: endereço IP, tipo de dispositivo, páginas visitadas, logs de autenticação e telemetria essencial ao funcionamento seguro.
• Cookies e identificadores: utilizados para sessão, preferências e métricas agregadas de produto.

3. Finalidades do tratamento

Tratamos dados exclusivamente para as seguintes finalidades:

• Prestação dos serviços clínicos e financeiros contratados.
• Segurança da conta, prevenção a fraudes e conformidade regulatória.
• Geração de evidências rastreáveis e auditáveis on-chain.
• Comunicações operacionais e, quando autorizado, informativas.
• Cumprimento de obrigações legais, regulatórias e requisições de autoridades competentes.

4. Bases legais

Utilizamos as bases legais previstas nos arts. 7º e 11 da LGPD: execução de contrato, cumprimento de obrigação legal e regulatória, exercício regular de direitos, tutela da saúde por profissional de saúde, prevenção à fraude e, quando aplicável, consentimento específico e destacado do titular.

5. Compartilhamento

A Xdocctor não vende dados pessoais. Compartilhamos informações apenas com: (i) operadores contratados sob acordo de tratamento de dados (infraestrutura em nuvem, e-mail transacional, análise de fraude); (ii) instituições financeiras e custodiantes autorizados, quando essencial à liquidação de operações; (iii) autoridades públicas mediante requisição legal fundamentada; (iv) sucessores em eventos societários, preservadas as finalidades originais.

6. Segurança da informação

Adotamos criptografia em trânsito (TLS 1.2+) e em repouso (AES-256), segregação de ambientes, princípio do menor privilégio, autenticação multifator, registros imutáveis de acesso, testes de invasão periódicos e revisão contínua de dependências. Dados clínicos são segregados por tenant e chaves criptográficas operacionais são custodiadas com HSM.

7. Retenção e eliminação

Dados de prontuário são mantidos pelo prazo legal mínimo aplicável (CFM Res. 1.821/2007 — 20 anos a partir do último registro). Dados financeiros são retidos conforme obrigações da CVM, BCB e Receita Federal. Ao término, os dados são anonimizados ou eliminados de forma segura.

8. Direitos do titular

Você pode, a qualquer momento, solicitar: confirmação de tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamentos, revogação de consentimento e eliminação dos dados tratados com base em consentimento. As solicitações são atendidas em até 15 dias.

9. Transferências internacionais

Quando houver transferência internacional, adotamos cláusulas contratuais padrão e verificamos o nível adequado de proteção do país de destino, nos termos do art. 33 da LGPD.

10. Encarregado (DPO)

Para exercer direitos, reportar incidentes ou tirar dúvidas, contate nosso Encarregado pelo e-mail dpo@xdocctor.com.

11. Atualizações

Esta Política pode ser atualizada para refletir mudanças regulatórias, tecnológicas ou de produto. A versão vigente estará sempre disponível nesta página, com a respectiva data de revisão.