Política de Privacidade

1. Quem somos

• Controladora: XIAX TECNOLOGIA E DESENVOLVIMENTO LTDA, CNPJ 68.388.793/0001-00, Criciúma/SC.
• Encarregado pelo tratamento de dados (DPO): Felipe Boeck Fert.
• Canal de privacidade: privacidade@xiax.com.br e WhatsApp +55 48 99221-5620.
• Central de Privacidade: xclinicas.xiax.com.br/privacidade, com a mensagem de cada pedido já escrita, para enviar por WhatsApp ou e-mail. O link também fica nas telas dos sistemas.

2. Os dois papéis da Xiax

A LGPD separa quem decide sobre o dado (controlador) de quem trata o dado em nome de outro (operador). A Xiax tem os dois papéis, conforme o dado.

Se você é paciente de uma clínica que usa nossos sistemas, a clínica é a controladora dos seus dados. Pedidos sobre esses dados vão primeiro para ela. Se chegarem à Xiax, encaminhamos à clínica e avisamos você.

3. Dados que tratamos como controladora

Não vendemos dados. Não usamos dados de pacientes para publicidade, perfil comercial ou treino de modelos de IA.

4. Dados de pacientes: o que a Xiax faz como operadora

Para cada clínica, o sistema guarda o que ela cadastra: identificação do paciente e do responsável, telefones, carteirinha do convênio, pedido médico, CID, guias, sessões, prontuário e financeiro. Muitos desses são dados de saúde, que a LGPD chama de dados sensíveis (art. 11).

A Xiax trata esses dados só para prestar o serviço à clínica e só conforme as instruções dela. As regras estão no Acordo de Tratamento de Dados (Parte 3).

5. Com quem compartilhamos

Não vendemos, alugamos nem cedemos dados pessoais a ninguém. Os dados só saem do nosso servidor nestes casos:

• Fornecedores que operam uma parte do serviço: servidor, backup, leitura de documentos por IA e consulta de CEP. Cada um recebe só o necessário para aquela tarefa e não pode usar os dados para fins próprios. A lista completa, com o que cada um recebe e onde fica, está no Anexo.
• Serviços da própria clínica, por ordem dela: os dados necessários para a guia vão ao portal da operadora de saúde, e as mensagens com pacientes passam pela conta de WhatsApp Business da clínica na Meta.
• Autoridades: só quando uma ordem judicial ou uma requisição prevista em lei obrigar. Avisamos a clínica, salvo quando a lei proibir.

E-mail e hospedagem são feitos em servidores da própria Xiax.

6. Dados fora do Brasil

O servidor principal fica no Brasil. Dois serviços contratados pela Xiax tratam dados fora do país, e um terceiro é contratado pela própria clínica:

• Leitura de documentos por IA (OpenAI, EUA): a imagem do pedido médico, da carteirinha ou da folha de sessão é enviada para extrair os campos. O resultado volta ao sistema e é conferido por uma pessoa da clínica.
• Cópia de segurança (Google Drive): a cópia diária da base é cifrada no nosso servidor antes do envio. O Google guarda um arquivo que não consegue ler. Cada cópia fica guardada por 30 dias.
• WhatsApp (Meta): a conta do WhatsApp Business é da clínica, contratada por ela com a Meta. A Xiax liga o sistema a essa conta pela API oficial. Confirmações, lembretes e conversas passam pela Meta.

Essas transferências seguem o art. 33 da LGPD, com as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024).

7. Como protegemos

• Servidor sob gestão da própria Xiax, em VPS no Brasil.
• E-mail em servidor próprio da Xiax.
• Conexão cifrada (HTTPS) em todo acesso, com HSTS.
• Cada clínica isolada das outras na base.
• Acesso ao prontuário por vínculo com o atendimento, não por cargo.
• Telas que não são clínicas (agenda, filas) mostram só o nome do paciente, nunca dado de saúde.
• Anamnese guardada cifrada. Cada leitura de dado sensível fica registrada com quem leu e quando.
• Senhas guardadas como hash. Senhas de portais, chaves de API e tokens guardados cifrados.
• Trilha de auditoria de criação, alteração, exclusão e acesso. Na trilha, o valor de dado sensível não aparece, só o fato de que mudou.
• Cópia de segurança diária, verificada e cifrada antes de sair do servidor, guardada por 30 dias.

Nenhum sistema é imune a falhas. Se houver um incidente que possa causar risco ou dano relevante, avisamos as pessoas afetadas e a ANPD, nos prazos da lei.

8. Cookies

• Site: não grava cookies, não usa ferramentas de análise nem de publicidade e não carrega recursos de terceiros. As fontes ficam no nosso servidor.
• Sistemas: usam apenas os cookies e tokens necessários para manter você conectado com segurança. Sem eles, o login não funciona. Não há cookie de análise nem de publicidade.

9. Seus direitos

Você pode fazer qualquer um destes pedidos (art. 18 da LGPD) pela Central de Privacidade, que deixa a mensagem já escrita, ou direto pelo WhatsApp +55 48 99221-5620 e pelo e-mail privacidade@xiax.com.br:

• Acesso: saber se tratamos seus dados, quais são e receber uma cópia.
• Correção: corrigir dados incompletos, errados ou desatualizados.
• Anonimização, bloqueio ou eliminação: de dados desnecessários, excessivos ou tratados fora da lei.
• Portabilidade: receber seus dados em formato aberto para levar a outro fornecedor.
• Compartilhamento: saber com quem compartilhamos seus dados (veja a seção 5 e o Anexo).
• Revisão de decisão automatizada: hoje nenhum dos nossos sistemas toma decisão sobre você só por meio automatizado. A leitura por IA sugere o preenchimento e uma pessoa sempre confere. Se isso mudar, esta política diz como pedir a revisão por uma pessoa.
• Revogação de consentimento: quando um tratamento se basear no seu consentimento, você pode retirar esse consentimento a qualquer momento.

Podemos pedir uma confirmação de identidade antes de responder, para não entregar seus dados a outra pessoa. Respondemos em até 15 dias. Se o pedido for sobre dados que uma clínica cadastrou, encaminhamos à clínica em até 2 dias úteis e avisamos você. Você também pode reclamar à ANPD (gov.br/anpd).

10. Crianças e adolescentes

O site e os sistemas não são voltados a menores de 18 anos como usuários. Dados de pacientes crianças e adolescentes são cadastrados pela clínica, que responde pelo tratamento no melhor interesse deles (art. 14 da LGPD).

11. Mudanças nesta política

Quando esta política mudar, a nova versão é publicada aqui com a data de vigência. Toda mudança é avisada às clínicas clientes por e-mail com 30 dias de antecedência.