Política de Privacidade
1. Sobre esta Política
O LevelClin é uma plataforma de gestão para clínicas de infusão, soroterapia, longevidade e medicina integrativa, operada por SONIC ONE SOLUTIONS LTDA, inscrita no CNPJ sob o nº 68.269.743/0001-03, com sede na Av. Rio de Janeiro, nº 254, Sala 02 Letra B, Indaiá, Caraguatatuba/SP, CEP 11.660-670 (“SONIC ONE”, “nós”).
Esta Política descreve, de forma transparente, quais dados tratamos, com que finalidade e base legal, com quem os compartilhamos, por quanto tempo os mantemos, como os protegemos e quais são os seus direitos. Aplica-se à plataforma LevelClin, ao site levelclin.com.br e aos serviços relacionados, em conformidade com a Lei Geral de Proteção de Dados — LGPD (Lei nº 13.709/2018), o Estatuto da Criança e do Adolescente — ECA (Lei nº 8.069/1990) quando o paciente for menor de idade, o Marco Civil da Internet (Lei nº 12.965/2014) e o Código de Defesa do Consumidor (Lei nº 8.078/1990).
Ao utilizar a plataforma, você declara ter lido e compreendido esta Política.
2. Definições
Aplicam-se as definições da LGPD, entre elas: dado pessoal (informação relacionada a pessoa natural identificada ou identificável); dado pessoal sensível (inclui os dados de saúde); titular (a pessoa a quem os dados se referem); responsável legal (quem representa o titular incapaz); tratamento; controlador (quem decide sobre o tratamento); operador (quem trata em nome do controlador); e Encarregado (DPO) (o canal entre nós, você e a ANPD).
3. Papéis no tratamento de dados (controlador e operador)
O LevelClin é uma plataforma B2B que serve clínicas. Os papéis se dividem por categoria de dado:
- A Clínica contratante é a controladora dos dados dos seus pacientes e responsáveis — é ela quem decide coletá-los para exercer a atividade clínica.
- A SONIC ONE (LevelClin) atua como operadora desses dados, tratando-os em nome e conforme as instruções de cada clínica, por meio da plataforma, nos termos do Contrato de Tratamento de Dados (DPA) firmado com cada clínica.
- A SONIC ONE é controladora dos dados de cadastro de conta, uso, segurança e faturamento da própria plataforma, e dos dados de leads captados pelo site — para os quais define as finalidades e os meios.
4. Encarregado pelo Tratamento de Dados (DPO)
Em cumprimento ao Art. 41 da LGPD e à Resolução CD/ANPD nº 18/2024, mantemos um canal dedicado e acessível para assuntos de privacidade:
- Encarregado pelo Tratamento de Dados (DPO): Thiago Carvalho, indicado por SONIC ONE SOLUTIONS LTDA (CNPJ 68.269.743/0001-03).
- Canal de atendimento ao titular: privacidade@levelclin.com.br.
Use esse canal para dúvidas sobre esta Política e para exercer os seus direitos (Seção 13).
5. Dados que tratamos
Coletamos apenas os dados necessários a cada finalidade (princípio da necessidade — Art. 6º, III):
- Do paciente (titular): nome completo, data de nascimento, sexo, CPF/RG, e-mail, telefone, endereço e histórico de atendimento na clínica.
- Dados sensíveis de saúde: prontuário (anamnese, evolução, SOAP), CID-11, alergias, patologias, medicamentos em uso, prescrições, protocolos aplicados e consentimentos clínicos — tratados com proteção reforçada (Seção 7).
- Do responsável legal (quando o paciente é menor ou não plenamente capaz): nome, CPF, contato, endereço e grau de parentesco/relação.
- De usuários da clínica (equipe): nome, e-mail, telefone, função/perfil de acesso e registros de atividade.
- De conta e faturamento: dados de cadastro da clínica, plano contratado e informações de cobrança.
- De visitantes do site e leads: nome, e-mail, telefone e origem, quando você solicita uma demonstração ou fala com vendas.
- De uso e técnicos: endereço IP, identificadores de dispositivo, data/hora de acesso e registros de aplicação (guarda que atende ao Marco Civil).
6. Finalidades e bases legais
| Finalidade | Base legal |
|---|---|
| Prestar o serviço de gestão contratado pela clínica | Execução de contrato — Art. 7º, V |
| Tratar dados sensíveis de saúde do paciente | Consentimento específico e destacado — Art. 11, I; e/ou tutela da saúde por profissional/serviço de saúde — Art. 11, II, “f” |
| Tratar dados de paciente menor de idade | Consentimento de ao menos um dos pais/responsável legal, no melhor interesse — Art. 14 |
| Emissão de cobranças e obrigações fiscais/contábeis | Obrigação legal — Art. 7º, II |
| Segurança da plataforma e prevenção a fraudes | Legítimo interesse — Art. 7º, IX |
| Guarda de registros de acesso | Obrigação legal — Marco Civil (Art. 15) |
| Contato comercial a partir de solicitação de demonstração | Consentimento / procedimentos preliminares — Art. 7º, I e V |
| Exercício regular de direitos em processo | Art. 7º, VI |
Quando o tratamento se baseia no legítimo interesse, limitamo-nos ao estritamente necessário à finalidade legítima, com salvaguardas para os seus direitos e liberdades, e você pode a qualquer tempo opor-se a esse tratamento (Seção 13).
7. Dados pessoais sensíveis de saúde
Os dados de saúde (prontuário, alergias, patologias, prescrições, protocolos) constituem categoria especial (Art. 11 da LGPD) e recebem proteção reforçada:
- São tratados com base no consentimento específico e em destaque (Art. 11, I) colhido pela clínica e/ou na tutela da saúde por profissional ou serviço de saúde (Art. 11, II, “f”), exclusivamente para as finalidades desta Política.
- Estão cobertos pelo sigilo profissional (Código de Ética Médica; art. 154 do Código Penal). A SONIC ONE, como operadora, garante confidencialidade, acesso restrito por perfil e não utiliza dados clínicos para finalidade própria fora das instruções da clínica.
- É vedado o uso secundário e a comunicação ou uso compartilhado com o objetivo de obter vantagem econômica (Art. 11, §4º).
- São protegidos por criptografia em nível de campo em repouso — inclusive nos backups.
8. Dados de crianças e adolescentes
Quando o paciente é menor de idade, o tratamento observa o melhor interesse do titular (Art. 14 da LGPD e ECA). Os dados são tratados mediante consentimento específico de ao menos um dos pais ou do responsável legal, colhido pela clínica; coletamos apenas os dados necessários e não condicionamos o atendimento ao fornecimento de dados desnecessários. O responsável legal pode, a qualquer tempo, revisar, corrigir ou solicitar a eliminação dos dados (Seção 13), observadas as guardas legais aplicáveis (Seção 14).
9. Inteligência artificial e decisões automatizadas
O LevelClin usa inteligência artificial apenas como ferramenta de apoio: a IA sugere protocolos, redige rascunhos (por exemplo, evolução clínica) e antecipa riscos, mas nunca decide sozinha — toda sugestão é um rascunho editável que exige aprovação do profissional responsável. As validações críticas de segurança clínica (compatibilidade, dose e via) são determinísticas, não probabilísticas. Não há decisão tomada exclusivamente de forma automatizada que produza efeitos jurídicos ou impacte significativamente o titular; ainda assim, é assegurado o direito à revisão previsto no Art. 20 da LGPD. Quando o recurso de IA é utilizado, os dados necessários à sugestão — que podem incluir dados de saúde — são processados por provedor no exterior, em modalidade que não utiliza o conteúdo para treinar modelos, com a proteção reforçada e as salvaguardas descritas nas Seções 7 e 12.
10. Segurança da informação
Adotamos medidas técnicas e organizacionais compatíveis com a sensibilidade dos dados (Arts. 46 a 49 da LGPD): criptografia de campo da PII de saúde em repouso; transmissão sempre por HTTPS/TLS; controle de acesso por papéis (RBAC); isolamento entre clínicas (os dados de uma não se cruzam com os de outra, por Row-Level Security); autenticação com duplo fator (2FA); trilha de auditoria append-only de acessos a dados sensíveis; hospedagem em servidor no Brasil; e backups automáticos periódicos, nos quais os dados sensíveis de saúde permanecem protegidos pela criptografia de campo.
11. Compartilhamento e operadores
Não vendemos dados pessoais. Compartilhamos apenas na medida necessária, com: (a) a clínica responsável; (b) operadores/suboperadores sob contrato que os obriga a proteger os dados e a tratá-los apenas conforme nossas instruções; (c) autoridades públicas, quando exigido por lei ou ordem judicial. Operadores atuais:
| Operador | Finalidade | Local | Transf. internacional |
|---|---|---|---|
| Anthropic (Claude) | Recursos de inteligência artificial (sem uso para treino de modelos) | EUA | Sim, com salvaguardas (Art. 33) |
| Provedor de WhatsApp (Evolution API / Z-API) | Mensageria e atendimento omnichannel | Brasil | Não |
| ZapSign | Assinatura eletrônica de documentos e consentimentos | Brasil | Não |
| PagBank / Asaas | Cobranças, boleto e PIX (quando habilitado) | Brasil | Não |
| Cloudflare | DNS e armazenamento de arquivos (quando habilitado) | Global | Sim, com salvaguardas (Art. 33) |
| Hospedagem em servidor (VPS) | Hospedagem da aplicação e do banco de dados | Brasil | Não |
Alguns operadores são opcionais e só entram em atividade quando a clínica habilita o recurso correspondente. Mantemos esta lista atualizada; alterações relevantes geram nova versão desta Política.
12. Transferência internacional de dados
Alguns operadores — como Anthropic (EUA) e Cloudflare (infraestrutura global) — processam dados fora do Brasil. Em especial, quando o recurso de inteligência artificial é utilizado, os dados estritamente necessários à sugestão — que podem incluir dados de saúde do paciente — são processados pela Anthropic nos Estados Unidos, limitados ao necessário, sem uso para treinamento de modelos e mantida a proteção reforçada aplicável aos dados sensíveis (Seção 7). Essas transferências observam as salvaguardas exigidas pela LGPD (Art. 33), por meio de garantias e cláusulas contratuais adequadas, limitando-se ao estritamente necessário à finalidade.
13. Seus direitos e como exercê-los
A qualquer momento você — ou o responsável legal, no caso de titular menor ou incapaz — pode exercer os direitos do Art. 18 da LGPD: confirmação e acesso; correção; anonimização, bloqueio ou eliminação; portabilidade; eliminação dos dados tratados com base no consentimento; informação sobre compartilhamento; informação sobre a possibilidade de não consentir e suas consequências; revogação do consentimento; oposição a tratamento baseado em legítimo interesse; e revisão de decisões automatizadas.
Como a SONIC ONE atua como operadora dos dados de pacientes, os pedidos sobre esses dados são encaminhados à ou atendidos em conjunto com a clínica controladora; sobre os dados de conta, faturamento e leads (onde a SONIC ONE é controladora), o atendimento é direto. Veja o passo a passo em Direitos do titular. A revogação do consentimento é gratuita e facilitada, não afeta a licitude do tratamento anterior e, quando relativa a dados essenciais, pode inviabilizar, no todo ou em parte, a prestação do serviço, o que será informado a você.
14. Prazos de retenção e eliminação
Conservamos os dados apenas pelo tempo necessário; encerrado o prazo, são eliminados ou anonimizados, salvo hipóteses de guarda autorizadas (Arts. 15 e 16 da LGPD):
| Categoria | Prazo de guarda |
|---|---|
| Cadastro e dados operacionais | Durante o vínculo e por até 5 anos após o término (prazo prescricional) |
| Prontuário e dados de saúde | Guarda mínima de 20 anos a contar do último registro do paciente (Lei nº 13.787/2018, art. 6º + Res. CFM nº 1.821/2007) — prazo que prevalece sobre pedido de eliminação; nesse caso, os dados são bloqueados/segregados, não apagados |
| Dados financeiros e fiscais | 5 anos, conforme legislação fiscal |
| Registros de acesso (logs) | 6 meses, conforme o Marco Civil (Art. 15) |
| Consentimentos e trilha de aceite | Mantidos como prova (registro append-only) enquanto durar o tratamento e pelo prazo prescricional posterior |
| Dados com base em consentimento, após revogação | Eliminados prontamente, salvo outra base legal aplicável |
15. Cookies e registros de acesso
Utilizamos cookies estritamente necessários ao funcionamento e à segurança da plataforma. Caso venhamos a adotar cookies analíticos ou opcionais, eles dependerão do seu consentimento, coletado por aviso específico com opção de recusa e geríveis a qualquer tempo. Guardamos os registros de acesso à aplicação por 6 meses (Art. 15 do Marco Civil).
16. Comunicação de incidentes de segurança
Diante de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados no prazo e na forma da legislação (Art. 48 da LGPD e Resolução CD/ANPD nº 15/2024 — em regra, 3 dias úteis da ciência). Como operadora, ao detectar um incidente a SONIC ONE comunica a clínica controladora sem demora injustificada, para que ela cumpra os seus deveres de controladora.
17. Escopo do serviço
O LevelClin é uma plataforma 100% particular: não processa faturamento de convênios ou planos de saúde, não gera guias nem lotes TISS/TUSS e não se submete às normas da ANS de troca de informações da saúde suplementar.
18. Alterações desta Política
Podemos atualizar esta Política. A versão vigente está sempre disponível nesta página, com data e número de versão; quando a alteração exigir, solicitaremos novo consentimento.
19. Legislação aplicável e foro
Esta Política é regida pelas leis brasileiras. Fica eleito o foro da comarca de Caraguatatuba/SP, sem prejuízo do direito do consumidor de demandar no foro de seu domicílio.