Política de Privacidade

Esta política descreve como a Ybyata Growth Operations Ltda (CNPJ 68.452.751/0001-82, "Ybyatã") trata dados pessoais no site ybyata.com e na plataforma Ybyatã, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, a LGPD).

Quem decide sobre os dados

• Pacientes e contatos de uma clínica: a clínica que usa a Ybyatã é a controladora desses dados; é ela quem decide para que e por quanto tempo são tratados. A Ybyatã é a operadora: trata esses dados em nome da clínica, conforme as instruções dela e o contrato entre as duas.
• Equipes das clínicas, clientes da Ybyatã e visitantes deste site: aqui a Ybyatã é a controladora dos dados de acesso à plataforma, de faturamento e de contato.

Que dados a plataforma trata

Em nome de cada clínica, conforme o que a clínica usa:

• Conversas no WhatsApp com contatos e pacientes: telefone, nome de perfil, mensagens, fotos, áudios e documentos.
• Agenda: consultas, confirmações e comparecimento.
• Prontuário: identificação do paciente, avaliações e evoluções, ditados, assinaturas eletrônicas dos profissionais, consentimentos e documentos emitidos (atestados e declarações).
• Vendas e pagamentos: o que foi contratado, valores, situação do pagamento e, quando informado, o e-mail de quem paga.
• Origem dos contatos: de qual anúncio ou página a pessoa veio (identificadores de clique, parâmetros da página, endereço IP e navegador de quem preenche um formulário da clínica).
• Formulários e consentimentos: o que a pessoa enviou e com qual texto concordou.
• Extratos bancários que a clínica importa para registrar despesas.

Parte desses dados é dado de saúde, um dado sensível (LGPD, art. 5º, II). Ele é tratado para a tutela da saúde, por um serviço de saúde (art. 11, II, f), e, no caso do prontuário, para cumprir a obrigação legal de mantê-lo (art. 11, II, a).

Como controladora, a Ybyatã trata os dados de quem entra na plataforma (nome, e-mail, clínica, função, registro profissional de quem assina prontuários), os registros de acesso exigidos pelo Marco Civil da Internet (quem, quando, de onde) e os dados de faturamento das clínicas clientes.

Inteligência artificial

A plataforma usa modelos de linguagem (Gemini, do Google, pelo Vertex AI) para resumir e classificar conversas, transcrever áudios e ditados, sugerir respostas e ler extratos. Esses modelos rodam na infraestrutura do Google Cloud em São Paulo. Sugestões da IA são revisadas pela equipe da clínica antes de qualquer envio. Os registros técnicos dessas chamadas ficam em servidor próprio da Ybyatã em São Paulo e são apagados após 90 dias.

Com quem compartilhamos

• Google Cloud: hospedagem, banco de dados, arquivos e IA, em São Paulo.
• Meta (WhatsApp): envio e recebimento das mensagens da clínica.
• Meta e Google (anúncios): para medir quais anúncios trazem pacientes, enviamos eventos como "consulta agendada" ou "compareceu", com o identificador do clique. Telefone e identificadores seguem apenas como hash; o conteúdo das conversas e qualquer detalhe de saúde nunca são enviados.
• Mercado Pago: cobranças e pagamentos da clínica.
• Clerk: login das equipes na plataforma.
• Cloudflare: proteção contra robôs nos formulários e acesso seguro a ferramentas internas.

Alguns desses fornecedores podem tratar dados fora do Brasil, sob as garantias previstas no art. 33 da LGPD. Não vendemos dados pessoais, nunca.

Por quanto tempo

• Conversas, contatos, agenda e vendas: enquanto a clínica usa a Ybyatã; são apagados a pedido da clínica ou quando ela encerra o uso.
• Prontuário: 20 anos a partir do último registro (Lei nº 13.787/2018, art. 6º).
• Registros de acesso: 6 meses (Marco Civil da Internet, art. 15).
• Registros técnicos da plataforma: 30 dias; registros das chamadas de IA: 90 dias.

Como protegemos

• Os dados de cada clínica ficam isolados dos das demais, no próprio banco de dados.
• Dados e arquivos ficam em São Paulo, com criptografia em trânsito e em repouso; credenciais das clínicas são criptografadas.
• O prontuário só é lido por quem tem permissão para isso, e cada leitura é registrada; assinar exige segundo fator de autenticação.
• Acesso da equipe Ybyatã aos dados de uma clínica é somente leitura e registrado.
• Alertas de segurança e um plano de resposta a incidentes. Se um incidente puder afetar os dados de uma clínica, avisamos a clínica em até 24 horas, para que ela possa comunicar a ANPD e os titulares no prazo legal.

Seus direitos

Todo titular pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade ou eliminação de seus dados, entre os demais direitos do art. 18 da LGPD.

• Se você é paciente ou contato de uma clínica, faça o pedido à clínica: é ela quem decide. Se escrever para nós, encaminhamos à clínica e cumprimos o que ela determinar. Alguns dados, como o prontuário, precisam ser mantidos por lei.
• Para os dados em que a Ybyatã é controladora, escreva para [email protected].

Veja também como pedir a exclusão de dados.

Cookies e armazenamento no navegador

A plataforma usa apenas o necessário para manter a sessão de quem entra. As páginas de captação das clínicas guardam no navegador de onde o visitante veio (anúncio, campanha), para atribuir o contato corretamente. Este site não usa cookies de rastreamento.

Encarregado e contato

Ybyata Growth Operations Ltda · R. Pais Leme, 215, Conj. 1713, Pinheiros, São Paulo/SP · [email protected]

Alterações

Esta política acompanha o que a plataforma faz. Quando mudar, a data no topo muda também; mudanças relevantes são comunicadas às clínicas clientes.