Esta política descreve como a kpnk Tecnologia em Saúde trata dados pessoais, tanto no acesso a este site quanto na plataforma usada pelas clínicas contratantes. Ela complementa o Termo de Uso, que remete a este documento para tudo que envolva tratamento de dados pessoais.
Data da última atualização e data de vigência. Preencher no momento da publicação — política sem data não serve como prova de qual versão estava em vigor.
1.1 A kpnk Tecnologia em Saúde, CNPJ 55.721.881/0001-21, desenvolve e opera a plataforma kpnk — ferramenta tecnológica de suporte à gestão clínica, organização de dados e registro de evoluções terapêuticas.
1.2 Esta política se aplica a duas situações distintas, que são tratadas separadamente ao longo do documento: o acesso de qualquer visitante a este site, e o uso da plataforma por clínicas contratantes e seus profissionais.
1.3 A plataforma não realiza diagnósticos, não prescreve tratamentos e não substitui o julgamento clínico do profissional de saúde. Toda decisão terapêutica é de responsabilidade exclusiva do profissional, conforme o Termo de Uso.
2.1 Os dados clínicos, prontuários e relatórios inseridos na plataforma pertencem exclusivamente à clínica contratante, conforme já estabelecido no Termo de Uso.
Definir e declarar se a kpnk atua como operadora e a clínica como controladora (o que a titularidade dos dados descrita em 2.1 sugere), ou se há hipóteses de controladoria conjunta. Esta é a definição que estrutura toda a política: ela decide quem responde perante o titular, quem atende a requisição de direitos e quem notifica incidente. Precisa vir do contrato e de validação jurídica, não de inferência.3.1 O site pode ser acessado livremente, sem criação de usuário e senha. A navegação em si não exige o fornecimento de dados pessoais.
3.2 Os botões de contato do site abrem uma conversa no WhatsApp. A partir do momento em que o visitante inicia essa conversa, os dados que ele informa — nome, telefone e o conteúdo da mensagem — passam a ser tratados pela kpnk para fins de atendimento comercial, e também ficam sujeitos à política de privacidade do próprio WhatsApp.
3.3 O acesso ao site e a utilização dos meios de contato têm como condição o visitante ter mais de 18 anos, ou autorização do responsável legal, conforme o Termo de Uso.
Conferir e declarar se existe ferramenta de analytics ativa. O Termo de Uso publicado afirma que há coleta anonimizada via Google Analytics, mas não há nenhum script de analytics carregado neste site — verificado no código-fonte. Ou o Termo está desatualizado e a menção precisa sair de lá, ou o analytics saiu do ar por engano. Enquanto não estiver resolvido, esta política não pode afirmar nenhuma das duas coisas.4.1 A plataforma trata dados de pacientes, responsáveis, profissionais e da própria clínica, incluindo dados de saúde — que a LGPD classifica como dados pessoais sensíveis.
4.2 Cada clínica contratante tem o seu próprio banco de dados. O dado de uma clínica não trafega nem é armazenado junto com o de outra.
4.3 O acesso é controlado por perfil, e as ações realizadas na plataforma ficam registradas com autor e data.
Detalhar as categorias de dados tratadas na plataforma, por tipo de titular (paciente, responsável, profissional) e por finalidade. O texto acima descreve a arquitetura e o controle de acesso, mas não substitui o inventário de dados — que é o que um encarregado de operadora de saúde vai pedir.6.1 Este site carrega recursos servidos por terceiros: fontes tipográficas do Google Fonts, biblioteca de estilos e biblioteca de gráficos tridimensionais entregues por redes de distribuição de conteúdo. O carregamento desses recursos expõe o endereço IP do visitante aos respectivos provedores.
Listar os sub-processadores da plataforma, com finalidade e país ou região de armazenamento — quem hospeda o banco, quem hospeda os arquivos e documentos, e quem processa e-mail transacional, se houver. Consultar a infraestrutura real com o dev; não copiar nome de fornecedor de arquivo de configuração para uma página pública sem confirmação. Declarar também se há transferência internacional de dados e sob qual salvaguarda.7.1 Em caso de suspensão de acesso por inadimplemento ou violação do Termo de Uso, a clínica é notificada com no mínimo 10 dias úteis de antecedência e mantém, em qualquer hipótese, o direito de exportar e realizar backup integral do histórico clínico dos seus pacientes antes de qualquer bloqueio.
Definir os prazos de retenção por categoria de dado, o que acontece com o banco da clínica após o encerramento do contrato (prazo até a eliminação definitiva e se há período de recuperação), e a retenção mínima exigida por norma de guarda de prontuário — que costuma ser mais longa que o contrato e é o ponto onde a resposta "apagamos tudo" estaria errada.8.1 Conforme o Termo de Uso, a clínica contratante concede à kpnk uma licença perpétua, global e isenta de royalties para utilizar os dados inseridos na plataforma desde que submetidos a processo irreversível de anonimização.
8.2 As finalidades desse uso são exclusivamente: estudos estatísticos, aprimoramento de algoritmos de inteligência artificial e geração de relatórios consolidados de mercado sobre o Transtorno do Espectro Autista.
8.3 Dado anonimizado de forma irreversível não é dado pessoal para efeito da LGPD. A garantia que sustenta isso é a irreversibilidade do processo — sem ela, o tratamento descrito em 8.1 seria tratamento de dado pessoal e exigiria base legal própria.
Descrever o processo de anonimização em termos verificáveis: quais campos são removidos ou substituídos, e por que o resultado não permite reidentificação nem por cruzamento. É a afirmação mais questionável desta política se ficar genérica, e a que uma operadora de saúde tende a auditar.9.1 A LGPD garante ao titular, entre outros, os direitos de confirmação da existência de tratamento, acesso, correção de dados incompletos ou desatualizados, anonimização, bloqueio ou eliminação, portabilidade, informação sobre compartilhamento e revogação do consentimento.
9.2 Requisições podem ser encaminhadas ao Encarregado de Dados pelos meios da seção 13.
Definir o fluxo de atendimento: prazo de resposta, e — dependendo da resposta da seção 2 — se o titular paciente deve procurar a clínica (controladora) ou a kpnk. Encaminhar o titular para o canal errado é descumprimento de prazo, não só inconveniência.10.1 As medidas técnicas e organizacionais adotadas para proteger os dados estão descritas na página de Segurança.
12.1 Esta política pode ser atualizada para refletir mudanças na plataforma, na infraestrutura ou na legislação aplicável. A versão em vigor é sempre a publicada nesta página, com a data indicada no topo.
Para dúvidas sobre esta política, exercício de direitos ou comunicação de incidente, o contato é o Encarregado de Dados da kpnk: