Política de
Privacidade

1. Quem somos

A Nuvia Saúde Digital é um serviço de telemedicina operado pela médica Dra. Andressa Soares Figueiredo Feitosa Queji (CRM PR 56293), que atua em conformidade com as resoluções do Conselho Federal de Medicina (CFM) e com a legislação brasileira de saúde.

Para fins desta Política, a Nuvia Saúde Digital é a Controladora dos dados pessoais tratados em nossas interações, conforme definido pela Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018).

2. Dados que coletamos

Coletamos dados exclusivamente quando você preenche um formulário de solicitação de serviço em nosso site. Os dados variam conforme o serviço:

Dados de identificação (todos os formulários):

• Nome completo
• CPF
• Data de nascimento
• Sexo
• Cidade e estado (exigência do CFM para atendimento a distância)
• WhatsApp
• Endereço de e-mail
• Nome e CPF do responsável legal, quando o paciente é menor de 18 anos

Dados de saúde (dados sensíveis — Art. 11 LGPD):

• Diagnósticos e doenças crônicas
• Histórico familiar de doenças
• Medicamentos em uso (nome, dose, frequência)
• Alergias a medicamentos
• Histórico de prescrições anteriores
• Queixas e sintomas relatados
• Status de gestação ou amamentação
• Peso e altura
• Data da última consulta e médico que o atendeu
• Exames laboratoriais (arquivos enviados opcionalmente)
• Receitas médicas anteriores (arquivos enviados)

Dados técnicos: nosso site não usa ferramentas de rastreamento comportamental (Google Analytics, pixels de remarketing, etc.) e não monta perfil de navegação.

No momento em que você envia um formulário, registramos junto com ele o endereço IP de origem, o identificador do seu navegador (user agent), a data e hora e a versão do formulário. Esses dados não servem para rastrear sua navegação: eles compõem o registro de auditoria que comprova quando e como cada solicitação e cada consentimento foram feitos — informação que a legislação médica e a própria LGPD exigem que consigamos demonstrar.

Controle de abuso. Guardamos separadamente, por até 2 dias, o endereço IP e o CPF usados em cada envio, apenas para limitar quantas solicitações partem do mesmo dispositivo ou da mesma pessoa num intervalo curto. Sem isso, um programa automatizado poderia esgotar nossa capacidade de envio e impedir o atendimento de pacientes reais. Esse registro é apagado automaticamente e não é usado para nenhuma outra finalidade.

Dados de pagamento. Do pagamento guardamos apenas o identificador da transação no Mercado Pago, o valor, o meio usado (Pix, cartão), a situação (pendente, aprovado, recusado, devolvido) e a data. Número de cartão, código de segurança e senha nunca passam pelo nosso site: eles são digitados na página do próprio Mercado Pago, e nós não temos acesso a eles em momento algum.

3. Finalidade do tratamento

Utilizamos seus dados exclusivamente para as seguintes finalidades:

• Prestação do serviço médico: avaliação clínica, emissão de prescrições, pedidos de exames e orientações de saúde personalizadas
• Comunicação sobre o atendimento: envio da prescrição ou guias por e-mail e/ou WhatsApp
• Cumprimento de obrigações legais: manutenção de prontuário médico conforme exigido pelo CFM (Resolução CFM nº 1.638/2002)
• Segurança do atendimento: verificação de contraindicações e interações medicamentosas
• Triagem automática de medicamentos controlados: comparamos o medicamento ou a substância que você informa com as listas da Portaria SVS/MS nº 344/98. Quando o pedido cai numa categoria que não pode ser atendida por formulário, a solicitação é interrompida antes de qualquer cobrança e você é orientado a agendar uma teleconsulta. Essa verificação é uma comparação de texto contra uma lista, não uma decisão clínica.
• Cobrança e confirmação do pagamento: geração do link de pagamento do serviço solicitado e registro de que o valor foi pago — é a confirmação do pagamento que faz a avaliação clínica começar

Seus dados não são utilizados para fins de marketing, criação de perfis comportamentais, treinamento de modelos de inteligência artificial ou qualquer outra finalidade além das listadas acima.

4. Base legal

O tratamento dos seus dados é fundamentado nas seguintes bases legais da LGPD:

• Consentimento (Art. 7º, I e Art. 11, I): coletado explicitamente no formulário, antes do envio
• Tutela da saúde (Art. 11, II, f): para dados sensíveis tratados no contexto de atendimento médico por profissional de saúde habilitado
• Cumprimento de obrigação legal (Art. 7º, II): para a manutenção de prontuário médico exigida pelo CFM
• Execução de contrato (Art. 7º, V): para cobrar e confirmar o pagamento do serviço que você solicitou

Você pode revogar seu consentimento a qualquer momento, conforme descrito na seção "Seus Direitos".

5. Compartilhamento de dados

Não vendemos, alugamos ou compartilhamos seus dados com terceiros para fins comerciais. O compartilhamento ocorre apenas com as empresas necessárias para o serviço funcionar, todas atuando como operadoras sob nossa instrução, e nas hipóteses legais:

• Supabase: banco de dados e armazenamento dos arquivos que você anexa. É onde a solicitação fica registrada. O acesso é restrito por credencial de servidor; os arquivos ficam em área privada, não acessível por link público.
• Vercel: hospedagem do site e das funções que recebem o formulário.
• Resend: envio dos e-mails de confirmação e de resposta, com transporte criptografado obrigatório.
• Google (Gmail): caixa de e-mail da clínica. É onde a médica recebe a ficha da sua solicitação e onde chegam as mensagens que você envia para clinicnuvia@gmail.com.
• WhatsApp (Meta): canal de atendimento, usado quando você envia o comprovante de pagamento ou conversa com a clínica, e para o envio de documentos quando você preferir.
• Mercado Pago: cobrança e confirmação do pagamento. Sai daqui o mínimo possível: o valor e o número do protocolo, com a descrição genérica "Atendimento Nuvia Saúde Digital". Não enviamos seu nome, CPF, e-mail nem qualquer informação de saúde — dizer qual serviço você pediu já seria dado de saúde, e um provedor de pagamento não precisa saber disso. Os dados que você informa na tela de pagamento são tratados pelo Mercado Pago por obrigação própria, como instituição de pagamento, sob a política de privacidade dele.
• iClinic: prontuário eletrônico oficial, certificado SBIS-CFM, onde os dados clínicos são registrados e arquivados conforme as normas do CFM.
• Plataforma de Prescrição Eletrônica do CFM: é onde a receita e o pedido de exames são efetivamente emitidos e assinados digitalmente com certificado ICP-Brasil. Nosso site não gera receita.
• Obrigação legal: podemos compartilhar dados com autoridades públicas quando exigido por lei ou ordem judicial.

Nenhuma dessas empresas está autorizada a usar seus dados para finalidade própria.

6. Retenção e armazenamento

Os dados de saúde e prontuário são mantidos pelo período mínimo exigido pelo CFM, que é de 20 anos contados do último registro (Resolução CFM nº 1.821/2007, que também define o prontuário eletrônico; a definição de prontuário consta da Resolução CFM nº 1.638/2002).

Dados de contato (e-mail, WhatsApp) são mantidos pelo tempo necessário para o atendimento e para permitir o envio de documentos relacionados à solicitação.

Após o período de retenção obrigatório, os dados são excluídos de forma segura.

A cópia que a clínica já recebeu segue a retenção da clínica. A ficha da sua solicitação é enviada à caixa de e-mail da clínica no momento do envio do formulário, antes do pagamento — é assim que a médica vê tudo que entra. Apagar os dados do nosso banco não apaga essa mensagem: quando a cobrança vence, a clínica recebe o pedido de descartar aquela ficha, mas a mensagem em si fica sujeita à retenção da caixa de e-mail e ao descarte manual, e não ao prazo de 48 horas. Os arquivos que você anexou, esses sim deixam de existir: a mensagem traz apenas links individuais que expiram em 7 dias e que morrem junto com os arquivos apagados.

Onde seus dados ficam. O banco de dados e os arquivos que você anexa são hospedados no Brasil, na região de São Paulo. O envio de e-mails também é processado em São Paulo. Foi uma escolha deliberada: dado de saúde de paciente brasileiro guardado em território nacional.

A exceção são as mensagens. A ficha da sua solicitação chega à caixa de e-mail da clínica, hospedada pelo Google, e as conversas pelo WhatsApp passam pela Meta. Esses serviços podem guardar mensagens em servidores fora do Brasil.

Os arquivos que você anexa não vão por e-mail. A mensagem que chega à clínica traz apenas um link individual para cada arquivo, que expira em 7 dias. O arquivo continua guardado em São Paulo.

A hospedagem das páginas do site (Vercel) usa uma rede de distribuição global, o que significa que o conteúdo público das páginas pode ser servido a partir de servidores fora do país. Isso não inclui seus dados pessoais ou de saúde. Havendo qualquer transferência internacional, ela ocorre com amparo no Art. 33 da LGPD.

7. Seus direitos

Como titular de dados, a LGPD garante a você os seguintes direitos, que podem ser exercidos a qualquer momento:

• Confirmação e acesso: saber se tratamos seus dados e obter uma cópia
• Correção: solicitar a correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação: de dados desnecessários ou tratados em desconformidade com a LGPD
• Portabilidade: receber seus dados em formato estruturado para uso em outro serviço
• Revogação do consentimento: retirar seu consentimento a qualquer momento, sem prejuízo ao tratamento realizado anteriormente
• Oposição: se opor a tratamento que não esteja em conformidade com a LGPD
• Informação: obter informações sobre com quem compartilhamos seus dados
• Peticionar à ANPD: apresentar reclamação à Autoridade Nacional de Proteção de Dados

Para exercer qualquer desses direitos, entre em contato pelo e-mail clinicnuvia@gmail.com. Responderemos em até 15 dias úteis.

8. Cookies

O site da Nuvia Saúde Digital não utiliza cookies de rastreamento, publicidade ou análise comportamental. Não empregamos Google Analytics, Meta Pixel, ou ferramentas similares de monitoramento de usuários.

O único processamento técnico realizado é o necessário para o funcionamento dos formulários de solicitação.

9. Segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados:

• HTTPS obrigatório em todas as páginas (certificado SSL/TLS)
• HSTS (HTTP Strict Transport Security) para prevenir ataques de rebaixamento de protocolo
• Headers de segurança configurados no servidor (X-Frame-Options, X-Content-Type-Options, CSP)
• Formulários com proteção anti-spam (campo honeypot)
• Banco de dados fechado por padrão: o controle de acesso do banco está ativo em todas as tabelas sem nenhuma permissão pública. Não existe caminho de leitura a partir do navegador — só as funções do nosso servidor conseguem acessar os dados
• Arquivos em área privada: receitas e exames que você anexa não ficam acessíveis por link público. O envio usa uma autorização temporária, gerada individualmente para cada arquivo
• Nome de arquivo gerado pelo servidor: o nome original do seu arquivo nunca vira endereço, o que impede que um arquivo seja encontrado por tentativa
• E-mail com criptografia obrigatória no transporte (TLS exigido, sem tentativa de entrega em texto aberto)
• Registro de auditoria de cada passo da solicitação, com data e hora, sem possibilidade de edição posterior
• Acesso restrito aos dados clínicos: a avaliação do seu caso é feita exclusivamente pela médica responsável. O acesso técnico ao sistema é limitado à pessoa encarregada da manutenção, sujeita a dever de sigilo, e toda abertura de uma ficha fica registrada, com identificação de quem acessou e quando
• Segundo fator no acesso da médica: o painel em que a sua ficha é aberta exige, além da senha, um código de uso único gerado no celular da médica
• Prontuário eletrônico seguro via iClinic, com criptografia e conformidade com normas do CFM

Em caso de incidente de segurança que possa afetar seus dados, você será notificado em conformidade com o Art. 48 da LGPD.

10. Menores de idade

A Nuvia Saúde Digital atende menores de 18 anos, desde que a solicitação seja feita por pai, mãe ou responsável legal.

Quando a data de nascimento informada indica um paciente menor de idade, o formulário passa a pedir o nome e o CPF do responsável legal. O tratamento desses dados é feito no melhor interesse do menor, conforme o Art. 14 da LGPD, e o consentimento é dado pelo responsável.

Se a Dra. Andressa concluir que o caso exige teleconsulta, o responsável precisa estar presente durante o atendimento.

Dúvidas sobre atendimento de menores: clinicnuvia@gmail.com.

11. Alterações desta política

Esta Política pode ser atualizada periodicamente para refletir mudanças em nossas práticas, na legislação ou nas ferramentas utilizadas.

Alterações relevantes serão comunicadas com pelo menos 30 dias de antecedência por e-mail aos pacientes cadastrados. A versão vigente está sempre disponível nesta página com a data da última atualização.

12. Contato e Encarregado de Dados (DPO)

Para dúvidas, solicitações relacionadas aos seus dados ou para exercer seus direitos, entre em contato:

Você também pode apresentar reclamação diretamente à Autoridade Nacional de Proteção de Dados (ANPD) pelo site gov.br/anpd.