Esta Política explica como o Prontuário MedEscore (prontuario.medescore.com.br) trata dados pessoais de profissionais, equipes de clínicas e pacientes, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD), o Marco Civil da Internet (Lei nº 12.965/2014 e Decreto nº 8.771/2016), a Lei nº 13.787/2018 (prontuário eletrônico), o Código de Ética Médica e as resoluções do Conselho Federal de Medicina sobre prontuário e sigilo profissional.
A conta de acesso é a mesma do site medescore.com.br. O uso do site principal (ferramentas, conteúdos, inteligência artificial, planos e pagamentos) é regido também pela Política de Privacidade do MedEscore. Esta Política trata do prontuário e prevalece no que for específico dele.
1. Quem somos e a quem esta Política se aplica
O Prontuário MedEscore é oferecido por MedEscore, inscrita no CNPJ 65.857.638/0001-99 (“MedEscore”, “nós”). Esta Política se aplica a quem usa a plataforma — profissionais de saúde, proprietários e administradores de clínicas e membros da equipe (recepção, secretaria, financeiro) — e descreve também o tratamento dos dados dos pacientes registrados pelas clínicas.
2. Papéis no tratamento de dados
A LGPD distingue quem decide sobre o tratamento (controlador) de quem trata em nome dele (operador):
| Dados | Titular | Controlador | Papel do MedEscore |
|---|---|---|---|
| Prontuário: cadastro de pacientes, dados de saúde, consultas, prescrições, documentos, agenda e financeiro da clínica | Paciente | A clínica ou o profissional que realiza o atendimento | Operador: trata os dados só para prestar o serviço, conforme as instruções do controlador e estes documentos |
| Equipe da clínica: vínculo, papel e permissões, registros de auditoria das ações no prontuário | Membro da equipe | A clínica | Operador |
| Conta de acesso, autenticação, segurança, cobrança, comunicações do serviço e métricas de uso | Usuário (profissional ou membro da equipe) | MedEscore | Controlador |
Pacientes que quiserem exercer direitos sobre o próprio prontuário devem procurar a clínica ou o profissional que os atendeu. Se o pedido chegar ao MedEscore, ele será encaminhado ao controlador, e auxiliaremos a clínica a respondê-lo.
3. Dados que tratamos
3.1 Profissionais e equipe
- Identificação e contato: nome, e-mail, telefone, CPF (quando usado para login), foto de perfil.
- Dados profissionais: conselho e número de registro (ex.: CRM/UF), especialidade, RQE, dados impressos em receitas e documentos (perfil do prontuário, cabeçalho e logotipo).
- Vínculos: clínicas de que participa, papel (proprietário, administrador, profissional, recepção etc.), permissões e convites.
- Credenciais: senha armazenada apenas como hash (bcrypt); segredo e códigos de recuperação da verificação em duas etapas, quando ativada; identificador da conta Google, quando usado o login com Google.
- Registros de acesso e segurança: endereço IP, data e hora, navegador e dispositivo, tentativas de login, sessões abertas e, quando a clínica exige acesso por rede, horário ou local autorizado, o IP e a localização aproximada informada pelo navegador no momento do acesso.
- Preferências e conteúdo pessoal: modelos de evolução e de prescrição, medicamentos favoritos, campos personalizados, preferências de tela e tutoriais concluídos.
- Plano e cobrança: plano contratado, situação da assinatura e datas de vigência. Os dados de cartão são tratados diretamente pelo processador de pagamentos (Stripe) no site medescore.com.br e não são armazenados pelo MedEscore.
- Uso do serviço: telas e funcionalidades usadas, desempenho e erros técnicos (ver item 6).
3.2 Pacientes (dados pessoais sensíveis)
- Identificação e contato: nome, nome social, data de nascimento, sexo, CPF, CNS, documento, telefone, e-mail, endereço, responsáveis legais e convênio.
- Dados de saúde: queixa, anamnese, antecedentes, exame físico, sinais vitais, hipóteses e diagnósticos, evoluções, condutas, prescrições, solicitações e resultados de exames, atestados, laudos, encaminhamentos, alergias, medicações em uso, vacinação, gestação, crescimento e desenvolvimento.
- Agenda e financeiro: agendamentos, comparecimento, valores, forma e situação de pagamento.
- Comunicações: lembretes e mensagens enviados ao paciente pela clínica (e-mail ou WhatsApp), quando configurados, e o código de acesso à teleconsulta (WhatsApp da clínica, SMS ou e-mail).
- Teleconsulta: aceite do termo da teleconsulta (versão, data e hora, quem aceitou — o paciente ou o responsável legal, com nome e vínculo —, resumos criptográficos do IP e do navegador e o canal usado para confirmar a identidade) e o histórico técnico da chamada (entrada na sala de espera, admissão, conexão e encerramento). O vídeo e o áudio não são gravados.
A clínica é responsável por registrar apenas o necessário ao atendimento e por informar seus pacientes sobre o tratamento dos dados.
4. Finalidades e bases legais
| Finalidade | Base legal (LGPD) |
|---|---|
| Criar e manter a conta, autenticar, prestar o serviço contratado e dar suporte | Execução de contrato (art. 7º, V) |
| Registro clínico, prescrições, documentos e agenda dos pacientes (em nome da clínica) | Tutela da saúde, em procedimento realizado por profissionais de saúde (art. 11, II, “f”), e cumprimento de obrigação legal ou regulatória (art. 11, II, “a”) |
| Teleconsulta: confirmação da identidade do paciente por código, sala de espera, transmissão do vídeo e registro do aceite do termo (em nome da clínica) | Tutela da saúde (art. 11, II, “f”) e garantia da prevenção à fraude e da segurança do titular na identificação (art. 11, II, “g”) |
| Guarda do prontuário pelo prazo legal, inclusive após o fim do contrato | Cumprimento de obrigação legal (arts. 7º, II, 11, II, “a”, e 16, I) — Lei 13.787/2018, art. 6º |
| Guarda de registros de acesso à aplicação | Obrigação legal (Marco Civil, art. 15) |
| Segurança da conta, prevenção a fraudes, limitação de tentativas, auditoria e políticas de acesso da clínica | Legítimo interesse (art. 7º, IX), prevenção à fraude e segurança do titular (art. 11, II, “g”) e exercício regular de direitos (art. 7º, VI) |
| Cobrança e gestão da assinatura | Execução de contrato (art. 7º, V) e obrigação legal fiscal (art. 7º, II) |
| Avisos do serviço por e-mail (segurança, assinatura, encerramento, exportação, pedidos de privacidade) | Execução de contrato (art. 7º, V) e cumprimento de obrigação legal (art. 7º, II) |
| Métricas de uso, estabilidade e melhoria do serviço, sem dados clínicos | Legítimo interesse (art. 7º, IX) |
| Recursos de inteligência artificial usados pelo profissional (ex.: transcrição de consulta) | Tutela da saúde (art. 11, II, “f”), por iniciativa do profissional responsável pelo atendimento |
| Comunicações com pacientes configuradas pela clínica | Definida pela clínica controladora |
| Defesa em processos e atendimento a autoridades | Exercício regular de direitos e obrigação legal (arts. 7º, II e VI, e 11, II, “a” e “d”) |
Não vendemos dados pessoais, não os usamos para publicidade e não usamos dados de pacientes para treinar modelos de inteligência artificial nem para qualquer finalidade própria.
5. Inteligência artificial
Quando o profissional usa um recurso de IA (por exemplo, a transcrição de áudio da consulta ou as sugestões de hipóteses diagnósticas), o conteúdo necessário — o áudio, o texto enviado e, quando o profissional usa a análise de imagem, a imagem selecionada — é processado pelo provedor indicado (Google Gemini) apenas para gerar a resposta da função solicitada. O áudio da transcrição e as imagens enviadas à IA não são armazenados pelo MedEscore; fica guardado somente o texto que o profissional decidir registrar. Registramos o uso (data, recurso, volume, modelo e a consulta a que se refere) para controle de limites do plano e rastreabilidade assistencial, sem o conteúdo clínico enviado ou recebido. O resultado é uma sugestão que deve ser revisada pelo profissional antes de ser registrada; nada gerado pela IA entra no prontuário sem a ação explícita do profissional.
6. Métricas de uso e telemetria
Para manter o serviço estável, registramos presença e uso das telas, erros técnicos, desempenho e sinais de segurança, associados à conta e a um identificador aleatório do dispositivo. Esses registros nunca incluem dados de pacientes, textos digitados, documentos, gravações, senhas ou o conteúdo das telas: endereços são registrados sem parâmetros e com identificadores substituídos. Ao usar “Reportar problema”, envie só a descrição técnica, sem dados de pacientes.
Se o banco de dados estiver indisponível no momento de gravar um registro de auditoria, esse registro — sem conteúdo clínico (identificadores de conta e clínica, ação realizada, IP e navegador) — fica guardado temporariamente na central de operações do próprio MedEscore (infraestrutura própria, no mesmo fornecedor de banco de dados) até ser regravado na trilha de auditoria; depois de regravado, é apagado de lá.
7. Compartilhamento e suboperadores
Os dados são compartilhados apenas com fornecedores necessários ao funcionamento do serviço, sob contrato e com obrigação de confidencialidade e segurança:
| Fornecedor | Finalidade | Dados envolvidos |
|---|---|---|
| Supabase | Banco de dados e armazenamento (inclusive dos arquivos de exportação cifrados) | Todos os dados da plataforma |
| Vercel | Hospedagem, execução da aplicação, rotinas automáticas e registros técnicos | Dados em trânsito e registros de acesso |
| Login com Google; processamento de IA (Gemini) quando o recurso é usado | Identificação da conta Google; conteúdo enviado ao recurso de IA (texto, áudio ou imagem, conforme a função usada) | |
| Resend | Envio de e-mails transacionais | E-mail e nome do destinatário, conteúdo do aviso (sem dados clínicos) |
| LiveKit (LiveKit Cloud) | Transmissão do vídeo e do áudio das teleconsultas, sem gravação | Áudio e vídeo em trânsito (não armazenados), identificadores técnicos da sala e da conexão e endereço IP |
| Twilio | Envio por SMS do código de acesso à teleconsulta, somente quando o envio por SMS está ativado | Celular cadastrado do paciente (ou do responsável) e o código de acesso (sem dados clínicos) |
| Stripe | Pagamento da assinatura (no site medescore.com.br) | Dados de cobrança do assinante |
| Meta (WhatsApp Business Platform / Cloud API) | Avisos administrativos de consulta pelo WhatsApp, enviados pela conta da própria clínica, quando ela conecta o número e o paciente autoriza; e o código de acesso à teleconsulta pedido pelo próprio paciente, quando a clínica liga esse recurso | Telefone do paciente, primeiro nome, data e horário da consulta, nome da clínica e do profissional; no código, só o telefone e o código de acesso (sem dados clínicos) |
Dados também podem ser fornecidos a autoridades quando houver obrigação legal, requisição de autoridade competente ou ordem judicial, limitados ao estritamente exigido. A lista de suboperadores pode mudar; mudanças relevantes serão refletidas nesta Política.
WhatsApp Business (integração com a Meta)
A clínica pode conectar o próprio número do WhatsApp Business pelo cadastro oficial da Meta. O MedEscore guarda, cifrada, apenas a autorização técnica dada pela clínica para enviar avisos por esse número; não guarda dados do perfil do Facebook de quem fez a conexão. Mensagens só são enviadas a pacientes que autorizaram o recebimento, e quem responder “PARAR” deixa de receber. Para apagar a integração, a clínica usa “Desconectar” em Gestão → Integrações, ou remove o MedEscore dos apps conectados na Meta; pedidos de exclusão recebidos da Meta são atendidos da mesma forma.
Teleconsulta
A clínica pode atender por vídeo pelo MedEscore. O paciente entra por um link pessoal e confirma a identidade com um código de 6 números enviado a um contato já cadastrado na clínica: pelo WhatsApp da própria clínica, por SMS ou por e-mail, conforme o que a clínica ativou. Paciente menor de idade com e-mail do responsável cadastrado recebe o código nesse e-mail. O código vale 10 minutos e não é guardado: fica apenas um resumo criptográfico, que deixa de valer após o uso ou o vencimento; o histórico registra só o canal usado. Pelo WhatsApp, o código sai num modelo de autenticação da Meta, sem nenhuma informação clínica, e só para quem não pediu para parar de receber mensagens da clínica.
Antes da sala de espera, o paciente (ou o responsável legal) aceita o termo da teleconsulta, e o aceite é registrado como prova. O vídeo e o áudio passam pelo LiveKit, criptografados, e não são gravados. O que o profissional registrar na evolução segue as regras do prontuário.
8. Transferência internacional
Alguns fornecedores armazenam ou processam dados fora do Brasil (por exemplo, nos Estados Unidos). Nesses casos, a transferência observa o art. 33 da LGPD e a regulamentação da ANPD, com fornecedores que oferecem garantias contratuais e técnicas de proteção (como cláusulas contratuais e criptografia), e apenas para as finalidades desta Política.
9. Por quanto tempo guardamos
| Dados | Prazo |
|---|---|
| Prontuário do paciente (cadastro com registros clínicos, consultas, documentos) | No mínimo 20 anos a partir do último registro clínico de cada paciente (Lei 13.787/2018, art. 6º) — o prazo não conta a partir do cancelamento da assinatura |
| Registros excluídos pela equipe (consultas, documentos, pacientes com prontuário) | Saem das telas, mas são guardados pelo mesmo prazo do prontuário (exclusão lógica) |
| Agenda e financeiro ligados ao atendimento | Junto com o prontuário do paciente |
| Cadastro de paciente sem nenhum registro clínico | Até a exclusão pela clínica |
| Auditoria das ações no prontuário | Enquanto o prontuário for guardado, para comprovar sua integridade |
| Registros de acesso à aplicação | No mínimo 6 meses (Marco Civil, art. 15) |
| Conta, perfil, modelos e preferências | Enquanto a conta existir; eliminados após pedido de exclusão aprovado, ressalvadas as hipóteses legais de guarda |
| Dados de cobrança | Pelo prazo exigido pela legislação fiscal e para defesa em eventuais disputas |
| Avisos enviados pelo WhatsApp (destinatário, aviso, estado de entrega) | 365 dias após a finalização; a autorização do paciente (e sua revogação) é guardada como prova |
| Teleconsulta: aceite do termo e histórico técnico da chamada (sem áudio nem vídeo) | Junto com o prontuário do paciente, como prova do atendimento |
| Arquivo de exportação dos dados | 7 dias após a geração; depois o arquivo é apagado (o registro de que foi gerado permanece) |
| Histórico de encerramento, guarda, transferência e eliminação | Permanente, como prova do cumprimento da lei |
| Cópias de segurança (backups) do provedor | Pelo ciclo de rotação do provedor; dados eliminados deixam de existir nos backups ao fim desse ciclo |
Retenções podem ser estendidas quando houver ordem judicial, requisição de autoridade, processo em andamento ou outra hipótese legal (retenção legal), enquanto ela durar.
10. Encerramento da assinatura e destino dos dados
- Cancelar a assinatura interrompe a cobrança; o acesso normal continua até o fim do período pago. Nada é apagado.
- Encerrado o contrato (cancelamento, fim do teste ou falta de pagamento após as novas tentativas de cobrança), a clínica entra em um período de 30 dias somente leitura: é possível consultar e exportar todos os dados, mas não registrar ou alterar. Avisamos por e-mail no início e 7 dias e 1 dia antes do fim.
- Depois disso, a clínica é arquivada: os prontuários continuam guardados pelo prazo legal, sem acesso pelas telas. O proprietário pode regularizar a assinatura (tudo volta como estava) ou pedir acesso ao arquivo por até 15 dias para exportar os dados.
- A exportação gera um pacote completo (prontuários em PDF, dados em JSON e CSV, documentos, agenda e financeiro), com manifesto e código de verificação (SHA-256) de cada arquivo. Baixar a exportação não apaga a cópia guardada pelo MedEscore nem transfere a responsabilidade pela guarda.
- A clínica pode assumir a guarda em outro sistema mediante transferência documentada(solicitação ao suporte, exportação conferida e confirmação de recebimento pelo responsável).
- A eliminação definitiva de prontuários só ocorre depois do prazo legal, sem retenção legal pendente e com decisão registrada. Encerrar uma clínica não afeta outras clínicas da mesma conta.
11. Segurança
- Conexões criptografadas (HTTPS/TLS) e criptografia dos dados armazenados pelo provedor de banco de dados.
- Banco de dados acessível apenas pelo servidor da aplicação; nenhum acesso direto pelo navegador.
- Sessão em cookie protegido (HttpOnly, Secure, SameSite), com possibilidade de encerrar todas as sessões.
- Senhas com hash, verificação em duas etapas e limitação de tentativas de login.
- Reconfirmação de identidade (senha, código do autenticador ou link de uso único enviado ao e-mail) para operações sensíveis: exportar ou baixar os dados, encerrar a clínica, pedir acesso ao arquivo ou a exclusão da conta.
- Separação dos dados por clínica, permissões por papel e políticas de acesso configuráveis (rede, horário e local).
- Arquivos de exportação cifrados (AES-256) em armazenamento privado, com validade limitada e download registrado.
- Trilha de auditoria das ações sobre o prontuário, inclusive exportações e exclusões.
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados nos prazos da regulamentação, conforme o art. 48 da LGPD. Quando o incidente envolver dados de pacientes, comunicaremos também a clínica controladora, sem demora, com as informações necessárias para que ela cumpra suas obrigações.
12. Seus direitos (art. 18 da LGPD)
- Confirmação da existência de tratamento e acesso aos dados.
- Correção de dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
- Portabilidade dos dados.
- Eliminação dos dados tratados com consentimento, ressalvadas as hipóteses legais de guarda (art. 16).
- Informação sobre com quem os dados são compartilhados.
- Informação sobre a possibilidade de não fornecer consentimento e suas consequências, e revogação do consentimento.
- Oposição a tratamento realizado em desconformidade com a lei.
- Petição à ANPD.
Como exercer
- Profissionais e equipe: em Meu perfil → Privacidade (LGPD), você baixa uma cópia dos seus dados a qualquer momento e registra pedidos com protocolo. Respondemos em até 15 dias. Podemos pedir confirmação de identidade para proteger a conta.
- Proprietários de clínica (ou administradores autorizados por eles) geram a exportação integral da clínica na mesma tela ou na área de encerramento.
- Pacientes: procure a clínica ou o profissional que o atendeu (controlador dos dados).
Sobre a exclusão da conta: o pedido exige a confirmação da sua identidade e de um link enviado ao seu e-mail. Eliminamos os dados que não precisam ser guardados (perfil do prontuário, modelos, preferências) e respondemos explicando o que foi eliminado e o que a lei obriga a manter, com o prazo. Prontuários de pacientes não podem ser apagados antes do prazo legal e continuam sob a responsabilidade da clínica. A conta de acesso é a mesma do medescore.com.br; a exclusão dela segue também a política do site principal.
13. Crianças e adolescentes
A plataforma não é destinada a menores de idade como usuários. Dados de crianças e adolescentes atendidos pelas clínicas são tratados no seu melhor interesse (art. 14 da LGPD), para a finalidade assistencial, com a participação dos responsáveis legais conforme as normas de atendimento em saúde.
14. Decisões automatizadas
O prontuário não toma decisões exclusivamente automatizadas que afetem os interesses dos titulares. Escores, cálculos e sugestões de IA são apoio ao profissional, que decide.
15. Cookies e armazenamento no dispositivo
| Item | Finalidade | Tipo |
|---|---|---|
auth-token | Mantém a sessão (login) | Cookie estritamente necessário, HttpOnly |
medescore_did | Identificador aleatório do dispositivo, para segurança e métricas de uso | Cookie necessário, HttpOnly, sem rastreamento entre sites |
mdx_tc_guest | Sessão do paciente na teleconsulta, depois de confirmar o código (vale só para aquela teleconsulta) | Cookie estritamente necessário, HttpOnly |
| Armazenamento local do navegador | Preferências, tema e cópia temporária de dados para agilizar as telas e funcionar com conexão instável | Necessário ao funcionamento |
Não usamos cookies de publicidade no prontuário. Em computadores compartilhados, encerre a sessão ao sair e use a navegação privada ou limpe os dados do navegador.
16. Encarregado (DPO) e contato
Controlador dos dados de conta: MedEscore, inscrita no CNPJ 65.857.638/0001-99. Suporte: suporte@medescore.com.br.
Pedidos e dúvidas podem ser feitos pela própria plataforma, em Meu perfil → Privacidade (LGPD), onde cada pedido recebe um protocolo, ou pelo e-mail do Encarregado (JOSE RONY DE ANDRADE ALVES): suporte@medescore.com.br.
Se não ficar satisfeito com a resposta, você pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD).
17. Alterações desta Política
Esta Política pode ser atualizada para refletir mudanças no serviço, nos fornecedores ou na legislação. A data da versão vigente aparece no topo da página. Mudanças relevantes são informadas na plataforma e, quando necessário, pedimos nova ciência antes de continuar o uso.