Política de Privacidade

1. Identificação do controlador e divisão de responsabilidades

A Doczar opera uma plataforma SaaS de geração automatizada de contratos, termos de consentimento livre e esclarecido (TCLE), anamneses e documentos correlatos para clínicas odontológicas.

A divisão de responsabilidades LGPD é a seguinte:

(a) Dados pessoais dos pacientes das clínicas-clientes (nome, CPF, anamnese, histórico clínico, plano de tratamento): a Doczar atua como OPERADORA (art. 5º, VII LGPD). A clínica é a CONTROLADORA primária e responde pelas bases legais, finalidades e direitos do paciente nessa qualidade.

(b) Dados pessoais dos cirurgiões-dentistas e clínicas contratantes (cadastro, faturamento, logs de uso, suporte): a Doczar atua como CONTROLADORA (art. 5º, VI LGPD) e responde diretamente perante o titular.

(c) Dados pessoais dos visitantes do site e usuários não autenticados (cookies, navegação, formulário de contato): a Doczar atua como CONTROLADORA.

2. Encarregado de Dados (DPO)

Romero Coutinho de Araújo — privacidade@doczar.com.br

O Encarregado responde requisições do titular em até 15 (quinze) dias corridos a partir da requisição formal, conforme art. 18, §1º LGPD.

A Doczar reserva-se o direito de delegar a função de Encarregado a pessoa jurídica especializada externa, na forma do art. 41, §3º LGPD. Qualquer substituição é publicada nesta Política mediante atualização desta Seção 2 e do campo Última atualização.

3. Categorias de dados tratados e finalidades

A tabela abaixo mapeia os dados tratados pela Doczar, as finalidades específicas e os titulares envolvidos.

3.1 Dados sensíveis de saúde

Dados de saúde do paciente (anamnese, plano de tratamento, medicações em uso, alergias, condições clínicas) são dados pessoais sensíveis (art. 5º, II LGPD) e tratados exclusivamente sob a hipótese de tutela da saúde(art. 11, II, “f” LGPD), por profissional da saúde (cirurgião-dentista) sujeito a sigilo profissional (art. 7º do Código de Ética Odontológica — CFO Res. 118/2012).

A Doczar NÃO compartilha dados sensíveis de saúde com operadoras de planos privados de assistência à saúde para fins de seleção, contratação ou exclusão de beneficiário, nos termos da vedação do art. 11, §4º LGPD.

3.2 Dados pessoais de menores e adolescentes

Quando o paciente for criança (até 12 anos incompletos) ou adolescente (de 12 a 18 anos incompletos), o tratamento é realizado com a anuência de pelo menos um dos pais ou responsável legal, conforme art. 14 LGPD, considerando sempre o melhor interesse da criança ou adolescente. A clínica controladora é responsável pela coleta da anuência; a Doczar oferece, como operadora, mecanismos técnicos para registro dessa anuência no dossiê eletrônico do paciente.

4. Bases legais e finalidades específicas

As bases legais aplicadas por tratamento estão indicadas na Seção 3 e na tabela específica de cada subprocessador. Quando um mesmo dado servir a mais de uma finalidade, as bases legais correspondentes são cumulativas; o titular pode questionar a proporcionalidade junto ao Encarregado.

A Doczar também realiza, como controladora independente e com base em seu legítimo interesse (art. 7º, IX, c/c art. 10 LGPD), dois tratamentos próprios, descritos a seguir:

(a) Exclusão publicitária. Para que você, como paciente, não receba anúncios da Doczar, seu e-mail e telefone são submetidos a uma transformação técnica (hash criptográfico SHA-256, que dificulta a leitura direta) e compartilhados com a Meta e a Google exclusivamente para incluí-lo em listas de exclusão de publicidade. Não se compartilha nome, CPF, procedimentos ou dados de saúde. Trata-se de tratamento em benefício do titular (art. 10, II LGPD).

(b) Métricas de produto. Para aprimorar a plataforma e corrigir falhas (por exemplo, de carregamento de documentos), a Doczar coleta métricas de uso pseudonimizadas — identificador aleatório por visita (sem cookie permanente), etapa atingida, categoria de dispositivo e identificador da clínica — sem nome, CPF, e-mail, telefone, endereço IP ou conteúdo do documento. São processadas por nós e pela PostHog, sem criação de perfil individual (art. 10, I LGPD).

5. Operadores, suboperadores e transferência internacional

A Doczar opera com os seguintes subprocessadores:

As transferências internacionais de dados pessoais para os operadores acima ocorrem com base nos seguintes mecanismos previstos no art. 33 LGPD:

(a) Cláusulas-padrão contratuais aprovadas pela Autoridade Nacional de Proteção de Dados nos termos da Resolução CD/ANPD nº 19/2024, celebradas individualmente com cada subprocessador internacional;

(b) Garantias contratuais específicas adicionais quando cabível, por exigência da Doczar enquanto controladora ou operadora.

(c) Cláusulas contratuais-padrão (Standard Contractual Clauses) e certificação em estruturas reconhecidasde transferência — como o EU-US Data Privacy Framework—, quando adotadas pelo subprocessador, nos termos do art. 33, II, LGPD. É o mecanismo aplicável ao tratamento por PostHog, Inc., formalizado em Acordo de Tratamento de Dados (DPA) celebrado com a Doczar.

A Doczar não opera com base em decisão de adequação da ANPD para os países envolvidos, uma vez que a ANPD ainda não publicou decisões de adequação aplicáveis aos Estados Unidos até a data desta versão.

6. Retenção de dados

6.1 Limites do direito à eliminação

A trilha de auditoria, os hashes criptográficos, os carimbos de tempo e os PDFs selados não podem ser eliminados mesmo mediante pedido do titular, por constituírem prova de assinatura eletrônica avançada (Lei 14.063/2020, art. 4º, II) e por cumprirem obrigação legal de guarda (art. 16, I LGPD). A retenção é proporcional, necessária e diretamente vinculada à prestação do serviço contratado.

7. Direitos do titular (art. 18 LGPD)

O titular pode exercer, perante a Doczar, os seguintes direitos:

7.1 Reclamação à ANPD

O titular insatisfeito com a resposta da Doczar pode peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD), através do canal oficial em https://www.gov.br/anpd, nos termos do art. 18, §3º LGPD e da Resolução CD/ANPD nº 4/2023.

8. Cookies e tecnologias de rastreamento

A Doczar utiliza cookies e tecnologias correlatas (web storage, identificadores de sessão) para os fins descritos abaixo. O banner de cookies, exibido no primeiro acesso, permite ao titular aceitar ou recusar categorias não-essenciais conforme o Guia Orientativo sobre Cookies e Proteção de Dados Pessoais da ANPD (out/2023).

A Doczar não utiliza cookies de publicidade sem o seu consentimento e não comercializa dados de navegação.

As estatísticas analíticas são tratadas por operador de primeira parte da Doczar e podem vincular, de forma pseudonimizada, a navegação de um mesmo visitante até uma eventual conversão (cadastro ou contato), sem perfilhamento publicitário. O titular pode se opora esse tratamento a qualquer momento recusando a categoria “Analíticos” no banner de cookies, sem prejuízo de acesso ao conteúdo.

As tags de marketing destinam-se exclusivamente à aquisição de profissionais e são carregadas apenas após o aceite da categoria “Marketing” no banner, podendo ser recusadas ou revogadas a qualquer tempo (art. 8º, §5º). Por concepção (privacy by design), não são carregadas nas superfícies de uso do paciente (visualização e assinatura do dossiê), e o contato do paciente é submetido a hash e mantido exclusivamente em lista de exclusãode anúncios (Seção 4 — “Exclusão publicitária”, art. 10, II), de modo que o paciente não é incluído em públicos de campanha. A inclusão publicitária (por consentimento) e a exclusão publicitária (Seção 4, por legítimo interesse em benefício do titular) são tratamentos distintos e inconfundíveis.

9. Incidentes de segurança e comunicação

Em caso de incidente de segurança envolvendo dados pessoais que possa acarretar risco ou dano relevante aos titulares, a Doczar comunica:

(a) a Autoridade Nacional de Proteção de Dados (ANPD) em até 3 (três) dias úteis a contar do conhecimento do incidente, na forma da Resolução CD/ANPD nº 15/2024;

(b) os titulares afetados dentro do mesmo prazo, por e-mail cadastrado e por aviso público na Plataforma e nesta Política, contendo a natureza do incidente, dados envolvidos, riscos, medidas adotadas e canais de esclarecimento;

(c) as clínicas-controladoras, quando o incidente envolver dados de pacientes, para que cumpram as obrigações próprias de controladora primária.

A Doczar mantém plano documentado de resposta a incidentes, auditoria periódica e simulações.

10. Canal de exercício de direitos

Para exercer qualquer direito previsto nesta Política ou na LGPD, envie sua requisição a privacidade@doczar.com.br. A Doczar:

(a) responde em até 15 (quinze) dias corridos (art. 18, §1º LGPD);

(b) não cobra taxa pelo exercício de direitos, salvo requisições manifestamente infundadas ou excessivas, conforme art. 18, §5º LGPD;

(c) pode solicitar comprovação razoável de identidade do titular antes de fornecer informações ou efetivar eliminação, para prevenir acesso indevido.

Se a sua relação é com uma clínica que utiliza a Doczar, recomenda-se consultar primeiro o Encarregado dessa clínica (descrito no Termo LGPD anexo ao seu contrato). Quando a clínica for a controladora primária, a Doczar atua como operadora e cooperará com a clínica para responder à requisição.

11. Documentos relacionados

Esta Política integra o conjunto de instrumentos jurídicos da Doczar e deve ser lida em conjunto com:

(a) Termos de Uso da Plataforma Doczar (v1.0)— disciplina a relação comercial entre a Doczar e o cirurgião-dentista ou clínica contratante;

(b) Acordo de Tratamento de Dados (DPA) v1.1— disciplina a relação operador-controlador entre a Doczar e a clínica contratante para fins de LGPD;

(c) Termo LGPD do paciente— anexo ao dossiê documental do paciente em cada atendimento; trata especificamente das bases legais, finalidades e direitos do paciente perante a clínica controladora primária.

Em caso de conflito entre esta Política e o DPA quanto a tratamento de dados pessoais da relação Doczar-clínica, prevalece o DPA.

12. Alterações desta Política

A Doczar pode alterar esta Política a qualquer tempo. Mudanças substantivas são comunicadas:

(a) por aviso na Plataforma com 30 (trinta) dias de antecedência da entrada em vigor;

(b) por e-mail ao dentista titular da conta, quando aplicável;

(c) por atualização do campo Última atualização no topo desta página.

Alterações meramente formais (correções de redação, ajustes de link, atualização de números de telefone) são publicadas sem necessidade de notificação prévia, com registro no histórico interno da Doczar.