Política de Privacidade

Última atualização: 13 de outubro de 2026

Esta Política explica como o Divanu (divanu.com.br) trata dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, "LGPD"). Ela complementa os Termos de Uso.

1. Quem é o responsável

O Divanu é mantido por Guilherme Durante Rodolfo, que é o controlador dos dados das contas de profissionais e clínicas. Encarregado pelo tratamento de dados pessoais (art. 41 da LGPD): Guilherme Durante Rodolfo, pelo e-mail privacidade@divanu.com.br.

Para os dados de pacientes inseridos na plataforma, o controlador é o profissional ou a clínica que os cadastrou, e o Divanu atua como operador, tratando esses dados apenas para prestar o serviço.

2. Dados que tratamos

Da sua conta (profissional ou clínica):

• nome, e-mail e senha (armazenada apenas de forma irreversível, por hash);
• data e versão do aceite destes documentos;
• dados técnicos de acesso e sessão, como endereço IP, navegador e data e hora de uso;
• registro profissional (conselho, número e UF), que aparece nos documentos que você emite; para médicos, também CPF, data de nascimento e sexo, exigidos para a receita digital;
• nome, CNES, endereço e telefone do local de atendimento, quando a clínica os informa;
• preferências, modelos de mensagens e instruções para o assistente de IA configurados por você;
• quantidade de pedidos feitos ao assistente de IA, por mês;
• em clínicas com equipe: a função de cada pessoa (responsável, profissional ou secretária) e o e-mail de quem foi convidado, que recebe o convite por e-mail;
• se você assinar um plano: nome, CPF ou CNPJ, celular e endereço do titular, plano contratado e situação dos pagamentos. Os dados do cartão são informados diretamente ao processador de pagamento e não passam pelo Divanu.

Inseridos por você sobre seus pacientes:

• dados cadastrais, como nome, telefone, e-mail, data de nascimento, CPF, sexo e observações;
• planilha enviada pela clínica para cadastrar pacientes e consultas: os dados aceitos passam a fazer parte do cadastro e da agenda, e o arquivo em si não fica armazenado;
• consultas agendadas;
• prontuário e arquivos anexados, que podem conter dados pessoais sensíveis referentes à saúde.

Sessões online: o áudio e o vídeo vão direto entre o aparelho do profissional e o do paciente, com criptografia de ponta a ponta, e não são gravados nem armazenados. O Divanu só intermedia o início da conexão, o que envolve dados técnicos como o endereço IP de cada aparelho. Quando uma rede bloqueia a conexão direta, a mídia passa por um retransmissor da Cloudflare, ainda criptografada e sem que ele possa acessar o conteúdo. O paciente entra por um link enviado pelo profissional, sem criar conta.

Lembretes de consulta: no plano Agenda, as mensagens de WhatsApp são abertas no aparelho do próprio profissional, que decide enviá-las. Nos planos Consultório e Assistente, e durante o teste, o lembrete da véspera pode ser enviado pela API do WhatsApp (Meta), até a franquia mensal do plano; o que passar dela volta a abrir no aparelho do profissional. Se a clínica ativar os lembretes por e-mail, o paciente com e-mail cadastrado recebe, na véspera, um e-mail com o primeiro nome, o nome do profissional, a data e o horário. As mensagens trazem um link pelo qual o paciente confirma a presença ou pede para remarcar, sem criar conta; registramos apenas a resposta e o horário dela.

Assistente de inteligência artificial: disponível no plano Assistente, só é usado no prontuário de pacientes cujo consentimento o profissional registrou. A cada pedido, o texto necessário (as anotações digitadas ou os registros do prontuário) é enviado ao serviço de IA da Cloudflare (Workers AI) depois de trocarmos nome, CPF, telefone e e-mail do paciente por marcadores, junto com as instruções que o profissional escreveu para o assistente. O texto do pedido e a resposta não são guardados pelo Divanu nem usados para treinar modelos; registramos apenas a quantidade de pedidos e o volume processado, para a franquia mensal, e o acesso ao prontuário no histórico. A resposta é um rascunho, revisado pelo profissional, que permanece responsável pelo conteúdo.

3. Para que usamos e com qual base legal

• Criar e manter sua conta e prestar o serviço: execução de contrato (art. 7º, V).
• Segurança, prevenção a fraudes e melhoria do serviço: legítimo interesse (art. 7º, IX), sempre respeitando seus direitos.
• Guarda de registros de acesso e atendimento a autoridades: cumprimento de obrigação legal (art. 7º, II), incluindo o Marco Civil da Internet.
• Comunicações sobre o serviço (avisos de segurança, mudanças nos termos): execução de contrato e legítimo interesse.

Quanto aos dados dos pacientes, cabe ao profissional definir a base legal. Em geral, o registro em prontuário se apoia no cumprimento de obrigação legal ou regulatória e na tutela da saúde por profissionais de saúde (art. 11, II, "a" e "f").

Não vendemos dados, não os usamos para publicidade e não usamos o conteúdo de prontuários para treinar modelos de inteligência artificial. O uso do assistente de IA depende do consentimento do paciente, registrado pelo profissional e revogável a qualquer momento.

4. Com quem compartilhamos

Compartilhamos dados apenas com fornecedores necessários para operar o serviço, que atuam sob nossas instruções:

• Cloudflare: hospedagem da aplicação, proteção da rede, armazenamento dos arquivos anexados, conexão das sessões online e processamento dos pedidos ao assistente de IA (Workers AI), sem retenção do conteúdo;
• Neon: banco de dados;
• Resend: envio de e-mails da conta, como redefinição de senha, avisos de segurança e convites de equipe (recebe nome e e-mail), e dos lembretes de consulta aos pacientes, quando ativados pela clínica (recebe o e-mail e o primeiro nome do paciente, o nome do profissional e a data da consulta);
• Asaas (Asaas Gestão Financeira Instituição de Pagamento S.A.): processamento das assinaturas. Recebe nome, e-mail, CPF ou CNPJ, celular e endereço do titular, além dos dados do cartão, que são informados diretamente a ele. Dados de pacientes nunca são enviados ao Asaas.
• Meta (WhatsApp Cloud API): nos planos com lembrete automático, recebe o telefone do paciente, o primeiro nome, o nome do profissional, a data e o horário da consulta e o link de confirmação, só para entregar a mensagem da véspera. O Divanu não lê a conversa do WhatsApp do profissional.
• Memed: quando o profissional emite uma receita digital, recebe o nome, e-mail, CPF, data de nascimento, sexo e CRM dele, e o nome, CPF, sexo, data de nascimento, telefone e e-mail do paciente. O conteúdo da receita fica na Memed.

Se incluirmos outros fornecedores, esta Política será atualizada antes. Também podemos compartilhar dados quando exigido por lei ou por ordem de autoridade competente.

5. Transferência internacional

Alguns fornecedores podem processar dados em servidores fora do Brasil. Nesses casos, a transferência ocorre com fornecedores que adotam garantias de proteção compatíveis com a LGPD, como cláusulas contratuais, nos termos do art. 33.

6. Como protegemos os dados

• toda a comunicação com o site é criptografada (HTTPS);
• o conteúdo do prontuário, os anexos e seus nomes são criptografados (AES-256) antes de serem gravados, com chave guardada separadamente do banco de dados;
• apenas o profissional responsável pelo paciente pode ler e escrever no prontuário dele;
• em clínicas com equipe, cada profissional vê só os próprios pacientes e a própria agenda. O responsável pela clínica e a secretária veem a agenda e o cadastro de todos, mas não os prontuários de outros profissionais;
• cada leitura, criação, alteração, download, transferência de paciente entre profissionais, lacre de prontuário, uso do assistente de IA e registro ou revogação do consentimento para ele é registrado, e versões anteriores não podem ser apagadas ou alteradas enquanto a conta estiver ativa;
• os dados de cada consultório ficam isolados dos demais;
• sessões online: criptografia de ponta a ponta entre os dois aparelhos, sem gravação; o link do paciente só funciona perto do horário da consulta e deixa de valer se ela for cancelada.

Nenhum sistema é totalmente imune a falhas. Se ocorrer um incidente de segurança que possa gerar risco ou dano relevante, comunicaremos os afetados e a Autoridade Nacional de Proteção de Dados (ANPD), conforme a lei.

7. Por quanto tempo guardamos

• dados da conta: enquanto ela estiver ativa;
• após o pedido de encerramento: 90 dias para que você possa exportar os dados ou desistir. Depois disso, contas sem prontuário são excluídas;
• contas com prontuário: são arquivadas (sem cobrança, apenas para consulta e exportação) e guardadas por 20 anos a partir do último registro, prazo da Lei nº 13.787/2018, e depois excluídas. Esse armazenamento se baseia no cumprimento de obrigação legal (art. 16, I, da LGPD);
• integrantes desativados de uma equipe: o histórico de quem atendeu e registrou é mantido enquanto a clínica guardar os prontuários;
• registros de acesso e outros dados que a lei exija manter: pelo prazo legal (por exemplo, no mínimo 6 meses para registros de acesso à aplicação).
• registros de pagamentos mantidos pelo Asaas: pelos prazos exigidos pela legislação fiscal e financeira.

Os prazos de guarda do prontuário exigidos pelos conselhos profissionais são de responsabilidade do profissional, que deve exportar os dados antes de encerrar a conta.

8. Cookies

Usamos apenas cookies essenciais, necessários para manter você conectado com segurança e para concluir a entrada por um convite de equipe. Não usamos cookies de publicidade nem de rastreamento de terceiros.

9. Seus direitos

Como titular de dados, você pode, nos termos do art. 18 da LGPD:

• confirmar se tratamos seus dados e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• pedir a portabilidade dos dados;
• saber com quem compartilhamos seus dados;
• revogar consentimentos, quando o tratamento se basear nele;
• apresentar reclamação à ANPD.

Para exercer esses direitos, escreva para privacidade@divanu.com.br. Podemos pedir informações para confirmar sua identidade.

Se você é paciente, procure primeiro o profissional ou a clínica que cadastrou seus dados, pois são eles os controladores. Se nos procurar, encaminharemos o pedido a eles e os auxiliaremos a atendê-lo.

10. Crianças e adolescentes

Contas são exclusivas para maiores de 18 anos. Dados de pacientes crianças ou adolescentes podem ser registrados pelo profissional, que é responsável por tratá-los no melhor interesse do paciente e com o consentimento de um dos pais ou responsável legal, quando exigido (art. 14).

11. Alterações desta Política

Podemos atualizar esta Política. Mudanças relevantes serão comunicadas pelo e-mail cadastrado ou na plataforma antes de entrarem em vigor.

12. Contato

Privacidade e proteção de dados (encarregado: Guilherme Durante Rodolfo): privacidade@divanu.com.br
Demais assuntos: contato@divanu.com.br