Política de Privacidade — IAgo

Versão: v2.0 Data de vigência: {DATA_GO_LIVE} Versão anterior: politica_privacidade_v1.md (preservada para fins de prestação de contas — LGPD art. 6º, X)

1. Identificação do Controlador

A presente Política de Privacidade rege o tratamento de dados pessoais realizado no âmbito da plataforma IAgo — chatbot de agendamento clínico via WhatsApp.

• Controlador (LGPD art. 5º, VI): BioHub Solutions Ltda.
• CNPJ: 50.090.095/0001-50
• Sede: Recife/PE — Brasil
• Encarregado de Dados / DPO (LGPD art. 41): dpo@biohub.solutions

Para o exercício dos direitos previstos no art. 18 da LGPD (acesso, correção, eliminação, anonimização, portabilidade, informação sobre compartilhamento, revogação de consentimento, oposição), contate diretamente o Encarregado.

2. Natureza do serviço e papéis das partes

O IAgo é fornecido em modalidade SaaS B2B a clínicas médicas contratantes, que o utilizam para automação de agendamento, lembretes, recall e atendimento conversacional via WhatsApp. Considerando a arquitetura do serviço:

• BioHub Solutions atua como controladora dos dados de autenticação e operação da plataforma (usuários administrativos, profissionais e atendentes vinculados às clínicas contratantes) e como operadora (LGPD art. 5º, VII) quanto aos dados clínicos de pacientes tratados em nome da clínica contratante, na qualidade de controladora primária dos dados de seus pacientes.
• A relação está formalizada nos respectivos Termos de Uso e Contrato de Prestação de Serviços SaaS firmados com a clínica.

3. Categorias de dados tratados

3.1 Dados de cadastro e operação (clínica e profissionais)

• Nome, e-mail, telefone, cargo, CRM/CRO/registro profissional quando aplicável.
• Dados de acesso e logs de auditoria (data, hora, IP, ação executada).

3.2 Dados de pacientes (titulares finais)

• Nome, telefone (WhatsApp), e-mail (quando informado).
• Histórico de mensagens, agendamentos, motivos de consulta, anotações operacionais.
• Dados pessoais sensíveis de saúde (LGPD art. 11): informações clínicas mínimas necessárias ao agendamento, recall e cumprimento do dever de cuidado da clínica. Tratamento sob a base art. 11, II, "a" e "f" (cumprimento de obrigação legal/regulatória e tutela da saúde por profissional habilitado), em conformidade com a Resolução CFM nº 2.299/2021 (telemedicina).

3.3 Dados de autenticação centralizada (incluído na v2.0)

A partir de {DATA_GO_LIVE}, dados tratados pelo provedor de identidade centralizada (vide §5): - E-mail, nome, identificador único do titular no IdP (sub / external_id), claims OIDC mínimas (email_verified, preferred_username). - Hash de senha (gerenciado integralmente pela Microsoft; a BioHub não acessa senhas em texto claro nem hashes brutos). - Token de MFA (segundo fator de autenticação), quando aplicável. - Logs de acesso, falhas de login, eventos de recuperação de credencial.

3.4 Dados de integrações

• Tokens OAuth para Microsoft Graph (Outlook Calendar) e Google Calendar (apenas para clínicas/profissionais que ativaram a sincronização).
• Identificadores de transação Stripe (sem dados de cartão — tratamento PCI-DSS sob responsabilidade da Stripe).
• Identificadores Twilio (SMS fallback).
• Identificadores de sessão WhatsApp Business (Meta).

4. Bases legais (LGPD arts. 7º e 11)

5. Login centralizado e autenticação (incluído na v2.0)

A partir de {DATA_GO_LIVE}, a autenticação no IAgo passa a ser realizada por meio do Microsoft Entra External ID, serviço de identidade da Microsoft Corporation, contratado pela BioHub na qualidade de operadora de dados (LGPD art. 5º, VII), sob Acordo de Processamento de Dados (DPA Microsoft) e Cláusulas Contratuais Padrão (SCC).

5.1 Dados tratados pelo IdP

Conforme §3.3.

5.2 Transferência internacional de dados (LGPD arts. 33 a 36)

• Localização do tratamento: o tenant alllifeciam está hospedado em região Itália (União Europeia). O Brasil ainda não consta na lista de regiões de data residency oferecidas pelo Microsoft Entra External ID.
• Base para a transferência:
• Art. 33, IX da LGPD — execução de contrato com o titular (autenticação é elemento essencial à fruição do serviço contratado).
• Art. 33, II da LGPD — adoção de cláusulas contratuais específicas (Cláusulas Contratuais Padrão e Data Processing Addendum da Microsoft) como salvaguarda contratual.
• Garantias adicionais: A União Europeia adota nível de proteção compatível com o Regulamento Geral sobre Proteção de Dados (GDPR), reconhecido como standard internacional equivalente ao da LGPD. A Microsoft Corporation mantém certificações ISO/IEC 27001, 27017, 27018, 27701 e SOC 2 Type II.
• Acesso a salvaguardas: o titular pode solicitar cópia das salvaguardas contratuais (DPA Microsoft + SCCs aplicáveis) mediante requisição a dpo@biohub.solutions.

5.3 Direitos do titular sobre dados no IdP

Todos os direitos previstos no art. 18 da LGPD permanecem plenamente preservados e exercíveis pelo canal único dpo@biohub.solutions. A BioHub, na qualidade de controladora, é o ponto único de contato do titular, independentemente da localização técnica do tratamento.

6. Subprocessadores

A lista atualizada e os respectivos DPAs estão disponíveis mediante solicitação a dpo@biohub.solutions.

7. Retenção de dados

8. Direitos do titular (LGPD art. 18)

O titular pode, a qualquer momento e gratuitamente, requerer:

I — confirmação da existência de tratamento; II — acesso aos dados; III — correção de dados incompletos, inexatos ou desatualizados; IV — anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; V — portabilidade; VI — eliminação dos dados tratados com consentimento; VII — informação sobre entidades públicas e privadas com as quais o controlador realizou uso compartilhado; VIII — informação sobre a possibilidade de não fornecer consentimento e suas consequências; IX — revogação do consentimento.

Canal único: dpo@biohub.solutions. Prazo de resposta: até 15 dias (art. 19, §1º).

9. Segurança da informação

A BioHub adota medidas técnicas e organizacionais compatíveis com o estado da arte (LGPD art. 46), incluindo: criptografia em trânsito (TLS 1.2+) e em repouso (AES-256), segregação lógica de dados por clínica (multi-tenant), gestão de identidades por Managed Identity, Private Endpoints para serviços PaaS, MFA disponível para todos os usuários administrativos, e processo formal de resposta a incidentes com notificação à ANPD em até 72 horas úteis quando aplicável (art. 48).

10. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças regulatórias, operacionais ou tecnológicas. Alterações materiais serão comunicadas com antecedência mínima compatível com a natureza da mudança. O histórico de versões está publicamente disponível em conformidade com o princípio da prestação de contas (LGPD art. 6º, X).

Versão atual: v2.0 — {DATA_GO_LIVE} Versão anterior: politica_privacidade_v1.md

11. Contato

• Encarregado de Dados (DPO): dpo@biohub.solutions
• Suporte operacional: suporte@biohub.solutions
• Controlador: BioHub Solutions Ltda. — CNPJ 50.090.095/0001-50 — Recife/PE