O que a gente coleta, onde fica e como sair.

1. Quem responde por quê

Dados de paciente (prontuário, agenda, evolução, anexos): quem decide o que entra e quem pode ver é a clínica. A Axioma opera o sistema: guarda, processa e devolve esses dados conforme a clínica determina, sem usá-los para outra finalidade. A clínica é a controladora; a Axioma é a operadora.

Dados de cadastro e cobrança (nome, clínica, e-mail, CPF/CNPJ, telefone, endereço): aqui a Axioma é a controladora: são os dados necessários para criar a conta, emitir a cobrança e falar com quem assina.

2. O que é coletado, por quê e com que base

Dado	Para quê	Base legal (LGPD)
Nome, e-mail, telefone, CPF/CNPJ, endereço	Criar a conta da clínica e emitir a cobrança	Execução de contrato (art. 7º, V)
Páginas visitadas no site (com consentimento)	Saber quais páginas trazem clínicas até aqui	Consentimento (art. 7º, I)
Dados de paciente (prontuário, agenda, anexos)	Operar o sistema para a clínica: a clínica decide o que entra	A clínica é a controladora; tutela da saúde (art. 11, II, f) quando aplicável
Registro de acesso (quem abriu o quê, quando)	Trilha de auditoria e a Certidão de Sigilo mensal	Execução de contrato e cumprimento de obrigação legal/regulatória

3. Serviços de terceiros

• Asaas (pagamento): recebe os dados de cobrança para processar a assinatura.
• ViaCEP (endereço): recebe só o CEP digitado no cadastro, para preencher o endereço de cobrança.
• Provedor de e-mail (envio): entrega as mensagens da conta, como o código de primeiro acesso e o aviso de cobrança.
• Google Analytics 4 e Meta Pixel (medição do site): recebem apenas eventos de navegação, e somente depois do seu "sim", sem dado de paciente. O Google Analytics 4 não guarda o endereço IP; o Meta Pixel recebe o IP do navegador, como qualquer site que você visita. Com o mesmo "sim", quando você se inscreve na lista ou assina, o nosso servidor também avisa a Meta (Conversions API), mandando o seu e-mail e o seu telefone só em forma cifrada (hash SHA-256, que não se desfaz), para a Meta saber que o anúncio trouxe uma inscrição ou uma assinatura.
• Hostinger (hospedagem): os dois servidores contratados pela Axioma são dela: a VPS em São Paulo (prontuário e dados da clínica) e o servidor nos Estados Unidos (IA de voz e cópia cifrada do backup).
• WhatsApp (Meta), só se a clínica ativa o Pulso (assistente de WhatsApp): as mensagens trocadas com a equipe passam pela infraestrutura do WhatsApp.
• Serviços de notificação do navegador (Google, Apple ou Mozilla, conforme o navegador), só se alguém da equipe ativa as notificações: entregam o aviso, com o conteúdo cifrado.
• Serviços de calendário (Google Agenda, Calendário da Apple, Outlook ou outro), só se o profissional liga a própria agenda: o que vai e o que vem está na seção 7.
• Só esses. Não há API de IA de terceiro e não vendemos nem cedemos dado. As clínicas ficam num banco único, com isolamento por clínica em cada registro, verificado por teste.

4. Divulgação sobre inteligência artificial

A IA do Axioma (transcrição de voz e sugestão de evolução) processa em servidor contratado pela Axioma nos EUA (seção 8), integrada ao produto, sem guardar o áudio. O áudio da consulta e o texto do prontuário não são enviados para OpenAI, Google, Anthropic ou qualquer API de terceiro, e não são usados para treinar modelo nenhum. A sugestão é sempre revisada e aprovada por uma pessoa antes de entrar no prontuário: nada é escrito automaticamente.

5. O que o site mede: e só com o seu "sim"

O site usa Google Analytics 4 e Meta Pixel para saber quais páginas trazem clínicas até aqui. Os dois só carregam depois de um consentimento explícito, guardado no seu navegador: antes do "sim", o site não faz nenhuma requisição de medição a terceiros.

O que é medido: página vista, plano clicado, checkout aberto. O Google Analytics 4 não guarda o endereço IP; o Meta Pixel recebe o IP do navegador. O que nunca é medido: nome de paciente, diagnóstico, prontuário, ou qualquer conteúdo clínico. Não há perfilamento de paciente e não vendemos dado nenhum.

Se você aceitou a medição e depois se inscreve na lista ou assina, o nosso servidor manda à Meta o mesmo evento que o Pixel mediu (inscrição, teste, assinatura), com o seu e-mail e telefone em hash SHA-256 (uma impressão digital que não se desfaz), o identificador do cookie do Pixel e o navegador usado. Isso serve só para a Meta contar o resultado do anúncio uma vez. Sem o seu "sim", nada disso sai: a inscrição e a assinatura funcionam igual.

Mudar minha escolha sobre medição

6. O que o checkout coleta

Nome, nome da clínica, e-mail, CPF ou CNPJ, telefone, CEP e número. Serve para duas coisas: criar a conta da clínica e emitir a cobrança recorrente. O primeiro acesso usa um código de uso único entregue na compra. O número do cartão nunca passa pelo Axioma: ele é digitado no checkout do Asaas, que é quem processa o pagamento.

Pedido de demonstração. Se você pede uma demonstração pelo site, guardamos nome, clínica, e-mail, telefone, número de profissionais, sistema atual e o melhor horário, só para combinar e fazer essa conversa, com a sua autorização marcada no formulário. Nada de dado de paciente. Para apagar o pedido, escreva para contato@axiomasaude.com.br.

7. Agenda externa: Google, Apple e Outlook

Cada profissional decide, na própria conta, se liga a agenda do Axioma a um calendário de fora. São dois caminhos, independentes, e nenhum vem ligado.

Levar a agenda do Axioma para o calendário do profissional (feed .ics/webcal). O profissional gera um endereço de assinatura e o cola no Google Agenda, no Calendário da Apple ou no Outlook, que passam a buscar a agenda dele nesse endereço.

• Cada atendimento vai só com o tipo ("Consulta", "Exame" ou "Teleconsulta"), a hora, a duração e a sala. Nome, CPF, telefone, serviço, convênio e dados clínicos do paciente não vão.
• O nome do paciente só entra se o profissional marcar essa opção, e abreviado (por exemplo, "Consulta — Ana S."). Os lembretes criados pelo WhatsApp entram, com o texto do lembrete, só se ele escolher os números vinculados a ele. O lembrete pelo WhatsApp é opcional: só existe se a clínica ligar o Pulso.
• O que entra no feed fica com o serviço de calendário que o profissional escolheu, nas regras desse serviço.
• O endereço é o segredo: aparece uma vez só, quando é gerado, e o servidor guarda apenas uma impressão (hash) dele. Gerar de novo troca o endereço e desliga o antigo; "Revogar" desliga na hora. Ele também para de funcionar se o profissional sair da clínica, se a conta for desativada ou se a assinatura da clínica acabar.

Trazer os compromissos pessoais para a agenda do Axioma. O profissional cola o link de uma agenda dele: o "Calendário público" do iCloud, o "endereço secreto no formato iCal" do Google, o "publicar calendário" do Outlook ou outro link .ics. Quando a opção aparece na tela, ele pode conectar o Google Agenda com acesso só de leitura.

• O servidor (VPS) da Axioma em São Paulo lê essa agenda a cada 15 minutos e quando o profissional pede, de ontem até 90 dias à frente, e grava só os intervalos ocupados. Na agenda da clínica eles aparecem como "Ocupado · Compromisso pessoal", e ninguém marca paciente por cima.
• O título do compromisso só é guardado se o profissional marcar "mostrar o título", e aí ele aparece para a equipe da clínica na agenda. Local, descrição e convidados dos eventos não são guardados.
• O link da agenda é um segredo (quem tem o link lê a agenda): fica guardado cifrado e nunca volta para a tela, que mostra só o domínio. Na conexão com o Google Agenda, o token de acesso também fica cifrado, e desconectar revoga o acesso no Google.
• Desconectar uma agenda apaga os horários trazidos dela. A trilha registra quem conectou, alterou ou removeu uma agenda, e quando, com o domínio do link, nunca o endereço.
• Nenhum dado de paciente sai por este caminho: a leitura é de fora para dentro.

8. Onde os dados ficam

Prontuário e dados da clínica em servidor (VPS) em São Paulo, contratado pela Axioma da Hostinger. A IA de voz processa em servidor contratado pela Axioma nos EUA, também da Hostinger, sem enviar nada a OpenAI ou Google e sem guardar o áudio. O núcleo clínico não fica exposto à internet: ele responde apenas na rede interna do servidor. O servidor dos Estados Unidos ainda pode guardar a cópia de reversão anterior à mudança para São Paulo, sem uso e com acesso restrito à equipe técnica, até ser apagada na limpeza da migração.

Transferência internacional para a IA (LGPD, art. 33). Quando o profissional usa a IA de voz, há uma transferência internacional de dados pessoais de saúde para os Estados Unidos, nos termos do art. 33 da LGPD:

• Finalidade: transcrever a consulta e sugerir a evolução, que o profissional revisa antes de entrar no prontuário.
• Dados envolvidos: o áudio da consulta e o texto do atendimento usado para a sugestão.
• Sem retenção: o servidor dos Estados Unidos processa e não guarda o áudio nem o texto; a sugestão volta ao servidor de São Paulo, onde fica o prontuário.
• Cifrada em trânsito: os dados vão e voltam por túnel cifrado entre os dois servidores.
• Sem terceiros de IA: nada vai para OpenAI, Google, Anthropic ou outra API de IA.

Cópia de segurança. Todo dia, o banco de dados, os anexos e a configuração do sistema viram arquivos cifrados ainda no servidor de São Paulo, com uma chave pública: esse servidor só consegue cifrar, e a chave que abre as cópias fica fora dos servidores, sob controle da Axioma. O servidor de São Paulo guarda as 10 cópias mais recentes. Uma cópia de cada arquivo, já cifrada, vai por conexão SFTP restrita para o servidor contratado pela Axioma nos Estados Unidos, que a guarda por 30 dias numa área que o servidor de produção não alcança, nem para apagar. Lá ela fica só cifrada: o servidor dos Estados Unidos não tem a chave.

A cópia de segurança também é uma transferência internacional (LGPD, art. 33): sai do Brasil já cifrada, fica 30 dias e o servidor dos Estados Unidos não tem a chave. As duas transferências fazem parte do serviço que a clínica contrata, como controladora dos dados dos pacientes, e a Axioma as executa como operadora, seguindo as instruções da clínica.

9. Com quem compartilhamos

O gateway de pagamento (Asaas) recebe apenas o cadastro de faturamento. Google e Meta (medição): recebem apenas os eventos do site (e, a Meta, o e-mail e o telefone em hash SHA-256 de quem se inscreve ou assina), e somente se você aceitar. A Hostinger hospeda os servidores. Fora esses e os canais abaixo, nenhum dado é repassado a terceiros.

O que a clínica decide usar (o Pulso, que é o assistente de WhatsApp, as notificações do navegador e o e-mail) passa pela infraestrutura desses canais, porque são eles os canais. O prontuário, o financeiro e a transcrição não saem. Da agenda, só sai o que cada profissional assinar no próprio calendário, como descreve a seção 7.

10. Por quanto tempo, e como apagar

Dados de cobrança ficam pelo prazo legal e fiscal. Dados da clínica ficam enquanto a assinatura existir e podem ser exportados por completo, a qualquer momento, dentro da própria plataforma (Ajustes → Exportação guiada): um pacote com prontuário, agenda, financeiro e a trilha de auditoria, com hash de integridade. Depois de cancelar, o acesso (e a exportação) segue até o fim do período já pago; a partir daí, a exportação completa é entregue a pedido, por e-mail, por 90 dias. A exclusão é feita a pedido, salvo guarda exigida por lei. As cópias de segurança cifradas saem da rotação sozinhas: em até 10 dias no servidor de São Paulo e em até 30 dias no dos Estados Unidos.

11. Seus direitos (LGPD, art. 18)

Confirmação, acesso, correção, anonimização, portabilidade, eliminação e informação sobre compartilhamento. Para exercer, escreva para contato@axiomasaude.com.br. Quando o pedido for sobre dado de paciente, quem responde é a clínica: a Axioma apoia a clínica com o que for necessário para atender.

12. Como o acesso é protegido

Sessão de 12 horas com cookie assinado, verificação em dois fatores por aplicativo autenticador (obrigatória para administração e gestão; opcional para os demais perfis), primeiro acesso com código de uso único enviado na compra, registro de acesso em trilha de auditoria e Certidão de Sigilo mensal: um relatório dos acessos registrados pelo app no período, com assinatura institucional própria da Axioma, incluída no plano. Não exige certificado da clínica; a gestão baixa o documento no app, em "Certidão de Sigilo". A assinatura verifica a origem e a integridade do relatório, sem equivaler a ICP-Brasil ou certificação SBIS.

13. Idade mínima e alterações desta política

O Axioma é ferramenta de trabalho para profissionais de saúde: não é destinado a menores de 18 anos e não coleta dado de criança por conta própria. Dado de paciente menor de idade entra no sistema pela clínica, com o responsável legal, e a guarda é dela.

Quando esta política mudar, a data no fim da página muda junto e as alterações relevantes são avisadas por e-mail a quem assina. Nenhuma mudança retroage sobre dado já tratado.

Quem é o controlador

AXIOMASAUDE LTDA: empresa que responde pelos dados de cadastro, cobrança e medição deste site e da plataforma. É ela que recebe os pagamentos da assinatura.

Encarregado pelo tratamento de dados (LGPD, art. 41): o canal de contato é contato@axiomasaude.com.br: por ele o titular pede confirmação, acesso, correção, portabilidade ou eliminação, e recebe resposta. Pedidos sobre dado de paciente são encaminhados à clínica responsável, com apoio da Axioma.

Versão 2026-10-26.1, de 26 de outubro de 2026 (revisão de texto e o lembrete pelo WhatsApp como opcional, ligado pela clínica; a seção 8 descreve cada servidor e a transferência internacional para a IA; inclui a seção 7, "Agenda externa: Google, Apple e Outlook", a cópia de segurança e, nas seções 3, 5 e 9, o envio do e-mail e do telefone em hash SHA-256 à Meta, só com o "sim" da medição).