Política de privacidade

Esta política explica como a Zayro Clínicas Ltda. ("Zayro Clínicas", "nós") trata dados pessoais no site e no sistema de gestão para clínicas, conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018, "LGPD").

Resumo

Os dados dos pacientes pertencem à clínica. Nós só guardamos e processamos esses dados para a clínica, seguindo as instruções dela.
Não vendemos dados, não usamos dados de pacientes para publicidade e não usamos ferramentas de rastreamento ou anúncios.
Usamos apenas cookies necessários para o login funcionar.
Para exercer os seus direitos, escreva para privacidade@zayroclinicas.com.br.

1. Quem é responsável por cada dado

Dados da conta e da contratação (dono da clínica e equipe com login): a Zayro Clínicas é a controladora, ou seja, decide como esses dados são tratados.
Dados dos pacientes e responsáveis (cadastro, agenda, prontuário): a clínica é a controladora e a Zayro Clínicas é a operadora. Quem quiser saber o que a clínica faz com os seus dados, ou pedir acesso, correção ou exclusão, deve falar primeiro com a clínica. Se nos procurar, encaminharemos o pedido a ela.

2. Quais dados tratamos e para quê

Dados	Para quê	Base legal (LGPD)
E-mail, senha (guardada só como código irreversível), nome e foto de perfil de quem usa o sistema	Criar e proteger a conta, identificar quem fez cada ação	Execução de contrato (art. 7º, V)
Dados da clínica (nome e dados cadastrais informados) e histórico de mensalidades	Cobrança e suporte	Execução de contrato e obrigação legal (art. 7º, II e V)
Nome, CPF e registro no conselho dos profissionais	Identificar o profissional na agenda e nos prontuários	Execução de contrato e obrigação legal da clínica
Registro de acessos e alterações (quem, o quê, quando)	Segurança, prevenção de fraude e prova em caso de disputa	Legítimo interesse e exercício regular de direitos (art. 7º, VI e IX)
Medição de uso: quais telas e botões são usados, com a clínica e o perfil (dono, recepção, fono), sem identificar quem clicou	Melhorar o sistema. Fica na nossa API, não vai para terceiros e é apagada depois de 13 meses	Legítimo interesse (art. 7º, IX)
Dados de pacientes e responsáveis: identificação, contato, convênio, agenda e prontuário (dados de saúde)	Somente para a clínica prestar o atendimento e cumprir a guarda do prontuário	Definida pela clínica; em geral, tutela da saúde e obrigação legal (art. 11, II, "a" e "f")
Nome e CPF lidos do certificado da assinatura gov.br	Conferir quem assinou o prontuário	Obrigação legal e exercício regular de direitos

Pedimos só o necessário para cada finalidade. Campos opcionais estão marcados como tal nos formulários.

3. Com quem compartilhamos

Só com fornecedores necessários para o sistema funcionar, sob contrato e com dever de sigilo:

Supabase: banco de dados, arquivos e login (servidores na região de São Paulo).
Vercel: hospedagem do site. Pode processar dados fora do Brasil, com as garantias do art. 33 da LGPD.
Mercado Pago: geração e confirmação do Pix das mensalidades. Recebe só o valor e o e-mail de quem paga, nunca dados de pacientes.

Também podemos compartilhar dados quando a lei ou uma ordem judicial exigir.

4. Por quanto tempo guardamos

Conta e cobrança: enquanto o contrato durar e depois pelo prazo exigido por lei (por exemplo, 5 anos para documentos fiscais).
Registro de quem acessou ou alterou dados: enquanto a clínica for cliente e depois pelo prazo exigido por lei.
Dados de pacientes e prontuários: enquanto a clínica for cliente. Depois do cancelamento, ficam disponíveis por 90 dias para a clínica pedir uma cópia, e então são apagados, salvo se a clínica contratar a guarda. A guarda do prontuário por no mínimo 20 anos (Lei 13.787/2018) é responsabilidade da clínica.

5. Cookies e armazenamento no navegador

Usamos somente cookies necessários, sem os quais o login não funciona. Por isso eles não dependem de consentimento. Não usamos Google Analytics, pixel de anúncios nem qualquer outro rastreamento.

Nome	Para quê	Duração
`sb-…-auth-token`	Manter você conectado	Até fechar o navegador
`convite_equipe`	Lembrar o convite da clínica enquanto você cria a conta	7 dias
`plano_escolhido`	Lembrar o plano escolhido na página de planos	7 dias

O navegador também guarda o tema (claro ou escuro) e se o menu fica aberto. O rascunho do prontuário fica só na aba aberta e some ao fechar o navegador. Nada disso é enviado a terceiros.

6. Segurança

Conexão sempre criptografada (HTTPS).
Cada clínica só acessa os próprios dados, com regras de acesso aplicadas no próprio banco de dados.
Acesso por perfil (dono, recepção, profissional) e registro de quem consultou ou alterou dados sensíveis.
Senhas guardadas só como código irreversível, e a sessão termina ao fechar o navegador.
Prontuários registrados não podem ser editados nem apagados.

Nenhum sistema é 100% imune a falhas. Se acontecer um incidente que possa trazer risco ou dano relevante, avisaremos a clínica e a Autoridade Nacional de Proteção de Dados (ANPD) nos prazos da lei.

7. Os seus direitos

Pela LGPD (art. 18), você pode pedir:

confirmação de que tratamos dados seus e acesso a eles;
correção de dados incompletos, inexatos ou desatualizados;
anonimização, bloqueio ou exclusão de dados desnecessários ou tratados em desacordo com a lei;
portabilidade e informação sobre com quem compartilhamos;
revogação do consentimento, quando ele for a base do tratamento.

Respondemos em até 15 dias. Alguns dados não podem ser apagados enquanto houver obrigação legal de guarda (por exemplo, prontuário e documentos fiscais). Você também pode reclamar à ANPD em gov.br/anpd.

8. Encarregado de dados (DPO)

Nome do Encarregado · privacidade@zayroclinicas.com.br

9. Crianças e adolescentes

O sistema é usado por profissionais e não se destina a menores de 18 anos. Dados de pacientes menores são cadastrados pela clínica, com o responsável legal, sempre no melhor interesse da criança ou do adolescente (art. 14 da LGPD).

10. Mudanças nesta política

Avisaremos no sistema ou por e-mail antes de mudanças relevantes. Veja também os termos de uso.

Em vigor desde 3 de novembro de 2026.