Política de Privacidade — Ritmo Growth OS

01 Quem é o responsável

RITMO GROWTH OS DESENVOLVIMENTO DE SOFTWARE NÃO CUSTOMIZÁVEL LTDA, inscrita no CNPJ sob o nº 68.596.122/0001-26, com endereço na Rua Professor Miguel Couto, 378, sala 1002 — CEP 24.230-240, Niterói/RJ. Neste documento, "Ritmo".

Para qualquer assunto de privacidade — dúvida, pedido de acesso, correção ou exclusão — o canal do encarregado pelo tratamento de dados pessoais (LGPD, Art. 41) é contato@ritmogrowth.com.br. Respondemos em até 15 dias.

02 Quem decide e quem executa

A LGPD separa quem decide sobre o dado de quem apenas executa. Essa divisão muda a quem você deve pedir o quê, então ela vem antes de tudo:

Dado	Quem decide (controlador)	Papel da Ritmo
Do paciente — cadastro, agenda, mensagens, prontuário	A clínica ou o médico que contratou a plataforma	Operadora: tratamos apenas seguindo instrução da clínica
De quem usa o painel — a equipe da clínica	Ritmo, para dar e controlar o acesso	Controladora
De quem visita este site	—	Não coletamos (ver item 3)

Na prática: se você é paciente e quer acessar, corrigir ou apagar seus dados, o pedido vai para a clínica que te atende. Nós ajudamos a clínica a atendê-lo, mas não podemos decidir por ela.

03 Este site não coleta dados

A página que você está lendo não tem formulário, não usa cookies, não usa ferramenta de análise de audiência e não guarda nada no seu navegador. Não há pixel de rede social, nem rastreador de terceiros.

Três serviços externos são acionados ao carregar a página, e todos recebem o seu endereço de IP por consequência técnica de servirem o arquivo:

Google Fonts — as fontes tipográficas do site.
jsDelivr — a biblioteca de ícones.
WhatsApp (Meta) — somente se você clicar em um botão de conversa. Enquanto não clicar, nada é enviado.

Por que isso importa. Muita política de privacidade descreve rastreamento que o site faz. Esta descreve o que ele não faz — e é verificável: o código da página é servido como arquivo estático e pode ser lido inteiro pelo seu navegador.

04 O que a plataforma trata

O que segue vale para o painel da clínica — o produto contratado, não este site.

Dados de quem usa o painel

Nome completo, e-mail e foto de perfil (opcional).
Senha, guardada apenas como hash — não temos como ler a sua senha.
Papel dentro da clínica (responsável, recepção, financeiro, marketing, médico).
Endereço de IP e ação executada, na trilha de auditoria.
Um token de sessão fica guardado no armazenamento local do seu navegador enquanto você está conectado. Não é cookie e não serve para rastrear navegação; some ao sair.

Dados do paciente, informados pela clínica

Nome completo, telefone de WhatsApp, e telefone do responsável quando o paciente não responde por si.
CPF, data de nascimento, filiação, sexo, e-mail e endereço, quando a clínica os registra.
Convênio, número de carteirinha e validade, quando houver.
Consultas, procedimentos, presenças e faltas.
Mensagens trocadas com a clínica pelo WhatsApp.
Valores, pagamentos e faturamento ligados ao atendimento.

Dados de saúde

Anamnese e triagem.
Registro clínico da consulta, prescrição, pedido de exame e atestado.

A nota interna da clínica nunca chega ao paciente. O campo de observação privada da equipe não entra em receita, pedido de exame, atestado, prontuário impresso ou enviado, nem em exportação de dados. É uma regra do sistema, não uma recomendação de uso.

05 Dado de saúde e consentimento

Dado de saúde é dado pessoal sensível (LGPD, Art. 11). No sistema, ele só aparece com consentimento registrado — e o registro guarda a versão do termo, o canal e a data.

O paciente consente por finalidade, separadamente:

Finalidade	Para que serve
Comunicação	A clínica poder falar com o paciente
Dados clínicos	Registrar anamnese, consulta e prescrição
Lembretes	Avisar de consulta marcada e pedir confirmação
Reativação	Convidar de volta quem está sem retorno há tempo
Marketing	Conteúdo e campanhas da clínica

Sem consentimento, a mensagem não sai. A verificação acontece no servidor, antes do envio, e vale para toda mensagem — inclusive as automáticas. Recusar uma finalidade não impede as outras: quem aceita lembrete e recusa marketing continua recebendo lembrete.

A revogação vale a partir do momento em que é feita. O registro do consentimento anterior é mantido — é ele que prova quando a permissão existiu e quando deixou de existir.

Ficha pré-consulta, preenchida pelo paciente

Antes da consulta, a clínica pode enviar ao paciente, pelo WhatsApp, um link para preencher a ficha — queixa principal, histórico, alergias e medicamentos em uso. Sobre esse link:

É individual e vale uma vez. Cada paciente recebe um endereço próprio, gerado para aquela consulta. Enviada a ficha, o link não aceita novo envio.
Expira no horário da consulta. Passada a hora marcada, ele deixa de abrir.
Não dá acesso a mais nada. A tela mostra apenas o primeiro nome do paciente, o nome do profissional e o horário — nem histórico, nem prontuário, nem o painel da clínica, nem dado de qualquer outro paciente.
Abre com o termo de consentimento. A primeira coisa na tela é o termo: quem vai ler, para quê, por quanto tempo fica guardado. Sem o aceite, o sistema recusa o envio — não é caixa opcional, é condição.
Recusar não afeta o atendimento. Quem prefere não preencher é atendido do mesmo jeito. A ficha é conveniência, nunca condição para ser atendido.
Guardamos a versão do termo aceito, com data e hora. É o que prova, depois, que o consentimento existiu e em que texto.

O que o paciente escreve na ficha vai para o prontuário sob responsabilidade da clínica e não é usado para mais nada: não vira material de divulgação, não é enviado a serviço de inteligência artificial e não é compartilhado com outra clínica.

Lembretes automáticos

Quem consentiu com lembretes recebe aviso da consulta marcada — por padrão 48 horas e 12 horas antes, régua que cada clínica pode ajustar. A mensagem sai pelo WhatsApp da própria clínica e, enquanto a ficha não tiver sido preenchida, leva o link dela junto.

Cada marco é enviado uma única vez por consulta. Quem não consentiu não recebe nada, e quem revoga para de receber a partir daquele momento. O conteúdo das mensagens nunca é gravado em log: o sistema registra que houve envio, não o que foi dito.

06 Por que tratamos cada dado

Tratamento	Base legal (LGPD)
Dar acesso ao painel a quem a clínica autoriza	Execução de contrato — Art. 7º, V
Registrar anamnese, consulta e prescrição	Consentimento específico — Art. 11, I ou tutela da saúde por profissional — Art. 11, II, "f"
Enviar lembrete, confirmação e reativação	Consentimento — Art. 11, I
Receber a ficha pré-consulta preenchida pelo paciente	Consentimento específico e destacado — Art. 11, I, e Art. 11, § 4º
Conectar a agenda ao Google Agenda da clínica	Execução de contrato, a pedido da clínica — Art. 7º, V
Enviar conteúdo e campanha	Consentimento — Art. 7º, I
Guardar prontuário pelo prazo do Conselho	Obrigação legal e regulatória — Art. 7º, II
Manter trilha de auditoria de acesso	Obrigação legal e segurança — Art. 7º, II e Art. 46
Emitir cobrança e registrar pagamento	Execução de contrato — Art. 7º, V

07 Com quem compartilhamos

Não vendemos dados. Não cedemos dados para terceiro usar por conta própria. Os serviços abaixo processam dados por nossa determinação, para fazer o produto funcionar:

Serviço	Para quê	O que recebe
Meta WhatsApp Business	Entregar as mensagens	Telefone e conteúdo da mensagem trocada com a clínica
Anthropic geração de conteúdo	Redigir legenda de post para a clínica	Nome do médico, especialidade, CRM, persona e identidade da marca, mais o texto livre de contexto que a equipe digita. Nenhum prontuário, anamnese ou mensagem de paciente — ver a ressalva abaixo
OpenAI geração de imagem	Criar a arte do post	Apenas a descrição da imagem, digitada pela equipe. Nenhum prontuário, anamnese ou mensagem de paciente
Google Google Agenda — opcional	Ligar a agenda da plataforma ao calendário da própria clínica	A clínica autoriza o acesso na tela do Google, e a autorização fica guardada conosco cifrada. A permissão pedida alcança somente eventos de calendário — não dá acesso a e-mail, contatos ou arquivos. Nenhum dado clínico
Railway hospedagem	Servidores e banco de dados	Toda a base, em repouso e em processamento

A inteligência artificial escreve divulgação — não atende paciente. A IA da plataforma serve para redigir legenda e criar arte de post. Ela recebe dados do profissional, da clínica e da marca. Prontuário, anamnese, ficha pré-consulta e mensagem de paciente nunca são enviados a ela, e nenhum desses dados é usado para treinar modelo de terceiro.

A ressalva, dita em vez de omitida: ao gerar conteúdo, a equipe da clínica preenche campos de texto livre — o contexto do mês e a descrição da imagem desejada. O que for escrito ali é enviado como está; não existe filtro que reconheça e remova dado pessoal de um texto digitado à mão. Por isso a orientação é direta, e vale como regra de uso: não escreva nome de paciente, caso clínico ou qualquer informação identificável nesses campos.

E o atendimento automático no WhatsApp não é IA: é um roteiro fixo, escrito e configurado pela clínica, que oferece opções e agenda. Ele não interpreta sintoma, não opina sobre conduta e não conversa livremente.

Sobre o Google Agenda, o estágio de hoje. A conexão existe e guarda, cifrada, a autorização que a clínica concede — e só ela. O espelho dos compromissos, que criaria no calendário o evento de cada consulta, ainda não está no ar. Quando entrar, o evento levará apenas data, hora, duração e a identificação do paciente; queixa, prontuário, prescrição e valor não vão para o calendário. Esta política será atualizada antes disso acontecer, não depois.

Além disso, dados podem ser compartilhados com autoridade pública quando houver determinação legal ou ordem judicial, e com advogados e auditores sob dever de sigilo, quando necessário para exercer ou defender direitos.

08 Onde os dados ficam

A plataforma é hospedada na Railway, com servidores nos Estados Unidos. Os serviços de IA (Anthropic e OpenAI), o WhatsApp (Meta) e o Google Agenda, quando a clínica o conecta, também processam fora do Brasil.

Isso é uma transferência internacional de dados (LGPD, Art. 33). Ela ocorre para a execução do contrato com a clínica e está apoiada em cláusulas contratuais firmadas com cada fornecedor, que impõem obrigações de proteção compatíveis com a lei brasileira.

Dizemos isso em vez de omitir porque a lei exige transparência sobre o destino — e porque a clínica precisa saber, já que é ela quem responde perante o paciente.

09 Como protegemos

Separação por clínica. Toda consulta ao banco é filtrada pela clínica identificada no token de quem está logado. A clínica de origem nunca é aceita a partir do que o navegador envia — isso impede que uma clínica alcance o dado de outra alterando a requisição.
Senha nunca guardada em texto. Só o hash.
Sessão renovável e revogável. Do token de renovação guardamos apenas o hash. Cada uso invalida o anterior; se um token já usado reaparecer, toda a cadeia daquele usuário é revogada — é o sinal de que ele foi copiado.
Trilha de auditoria. Criação, alteração, exclusão, acesso, exportação e consentimento ficam registrados. Dado pessoal e dado de saúde entram mascarados na trilha: ela registra que houve acesso, não repete o conteúdo.
Permissão por papel. Recepção, financeiro, marketing e médico veem coisas diferentes.
Tráfego cifrado entre o seu navegador e a plataforma.
Credencial de integração guardada cifrada. A autorização que a clínica concede ao Google, por exemplo, é gravada com cifragem forte (AES-256-GCM) e nunca é devolvida em texto por nenhuma tela ou interface do sistema.
Link do paciente com endereço imprevisível. O link da ficha pré-consulta usa um código aleatório longo, não derivado de nome, telefone ou número de cadastro. Vale um envio só e expira no horário da consulta.
Conteúdo de mensagem fora do log. O sistema registra que um envio ocorreu e para qual consulta; não grava o texto trocado com o paciente em registro técnico.
Registro clínico imutável. O registro da consulta não é editável depois de fechado — a anamnese é o rascunho; o registro é o que vale.

O que ainda não fazemos — e dizemos assim mesmo

O tráfego é cifrado, mas o conteúdo clínico é gravado no banco de dados em texto legível, sem cifragem campo a campo. Na prática: quem tiver acesso administrativo direto ao banco de produção consegue lê-lo. A proteção nessa camada é o controle desse acesso — restrito às pessoas responsáveis pela operação técnica da Ritmo, sob dever de sigilo contratual, e não concedido a equipe comercial nem a terceiros.

Cifragem do dado clínico dentro do banco está no nosso plano de evolução. Enquanto não estiver no ar, esta política não vai afirmar que está. Preferimos que a clínica saiba exatamente o que existe hoje — é ela quem responde perante o paciente, e uma promessa de segurança que não se sustenta é pior do que a ausência dela.

Nenhuma medida elimina risco por completo. Se ocorrer incidente de segurança com risco relevante aos titulares, comunicaremos a clínica sem demora injustificada e a Autoridade Nacional de Proteção de Dados nos termos do Art. 48 da LGPD, com o que se souber até então — natureza do incidente, dados atingidos, medidas tomadas e riscos.

10 Por quanto tempo guardamos

Dado	Prazo
Prontuário e registro clínico	20 anos a contar do último registro, conforme a Resolução CFM 1.821/2007. É prazo de lei — não pode ser encurtado a pedido
Cadastro, agenda e mensagens	Enquanto durar o contrato da clínica, ou até a clínica excluir o paciente
Registros fiscais e financeiros	Pelo prazo exigido pela legislação fiscal
Trilha de auditoria	Enquanto durar o contrato, como prova de acesso
Conta de quem usa o painel	Enquanto o acesso existir, e por até 6 meses após o encerramento

Encerrado o contrato, a clínica tem 30 dias para exportar sua base. Depois desse prazo, os dados são eliminados, com exceção do que a lei obriga a conservar — prontuário e registros fiscais, acima.

11 Seus direitos

O Art. 18 da LGPD garante ao titular:

Confirmar se tratamos dados seus, e acessá-los.
Corrigir dado incompleto, inexato ou desatualizado.
Pedir anonimização, bloqueio ou eliminação de dado desnecessário ou excessivo.
Pedir portabilidade a outro fornecedor.
Saber com quem compartilhamos.
Revogar consentimento, a qualquer momento e sem custo.
Saber o que acontece se você negar consentimento.

O que a exclusão apaga, na prática

Quando a clínica atende um pedido de exclusão, os dados que identificam o paciente são removidos ou anonimizados, de modo que o histórico deixe de apontar para uma pessoa identificável. Duas coisas continuam existindo, e é melhor você saber por quê:

O registro clínico das consultas já realizadas, pelos 20 anos que a Resolução CFM 1.821/2007 exige. É prazo de lei: nem a clínica nem nós podemos encurtá-lo a pedido.
A trilha de auditoria, que guarda que houve acesso e por quem, com o dado pessoal mascarado. É ela que prova, depois, quem viu o quê — inclusive a seu favor.

Fora essas duas exceções, pedimos a eliminação também aos fornecedores que tiverem recebido o dado. Se você quiser, informamos por escrito o que foi eliminado, o que foi retido e o fundamento legal de cada retenção.

Como exercer

Se você é paciente, fale com a clínica que te atende — é ela quem decide sobre seus dados. Se preferir, escreva para contato@ritmogrowth.com.br e encaminhamos à clínica responsável.

Se você usa o painel, escreva para o mesmo endereço. Podemos pedir informações para confirmar sua identidade antes de responder — é proteção sua, não obstáculo.

O titular também pode peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD).

12 Crianças e adolescentes

A plataforma atende consultórios que recebem menores de idade. Nesses casos, o cadastro registra o telefone de quem responde pelo paciente, e é esse responsável quem consente, no melhor interesse da criança ou do adolescente (LGPD, Art. 14).

Este site não é dirigido a menores e não coleta dados de ninguém.

13 Mudanças nesta política

Quando esta política mudar, a versão e a data no topo mudam junto. Alteração relevante — novo fornecedor com acesso a dados, nova finalidade, mudança de prazo — é comunicada às clínicas contratantes antes de entrar em vigor.

Versões anteriores ficam disponíveis mediante pedido pelo canal do encarregado.

O que mudou na versão 1.1 — 26/08/2026

Descrição da ficha pré-consulta enviada por link ao paciente e dos lembretes automáticos de 48h e 12h, com as bases legais de cada um (itens 5 e 6).
Inclusão do Google na lista de terceiros e entre os destinos no exterior, pela integração opcional com o Google Agenda — com o estágio real da integração declarado (itens 7 e 8).
Ressalva sobre os campos de texto livre enviados à IA de conteúdo, e a orientação de nunca escrever dado de paciente neles (item 7).
Aviso explícito de que o conteúdo clínico não é cifrado dentro do banco, de qual é a proteção nessa camada e do que está no plano (item 9).
Explicação do que a exclusão apaga e do que a lei obriga a reter (item 11).