Política de Privacidade

O KYMED é um sistema de prontuário eletrônico e gestão de clínicas, oferecido como software (SaaS) para clínicas e profissionais de saúde. Esta política explica quais dados pessoais tratamos, para quê, com quem compartilhamos, onde ficam armazenados e quais direitos você tem sobre eles, em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018).

Esta política se aplica ao site, ao Portal do Paciente e aos aplicativos KYMED (equipe e paciente) para Android e iOS.

A contratação do KYMED por clínicas e profissionais é regida também pelos Termos de Uso, que complementam esta política.

A clínica ou profissional de saúde que usa o KYMED (ex.: a clínica onde você é atendido) é o controlador dos seus dados de saúde — é quem decide atender você, quais dados coletar durante a consulta e para quais finalidades clínicas usá-los.

O KYMED atua como operador: fornecemos a infraestrutura técnica (o sistema, o banco de dados, o armazenamento, os aplicativos) que a clínica usa para tratar esses dados, seguindo as instruções da própria clínica e as medidas de segurança descritas aqui. Dúvidas sobre o atendimento em si (por que um dado foi coletado, correção de um registro clínico) devem ser dirigidas primeiro à sua clínica; dúvidas sobre como a plataforma funciona podem ser dirigidas a nós (contato no fim desta página).

De pacientes (inseridos pela clínica, ou por você mesmo no cadastro público/Portal do Paciente):

• Identificação: nome, CPF, data de nascimento, sexo, estado civil, profissão, RG.
• Contato: telefone/WhatsApp, e-mail, endereço.
• Dados de saúde: anamnese, histórico clínico, evoluções de prontuário, receitas e medicamentos, exames e resultados, medições (peso, altura, composição corporal), termos de consentimento assinados.
• Financeiro: histórico de pagamentos e transações relacionados ao atendimento.
• Credenciais de acesso ao Portal do Paciente: senha (armazenada apenas como hash, nunca em texto simples).

De médicos, enfermeiras e recepção (equipe da clínica):

• Identificação e credenciais profissionais: nome, e-mail, CPF, CRM/UF, assinatura (imagem ou, quando configurado, certificado digital ICP-Brasil).
• Dados de acesso: login, e-mail para verificação em duas etapas, registros de auditoria (quem fez o quê, quando).

Do médico responsável que contrata o KYMED (cliente):

• Cadastro da contratação: nome do médico e da clínica, CPF ou CNPJ, CRM, e-mail, celular e endereço, informados no formulário de assinatura.
• Cobrança: o número do cartão é informado diretamente na página segura do processador de pagamentos (Asaas) e não passa pelos servidores do KYMED nem é armazenado por nós; recebemos apenas a confirmação e a situação dos pagamentos. Recargas de moedas da Kyra são pagas por Pix.
• Registro do aceite dos Termos de Uso: versão aceita, data/hora, endereço IP e tipo de aparelho.

Dados técnicos, coletados automaticamente: endereço IP (registrado em ações sensíveis, como emissão de receita, e no aceite dos Termos de Uso, para fins de auditoria e segurança), data/hora de acesso, tipo de dispositivo.

• Prestar o atendimento clínico: prontuário, receituário, exames, agendamento.
• Comunicações relacionadas ao atendimento: confirmação/lembrete de consulta, lembrete de medicamento, envio de receita e documentos — por WhatsApp e/ou e-mail.
• Contratação e cobrança: criar a conta do cliente, administrar a assinatura (teste grátis, renovação e cancelamento), cobrar e emitir nota fiscal, e prestar suporte — com base na execução do contrato com o cliente.
• Segurança da conta: autenticação, verificação em duas etapas por e-mail, trilha de auditoria.
• Funcionalidades de apoio com Inteligência Artificial (opcionais, quando habilitadas pela clínica): sugestão de cardápio nutricional (somente em clínicas de nutrologia), leitura assistida de exames, leitura de receitas para lembretes de medicamento, assistente de navegação e parecer clínico, transcrição e formatação de texto ditado por voz — sempre com revisão do profissional antes de qualquer uso clínico.
• Cumprimento de obrigações legais e regulatórias aplicáveis a registros médicos e financeiros.

Não vendemos dados pessoais. Compartilhamos dados apenas com prestadores de serviço (subprocessadores) estritamente necessários para operar a plataforma, todos sob obrigação contratual de confidencialidade e segurança:

• Supabase — banco de dados, autenticação e armazenamento de arquivos (região São Paulo, Brasil).
• Vultr — hospedagem do servidor da aplicação (São Paulo, Brasil).
• Resend — envio de e-mails transacionais (código de verificação em duas etapas, recuperação de senha, acesso inicial da contratação).
• Asaas (Asaas Gestão Financeira S.A.) — processamento dos pagamentos: assinatura do KYMED por cartão e recargas de moedas da Kyra por Pix. Recebe os dados cadastrais necessários à cobrança (nome, CPF/CNPJ, e-mail, telefone e endereço do contratante) e os dados do cartão, que o próprio Asaas coleta.
• WhatsApp — envio de lembretes e documentos, através do número de WhatsApp da própria clínica (conectado por ela); não é a API oficial do WhatsApp Business, então as mensagens são enviadas como se fossem da própria clínica, não de um serviço terceirizado de marketing.
• Anthropic — processamento de texto pelas funcionalidades de Inteligência Artificial (Kyra), apenas quando essas funcionalidades estão habilitadas e são usadas ativamente pelo profissional. Esse processamento pode ocorrer fora do Brasil (transferência internacional de dados, nos termos do art. 33 da LGPD, com as salvaguardas contratuais do provedor).
• VIDaaS / Valid Certificadora — quando a clínica optar por assinar um documento com certificado digital ICP-Brasil (funcionalidade opcional), o profissional é redirecionado ao app/site da VIDaaS para autenticação própria; nenhum dado de paciente é enviado a esse provedor, apenas o hash (resumo criptográfico) do documento a ser assinado.

Também podemos divulgar dados quando exigido por lei, ordem judicial, ou para proteger direitos, segurança ou propriedade do KYMED, da clínica ou de terceiros.

Os dados são armazenados em servidores localizados no Brasil (região de São Paulo), tanto o banco de dados (Supabase) quanto o servidor da aplicação (Vultr). A exceção é o processamento de texto pelas funcionalidades de Inteligência Artificial, que pode ocorrer fora do Brasil, conforme descrito acima.

• Toda comunicação entre o seu dispositivo e o KYMED é criptografada (HTTPS/TLS).
• O banco de dados é criptografado em repouso pela própria infraestrutura do Supabase.
• Além disso, os campos mais sensíveis — CPF, texto de anamnese e prontuário, dados bancários da clínica — recebem uma camada extra de criptografiaprópria do KYMED, com uma chave derivada individualmente para cada clínica (uma clínica nunca consegue, tecnicamente, decifrar dado de outra).
• Login protegido por verificação em duas etapas (código enviado por e-mail).
• Toda ação sensível (emitir receita, acessar prontuário, alterar dado de paciente) fica registrada numa trilha de auditoria.
• Sessões expiram automaticamente após um período de inatividade.
• Senhas de pacientes e da equipe nunca são armazenadas em texto simples — apenas como hash (formato irreversível).

Dados de prontuário médico são mantidos pelo prazo exigido pela regulamentação profissional aplicável (que no Brasil recomenda guarda de longo prazo dos registros médicos). Dados de conta (login, credenciais) são mantidos enquanto a conta estiver ativa. Você pode solicitar a exclusão de dados que não estejam sob obrigação legal de retenção, conforme a seção de direitos abaixo.

Quando uma clínica cancela a assinatura e a conta é encerrada, os dados ficam disponíveis para exportação por 90 dias; depois disso são excluídos ou anonimizados, ressalvados os que devamos conservar por obrigação legal ou regulatória (por exemplo, registros fiscais e de cobrança). Cópias de segurança podem permanecer pelo seu ciclo normal de retenção. O dever de guarda do prontuário médico é da clínica, que deve exportar seus dados antes da exclusão.

Nos termos da LGPD (art. 18), você tem direito a:

• Confirmar a existência de tratamento dos seus dados.
• Acessar seus dados.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Solicitar anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei.
• Solicitar a portabilidade dos dados a outro fornecedor.
• Ser informado sobre com quem seus dados são compartilhados.
• Revogar o consentimento, quando o tratamento se basear nele.
• Solicitar a exclusão de dados tratados com base no consentimento (respeitadas as obrigações legais de retenção de registro médico, quando aplicáveis).

Para exercer esses direitos sobre seu atendimento clínico, procure primeiro a clínica onde você é atendido (ela é a controladora dos seus dados de saúde). Pra dúvidas sobre a plataforma em si, use o contato abaixo.

Usamos apenas cookies essenciais ao funcionamento do sistema (manter sua sessão logada, lembrar preferências de tela). Não usamos cookies de rastreamento publicitário nem compartilhamos dados de navegação com redes de anúncios.

O KYMED é usado por clínicas para atender pacientes de todas as idades, inclusive menores de idade, sempre sob responsabilidade e consentimento do responsável legal, coletado diretamente pela clínica conforme sua própria política de atendimento.

Podemos atualizar esta política periodicamente. A data no topo desta página indica a versão mais recente. Mudanças relevantes serão comunicadas às clínicas usuárias.

Dúvidas sobre esta política ou sobre como o KYMED trata dados pessoais podem ser enviadas para suporte@kymed.com.br.