Política de privacidade — OrganizaTO
Versão: 0.5 · Vigência: a partir de 06/11/2026
1. Quem somos e como falar conosco
O OrganizaTO é oferecido por Lucas Natalicio Ferreira, pessoa física, identificado nos termos de uso. Para qualquer assunto de privacidade, inclusive como encarregado: contato@organizato.app.
2. Dois papéis diferentes
Dados da sua conta (quem usa o OrganizaTO): o Fornecedor é controlador e trata esses dados como descrito na seção 3.
Dados dos seus pacientes e responsáveis: a profissional ou clínica é a controladora, e o Fornecedor é operador, seguindo as instruções dela e o anexo de tratamento de dados. Se você é paciente ou responsável, fale primeiro com a sua terapeuta; pedidos que chegarem ao Fornecedor são encaminhados a ela em até 2 dias úteis.
3. Dados da sua conta
Nome, e-mail e senha (guardada só como resumo criptográfico) — Para quê: Criar a conta, entrar e recuperar o acesso; Base legal: Execução do contrato.
Funções na clínica e convites — Para quê: Dar a cada pessoa só o acesso que lhe cabe; Base legal: Execução do contrato.
Registro profissional, imagem da assinatura, logotipo, telefone e e-mail profissionais (opcionais) — Para quê: Montar os seus documentos financeiros; Base legal: Execução do contrato.
Registros de acesso e de segurança (login, verificação em duas etapas, tentativas) — Para quê: Proteger a conta e investigar incidentes; Base legal: Legítimo interesse e obrigação legal (Marco Civil da Internet).
Aceite dos termos (versão e data) — Para quê: Comprovar o aceite; Base legal: Execução do contrato.
Assinatura: nome, e-mail e CPF de quem paga, plano, valor, datas e situação dos pagamentos — Para quê: Cobrar a mensalidade e comprovar pagamentos; Base legal: Execução do contrato e obrigação legal (fiscal).
Uso da IA no mês (minutos de áudio transcrito, sem conteúdo) — Para quê: Aplicar o limite de uso justo; Base legal: Execução do contrato.
Cookies: dentro do sistema, só os necessários para a sessão e o login seguro. Não há, dentro do sistema, publicidade, rastreadores de terceiros nem ferramentas de análise de comportamento.
Página de vendas (a página inicial, para quem não entrou na conta): medimos as visitas com o PostHog, na União Europeia, sem cookies e sem gravação de tela, para saber quais seções são vistas, em quais links e botões se clica, quais dúvidas são abertas e de onde vieram as visitas, inclusive de campanhas de anúncio. A base é o legítimo interesse de melhorar a página. O endereço IP pode ser usado no recebimento para estimar a região e não fica guardado com os eventos, e os dados de navegação ficam guardados por até 1 ano. O que você digita no formulário não vai para o PostHog: nome e WhatsApp seguem apenas na mensagem que você decide enviar. Nenhum dado de paciente passa por essa medição.
E-mails de conta (verificação, recuperação, convites) são enviados pela Brevo, na União Europeia. O pagamento da assinatura é feito no Mercado Pago (Brasil), que trata os dados do cartão e do pagamento como controlador, pela política de privacidade dele; o Fornecedor recebe do Mercado Pago só a situação e os valores dos pagamentos, nunca o número do cartão. Nenhum dado de paciente vai ao Mercado Pago.
4. Dados dos pacientes que o Serviço guarda
Cadastro (nome, nascimento, contatos e endereço opcionais), responsáveis e contatos, agenda, anamneses, evoluções e adendos (dados de saúde, inclusive de crianças e adolescentes), preços, sessões cobradas e fechamentos mensais. O Serviço não tem campo de CPF de paciente. Tudo fica no servidor no Brasil, separado por clínica no banco de dados, e só quem recebeu acesso àquele paciente lê o conteúdo clínico.
5. Inteligência artificial: o que é enviado, para quem e por quanto tempo
A IA é opcional. Quando a profissional usa:
Ditado da evolução — O que vai: O áudio e o idioma, sem nome de arquivo nem identificadores; Para quem (todos nos EUA): Transcrição: ElevenLabs, por meio do OpenRouter (Groq de reserva).
Ditado da evolução — O que vai: A transcrição e o tipo do atendimento; Para quem (todos nos EUA): Organização do texto: Anthropic (Groq de reserva).
Evolução do dia (um áudio para vários atendimentos) — O que vai: Como no ditado; a transcrição inteira vai para separar a fala de cada paciente pelo nome dito, e o casamento com a agenda é feito no Serviço, sem enviar a lista de pacientes nem a agenda; Para quem (todos nos EUA): Os mesmos.
"Melhorar texto" — O que vai: O texto digitado, como está, e o nome da seção; Para quem (todos nos EUA): Anthropic (Groq de reserva).
Assistente de voz — O que vai: O áudio do pedido (até 60 s); depois, a transcrição, as respostas às perguntas do sistema e a lista fixa de ações. Inclui o que for falado: nome, nascimento, contatos, responsáveis, datas e horários; Para quem (todos nos EUA): Transcrição como no ditado; interpretação: Anthropic (Groq de reserva).
Nunca vão: cadastro, lista de pacientes, agenda, identificadores internos, nome da clínica nem a data de hoje. O conteúdo falado ou escrito pode conter nomes e informações de saúde; por isso, todo esse conteúdo é tratado como dado sensível de saúde.
Retenção nos fornecedores: a transcrição só usa endpoints de retenção zero (o OpenRouter não guarda o conteúdo e a conta tem o registro de conteúdo desligado; a Groq tem retenção zero ligada na conta). A Anthropic apaga entradas e saídas em até 30 dias (mais tempo só se forem sinalizadas por violação da política de uso dela ou por exigência legal). Nenhum deles usa esse conteúdo para treinar modelos. Ficam com eles só metadados de uso (horário, modelo, volume, custo).
Retenção no Serviço:
áudio: apagado logo após a transcrição, no máximo em 24 horas;
transcrição do ditado: ao finalizar ou descartar o rascunho, ou em até 7 dias; na evolução do dia, a transcrição do áudio único e os trechos separados ficam no máximo 24 horas;
texto enviado ao "Melhorar texto" e a sugestão: apagados na decisão, ao finalizar ou descartar, ou em 24 horas;
assistente de voz: transcrição, respostas e resumo apagados quando o pedido termina, no máximo em 1 hora; pedido sem atividade expira em 30 minutos.
O sistema guarda um rastro sem conteúdo (qual recurso, qual fornecedor atendeu, versão das instruções, resultado das verificações automáticas, tempos e o registro afetado), que acompanha as trilhas de auditoria.
6. Prazos de guarda
Prontuário (evoluções, anamneses, adendos) e cadastro — Prazo: Enquanto a conta existir; o Serviço nunca apaga prontuário sozinho (a lei pede 20 anos, sob guarda da profissional).
Financeiro (decisões de cobrança e fechamentos) — Prazo: 5 anos depois do fim do mês.
Pagamentos da sua assinatura — Prazo: 5 anos depois de cada pagamento (prazo fiscal), mesmo após o encerramento da conta.
Trilhas de auditoria e rastros sem conteúdo — Prazo: Acompanham o prontuário (no mínimo 5 anos).
Logs técnicos (sem dado pessoal nem conteúdo clínico) — Prazo: 30 dias.
Backups cifrados — Prazo: 3 últimas cópias diárias.
Depois do encerramento da conta — Prazo: 90 dias de leitura e exportação; depois, tudo é apagado (backups em até 3 dias).
7. Transferência internacional
Saem do Brasil: o conteúdo enviado à IA, quando usada (EUA), o backup cifrado (Cloudflare, sem a chave) os e-mails de conta (Brevo, União Europeia) e a medição de visitas da página de vendas (PostHog, União Europeia). Os fornecedores, os países e os contratos que amparam cada envio estão na página Segurança e fornecedores.
8. Segurança
Conexão sempre cifrada (HTTPS), verificação em duas etapas, separação entre clínicas no banco, acesso clínico concedido paciente a paciente, prontuário finalizado imutável e trilha de auditoria. O detalhe está na página Segurança e fornecedores.
9. Seus direitos
Você pode pedir confirmação de que tratamos seus dados, acesso, correção, informação sobre com quem compartilhamos, portabilidade e eliminação dos dados da sua conta (respeitados os prazos legais), pelo e-mail contato@organizato.app. Respondemos em até 15 dias. Você também pode reclamar à ANPD.
10. Mudanças nesta política
Mudanças relevantes são avisadas por e-mail com 30 dias de antecedência; fornecedor novo que trate dados de pacientes, com 15 dias (termos de uso, seção 13).