Esta Política descreve como a STEZ (STEZ TECNOLOGIA LTDA, inscrita no CNPJ sob o nº 68.976.071/0001-68, com sede em Av. Cristóvão Colombo, 2144, sala 408, andar 3, Floresta, Porto Alegre/RS, CEP 90.560-001) trata dados pessoais, incluindo dados pessoais sensíveis de saúde, em conformidade com a Lei nº 13.709/2018 (LGPD) e com as normas dos conselhos de classe (CFM, COFFITO e demais).
1. Papéis: Controlador e Operador
No tratamento dos dados clínicos dos pacientes, o profissional de saúde (ou a clínica) é o Controlador: é quem decide as finalidades e os meios do tratamento e mantém a relação direta com o paciente. A STEZ atua como Operadora, tratando os dados em nome do Controlador, seguindo suas instruções e os termos deste documento e do Acordo de Tratamento de Dados (DPA).
Em relação aos dados de cadastro do próprio profissional (conta, faturamento da assinatura), a STEZ atua como Controladora. Nesses dois papéis, a pessoa jurídica responsável é STEZ TECNOLOGIA LTDA (CNPJ 68.976.071/0001-68).
2. Dados que tratamos
- Do profissional: nome, e-mail, telefone, registro no conselho, dados de acesso e de uso da plataforma.
- Do paciente (inseridos pelo profissional): identificação, contato, data de nascimento e dados sensíveis de saúde (prontuário, evoluções, avaliações, áudios de ditado e suas transcrições).
- De agendamento público: nome, telefone, data de nascimento e e-mail informados pelo paciente ao marcar um atendimento.
3. Base legal e finalidades
Os dados de saúde são tratados para tutela da saúde, em procedimento realizado por profissionais de saúde (art. 11, II, “f”, da LGPD), e para o cumprimento de obrigação legal e regulatória de guarda do prontuário. Dados de cadastro e cobrança apoiam a execução do contrato de uso da plataforma.
4. Inteligência artificial (assistência à documentação)
A STEZ oferece transcrição de áudio e estruturação de texto clínico por IA. O resultado é sempre um rascunho assistido: o conteúdo é revisado e validado por um profissional humano antes de ser assinado e incorporado ao prontuário. A IA não toma decisões clínicas automatizadas.
O processamento por IA do áudio do paciente depende de consentimento específico do paciente e pode ser recusado: nesse caso, o profissional redige a documentação manualmente, sem perda de funcionalidade.
5. Subprocessadores
Para operar a plataforma, contamos com os seguintes subprocessadores, que tratam dados apenas conforme nossas instruções e contratos:
| Subprocessador | Finalidade | Local |
|---|---|---|
| Supabase | Autenticação, banco de dados e armazenamento de arquivos | Brasil (São Paulo) |
| Fly.io | Hospedagem dos servidores da aplicação | Brasil (São Paulo) |
| Vercel | Hospedagem do site e da interface web | Estados Unidos (rede global) * |
| DeepInfra | Transcrição de áudio (ASR) por IA e geração de textos de apoio | Estados Unidos * |
| Cerebras | Estruturação de texto clínico por IA (evolução e avaliação) | Estados Unidos * |
| Groq | Estruturação de texto clínico por IA (provedor alternativo, usado só se a STEZ trocar de provedor; nunca em paralelo) | Estados Unidos * |
| Asaas | Cobrança da assinatura da STEZ e, quando o profissional habilita, cobranças e PIX dos atendimentos | Brasil |
| Brevo | Envio de e-mails da plataforma (confirmação de cadastro, convites, redefinição de senha) | União Europeia * |
| Meta (WhatsApp Cloud API) | Envio de mensagens e lembretes por WhatsApp (somente quando habilitado) | Estados Unidos * |
| Sentry | Monitoramento de erros e estabilidade da aplicação | Estados Unidos * |
* Subprocessador localizado fora do Brasil. Ver a seção de transferência internacional.
6. Transferência internacional de dados
O banco de dados, os arquivos e os servidores da aplicação ficam no Brasil (São Paulo). Parte do tratamento ocorre fora do Brasil: o processamento de IA do ditado (DeepInfra, Cerebras e Groq, nos Estados Unidos), o envio de e-mails da plataforma (Brevo, na União Europeia), a hospedagem da interface web (Vercel) e o monitoramento de erros (Sentry) e, quando habilitado, o envio de mensagens por WhatsApp (Meta). Adotamos salvaguardas contratuais para essas transferências, em linha com a LGPD e com a Resolução CD/ANPD nº 19/2024. Os países de destino, a qualificação do receptor, a finalidade e a duração são detalhados no DPA.
7. Retenção e descarte
- Prontuário médico: guardado por, no mínimo, 20 anos (CFM 1.821/2007).
- Prontuário fisioterapêutico: guardado por, no mínimo, 5 anos (COFFITO 414/2012).
- Áudio do ditado: apagado automaticamente após 90 dias, preservando a transcrição e o texto estruturado (que integram o prontuário).
Durante o prazo legal de guarda, a obrigação de retenção prevalece sobre eventual pedido de exclusão (ver direitos do titular).
8. Encerramento de conta e portabilidade
O profissional (ou a clínica) pode solicitar o encerramento definitivo da conta pelo canal privacidade@stez.com.br. Antes de qualquer eliminação, a STEZ entrega o export completo dos dados (prontuários, agenda, financeiro e demais registros), pois a obrigação legal de guarda do prontuário é do profissional, na condição de Controlador, e permanece após a saída da plataforma. Confirmado o recebimento e a assunção da guarda, os dados são eliminados após um período de carência de 30 dias (reversível nesse intervalo).
Ficam retidos apenas: a trilha de auditoria (prova da conformidade do próprio encerramento), os registros fiscais da assinatura e os aceites contratuais, pelos prazos legais correspondentes. Em clínicas, o pedido deve partir de um administrador da conta, preferencialmente o representante legal.
O cancelamento da assinatura, por si só, não apaga dados: a conta migra para o plano gratuito e os registros permanecem acessíveis.
9. Direitos do titular
O titular pode solicitar confirmação de tratamento, acesso, correção, portabilidade, informação sobre compartilhamentos e, observados os limites legais, eliminação dos dados. Pedidos de eliminação de prontuário são respondidos com a base legal de retenção e não implicam exclusão enquanto durar o prazo de guarda.
Como o atendimento é conduzido pelo profissional (Controlador), os direitos podem ser exercidos diretamente com ele ou pelo canal abaixo, que encaminhará ao Controlador responsável.
Canal: privacidade@stez.com.br , com resposta em até 15 dias. Endereço para correspondência: STEZ TECNOLOGIA LTDA, CNPJ 68.976.071/0001-68, Av. Cristóvão Colombo, 2144, sala 408, andar 3, Floresta, Porto Alegre/RS, CEP 90.560-001.
10. Segurança
Adotamos medidas técnicas e organizacionais como isolamento por clínica (multi-tenant), criptografia de dados sensíveis (ex.: CPF/RG), tráfego cifrado (HTTPS), autenticação, trilha de auditoria imutável e controle de acesso por perfil.
11. Integração com o Google (Google Agenda)
A conexão com o Google Agenda é opcional e ativada pelo próprio profissional. Ao conectar, a STEZ solicita o escopo calendar.events da API do Google Calendar para:
- Enviar atendimentos: criar, editar e remover, na agenda Google do profissional, os eventos correspondentes aos atendimentos marcados na STEZ.
- Bloquear horários (se o profissional ativar): ler os horários dos compromissos do Google apenas para reservar esses períodos na agenda da STEZ. Somente o horário é importado. O título e o conteúdo do compromisso pessoal permanecem no Google e não são armazenados.
Armazenamento: guardamos apenas o token de acesso (refresh token) de forma cifrada e o identificador do evento espelhado. O profissional pode desconectar a qualquer momento, o que revoga o acesso no Google e apaga o token. Não usamos dados do Google para publicidade, treinamento de modelos de IA, nem os vendemos ou transferimos a terceiros.
O uso e a transferência, pela STEZ, de informações recebidas das APIs do Google obedecem à Política de Dados do Usuário dos Serviços de API do Google (Google API Services User Data Policy), inclusive aos requisitos de Uso Limitado (Limited Use).
12. Atualizações desta Política
Podemos atualizar esta Política; a versão e a data de vigência constam no topo. Mudanças relevantes serão comunicadas pelos canais da plataforma. Versão atual: 1.4 (24/09/2026).