O que o plantaum lê, o que ele guarda, e o que é seu.

01O essencial, em uma tela

Esta é a versão curta. Ela não substitui o texto completo abaixo, mas se você só tem dois minutos, leia isto.

• O plantaum acompanha apenas os grupos que você conectou. Nenhum outro.
• Das mensagens desses grupos, guardamos o que é oferta de plantão. O resto é descartado.
• Não lemos, não guardamos e não usamos as suas conversas privadas.
• Para entender se uma mensagem é oferta, o conteúdo dela pode passar por modelos de linguagem de fornecedores contratados. A seção 6 explica isso sem rodeio, porque é o ponto mais sensível daqui.
• Você desconecta um grupo quando quiser, e o que foi guardado dele sai junto.
• Não vendemos dados pessoais, e não usamos o conteúdo dos seus grupos para anunciar nada para ninguém.
• O plantaum toma duas decisões sozinho: aceitar um plantão dentro dos seus filtros, e apurar uma cobrança. Você pode contestar as duas e pedir revisão por uma pessoa.
• De quem publica a oferta guardamos o telefone e o identificador na plataforma, sem o nome. Essa pessoa não é usuária do plantaum e mesmo assim tem direitos aqui: a seção 7 é inteira sobre isso.

02Quem responde pelos seus dados

O controlador dos dados pessoais tratados pelo plantaum é a Santech, inscrita no CNPJ sob o nº 44.886.580/0001-31.

Controlador, na Lei Geral de Proteção de Dados (Lei nº 13.709/2018, a LGPD), é quem decide para que os dados são usados e como. Quando esta política disser plantaum, nós ou nosso, é dessa empresa que se trata.

Para falar sobre dados pessoais existe um canal só, na seção 17. Ele atende quem tem conta e quem não tem.

03O que esta política cobre, e o que ela não cobre

Cobre o tratamento de dados pessoais que o plantaum realiza no site, na aplicação web e no serviço de acompanhamento dos grupos que você conectar.

Não cobre, porque não são nossos e não temos controle sobre eles:

• o WhatsApp, onde os grupos existem, que tem política de privacidade e termos próprios, da Meta;
• o hospital, a clínica, a cooperativa, a empresa ou a pessoa que publicou a oferta e com quem você fecha o plantão;
• sites e serviços de terceiros que você acessar a partir de links nossos.

04Que dados o plantaum trata

Dados que você fornece

• Nome completo.
• E-mail e telefone.
• Número de inscrição no Conselho Regional de Medicina e a UF da inscrição.
• Especialidade e área de atuação.
• Dados de pagamento: número do cartão, validade, código de segurança e endereço de cobrança. O cartão é coletado e processado pela Stripe, a nossa processadora de pagamento. O plantaum não armazena número de cartão, validade nem código de segurança: do nosso lado ficam o endereço de cobrança, para faturamento, e o identificador que a Stripe devolve para amarrar a cobrança à sua conta.
• O que você escreve quando fala com o suporte, incluindo anexos.

Dados que você configura

• Os seus filtros: região ou raio de deslocamento, valor mínimo, especialidades, dias e turnos.
• As permissões de aceite automático que você marcar.
• A lista dos grupos que você conectou.

Dados que vêm dos grupos que você conectou

Apenas o que o plantaum identifica como oferta de plantão, e o mínimo que identifica essa oferta:

• os dados operacionais da oferta: local, especialidade, data, horário, valor e condições anunciadas;
• de qual grupo conectado ela veio, e a data e a hora em que apareceu;
• de quem publicou a oferta: o identificador dessa pessoa na plataforma de mensagens e o número de telefone dela, que também serve de identificador. Não guardamos o nome exibido. A seção 7 é inteira sobre esses dados, porque são de gente que não usa o plantaum;
• a resposta enviada em seu nome, quando houver, e o horário do envio;
• as poucas mensagens que precisam ficar persistidas para auditoria e para determinar se um plantão foi pego. Ficam criptografadas, e a seção 6 explica por que existem.

Dados gerados pelo uso

• Registros de acesso à aplicação: endereço IP, data e hora, na forma do art. 15 do Marco Civil da Internet.
• Tipo de dispositivo, navegador e sistema.
• Registros das suas ações na conta: quando conectou ou desconectou um grupo, quando mudou um filtro, quando ligou ou desligou o aceite automático.
• Registros técnicos e de erro, usados para manter o serviço no ar.

O que o plantaum não trata

• As suas conversas privadas, com quem quer que seja.
• Grupos que você não conectou.
• O conteúdo das mensagens dos grupos conectados que não seja oferta de plantão.
• Dados de pacientes.

Se um dado de paciente aparecer por engano em uma mensagem processada, ele é descartado e não é usado para nenhuma finalidade. Se você perceber que isso aconteceu, avise pelo canal da seção 17.

05Para que tratamos cada dado, e com que base legal

A LGPD exige uma base legal por finalidade, não uma base legal para o produto inteiro. É esta a lista:

Onde a base é o legítimo interesse, você pode se opor ao tratamento, e a seção 10 diz como. Onde a base é o consentimento, você pode revogá-lo a qualquer momento, sem custo, e a revogação vale dali em diante: ela não torna ilícito o que foi feito antes.

Dados sensíveis

O plantaum não trata dados pessoais sensíveis na acepção do art. 11 da LGPD. A sua inscrição no Conselho, a sua especialidade e a sua área de atuação são dados profissionais, não dados de saúde: descrevem o seu ofício, não o seu corpo. Uma oferta de plantão descreve um posto de trabalho, não um paciente.

06Os grupos: o que entra, o que é descartado, o que some quando você desconecta

Os grupos ficam no WhatsApp, e você escolhe um por um quais deles o plantaum acompanha. Ele não entra em grupo por conta própria, não acompanha nada que você não tenha conectado, e não fala em seu nome fora do que você autorizou.

O que acontece com cada mensagem

• A mensagem passa por uma triagem automática que decide uma coisa só: isto é uma oferta de plantão?
• Se não for, é descartada e não vira registro no nosso banco de dados.
• Se for, o plantaum guarda os dados da oferta listados na seção 4, e só eles.
• As únicas mensagens que ficam persistidas são as necessárias para auditoria e para determinar se um plantão foi pego, e elas ficam criptografadas.

Modelos de linguagem entram nessa triagem

Aqui vale ser direto, porque é o ponto mais sensível desta política. Para entender uma mensagem e decidir se ela é uma oferta de plantão, o conteúdo dela pode ser processado por modelos de linguagem operados por fornecedores especializados.

• Não trabalhamos com um fornecedor fixo. Trocamos de modelo conforme desempenho e custo, e por isso esta política descreve a categoria de fornecedor em vez de cravar um nome que estaria desatualizado na semana seguinte.
• A lista atualizada de quem processa dados para nós, incluindo os provedores de modelo em uso, é mantida por nós e entregue a quem pedir pelo canal da seção 17.
• Esses fornecedores atuam como operadores, sob contrato e sob a nossa instrução, e não podem usar o conteúdo para finalidade própria.
• Parte deles opera fora do Brasil, o que caracteriza transferência internacional. A seção 12 trata disso.

Quando você desconecta um grupo

Desconectar faz duas coisas: o plantaum para de acompanhar o grupo na hora, e as ofertas guardadas a partir dele são eliminadas em até 90 dias.

Uma ressalva honesta: continua guardado o que a lei obriga a guardar ou o que é necessário à defesa de um direito, na forma da seção 8. O registro de um plantão que gerou cobrança, por exemplo, não desaparece porque o grupo foi desconectado.

Quando você apaga a conta

Apagar a conta desconecta todos os grupos, elimina as ofertas guardadas e elimina o seu cadastro, os seus filtros e as suas permissões, em até 90 dias.

Sobrevivem apenas: os registros de acesso, pelo prazo do Marco Civil; os dados fiscais e de cobrança, pelo prazo da legislação; o mínimo necessário à defesa em processo já instaurado; e dados anonimizados, que deixaram de ser dados pessoais na forma do art. 12 da LGPD e não permitem chegar de volta a você.

07Os dados de outras pessoas que aparecem nos grupos

Um grupo tem outras pessoas além de você. Quem publica uma oferta publica também algum dado sobre si, e é honesto abrir esta seção pelo que pesa mais: do que aparece ali, o plantaum guarda o identificador dessa pessoa na plataforma de mensagens e o número de telefone dela. Não guardamos o nome exibido.

Número de telefone é dado pessoal, sem discussão possível: identifica uma pessoa e permite chegar até ela. E essa pessoa não é usuária do plantaum, não criou conta, não aceitou termo nenhum e provavelmente não sabe que existimos. Por isso esta é a seção mais importante da política, e não uma nota de rodapé.

O que existe de minimização é real e vale dizer: não guardamos o nome, e o que guardamos serve para saber de qual oferta se trata e para não capturar a mesma oferta duas vezes. O telefone entra como identificador, não como forma de contato. Não usamos esse número para ligar, mandar mensagem, criar lista ou oferecer coisa alguma.

Qual é o nosso papel

Perante quem publicou a oferta, quem responde pelo tratamento descrito nesta política é o plantaum, na condição de controlador: somos nós que definimos para que a oferta é usada, como é estruturada, quanto tempo fica guardada e como é protegida. É conosco que essa pessoa fala, e é o nosso canal que responde a ela.

Isso não transfere para nós tudo. Ao conectar um grupo, você toma uma decisão que é sua, e continua respondendo por participar legitimamente daquele grupo e pelo que fizer com a informação depois. Essa divisão está escrita nos Termos de Uso.

Qual é a base legal, e por que ela se sustenta

A base é o legítimo interesse, art. 7º, IX, da LGPD, apoiada em três pontos:

• A finalidade é estreita e legítima: fazer chegar a um médico uma oferta que foi publicada justamente para chegar a médicos.
• O tratamento é limitado ao necessário: o conteúdo operacional da oferta, o identificador de quem publicou e o telefone que funciona como identificador. Sem nome, sem perfil, sem cruzamento com outras bases, sem enriquecimento por fonte externa, e sem usar essa informação para vender nada a ninguém.
• A expectativa de quem publicou é compatível com o que acontece: a mensagem foi enviada a um grupo profissional para ser lida e respondida por médicos, e o resultado é exatamente esse.

O que não usamos como base, e é importante dizer: a hipótese de dado tornado manifestamente público pelo titular, do art. 7º, §4º. Um grupo fechado de ofertas de plantão não é espaço público, e tratá-lo como se fosse seria uma leitura conveniente e errada.

Os direitos de quem não é usuário

Quem publica ofertas em um grupo conectado tem, sobre esses dados, os mesmos direitos que a LGPD dá a qualquer titular. Não é preciso ter conta, não é preciso advogado e não é preciso justificar: basta escrever para o canal da seção 17, dizendo o número de telefone em questão para que a gente localize o registro. Em especial, essa pessoa pode:

• opor-se ao tratamento, já que ele se funda em legítimo interesse, e pedir que as ofertas publicadas por ela deixem de ser capturadas dali em diante;
• pedir a confirmação de que existe tratamento e o acesso ao que temos a seu respeito;
• pedir a correção e a eliminação do telefone, do identificador e das ofertas já guardadas a seu respeito. Eliminado o registro, ele não volta se a mesma oferta reaparecer, porque a oposição vale dali em diante.

Não enviamos mensagem, oferta comercial nem comunicação de marketing a quem publica ofertas e não é usuário. Existe uma única mensagem, e é a resposta ao anúncio de plantão, enviada em nome do médico no próprio grupo em que a oferta apareceu: é para isso que o serviço existe. Fora dela, nada. E não vendemos, não alugamos, não licenciamos e não cedemos esses dados a ninguém.

Como esses dados não chegam até nós pela mão do próprio titular, esta política é pública e permanentemente acessível para servir de informação a ele, e o canal da seção 17 responde a quem nunca teve conta.

08Por quanto tempo guardamos

Cada tipo de dado tem o seu prazo, e nenhum deles é para sempre:

• Ofertas capturadas de um grupo: enquanto o grupo estiver conectado, e até 90 dias depois da desconexão ou do encerramento da conta.
• Identificador e telefone de quem publicou a oferta: guardados junto da oferta a que pertencem, e eliminados junto com ela. Desconectado o grupo, saem no mesmo prazo de 90 dias. Não existe cópia desses números fora dos registros de oferta, e não montamos agenda, lista ou cadastro de contatos a partir deles.
• Mensagens persistidas para auditoria e para apurar se um plantão foi pego: guardadas criptografadas, pelo prazo necessário à auditoria e à cobrança a que se referem, e no máximo 3 anos.
• Ofertas que geraram aceite e cobrança: 3 anos, pelo prazo necessário à cobrança, à contestação e à prescrição.
• Cadastro, filtros e permissões: enquanto a conta existir, e até 90 dias depois de encerrada.
• Registros de acesso à aplicação: 6 meses, por exigência do art. 15 do Marco Civil da Internet (Lei nº 12.965/2014). Além disso, apenas mediante ordem judicial ou requisição legal.
• Documentos fiscais e contábeis: pelo prazo que a legislação fiscal e contábil impuser. Esse prazo prevalece sobre os desta lista sempre que for maior.
• Conversas com o suporte: 3 anos.
• Dados tratados com base em consentimento: até a revogação, e depois dela apenas nas hipóteses do art. 16 da LGPD.

Vencido o prazo, o dado é eliminado ou anonimizado. Dado anonimizado deixa de ser dado pessoal na forma do art. 12 da LGPD, e pode seguir em estatística agregada sem qualquer possibilidade de identificar você.

09Decisões automatizadas, e o seu direito de revisão

O plantaum é uma automação, e duas das decisões que ele toma sozinho afetam você diretamente. As duas vêm com direito de revisão, na forma do art. 20 da LGPD.

1. Aceitar um plantão

Quando uma oferta cumpre todos os critérios que você configurou, o plantaum responde por você, sem perguntar. Os critérios são os seus: região, valor, especialidade, dias e turnos, e as permissões de aceite que você marcou. Não existe critério oculto que faça o plantaum aceitar algo fora deles.

A qualquer momento você pode:

• mudar os critérios;
• desligar o aceite automático e voltar a apenas receber o aviso;
• desconectar o grupo;
• pedir a revisão de um aceite específico, com a explicação de qual regra sua foi aplicada e a qual oferta.

2. Apurar se um plantão foi mesmo pego

A cobrança do plantaum incide sobre plantão efetivamente pego, e quem apura isso é uma análise automatizada. Se o veredito estiver errado, você contesta:

• você contesta quando quiser, a partir do momento em que o plantão é identificado como pego e cobrado. Não criamos prazo para isso;
• a contestação vale como pedido de reembolso, e leva o caso a uma análise mais rigorosa do que a apuração automática que gerou a cobrança;
• a triagem inicial do pedido pode ser automatizada, e você pode exigir que a revisão seja feita por uma pessoa. Basta pedir, e não precisa justificar;
• você recebe a decisão e a razão dela em até 30 dias, por telefone, por e-mail ou dentro da plataforma.

O que conseguimos explicar, e o que não

A LGPD obriga a informar de forma clara os critérios e os procedimentos da decisão automatizada, observados os segredos comercial e industrial (art. 20, §1º). Na prática: explicamos qual regra sua foi aplicada, sobre qual dado, e por que o resultado foi esse. Não abrimos código nem detalhes internos do modelo. Se a explicação não bastar, a ANPD pode auditar, na forma do art. 20, §3º.

Uma observação honesta sobre a lei: o texto original da LGPD previa que a revisão fosse feita por pessoa natural, e esse trecho foi vetado. A lei em vigor garante a revisão, mas não obriga que ela seja humana. O plantaum se compromete, aqui, a que ela seja.

10Os seus direitos, e como exercer

O art. 18 da LGPD dá a você, sobre os seus dados, o direito de pedir:

• confirmação de que existe tratamento;
• acesso aos dados;
• correção de dado incompleto, inexato ou desatualizado;
• anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado fora da lei;
• portabilidade a outro fornecedor, observados os segredos comercial e industrial;
• eliminação dos dados tratados com base no seu consentimento, salvo as hipóteses de guarda do art. 16;
• informação sobre com quem compartilhamos os seus dados;
• informação sobre a possibilidade de não consentir e sobre o que acontece se você não consentir;
• revogação do consentimento;
• oposição a tratamento fundado em legítimo interesse ou em outra hipótese de dispensa de consentimento;
• revisão de decisão automatizada, na forma da seção 9.

Como pedir

Escreva para o canal da seção 17. Peça em português comum: não existe formulário obrigatório, não precisa de advogado e não precisa justificar.

Confirmamos o recebimento e respondemos em até 15 dias, que é o prazo do art. 19 da LGPD. Alguns pedidos exigem que a gente confirme que você é quem diz ser, e nesse caso pedimos essa confirmação antes de responder, para não entregar os seus dados a outra pessoa.

Se a resposta não resolver, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) e aos órgãos de defesa do consumidor.

11Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos o mínimo necessário, e apenas com:

• Operadores que executam pedaços do serviço sob a nossa instrução e sob contrato: hospedagem em nuvem, banco de dados, envio de e-mail, atendimento, monitoramento, análise de uso e provedores de modelo de linguagem. Nessa última categoria não trabalhamos com fornecedor fixo, e é por isso que descrevemos categorias em vez de nomes.
• A lista atualizada de todos eles, com a finalidade de cada um e o país onde operam, é mantida por nós e entregue a quem pedir pelo canal da seção 17. Você não precisa ter conta para pedir.
• A Stripe, que processa o pagamento. É ela que coleta e guarda os dados do seu cartão, não nós.
• O WhatsApp, que é da Meta, na medida em que tudo que o plantaum lê e responde passa necessariamente por lá. O acesso não se dá pela API oficial: não temos contrato com a Meta e não somos parceiros nem homologados por ela. Os Termos de Uso, seção 11, explicam o que isso significa para a sua conta.
• Quem publicou a oferta, que recebe a sua resposta. É esse o serviço.
• Autoridades públicas, quando houver ordem judicial, requisição legal ou obrigação regulatória. Quando pudermos avisar você, avisamos.
• Um eventual adquirente, em caso de fusão, aquisição ou reorganização societária, hipótese em que os dados seguem protegidos por esta política até que uma nova seja comunicada a você.

12Transferência internacional de dados

Há transferência internacional, e não adianta contornar o assunto. Parte da infraestrutura do plantaum e parte dos fornecedores que processam conteúdo para nós ficam fora do Brasil: hospedagem, backup, o processamento de pagamento pela Stripe e os provedores de modelo de linguagem descritos na seção 6.

Como não trabalhamos com fornecedor fixo nessa camada, o país de destino pode mudar ao longo do tempo. O que não muda é a regra: só transferimos para fora do Brasil apoiados em uma das hipóteses do art. 33 da LGPD, e sob contrato que obrigue o destinatário a um nível de proteção não inferior ao desta política.

A lista de quem recebe dados fora do Brasil sai pelo canal da seção 17, a pedido.

Os seus direitos continuam exercíveis no Brasil, pelo canal da seção 17, independentemente de onde o dado esteja no momento em que você pedir.

13Segurança, e o que fazemos se houver incidente

Adotamos medidas técnicas e administrativas para proteger os dados contra acesso não autorizado, perda, alteração e destruição: criptografia em trânsito e em repouso, controle de acesso por perfil e por menor privilégio, registro de acesso administrativo, segregação de ambientes, rotinas de backup e testes de restauração.

Essas mesmas medidas cobrem os dados de terceiros descritos na seção 7. Vale dizer por quê: uma base que guarda telefones de pessoas que não são usuárias é um alvo mais atraente do que uma base só de cadastro, e o dano de um vazamento cairia sobre quem nunca escolheu estar ali. É por isso que a seção 8 amarra esses números ao ciclo de vida da oferta, e não os mantém em lugar nenhum além dele.

Nenhum sistema é imune. Prometer segurança absoluta seria mentira, e esta política não vai mentir para você.

Se acontecer um incidente

Havendo incidente de segurança que possa acarretar risco ou dano relevante, comunicamos à ANPD e a você, no prazo e na forma da regulamentação da Autoridade e do art. 48 da LGPD. A comunicação diz o que aconteceu, quais dados foram atingidos, o que já foi feito, o que ainda vai ser feito, e o que você pode fazer para se proteger.

Mantemos registro interno dos incidentes, inclusive dos que não exigem comunicação, com a avaliação que levou a essa conclusão.

Se você suspeitar de acesso indevido à sua conta, escreva pelo canal da seção 17. É melhor um alarme falso do que uma conta comprometida em silêncio.

14Cookies e tecnologias parecidas

O site e a aplicação usam cookies e tecnologias equivalentes para funcionar e para entender o uso de forma agregada. Poderemos usar ferramentas de medição e de marketing, como analytics de audiência, pixel de anúncio e gravação de sessão. Quando alguma delas entrar em operação, ela passa a constar aqui, e o pedido de consentimento aparece na tela antes de a ferramenta carregar.

Cookies estritamente necessários mantêm você autenticado e protegem os formulários, e por isso não dependem de consentimento. Os demais, se existirem, dependem do seu consentimento, podem ser recusados, e recusá-los não impede o serviço de funcionar.

15Menores de idade

O plantaum é para médicos e exige inscrição ativa em Conselho Regional de Medicina. Não é serviço dirigido a crianças ou adolescentes, e não coletamos conscientemente dados de menores de 18 anos.

Se identificarmos uma conta de menor de 18 anos, ela é encerrada e os dados são eliminados, salvo o que a lei obrigue a guardar. Se você souber de um caso assim, avise pelo canal da seção 17.

16A lista de espera, antes do lançamento

Enquanto o produto não abre, a única coisa que existe é uma lista de espera, preenchida em um formulário aqui mesmo no site.

• O que coletamos ali: nome, e-mail, celular e cinco respostas: a maior dificuldade que você tem para pegar plantão, quantos plantões faz por mês, em média, se prefere pagar uma assinatura fixa ou só pelos plantões pegos, até quanto pagaria no modelo que escolheu e por onde conheceu o plantaum, com o texto que você escrever se escolher a opção Outro. Nada além do que você preenche.
• Para quê: avisar você quando o plantaum abrir, entender quem tem interesse e em que volume, para dimensionar o serviço e o preço, e saber por quais canais as pessoas chegam até nós.
• Base legal: consentimento, art. 7º, I. Você sai da lista quando quiser, escrevendo para o canal da seção 17.
• Onde fica: no banco de dados do próprio plantaum, armazenado no Brasil. O formulário não passa por serviço de formulário de terceiro. Os operadores de hospedagem e de banco de dados da seção 11 tratam esses dados sob a nossa instrução, e o que a seção 12 diz sobre transferência internacional vale para o trânsito do envio.

Entrar na lista não cria conta, não conecta grupo nenhum e não inicia acompanhamento de coisa alguma.

17O canal para assuntos de dados pessoais

Todo pedido sobre dados pessoais chega por um canal só, e ele é público justamente para que ninguém precise procurar:

• E-mail: contato@plantaum.com.br

Esse canal atende titulares que são usuários e titulares que não são, inclusive quem publicou uma oferta em um grupo conectado e nunca teve conta aqui. É por ele que se pedem os direitos da seção 10, a lista de quem processa dados para nós, e a explicação de uma decisão automatizada.

Não há um Encarregado nomeado. A Resolução CD/ANPD nº 2/2022 dispensa o agente de tratamento de pequeno porte de indicar Encarregado, mas mantém a obrigação de oferecer um canal de comunicação com o titular, e é esse canal.

Se a resposta não resolver, você pode levar o caso à Autoridade Nacional de Proteção de Dados (ANPD).

18Alterações desta política

Esta política vai mudar, porque o produto muda. Quando mudar, atualizamos a data no alto da página e mantemos as versões anteriores acessíveis.

Se a mudança for relevante para você, avisamos por e-mail ou dentro do produto com 7 dias úteis de antecedência, antes de ela passar a valer. Nesse intervalo você pode encerrar a conta, sem custo, se não quiser seguir sob a nova versão. Mudança que dependa do seu consentimento só produz efeito depois que você consentir.