Segurança e LGPD no A2Odonto

O banco de dados da clínica fica em São Paulo, na infraestrutura da AWS (região sa-east-1), operado pela Neon. A aplicação roda na Vercel, também na região de São Paulo. Fotos, radiografias e documentos anexados à ficha ficam no armazenamento de arquivos da Vercel.

Os recursos de inteligência artificial do sistema — como a atendente no WhatsApp, a classificação de leads e a transcrição de áudio — enviam o texto necessário para provedores de IA (OpenAI e Anthropic), fora do Brasil.

• Todo o tráfego entre o seu navegador e o sistema é criptografado (HTTPS).
• Senhas são guardadas apenas em forma de hash (bcrypt): ninguém consegue lê-las, nem a equipe da A2Odonto.
• Credenciais de integração, como as chaves de pagamento e de WhatsApp, são guardadas cifradas (AES-256-GCM).
• Cada clínica só enxerga os próprios dados: toda consulta ao banco é filtrada pela clínica.
• Perfis de acesso: o administrador define o que cada pessoa da equipe pode ver e fazer no sistema.
• O sistema registra quem abriu, alterou, exportou ou excluiu a ficha de cada paciente.
• Ao desativar um usuário ou trocar a senha, o acesso antigo deixa de valer em até um minuto.
• Os dados do cartão não passam pelo nosso sistema: o pagamento é feito na página segura do Asaas.

Os dados são da clínica. O administrador pode exportar seus dados a qualquer momento, em Meus dados e LGPD: um único arquivo em formato aberto (JSON) com cadastro, usuários, pacientes, agendamentos, prontuários, financeiro, conversas de WhatsApp e histórico da assinatura. Senhas e credenciais de integração não entram no arquivo, e os anexos aparecem como links.

• Por paciente: na ficha, “Exportar dados (LGPD)” gera o arquivo daquele paciente — é o que atende um pedido de acesso ou portabilidade.
• Financeiro: os lançamentos podem ser exportados em planilha (CSV).
• Vindo de outro sistema: a importação de CAPIM, Codental e Simples Dental é automatizada, e pacientes e lançamentos de outros sistemas entram por planilha.
• Depois do cancelamento, os dados ficam guardados por 90 dias para recuperação e então são eliminados — exporte antes de cancelar.

Pela Lei Geral de Proteção de Dados (Lei nº 13.709/2018), a clínica é a controladora dos dados dos seus pacientes e a A2Odonto é a operadora: tratamos esses dados para que o sistema funcione, seguindo as instruções da clínica. Prontuário, anamnese e odontograma são dados pessoais sensíveis, de saúde.

Quando um paciente pede acesso, correção, portabilidade ou eliminação dos próprios dados, o pedido vai para a clínica — e o sistema tem as ferramentas para atendê-lo: exportar a ficha, corrigir o cadastro e excluir definitivamente, registrando o motivo.

Os detalhes estão na Política de Privacidade e nos Termos de Uso.

Dúvidas sobre o tratamento de dados, pedidos de titulares e comunicação de incidentes vão para o encarregado de dados da A2Odonto, pelo e-mail dpo@a2odonto.com.br. O prazo de resposta é de até 15 dias úteis. Mais informações na página do encarregado.