Política de Privacidade

Versão 1.8 — 11 de outubro de 2026 (aplicativo: assinatura pelas lojas, consulta às tabelas e ditado sem internet; bases legais, incidentes e canal do titular) · versões anteriores: 1.7, de 8 de outubro de 2026 (o SurgeNote passa a ser da GG Tecnologia da Informação Ltda.); 1.6, de 3 de outubro de 2026 (aplicativo: lançamento por voz com o microfone); 1.5, de 1º de outubro de 2026 (aplicativo para iPhone e Android: foto da guia, notificações, biometria e exclusão da conta); 1.4, de 9 de agosto de 2026; 1.3, de 31 de julho de 2026; 1.2, de 30 de julho de 2026 e 1.1, de 21 de julho de 2026

1. Quem somos e papéis na LGPD

O SurgeNote é um produto da GG Tecnologia da Informação Ltda. (CNPJ 36.328.931/0001-60), que o opera. O desenvolvimento, a manutenção e o suporte são prestados à GG pela iddeia (Marcos Faccin Arquitetura e Tecnologia Ltda., CNPJ 49.022.229/0001-16). Contato: contato@surgenote.com.br.

• Para os dados de cadastro do médico (cliente da plataforma), a GG Tecnologia atua como controladora.
• Para os dados de pacientes inseridos pelo médico, o médico é o controlador e a GG Tecnologia atua como operadora, tratando esses dados exclusivamente para prestar o serviço contratado.
• A iddeia atua como suboperadora da GG: acessa os dados apenas para desenvolver, manter e dar suporte à plataforma.

2. Quais dados coletamos

Do médico: nome, CRM, telefone (WhatsApp), e-mail, senha (guardada de forma cifrada/hash), preferências visuais (tema, cor, logomarca) e dados de assinatura. Dados de pagamento: quando a assinatura é feita pelo site, o pagamento (cartão, boleto ou Pix) é tratado diretamente pela Asaas; quando é feita pelo aplicativo, é tratado pela Apple (App Store) ou pelo Google (Google Play), com a conta da loja do próprio médico. Em nenhum caso recebemos ou guardamos dados de cartão. Das lojas recebemos apenas a situação da assinatura (ativa, em teste, cancelada), o plano e as datas de renovação ou de término.

De pacientes (dados sensíveis de saúde, inseridos pelo médico): nome do paciente, procedimento, data, hospital, convênio e valores. O código CID-10 do diagnóstico deixou de ser coletado em 31 de julho de 2026 — o campo saiu do registro de cirurgia e o CID-10 passou a ser apenas uma consulta de referência dentro do painel, sem vínculo com paciente. Os registros criados entre 30 e 31 de julho de 2026 podem conter esse código, que permanece guardado com a cirurgia e sujeito aos mesmos direitos descritos nesta política (inclusive exclusão a pedido). Também processamos o conteúdo ditado pelo médico (áudio, texto ou imagem do boletim cirúrgico), que pode conter o nome do paciente. Não coletamos CPF, endereço nem prontuário do paciente — apenas o necessário ao registro de produção e cobrança do médico. O paciente não tem acesso à plataforma.

No cadastro (antes de a conta existir): ao preencher o formulário do site, o nome, o CRM, o telefone e o e-mail informados ficam guardados temporariamente, junto com um código de verificação, até que o médico envie esse código pelo WhatsApp e confirme que o número é dele. Só então a conta é criada. Se a confirmação não vier, esse registro temporário e o login iniciado são apagados automaticamente (ver seção 6).

Da equipe do médico: nome, e-mail e telefone dos membros que o médico autorizar (ex.: secretário(a)).

No aplicativo para iPhone e Android:

• Foto da guia: quando o médico usa "Fotografar guia", a imagem é enviada uma única vez para leitura por inteligência artificial, que devolve os campos do lançamento (paciente, convênio, hospital, procedimentos). A foto não é armazenada pelo SurgeNote — nem no aparelho, nem no nosso servidor — e nada é registrado até o médico conferir e confirmar o lançamento.
• Lançamento por voz: quando o médico toca em "Lançar por voz", o app usa o microfone (com a permissão do aparelho) para gravar o ditado, de até 90 segundos. O áudio é enviado uma única vez para transcrição por inteligência artificial, que devolve o texto e os campos do lançamento. O áudio não é armazenado pelo SurgeNote no nosso servidor e, com internet, também não fica no aparelho (o caso sem internet está descrito no item seguinte). Nada é registrado até o médico conferir e confirmar o lançamento.
• Ditado sem internet: sem conexão, o app permite gravar o ditado (até 90 segundos). Como não é possível transcrevê-lo na hora, o áudio fica guardado temporariamente no próprio aparelho, numa área interna do aplicativo que outros aplicativos não acessam, fora do backup do aparelho (Google ou iCloud), e não pode ser ouvido pela tela do app. Quando a conexão volta e o SurgeNote é aberto, o áudio é enviado uma única vez para transcrição, o lançamento entra na fila de confirmação com o texto transcrito nas observações (para o médico conferir) e o áudio é apagado do aparelho. O ditado só é enviado para a conta que estava conectada no aparelho quando foi gravado. Áudio não enviado em 7 dias é apagado automaticamente.
• Consulta às tabelas sem internet: as tabelas de procedimentos (CBHPM e SUS) e de diagnósticos (CID-10) ficam dentro do próprio aplicativo e não contêm dados pessoais. O que o médico digita nessa busca não é enviado nem guardado.
• Assinatura pelo aplicativo: para reconhecer a assinatura, o app informa à loja e ao nosso processador de assinaturas (RevenueCat) um código interno da sua conta — não o seu nome, e-mail, CRM ou telefone. Nenhum dado de paciente é enviado.
• Notificações: guardamos o identificador de notificação do aparelho (gerado pela Apple/Google) e o tipo de sistema (iPhone ou Android), apenas para entregar os avisos. Ao sair da conta no aparelho, esse identificador é apagado.
• Biometria (digital ou Face ID): é verificada pelo próprio sistema do aparelho. O SurgeNote não recebe nem guarda impressões digitais, imagens do rosto ou qualquer dado biométrico — recebe apenas a resposta "confirmado" ou "não confirmado".
• O app não acessa localização nem contatos. O microfone só é usado enquanto o médico grava um ditado, e as fotos só a imagem que ele escolher ou fotografar.

3. Para que usamos

• Registrar e organizar a produção cirúrgica e os honorários do médico.
• Transcrever áudios e ler imagens de boletim com inteligência artificial para estruturar o registro.
• Calcular honorários de referência (CBHPM/SUS ou tabela própria).
• Enviar notificações pelo WhatsApp (confirmações, lembretes de agenda, radar de cobrança, resumo mensal) — com opção de modo discreto, sem valores nas mensagens.
• Enviar avisos no celular, pelo aplicativo (cirurgias aguardando confirmação, pagamentos e glosas identificados, cirurgias do dia seguinte). Os avisos nunca mostram o nome do paciente, não são enviados entre 22h e 7h e podem ser desligados nas configurações do aparelho.
• Ler a foto de uma guia ou transcrever um ditado de voz com inteligência artificial para preencher o lançamento, quando o médico usar esses recursos.
• Sincronizar cirurgias com a Google Agenda, quando o médico conectar a própria conta.
• Cobrar a assinatura (pelo site ou pelas lojas de aplicativos), liberar o acesso conforme a situação da assinatura e prestar suporte.
• Enviar e-mails de acesso à conta (confirmação e redefinição de senha).

Não vendemos dados pessoais nem os usamos para publicidade. A inteligência artificial é usada apenas para transcrever e organizar o que o médico enviou; ela não toma decisões sobre pacientes nem sobre o médico, e todo lançamento passa pela conferência do médico antes de valer.

3-A. Bases legais (LGPD)

• Dados do médico e da equipe: execução do contrato de assinatura (art. 7º, V), cumprimento de obrigações legais e regulatórias, como as fiscais (art. 7º, II), e legítimo interesse para a segurança da conta e a prevenção a fraudes (art. 7º, IX).
• Dados de pacientes: quem define a base legal é o médico, como controlador. O SurgeNote trata esses dados apenas como operador, para o registro da produção e da cobrança de honorários do próprio médico — finalidade que, em regra, se apoia no exercício regular de direitos em contrato e em processo (art. 11, II, "d").
• Recursos opcionais (Google Agenda, avisos no celular, biometria, microfone e câmera): só funcionam quando o médico os ativa e podem ser desligados a qualquer momento.

4. Com quem compartilhamos (sub-operadores)

Transferência internacional: parte dos dados, inclusive dados sensíveis de saúde, é processada em servidores nos Estados Unidos (Supabase, OpenAI, Meta, Google, Apple, Resend e RevenueCat), com base nas garantias contratuais de proteção de dados oferecidas por esses fornecedores, nos termos do art. 33 da LGPD. Pelas regras da OpenAI para uso empresarial (API), o conteúdo enviado não é usado para treinar modelos e, em regra, fica retido por ela por até 30 dias, apenas para monitorar abusos.

5. Dados do Google (Google Agenda)

Se o médico optar por conectar a própria conta Google, o SurgeNote usa a API do Google Agenda (Google Calendar) da seguinte forma:

• O que acessamos: o endereço de e-mail da conta Google conectada (para identificar a conexão) e a permissão de criar/gerenciar eventos na agenda do próprio médico. Não lemos e-mails, contatos, arquivos nem qualquer outro dado da conta Google.
• Como usamos: exclusivamente para criar e atualizar, na agenda do médico, os eventos das cirurgias que ele registrou no SurgeNote (título com procedimento, data/hora e local). É um recurso visível e ativado pelo próprio médico, que pode desconectar a qualquer momento no painel.
• Compartilhamento: os dados obtidos do Google não são vendidos, transferidos nem compartilhados com terceiros, anunciantes ou corretores de dados. Em especial, dados do Google não são enviados a serviços de inteligência artificial (a IA do SurgeNote processa apenas o conteúdo ditado pelo médico, nunca dados vindos do Google).
• Proteção: as credenciais de acesso (tokens) ficam guardadas no banco de dados no servidor, isoladas por médico, e nunca são expostas no navegador. Toda a comunicação é cifrada (HTTPS).
• Retenção e exclusão: ao desconectar a conta Google no painel, ou ao encerrar a conta no SurgeNote, as credenciais de acesso ao Google são excluídas. O médico também pode revogar o acesso a qualquer momento em myaccount.google.com/permissions.

Uso limitado (Limited Use): o uso que o SurgeNote faz de dados recebidos das APIs do Google está em conformidade com a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado (Limited Use). / The use of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

6. Por quanto tempo guardamos

• Histórico das conversas de ditado (WhatsApp): apagado automaticamente após 7 dias.
• Fichas técnicas de acompanhamento de mensagens: apagadas após 30 dias.
• Dados do cadastro ainda não confirmado pelo WhatsApp: apagados automaticamente 24 horas depois, junto com o login iniciado que ficou sem conta.
• Registros de cirurgias, pagamentos e glosas: mantidos enquanto a conta do médico existir, por serem os dados de negócio do próprio médico.
• Ao encerrar a conta: os dados são excluídos, ressalvada a retenção exigida por obrigações legais (fiscais/contábeis).
• Exclusão pelo aplicativo (Ajustes → "Excluir minha conta", disponível ao médico titular): o acesso é bloqueado na hora, para o médico e sua equipe, e os dados de identificação são removidos imediatamente. Em 30 dias apagamos definitivamente todos os dados da conta, inclusive cirurgias, valores, contratos, relatórios e equipe. Dentro desse prazo, a exclusão pode ser desfeita a pedido pelo canal do titular.
• Foto da guia e áudio do lançamento por voz: não são guardados no nosso servidor (descartados logo após a leitura ou a transcrição). O áudio do ditado sem internet fica no aparelho só até ser enviado, por no máximo 7 dias; o texto transcrito fica nas observações do lançamento, pelo mesmo prazo dos demais registros.
• Registros de assinatura pelas lojas (avisos de compra, renovação e cancelamento): mantidos enquanto a conta existir e, depois do encerramento, pelo prazo exigido por obrigações fiscais e contábeis.
• Excluir a conta não cancela a assinatura feita pela loja: cancele também nos ajustes da App Store ou do Google Play.
• Identificador de notificação do aparelho: apagado ao sair da conta no aparelho, ao excluir a conta ou quando o aplicativo é desinstalado.

7. Como protegemos

• Isolamento por médico no banco de dados (cada médico só acessa os próprios dados), com regras aplicadas no servidor.
• O painel administrativo do SurgeNote mostra apenas números somados (quantidade de cirurgias e valores por médico) — nunca nome de paciente nem dado clínico — e exige verificação em duas etapas.
• Chaves de servidor nunca ficam no navegador; comunicação cifrada (HTTPS).
• Trava biométrica local opcional no aparelho do médico (no aplicativo, pela digital ou Face ID do próprio aparelho) e modo discreto nas notificações.

Incidentes de segurança: se ocorrer um incidente que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados — e, no caso de dados de pacientes, o médico controlador — nos prazos da regulamentação da ANPD, informando o que aconteceu, os dados envolvidos e as medidas adotadas (LGPD, art. 48).

8. Seus direitos (LGPD)

Você pode solicitar confirmação de tratamento, acesso, correção, portabilidade, exclusão e informações sobre compartilhamento dos seus dados, além de revogar consentimentos. No aplicativo, o médico titular também pode excluir a própria conta diretamente em Ajustes → "Excluir minha conta" — ou pedir a exclusão sem o app, como explicado em Excluir sua conta. Pacientes que desejarem exercer direitos sobre registros feitos por seu médico podem contatar diretamente o médico (controlador) ou nosso canal abaixo, que encaminhará a solicitação.

Encarregado pelo tratamento de dados pessoais (LGPD, art. 41): Marcos Faccin da Silva. Canal do titular e do encarregado: contato@surgenote.com.br. Respondemos em até 15 dias. Você também pode apresentar reclamação à ANPD (gov.br/anpd).

9. Cookies e armazenamento local

Não usamos cookies de publicidade nem rastreadores de terceiros. O painel guarda no seu navegador apenas o necessário para funcionamento: sessão de login, preferências visuais e a trava biométrica local, quando ativada. O aplicativo guarda no aparelho os mesmos itens, as tabelas da consulta sem internet e, temporariamente, os ditados feitos sem internet ainda não enviados (ver seção 2). O aplicativo não contém publicidade nem ferramentas de rastreamento.

10. Alterações

Esta política pode ser atualizada. Mudanças relevantes serão comunicadas por e-mail ou WhatsApp e, quando afetarem os seus direitos, pediremos um novo aceite. A versão vigente estará sempre nesta página.

← Voltar ao site