Política de Privacidade

1. Abrangência e papéis de privacidade

Esta Política abrange dados tratados por meio dos Serviços, incluindo o site público, contas de usuários, teleconsultas, prontuários, transcrições, documentos, recursos de inteligência artificial, agenda, comunicações, pagamentos, integrações, suporte, segurança e relacionamento comercial.

Quando a ARBO define por conta própria por que e como determinados dados são tratados — por exemplo, para administrar o site, gerenciar contas, proteger a infraestrutura, manter a relação contratual ou cumprir obrigações próprias — poderá atuar como controladora, controller ou função equivalente na legislação aplicável.

Quando a ARBO trata dados pessoais em nome de um profissional, clínica, hospital ou outra organização, de acordo com suas instruções e com o contrato aplicável, poderá atuar como operadora, processor, prestadora de serviço ou função equivalente. Nos Estados Unidos, quando os requisitos da HIPAA forem aplicáveis ao relacionamento e a ARBO criar, receber, manter ou transmitir Protected Health Information (PHI) em nome de uma Covered Entity ou de outro Business Associate, a ARBO poderá atuar como Business Associate, conforme o contrato aplicável.

2. Dados pessoais que podemos tratar

As categorias dependem do recurso utilizado e podem incluir:

• Identificação e contato: nome, e-mail, telefone, data de nascimento, identificadores de conta, organização, função e informações necessárias para criar e administrar uma conta.
• Informações profissionais: profissão, especialidade, registros ou credenciais informados pelo usuário, organização, equipe e configurações de perfil.
• Saúde e informações clínicas: histórico, sintomas, alergias, medicamentos, condições, registros clínicos, anamnese, hipóteses ou diagnósticos, prescrições, planos terapêuticos, exames, laudos, imagens, documentos e outras informações relacionadas à saúde.
• Consultas, áudio, vídeo e transcrições: conteúdo e metadados de teleconsultas ou outros encontros quando o recurso correspondente for utilizado, inclusive gravações quando o usuário ou cliente habilitar uma funcionalidade de gravação.
• Comunicações: mensagens, chats, e-mails, solicitações, respostas, anexos, informações de entrega e conteúdo transmitido por canais integrados quando esses canais forem habilitados.
• Agenda e operação: compromissos, disponibilidade, confirmações, reagendamentos, cancelamentos, listas de espera, lembretes e informações necessárias à operação de equipes e instituições.
• Pagamentos e assinaturas: plano contratado, cobrança, status de transações, comprovantes e outros metadados necessários ao processamento de pagamentos. Dependendo do fluxo, dados de cartão podem ser coletados diretamente pelo provedor de pagamentos, e a ARBO recebe apenas os dados necessários para operar a transação e a assinatura.
• Dados técnicos e de segurança: endereço IP, dispositivo, navegador, sistema operacional, sessão, autenticação, eventos de segurança, logs, registros de auditoria, erros, desempenho e informações de uso da plataforma.
• Interações com IA: prompts, arquivos e dados selecionados como contexto, respostas, feedback, preferências, configurações de agentes, modelos de prompt e metadados técnicos necessários à execução do recurso.
• Dados comerciais e de suporte: informações fornecidas em formulários, solicitações de demonstração, contatos empresariais, tickets de suporte e comunicações relacionadas à contratação dos Serviços.

Solicitamos que usuários não incluam dados pessoais ou informações de saúde que não sejam necessários ao objetivo do recurso utilizado.

3. Como obtemos os dados

Podemos obter dados:

• diretamente de você, ao criar uma conta, preencher formulários ou utilizar os Serviços;
• de profissionais, clínicas, hospitais, responsáveis ou outros usuários autorizados;
• de integrações e canais configurados ou autorizados pelo cliente ou usuário;
• automaticamente, por registros de sistema, segurança, cookies e tecnologias semelhantes;
• de prestadores de serviços que participam da operação autorizada do produto;
• de fontes externas permitidas por lei quando um recurso solicitado depender dessas fontes.

Quando uma organização cliente fornece dados sobre pacientes, dependentes, membros da equipe ou outros indivíduos, essa organização é responsável por possuir a autoridade e o fundamento necessários para fazê-lo, salvo quando a lei atribuir responsabilidade diferente.

4. Finalidades e fundamentos legais

Podemos tratar dados pessoais, conforme o contexto, para:

• criar e administrar contas, autenticar usuários e controlar acessos;
• fornecer, configurar, manter, personalizar e dar suporte aos Serviços contratados;
• viabilizar prontuário, teleconsulta, transcrição, documentos, agenda, comunicações e fluxos habilitados;
• executar recursos de inteligência artificial solicitados pelo usuário ou disponibilizados ao cliente;
• administrar contratos, assinaturas, cobranças, pagamentos e relacionamento comercial;
• enviar comunicações operacionais, de segurança, suporte, cobrança e serviço;
• enviar comunicações de marketing quando permitido pela lei e pelas preferências do destinatário;
• medir desempenho, diagnosticar erros, aprimorar estabilidade e entender o uso dos Serviços;
• prevenir fraude, abuso, acesso indevido, ataques e outros incidentes de segurança;
• manter registros de auditoria, rastreabilidade e evidências necessárias à operação;
• cumprir leis, regulamentos, obrigações contratuais e ordens válidas de autoridades;
• estabelecer, exercer ou defender direitos e interesses em procedimentos administrativos, arbitrais ou judiciais.

O fundamento jurídico varia conforme a legislação e a atividade. Quando aplicável, pode incluir execução de contrato ou medidas pré-contratuais, cumprimento de obrigação legal ou regulatória, tutela ou prestação de cuidados de saúde, exercício regular de direitos, proteção da vida, interesses legítimos, consentimento ou outro fundamento autorizado pela legislação local.

Para informações de saúde e outras categorias protegidas, são observados os requisitos adicionais aplicáveis ao respectivo tratamento. O consentimento não é utilizado como fundamento genérico quando outro fundamento legal é exigido ou mais apropriado.

5. Informações de saúde e prontuário

Informações relacionadas à saúde podem receber proteção reforçada pela legislação. A ARBO trata essas informações para os recursos e finalidades autorizados, aplicando controles de acesso e rastreabilidade compatíveis com o papel da ARBO, as instruções do cliente e a legislação aplicável.

Quando disponibilizado pelo Serviço e permitido pela legislação aplicável, o paciente pode acessar informações do seu prontuário eletrônico por sua conta, inclusive registros clínicos, documentos, prescrições, planos terapêuticos, transcrições e exames associados ao atendimento. O paciente também poderá utilizar os meios disponibilizados pela ARBO para obter ou exportar uma cópia das informações às quais tenha direito de acesso.

Determinadas informações podem estar sujeitas a regras especiais de acesso, sigilo ou retenção. Isso pode incluir, por exemplo, psychotherapy notes nos Estados Unidos ou outras anotações profissionais protegidas pela legislação ou por regras profissionais aplicáveis. A disponibilidade de um registro na ARBO não altera as obrigações legais do profissional ou da instituição responsável pelo conteúdo do prontuário.

A ARBO não utiliza informações de saúde para publicidade comportamental. Dados de saúde também não são comercializados como um produto de dados.

6. Inteligência artificial e tratamento automatizado

Os Serviços incluem recursos de inteligência artificial que podem processar conteúdo selecionado ou autorizado para tarefas como transcrição, organização de informações, geração de documentos, respostas a perguntas, resumos, comparações, sugestões e outros fluxos clínicos ou operacionais.

O contexto disponibilizado a um recurso de IA pode incluir prompts, prontuários, transcrições, exames, documentos e outras informações às quais o usuário tenha acesso no fluxo correspondente. A disponibilidade de dados para um recurso não significa que todos os dados da conta sejam automaticamente enviados a todos os modelos ou fornecedores.

Respostas produzidas por IA podem ser incompletas, imprecisas ou inadequadas ao caso. Recursos de IA destinados a profissionais de saúde são de apoio e não substituem o julgamento, a revisão ou a responsabilidade do profissional. A ARBO não autoriza a IA a substituir autonomamente uma decisão clínica que deva ser tomada por um profissional.

A ARBO pode utilizar prestadores especializados, inclusive provedores de modelos de IA, para executar determinados fluxos. O tratamento realizado por esses prestadores é limitado pelo serviço contratado, pelas configurações disponíveis, pelos compromissos contratuais aplicáveis e pelas obrigações legais pertinentes ao fluxo.

Quando uma lei conceder direitos relativos a decisões baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos ou impactos igualmente significativos, a ARBO e, quando aplicável, o cliente controlador observarão esses direitos de acordo com seus respectivos papéis.

7. Comunicações, agenda, pagamentos e integrações

Quando um cliente habilita integrações ou canais adicionais, a ARBO pode processar os dados necessários para transmitir mensagens, realizar agendamentos, confirmações, reagendamentos, lembretes, cobranças e outras ações solicitadas. O canal externo utilizado também pode realizar tratamento de dados de acordo com seus próprios termos e políticas.

Recursos de pagamento podem envolver prestadores especializados. A ARBO utiliza os dados de transação necessários para administrar a compra, a assinatura, o status do pagamento, reembolsos e registros financeiros aplicáveis, enquanto determinadas informações financeiras podem ser coletadas diretamente pelo provedor de pagamentos.

8. Compartilhamento e prestadores de serviços

A ARBO pode compartilhar dados pessoais, na medida necessária, com:

• clientes e usuários autorizados: profissionais, clínicas, hospitais, equipes, responsáveis e outros usuários que possuam acesso legítimo ao respectivo contexto;
• prestadores e subprocessadores: fornecedores de infraestrutura, hospedagem, armazenamento, comunicação, videoconferência, transcrição, segurança, observabilidade, suporte, analytics, pagamentos e inteligência artificial;
• consultores profissionais: advogados, contadores, auditores e outros consultores sujeitos a obrigações apropriadas de confidencialidade;
• autoridades e terceiros legalmente autorizados: quando necessário para cumprir uma obrigação legal, regulatória, processo válido ou proteger direitos, segurança e integridade dos Serviços;
• operações societárias: partes e assessores envolvidos em fusão, aquisição, financiamento, reorganização, venda de ativos ou operação semelhante, sujeitos às salvaguardas aplicáveis.

A ARBO não vende dados pessoais como um produto de dados. Informações sobre os prestadores relevantes para um determinado cliente ou fluxo podem ser solicitadas pelo e-mail privacy@arbo-health.com, sem prejuízo de listas ou avisos específicos disponibilizados contratualmente.

9. Cookies e analytics

O site utiliza ou pode utilizar cookies, armazenamento no navegador e tecnologias semelhantes para segurança, funcionalidades, preferências e mensuração. Tecnologias não essenciais são submetidas às escolhas de consentimento quando a legislação aplicável exigir consentimento prévio.

Analytics do site público não devem receber prontuários, diagnósticos, conteúdo de consultas ou outras informações clínicas como propriedades de evento. As categorias, finalidades, tecnologias identificadas e formas de gerenciar preferências estão descritas na Política de Cookies.

10. Transferências internacionais de dados

A ARBO-HEALTH, CORP está estabelecida nos Estados Unidos. Por isso, dados pessoais podem ser processados nos Estados Unidos e, conforme o Serviço, também em outros países nos quais prestadores autorizados operem infraestrutura ou serviços necessários. Isso pode envolver a transferência de dados para fora do país em que o usuário ou cliente se encontra.

Quando uma transferência internacional estiver sujeita a requisitos específicos, a ARBO e, quando aplicável, o cliente responsável deverão utilizar o mecanismo admitido pela legislação pertinente e aplicar salvaguardas contratuais, organizacionais e técnicas adequadas ao tratamento. Esses mecanismos podem variar conforme a origem, o destino, os papéis das partes e a natureza dos dados.

Para transferências sujeitas à LGPD, os mecanismos aplicáveis podem incluir aqueles previstos na legislação brasileira e na regulamentação da Autoridade Nacional de Proteção de Dados (ANPD). Para transferências sujeitas ao GDPR ou UK GDPR, o mecanismo aplicável pode incluir decisão de adequação, cláusulas contratuais aprovadas ou outro instrumento legalmente disponível, conforme o caso.

Informações adicionais sobre uma transferência específica, inclusive os principais destinos e o mecanismo aplicável ao relacionamento, podem ser solicitadas em privacy@arbo-health.com.

11. Retenção, exclusão e backups

A ARBO mantém dados pessoais pelo tempo necessário para cumprir as finalidades desta Política, fornecer os Serviços, atender instruções válidas do cliente, preservar segurança e auditoria, cumprir obrigações legais ou regulatórias e estabelecer, exercer ou defender direitos.

O prazo pode variar conforme a categoria de dado, o tipo de conta, o contrato, a jurisdição e a existência de obrigações específicas de guarda — inclusive obrigações relacionadas a prontuários, documentos financeiros, registros de segurança e investigações.

Quando uma exclusão for autorizada, dados poderão ser removidos, anonimizados ou tornados inacessíveis nos sistemas ativos. Cópias residuais podem permanecer por período adicional em backups, registros de auditoria, armazenamento imutável ou outros sistemas destinados à segurança e continuidade, sendo mantidas protegidas e sujeitas às limitações aplicáveis até sua eliminação ou expiração.

12. Segurança e incidentes

A ARBO adota medidas administrativas, técnicas e organizacionais destinadas a proteger dados pessoais e informações de saúde contra acesso, uso, alteração, perda, destruição ou divulgação não autorizados. Essas medidas incluem, conforme o recurso e o risco, autenticação, controles de acesso, registros de auditoria, monitoramento, proteção de infraestrutura e mecanismos de criptografia.

Nenhum sistema conectado à internet é completamente isento de riscos. A ARBO revisa seus controles de acordo com a natureza dos dados, as funcionalidades oferecidas e a evolução das ameaças. Quando ocorrer um incidente que exija notificação, a ARBO seguirá os deveres de comunicação aplicáveis ao seu papel e cooperará com clientes e autoridades quando necessário.

Em caso de suspeita de comprometimento de conta ou incidente de privacidade, entre em contato pelo canal indicado ao final desta Política. Não envie senhas, credenciais ou conteúdo clínico desnecessário por e-mail comum.

13. Direitos e solicitações de privacidade

Dependendo da legislação aplicável e do papel da ARBO no tratamento, você poderá ter direitos como:

• confirmar a existência de tratamento e obter acesso aos seus dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• obter cópia ou portabilidade quando prevista em lei;
• solicitar eliminação, anonimização, restrição ou bloqueio nos casos previstos em lei;
• opor-se a determinados tratamentos ou solicitar limitação de uso de dados sensíveis quando a legislação assegurar esse direito;
• retirar consentimento quando o tratamento se basear em consentimento;
• obter informações sobre determinadas formas de compartilhamento;
• solicitar revisão ou intervenção humana em tratamentos automatizados quando esse direito for aplicável;
• não sofrer discriminação ilegítima pelo exercício de direitos de privacidade;
• apresentar reclamação à autoridade de proteção de dados competente.

Para exercer um direito, envie sua solicitação a privacy@arbo-health.com. Poderemos pedir informações razoáveis para verificar sua identidade, autoridade ou relação com a conta antes de atender à solicitação.

Quando a ARBO estiver tratando os dados exclusivamente em nome de um profissional, clínica, hospital ou outra organização, poderemos encaminhar a solicitação ao cliente responsável ou orientar você a contatá-lo diretamente. A ARBO auxiliará o cliente nos limites do contrato e da legislação aplicável.

Alguns direitos possuem exceções. Por exemplo, obrigações de retenção, direitos de terceiros, segurança, sigilo profissional, requisitos de prontuário ou necessidade de manter evidências de auditoria podem limitar uma solicitação de exclusão ou acesso.

14. Informações por jurisdição

Estados Unidos

Nos Estados Unidos, diferentes leis federais e estaduais podem ser aplicáveis de acordo com o usuário, o cliente e o tipo de informação. HIPAA não se aplica automaticamente a toda informação relacionada à saúde. Quando a HIPAA for aplicável à relação e a ARBO atuar como Business Associate, o tratamento de PHI também será regido pelo Business Associate Agreement (BAA) e pelas disposições aplicáveis das HIPAA Rules.

Leis estaduais podem conceder direitos adicionais, inclusive acesso, correção, exclusão, portabilidade e, em determinados casos, opt-out de venda, compartilhamento, publicidade direcionada ou certos usos de dados sensíveis. A ARBO não vende dados pessoais como produto e não utiliza informações de saúde para publicidade comportamental. Solicitações estaduais podem ser enviadas pelo canal de privacidade.

Brasil

Quando a Lei Geral de Proteção de Dados Pessoais (LGPD) for aplicável, a ARBO poderá atuar como controladora ou operadora conforme a atividade. Titulares podem exercer os direitos previstos na LGPD pelo canal de privacidade. Também podem peticionar perante a Autoridade Nacional de Proteção de Dados (ANPD), observados os requisitos legais.

Transferências internacionais sujeitas à LGPD devem observar os mecanismos admitidos pela legislação e pela regulamentação da ANPD aplicável à operação.

Espaço Econômico Europeu (EEE)

Quando o General Data Protection Regulation (GDPR) for aplicável, o tratamento deverá observar os fundamentos e requisitos correspondentes, inclusive os requisitos adicionais para dados de saúde. Pessoas no EEE podem ter direitos de acesso, retificação, apagamento, restrição, portabilidade, oposição e retirada do consentimento, conforme o caso, além do direito de apresentar reclamação a uma autoridade supervisora competente.

A ARBO-HEALTH, CORP está estabelecida nos Estados Unidos. Solicitações podem ser enviadas diretamente a privacy@arbo-health.com. Quando a legislação exigir a nomeação de um representante local para uma atividade da ARBO, as informações de contato do representante serão disponibilizadas em aviso apropriado e nesta Política, conforme exigido.

Reino Unido

Quando o UK GDPR e a legislação britânica de proteção de dados forem aplicáveis, pessoas no Reino Unido poderão exercer os direitos previstos nessa legislação e apresentar reclamação ao Information Commissioner's Office (ICO). Solicitações podem ser enviadas diretamente à ARBO pelo canal de privacidade. Quando a lei exigir um representante local, os dados de contato serão disponibilizados conforme a exigência aplicável.

Canadá

No Canadá, leis federais e provinciais podem ser aplicáveis conforme a organização, a província e a natureza do tratamento. Isso pode incluir legislação geral de privacidade e legislação provincial específica sobre informações pessoais de saúde, como a Personal Health Information Protection Act (PHIPA) em Ontário, quando aplicável. Direitos e reclamações podem ser exercidos perante a ARBO e, quando cabível, perante a autoridade competente.

Outros países e regiões

Se outra lei de privacidade ou proteção de informações de saúde se aplicar ao seu uso dos Serviços, a ARBO observará as obrigações correspondentes ao seu papel. Esta Política é um aviso global e não limita direitos obrigatórios previstos pela legislação local.

15. Crianças, adolescentes e dependentes

A ARBO pode oferecer recursos que permitam a pais, mães, responsáveis ou cuidadores administrar informações de dependentes. Cada dependente pode possuir registros e dados próprios vinculados à conta ou à autoridade do responsável, de acordo com o recurso utilizado.

O tratamento de dados de crianças e adolescentes deve observar o melhor interesse do menor, as regras de representação, consentimento ou autorização aplicáveis e as obrigações do profissional ou da instituição de saúde. A ARBO poderá solicitar verificação de identidade, autoridade ou vínculo antes de permitir acesso ou atender a determinadas solicitações.

A plataforma não deve ser utilizada por uma criança para criar de forma independente uma conta quando a legislação exigir participação ou autorização de um responsável. Regras de idade e consentimento variam por país e pelo contexto do serviço.

16. Responsabilidades de clientes e usuários

Profissionais de saúde, clínicas, hospitais e outras organizações que utilizam a ARBO permanecem responsáveis por suas próprias obrigações legais e profissionais. Isso pode incluir determinar fundamentos legais, fornecer avisos apropriados, obter autorizações necessárias, responder a solicitações de pacientes, manter registros obrigatórios, configurar permissões e limitar o acesso aos dados de acordo com a função de cada usuário.

Usuários também são responsáveis por proteger suas credenciais, utilizar os Serviços de forma autorizada e não compartilhar dados de terceiros além do que seja necessário e permitido.

17. Alterações desta Política

Esta Política poderá ser atualizada para refletir mudanças nos Serviços, na tecnologia, nos prestadores, nas práticas de privacidade ou na legislação aplicável. A versão vigente indicará a data da última atualização. Quando uma alteração for relevante, poderemos fornecer aviso adicional de acordo com a natureza da mudança e as exigências legais aplicáveis.

18. Contato

Para dúvidas, solicitações ou reclamações relacionadas à privacidade, entre em contato com o canal de privacidade da ARBO:

Para sua segurança, não envie senhas, credenciais ou prontuários completos por e-mail. Se forem necessárias informações adicionais para processar uma solicitação, a ARBO indicará um meio apropriado para fornecê-las.