Política de Privacidade

• A operação é a controladora. Cada empresa médica que usa a plataforma (a “operação”) decide para que e como são usados os dados dos médicos dela e dos usuários que ela convida.
• A Maitau é a operadora. A MAITAU LTDA mantém a plataforma e trata esses dados só por ordem da operação, nos termos do contrato e do Acordo de Tratamento de Dados (DPA).
• Nos registros de acesso, a Maitau é a controladora. Quem oferece uma aplicação na internet é obrigado a guardar, por pelo menos 6 meses, os registros de acesso a ela (Marco Civil da Internet, Lei 12.965/2014, art. 15). A Maitau guarda esses registros e os dados técnicos de segurança descritos abaixo como controladora.

Os dados de cada operação ficam separados: uma operação não vê, não descobre e não altera os dados de outra, e a plataforma não diz a uma operação se um CPF ou CRM está em outra. Se um médico trabalha para duas operações, cada uma tem o seu cadastro dele, preenchido no formulário dela, e a troca de Pix numa não muda a outra.

Médicos

Identificação (nome, CPF, RG, CRM, data de nascimento, filiação, estado civil e, quando houver, nome e CPF do cônjuge), contato (e-mail e celular), endereço, dados de recebimento (chave Pix, banco, agência e conta), documento de identidade (foto ou PDF da CNH ou do RG), o vínculo com a operação (situação societária, forma de recebimento, retenção de nota fiscal) e a produção e os repasses (cirurgias, plantões e atendimentos com datas e horários, valores, fechamentos e lotes de pagamento).

Usuários

Nome, e-mail, permissões, o segundo fator (o segredo do aplicativo autenticador fica no serviço de autenticação) e o que a pessoa faz na plataforma: quem lançou, editou, conferiu, fechou ou pagou, e quando.

Registros de acesso

Data e hora, endereço IP, navegador e o evento: entrada, saída, falha de login, troca de senha, segundo fator, leitura do cadastro ou dos dados bancários (de quais médicos), troca de Pix, conta ou contato (pedida, confirmada ou recusada), exportação, geração de lote e acesso do suporte.

Envio do formulário de cadastro

Com o cadastro enviado, um código pseudonimizado do endereço IP (HMAC, com chave guardada pela Maitau) e o navegador usados no envio, apagados junto com o conteúdo; se uma troca indevida de Pix ou conta precisar ser apurada, a Maitau faz a apuração a pedido da operação. Quando o médico que já tem cadastro troca o Pix, a conta, o celular ou o e-mail pelo formulário, o pedido fica com os dados de antes, os novos e o contato que estava no cadastro até a operação confirmar ou recusar a troca com ele; decidida a troca (confirmada ou recusada), os dados saem do pedido e fica o registro de quem decidiu e quando. De todo pedido, a trilha de auditoria guarda, pelo prazo dela, o Pix, a agência, a conta e o contato pedidos e os que havia antes só em máscara e código pseudonimizado (HMAC), nunca o dado em claro; na troca recusada, isso é a prova de uma tentativa de desvio de pagamento.

Segurança

Para limitar tentativas de login e envios do formulário, um código pseudonimizado (HMAC, com chave guardada pela Maitau) do endereço IP e do e-mail de cada tentativa, guardado por 1 dia. Na entrada, na redefinição de acesso e no formulário de cadastro, a verificação contra robôs da Cloudflare (Turnstile) recebe o endereço IP e dados técnicos do navegador, nunca o que é digitado. Os registros de erro não levam dado pessoal.

Sócios da operação

Nome e participação, para a divisão do resultado, visíveis só a quem tem a permissão da Gestão.

Pacientes

A plataforma não guarda nome de paciente nem informação clínica. O procedimento é identificado pelo número do aviso cirúrgico, pela data, pelo código e pelo porte; a coluna de paciente das planilhas é descartada na leitura, no navegador, antes de qualquer envio. Como o hospital consegue ligar o número do aviso ao paciente, esse número é tratado como dado pessoal pseudonimizado, possivelmente de saúde: com as mesmas restrições de acesso dos demais dados e só para conferir e pagar a produção.

Os dados entram pelo formulário de cadastro que a operação envia ao médico, pelas planilhas e cadastros que a operação importa e pelo que os usuários lançam.

Nos dados dos médicos e dos usuários, quem define a finalidade e a base legal é a operação, que é a controladora. Em regra:

• cadastro societário, contrato com o médico e pagamento dos repasses: execução de contrato e procedimentos preliminares a ele (LGPD, art. 7º, V);
• obrigações fiscais, contábeis e societárias da operação, como notas fiscais, retenções, alteração contratual e a guarda dos pagamentos: cumprimento de obrigação legal ou regulatória (art. 7º, II);
• registro de quem fez o quê (inclusive a prova de uma tentativa de desvio de pagamento), prestação de contas aos sócios e defesa em processos: exercício regular de direitos (art. 7º, VI) e legítimo interesse (art. 7º, IX);
• o número do aviso cirúrgico, para conferir a produção e prestar contas ao hospital ou ao contratante: exercício regular de direitos, inclusive em contrato (art. 11, II, “d”).

Nos dados de que a Maitau é controladora:

• registros de acesso à aplicação: cumprimento de obrigação legal (art. 7º, II, e Marco Civil, art. 15);
• segurança da plataforma (limite de tentativas, alerta de rajada de falhas de login, verificação contra robôs e registro de erros): legítimo interesse em proteger a plataforma e os dados das operações (art. 7º, IX).

Os dados não são vendidos nem usados para publicidade. A Maitau não envia dados pessoais da plataforma, nem pseudonimizados, a ferramentas de inteligência artificial, e não contrata serviço de inteligência artificial para tratá-los.

Nenhuma decisão sobre um médico é tomada só de forma automatizada: a plataforma calcula e aponta divergências, e quem confere, decide e aprova cada pagamento é a operação.

• Dentro da operação: só com os usuários que ela autoriza, cada um com as próprias permissões. A contabilidade recebe as fichas que a operação envia a ela, sem dados bancários.
• Suboperadores: os fornecedores que a Maitau usa para manter a plataforma, só para isso. A lista completa, com a empresa, os dados que cada um recebe e o país, está no Anexo C do DPA.
• Autoridades: quando a lei ou uma ordem judicial exigir.

Supabase

Banco de dados, autenticação (login e segundo fator) e armazenamento dos documentos.Banco de dados, autenticação, documentos e cópias de segurança na região de São Paulo, Brasil. Os registros técnicos das requisições (endereço IP, navegador e, nos de autenticação, o e-mail de quem entra) ficam na União Europeia por até 7 dias. A equipe de suporte do fornecedor, em outros países, acessa os dados só quando necessário para manter o serviço.

Vercel

Hospedagem da aplicação.As funções da aplicação rodam em São Paulo, Brasil. A rede de entrega recebe a conexão no ponto mais próximo de quem acessa, e a etapa que confere a sessão antes de cada página pode rodar em qualquer região do fornecedor. Os registros técnicos ficam até 30 dias; o fornecedor declara os Estados Unidos como local principal de processamento.

Resend

Envio dos e-mails do sistema: convite, redefinição de acesso, avisos de segurança da conta e alertas internos ao suporte da Maitau, estes sem dado pessoal.Envia a partir de São Paulo, Brasil, mas guarda a conta, o conteúdo, os metadados e os registros de envio nos Estados Unidos, por 30 dias.

Cloudflare (Turnstile)

Verificação contra robôs na entrada, na redefinição de acesso e no formulário de cadastro.Rede global do fornecedor, que não informa o país nem o prazo de guarda. Para melhorar a própria detecção de robôs, a Cloudflare usa esses dados como controladora, por conta dela.

Google Workspace

E-mail corporativo da Maitau: as caixas contato@maitau.com e suporte@maitau.com, que recebem pedidos de titulares, chamados de suporte e avisos.Centros de dados do fornecedor em vários países; o Brasil não está entre as regiões que ele oferece.

Cada fornecedor usa os próprios subcontratados, nas condições do acordo de tratamento de dados dele, e essa cadeia pode incluir serviços de inteligência artificial usados pelo próprio fornecedor. As listas são públicas, e a Maitau envia à operação, a pedido, a lista atual de cada um.

O banco de dados, a autenticação, os documentos e as cópias de segurança ficam no Brasil, na região de São Paulo. Como alguns fornecedores são empresas estrangeiras, parte dos dados sai do país. A Maitau publica aqui, em nome das operações, o que a Resolução CD/ANPD nº 19/2024 manda informar sobre essas transferências.

União Europeia

Os registros técnicos da Supabase (endereço IP, navegador e, nos de autenticação, o e-mail de quem entra), para operar e proteger o serviço, por até 7 dias.Mecanismo: decisão de adequação da ANPD (Resolução nº 32/2026).

Estados Unidos

Os registros técnicos das requisições na Vercel (endereço IP, página pedida e navegador), por até 30 dias; os e-mails do sistema e os registros de envio na Resend (destinatário e conteúdo), por 30 dias; os dados da verificação contra robôs na Cloudflare; e o acesso eventual do suporte desses fornecedores e da Supabase, para manter o serviço.Mecanismo: cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), firmadas com cada fornecedor.

Singapura

A Supabase Pte. Ltd., que é a parte do contrato do banco de dados, e o acesso eventual da equipe de suporte dela.Mecanismo: cláusulas-padrão contratuais aprovadas pela ANPD.

Outros países

As mensagens enviadas às caixas de e-mail da Maitau (Google Workspace), pelo tempo do atendimento, e a rede global da Cloudflare, que não informa onde processa.Mecanismo: cláusulas-padrão contratuais aprovadas pela ANPD, já incorporadas ao acordo de tratamento de dados do Google; com a Cloudflare, firmadas com ela.

• Para quê: hospedar a aplicação, enviar os e-mails do sistema, proteger a plataforma contra robôs, atender pedidos e dar suporte. Nada é transferido para publicidade nem para outros fins dos fornecedores, salvo a melhoria da detecção de robôs pela Cloudflare, que ela faz como controladora.
• Quem responde: nos dados dos médicos e dos usuários, a operação, que é a controladora (o nome dela está no contrato e no aviso do formulário de cadastro), com a Maitau como operadora; nos registros de acesso e nos dados de segurança, a Maitau. A Maitau responde perante a operação pelos fornecedores que contrata.
• Proteção: conexão sempre criptografada e as medidas de segurança do Anexo B do DPA. Cada fornecedor se obriga, pelas cláusulas, a proteger os dados e a seguir as instruções recebidas.
• Seus direitos: os da seção “Seus direitos”, pelos mesmos canais. Você pode pedir a íntegra das cláusulas firmadas com cada fornecedor, entregue em até 15 dias, e reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Cadastro do médico

Pessoal, bancário e documentos: enquanto ele tiver vínculo com a operação. No fim do contrato, devolução à operação e eliminação, como diz o DPA. Do pedido de troca de Pix, conta ou contato, os dados saem quando a operação o confirma ou recusa; fica o registro de quem decidiu e quando e, na trilha de auditoria, pelo prazo dela, o Pix, a agência, a conta e o contato pedidos e os anteriores em máscara e código pseudonimizado (HMAC).

Envio do formulário

O conteúdo, com o código do IP e o navegador do envio, é apagado em até 30 dias depois do recebimento, mesmo que a operação não o confira. O documento que não é aproveitado é apagado do armazenamento por uma rotina diária.

Produção, fechamentos, lotes e auditoria

Pelo prazo que a operação aprovar no DPA (Anexo D). A proposta da Maitau é a duração do contrato mais 5 anos, por causa das obrigações fiscais e contábeis da operação. Até a aprovação, a plataforma não apaga esses dados.

Registros de acesso

12 meses (a lei exige pelo menos 6).

Registros de erro

6 meses, sem dado pessoal.

Códigos das tentativas e dos envios

1 dia (o código pseudonimizado do IP e do e-mail), apagados por uma rotina diária.

Exportação dos dados

O arquivo gerado fica disponível por 24 horas e depois é apagado.

Contas de usuário

Enquanto a pessoa tiver acesso a alguma operação. A conta desativada é excluída no prazo que a operação aprovar.

Cópias de segurança

7 dias, do banco de dados (os documentos do armazenamento não entram nelas). Um dado apagado sai das cópias quando expira a última cópia feita antes da eliminação.

Registros dos fornecedores

O app não grava dado pessoal nos registros dos fornecedores, mas eles registram as requisições: até 7 dias na Supabase (endereço IP, navegador e, nos de autenticação, o e-mail), até 30 dias na Vercel (endereço IP, página pedida e navegador) e 30 dias na Resend (destinatário e conteúdo dos e-mails). A Cloudflare não informa o prazo dos dados da verificação contra robôs.

• Conexão sempre criptografada (HTTPS, com HSTS).
• Separação por operação dentro do banco de dados, com regras de acesso por linha que valem também para chamadas diretas à API.
• Permissões por usuário e segundo fator para quem vê dados bancários, gerencia usuários ou dá suporte.
• CPF, RG, Pix, celular e conta mascarados nas telas e nos arquivos gerados.
• Cada leitura do cadastro e dos dados bancários fica registrada: quem leu, quando e de quais médicos.
• Troca de Pix, conta, celular ou e-mail pedida pelo formulário por quem já tem cadastro só vale depois que a operação a confirma com o médico, pelo contato que já estava no cadastro; até lá, com o Pix ou a conta novos, ele fica fora do lote de pagamento.
• Trilha de auditoria de toda alteração, com os dados sensíveis guardados só em máscara e código pseudonimizado.
• Sessão que termina quando o navegador é fechado, limite de tentativas de login e verificação contra robôs na entrada, na redefinição de acesso e no formulário de cadastro.
• Documentos em armazenamento privado, conferidos antes de serem aceitos.
• Nenhum dado pessoal nos registros de erro nem nos e-mails de alerta.
• Cópias de segurança diárias do banco de dados.

Nenhum sistema é totalmente imune a incidentes. A seção “Incidentes de segurança” diz o que acontece se houver um.

A plataforma usa só os cookies necessários para a sessão de login, que acabam quando o navegador é fechado. Não há cookies de publicidade nem de análise de uso. No navegador fica guardada só a preferência de recolher o menu lateral. O formulário de cadastro do médico não guarda nada no navegador.

Na entrada, na redefinição de acesso e no formulário de cadastro, a verificação contra robôs é carregada da Cloudflare e roda num quadro dela, pelas regras de privacidade da Cloudflare para o Turnstile. Ela não é usada para identificar pessoas, criar perfis nem fazer publicidade.

Pela LGPD (art. 18), você pode pedir:

• a confirmação de que seus dados são tratados e o acesso a eles;
• a correção de dados incompletos, inexatos ou desatualizados;
• a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
• a portabilidade dos dados;
• a informação sobre com quem os dados são compartilhados;
• a oposição a um tratamento que descumpra a LGPD.

Como pedir. Sobre os dados de médicos e de usuários, fale com a operação, que é a controladora. Se o pedido chegar à Maitau (contato@maitau.com, assunto “Privacidade”), ela o encaminha à operação em até 2 dias úteis e executa o que a operação decidir, para a resposta sair no prazo da lei (a declaração completa, em até 15 dias, LGPD, art. 19). Sobre os registros de acesso e os dados de segurança, a Maitau responde diretamente. Pode ser preciso confirmar a sua identidade antes.

Se você trabalha para mais de uma operação, cada uma é a controladora do próprio cadastro: o pedido feito a uma vale só para ela, e para as outras o pedido é feito a cada uma. A Maitau não conta a uma operação que você está em outra.

Alguns dados precisam ser guardados por lei mesmo depois de um pedido de eliminação, como o registro dos pagamentos feitos (LGPD, art. 16). Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Encarregado da Maitau: Leonardo Cesar Corbi
Contato: contato@maitau.com

Cada operação indica o próprio canal para os dados de que é controladora.

Se houver um incidente de segurança com dados de uma operação, a Maitau avisa a operação em até 48 horas depois de saber dele, mesmo quando ele acontece num fornecedor, com o que se sabe até ali (dados e pessoas afetados, riscos e medidas tomadas), e completa o aviso à medida que apura. A operação, como controladora, comunica a ANPD e os titulares quando o incidente puder causar risco ou dano relevante, no prazo da Resolução CD/ANPD nº 15/2024, com a ajuda da Maitau. Nos registros de acesso e nos dados de segurança, em que é a controladora, a própria Maitau faz essa comunicação.

A plataforma é de uso profissional e não se destina a menores de 18 anos.

Cada versão tem número e data de vigência no topo da página. Mudança relevante é avisada às operações antes de valer.

MAITAU LTDA · CNPJ 69.114.420/0001-03
Rua Santa Cruz, 2187, Sala 10 (CXPST 16016), Vila Mariana, São Paulo/SP, CEP 04121-002
Privacidade e encarregado: contato@maitau.com
Suporte da plataforma: suporte@maitau.com