Política de Privacidade — Assente

1. Quem somos

A Assente é um nome comercial em uso operado pela pessoa jurídica L E M DE LIMA, inscrita no CNPJ sob o nº 27.592.173/0001-00, com sede em Av. Maestro Vicente Basile Neto, 917 — Jardim Peruíbe, Peruíbe/SP — CEP 11.750-000.

Esta política descreve como a Assente trata dados pessoais em duas posições distintas:

• Controladora de dados pessoais dos visitantes do site assente.com.br, de contatos comerciais (leads), de clínicas contratantes e dos usuários do painel administrativo da plataforma.
• Operadora (nos termos do Art. 5º, VII da LGPD), quando trata dados pessoais de pacientes por conta e ordem de uma clínica contratante, nos termos do contrato de tratamento de dados firmado com essa clínica.

Para pacientes de clínicas atendidas pela Assente: esta política não é o documento aplicável. Nesse caso, a clínica é a controladora dos seus dados e disponibiliza o aviso de privacidade próprio, construído com base no kit de transparência da Assente. Solicite o aviso diretamente à clínica ou entre em contato com o Encarregado dela.

2. Canal do Encarregado (DPO)

• E-mail: privacidade@assente.com.br
• Encarregado: Lucas Lima, designado nos termos do art. 41 da LGPD por Ato de Designação lavrado pela L E M DE LIMA e arquivado em seus arquivos societários (disponível mediante solicitação fundamentada de autoridade competente ou de clínica contratante).
• SLA de atendimento: acknowledgement em até 48 horas úteis; resposta substantiva em até 15 dias corridos, conforme Art. 19, § 1º da LGPD.

Este canal atende solicitações de titulares, incidentes, dúvidas de clínicas e auditorias.

3. Dados pessoais que tratamos como controladora

3.1. Visitantes do site assente.com.br

3.2. Contatos comerciais (leads B2B) {#contatos-comerciais}

Quando você preenche o formulário de contato em assente.com.br/contato, os dados informados (nome, e-mail, WhatsApp opcional, nome da clínica, cidade/estado, especialidade, porte e mensagem) são enviados ao fundador via e-mail por meio do serviço Resend (Resend Inc., Estados Unidos — ver §6 e §7) e entregues na caixa de entrada corporativa do Gmail Workspace (contato@assente.com.br). Nenhum dado é armazenado em banco de dados próprio da Assente a partir desse formulário — o e-mail recebido constitui o único registro. A base legal para esse tratamento é o legítimo interesse da Assente na qualificação de oportunidades de negócio B2B (Art. 7º, IX da LGPD). O titular pode solicitar a remoção dos dados enviando e-mail a privacidade@assente.com.br.

3.3. Clínicas contratantes (representantes legais e pontos de contato)

3.4. Usuários do painel administrativo

3.5. O que não tratamos como controladora

A Assente não é controladora dos dados pessoais de pacientes atendidos por clínicas contratantes. Esses dados são tratados pela Assente como operadora, exclusivamente por conta e ordem da clínica, nos termos do Art. 39 da LGPD e do contrato de tratamento de dados (DPA) firmado com cada clínica.

4. Finalidades do tratamento

Não utilizamos dados pessoais para publicidade comportamental, venda a terceiros, treinamento de modelos de IA próprios ou formação de perfis para decisões automatizadas com efeitos jurídicos sobre o titular.

5. Bases legais (Art. 7º e 11 da LGPD)

Para o núcleo do serviço prestado à clínica (tratamento de dados de pacientes), a base legal aplicada pela clínica-controladora é usualmente a tutela da saúde (Art. 11, II, “f” da LGPD). A Assente, como operadora, atua dentro da base eleita pela clínica.

6. Compartilhamento com terceiros

A Assente contrata fornecedores para operar a plataforma e os serviços. Os principais sub-operadores são:

Também podemos compartilhar dados com: (a) autoridades competentes, em cumprimento de obrigação legal ou ordem judicial; (b) assessores jurídicos, contábeis e auditores, sob dever de sigilo; (c) adquirentes, em operações societárias, nos termos da LGPD.

Não vendemos dados pessoais a terceiros.

7. Transferência internacional

O processamento principal da Assente ocorre no Brasil, na região southamerica-east1 do Google Cloud. Pode haver transferência internacional limitada nas seguintes situações:

• WhatsApp/Meta: como plataforma de mensageria global, processa mensagens sob suas próprias políticas, em datacenters situados fora do Brasil
• Resend (Resend Inc., EUA): serviço de entrega de e-mail transacional utilizado para (i) encaminhar mensagens do formulário de contato — processa dados de leads B2B (nome, e-mail, WhatsApp opcional, nome da clínica, mensagem); base legal: legítimo interesse para prospecção B2B (Art. 7º, IX da LGPD) — e (ii) enviar e-mails operacionais às clínicas usuárias (confirmação de aceite do DPA e alertas operacionais mínimos à equipe da clínica, sem conteúdo clínico nem dados de pacientes além do primeiro nome quando estritamente necessário); base legal: execução de contrato (Art. 7º, V da LGPD). Resend dispõe de DPA e mecanismo de SCCs aplicável a transferências internacionais
• Google Analytics 4 (GA4) — quando ativado (ainda não está ativo): dados de navegação seriam processados pelo Google LLC (EUA). O mecanismo de transferência internacional aplicável (Art. 33 da LGPD / Resolução CD/ANPD nº 19/2024) será confirmado no instrumento efetivamente aceito na conta antes da ativação — não afirmamos genericamente que os termos do Google já bastam. O endereço IP é coletado e usado transitoriamente pelo Google (detecção de spam, geolocalização aproximada, roteamento) e descartado após o uso (não há “anonimização” como recurso ligado)
• Suporte técnico de fornecedores: eventual acesso remoto por equipes internacionais em caráter excepcional e controlado
• Ferramentas auxiliares: configuramos residência regional sempre que disponível

Quando ocorrer transferência internacional, utilizaremos os mecanismos previstos no Art. 33 da LGPD, em especial as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024.

8. Retenção

Após o prazo, os dados são eliminados ou anonimizados, exceto quando houver obrigação legal ou base legítima de conservação.

9. Segurança

Adotamos medidas técnicas e organizacionais proporcionais ao risco, incluindo:

• Criptografia em trânsito (TLS 1.2+) e em repouso (criptografia nativa do provedor de nuvem)
• Autenticação por senha sobre TLS para acesso administrativo; MFA em implementação (prevista antes da abertura a clínicas pagantes)
• Controle de acesso por perfil (RBAC) com enforcement por função em implementação; princípio do menor privilégio
• Segregação lógica entre clínicas (multi-tenant)
• Trilhas de auditoria de aplicação e infraestrutura
• Gestão contínua de vulnerabilidades, backup e testes de restauração
• Treinamento periódico da equipe em proteção de dados e compromisso formal de confidencialidade

Apesar de adotarmos boas práticas de segurança, nenhum sistema é 100% imune a incidentes. Em caso de incidente com impacto relevante a titulares, seguimos o procedimento do item 10.

10. Resposta a incidentes

Em caso de incidente de segurança com impacto a dados pessoais, a Assente: (i) contém e preserva evidências, (ii) notifica sem demora injustificada os controladores afetados (quando atua como operadora) ou o Encarregado (quando atua como controladora), (iii) apoia a comunicação à ANPD e aos titulares quando aplicável, no prazo da Resolução CD/ANPD nº 15/2024, e (iv) mantém registro interno do incidente por pelo menos 5 anos.

11. Cookies e tecnologias similares

O detalhamento completo — tabela de cookies por nome, origem, finalidade, prazo e terceiro, além do mecanismo de gestão de consentimento — está na Política de Cookies dedicada. Esta seção resume as categorias em uso.

Utilizamos cookies e tecnologias similares no site assente.com.br e no painel administrativo da plataforma. As categorias em uso são:

• Essenciais: necessários para o funcionamento básico do site e do painel (ex.: segurança de sessão, balanceamento de carga). Não dependem de consentimento.
• De desempenho / analytics (site assente.com.br): poderemos utilizar o Google Tag Manager (GTM) como contêiner de tags no site público para carregar (a) o Google Analytics 4 (GA4), que mede desempenho e uso do site (páginas visitadas, tempo de sessão, dispositivo, origem do acesso — cookies _ga/_ga_*), e (b) a tag de verificação do Google Search Console (confirma a propriedade do domínio; não rastreia visitantes). Esta funcionalidade ainda não está ativa — será ativada após a configuração das salvaguardas (sem publicidade/remarketing, processamento transitório do IP, retenção mínima de 2 meses, opt-out direto no próprio site). Quando ativada, o GTM carregará exclusivamente essas duas tags. Base legal: legítimo interesse (Art. 7º, IX da LGPD) com opt-out. Os dados do GA4 são processados pelo Google LLC (EUA) — ver §7.
• De desempenho / analytics (painel administrativo): no painel administrativo da Assente, poderemos utilizar o Google Analytics 4, com as seguintes restrições, exclusivamente para métricas operacionais e melhoria de experiência de uso (como páginas acessadas, fluxos de navegação e interações com botões). Esta funcionalidade ainda não está ativa — será ativada somente após a implementação das salvaguardas técnicas descritas abaixo. Quando ativada: não configuraremos o GA4 para coletar dados de pacientes, conteúdo de conversas, dados de saúde, CPF, telefone, e-mail, número de carteirinha de plano de saúde, especialidade médica, procedimento, identificação de paciente, identificação de consulta ou qualquer outro dado pessoal sensível. Também não utilizaremos Google Signals, remarketing, publicidade comportamental, User-ID, demographics/interests, integração com Google Ads ou qualquer recurso de advertising no painel administrativo. URLs e títulos de página enviados ao GA4 não conterão identificadores dinâmicos de paciente, consulta ou outras entidades de negócio sensíveis — rotas que renderizarem essas entidades serão reportadas em forma de gabarito (ex.: /patients/:id em vez de /patients/abc-123). Base legal prevista: legítimo interesse (Art. 7º, IX da LGPD), restrito a UX e melhoria operacional do painel.
• De preferência: lembrar escolhas de interface (ex.: idioma).

O visitante pode desativar a coleta pelo GA4 por meio da extensão Google Analytics Opt-out ou ajustando as configurações de cookies do navegador. A desativação não afeta o funcionamento do site ou do painel.

12. Direitos do titular (Art. 18 da LGPD)

Como titular de dados pessoais, você tem direito a:

• Confirmação da existência de tratamento
• Acesso aos dados
• Correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD
• Portabilidade, observados os segredos comercial e industrial
• Informação sobre com quem compartilhamos os dados
• Informação sobre a possibilidade de não fornecer consentimento e as respectivas consequências
• Revogação do consentimento
• Revisão de decisões tomadas unicamente com base em tratamento automatizado (Art. 20)

Para exercer seus direitos, escreva para privacidade@assente.com.br. Podemos solicitar informações para confirmação de identidade antes de executar a solicitação.

Importante: se seus dados estiverem sendo tratados pela Assente na condição de operadora (ex.: como paciente de uma clínica que contratou a Assente), o pedido deve ser dirigido à clínica-controladora. Podemos, de todo modo, encaminhar o pedido à clínica correspondente.

13. Menores de idade

O serviço da Assente é destinado a profissionais e clínicas. Não direcionamos o site ou o produto a menores de 18 anos. Quando uma clínica contratante atende menores pelo WhatsApp, a clínica é responsável pela base legal aplicável (inclusive consentimento específico de um dos pais ou responsável, conforme Art. 14 da LGPD). Como operadora, a Assente segue as instruções da clínica.

14. Alterações desta política

Podemos atualizar esta política a qualquer tempo. Alterações materiais serão comunicadas com razoável antecedência por meio do site ou por canal direto, quando houver cadastro. A versão vigente é sempre a publicada em https://assente.com.br/privacidade, com data de “Última atualização”.

15. Lei aplicável e foro

Esta política é regida pelas leis da República Federativa do Brasil, em especial a Lei Geral de Proteção de Dados (Lei 13.709/2018). Para dirimir eventuais controvérsias, fica eleito o foro da comarca de domicílio do titular, na forma do Código de Defesa do Consumidor (Lei 8.078/1990, Art. 101, I), quando o titular for pessoa física. Para relações exclusivamente B2B, fica eleito o foro da comarca da sede da L E M DE LIMA, ressalvadas as hipóteses de competência absoluta previstas em lei.

16. Contato

• Encarregado / DPO: privacidade@assente.com.br
• Canal institucional: contato@assente.com.br
• Titular: L E M DE LIMA — CNPJ 27.592.173/0001-00 — sede em Av. Maestro Vicente Basile Neto, 917 — Jardim Peruíbe, Peruíbe/SP — CEP 11.750-000