Esta política explica como o Rotina Odonto trata dados pessoais — inclusive dados de saúde, que a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, "LGPD") classifica como sensíveis e protege de forma reforçada.
1. Quem responde pelo quê
Existem duas relações diferentes aqui, e misturá-las é a maior fonte de confusão em software de saúde:
Dados dos seus pacientes
Quem decide coletar, o que anotar, por quanto tempo guardar e para quem mostrar é a clínica ou o profissional que usa o sistema. Perante a LGPD, ele é o controlador. O Rotina Odonto é o operador: guarda, organiza e processa esses dados seguindo as instruções do controlador, e não os utiliza para finalidade própria.
Na prática: se um paciente quiser saber quais dados existem sobre ele, corrigir uma informação ou pedir exclusão, o pedido deve ser feito à clínica que o atende — é ela que responde pelo prontuário. Nós damos à clínica as ferramentas para atender esse pedido (exportação e anonimização) e a apoiamos quando ela precisar.
Dados de quem assina o Rotina Odonto
Já os dados de cadastro da conta, de cobrança e os registros de acesso à plataforma são tratados por nós como controlador, para manter o serviço no ar, faturar e cumprir obrigações legais.
Identificação
O Rotina Odonto é operado por Pablo Luis da Mota Nora (Empresário Individual), nome fantasia Petaflop, CNPJ 28.070.338/0001-39, com sede em Santa Rita do Sapucaí/MG. Contato: contato@rotinaodonto.com.
2. Dados que tratamos
Da conta (nós somos controlador)
- Nome, e-mail e senha (guardada apenas como hash bcrypt — não temos como ler a sua senha);
- Nome da clínica, tipo de estabelecimento, plano contratado e situação da assinatura;
- Dados de faturamento e, quando o consultório usa a emissão fiscal, CPF/CNPJ e dados cadastrais do prestador;
- Da assinatura no cartão: plano, valor, datas de cobrança, a bandeira e os quatro últimos dígitos do cartão. O número completo do cartão não passa pelo sistema — ele é digitado na página do processador de pagamentos;
- Registros de acesso: data, hora, endereço IP e ação executada.
Dos pacientes (a clínica é controladora; nós operamos)
- Identificação e contato: nome, data de nascimento, sexo, CPF, telefone, e-mail, endereço e foto do paciente;
- Saúde: anamnese, evoluções clínicas, odontograma, plano de tratamento, procedimentos executados, tipo sanguíneo, prescrições e registros de harmonização orofacial;
- Imagens: radiografias, fotografias clínicas e documentos digitalizados anexados ao prontuário;
- Documentos: receituários, atestados, termos de consentimento, orçamentos e anamneses emitidos pelo sistema, com data e código de verificação;
- Financeiro: valores, formas de pagamento, parcelas, cobranças e comprovantes;
- Consentimentos: registro versionado de cada autorização dada ou revogada, com a versão exata do texto apresentado, data, autor e endereço IP;
- Agenda: horários, comparecimento e comunicações de lembrete.
Técnicos
Endereço IP, data e hora das requisições e identificador da sessão, usados para segurança, diagnóstico de falhas e para a trilha de auditoria.
Nas páginas públicas do site — início, planos e estas páginas legais — contamos visitas com o GoatCounter, ferramenta de código aberto instalada dentro do próprio site, no mesmo servidor. Ela não grava nada no seu navegador, não armazena endereço IP e não cria identificador que permita reconhecer você depois. A contagem não sai do nosso domínio, nenhuma empresa de analytics ou publicidade recebe dados nossos, e nada dentro do sistema é medido: prontuário, agenda, financeiro e a página de assinatura do paciente ficam fora da contagem. Detalhes na Política de Cookies.
O que não fazemos: não vendemos dados, não os cedemos a corretoras de dados, não fazemos publicidade com base no prontuário, não usamos dados de paciente para treinar modelos de inteligência artificial e não acessamos prontuários por curiosidade — todo acesso da nossa equipe fica registrado (item 10).
3. Dados de saúde
Dado de saúde é dado pessoal sensível (art. 5º, II, da LGPD). Isso muda três coisas na prática, e o sistema foi construído em torno delas:
- Acesso restrito por perfil. A auxiliar/secretária tem acesso limitado à agenda e aos contatos, sem ver prontuário, evolução clínica ou financeiro — a restrição é aplicada no servidor, não apenas escondendo botões na tela.
- Registro de quem leu. Abrir o prontuário de um paciente gera registro na trilha de auditoria, não só editar.
- Consentimento com prova. Cada autorização guarda a versão e o resumo criptográfico (SHA-256) do texto exibido no momento, de modo que anos depois seja possível demonstrar exatamente o que a pessoa leu ao consentir.
4. Bases legais
| Tratamento | Base legal (LGPD) |
|---|---|
| Prontuário e atendimento clínico | Tutela da saúde, em procedimento realizado por profissional de saúde (art. 11, II, "f"), sob responsabilidade do profissional |
| Guarda do prontuário pelo prazo legal | Cumprimento de obrigação legal ou regulatória (art. 11, II, "a") |
| Execução do contrato de uso do sistema | Execução de contrato (art. 7º, V) |
| Cobrança, emissão fiscal e escrituração | Obrigação legal (art. 7º, II) e execução de contrato |
| Registros de acesso à aplicação | Obrigação legal — Marco Civil da Internet, art. 15 (art. 7º, II) |
| Segurança, prevenção a fraude e trilha de auditoria | Legítimo interesse (art. 7º, IX) e obrigação legal |
| Uso de imagem para divulgação, quando houver | Consentimento específico e destacado (art. 7º, I e art. 11, I), revogável a qualquer tempo |
| Lembretes e comunicação com o paciente | Execução de contrato entre paciente e clínica e legítimo interesse; consentimento quando exigido pelo canal |
| Ditado por voz no odontograma (opcional, de cada profissional) | Consentimento específico e em destaque de quem dita, inclusive para a transferência internacional (art. 33, VIII), revogável a qualquer tempo (art. 8º, §5º) — ver a seção 7 |
A escolha da base legal para o tratamento dos dados de paciente cabe ao controlador — a clínica. O quadro acima descreve como o sistema foi desenhado para apoiá-la.
5. Para que usamos
- Prestar o serviço contratado: agenda, prontuário, odontograma, estoque, custos, documentos e financeiro;
- Autenticar o acesso, aplicar as permissões de cada perfil e proteger a conta contra invasão;
- Enviar e-mails operacionais: confirmação de cadastro, redefinição de senha, convites e avisos sobre a assinatura;
- Emitir documentos, cobranças e obrigações fiscais quando a clínica ativa essas funções;
- Manter a trilha de auditoria e cumprir prazos legais de guarda;
- Diagnosticar erros, medir capacidade e melhorar o produto — com dados técnicos e agregados, sem leitura de prontuário.
Para suporte, podemos precisar acessar dados da sua clínica a fim de reproduzir um problema que você relatou. Fazemos isso apenas quando necessário, pelo tempo necessário, e o acesso fica registrado na trilha de auditoria, visível para o dono da clínica.
6. Com quem compartilhamos
Só compartilhamos dados com fornecedores necessários para o serviço funcionar, e apenas o mínimo que cada um precisa. Nenhum deles pode usar os dados para finalidade própria.
| Fornecedor | Para quê | O que recebe | |
|---|---|---|---|
| Hostinger | Hospedagem do servidor e do banco de dados | Toda a base, criptografada em trânsito; servidor localizado no Brasil | Sempre |
| Resend | Envio de e-mails do sistema | Nome e e-mail do destinatário e o conteúdo da mensagem | Sempre |
| ViaCEP | Preenchimento de endereço a partir do CEP | Apenas o CEP consultado, sem identificação do paciente | Sempre |
| Autentique | Assinatura eletrônica de documentos | O documento a assinar e nome/e-mail do signatário | Se ativado |
| Asaas (assinatura do Rotina Odonto) | Cobrança da mensalidade no cartão de quem assina | Nenhum dado de paciente. Os dados de quem assina — nome, CPF/CNPJ, contato, endereço e cartão — são digitados diretamente na página do Asaas; de volta recebemos só a confirmação, a bandeira e os quatro últimos dígitos do cartão | Ao assinar |
| Asaas (cobranças da clínica) | Emissão e baixa de cobranças | Nome, CPF, telefone, e-mail e valor da cobrança | Se ativado |
| Meta (WhatsApp Business) | Lembrete automático de consulta | Telefone do paciente e os campos do modelo de mensagem | Se ativado |
| Serviço de voz do navegador (como Apple ou Google) | Transformar em texto a fala ditada no odontograma | Só o áudio da frase ditada — sem a ficha e sem o nome do paciente, que o sistema não envia. No Google Chrome do computador com o reconhecimento instalado, o áudio não sai do aparelho | Se ligado |
O serviço de voz do navegador não é um fornecedor contratado por nós: é o reconhecimento de fala do próprio navegador ou aparelho de quem dita, que funciona sob as regras de privacidade do fabricante. Por isso ele fica desligado até que o próprio profissional que dita o ligue, com o consentimento descrito na seção 7.
As integrações marcadas como Se ativado só entram em operação quando a clínica as habilita. Nas cobranças da clínica pelo Asaas e no WhatsApp, a conta é contratada pela própria clínica em nome dela, que passa a ter uma relação direta com esse fornecedor e deve observar também as políticas dele.
Além disso, podemos compartilhar dados para cumprir ordem judicial ou requisição de autoridade competente. Quando a lei permitir, avisaremos a clínica afetada antes de atender.
Se um dia o serviço for transferido a outra empresa — venda, fusão ou incorporação —, os dados acompanham a operação, e você será avisado com antecedência e poderá encerrar a conta e levar seus dados antes que a mudança produza efeitos.
7. Transferência internacional
O banco de dados e os arquivos do prontuário — incluindo radiografias e fotografias — ficam armazenados em servidor localizado no Brasil.
Dois fornecedores acessórios processam dados fora do país: o Resend, no envio de e-mails, e a Meta, quando a clínica ativa o lembrete por WhatsApp. Nesses casos a transferência é feita nos termos do art. 33 da LGPD, limitada aos dados necessários àquele envio (nome, e-mail ou telefone e o conteúdo da mensagem), e amparada nas cláusulas contratuais firmadas com cada fornecedor.
Cópia de segurança fora do servidor. Guardar o backup na mesma máquina que o banco não protege contra a perda dessa máquina. Por isso uma cópia diária é enviada para armazenamento externo (Google Drive) — e ela sai cifrada com AES-256 antes de deixar o servidor. A chave de criptografia permanece no servidor, no Brasil, e nunca é enviada junto: o provedor de armazenamento guarda um arquivo que ele não tem como abrir. Do ponto de vista de quem recebe, é um bloco de bytes sem significado.
Ditado por voz no odontograma (opcional)
Cada profissional pode ligar, em Configurações → Minha conta, o ditado por voz: o odontograma passa a ouvir frases como "dente 36, cárie oclusal" e mostra o que vai marcar, para conferir antes de gravar. Vem desligado e só liga com o consentimento de quem vai ditar — um de cada vez, na própria conta. Disponível a partir de 4 de outubro de 2026, 15 dias depois desta versão, como prevê a seção 16.
Quem transforma a fala em texto é o reconhecimento de voz do próprio navegador. No Google Chrome do computador, com o reconhecimento instalado, o áudio é processado no aparelho e não sai dele. No iPad, no iPhone e em outros navegadores, o navegador pode enviar o áudio da frase aos servidores do fabricante (como Apple ou Google), inclusive fora do Brasil, sob as regras de privacidade desse fabricante. Essa transferência se apoia no consentimento específico e em destaque de quem dita (LGPD, art. 33, VIII), dado com essa informação à vista, registrado com data e versão desta política, e revogável a qualquer momento no mesmo lugar (art. 8º, §5º).
O Rotina Odonto não recebe nem guarda o áudio — só o texto, e só o que a profissional confirma vira registro. A ficha aberta e o nome do paciente não seguem com o áudio; por isso a orientação, repetida na tela de ligar, é não ditar nome nem dado que identifique o paciente. O ditado pelo microfone do teclado do aparelho (sem ligar nada no sistema) é um recurso do próprio aparelho, fora do nosso tratamento.
Com o ditado por voz desligado — que é o padrão —, nenhum prontuário legível é transferido para fora do Brasil.
8. Por quanto tempo guardamos
Guardar tudo para sempre não é conformidade — é o oposto: a LGPD determina eliminar o dado quando a finalidade se esgota (art. 15 e 16). Por outro lado, prontuário tem prazo legal de guarda. Por isso os prazos são separados:
| Dado | Prazo | Por quê |
|---|---|---|
| Prontuário do paciente | No mínimo 20 anos após o último registro | Lei nº 13.787/2018, que rege a guarda de prontuário em meio eletrônico. A decisão de manter ou eliminar após esse prazo é da clínica |
| Registros de acesso à aplicação | 180 dias | Mínimo exigido pelo Marco Civil da Internet (art. 15) |
| Eventos de segurança (login, troca de senha, integrações) | 2 anos | Investigação de incidentes e prevenção a fraude |
| Eventos de operação (quem criou, alterou ou apagou dado clínico) | 5 anos | Prestação de contas e defesa em processo |
| Dados de cobrança e fiscais | 5 anos | Prazos tributários e prescricionais |
| Cópias de segurança (no servidor) | 14 dias, em rodízio | Recuperação de desastre. Dado excluído da base sai dos backups ao fim do ciclo |
| Cópias de segurança (externa, cifrada) | 15 dias, em rodízio | Recuperação caso o servidor inteiro se perca |
| Dados da clínica que perdeu o acesso (cancelamento, falta de pagamento ou teste sem assinatura) | 6 meses | Tempo para exportar ou voltar; depois, eliminação — ver abaixo |
O expurgo dos registros vencidos é automático: uma rotina diária apaga o que passou do prazo de cada categoria e registra na própria trilha que apagou, para que a lacuna fique explicada.
Quando a clínica perde o acesso — cancelamento, falta de pagamento ou fim do teste sem assinatura —, os dados ficam guardados por 6 meses, como dizem os Termos de Uso (item 14): até o 90º dia a conta fica em somente leitura, com a exportação disponível; aos 90 dias enviamos um aviso final com a data exata da eliminação; a partir de 180 dias os dados são eliminados em definitivo, ressalvado o que a lei obriga a manter (registros fiscais e a trilha de auditoria), e a eliminação é registrada. A exportação nunca é bloqueada por falta de pagamento. Como a obrigação de guardar o prontuário por 20 anos é do profissional, é essencial exportar antes do fim do prazo.
9. Segurança
Medidas efetivamente aplicadas hoje:
- Tráfego criptografado (HTTPS/TLS) em toda a aplicação, com certificado renovado automaticamente;
- Senhas guardadas como hash bcrypt com fator de custo 12 — nem nós conseguimos lê-las;
- Sessão com expiração curta e bloqueio temporário da conta após tentativas seguidas de login errado;
- Limite de requisições por origem, contra automação e força bruta;
- Isolamento entre clínicas: toda consulta ao banco é filtrada pela clínica da sessão — uma clínica não alcança dado de outra;
- Permissão verificada no servidor a cada requisição, por perfil (dono, dentista, auxiliar);
- Confirmação de e-mail no cadastro e link de redefinição de senha de uso único e validade curta;
- Cópias de segurança diárias do banco e dos arquivos, com uma cópia mantida fora do servidor e cifrada (a chave não acompanha o arquivo);
- Credenciais de integração guardadas cifradas (AES-256-GCM): a chave de cobrança e os tokens de mensagem não ficam legíveis nem para quem tiver o banco em mãos;
- Registro de acesso do servidor web guardado por 6 meses, sem cabeçalhos de autenticação;
- Trilha de auditoria à prova de adulteração (item 10);
- Cabeçalhos de segurança e política de conteúdo que restringem o que o navegador pode carregar.
Nenhum sistema é imune. Se identificar uma vulnerabilidade, escreva para contato@rotinaodonto.com — analisamos e respondemos, e agradecemos a comunicação responsável.
10. Trilha de auditoria
O sistema registra quem fez o quê, quando e de qual endereço IP — inclusive a simples leitura de dados de paciente. Cada registro carrega o resumo criptográfico do registro anterior, formando uma corrente encadeada: alterar ou remover um evento quebra a corrente e a verificação diária acusa. O banco também recusa alteração e exclusão de registros da trilha; a única remoção permitida é o expurgo por prazo, que se identifica como tal.
A trilha é visível para o dono da clínica, que é quem responde por ela como controlador. Dentistas e auxiliares não têm acesso a ela.
11. Direitos do titular
A LGPD (art. 18) garante a você: confirmação de que existe tratamento; acesso aos dados; correção de dados incompletos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; portabilidade; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir; revogação do consentimento; e revisão de decisões automatizadas.
Se você é paciente de uma clínica
Procure a clínica que o atende — ela é a controladora do seu prontuário. Se não conseguir contato ou não obtiver resposta, escreva para contato@rotinaodonto.com: encaminharemos o pedido ao controlador e, dentro do nosso papel de operador, ajudaremos no que for possível.
Se você é cliente do Rotina Odonto
Fale conosco pelo mesmo endereço. Respondemos em até 30 dias, prazo previsto na Resolução CD/ANPD nº 2/2022 para agentes de tratamento de pequeno porte. Podemos pedir informações que confirmem a sua identidade antes de atender — é uma proteção contra pedidos feitos por terceiros.
Ferramentas já disponíveis no sistema
- Exportação completa dos dados do paciente em formato legível por máquina — cadastro, agenda, odontograma, anamneses, documentos, evolução clínica, consentimentos, financeiro e a ficha técnica das imagens —, para atender pedido de acesso ou de portabilidade;
- Eliminação do paciente, que remove o prontuário e anonimiza o que precisa sobreviver por outra obrigação legal: o histórico de mensagens perde o conteúdo e o telefone, ficando só o registro de que houve envio;
- Anonimização do cadastro, para o direito de eliminação nos casos em que o prontuário ainda precisa ser guardado por prazo legal;
- Revogação de consentimento com data, sem apagar o histórico de que ele existiu.
Há limites legítimos: não podemos eliminar dado que a lei obriga a guardar, nem atender pedido que comprometa direito de terceiro. Quando recusarmos algo, diremos o motivo. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
12. Incidentes de segurança
Se ocorrer incidente com risco relevante aos titulares, comunicaremos as clínicas afetadas e a ANPD nos prazos da regulamentação, informando o que aconteceu, quais dados foram atingidos, o que já foi feito e o que recomendamos. Como operador, apoiamos a clínica na comunicação aos pacientes — que, como controladora, é dela.
13. Crianças e adolescentes
O atendimento odontológico de menores é comum, e o sistema é usado para isso. O tratamento desses dados se dá no melhor interesse da criança ou do adolescente (art. 14 da LGPD), sob responsabilidade da clínica, cabendo a ela obter as autorizações dos pais ou responsável legal quando exigidas. A conta de acesso ao sistema, por sua vez, é destinada a profissionais e exige maioridade.
15. Encarregado e contato
Canal de atendimento ao titular, para qualquer assunto de proteção de dados: contato@rotinaodonto.com.
Encarregado pelo tratamento de dados pessoais: Pablo Luis da Mota Nora, atendendo pelo mesmo endereço. A Resolução CD/ANPD nº 2/2022 dispensa agentes de tratamento de pequeno porte de indicar encarregado, desde que mantenham canal de comunicação com o titular; mantemos os dois — o canal e a indicação.
16. Mudanças nesta política
A plataforma evolui continuamente, e esta política acompanha. Toda versão traz número e data de vigência. Mudanças relevantes — nova finalidade, novo fornecedor com acesso a dados de paciente ou alteração de prazo de guarda — serão avisadas por e-mail e dentro do sistema com pelo menos 15 dias de antecedência. As versões anteriores ficam disponíveis mediante pedido pelo canal acima.
O que mudou na versão 1.3 (19/09/2026)
- Ditado por voz no odontograma, opcional (seções 4, 6 e 7). Vem desligado; cada profissional liga para si, com consentimento específico, e pode desligar quando quiser. Ligado, o áudio da frase pode ser processado pelo serviço de voz do navegador, inclusive fora do Brasil — exceto no Google Chrome do computador com o reconhecimento instalado, em que fica no aparelho. Disponível a partir de 4 de outubro de 2026, 15 dias depois desta publicação.
- Prazo de guarda depois que a clínica perde o acesso (seção 8). Esta política dizia 30 dias; os Termos de Uso (item 14) e o sistema dão 6 meses, com aviso final aos 90 dias. O texto passou a dizer o que já vale — o prazo ficou maior, não menor.
- Cópias de segurança externas (seção 8): guardadas por 15 dias, e não 90, desde 15/09/2026 — menos tempo guardando cópia é menos exposição.
O que mudou na versão 1.2 (14/09/2026)
- A assinatura do Rotina Odonto passou a ser cobrada no cartão de crédito, por meio do Asaas (seções 2 e 6). O cartão é digitado na página do Asaas e não passa pelo sistema: guardamos apenas a bandeira e os quatro últimos dígitos, para você reconhecer qual cartão está cadastrado. Nenhum dado de paciente vai para essa cobrança.
O que mudou na versão 1.1 (10/08/2026)
- Passou a existir uma cópia de segurança fora do servidor, cifrada antes de sair e com a chave mantida no Brasil (seções 7 e 8) — antes as cópias ficavam só na mesma máquina do banco;
- As credenciais de integração (cobrança, mensagens, assinatura) passaram a ser guardadas cifradas (seção 9);
- O registro de acesso do servidor web passou a ser guardado por 6 meses, sem cabeçalhos de autenticação (seção 9);
- A exportação de dados do paciente passou a incluir o prontuário inteiro, e a eliminação passou a anonimizar o histórico de mensagens que sobrevive por outra obrigação legal (seção 11).
Nenhuma dessas mudanças amplia o uso dos dados: todas aumentam a proteção ou o alcance de um direito seu.