Última atualização: 19 de março de 2026 · Versão 1.0 · Em conformidade com a LGPD (Lei n.º 13.709/2018)
O controlador dos dados pessoais dos Usuários (Profissionais) é a empresa responsável pela Plataforma Organifly, com sede no Brasil.
Com relação aos dados dos Pacientes inseridos na Plataforma pelos Profissionais, o Profissional é o controlador e a Organifly atua como operadora de dados, conforme o art. 5.º, VII da LGPD.
| Categoria | Exemplos |
|---|---|
| Identificação | Nome completo, CPF/CNPJ, número de registro profissional |
| Contato | E-mail, telefone |
| Endereço | CEP, logradouro, cidade |
| Acesso | E-mail, senha (hash), token de sessão |
| Pagamento | Últimos 4 dígitos e bandeira do cartão (token via provedor); dados de cobrança |
| Uso da Plataforma | Logs de acesso, endereço IP, navegador, sistema operacional |
| Preferências | Configurações de agenda, duração de sessão, integração Google |
| Categoria | Exemplos |
|---|---|
| Identificação | Nome, CPF, e-mail, telefone |
| Saúde (sensíveis) | Condição de saúde, prontuários, anotações de sessão, metas terapêuticas, notas de evolução |
| Financeiro | Valores de sessão, método de pagamento, datas de cobrança |
| Agendamentos | Datas, horários e modalidade (presencial/online) das consultas |
| Materiais | Arquivos e documentos compartilhados pelo Profissional |
| Finalidade | Base Legal (LGPD) |
|---|---|
| Criação e gerenciamento de conta | Execução de contrato (art. 7.º, V) |
| Prestação dos serviços da Plataforma | Execução de contrato (art. 7.º, V) |
| Processamento de pagamentos | Execução de contrato (art. 7.º, V) |
| Envio de e-mails transacionais (confirmações, alertas) | Execução de contrato / Legítimo interesse (art. 7.º, V e IX) |
| Comunicações de produto e novidades | Consentimento (art. 7.º, I) — opcional e revogável |
| Segurança, prevenção a fraudes e auditoria | Legítimo interesse / Cumprimento de obrigação legal (art. 7.º, II e IX) |
| Melhoria e desenvolvimento da Plataforma | Legítimo interesse (art. 7.º, IX) — dados anonimizados |
| Cumprimento de obrigações legais e regulatórias | Cumprimento de obrigação legal (art. 7.º, II) |
Prontuários, diagnósticos, anotações clínicas e demais informações de saúde dos Pacientes são classificados como dados sensíveis pelo art. 11 da LGPD e recebem proteção reforçada.
A Organifly trata esses dados exclusivamente na qualidade de operadora, sob instrução do Profissional (controlador), para viabilizar a prestação dos serviços contratados. Não utilizamos dados de saúde dos pacientes para qualquer outra finalidade, incluindo publicidade, analytics externos ou treinamento de modelos de inteligência artificial.
Esses dados são protegidos por criptografia AES-256-GCM com chave individual por paciente (detalhada na Seção 7), de modo que nem a equipe da Organifly tem acesso técnico ao conteúdo armazenado — somente o Profissional responsável e o próprio Paciente podem decifrar as informações.
A Organifly não vende dados pessoais. Podemos compartilhar dados nas seguintes situações:
| Tipo de dado | Prazo de retenção |
|---|---|
| Dados da conta ativa | Enquanto a assinatura estiver ativa |
| Dados após cancelamento | 90 dias (para exportação), depois excluídos |
| Logs de acesso e segurança | 6 meses, conforme Marco Civil da Internet (Lei n.º 12.965/2014) |
| Dados fiscais e de pagamento | 5 anos, conforme legislação tributária |
| Backups cifrados | Até 30 dias após a exclusão da conta |
Após os prazos acima, os dados são excluídos de forma segura ou anonimizados de maneira irreversível.
Adotamos um modelo de criptografia por camadas (Envelope Encryption) para proteger os dados clínicos dos Pacientes. Essa arquitetura garante que nenhum colaborador, desenvolvedor ou administrador de sistema da Organifly tenha acesso ao conteúdo dos prontuários, anotações ou diagnósticos — mesmo com acesso direto ao banco de dados.
Cada Paciente possui uma Chave de Criptografia de Dados (DEK) única, gerada aleatoriamente no momento do seu cadastro. Essa chave cifra todos os dados clínicos daquele paciente utilizando o algoritmo AES-256-GCM, padrão de mercado utilizado por serviços como iCloud, Signal e Google Workspace.
A DEK é armazenada no banco de dados em duas versões cifradas:
Somente o Profissional responsável e o próprio Paciente conseguem decifrar a DEK e, consequentemente, acessar os dados clínicos. A Organifly, seus desenvolvedores e equipe de suporte não têm acesso a essas chaves durante as sessões de uso, não sendo tecnicamente possível ler o conteúdo sem a autenticação do titular.
Os seguintes dados são criptografados individualmente antes de serem armazenados:
Nenhum sistema é 100% seguro. Em caso de incidente que afete dados pessoais, notificaremos os titulares e a ANPD nos prazos legais.
Utilizamos cookies estritamente necessários para o funcionamento da Plataforma (autenticação, segurança e preferências de sessão). Esses cookies não podem ser desabilitados sem comprometer o serviço.
Podemos utilizar ferramentas de análise (como Google Analytics) para entender o uso da Plataforma. Os dados são anonimizados e utilizados apenas para melhorias. Você pode desabilitar esses cookies nas configurações do seu navegador.
Não utilizamos cookies de rastreamento para publicidade comportamental ou retargeting.
Alguns de nossos provedores de infraestrutura (como servidores em nuvem e serviços de e-mail) podem processar dados em servidores localizados fora do Brasil. Quando isso ocorre, garantimos que a transferência ocorra com salvaguardas adequadas, como cláusulas contratuais padrão ou a adoção de países com nível de proteção equivalente ao brasileiro, conforme exigido pelo art. 33 da LGPD.
Nos termos dos arts. 17 a 22 da LGPD, você tem os seguintes direitos em relação aos seus dados pessoais:
Confirmar se tratamos seus dados e solicitar uma cópia deles.
Corrigir dados incompletos, inexatos ou desatualizados.
Solicitar a anonimização ou eliminação de dados desnecessários ou excessivos.
Receber seus dados em formato estruturado para transferência a outro fornecedor.
Retirar o consentimento a qualquer momento, sem prejuízo ao tratamento anterior.
Opor-se a tratamentos realizados com base em legítimo interesse.
Saber com quais entidades compartilhamos seus dados.
Registrar reclamação perante a Autoridade Nacional de Proteção de Dados.
Para exercer qualquer direito, envie sua solicitação para dpo@organifly.com.br. Responderemos em até 15 dias úteis, podendo ser prorrogado em casos complexos com justificativa.
A Plataforma não é direcionada a menores de 18 anos como Usuários (Profissionais). Se um Profissional atende pacientes menores de idade, é de sua responsabilidade obter o consentimento dos pais ou responsáveis legais antes de inserir dados desses pacientes na Plataforma, em conformidade com o art. 14 da LGPD.
Esta Política pode ser atualizada periodicamente. Quando houver mudanças materiais, notificaremos os Usuários por e-mail ou por aviso destacado na Plataforma com antecedência mínima de 15 dias. A data da última atualização está sempre indicada no topo desta página.
Para dúvidas, exercício de direitos ou qualquer questão relacionada à proteção de dados, entre em contato com nosso Encarregado de Dados:
Se não estiver satisfeito com nossa resposta, você pode registrar uma reclamação junto à Autoridade Nacional de Proteção de Dados (ANPD) em www.gov.br/anpd.