1. Identificação do Controlador

2. Encarregado de Proteção de Dados (DPO)

Em atendimento ao art. 41 da LGPD, o encarregado pelo tratamento de dados pessoais da Vyndra é:

O DPO é o canal oficial para solicitações de titulares, dúvidas sobre tratamento de dados e comunicações com a ANPD.

3. Dados Pessoais Coletados

A Vyndra coleta as seguintes categorias de dados pessoais:

• ▸Dados de identificação: nome completo, CPF (quando exigido pelo módulo), cargo e função.
• ▸Dados de contato: e-mail institucional e telefone.
• ▸Dados de acesso: endereço IP, tipo de dispositivo, navegador, logs de sessão e horários de acesso.
• ▸Dados de uso do sistema: ações realizadas, histórico de operações e eventos registrados na plataforma.
• ▸Dados financeiros: informações de faturamento e assinatura (não armazenamos dados completos de cartão de crédito).
• ▸Dados clínicos sensíveis: quando o Contratante utiliza os módulos de prontuário, prescrição ou IA clínica, dados de saúde de beneficiários são tratados como dados sensíveis nos termos do art. 11 da LGPD — sob responsabilidade e configuração exclusiva do Contratante.

4. Finalidades e Bases Legais do Tratamento

5. Compartilhamento de Dados

A Vyndra não vende dados pessoais. O compartilhamento ocorre apenas com fornecedores de infraestrutura estritamente necessários à operação da plataforma:

• ▸Supabase: banco de dados PostgreSQL, autenticação e armazenamento.
• ▸Cloudflare: CDN, segurança de rede, Workers e Pages.
• ▸Anthropic: processamento de IA clínica — dados pseudonimizados antes da transmissão.
• ▸Resend: entrega de e-mails transacionais.
• ▸Daily.co: infraestrutura de vídeo para teleconsulta.

Todos operam sob contratos de processamento de dados (DPA). Poderão ocorrer compartilhamentos adicionais quando exigidos por ordem judicial ou requisição legal devidamente fundamentada.

6. Transferência Internacional de Dados

Os fornecedores listados na seção 5 processam dados em servidores nos Estados Unidos. Garantimos que essas transferências ocorrem mediante cláusulas contratuais padrão, em conformidade com o art. 33 da LGPD, assegurando nível de proteção equivalente ao exigido pela legislação brasileira.

7. Retenção e Exclusão de Dados

• ▸Dados de conta ativa: mantidos durante toda a vigência do contrato.
• ▸Após encerramento do contrato: excluídos ou anonimizados em até 90 dias, salvo prontuários clínicos.
• ▸Logs de acesso: retidos por 6 meses, conforme art. 15 do Marco Civil da Internet.
• ▸Dados clínicos (prontuário): prazo mínimo de 20 anos conforme Resolução CFM nº 1.821/2007 — sob responsabilidade do Contratante (controlador).
• ▸Dados para defesa em processos: retidos pelo prazo prescricional aplicável.

8. Direitos dos Titulares (LGPD — Art. 18)

Você tem os seguintes direitos em relação aos seus dados pessoais:

• ✓Confirmação da existência de tratamento
• ✓Acesso aos dados pessoais tratados
• ✓Correção de dados incompletos, inexatos ou desatualizados
• ✓Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos
• ✓Portabilidade dos dados a outro fornecedor de serviço
• ✓Eliminação dos dados tratados com base no consentimento
• ✓Informação sobre as entidades com as quais compartilhamos seus dados
• ✓Revogação do consentimento, quando aplicável
• ✓Revisão de decisões tomadas com base em tratamento automatizado

9. Segurança dos Dados

• ▸Criptografia em trânsito (TLS 1.3) e em repouso (AES-256)
• ▸Row Level Security (RLS) em todas as tabelas — isolamento completo entre organizações (multi-tenant)
• ▸Audit log imutável para todas as operações clínicas e administrativas
• ▸Controle de acesso baseado em perfil (RBAC) com permissões granulares
• ▸Monitoramento contínuo e detecção de anomalias com IA

10. Cookies e Tecnologias de Rastreamento

Utilizamos apenas cookies estritamente necessários para o funcionamento da plataforma (autenticação de sessão via Supabase Auth). Não utilizamos cookies de rastreamento publicitário nem ferramentas de analytics de terceiros que compartilhem dados sem seu consentimento explícito.

11. Comunicação de Incidentes

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados no prazo estabelecido pela regulamentação vigente, com as informações exigidas pelo art. 48 da LGPD.

12. Alterações nesta Política

Esta política pode ser atualizada periodicamente. Alterações relevantes serão comunicadas por e-mail e aviso na plataforma com antecedência mínima de 30 dias. Alterações decorrentes de obrigação legal têm vigência imediata, com comunicação simultânea.

13. Contato e Canal de Atendimento

Para dúvidas, solicitações ou reclamações relacionadas a privacidade e proteção de dados:

1. Data Controller

2. Data Protection Officer (DPO)

In compliance with Article 41 of the LGPD, Vyndra has designated a Data Protection Officer:

The DPO is the official channel for data subject requests, privacy inquiries and communications with Brazil's National Data Protection Authority (ANPD).

3. Personal Data Collected

• ▸Identification data: full name, tax ID (when required by module), job title and role.
• ▸Contact data: institutional email and phone number.
• ▸Access data: IP address, device type, browser, session logs and access timestamps.
• ▸System usage data: actions performed, operation history and platform events.
• ▸Financial data: billing and subscription information (full payment card data is not stored).
• ▸Sensitive clinical data: when the Customer enables health record, prescription or AI modules, patient health data is processed as sensitive personal data under Article 11 of the LGPD — under the exclusive responsibility of the Customer (data controller).

4. Purposes and Legal Bases

5. Data Sharing

Vyndra does not sell personal data. Sharing occurs only with infrastructure providers strictly necessary for platform operation:

• ▸Supabase: PostgreSQL database, authentication and file storage.
• ▸Cloudflare: CDN, network security, Workers and Pages.
• ▸Anthropic: clinical AI processing — data is pseudonymized before transmission.
• ▸Resend: transactional email delivery.
• ▸Daily.co: video infrastructure for teleconsultation.

All providers operate under Data Processing Agreements (DPAs). Additional sharing may occur when required by a court order or duly substantiated legal requisition.

6. International Data Transfers

The providers listed in Section 5 process data on servers in the United States. We ensure these transfers occur under standard contractual clauses, in compliance with Article 33 of the LGPD, guaranteeing a level of protection equivalent to that required by Brazilian law.

7. Data Retention and Deletion

• ▸Active account data: retained for the full duration of the contract.
• ▸After contract termination: deleted or anonymized within 90 days, except clinical records.
• ▸Access logs: retained for 6 months per Article 15 of Brazil's Marco Civil da Internet.
• ▸Clinical data (EHR): minimum 20-year retention per CFM Resolution 1.821/2007 — under the Customer's responsibility.
• ▸Data for legal defense: retained for the applicable limitation period.

8. Data Subject Rights (LGPD Art. 18)

You have the following rights regarding your personal data:

• ✓Confirmation of the existence of processing
• ✓Access to processed personal data
• ✓Correction of incomplete, inaccurate or outdated data
• ✓Anonymization, blocking or deletion of unnecessary or excessive data
• ✓Data portability to another service provider
• ✓Deletion of data processed based on consent
• ✓Information about third parties with whom data is shared
• ✓Withdrawal of consent, where applicable
• ✓Review of decisions based on automated processing

9. Data Security

• ▸Encryption in transit (TLS 1.3) and at rest (AES-256)
• ▸Row Level Security (RLS) on all tables — complete multi-tenant isolation
• ▸Immutable audit log for all clinical and administrative operations
• ▸Role-Based Access Control (RBAC) with granular permissions
• ▸Continuous monitoring and AI-powered anomaly detection

10. Cookies and Tracking Technologies

We use only strictly necessary cookies for platform functionality (session authentication via Supabase Auth). We do not use advertising tracking cookies or third-party analytics tools that share data without your explicit consent.

11. Incident Notification

In the event of a security incident that may cause relevant risk or harm to data subjects, we will notify the ANPD and affected users within the timeframe established by applicable regulation, with the information required by Article 48 of the LGPD.

12. Policy Updates

This policy may be updated periodically. Material changes will be communicated by email and in-platform notice with at least 30 days' advance notice. Changes required by law take effect immediately, with simultaneous notification.

13. Contact

1. Identificación del Responsable

2. Oficial de Protección de Datos (DPO)

En cumplimiento del art. 41 de la LGPD, el oficial de protección de datos de Vyndra es:

El DPO es el canal oficial para solicitudes de titulares y comunicaciones con la ANPD (Autoridad Nacional de Protección de Datos de Brasil).

3. Datos Personales Recopilados

• ▸Datos de identificación: nombre completo, número de identificación fiscal (cuando corresponda), cargo y función.
• ▸Datos de contacto: correo electrónico institucional y teléfono.
• ▸Datos de acceso: dirección IP, tipo de dispositivo, navegador, registros de sesión y horarios de acceso.
• ▸Datos de uso del sistema: acciones realizadas, historial de operaciones y eventos registrados.
• ▸Datos financieros: información de facturación y suscripción (no almacenamos datos completos de tarjetas de crédito).
• ▸Datos clínicos sensibles: cuando el Cliente utiliza los módulos de historia clínica, prescripción o IA clínica, los datos de salud de los pacientes se tratan como datos sensibles (art. 11 LGPD) — bajo responsabilidad exclusiva del Cliente.

4. Finalidades y Bases Legales del Tratamiento

5. Transferencia de Datos a Terceros

Vyndra no vende datos personales. La transferencia ocurre únicamente con proveedores de infraestructura estrictamente necesarios:

• ▸Supabase: base de datos PostgreSQL, autenticación y almacenamiento.
• ▸Cloudflare: CDN, seguridad de red, Workers y Pages.
• ▸Anthropic: procesamiento de IA clínica — datos pseudonimizados antes de la transmisión.
• ▸Resend: envío de correos transaccionales.
• ▸Daily.co: infraestructura de video para teleconsulta.

Todos operan bajo Acuerdos de Procesamiento de Datos (DPA).

6. Transferencia Internacional de Datos

Los proveedores mencionados procesan datos en servidores en los Estados Unidos. Garantizamos estas transferencias mediante cláusulas contractuales estándar, en conformidad con el art. 33 de la LGPD.

7. Retención y Eliminación de Datos

• ▸Datos de cuenta activa: mantenidos durante la vigencia del contrato.
• ▸Tras la finalización del contrato: eliminados o anonimizados en hasta 90 días, excepto registros clínicos.
• ▸Registros de acceso: retenidos por 6 meses (Marco Civil da Internet de Brasil).
• ▸Datos clínicos: mínimo 20 años — bajo responsabilidad del Cliente (controlador).
• ▸Datos para defensa legal: por el plazo de prescripción aplicable.

8. Derechos de los Titulares (LGPD — Art. 18)

• ✓Confirmación de la existencia del tratamiento
• ✓Acceso a los datos personales tratados
• ✓Corrección de datos incompletos, inexactos o desactualizados
• ✓Anonimización, bloqueo o eliminación de datos innecesarios
• ✓Portabilidad de datos a otro proveedor
• ✓Eliminación de datos tratados con base en el consentimiento
• ✓Información sobre terceros con quienes se comparten los datos
• ✓Revocación del consentimiento, cuando aplique
• ✓Revisión de decisiones basadas en tratamiento automatizado

9. Seguridad de los Datos

• ▸Cifrado en tránsito (TLS 1.3) y en reposo (AES-256)
• ▸Row Level Security (RLS) — aislamiento completo entre organizaciones
• ▸Registro de auditoría inmutable para todas las operaciones
• ▸Control de acceso basado en roles (RBAC) con permisos granulares
• ▸Monitoreo continuo y detección de anomalías con IA

10. Cookies y Tecnologías de Seguimiento

Utilizamos únicamente cookies estrictamente necesarias para la autenticación de sesión. No utilizamos cookies de rastreo publicitario ni herramientas de analytics que compartan datos sin su consentimiento.

11. Notificación de Incidentes

Ante un incidente de seguridad con riesgo para los titulares, notificaremos a la ANPD y a los usuarios afectados en el plazo establecido por la normativa vigente (art. 48, LGPD).

12. Cambios en esta Política

Los cambios relevantes se comunicarán por correo electrónico y aviso en la plataforma con al menos 30 días de anticipación. Los cambios requeridos por ley entran en vigencia de inmediato.

13. Contacto