Política de Privacidade – Operô

1. Quem somos

O Operô é operado pela Fuzion Desenvolvimento e Tecnologia LTDA, CNPJ nº 69.832.143/0001-66, com sede na Rua Vergueiro, 2087, Sala 703, Edifício Fortune Office Center, Vila Mariana, São Paulo - SP, CEP 04101-000.

Encarregado pelo tratamento de dados pessoais (DPO): Eloy Xavier Guimarães Pereira, e-mail suporte@meuopero.com.br.

2. Nossos papéis

O Operô atende três perfis de conta: médicos/cirurgiões, que cadastram e gerenciam pacientes e cirurgias; instrumentadores cirúrgicos, que podem registrar cirurgias próprias ou colaborar em cirurgias de outro profissional mediante convite; e secretárias, que, mediante convite de um médico/cirurgião, cadastram e atualizam cirurgias em nome dele e consultam a agenda dele.

• Dados da conta do profissional: o Operô é o controlador. • Dados de pacientes: o profissional que os insere é o controlador e decide quais dados registrar e para quê. O Operô é o operador e trata esses dados apenas conforme as instruções do profissional, nos termos do Anexo de Tratamento de Dados. Quando uma secretária insere os dados, o controlador é o médico/cirurgião que a convidou, e ela atua sob a instrução dele.

3. Dados que tratamos

• Conta: nome, e-mail, perfil, plano contratado e preferências. Para médicos/cirurgiões, também CRM ou CRO e UF. Para instrumentadores, também CPF, usado apenas para identificação e para evitar cadastros duplicados, protegido por regras de acesso restritas à própria conta e pela criptografia em repouso da infraestrutura. Para secretárias, apenas nome, e-mail e telefone (opcional); não coletamos CPF nem CRM. • Pagamento (após o fim da fase Beta): histórico de assinatura e cobrança e os dados necessários para emitir a cobrança e a nota fiscal (nome, CPF ou CNPJ e e-mail do pagante), que são informados ao Asaas. Os dados do cartão são tratados diretamente pelo Asaas ou pela loja de aplicativos. O Operô não armazena o número do cartão. • Dados de pacientes inseridos pelo profissional: nome, nome da mãe, data de nascimento, CPF, telefone, e-mail, convênio, número da carteirinha, diagnóstico/CID, procedimento, lateralidade, hospital, sistema e número da solicitação ou reserva, sala, datas e horários, tempos cirúrgico e anestésico, equipe, materiais, OPME e fornecedores, resultado anatomopatológico, intercorrências e complicações, avaliação pré-operatória, guias (TISS/AIH), documentos e imagens anexados, informações financeiras, de honorários e de glosa e, se o profissional quiser, dados de saúde opcionais (peso, altura, comorbidades, alergias e medicamentos em uso). Para pacientes internados, também leito, dieta, drenos, antibiótico, conduta e evoluções em texto livre. Parte desses dados são dados pessoais sensíveis (dados de saúde). • Dados profissionais e de preferência: especialidade, RQE, nome fantasia e logotipo, foto de perfil, favoritos, filtros e frases salvas, kits de materiais, horários de consultório e ambulatório e plantões que o médico cadastra para ver no calendário (privados, sem acesso da secretária) e a escolha de exibir feriados nacionais. • Convites entre profissionais: ao convidar alguém para uma cirurgia, o profissional compartilha, por padrão, apenas as iniciais do paciente e os dados essenciais do procedimento, podendo ampliar ou reduzir essas informações. • Orçamentos (plano Pro): nome do paciente e, se o profissional quiser, telefone, procedimento, hospital, data prevista, itens, valores, condições de pagamento e observações. Quando o paciente assina o orçamento na tela, o PDF gerado (com a imagem da assinatura, a data e a hora e um código de verificação) é guardado no armazenamento da conta do profissional, e o orçamento fica marcado como aprovado. É uma assinatura eletrônica simples, sem certificado digital. Orçamentos podem ser feitos para pessoas que ainda não são pacientes cadastrados; o profissional é o controlador desses dados. • Termos de consentimento assinados na tela: quando o profissional colhe a assinatura do paciente no aparelho, o termo é gerado em PDF com o texto, o nome do paciente, a imagem da assinatura, a data e a hora e um código de verificação, e fica anexado à cirurgia. A imagem da assinatura não é guardada separadamente. É uma assinatura eletrônica simples, sem certificado digital. • Compartilhamento iniciado pelo profissional: o profissional pode enviar à sua secretária vinculada, dentro do Operô, dados do paciente à sua escolha (nome, telefone, e-mail, convênio e carteirinha, data, hospital, procedimento, sistema e número do pedido ou da reserva), que ficam disponíveis a ela enquanto o vínculo estiver ativo e sob o Termo de Sigilo. Também pode gerar um texto com esses dados para enviar por aplicativo de mensagem; esse envio é feito por ele, fora do Operô. Dados de saúde nunca entram nesses envios. • Aceite dos Termos de Uso: data e hora, versão, resumo criptográfico dos textos aceitos, endereço IP e plataforma, para provar o que foi aceito. • Vínculo e atividade de secretárias: convite por e-mail do médico, situação do vínculo, aceite do Termo de Sigilo (data, hora, versão, resumo criptográfico do texto, endereço IP e plataforma), nível de detalhe da agenda escolhido pelo médico e registro de quem cadastrou ou alterou cada cirurgia (nome da secretária e horário), para rastreabilidade. • Convite de equipe por e-mail: quando o chefe de uma equipe cirúrgica convida alguém que ainda não tem conta, guardamos o e-mail convidado, o nome da equipe, o nome do chefe e a função proposta. Esses dados ficam até o convite virar um convite de equipe (quando a pessoa cria a conta com esse e-mail e o confirma), ser cancelado pelo chefe ou vencer (30 dias), e então o e-mail convidado é apagado. O Operô pode enviar ao convidado um e-mail com o convite (pelo Resend, no máximo um por convite a cada 24 horas), e guardamos a data desse envio junto ao convite; o chefe também pode compartilhar o convite por conta própria. • Suporte e feedback: mensagens, e-mail de contato e capturas de tela que você decidir enviar pelos formulários de feedback e de relato de problema. Não envie dados de pacientes nesses formulários. • E-mails do serviço: para confirmar a conta, redefinir a senha, entregar convites de equipe e responder ao suporte, enviamos mensagens ao e-mail da pessoa por prestadores de e-mail transacional (Seção 7). • Dados técnicos: registros de acesso à aplicação (endereço IP, data e hora, identificador da conta e plataforma), informações do dispositivo e do sistema operacional, identificador para notificações push e registros de erro. • Métricas de uso: eventos de uso do aplicativo (por exemplo, sessão iniciada, cirurgia criada ou relatório exportado), com o identificador da conta, a plataforma e a versão do aplicativo, sem dados de pacientes, usados para entender o uso e melhorar o produto. No aplicativo web, as visualizações de página são contadas de forma agregada e sem cookies. • Permissões do celular, somente quando ativadas por você: calendário, câmera e fotos, e notificações.

4. Para que usamos os dados

• prestar o serviço de gestão de cirurgias, agenda, internados, logbook, relatórios, documentos e controle financeiro; • permitir a colaboração entre profissionais de uma mesma equipe; • permitir que o médico delegue a uma secretária o cadastro de cirurgias e a consulta da agenda, com registro de quem fez cada ação; • enviar notificações sobre cirurgias e sobre a conta; • processar pagamentos e emitir documentos fiscais; • prestar suporte; • manter a segurança, prevenir fraudes e usos indevidos; • corrigir erros e melhorar o funcionamento da plataforma, usando dados técnicos e, sempre que possível, dados agregados ou anonimizados.

Não vendemos dados pessoais, não os usamos para publicidade e não usamos dados de pacientes para finalidades próprias.

5. Bases legais

• Execução do contrato com o profissional (art. 7º, V): dados de conta, uso e pagamento. • Cumprimento de obrigação legal ou regulatória (art. 7º, II): registros de acesso, dados fiscais. • Legítimo interesse (art. 7º, IX): segurança, prevenção a fraudes e melhoria do serviço, respeitados os seus direitos. • Exercício regular de direitos (art. 7º, VI, e art. 11, II, "d"): defesa em processos. • Tutela da saúde, em procedimento realizado por profissionais de saúde (art. 11, II, "f"): dados de pacientes, sob responsabilidade do profissional controlador. • Consentimento (art. 7º, I), somente quando indicado, como nas permissões opcionais do celular, que podem ser revogadas a qualquer momento.

6. Recursos de inteligência artificial

Alguns recursos usam inteligência artificial da Anthropic (Claude), por meio de API, e só funcionam quando você os aciona: • leitura de fotos de etiquetas de materiais e de PDFs ou imagens de guias e documentos, para preencher campos; • análise da descrição cirúrgica, para sugerir procedimento, lateralidade e outros campos; • sugestão de códigos TUSS a partir da descrição do procedimento; • "Importar com IA" e "Corrigir com IA" na importação de planilhas e arquivos; • atalho da Siri (iPhone) e "Compartilhar para o Operô" (Android), quando você envia texto ou arquivo ao aplicativo para interpretação.

Somente o conteúdo enviado para aquela tarefa é processado, e ele pode conter dados de pacientes, inclusive o nome e dados de saúde, conforme o que estiver na foto, no arquivo ou no texto. Segundo os termos comerciais do provedor para uso via API, esses dados não são utilizados para treinar modelos e são retidos apenas pelo prazo e nas condições previstos nesses termos, vigentes a cada momento. O Operô não usa esses conteúdos para treinar modelos nem para finalidades próprias. Recomendamos não enviar dados desnecessários. O resultado pode conter erros e deve ser revisado pelo profissional antes de salvar. Cabe ao profissional, como controlador, ter base legal e ter informado o paciente sobre o uso desses recursos. Você pode não usar nenhum deles: o aplicativo funciona sem inteligência artificial.

7. Compartilhamento e suboperadores

Para funcionar, o Operô utiliza os seguintes prestadores de serviço, que tratam dados apenas para executar o serviço contratado:

• Google Firebase / Google Cloud: autenticação, banco de dados, armazenamento de arquivos e envio de notificações; • Vercel: hospedagem do site e do aplicativo web e contagem agregada de visualizações de página, sem cookies; • Anthropic: recursos de inteligência artificial descritos na Seção 6 (leitura de etiquetas, PDFs e descrições cirúrgicas, sugestão de códigos TUSS e importação de planilhas e arquivos); • Resend (Resend, Inc.): envio dos e-mails de confirmação de conta, redefinição de senha e convite de equipe; trata o e-mail do destinatário e o conteúdo da mensagem (que, no convite, inclui o nome da equipe e o nome de quem convidou); • Zoho (ZeptoMail e Zoho Mail): caixa de suporte e envio, como alternativa ao Resend, dos e-mails de confirmação de conta e redefinição de senha; tratam o e-mail e o nome do destinatário e o conteúdo da mensagem; • Google Maps / Places: busca de hospitais, sem envio de dados de pacientes; • Firebase Crashlytics (Google): registro de falhas dos aplicativos Android e iOS, com identificador técnico da conta e sem dados de pacientes; • Asaas Gestão Financeira Instituição de Pagamento S.A. (Asaas, CNPJ 19.540.550/0001-21), processador de pagamentos da versão web, Apple App Store e Google Play: cobrança de assinaturas, emissão de nota fiscal e conciliação, após o fim da fase Beta.

Também há compartilhamento com os profissionais de equipe com quem você decidir compartilhar um paciente ou uma cirurgia.

Funções que levam dados para fora do Operô, por iniciativa do profissional: • Link de assinatura de calendário (Google Agenda, Apple Calendário e similares): ao ativar, o médico gera um link público e secreto. Quem tiver o link vê, no calendário, as iniciais do paciente, o procedimento, o hospital, o convênio e o caráter das cirurgias futuras e dos últimos 60 dias, inclusive as em que colabora. O link não pede senha e expira em 90 dias; o médico pode renová-lo (o anterior deixa de funcionar) ou desativá-lo a qualquer momento, e ele é apagado quando a conta é excluída. Trate o link como uma senha e não o compartilhe. • Mensagens por WhatsApp e outros aplicativos: "Visita WhatsApp", o texto de compartilhamento e a mensagem ao paciente geram um texto que o profissional envia por conta própria. A visita pode incluir leito, diagnóstico, procedimento, dieta, drenos, antibiótico e anotações do dia; o nome aparece apenas com iniciais, salvo se o profissional optar pelo nome completo. O envio acontece fora do Operô, sob as regras do aplicativo de mensagem (por exemplo, a Meta), e a responsabilidade pelo envio é do profissional. • Mapas: os links para aplicativos de mapas (por exemplo, Google Maps e Apple Maps) levam apenas o nome ou o endereço do hospital.

Se você for médico/cirurgião e convidar uma secretária, ela terá acesso à sua agenda (nome do paciente, data, hora, hospital e status e, conforme a sua escolha, procedimento e convênio) e às cirurgias que ela mesma cadastrar, nunca a dados financeiros. Você pode encerrar esse acesso a qualquer momento. O e-mail informado no convite é usado apenas para identificar a secretária e é apagado quando o convite vira vínculo ou é cancelado.

O nome, o CRM ou CRO e a UF do médico/cirurgião e o nome do instrumentador ficam disponíveis para busca por outros profissionais com e-mail verificado dentro da plataforma, exclusivamente para montar equipes e enviar convites, nunca para divulgação pública ou marketing. O e-mail não aparece em listas nem na busca por nome: serve para encontrar o profissional quando outra pessoa o digita por inteiro, e o identificador interno da conta, que só é conhecido por quem já interage com você (por exemplo, membros da mesma equipe), dá acesso ao registro do diretório, que inclui o e-mail. O CPF nunca é exibido (a busca de instrumentador pelo CPF completo devolve apenas o nome parcialmente ocultado).

Podemos ainda fornecer dados a autoridades quando houver obrigação legal ou ordem judicial.

8. Transferência internacional

Alguns prestadores processam ou armazenam dados fora do Brasil, em especial Anthropic e Vercel (Estados Unidos), Resend (e-mail transacional, Estados Unidos), Zoho (e-mail transacional e caixa de suporte, em centros de dados que podem estar fora do Brasil) e, conforme a configuração, Google Cloud (banco de dados na região southamerica-east1, São Paulo). Essas transferências são feitas com base nas hipóteses do art. 33 da LGPD, incluindo as cláusulas-padrão contratuais aprovadas pela ANPD, e com garantias de nível de proteção compatível com a lei brasileira.

9. Armazenamento e retenção

• Enquanto a conta estiver ativa, mantemos os dados necessários ao serviço. • Ao encerrar o acesso de uma secretária ou excluir a conta dela, ela deixa de ver os dados do médico, e o nome dela é substituído por "Secretária removida" nas cirurgias, nos avisos e no histórico de atividades, que mantêm a data e a ação realizada. O registro do aceite do Termo de Sigilo (data, versão, resumo criptográfico do texto, endereço IP e plataforma) é guardado separado do vínculo e continua depois que ele termina, por 5 anos após o encerramento da conta de qualquer das partes, para defesa de direitos. • Após o encerramento da conta, os dados ficam disponíveis para exportação por 30 dias. Depois disso, os dados de pacientes e cirurgias são eliminados da base ativa, e as cópias de segurança em até 90 dias. • O registro do aceite dos Termos de Uso (data e hora do servidor, versão, resumo criptográfico dos textos, endereço IP e plataforma) é mantido enquanto a conta existir e por 5 anos depois do encerramento, para provar o que foi aceito. • Ao excluir um documento anexado a uma cirurgia, o arquivo é apagado do armazenamento. Ao excluir a conta, também são apagados o link de assinatura de calendário e as métricas de uso associadas a ela. • Métricas de uso são mantidas por até 12 meses e registros de erro por até 6 meses. • Mantemos por mais tempo apenas o que a lei exige ou permite: registros de acesso (IP, data e hora, conta e plataforma) por 6 meses, em ambiente controlado e sob sigilo (art. 15 do Marco Civil da Internet), apagados em seguida, documentos fiscais e de cobrança pelo prazo legal e dados necessários à defesa em processos.

O profissional é responsável por exportar e guardar os dados necessários ao cumprimento de suas obrigações de guarda de prontuário, já que o Operô não é prontuário eletrônico certificado.

10. Segurança

Adotamos medidas técnicas e organizacionais para proteger os dados, como comunicação criptografada, criptografia em repouso oferecida pela infraestrutura, autenticação, regras de acesso restritas a cada conta, proteção contra automação e acesso interno limitado ao necessário para suporte e manutenção, sob dever de confidencialidade. O Operô não oferece criptografia de ponta a ponta: os dados ficam legíveis ao serviço para que ele funcione, e o acesso interno é restrito como descrito acima. Nenhum sistema é totalmente seguro. Você também deve proteger sua senha e seus dispositivos.

11. Incidentes de segurança

Se ocorrer um incidente de segurança que possa causar risco ou dano relevante, comunicaremos a ANPD e os titulares afetados, nos termos da regulamentação da ANPD, quando formos controladores. Quando o incidente envolver dados de pacientes, comunicaremos o profissional controlador sem demora injustificada, em até 48 horas após tomarmos conhecimento, com as informações necessárias para que ele cumpra suas próprias obrigações.

12. Seus direitos

Nos termos do art. 18 da LGPD, você pode solicitar: • confirmação da existência de tratamento; • acesso aos dados; • correção de dados incompletos, inexatos ou desatualizados; • anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; • portabilidade dos dados; • eliminação dos dados tratados com consentimento; • informação sobre as entidades com as quais compartilhamos dados; • informação sobre a possibilidade de não dar consentimento e suas consequências; • revogação do consentimento; • revisão de decisões tomadas unicamente com base em tratamento automatizado.

Muitas dessas ações podem ser feitas diretamente no aplicativo (edição de dados, exportação em Ajustes e exclusão de conta). As demais podem ser solicitadas ao encarregado, pelo e-mail suporte@meuopero.com.br. Confirmaremos o recebimento e responderemos de forma completa em até 15 (quinze) dias, conforme o art. 19 da LGPD.

Pacientes devem dirigir suas solicitações ao profissional de saúde responsável pelo atendimento, que é o controlador de seus dados. Auxiliaremos o profissional a atendê-las.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

13. Agenda do celular

Se você ativar a integração com a agenda do dispositivo, o Operô cria eventos com as iniciais do paciente e o procedimento no título e, na descrição, o telefone, o convênio, o caráter da cirurgia e o CID. O nome completo do paciente não é incluído. Esses eventos passam a ser armazenados pelo aplicativo de agenda e podem ser sincronizados com a nuvem da conta que você usa (por exemplo, iCloud ou Google), sob as regras desse provedor e fora do controle do Operô. Você pode desativar a integração a qualquer momento, mas os eventos já criados permanecem na sua agenda até que você os apague.

14. Cookies e armazenamento local

O site e o aplicativo usam cookies e armazenamento local do navegador ou do dispositivo para manter sua sessão, lembrar preferências e garantir o funcionamento e a segurança do serviço. Em especial: • um cookie de sessão (opero_sessao, por até 1 ano) indica apenas que há uma conta entrada naquele navegador, sem guardar dado nenhum; • o rascunho de uma nova cirurgia é guardado no navegador, por até 7 dias, e pode conter dados do paciente que você digitou; ele é apagado ao salvar a cirurgia, ao sair da conta ou ao expirar; • para funcionar sem internet, o aplicativo guarda uma cópia local dos dados da sua conta (inclusive de pacientes) no navegador ou no aparelho e o service worker guarda arquivos do próprio aplicativo; sair da conta em aparelho de terceiros apaga essa cópia; • o widget do iPhone usa uma área compartilhada do aparelho com o nome do paciente (completo ou oculto, conforme a sua escolha) e o leito. Não usamos cookies de publicidade nem cookies de análise. As métricas de uso descritas na Seção 3 não usam cookies: os eventos de uso são registrados pelo próprio Operô, e as visualizações de página do aplicativo web são contadas de forma agregada pela Vercel. Os aplicativos usam o Firebase Crashlytics apenas para registrar falhas. Você pode gerenciar esses recursos no navegador, ciente de que isso pode afetar o funcionamento.

15. Crianças e adolescentes

O Operô é destinado a profissionais de saúde maiores de 18 anos. Dados de pacientes menores de idade são inseridos pelo profissional responsável, que responde pelo seu tratamento no melhor interesse do menor, conforme o art. 14 da LGPD.

16. Alterações desta Política

Podemos atualizar esta Política. A data da última atualização aparece no fim do texto, e mudanças relevantes serão comunicadas pelo aplicativo ou por e-mail.

17. Contato

Encarregado de dados: suporte@meuopero.com.br Suporte: suporte@meuopero.com.br

Última atualização: 8 de novembro de 2026.