Documento legal

Política de Privacidade da Sentrius Health

Versão 1.1 · atualizado em 7 de outubro de 2026

Como a Rocket Inside (F C G Bonjorno Ltda.) trata dados pessoais no site e na plataforma Sentrius Health, inclusive a hospedagem no Canadá e a transferência internacional, quais são os seus direitos sob a LGPD e como exercê-los.

Esta Política de Privacidade ("Política") explica como F C G BONJORNO LTDA, nome fantasia Rocket Inside, CNPJ nº 49.113.837/0001-36, com sede na Avenida Paulista, nº 1483, conjunto 1012, Bela Vista, São Paulo/SP, CEP 01311-200 ("Rocket Inside", "nós"), trata dados pessoais no site público, no portal das instituições, no backoffice, nos canais públicos de pesquisa e formulário e nas comunicações da plataforma Sentrius Health ("Plataforma").

Ela foi escrita para cumprir a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, "LGPD"), o Marco Civil da Internet (Lei nº 12.965/2014) e seu Decreto nº 8.771/2016, o Código de Defesa do Consumidor (Lei nº 8.078/1990) e as resoluções da Autoridade Nacional de Proteção de Dados (ANPD). Ela complementa os Termos de Uso, o Acordo de Tratamento de Dados Pessoais e a Política de Cookies.

1. Quem responde pelos seus dados

A resposta depende de como você se relaciona com a Plataforma. Na LGPD, o controlador decide sobre o tratamento e o operador trata em nome do controlador (art. 5º, VI e VII).

Se você é paciente, acompanhante ou profissional e seus dados foram inseridos por uma instituição, quem decide sobre eles é a instituição, e é a ela que você deve dirigir os seus pedidos. Se o pedido chegar a nós, o encaminharemos à instituição em até 5 (cinco) dias úteis e informaremos você, na forma do item 9.

2. Dados que tratamos como controladora

Não coletamos dados pessoais sensíveis nas atividades em que somos controladora. Os dados abaixo são os necessários para operar o site, as contas, a cobrança e o suporte.

Os dados de cartão de pagamento são coletados diretamente pelo provedor de pagamentos (Stripe) e não passam pelos nossos sistemas.

3. Dados que tratamos como operadora, por conta das instituições

As instituições clientes usam a Plataforma para gerir qualidade e segurança do paciente. Por isso, elas podem inserir dados de profissionais (nome, papel, unidade e participação em eventos e investigações), dados de pacientes e acompanhantes quando isso for necessário a um registro, respostas de pesquisas e formulários, documentos e evidências. Dados sobre a saúde são dados pessoais sensíveis (art. 5º, II, e art. 11 da LGPD).

Nessa atividade:

• a finalidade e a base legal são definidas pela instituição, em geral o cumprimento de obrigações sanitárias, como a RDC Anvisa nº 36/2013 e o Programa Nacional de Segurança do Paciente (Portaria GM/MS nº 529/2013), a tutela da saúde em procedimentos realizados por profissionais da área (art. 11, II, "a" e "f") e o legítimo interesse na gestão da qualidade (art. 7º, IX);
• tratamos os dados apenas conforme as instruções da instituição, documentadas no Acordo de Tratamento de Dados Pessoais;
• aplicamos minimização: os formulários pedem fatos operacionais e orientam a não identificar o paciente, e os campos de narrativa sensível são cifrados em repouso;
• não usamos esses dados para finalidade própria, não os vendemos, não os usamos para publicidade nem para treinar modelos, e nunca os comunicamos ou compartilhamos para obter vantagem econômica (art. 11, § 4º);
• ao término do contrato, devolvemos e excluímos os dados nos prazos do item 8.

4. Com quem compartilhamos

Compartilhamos dados pessoais apenas nas situações abaixo.

4.1. Suboperadores e prestadores de serviço

A verificação antivírus de arquivos, o armazenamento de objetos e a observabilidade são executados em componentes operados pela própria Rocket Inside dentro do servidor contratado, sem envio de dados a terceiros além dos prestadores acima. Alterações nessa relação são comunicadas às instituições clientes com antecedência, na forma do Acordo de Tratamento de Dados Pessoais.

4.2. Autoridades e obrigações legais

Podemos fornecer dados pessoais para cumprir ordem judicial, requisição de autoridade competente ou obrigação legal, como a disponibilização de registros de acesso (art. 10, § 1º, e art. 15, § 3º, do Marco Civil), sempre limitando o fornecimento ao estritamente exigido e, quando permitido, informando a instituição cliente.

4.3. Operações societárias

Em caso de fusão, aquisição, cisão ou venda de ativos, os dados podem ser transferidos ao sucessor, que ficará vinculado a esta Política. Os titulares e as instituições clientes serão comunicados.

4.4. O que nunca fazemos

Não vendemos dados pessoais, não os cedemos a anunciantes e não compartilhamos dados de saúde para obter vantagem econômica.

5. Transferência internacional de dados

Esta seção é o documento de transparência sobre a transferência internacional descrita abaixo, que o controlador deve publicar em sua página (art. 17, §§ 2º e 3º, do Regulamento de Transferência Internacional de Dados, Anexo I da Resolução CD/ANPD nº 19/2024, o "Regulamento"). Ela vale para os dois papéis da Rocket Inside descritos no item 1.

5.1. O que acontece e para onde vão os dados

A Plataforma e o site funcionam em um servidor virtual privado (VPS) fornecido pela INTEGRATOR DO BRASIL - TECNOLOGIA E DESENVOLVIMENTO LTDA (Integrator Host), empresa de São Paulo/SP. O servidor está em um data center em Montreal, Canadá, operado por fornecedor da Integrator. Por isso, os dados pessoais tratados na Plataforma, inclusive o banco de dados, os arquivos enviados e as cópias de segurança, são armazenados e processados no Canadá, e não no Brasil. Isso é transferência internacional de dados (art. 5º, XV, da LGPD).

O país de destino é o Canadá. A transferência é contínua enquanto a Plataforma está em uso e dura até a eliminação dos dados, nos prazos dos itens 2, 3 e 8. A finalidade é uma só: hospedar e operar a Plataforma e o site. O servidor e o data center não usam os dados para finalidade própria.

5.2. Qual é o fundamento

Transferimos os dados com base no art. 33, II, "b", da LGPD: as cláusulas-padrão contratuais aprovadas pela ANPD, que constam do Anexo II da Resolução CD/ANPD nº 19/2024. Elas são adotadas por inteiro e sem alteração, em contrato escrito, como o Regulamento exige (art. 16). Entre as garantias dessas cláusulas estão: uso dos dados somente para a finalidade descrita; salvaguardas adicionais para dados sensíveis; aplicação da lei brasileira e fiscalização da ANPD; tribunais brasileiros para as controvérsias; e o direito de o titular pedir reparação a qualquer das partes. Para os Dados do Cliente, a instituição cliente também autoriza a transferência por escrito, ao contratar a Plataforma.

5.3. Quais dados e para quê

5.4. Quem trata os dados e quem responde

A Rocket Inside é controladora dos dados do item 2 e operadora dos dados do item 3. A cadeia de tratamento é: a Rocket Inside, a Integrator (suboperadora brasileira, que fornece o VPS) e o fornecedor da Integrator que opera o data center no Canadá. A Integrator e o seu fornecedor só podem tratar os dados para prover a infraestrutura e conforme as instruções da Rocket Inside. O fornecedor não pode repassar os dados a outros destinatários, salvo se a lei brasileira permitir por outro mecanismo válido.

Nos dados do item 2, a Rocket Inside, como controladora, é responsável por publicar esta seção, por atender aos seus pedidos (item 9) e por comunicar incidentes à ANPD e aos titulares (item 12). Nos dados do item 3, essas responsabilidades são da instituição cliente, como controladora, e a Rocket Inside a auxilia. O compartilhamento com os demais prestadores está no item 4.1.

5.5. Medidas de segurança

Os dados no Canadá são protegidos pelas medidas do item 7. As cláusulas-padrão exigem medidas de segurança compatíveis com o risco, também depois do término do tratamento, e salvaguardas adicionais para dados sensíveis.

5.6. Como obter as cláusulas e exercer os seus direitos

Você pode pedir uma cópia das cláusulas-padrão adotadas, sem custo, ao Encarregado indicado no item 13. Responderemos em até 15 (quinze) dias, respeitados os segredos comercial e industrial (art. 17, caput e § 1º, do Regulamento). Os direitos do item 9 valem também para os dados que estão no Canadá, e você pode peticionar à ANPD contra o controlador (art. 18, § 1º, da LGPD). Se os seus dados foram inseridos por uma instituição cliente, dirija o pedido a ela. Se ele chegar a nós, o encaminharemos à instituição em até 5 (cinco) dias úteis e informaremos você.

5.7. Hospedagem no Brasil e mudanças de local

A instituição cliente que precise ou prefira manter os dados no Brasil pode pedir a hospedagem exclusivamente em data center no território brasileiro, como opção contratada, escrevendo ao Encarregado. Se o país de hospedagem ou o suboperador de infraestrutura mudar, comunicaremos as instituições clientes com antecedência mínima de 30 (trinta) dias, na forma do Acordo de Tratamento de Dados Pessoais, e atualizaremos esta seção antes da mudança.

5.8. Prestadores nos Estados Unidos

Os serviços de e-mail transacional e de pagamentos, listados no item 4.1, envolvem prestadores situados nos Estados Unidos. Nessas transferências, restritas aos dados descritos naquela tabela, adotamos cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024) ou outro mecanismo previsto no art. 33 da LGPD, e o volume de dados é limitado ao necessário à mensagem ou à cobrança. Narrativas de eventos, documentos e outros Dados do Cliente não são enviados a esses prestadores.

6. Cookies e tecnologias semelhantes

Usamos apenas cookies próprios: três estritamente necessários ao funcionamento da Plataforma e um funcional, que lembra a organização que você escolheu. Não usamos cookies de análise de audiência, de publicidade ou de terceiros, e não rastreamos a navegação entre sites. A Política de Cookies traz o detalhe de cada cookie, os prazos e como recusar ou apagar.

Preferências de interface, como o menu lateral compacto, ficam no armazenamento do navegador, que não as envia ao nosso servidor, e não identificam a pessoa. O rascunho de uma notificação de evento também fica só no navegador, até você enviá-la. Cookies estritamente necessários dispensam consentimento, conforme o Guia Orientativo sobre Cookies e Proteção de Dados Pessoais da ANPD, e têm como base legal a execução do contrato e o legítimo interesse (art. 7º, V e IX). O cookie funcional só é gravado depois de uma escolha sua e tem a mesma base legal. Você pode apagar cookies pelas configurações do navegador; sem o cookie de sessão, não é possível permanecer autenticado.

7. Como protegemos os dados

Adotamos medidas técnicas e administrativas aptas a proteger os dados pessoais (art. 46 da LGPD e art. 13 do Decreto nº 8.771/2016), entre elas:

• isolamento dos dados de cada instituição no próprio banco de dados, por políticas de segurança em nível de linha, e não apenas por filtros na aplicação;
• criptografia em trânsito (TLS) e cifragem em repouso dos campos de narrativa sensível, dos segredos de segundo fator e das cópias de segurança;
• senhas armazenadas apenas como hash, segundo fator de autenticação, bloqueio após tentativas malsucedidas e limitação de requisições;
• controle de acesso por papel e por escopo (organização, unidade e departamento), com negação por padrão e princípio do menor privilégio;
• trilha de auditoria encadeada por hash e somente de acréscimo, que registra quem fez o quê, quando e sob qual permissão e denuncia qualquer adulteração;
• acesso de suporte e de emergência aos dados das instituições apenas mediante solicitação, aprovação por pessoa distinta, prazo limitado e registro em auditoria;
• verificação antivírus de todo arquivo enviado antes do armazenamento;
• cópias de segurança criptografadas, com exercícios periódicos de restauração;
• segredos e chaves fora do código-fonte, revisão de vulnerabilidades no ciclo de desenvolvimento e registro de operações de tratamento (art. 37 da LGPD).

Nenhum sistema é totalmente imune. Se ocorrer um incidente, seguiremos o item 12.

8. Por quanto tempo guardamos

Guardamos dados pessoais apenas pelo tempo necessário às finalidades desta Política e, depois, os excluímos ou anonimizamos (arts. 15 e 16 da LGPD). Os prazos das atividades em que somos controladora constam do item 2. Para os Dados do Cliente, aplicam-se os prazos do Acordo de Tratamento de Dados Pessoais: exportação disponível por 30 (trinta) dias após o término do contrato e exclusão ou anonimização em até 90 (noventa) dias, com eliminação das cópias de segurança no ciclo regular de rotação, em prazo não superior a 90 (noventa) dias adicionais.

Podemos conservar dados além desses prazos quando a lei exigir, para o exercício regular de direitos em processo judicial, administrativo ou arbitral, ou de forma anonimizada (art. 16 da LGPD).

9. Seus direitos

Você pode exercer, a qualquer momento e gratuitamente, os direitos do art. 18 da LGPD:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade a outro fornecedor, observados os segredos comercial e industrial;
• eliminação dos dados tratados com base no consentimento;
• informação sobre as entidades com as quais compartilhamos dados;
• informação sobre a possibilidade de não consentir e as consequências da negativa;
• revogação do consentimento;
• oposição a tratamento realizado com base em outra hipótese legal, em caso de descumprimento da LGPD;
• revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20).

Para exercer um direito, escreva ao Encarregado indicado no item 13. Podemos pedir informações para confirmar a sua identidade e evitar que dados sejam entregues a terceiros. Responderemos de imediato, em formato simplificado, ou em até 15 (quinze) dias, por declaração completa (art. 19). Quando somos operadora, encaminharemos o pedido à instituição responsável em até 5 (cinco) dias úteis e informaremos você. Você também pode apresentar petição à ANPD (art. 18, § 1º).

10. Decisões automatizadas e recursos de apoio

Não tomamos decisões unicamente automatizadas que afetem os seus interesses. Cálculos de prazo, indicadores e alertas da Plataforma são regras determinísticas de apoio à gestão, conferidas por pessoas. A classificação de eventos, a apuração de responsabilidade e as decisões assistenciais e disciplinares são sempre humanas e cabem à instituição.

Na data desta versão, nenhum recurso de inteligência artificial generativa trata Dados do Cliente. Se um recurso desse tipo for oferecido, ele será de apoio, com revisão humana obrigatória, indicação de que o conteúdo foi gerado por sistema, adesão prévia da instituição e vedação de uso dos dados para treinamento pelos provedores. Esta Política será atualizada antes da disponibilização.

11. Crianças e adolescentes

A Plataforma e o site não se destinam a crianças e adolescentes, e contas são criadas apenas para pessoas maiores de 18 anos. Pesquisas e formulários públicos podem ser respondidos por responsáveis legais; quando a instituição optar por coletar dados de crianças e adolescentes, cabe a ela, como controladora, observar o art. 14 da LGPD.

12. Incidentes de segurança

Mantemos procedimento de resposta a incidentes que inclui contenção, preservação de evidências, avaliação de risco aos titulares e comunicação. Como controladora, comunicaremos à ANPD e aos titulares afetados, em até 3 (três) dias úteis da ciência, os incidentes que possam acarretar risco ou dano relevante (art. 48 da LGPD e Resolução CD/ANPD nº 15/2024), com a descrição dos dados afetados, dos riscos, das medidas adotadas e dos contatos. Como operadora, comunicaremos a instituição cliente em até 24 (vinte e quatro) horas da confirmação do incidente, na forma do Acordo de Tratamento de Dados Pessoais, para que ela cumpra as suas obrigações de comunicação.

13. Encarregado pelo tratamento de dados pessoais

O Encarregado (art. 41 da LGPD e Resolução CD/ANPD nº 18/2024) é o canal entre você, a Rocket Inside e a ANPD.

• Encarregado: Fabricio Bonjorno
• E-mail: fabriciocomeli@gmail.com
• Endereço postal: F C G BONJORNO LTDA, Avenida Paulista, nº 1483, conjunto 1012, Bela Vista, São Paulo/SP, CEP 01311-200

14. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças na Plataforma, na legislação ou nas orientações da ANPD. A versão e a data constam no início. Alterações relevantes são comunicadas às instituições clientes por e-mail e por aviso na Plataforma com antecedência mínima de 30 (trinta) dias. Versões anteriores são fornecidas mediante solicitação.

15. Legislação aplicável e foro

Esta Política é regida pelas leis brasileiras, em especial a Lei nº 13.709/2018, a Lei nº 12.965/2014, o Decreto nº 8.771/2016 e, quando aplicável, a Lei nº 8.078/1990. Fica eleito o foro da Comarca de São Paulo, Estado de São Paulo, ressalvado o foro do domicílio do titular quando a lei o garantir. Reclamações também podem ser dirigidas à ANPD, em gov.br/anpd.