Política de Privacidade

1. Quem Somos

A Xtory Inteligência Artificial Ltda. (CNPJ 63.736.468/0001-69, "Xtory") opera o Xtory cliniX ("cliniX"), portal de navegação e concierge de saúde com IA, que ajuda pacientes a entender melhor a sua saúde e a navegar o sistema e os serviços de saúde no Brasil (tirar dúvidas, encontrar serviços e profissionais e agendar consultas via WhatsApp), e permite a profissionais de saúde (individuais ou clínicas) manter um perfil — usando certos serviços gratuitamente ou contratando um plano pago. A Xtory é a Controladora dos dados pessoais tratados no cliniX (art. 5º, VI da LGPD — Lei 13.709/2018). A Xtory Ltda é subsidiária integral (100%) da Xtory, Inc. (Estados Unidos) e, para operar o cliniX, apoia-se na matriz para parte da infraestrutura de nuvem/dados e da equipe técnica. Para fins de proteção de dados, a Xtory Ltda permanece a Controladora (LGPD) perante você; o tratamento pela Xtory, Inc. ocorre como operadora do grupo, sob contrato e com as salvaguardas de transferência internacional (Seção 7).

Encarregado (DPO): dpo@xtory.ai

2. Escopo

O uso é também regido pelos Termos de Uso. O consentimento específico para dados de saúde do paciente é tratado no Termo de Consentimento. O uso de cookies é descrito na Seção 9 desta Política.

3. Dados que Tratamos

3.1 Paciente:

3.2 Profissional de saúde: nome, CRM/RQE, e-mail, WhatsApp, a foto/imagem do documento do conselho de classe (para verificação de identidade), os perfis de redes sociais que você fornecer (ex.: Instagram, LinkedIn), o conteúdo do perfil e o histórico de consultas agendadas pelo cliniX. O sistema de pagamento ainda não está em operação; quando for implantado, os dados de cobrança serão tratados conforme atualização desta Política.

4. Bases Legais (LGPD art. 7º e 11)

• Cadastrais e agendamento: art. 7º, V (procedimentos preliminares/execução de contrato) + art. 7º, I (consentimento).
• Dados de saúde (sintomas e a comparação automática deles com os perfis dos profissionais, texto de exames): art. 11, I (consentimento específico e destacado para dado sensível).
• Recurso de segurança (mostrar canais de ajuda quando a conversa menciona temas sensíveis): art. 11, II, 'e' (proteção da vida ou da incolumidade física do titular ou de terceiro).
• Localização por IP / cidade no filtro: art. 7º, V e IX (legítimo interesse), com direito de oposição.
• Conta do profissional (e a futura cobrança dos planos pagos, quando houver): art. 7º, V (execução de contrato) e art. 7º, II (obrigações legais/fiscais).
• Análise de uso (melhoria do produto): com dados des-identificados (métricas ligadas a um identificador anônimo de sessão, sem nome/WhatsApp) — art. 7º, IX (legítimo interesse), com direito de oposição.
• Treino de IA e melhorias amplas: apenas com dados anonimizados (transformados de modo definitivo, sem como ligar a você — art. 5º, III e art. 12, fora da LGPD).
• Logs técnicos: art. 7º, IX e art. 15 do Marco Civil (guarda mínima legal de 6 meses; retenção efetiva na Seção 7).

5. Como Usamos

Para: prover a orientação e a conversa de acolhimento; comparar automaticamente o conteúdo da sua conversa com os perfis dos profissionais para encontrar a melhor compatibilidade clínica; incluir no contexto o texto de exames que você cola ou anexa (sem interpretação ou laudo); sugerir profissionais próximos e do seu convênio (filtros editáveis); quando a conversa menciona temas sensíveis (autoagressão, violência, emergência), mostrar automaticamente informações e canais de ajuda — sem avaliar o seu caso e sem compartilhar a conversa com esses serviços; contatar a clínica escolhida e continuar a mesma conversa também pelo seu WhatsApp; manter um resumo do seu histórico para enviar lembretes de consultas e de retornos e resumir à clínica o motivo da sua procura; gerir a conta do profissional; e cumprir obrigações legais.

Também realizamos análise de uso com dados des-identificados (métricas ligadas a um identificador anônimo de sessão, sem PII) para priorizar melhorias — admite oposição (Seção 8). Separadamente, com dados anonimizados (irreversíveis), a Xtory pode treinar modelos de IA da Xtory e desenvolver os produtos.

6. Com Quem Compartilhamos

O processamento por IA é feito no Microsoft Azure, por meio do Azure OpenAI (modelos GPT): o conteúdo é processado dentro do ambiente do Azure (Microsoft), não é compartilhado com a OpenAI e não é usado para treinar modelos da OpenAI ou de terceiros. Entenda os papéis abaixo: Operador = empresa que apenas processa os dados seguindo instruções da Xtory; Controlador = quem decide o que fazer com os dados. A Xtory é Controladora; a clínica que você escolher é Controladora independente (decide por conta própria o uso dos dados que recebe para o seu atendimento).

Após o envio dos dados à clínica escolhida, ela passa a tratá-los como controladora independente, para suas próprias finalidades; quanto a esse tratamento, você exerce os direitos do art. 18 diretamente perante ela (a Xtory responde pelo que a Xtory trata). O critério de sugestão e ordenação dos profissionais está descrito nos Termos de Uso (cláusula 5). Seus dados identificáveis não são vendidos, cedidos a terceiros não listados, usados para publicidade direcionada nem para treinamento de modelos de IA. Dados anonimizados (irreversíveis, art. 5º, III) podem ser usados para melhorar e desenvolver os produtos e a plataforma, inclusive treinar modelos de IA da Xtory.

7. Transferência Internacional · Retenção

Transferência internacional: a afiliada Xtory, Inc. (EUA), a Microsoft (Azure, incluindo o Azure OpenAI), o Google Ads (medição de conversão) e a Meta podem processar dados fora do Brasil, em especial nos Estados Unidos, com as salvaguardas dos arts. 33 a 36 da LGPD (cláusulas-padrão contratuais, nos termos da Resolução CD/ANPD nº 19/2024; cópia disponível mediante pedido ao DPO). O processamento e o armazenamento no Azure podem ocorrer em regiões no Brasil ou nos Estados Unidos, conforme a disponibilidade dos serviços.

Retenção — seguimos a Política de Retenção de Dados da Xtory. Mantemos seu histórico para finalidades como enviar lembretes de consultas e de retornos e resumir à clínica o motivo da sua procura, além da continuidade do atendimento:

• Dados identificáveis de pacientes e profissionais (conversas, resumos, exames, dados do agendamento e da conta): mantidos por até 2 anos após o último contato, salvo prazo maior exigido por lei;
• Dados anonimizados (irreversíveis, art. 5º, III): mantidos por prazo indeterminado, para melhoria dos produtos e da plataforma (inclusive treino de modelos de IA da Xtory);
• Logs técnicos (segurança): até 7 anos, para exercício regular de direitos (art. 7º, VI da LGPD) e conforme a Política de Retenção da Xtory, observado o mínimo legal de 6 meses do art. 15 do Marco Civil;
• Exclusão a pedido (art. 18 LGPD): a qualquer momento via chat ou dpo@xtory.ai, efetivada em até 15 dias úteis, com notificação aos Operadores para que também eliminem.

8. Seus Direitos (LGPD art. 18)

Confirmação e acesso; correção; anonimização, bloqueio ou eliminação; portabilidade; eliminação dos dados tratados com consentimento; informação sobre compartilhamentos; revogação do consentimento; oposição a tratamentos por legítimo interesse (análise de uso e localização por IP); e revisão de decisões automatizadas (art. 20) — solicitar a revisão da indicação de profissionais feita de forma automatizada — e o direito de solicitar informações claras sobre os critérios dessa indicação (art. 20, §1º), resguardado o segredo comercial. Para exercer, escreva para dpo@xtory.ai com identificação mínima; resposta em até 15 dias úteis. Para parar de receber mensagens no WhatsApp, escreva "PARAR" no chat a qualquer momento.

9. Segurança · Cookies · Crianças

Segurança: TLS em trânsito e criptografia em repouso (inclusive para exames); acesso restrito com auditoria; backups; contratos com Operadores em padrão equivalente. Incidentes com risco aos titulares são comunicados à ANPD e aos afetados (art. 48 LGPD).

Cookies e armazenamento local: usamos apenas o estritamente necessário ao funcionamento — no sessionStorage do navegador, um identificador anônimo de sessão e o transporte da sua primeira mensagem ao chat, apagados ao fechar a aba; são essenciais e dispensam consentimento. Usamos também cookies de marketing para medir conversões de campanhas (ex.: Google Ads), ativados com o seu consentimento por um aviso (banner) de cookies em que você pode aceitar ou recusar (recusar é tão fácil quanto aceitar, nada pré-marcado) e rever a escolha depois. A análise de uso é feita no servidor, de forma des-identificada — com base em legítimo interesse, não usa cookies nem depende do banner (você pode se opor, Seção 8). Não fazemos remarketing nem anúncios personalizados, sem fingerprinting nem venda de dados. Você pode limpar cookies/armazenamento no navegador — bloquear os essenciais pode impedir o chat de funcionar.

Crianças e adolescentes: serviço destinado a maiores de 18 anos; quando o paciente for menor, o agendamento é conduzido pelo representante legal (art. 14 LGPD).

10. Alterações · Lei · Contato

Alterações materiais são comunicadas na interface e, quando possível, por mensagem; versão vigente em xtory.ai/clinix-privacy-policy. Legislação brasileira: LGPD, Marco Civil, CDC e Resolução CFM nº 2.454/2026. Foro de São Paulo/SP, ressalvado o foro do domicílio do consumidor (CDC art. 101, I).

Contato geral: contact@xtory.ai
Encarregado (DPO) — assuntos de dados (LGPD): dpo@xtory.ai
Empresa: Xtory Inteligência Artificial Ltda. — CNPJ 63.736.468/0001-69 · xtory.ai · clinix.care
Autoridade: ANPD — gov.br/anpd

Política de Privacidade — Xtory cliniX · v2.0 · 2026-06-25 · Xtory Inteligência Artificial Ltda. © 2026