Política de Privacidade da Sincra

Versão 2.0 — vigente a partir de 11 de novembro de 2026

Esta Política explica como a SINCRA TECNOLOGIA LTDA. (CNPJ 67.523.782/0001-14, com sede na Avenida Coronel Fernando Ferreira Leite, nº 1.520, Sala 210, Anexo SNCR, Jardim Califórnia, Ribeirão Preto/SP, CEP 14026-020) ("Sincra", "nós") trata dados pessoais na plataforma Sincra ("Plataforma"), em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — "LGPD").

Os termos iniciados em maiúscula e não definidos aqui têm o significado dado nos Termos de Uso.

Resumo:

• Mostramos ao Médico o que ele tem a receber das Operadoras, lendo o Portal da Operadora com autorização do Prestador. Só lemos; nada é alterado no Portal.
• Dos pacientes, guardamos apenas o mínimo para identificar um atendimento faturado: iniciais, procedimento, data, número da guia e valores. Nunca o nome completo, a carteirinha, o CPF ou informações clínicas.
• O usuário e a senha do Portal ficam cifrados e não são exibidos a ninguém.
• Também coletamos os dados necessários para verificar médicos, organizar plantões, registrar presença e operar a antecipação de recebíveis. A localização é coletada apenas no momento do check-in ou check-out.
• Compartilhamos dados com o hospital a que você se vincula, com o financiador da antecipação que você solicitar e com os fornecedores que operam a Plataforma.
• Não vendemos dados pessoais e não usamos cookies de publicidade.
• Para exercer seus direitos: contato@sincra.app.

1. Quem é responsável pelos seus dados

1.1. A Sincra é controladora dos dados tratados para: criar e manter contas; verificar a identidade e a inscrição profissional dos Médicos; mostrar ao Médico o que ele tem a receber; garantir a segurança e prevenir fraudes; operar a antecipação de recebíveis; enviar comunicações próprias; e cumprir obrigações legais.

1.2. O Prestador é controlador dos dados de seus pacientes que aparecem nas informações de faturamento lidas dos Portais das Operadoras. Nessa atividade, a Sincra atua como operadora: trata esses dados em nome do Prestador, conforme sua autorização e apenas para mostrar ao Médico vinculado o que há a receber, aplicando a redução descrita na Cláusula 2.4. Pedidos de pacientes sobre esses dados devem ser dirigidos ao Prestador; se chegarem à Sincra, serão encaminhados a ele.

1.3. A Instituição (hospital) é controladora dos dados que trata para gerir sua relação com os médicos: escalas, aprovação de vínculos, registro de presença, confirmação de plantões, fechamento e pagamentos. Nessas atividades, a Sincra atua como operadora, tratando os dados em nome da Instituição e conforme suas instruções, nos termos do Contrato com a Instituição. Pedidos sobre esses dados podem ser feitos diretamente à Instituição ou à Sincra, que os encaminhará.

1.4. O Financiador que adquire os recebíveis cedidos na antecipação é controlador dos dados que recebe para analisar, adquirir, registrar e cobrar os créditos, conforme suas próprias políticas.

2. Quais dados tratamos

2.1. Dados de todos os Usuários

2.2. Dados do Médico

Alguns desses dados podem ser inseridos pela Instituição antes de você criar sua conta, quando ela te convida (e-mail e, opcionalmente, nome, CRM e UF).

2.3. Dados do Prestador e acesso ao Portal da Operadora

Razão social e código do Prestador na Operadora; tipo de acesso; usuário e senha do Portal, guardados cifrados em cofre de segredos (Supabase Vault), legíveis apenas pelos sistemas da Sincra que fazem a leitura e nunca exibidos de volta; registro de quando e como cada leitura foi feita, e de eventuais falhas.

2.4. Dados de pacientes (mínimos, em nome do Prestador)

As informações de faturamento identificam atendimentos a pacientes. Delas guardamos somente:

A redução a iniciais é feita antes de gravar: quando a leitura é feita no navegador de pessoa autorizada pelo Prestador, os nomes são reduzidos ainda no navegador, antes de qualquer dado sair do Portal; quando é feita pelos sistemas da Sincra, são reduzidos no processamento e nunca gravados. O banco de dados recusa qualquer registro de paciente que não esteja nesse formato. Ainda assim, procedimento e data de um atendimento são dados de saúde, e os tratamos com as proteções da Cláusula 9.

2.5. Dados da Equipe da Instituição

E-mail, senha, cargo informado pela Instituição, permissões concedidas e registro das ações feitas na Plataforma (por exemplo, aprovações, confirmações e pagamentos registrados). O e-mail do membro da equipe pode aparecer para colegas da mesma Instituição nos registros financeiros.

2.6. Dados que não coletamos

• Dados de pacientes fora do previsto na Cláusula 2.4. Não insira nomes, prontuários, diagnósticos ou imagens de exames em textos, documentos, comprovantes ou nomes de arquivo. Se isso ocorrer, trataremos esses dados apenas para removê-los ou isolá-los.
• Biometria. Não coletamos reconhecimento facial, digital ou voz. A Plataforma não acessa câmera nem microfone.
• Localização contínua. Não rastreamos sua localização fora do momento do check-in e do check-out.

2.7. Dados de saúde em campos de texto

Os campos de motivo (por exemplo, ao pedir para sair de um plantão) são de texto livre. Recomendamos não descrever condições de saúde e usar expressões genéricas como "motivo pessoal". O que for escrito nesses campos pode ser visto pelos responsáveis na Instituição, enviado a eles por e-mail e mantido em registro de auditoria.

3. Para que usamos seus dados e com qual base legal

Não usamos seus dados para publicidade, não os vendemos e não tomamos decisões exclusivamente automatizadas que afetem seus interesses. As estimativas de pagamento são cálculos informativos, sempre identificados como tal; a análise de crédito e a verificação de cadastro são feitas com revisão humana.

Data de nascimento: é usada para confirmar sua identidade junto às bases públicas e aos birôs de crédito e para garantir que o Usuário é maior de idade.

4. Com quem compartilhamos

4.1. Médico vinculado à Conexão. As informações lidas do Portal da Operadora são exibidas apenas ao Médico vinculado àquela Conexão e à equipe interna da Sincra que opera a Plataforma (com autenticação em dois fatores). Pacientes aparecem apenas por iniciais.

4.2. Instituições. A Instituição a que você se vincula tem acesso a: nome, CRM e UF; documentos enviados para verificação (para os membros da equipe responsáveis pela revisão); plantões, pedidos e motivos; registros de presença, incluindo distância até a unidade e resultado da verificação de localização; valores, ajustes e pagamentos. Na antecipação, a Instituição vê quais recebíveis foram cedidos, o valor, o vencimento e a quem deve pagar. A Instituição não vê seus dados de recebimento (chave PIX) nem suas Conexões com Operadoras.

4.3. Outros Médicos. Médicos aprovados na mesma Instituição veem os nomes uns dos outros para viabilizar trocas e substituições.

4.4. Financiadores. Quando você solicita antecipação, compartilhamos com o Financiador identificado na solicitação (atualmente, o Baobá Warehouse Fundo de Investimento em Direitos Creditórios) (e, conforme o caso, com seu administrador, gestor, custodiante, agente de cobrança, auditores e registradoras) os dados necessários para analisar, adquirir, registrar e cobrar o recebível: identificação sua e da pessoa jurídica cedente, CRM, dados de recebimento, dados do recebível, comprovantes e validações.

4.5. Operadoras. A Sincra não envia dados às Operadoras. Ao ler o Portal com o acesso do Prestador, a Operadora registra esse acesso como registraria o do próprio Prestador.

4.6. Fornecedores que operam a Plataforma (operadores). Usamos fornecedores que tratam dados em nosso nome, sob contrato e apenas para as finalidades indicadas:

Nenhum dado de paciente é enviado ao Sentry ou ao PostHog.

4.7. Autoridades. Podemos compartilhar dados quando exigido por lei, ordem judicial ou requisição de autoridade competente, ou para proteger direitos da Sincra e de terceiros.

4.8. Operações societárias. Em caso de fusão, aquisição ou reorganização, os dados poderão ser transferidos à sucessora, que ficará obrigada a esta Política.

5. Transferência internacional

Alguns fornecedores listados acima tratam dados fora do Brasil: Sentry e PostHog, nos Estados Unidos, e Cloudflare e Google, em sua rede global. Os dados enviados ao Sentry e ao PostHog são técnicos e associados apenas a um identificador interno, sem nome, e-mail, documentos ou dados de pacientes. Os dados lidos dos Portais das Operadoras e os acessos guardados ficam no Brasil. Nos casos de transferência, adotamos os mecanismos previstos no art. 33 da LGPD e na regulamentação da Autoridade Nacional de Proteção de Dados (ANPD), como cláusulas contratuais padrão, e exigimos níveis de proteção compatíveis com esta Política.

6. Cookies

Usamos apenas cookies estritamente necessários ao funcionamento e à segurança da Plataforma. Não usamos cookies de publicidade nem de análise de comportamento.

Como são essenciais, esses cookies não dependem de consentimento. Bloqueá-los no navegador impede o login.

7. Por quanto tempo guardamos

Guardamos os dados pelo tempo necessário para as finalidades desta Política, observados os prazos abaixo. Ao fim do prazo, os dados são eliminados ou anonimizados.

Quando você encerra a conta, os dados que precisamos manter por obrigação legal ou para defesa de direitos são conservados de forma restrita, e os demais são eliminados ou anonimizados. Registros operacionais e financeiros compartilhados com a Instituição e com o Financiador podem permanecer com eles, conforme suas próprias obrigações legais.

8. Seus direitos

Nos termos do art. 18 da LGPD, você pode solicitar:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade dos dados, conforme a regulamentação da ANPD;
• informação sobre com quem compartilhamos seus dados;
• revisão de decisões tomadas com base em tratamento automatizado;
• oposição a tratamento baseado em legítimo interesse, quando cabível;
• eliminação de dados tratados com base em consentimento e revogação do consentimento, quando essa for a base legal.

Como exercer: envie um e-mail para contato@sincra.app a partir do e-mail cadastrado, com o assunto "Privacidade". Podemos pedir informações para confirmar sua identidade. Responderemos no prazo legal; pedidos de acesso completo são atendidos em até 15 dias.

O Prestador pode, a qualquer tempo, revogar a Conexão e pedir a eliminação das informações lidas do Portal (Cláusula 7), pelo mesmo e-mail.

Alguns pedidos podem não ser atendidos integralmente, por exemplo, quando precisarmos manter dados para cumprir obrigação legal, executar uma operação de antecipação em andamento ou exercer direitos em processos. Nesses casos, explicaremos o motivo.

Para dados tratados em nome da Instituição ou do Prestador (Cláusulas 1.2 e 1.3), encaminharemos seu pedido ao controlador correspondente.

Você também pode apresentar reclamação à ANPD (www.gov.br/anpd).

9. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados, entre elas: conexões cifradas (HTTPS com HSTS); banco de dados e arquivos hospedados no Brasil; acessos aos Portais das Operadoras guardados cifrados em cofre de segredos e nunca exibidos; redução de pacientes a iniciais antes da gravação, garantida também por regra no banco de dados; arquivos privados, acessíveis apenas por links temporários de 60 segundos; isolamento dos dados de cada Médico, Prestador e Instituição no banco de dados; autenticação em dois fatores obrigatória para a equipe interna da Sincra; proteção contra robôs; registros de auditoria e de leitura que não podem ser alterados; e remoção automática de identificadores nos registros de erros.

Nenhum sistema é totalmente imune a incidentes. Se ocorrer um incidente de segurança que possa gerar risco ou dano relevante, comunicaremos a ANPD e os titulares afetados, nos termos da LGPD e da regulamentação da ANPD. Se o incidente envolver o acesso a um Portal de Operadora, avisaremos também o Prestador para que troque a senha.

10. Idade mínima

A Plataforma é destinada a maiores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes como Usuários. Se identificarmos esse tipo de cadastro, a conta será encerrada e os dados eliminados. Pacientes menores de idade podem constar nas informações de faturamento lidas dos Portais, sempre apenas por iniciais, na forma da Cláusula 2.4.

11. Encarregado pelo tratamento de dados

Encarregado (DPO): Felipe Miranda Contato: contato@sincra.app

12. Alterações desta Política

Podemos atualizar esta Política. Alterações relevantes serão comunicadas pela Plataforma ou por e-mail antes de entrarem em vigor. A versão vigente estará sempre em sincra.app/privacidade, com a data de início de vigência.

SINCRA TECNOLOGIA LTDA. — CNPJ 67.523.782/0001-14 — contato@sincra.app