Política de Privacidade

Última atualização: 4 de novembro de 2026

A Quitali leva a sério a privacidade, porque o nosso trabalho é cuidar de informação sensível das clínicas. Esta política explica, em linguagem direta, quais dados pessoais tratamos neste site, no nosso e-mail e na nossa prospecção comercial, por quê, por quanto tempo e como você exerce os seus direitos, conforme a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, "LGPD").

1. Quem somos

Quitali Tecnologia Ltda, CNPJ 69.938.970/0001-39, com sede em Av. Carlos Gomes, 3825, Monjolo, Foz do Iguaçu/PR, CEP 85864-555 ("Quitali", "nós"). Para os tratamentos descritos aqui, a Quitali é a controladora dos dados.

2. O que esta política não cobre: dados de pacientes

A Quitali presta serviço a clínicas e laboratórios para prevenir e recuperar glosas de planos de saúde. Para isso, trata dados de faturamento que incluem dados de pacientes em nome da clínica, que é a controladora desses dados; a Quitali atua como operadora, só segue as instruções da clínica e está proibida por contrato de usar esses dados para qualquer outra finalidade.

Se você é paciente e quer saber como seus dados são usados no faturamento do seu atendimento, procure a clínica ou o laboratório onde foi atendido. Se nos escrever, encaminharemos o pedido à clínica responsável.

3. Navegação no site

• O site não tem ferramenta de análise de audiência (analytics), não tem pixel de redes sociais e não usa cookie de publicidade.
• Como qualquer site, ao ser acessado ele gera registros técnicos no nosso provedor de hospedagem (Cloudflare): endereço IP, data e hora, página pedida e tipo de navegador. Esses registros servem para entregar a página e proteger o site contra ataques.
• Proteção contra robôs (Cloudflare Turnstile). Só na página do formulário, usamos o Turnstile, da Cloudflare, para separar pessoas de robôs sem pedir que você resolva enigmas. Ele analisa sinais técnicos do seu navegador, como endereço IP, características da conexão segura (TLS) e o tipo de navegador. A Cloudflare informa que não usa esses sinais para identificar, traçar perfil ou direcionar publicidade a pessoas, e que os usa também para melhorar o próprio Turnstile, como controladora (Turnstile Privacy Addendum). Deixamos desligada a pré-liberação do Turnstile, que é a função que grava o cookie cf_clearance no navegador. O Turnstile entrega ao formulário um código de verificação de uso único, que conferimos no nosso servidor e não guardamos; guardamos só o resultado da conferência.
• Base legal: legítimo interesse da Quitali em manter o site seguro e funcionando (LGPD, art. 7º, IX).
• Prazo: o definido pelo provedor, limitado ao menor prazo que ele permitir.
• As fontes e imagens do site são servidas pelo próprio site, sem chamar servidores de terceiros.

3-A. Pedido de diagnóstico pelo formulário

Se você pede o diagnóstico grátis em nome de uma clínica, tratamos:

• o que você informa: CNPJ da clínica, seu nome, cargo, e-mail corporativo e telefone;
• a conferência que fazemos: consultamos o CNPJ na base pública da Receita Federal (situação cadastral, atividade e se o seu nome consta do quadro de sócios e administradores). Se não constar, podemos ligar para o telefone público da clínica para confirmar que você pode representá-la;
• o registro do aceite: quando você aceita o Acordo de Tratamento de Dados do diagnóstico e os Termos de Uso do site, guardamos a versão do texto, a data e a hora, o endereço IP e o tipo de navegador, para provar o que foi aceito, por quem e quando. Mandamos uma cópia ao seu e-mail. Se o domínio do seu e-mail for diferente do domínio do e-mail da clínica cadastrado na Receita Federal, mandamos a cópia também a esse e-mail da Receita, que não guardamos depois do envio.

Para que serve: avaliar e aprovar o pedido, mandar o link de envio e os avisos do diagnóstico (inclusive a confirmação de que os arquivos foram apagados) e guardar a prova do acordo.

• Base legal: procedimentos preliminares a um contrato, a seu pedido e da clínica (LGPD, art. 7º, V); exercício regular de direitos, para o registro do aceite (art. 7º, VI).
• Prazo: pedido recusado ou sem envio de arquivos, 30 dias. Registro do aceite: 5 anos depois de os arquivos do diagnóstico serem apagados, anonimizamos o seu cargo, e-mail e telefone; guardamos o seu nome, o CNPJ da clínica, o endereço IP, a data e a hora do aceite e a versão do texto, como prova do acordo, e os apagamos 10 anos depois de os arquivos serem apagados. Se a clínica virar cliente, seguimos os prazos do contrato.
• O relatório do diagnóstico (só números agregados, sem dado de paciente) fica guardado por 5 anos contados da entrega à clínica, como prova do serviço prestado, e depois é apagado. Ele pertence à clínica e segue o acordo com ela.
• Não pedimos CPF nem dado pessoal além do necessário.
• Os arquivos que a clínica envia (com dados de pacientes) não são tratados por esta política: seguem o acordo com a clínica, ficam na AWS em São Paulo e são apagados depois do diagnóstico (seção 2).

3-B. Registros de acesso

Com o formulário e a página de envio, somos provedores de aplicação de internet. Guardamos os registros de acesso (data e hora de uso, associadas ao endereço IP) por 365 dias, em sigilo e em ambiente controlado. O Marco Civil da Internet (Lei nº 12.965/2014, art. 15) exige pelo menos 6 meses; guardamos um ano para poder provar, numa eventual disputa, quem usou o formulário e a página de envio e quando. Esses registros só são entregues a terceiros por ordem judicial. Base legal: cumprimento de obrigação legal nos primeiros 6 meses (LGPD, art. 7º, II) e, no restante do ano, exercício regular de direitos (art. 7º, VI).

4. Contato por e-mail ou WhatsApp

Se você nos escreve em contato@quitali.com.br ou pelo nosso WhatsApp, tratamos o seu nome, endereço de e-mail ou número de telefone e o que você escrever, para responder e, se for o caso, preparar uma proposta. Também usamos o WhatsApp para mandar o link de envio do diagnóstico, quando você prefere.

• Base legal: procedimentos preliminares a um contrato, a seu pedido (art. 7º, V), ou legítimo interesse em responder a quem nos procura (art. 7º, IX).
• Prazo: até 24 meses depois do último contato, salvo se a conversa virar contrato (aí seguimos os prazos legais e contratuais).
• Por favor, não nos envie dados de pacientes por e-mail nem por WhatsApp. Para o diagnóstico, há um procedimento próprio, com acordo de tratamento de dados e um link de envio direto para o nosso armazenamento no Brasil. Arquivo de paciente recebido por e-mail ou WhatsApp é apagado sem ser aberto.

5. Prospecção comercial (empresa para empresa)

A Quitali entra em contato, por e-mail, telefone, WhatsApp ou LinkedIn, com profissionais de clínicas, laboratórios e empresas de faturamento para oferecer os seus serviços.

• Dados: nome, cargo, empresa, e-mail e telefone profissionais, histórico do contato e eventual pedido para não ser mais contatado. Não coletamos CPF, dados de saúde, nem dados de vida pessoal.
• Origem: fontes públicas (Cadastro Nacional de Estabelecimentos de Saúde, cadastro público de CNPJ, site da empresa, perfis profissionais públicos), indicação de terceiros ou você mesmo.
• Base legal: legítimo interesse (art. 7º, IX, e art. 10), porque a oferta é dirigida à sua atividade profissional, usa só dados profissionais e você pode recusá-la a qualquer momento. Fizemos uma avaliação de legítimo interesse, disponível a pedido.
• Como deixar de receber: responda "não quero mais receber" a qualquer mensagem, ou escreva para privacidade@quitali.com.br. Atendemos em até 5 dias úteis. Guardamos só o seu e-mail ou telefone numa lista de bloqueio, para garantir que você não seja contatado de novo.
• Prazo: apagamos os dados de prospecção 12 meses depois do último contato sem resposta. A lista de bloqueio é mantida enquanto fizermos prospecção.
• Não fazemos ligações automáticas (robôs), não vendemos nem alugamos listas de contatos.

6. Com quem compartilhamos

Só com fornecedores necessários para operar, que tratam os dados em nosso nome e sob contrato:

• Site, DNS, proteção do formulário e acesso aos nossos sistemas: Cloudflare, Inc. (hospedagem, DNS, Turnstile, túnel e controle de acesso).
• Armazenamento, banco de dados e e-mails automáticos (link de envio, avisos, confirmação de exclusão): Amazon Web Services, na região de São Paulo (Brasil), inclusive o Amazon SES.
• E-mail profissional: Google LLC (Google Workspace).
• Mensagens por WhatsApp: WhatsApp LLC, do grupo Meta (aplicativo WhatsApp Business).
• Contabilidade e emissão de nota fiscal, quando você for cliente.
• Autoridades, quando houver obrigação legal ou ordem judicial.

7. Transferência internacional

Os dados guardados pela AWS (formulário, registro do aceite, registros de acesso) ficam no Brasil, na região de São Paulo. A Cloudflare (site, formulário e acesso), o Google (e-mail) e o WhatsApp (mensagens) podem tratar dados fora do Brasil, por exemplo nos Estados Unidos. Nesses casos, a transferência se apoia nos mecanismos do art. 33 da LGPD oferecidos por eles.

8. Seus direitos

Você pode pedir, a qualquer momento e sem custo (LGPD, art. 18): confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; portabilidade; informação sobre com quem compartilhamos; e oposição ao tratamento baseado em legítimo interesse (inclusive a prospecção). Também pode reclamar à ANPD (www.gov.br/anpd).

Para exercer seus direitos, escreva para privacidade@quitali.com.br. Podemos pedir uma confirmação de identidade simples. Respondemos em até 15 dias.

9. Encarregado pelo tratamento de dados pessoais

Gustavo Henrique Quionha, sócio administrador, indicado como encarregado por ato formal. Contato: privacidade@quitali.com.br e (19) 99508-0537.

10. Segurança

Os dados do formulário e dos diagnósticos ficam na AWS, na região de São Paulo, com criptografia em repouso (chaves gerenciadas no AWS KMS) e em trânsito, sem acesso público. Os nossos sistemas não têm porta aberta à internet; o acesso interno exige segundo fator. Registramos quem acessa o quê (AWS CloudTrail), monitoramos ameaças (Amazon GuardDuty) e mantemos registros técnicos sem dados de pacientes. O e-mail profissional tem autenticação em dois fatores. Nenhum arquivo de paciente fica em computador pessoal. Nenhum sistema é invulnerável; se ocorrer um incidente que possa trazer risco relevante a você, comunicaremos você e a ANPD nos prazos da regulamentação.

11. Crianças e adolescentes

O site e a prospecção são dirigidos a profissionais. Não tratamos intencionalmente dados de crianças e adolescentes nesses contextos.

12. Mudanças nesta política

Quando mudarmos esta política, atualizaremos a data no topo. Se a mudança for relevante (por exemplo, a criação de cookies não essenciais ou de analytics), avisaremos no site antes de ela valer.