Política de Privacidade

O Bem Estar Total está comprometido com a proteção dos seus dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018). Esta Política explica, em linguagem direta, quais dados coletamos, por que coletamos, com quem compartilhamos, por quanto tempo guardamos e o que você pode exigir de nós a qualquer momento.

Nesta Política, o Bem Estar Total atua como controlador dos dados pessoais dos beneficiários e visitantes do site, nos termos do artigo 5º, VI, da LGPD.

1. Dados que coletamos

Dados de cadastro

• Nome completo, CPF e data de nascimento
• Endereço, telefone e e-mail
• Dados de dependentes, quando o plano contratado os inclui

Dados de uso

• Histórico de agendamentos e de atendimentos realizados na rede
• Interações com o aplicativo e com o site (páginas visitadas, cliques, sessões)
• Dados de geolocalização aproximada, quando você autoriza, para busca de clínicas próximas
• Endereço IP, tipo de dispositivo, sistema operacional e navegador

Dados de pagamento

• Dados do cartão de crédito, processados diretamente pelo gateway de pagamento — não armazenamos o número completo do cartão nem o código de segurança
• Histórico de pagamentos, faturas e status de adimplência

Dados pessoais sensíveis

Dados referentes à saúde são dados pessoais sensíveis (art. 5º, II, da LGPD) e recebem tratamento reforçado. Coletamos apenas o mínimo necessário para viabilizar o agendamento — como a especialidade procurada — e não temos acesso a prontuário, diagnóstico, prescrição ou resultado de exame, que permanecem sob guarda e sigilo do profissional de saúde que o atendeu.

2. Finalidade do tratamento

Seus dados são utilizados para:

• Identificação e autenticação do beneficiário
• Processamento de pagamentos e cobranças
• Agendamento de consultas, exames e procedimentos
• Comunicação sobre o serviço (avisos, lembretes, atualizações contratuais)
• Prevenção a fraudes e proteção do crédito
• Melhoria dos nossos serviços e da experiência de uso, com dados agregados
• Cumprimento de obrigações legais, fiscais e regulatórias
• Envio de ofertas e promoções, mediante consentimento específico e revogável

3. Base legal

O tratamento dos seus dados pessoais é realizado com base nas seguintes hipóteses legais da LGPD:

• Execução de contrato (art. 7º, V): prestação dos serviços contratados, cadastro, agendamento e cobrança
• Consentimento (art. 7º, I, e art. 11, I): envio de comunicações de marketing e uso de geolocalização
• Legítimo interesse (art. 7º, IX): melhoria dos serviços, segurança e prevenção de fraudes, sempre com avaliação de impacto e respeito às suas expectativas
• Obrigação legal ou regulatória (art. 7º, II): guarda fiscal, contábil e resposta a autoridades
• Exercício regular de direitos (art. 7º, VI): defesa em processo judicial, administrativo ou arbitral
• Tutela da saúde (art. 11, II, "f"): tratamento de dados sensíveis estritamente necessário ao agendamento em procedimento realizado por profissionais de saúde

4. Compartilhamento de dados

Seus dados podem ser compartilhados com:

• Rede credenciada: profissionais e clínicas, apenas o necessário para realizar o atendimento
• Processadores de pagamento: para efetivação das cobranças e prevenção a fraude
• Operadores de tecnologia: hospedagem, envio de e-mail e mensageria e, quando contratada, medição de audiência — todos contratualmente obrigados a tratar os dados apenas conforme nossas instruções
• Autoridades públicas: quando exigido por lei, ordem judicial ou requisição de autoridade competente
• Sucessores: em caso de reorganização societária, fusão ou aquisição, com manutenção das mesmas garantias desta Política

Não vendemos, alugamos nem comercializamos seus dados pessoais com terceiros para fins de marketing.

5. Transferência internacional

Parte da infraestrutura que utilizamos — a hospedagem e, quando contratados, os serviços de e-mail transacional e de medição de audiência — opera em servidores localizados fora do Brasil. Nessas hipóteses, a transferência internacional se dá com base em cláusulas contratuais que impõem ao fornecedor grau de proteção compatível com o previsto nesta Política, nos termos do artigo 33 da LGPD.

6. Cookies e tecnologias semelhantes

Hoje este site usa apenas cookies necessários — os que mantêm você autenticado e protegem a sessão. Não instalamos cookies de publicidade nem de rastreamento de terceiros no site.

• Necessários: indispensáveis para a autenticação e a segurança da sessão. Não podem ser desativados sem impedir o login e o uso da carteirinha digital.

Caso passemos a utilizar cookies de medição de audiência ou de marketing, eles só serão instalados após o seu consentimento, recolhido em aviso próprio e revogável a qualquer momento — e esta Política será atualizada antes de qualquer mudança. Você pode gerenciar ou apagar cookies nas configurações do seu navegador a qualquer tempo.

7. Seus direitos como titular

A LGPD garante a você, a qualquer tempo e gratuitamente:

• Confirmação e acesso: saber se tratamos seus dados e obter cópia deles
• Correção: atualizar dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação: de dados desnecessários, excessivos ou tratados em desconformidade
• Portabilidade: transferência a outro fornecedor, conforme regulamentação da ANPD
• Eliminação: dos dados tratados com base no seu consentimento
• Informação sobre compartilhamento: com quais entidades públicas e privadas compartilhamos
• Informação sobre a possibilidade de não consentir e as consequências da negativa
• Revogação do consentimento, a qualquer momento e de forma facilitada
• Oposição a tratamento fundado em legítimo interesse
• Revisão de decisões automatizadas que afetem seus interesses
• Petição à ANPD, caso não fique satisfeito com nossa resposta

Para exercer qualquer um deles, escreva para privacidade@bemestartotal.com.br. Respondemos em até 15 dias, na forma do artigo 19 da LGPD. Podemos solicitar confirmação de identidade antes de atender ao pedido — é uma proteção contra pedidos fraudulentos feitos em seu nome.

8. Decisões automatizadas

Não utilizamos decisão exclusivamente automatizada para aprovar ou recusar a adesão: não há análise de crédito, de perfil de risco ou de condição preexistente. Regras automatizadas são usadas apenas em antifraude e na personalização de conteúdo, e você pode pedir revisão humana de qualquer resultado que o afete.

9. Segurança dos dados

Adotamos medidas técnicas e administrativas proporcionais ao risco, nos termos do artigo 46 da LGPD. Em resumo, e descrevendo apenas o que já está em funcionamento:

• O tráfego entre você e os nossos servidores é cifrado por HTTPS, e o domínio declara HSTS — o navegador recusa, por conta própria, qualquer conexão sem criptografia.
• Senhas são guardadas apenas como resultado de uma função de derivação de chave, nunca em texto legível: nem a nossa equipe consegue lê-las.
• O cookie de sessão não é acessível a scripts da página, só trafega em conexão cifrada e é invalidado quando você redefine a senha.
• Login, cadastro e recuperação de senha têm limite de tentativas por origem, e o erro de login não revela se um CPF ou e-mail está cadastrado.
• Os dados do cartão são processados no ambiente do gateway de pagamento, que detém certificação PCI-DSS, e não chegam aos nossos servidores.
• A aplicação roda isolada, com usuário sem privilégios administrativos, acessa o banco por usuário dedicado de menor privilégio e não fica exposta diretamente à internet.

A lista completa dos controles em operação está na página de LGPD. Nós a mantemos restrita ao que existe de fato: não anunciamos medida de segurança que ainda não tenhamos implantado, e cada novo controle passa a constar destes documentos quando entra em uso. Nenhum conjunto de medidas elimina o risco por completo — por isso a seção seguinte descreve o que fazemos se algo der errado.

10. Incidentes de segurança

Na hipótese de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados e os titulares afetados em prazo razoável, descrevendo os dados envolvidos, os riscos e as medidas adotadas para mitigar os efeitos, nos termos do artigo 48 da LGPD.

11. Retenção de dados

Guardamos cada dado apenas pelo tempo necessário à sua finalidade:

• Dados cadastrais: enquanto durar a relação contratual e por 5 anos após o encerramento, para defesa em eventual discussão sobre o contrato
• Documentos fiscais e de pagamento: 5 anos, por exigência da legislação tributária
• Registros de acesso à aplicação: 6 meses, conforme o artigo 15 do Marco Civil da Internet
• Dados tratados com base em consentimento: até a revogação do consentimento

Terminados os prazos, os dados são eliminados ou anonimizados de forma irreversível.

12. Dados de crianças e adolescentes

Menores de 18 anos só figuram no cadastro como dependentes, sempre inseridos e autorizados pelo titular responsável, no melhor interesse do menor. Não coletamos dados de crianças diretamente e não direcionamos publicidade a esse público.

13. Encarregado de Proteção de Dados (DPO)

Nosso Encarregado é o canal oficial para qualquer assunto de privacidade: privacidade@bemestartotal.com.br. Ele também recebe reclamações e comunicações da ANPD e orienta a equipe sobre as práticas de proteção de dados. A identificação nominal do Encarregado é fornecida a quem a solicitar por esse mesmo endereço, na forma do artigo 41 da LGPD.

14. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças legais, regulatórias ou de produto. Alterações relevantes são comunicadas por e-mail ou por aviso no aplicativo com antecedência mínima de 30 dias. A data de última atualização aparece no topo desta página.

15. Observação importante sobre o serviço

O Bem Estar Total é um cartão de multibenefícios e não é um plano de saúde. Não substitui plano ou seguro-saúde e não possui cobertura regulamentada pela ANS. Por isso, não operamos rede assistencial própria e não mantemos prontuário eletrônico dos beneficiários — a documentação clínica pertence ao profissional ou à clínica que realizou o atendimento, e o pedido de acesso a ela deve ser dirigido diretamente a eles.