Política de privacidade

Última atualização: 8 de novembro de 2026

Esta política explica como a LRB TECNOLOGIA SOB MEDIDA LTDA (“LRB Tech”, “nós”), CNPJ 50.475.503/0001-91, com sede na Rua José Gomes, 220, ap. 401, Porto Alegre – RS, 91910-280, trata dados pessoais ao oferecer a LRB Tech, uma plataforma de atendimento pelo WhatsApp com assistente de inteligência artificial para clínicas e consultórios (o “Serviço”), e ao manter o site lrbtech.org.

1. Papéis de cada um

A clínica é a controladora dos dados dos seus pacientes. Ela decide por que e como esses dados são usados, e é a ela que o paciente deve se dirigir primeiro.
A LRB Tech é a operadora desses dados: tratamos os dados dos pacientes somente para prestar o Serviço à clínica, seguindo as instruções dela e esta política.
A LRB Tech é a controladora dos dados cadastrais das clínicas e dos usuários da plataforma (profissionais e equipe) e dos dados de contato de quem fala conosco.

2. Quais dados tratamos

Categoria	Exemplos	Origem
Conversas no WhatsApp	Nome e número de WhatsApp do paciente, mensagens, áudios, fotos e documentos trocados com a clínica	WhatsApp Business Platform (Meta), pelo número da clínica
Agendamentos	Data, horário, profissional, serviço e situação das consultas; eventos da agenda	Conversas e Google Agenda conectado pela clínica
Pagamentos	Valor, descrição, situação do pagamento e identificadores do Mercado Pago. Não recebemos dados de cartão.	Mercado Pago
Arquivos	Arquivos que o Serviço cria ou envia para a pasta própria no Google Drive da clínica	Google Drive conectado pela clínica
Cadastro da clínica e dos usuários	Razão social, serviços, preços, horários, nome, e-mail, função e credenciais de acesso da equipe	A própria clínica
Autorizações de integrações	Tokens de acesso do WhatsApp, Google e Mercado Pago	Autorização dada pela clínica ou pelo profissional
Dados técnicos	Registros de acesso, endereço IP, navegador	Uso da plataforma e do site

Conversas de saúde podem conter dados pessoais sensíveis. Eles são tratados apenas para a prestação do serviço de saúde pela clínica (art. 11 da LGPD) e não são usados para nenhuma outra finalidade.

3. Para que usamos os dados

Receber e responder mensagens dos pacientes em nome da clínica, por meio do assistente de IA e da equipe.
Consultar disponibilidade e marcar, remarcar ou cancelar consultas na agenda da clínica.
Enviar lembretes e avisos usando modelos de mensagem aprovados pelo WhatsApp.
Gerar cobranças e acompanhar pagamentos na conta Mercado Pago da clínica ou do profissional.
Guardar e compartilhar arquivos da clínica na pasta do Serviço no Google Drive.
Manter a plataforma funcionando, segura e com suporte; cumprir obrigações legais.

Não vendemos dados pessoais, não os usamos para publicidade e não os usamos para treinar modelos de inteligência artificial próprios.

4. Bases legais

Tratamos dados para executar o contrato com a clínica (art. 7º, V), cumprir obrigações legais (art. 7º, II), atender interesses legítimos como segurança e suporte (art. 7º, IX) e, no caso de dados de saúde, para a tutela da saúde realizada pela clínica e seus profissionais (art. 11, II, “f”). A clínica, como controladora, é responsável pela base legal do tratamento dos dados dos seus pacientes.

5. Com quem compartilhamos

Usamos estes fornecedores (suboperadores), apenas no necessário para prestar o Serviço:

Fornecedor	Para quê
Meta Platforms (WhatsApp Business Platform)	Enviar e receber as mensagens de WhatsApp da clínica
Oracle Cloud Infrastructure (região Vinhedo, SP, Brasil)	Hospedagem dos servidores e do banco de dados
OpenRouter e os provedores de modelos de IA acessados por ele	Gerar as respostas do assistente e transcrever áudios
Google (Google Agenda e Google Drive)	Agenda e arquivos, quando a clínica conecta essas contas
Mercado Pago	Cobranças e pagamentos, quando a clínica ou o profissional conecta a conta
Cloudflare	DNS, proteção e entrega do site e da plataforma

Também podemos compartilhar dados quando a lei ou uma autoridade competente exigir.

6. Transferência internacional

Alguns fornecedores, como a Meta, o OpenRouter e provedores de modelos de IA, processam dados fora do Brasil. Essas transferências são feitas para executar o contrato com a clínica e com as salvaguardas previstas no art. 33 da LGPD.

7. Dados do Google

Quando a clínica ou um profissional conecta uma conta Google, pedimos apenas:

Google Agenda: ler, criar, alterar e excluir eventos nas agendas conectadas, para mostrar horários livres e registrar consultas.
Google Drive (escopo drive.file): acesso apenas aos arquivos que o próprio Serviço cria ou abre, para guardar e compartilhar arquivos da clínica. Não vemos os demais arquivos do Drive.

O uso e a transferência, pela LRB Tech, de informações recebidas das APIs do Google para qualquer outro aplicativo seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. Em especial:

Usamos os dados do Google somente para oferecer e melhorar as funções do Serviço visíveis ao usuário, descritas acima.
Não transferimos esses dados a terceiros, exceto quando necessário para essas funções (por exemplo, enviar horários livres ao modelo de IA que responde ao paciente), para cumprir a lei ou em caso de fusão ou aquisição, com aviso prévio.
Não usamos esses dados para publicidade nem os vendemos.
Pessoas da LRB Tech não leem esses dados, exceto com autorização do usuário, por segurança, para cumprir a lei ou quando estiverem agregados e anonimizados.
Não usamos dados das APIs do Google Workspace para desenvolver, melhorar ou treinar modelos genéricos de inteligência artificial ou aprendizado de máquina.

O acesso pode ser revogado a qualquer momento na plataforma ou em myaccount.google.com/permissions.

8. Dados do WhatsApp e da Meta

A clínica conecta o próprio número pelo cadastro oficial da Meta (Embedded Signup). O número, a conta do WhatsApp Business e o portfólio empresarial continuam sendo da clínica, que pode remover o acesso da LRB Tech a qualquer momento nas configurações do seu portfólio empresarial na Meta. Usamos os dados recebidos da Meta apenas para operar o atendimento da clínica.

9. Por quanto tempo guardamos

Guardamos os dados enquanto o contrato com a clínica estiver ativo. Depois do encerramento, ou a pedido da clínica, excluímos os dados em até 90 dias, salvo o que a lei exigir manter. Quando uma integração é desconectada, apagamos o token de acesso correspondente.

10. Segurança

Usamos conexões criptografadas (HTTPS/TLS), acesso à plataforma por usuário e perfil, segredos fora do código e servidores em data center no Brasil. Nenhum sistema é totalmente imune a incidentes; se acontecer algum que possa causar risco relevante, avisaremos a clínica e a ANPD conforme a LGPD.

11. Seus direitos

Pela LGPD (art. 18), você pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade, exclusão, informação sobre compartilhamentos e revogação de consentimento. Pacientes devem falar primeiro com a clínica, que é a controladora; nós a apoiamos no atendimento. Você também pode escrever para privacidade@lrbtech.org. Veja como pedir a exclusão em Exclusão de dados.

12. Encarregado (DPO) e contato

Encarregada pelo tratamento de dados pessoais: Luiza Vitória Cabral Itaqui, privacidade@lrbtech.org. LRB TECNOLOGIA SOB MEDIDA LTDA, Rua José Gomes, 220, ap. 401, Porto Alegre – RS, 91910-280, Brasil.

13. Crianças

A plataforma é usada por clínicas e suas equipes. Quando um paciente é criança ou adolescente, a clínica é responsável por tratar os dados no seu melhor interesse e com o consentimento exigido por lei.

14. Mudanças

Podemos atualizar esta política. A data no topo indica a versão atual; mudanças relevantes serão comunicadas às clínicas.

Privacy policy

Last updated: November 8, 2026. The Portuguese version above prevails in case of conflict.

Versão em português

This policy explains how LRB TECNOLOGIA SOB MEDIDA LTDA (“LRB Tech”, “we”), Brazilian tax ID (CNPJ) 50.475.503/0001-91, Rua José Gomes, 220, ap. 401, Porto Alegre – RS, 91910-280, Brazil, handles personal data when providing LRB Tech, a WhatsApp customer-service platform with an AI assistant for clinics and medical practices (the “Service”), and when running the lrbtech.org website.

1. Roles

The clinic is the controller of its patients' data. It decides why and how that data is used, and patients should contact it first.
LRB Tech is the processor of that data: we process patient data only to provide the Service to the clinic, following its instructions and this policy.
LRB Tech is the controller of the account data of clinics and platform users (professionals and staff) and of the contact details of people who write to us.

2. Data we process

Category	Examples	Source
WhatsApp conversations	Patient name and WhatsApp number, messages, voice notes, photos and documents exchanged with the clinic	WhatsApp Business Platform (Meta), on the clinic's number
Appointments	Date, time, professional, service and status; calendar events	Conversations and the Google Calendar the clinic connects
Payments	Amount, description, payment status and Mercado Pago identifiers. We never receive card data.	Mercado Pago
Files	Files the Service creates or uploads to its own folder in the clinic's Google Drive	The Google Drive the clinic connects
Clinic and user accounts	Company name, services, prices, opening hours; staff names, e-mails, roles and login credentials	The clinic
Integration authorizations	WhatsApp, Google and Mercado Pago access tokens	Authorization given by the clinic or professional
Technical data	Access logs, IP address, browser	Use of the platform and the website

Health conversations may include sensitive personal data. It is processed only so the clinic can provide its health services (LGPD art. 11) and for no other purpose.

3. How we use data

Receive and answer patients' messages on the clinic's behalf, through the AI assistant and the clinic's staff.
Check availability and book, reschedule or cancel appointments in the clinic's calendar.
Send reminders and notices using WhatsApp-approved message templates.
Create payment requests and track payments in the clinic's or professional's Mercado Pago account.
Store and share the clinic's files in the Service's folder in Google Drive.
Operate, secure and support the platform; comply with legal obligations.

We do not sell personal data, do not use it for advertising and do not use it to train our own AI models.

4. Legal bases

We process data to perform our contract with the clinic (LGPD art. 7, V), comply with legal obligations (art. 7, II), pursue legitimate interests such as security and support (art. 7, IX) and, for health data, for the protection of health carried out by the clinic and its professionals (art. 11, II, “f”). The clinic, as controller, is responsible for the legal basis for processing its patients' data.

5. Who we share data with

We use these providers (sub-processors), only as needed to provide the Service:

Provider	Purpose
Meta Platforms (WhatsApp Business Platform)	Sending and receiving the clinic's WhatsApp messages
Oracle Cloud Infrastructure (Vinhedo region, São Paulo, Brazil)	Hosting of servers and database
OpenRouter and the AI model providers it routes to	Generating the assistant's replies and transcribing voice notes
Google (Google Calendar and Google Drive)	Calendar and files, when the clinic connects those accounts
Mercado Pago	Payment requests and payments, when the clinic or professional connects an account
Cloudflare	DNS, protection and delivery of the website and platform

We may also share data when required by law or a competent authority.

6. International transfers

Some providers, such as Meta, OpenRouter and AI model providers, process data outside Brazil. These transfers are made to perform the contract with the clinic and with the safeguards required by LGPD art. 33.

7. Google user data

When a clinic or professional connects a Google account, we request only:

Google Calendar: read, create, change and delete events in the connected calendars, to show free time slots and record appointments.
Google Drive (drive.file scope): access only to files the Service itself creates or opens, to store and share the clinic's files. We cannot see the rest of the Drive.

LRB Tech's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. In particular:

We use Google user data only to provide and improve the user-facing features of the Service described above.
We do not transfer it to others except as needed for those features (for example, sending free time slots to the AI model that answers the patient), to comply with the law, or as part of a merger or acquisition with prior notice.
We do not use it for advertising and do not sell it.
No person at LRB Tech reads it, except with the user's permission, for security, to comply with the law, or when it is aggregated and anonymized.
We do not use Google Workspace API data to develop, improve or train generalized AI or machine-learning models.

Access can be revoked at any time in the platform or at myaccount.google.com/permissions.

8. WhatsApp and Meta data

The clinic connects its own number through Meta's official signup (Embedded Signup). The number, the WhatsApp Business account and the business portfolio remain the clinic's, and the clinic can remove LRB Tech's access at any time in its Meta business portfolio settings. We use data received from Meta only to run the clinic's patient service.

9. Retention

We keep data while the contract with the clinic is active. After it ends, or at the clinic's request, we delete the data within 90 days, except what the law requires us to keep. When an integration is disconnected, we delete its access token.

10. Security

We use encrypted connections (HTTPS/TLS), per-user and per-role access to the platform, secrets kept out of source code, and servers in a data center in Brazil. No system is immune to incidents; if one may cause relevant risk, we will notify the clinic and Brazil's data protection authority (ANPD) as the LGPD requires.

11. Your rights

Under the LGPD (art. 18) you may request confirmation of processing, access, correction, anonymization, portability, deletion, information about sharing, and withdrawal of consent. Patients should contact the clinic first, as it is the controller; we help it respond. You can also write to privacidade@lrbtech.org. See how to request deletion on the Data deletion page.

12. Data protection officer and contact

Data protection officer (Encarregada): Luiza Vitória Cabral Itaqui, privacidade@lrbtech.org. LRB TECNOLOGIA SOB MEDIDA LTDA, Rua José Gomes, 220, ap. 401, Porto Alegre – RS, 91910-280, Brazil.

13. Children

The platform is used by clinics and their staff. When a patient is a child or teenager, the clinic is responsible for processing their data in their best interest and with the consent the law requires.

14. Changes

We may update this policy. The date at the top shows the current version; relevant changes will be communicated to clinics.