Esta Política se aplica a três grupos de pessoas, com papéis diferentes no tratamento de dados:
Visitantes do site institucional (devra.tec.br e domínios associados) que preenchem formulários de contato ou solicitação de acesso; Usuários da Plataforma — colaboradores das empresas, clínicas e demais organizações que contratam a Devra ("Clientes" ou "Tenants") e que acessam o sistema para gerenciar estoque, vendas, agendamentos, prontuários e demais funcionalidades; Clientes finais e pacientes dos nossos Clientes — as pessoas cujos dados (nome, CPF, prontuário médico, histórico de compras etc.) são cadastrados pelos nossos Clientes dentro da Plataforma. Como explicado na Seção 3, nosso papel jurídico perante cada um desses grupos é diferente nos termos da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, "LGPD").
a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD); o Marco Civil da Internet (Lei nº 12.965/2014) e seu decreto regulamentador (Decreto nº 8.771/2016); o Regulamento Geral sobre a Proteção de Dados da União Europeia (Regulamento (UE) 2016/679 — GDPR), no que for aplicável a titulares localizados no Espaço Econômico Europeu ou no Reino Unido, nos termos do seu art. 3(2); normas específicas do exercício da medicina e da guarda de prontuários, quando o Cliente utiliza os módulos clínicos da Plataforma: Lei nº 12.842/2013 (Lei do Ato Médico), Lei nº 13.787/2018 (digitalização de prontuários), a Resolução CFM nº 1.821/2007 e o Código de Ética Médica (Resolução CFM nº 2.217/2018, com suas alterações), no que se refere ao sigilo profissional; e normas da ANVISA aplicáveis à prescrição de medicamentos sujeitos a controle especial (Portaria SVS/MS nº 344/1998) e de antimicrobianos (RDC ANVISA nº 20/2011), quando o profissional de saúde utiliza o módulo de prescrições da Plataforma. 3. Nosso papel: quando somos Controladora e quando somos Operadora A LGPD distingue controlador (quem toma as decisões sobre o tratamento de dados pessoais, art. 5º, VI) de operador (quem trata dados pessoais em nome do controlador, seguindo suas instruções, art. 5º, VII e art. 39). Essa distinção é central para entender esta Política:
Titular dos dados Dado tratado Papel da Devra Papel do Cliente (Tenant) Visitante do site / lead comercial Nome, e-mail, telefone, mensagem enviados em formulários da landing page Controladora — Usuário da Plataforma (equipe do Tenant) Conta de acesso, senha, foto de perfil, sessão Controladora — Cliente final / paciente do Tenant Cadastro, histórico de compras, prontuário, receitas, imagens clínicas, mensagens de WhatsApp Operadora, tratando estritamente segundo as instruções do Tenant (LGPD art. 39) Controladora, responsável por ter base legal válida para coletar e tratar os dados de seus próprios clientes/pacientes Na prática: se você é paciente, cliente ou consumidor de uma loja, clínica ou negócio que usa a Devra, a relação de titular de dados é com esse negócio, não diretamente com a Devra. Recomendamos que você primeiro contate o estabelecimento onde seus dados foram coletados. A Devra auxilia os Tenants a atender essas solicitações, conforme a Seção 10.
Se você é um visitante do nosso site ou um usuário cadastrado na Plataforma (colaborador de um Tenant), a Devra é a controladora dos seus dados e o canal de contato desta Política se aplica diretamente a você.
4.2 Usuários da Plataforma (equipe dos Tenants) Para colaboradores que acessam o sistema em nome de um Tenant: nome, e-mail, senha (armazenada apenas como hash criptográfico, nunca em texto plano), foto de perfil, idioma preferido e registros de sessão. Para profissionais de saúde cadastrados como prestadores de serviço: CPF, número de registro no conselho profissional (CRM, CRO ou equivalente), UF do registro e especialidade — dados necessários para emitir prescrições válidas.
4.3 Clientes finais e pacientes (dados tratados pela Devra como operadora, em nome do Tenant) Dependendo dos módulos que o Tenant utiliza, os seguintes dados podem estar na Plataforma:
Cadastro geral: nome, e-mail, telefone, CPF ou CNPJ, data de nascimento, gênero, endereço, observações e campos personalizados definidos pelo próprio Tenant. Dados de saúde (dados pessoais sensíveis, LGPD art. 5º, II e art. 11), quando o Tenant utiliza o módulo clínico: tipo sanguíneo, convênio de saúde, alergias conhecidas, contato de emergência, prontuário médico (diagnóstico, prescrições, evolução clínica), receitas médicas — inclusive de medicamentos sujeitos a controle especial ou antimicrobianos —, anamnese, imagens clínicas e documentos (exames, laudos, termos de consentimento). Assinatura eletrônica de receitas: quando um profissional finaliza uma receita, o CPF, nome completo, CRM, UF e especialidade do profissional, além do PDF da receita (contendo nome do paciente e medicamentos prescritos), são enviados a um prestador de assinatura eletrônica para conferir validade jurídica ao documento, nos termos da Medida Provisória nº 2.200-2/2001 (ver Seção 6). Histórico comercial: vendas, produtos, movimentações de estoque, cupons, condicionais e pedidos vinculados ao cadastro do cliente. Comunicações via WhatsApp: número de telefone, nome do contato, conteúdo das mensagens trocadas e mídia enviada (usado para confirmações de agendamento, lembretes e pesquisas de satisfação configuradas pelo Tenant). 4.4 Dados técnicos e de segurança Coletamos automaticamente, para todos os usuários autenticados: registros de acesso e tentativas de login (e-mail utilizado, endereço IP, sucesso ou falha, data/hora), tokens de sessão (armazenados apenas como hash, nunca em texto plano) e registros de auditoria de alterações relevantes no sistema. Esses registros existem para segurança, prevenção a fraude e para cumprir a obrigação de guarda de registros de acesso a aplicações de internet prevista no art. 15 do Marco Civil da Internet.
4.5 Cookies e tecnologias semelhantes Nas páginas públicas de marketing (/, /lojistas, /medicos, /termos, /privacidade, /erp, /whatsapp, /pdv), exibimos um banner de consentimento de cookies. Enquanto você não decidir, e caso decida recusar, não carregamos o Vercel Analytics (nossa ferramenta de métricas de uso, que não utiliza cookies para identificar indivíduos) nessas páginas. Sua escolha fica salva no seu navegador (localStorage) e pode ser alterada a qualquer momento pelo link "Preferências de cookies" no rodapé.
Dentro da Plataforma autenticada, além do monitoramento de erros descrito abaixo, utilizamos o Statsig para medir quais funcionalidades são utilizadas e para liberar novidades de forma gradual. Ele recebe apenas o identificador interno da sua conta e do Tenant, a rota acessada e eventos de navegação — nunca seu nome, e-mail, cargo ou o conteúdo das telas. Como se trata de uma ferramenta de trabalho contratada pela organização em que você atua, e não de um site de navegação aberta, esse tratamento se apoia no legítimo interesse (LGPD art. 7º, IX), e não no banner de cookies. A gravação de sessão (session replay) do Statsig permanece desativada na Plataforma.
Nosso sistema de monitoramento de erros (Sentry) permanece sempre ativo, inclusive se você recusar os cookies de análise — ele não é uma tecnologia de rastreamento de navegação e é necessário para a segurança e estabilidade do Serviço (base legal: legítimo interesse, LGPD art. 7º, IX). Ele é configurado para nunca coletar dados pessoais dos usuários finais nem o conteúdo de requisições HTTP.
Prestador Finalidade Dados envolvidos Amazon Web Services (AWS RDS) Hospedagem do banco de dados principal, na região São Paulo (Brasil) Todos os dados armazenados na Plataforma Vercel Inc. Hospedagem da aplicação web, armazenamento de arquivos (avatares, imagens e documentos clínicos, PDFs de receita) e métricas de uso (Analytics) Todos os dados exibidos/enviados pela aplicação; arquivos enviados pelos usuários Mailgun (Sinch) Envio de e-mails transacionais (redefinição de senha, boas-vindas, notificações de agendamento configuradas pelo Tenant) e de e-mails de leads comerciais Nome, e-mail, conteúdo da mensagem/notificação Datafy Envio e recebimento de mensagens via WhatsApp (lembretes, confirmações, pesquisas de satisfação) Número de telefone, nome de contato, conteúdo da mensagem, mídia Prescri, VIDaaS e BirdID Assinatura eletrônica de receitas médicas com certificação ICP-Brasil CPF, nome, CRM/UF e especialidade do profissional; PDF da receita com dados do paciente NFe.io (Tecnologia em Notas Fiscais) Emissão de notas fiscais eletrônicas (NFC-e/NFS-e) a partir das vendas registradas na Plataforma Nome, CPF ou CNPJ, e-mail e endereço do consumidor, além dos itens e valores da venda Statsig Métricas de uso do produto e liberação controlada de funcionalidades Identificador interno do usuário e do Tenant, rota acessada e eventos de navegação — nunca nome, e-mail, cargo ou conteúdo de tela Sentry (Functional Software, Inc.) Monitoramento de erros técnicos da aplicação Dados técnicos do erro; nunca dados pessoais de usuários finais ou conteúdo de requisições, por configuração explícita ViaCEP Preenchimento automático de endereço a partir do CEP digitado Apenas o CEP informado ClickUp Gestão interna de oportunidades comerciais geradas pelo site Nome, e-mail, telefone e mensagem de leads (não inclui dados de Tenants já clientes) Não vendemos dados pessoais a terceiros. O compartilhamento com os prestadores acima ocorre mediante contratos que exigem tratamento adequado, confidencialidade e medidas de segurança compatíveis com a LGPD. Também podemos compartilhar dados quando exigido por lei, ordem judicial ou requisição de autoridade competente.
Transferência internacional de dados Nosso banco de dados principal é hospedado no Brasil (região São Paulo da AWS). Alguns dos prestadores listados na Seção 6 (Vercel, Sentry, Statsig, Mailgun, ClickUp e as certificadoras de assinatura eletrônica) têm infraestrutura ou sede fora do Brasil, o que pode envolver transferência internacional de dados nos termos do art. 33 da LGPD. Nesses casos, buscamos assegurar salvaguardas contratuais adequadas (como cláusulas-padrão contratuais e políticas de privacidade e segurança dos próprios fornecedores) para garantir um nível de proteção compatível com a LGPD.
Retenção e eliminação de dados Mantemos os dados pelo tempo necessário para cumprir as finalidades descritas nesta Política, as obrigações legais e regulatórias aplicáveis (incluindo prazos de guarda de prontuário médico e de registros fiscais) e o período contratual com o Tenant.
Quando um Tenant encerra sua conta, a Plataforma segue um cronograma escalonado de anonimização, com prazos diferentes para cada categoria de dado — clínico, financeiro, operacional e de auditoria —, de modo que registros de natureza distinta sejam tratados de forma proporcional à sua sensibilidade e às obrigações legais de guarda aplicáveis a cada um. Sessões de acesso expiram automaticamente em até 7 dias; tokens de redefinição de senha e de acesso temporário por QR code são de uso único e expiram em minutos ou horas.
Segurança da informação Adotamos medidas técnicas e organizacionais para proteger os dados pessoais tratados na Plataforma, entre elas: senhas armazenadas exclusivamente como hash criptográfico (nunca em texto plano); tokens de sessão e de redefinição de senha armazenados apenas como hash, com expiração automática; comunicação criptografada via HTTPS/TLS; isolamento lógico dos dados de cada Tenant; e monitoramento de erros configurado para nunca capturar dados pessoais de usuários finais. Apesar dessas medidas, nenhum sistema é absolutamente livre de risco — em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, nos termos do art. 48 da LGPD.
Seus direitos como titular de dados Nos termos do art. 18 da LGPD (e, quando aplicável, dos arts. 15 a 22 do GDPR), você tem direito a: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei; portabilidade a outro fornecedor; eliminação dos dados tratados com base no consentimento; informação sobre entidades com as quais compartilhamos dados; informação sobre a possibilidade de não fornecer consentimento e suas consequências; revogação do consentimento; e revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.
Se você é usuário cadastrado na Plataforma ou visitante do site, exerça esses direitos diretamente conosco pelo canal indicado na Seção 12.
Se você é cliente final ou paciente de um estabelecimento que usa a Devra, como regra geral, seu ponto de contato principal é o próprio estabelecimento (Tenant), que é o controlador responsável pelos seus dados. A Devra auxilia os Tenants a atender essas solicitações, conforme suas obrigações de operadora (art. 39 da LGPD), inclusive fornecendo os meios técnicos para exportação, correção ou eliminação de dados quando solicitado pelo Tenant.
Crianças e adolescentes O cadastro direto de usuários na Plataforma não é destinado a menores de 18 anos. Quando um Tenant utiliza o módulo clínico e cadastra crianças ou adolescentes como pacientes, o tratamento desses dados é de responsabilidade do Tenant, que deve assegurar consentimento específico e em destaque de um dos pais ou do responsável legal, sempre observando o melhor interesse da criança e do adolescente, nos termos do art. 14 da LGPD.
Encarregado de Proteção de Dados (DPO) e contato Para exercer seus direitos, tirar dúvidas sobre esta Política ou reportar um incidente de segurança, entre em contato com nosso Encarregado de Proteção de Dados (DPO), nos termos do art. 41 da LGPD:
Encarregado: Luiz Guilherme Picorelli E-mail: privacidade@devra.io Telefone: (28) 99949-5469 Endereço: Avenida Américo Buaiz, nº 501, Sala 815, Torre Norte, Enseada do Suá, Vitória/ES, CEP 29050-911 Caso não fique satisfeito com nossa resposta, você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), pelo site gov.br/anpd, ou, se localizado no Espaço Econômico Europeu ou no Reino Unido, à autoridade de proteção de dados do seu país de residência, nos termos do art. 77 do GDPR.