Política de Privacidade da Sincra
Versão 1.0 — vigente a partir de 19 de setembro de 2026
Esta Política explica como a SINCRA TECNOLOGIA LTDA. (CNPJ 67.523.782/0001-14, com sede na Avenida Coronel Fernando Ferreira Leite, nº 1.520, Sala 210, Anexo SNCR, Jardim Califórnia, Ribeirão Preto/SP, CEP 14026-020) ("Sincra", "nós") trata dados pessoais na plataforma Sincra ("Plataforma"), em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — "LGPD").
Os termos iniciados em maiúscula e não definidos aqui têm o significado dado nos Termos de Uso.
Resumo:
- Coletamos os dados necessários para verificar médicos, organizar plantões, registrar presença e operar a antecipação de recebíveis.
- A localização é coletada apenas no momento do check-in ou check-out, nunca de forma contínua.
- Não coletamos dados de pacientes e pedimos que você nunca os insira na Plataforma.
- Compartilhamos dados com o hospital a que você se vincula, com o financiador da antecipação que você solicitar e com os fornecedores que operam a Plataforma.
- Não vendemos dados pessoais e não usamos cookies de publicidade.
- Para exercer seus direitos: contato@sincra.app.
1. Quem é responsável pelos seus dados
1.1. A Sincra é controladora dos dados tratados para: criar e manter contas; verificar a identidade e a inscrição profissional dos Médicos; garantir a segurança e prevenir fraudes; operar a antecipação de recebíveis; enviar comunicações próprias; e cumprir obrigações legais.
1.2. A Instituição (hospital) é controladora dos dados que trata para gerir sua relação com os médicos: escalas, aprovação de vínculos, registro de presença, confirmação de plantões, fechamento e pagamentos. Nessas atividades, a Sincra atua como operadora, tratando os dados em nome da Instituição e conforme suas instruções, nos termos do Contrato com a Instituição. Pedidos sobre esses dados podem ser feitos diretamente à Instituição ou à Sincra, que os encaminhará.
1.3. O Financiador que adquire os recebíveis cedidos na antecipação é controlador dos dados que recebe para analisar, adquirir, registrar e cobrar os créditos, conforme suas próprias políticas.
2. Quais dados tratamos
2.1. Dados de todos os Usuários
| Dado | Como é obtido |
|---|---|
| E-mail e senha (armazenada de forma cifrada, como hash) | Informados por você no cadastro ou no convite |
| Dados do perfil Google (nome, e-mail e foto), se você escolher entrar com Google | Fornecidos pelo Google com sua autorização |
| Endereço IP, navegador (user agent), data e hora de acesso e de login | Coletados automaticamente |
| Registros de aceite de termos (versão, data, hora, IP e navegador) | Coletados automaticamente ao aceitar |
| Notificações recebidas e registros de envio de e-mail | Gerados pela Plataforma |
2.2. Dados do Médico
| Categoria | Dados |
|---|---|
| Identificação | Nome completo, CPF, data de nascimento, telefone |
| Registro profissional | Número e UF do CRM; imagem do registro no CRM; título de especialista/RQE (opcional) |
| Documento de identidade | Imagem ou PDF do documento enviado por você (RG, CNH ou equivalente) |
| Vínculos | Instituições às quais você se vinculou, situação do vínculo e observações da Instituição |
| Plantões | Escalas, plantões atribuídos, pedidos de troca, saída e substituição, com os motivos que você informar |
| Presença | Data e hora do check-in e do check-out; localização (latitude e longitude) e precisão no momento do registro; distância até a unidade; identificador cifrado da sessão e navegador usado |
| Financeiro | Valores de plantões, ganhos, ajustes, pagamentos e comprovantes registrados pela Instituição |
| Recebimento (somente para quem solicita antecipação) | Tipo, razão social e CNPJ (ou CPF) do recebedor; chave PIX; nome e documento do titular da conta |
| Antecipação | Solicitações, recebíveis cedidos, comprovantes de plantão que você anexar, validações da Instituição, decisões do Financiador, pagamentos e liquidações |
| Análise de crédito e prevenção à fraude | Informações obtidas em bases públicas (como o cadastro dos Conselhos de Medicina e da Receita Federal) e em birôs de proteção ao crédito, relativas a você e à pessoa jurídica recebedora |
Alguns desses dados podem ser inseridos pela Instituição antes de você criar sua conta, quando ela te convida (e-mail e, opcionalmente, nome, CRM e UF).
2.3. Dados da Equipe da Instituição
E-mail, senha, cargo informado pela Instituição, permissões concedidas e registro das ações feitas na Plataforma (por exemplo, aprovações, confirmações e pagamentos registrados). O e-mail do membro da equipe pode aparecer para colegas da mesma Instituição nos registros financeiros.
2.4. Dados que não coletamos
- Dados de pacientes. A Plataforma não tem nenhum campo para dados de pacientes e não deve ser usada para isso. Não insira nomes, prontuários, diagnósticos, procedimentos individualizados ou imagens de exames em textos, documentos, comprovantes ou nomes de arquivo. Se isso ocorrer, trataremos esses dados apenas para removê-los ou isolá-los.
- Biometria. Não coletamos reconhecimento facial, digital ou voz. A Plataforma não acessa câmera nem microfone.
- Localização contínua. Não rastreamos sua localização fora do momento do check-in e do check-out.
2.5. Dados de saúde em campos de texto
Os campos de motivo (por exemplo, ao pedir para sair de um plantão) são de texto livre. Recomendamos não descrever condições de saúde e usar expressões genéricas como "motivo pessoal". O que for escrito nesses campos pode ser visto pelos responsáveis na Instituição, enviado a eles por e-mail e mantido em registro de auditoria.
3. Para que usamos seus dados e com qual base legal
| Finalidade | Dados principais | Base legal (LGPD) |
|---|---|---|
| Criar e manter sua conta; permitir o login | E-mail, senha, dados do Google, IP, navegador | Execução de contrato (art. 7º, V) |
| Verificar identidade e inscrição no CRM do Médico, inclusive para evitar cadastro por terceiros | Nome, CPF, data de nascimento, CRM, documentos | Execução de contrato (art. 7º, V) e legítimo interesse na prevenção à fraude (art. 7º, IX) |
| Vincular o Médico à Instituição e permitir a gestão de escalas, presença, fechamento e pagamentos (em nome da Instituição) | Identificação, CRM, plantões, presença, localização no registro, valores | Execução de contrato e legítimo interesse da Instituição, que é a controladora dessa atividade |
| Registrar a presença e servir de evidência de plantão realizado, inclusive como lastro na antecipação | Localização no momento do registro, horário, identificador de sessão | Execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX) |
| Operar a antecipação: analisar a solicitação, formalizar a cessão, compartilhar com o Financiador, pagar e liquidar | Identificação, CNPJ, dados de recebimento, recebíveis, comprovantes, validações | Execução de contrato (art. 7º, V) |
| Análise de crédito e de risco de fraude na antecipação | Identificação, CPF/CNPJ, dados de birôs de crédito e bases públicas | Proteção do crédito (art. 7º, X) e legítimo interesse (art. 7º, IX) |
| Enviar notificações e e-mails sobre sua conta, plantões e operações | E-mail, nome, dados do plantão ou da operação | Execução de contrato (art. 7º, V) |
| Segurança, auditoria, investigação de incidentes e prevenção de abusos | IP, navegador, registros de acesso e de auditoria | Legítimo interesse (art. 7º, IX) e cumprimento de obrigação legal (art. 7º, II) |
| Guardar registros de acesso à aplicação | IP, data e hora | Obrigação legal — Marco Civil da Internet, art. 15 (art. 7º, II) |
| Cumprir obrigações fiscais, contábeis e regulatórias, e atender autoridades | Dados das operações e de pagamento | Obrigação legal (art. 7º, II) |
| Defender direitos em processos judiciais, administrativos ou arbitrais | Dados relacionados à disputa | Exercício regular de direitos (art. 7º, VI) |
| Medir o uso da Plataforma para melhorá-la (sem identificação direta: usamos apenas um código interno) | Eventos de uso associados a um identificador interno | Legítimo interesse (art. 7º, IX) |
| Monitorar erros técnicos (com remoção automática de e-mail, CPF, CNPJ e outros identificadores) | Dados técnicos do erro, rota, identificador interno | Legítimo interesse (art. 7º, IX) |
Não usamos seus dados para publicidade, não os vendemos e não tomamos decisões exclusivamente automatizadas que afetem seus interesses. A análise de crédito e a verificação de cadastro são feitas com revisão humana.
Data de nascimento: é usada para confirmar sua identidade junto às bases públicas e aos birôs de crédito e para garantir que o Usuário é maior de idade.
4. Com quem compartilhamos
4.1. Instituições. A Instituição a que você se vincula tem acesso a: nome, CRM e UF; documentos enviados para verificação (para os membros da equipe responsáveis pela revisão); plantões, pedidos e motivos; registros de presença, incluindo distância até a unidade e resultado da verificação de localização; valores, ajustes e pagamentos. Na antecipação, a Instituição vê quais plantões foram cedidos, o valor, o vencimento e a quem deve pagar. A Instituição não vê seus dados de recebimento (chave PIX).
4.2. Outros Médicos. Médicos aprovados na mesma Instituição veem os nomes uns dos outros para viabilizar trocas e substituições.
4.3. Financiadores. Quando você solicita antecipação, compartilhamos com o Financiador identificado na solicitação (atualmente, o Baobá Warehouse Fundo de Investimento em Direitos Creditórios) (e, conforme o caso, com seu administrador, gestor, custodiante, agente de cobrança, auditores e registradoras) os dados necessários para analisar, adquirir, registrar e cobrar o recebível: identificação sua e da pessoa jurídica cedente, CRM, dados de recebimento, dados do plantão e do recebível, comprovantes e validação da Instituição.
4.4. Fornecedores que operam a Plataforma (operadores). Usamos fornecedores que tratam dados em nosso nome, sob contrato e apenas para as finalidades indicadas:
| Fornecedor | Função | Localização dos dados |
|---|---|---|
| Supabase | Banco de dados, autenticação e armazenamento de arquivos | São Paulo, Brasil |
| Vercel | Hospedagem da aplicação | Execução em São Paulo, Brasil; rede de distribuição global |
| Resend | Envio de e-mails transacionais e de autenticação | São Paulo, Brasil |
| Sentry | Monitoramento de erros | Estados Unidos |
| PostHog | Métricas de uso (sem cookies e sem gravação de tela) | Estados Unidos |
| Cloudflare (Turnstile) | Proteção contra robôs nas telas de login e cadastro | Rede global |
| Login com conta Google (opcional) | Rede global | |
| Birôs de crédito e bases públicas | Verificação cadastral e análise de crédito | Brasil |
4.5. Autoridades. Podemos compartilhar dados quando exigido por lei, ordem judicial ou requisição de autoridade competente, ou para proteger direitos da Sincra e de terceiros.
4.6. Operações societárias. Em caso de fusão, aquisição ou reorganização, os dados poderão ser transferidos à sucessora, que ficará obrigada a esta Política.
5. Transferência internacional
Alguns fornecedores listados acima tratam dados fora do Brasil: Sentry e PostHog, nos Estados Unidos, e Cloudflare e Google, em sua rede global. Os dados enviados ao Sentry e ao PostHog são técnicos e associados apenas a um identificador interno, sem nome, e-mail ou documentos. Nesses casos, adotamos os mecanismos previstos no art. 33 da LGPD e na regulamentação da Autoridade Nacional de Proteção de Dados (ANPD), como cláusulas contratuais padrão, e exigimos níveis de proteção compatíveis com esta Política.
6. Cookies
Usamos apenas cookies estritamente necessários ao funcionamento e à segurança da Plataforma. Não usamos cookies de publicidade nem de análise de comportamento.
| Cookie | Finalidade | Duração |
|---|---|---|
sb-...-auth-token | Manter você conectado com segurança | Até o logout ou expiração da sessão |
sb-...-auth-token-code-verifier | Proteger o login com Google e os links enviados por e-mail | Durante o login |
sincra_doctor_invite | Guardar o convite do hospital enquanto você conclui o cadastro | 1 hora |
| Cookies da Cloudflare (Turnstile) | Diferenciar pessoas de robôs | Definida pela Cloudflare |
| Cookies do Google | Login com Google, apenas se você usar essa opção | Definida pelo Google |
Como são essenciais, esses cookies não dependem de consentimento. Bloqueá-los no navegador impede o login.
7. Por quanto tempo guardamos
Guardamos os dados pelo tempo necessário para as finalidades desta Política, observados os prazos abaixo. Ao fim do prazo, os dados são eliminados ou anonimizados.
| Dados | Prazo |
|---|---|
| Dados de conta e cadastro | Enquanto a conta estiver ativa e até 5 anos após o encerramento, para defesa de direitos e cumprimento de obrigações legais |
| Documentos de verificação (identidade, CRM, RQE) | Enquanto a conta estiver ativa e até 5 anos após o encerramento |
| Registros de presença e localização | Até 5 anos após o plantão, por servirem de prova da prestação do serviço |
| Plantões, valores e pagamentos | Até 5 anos após o fim do exercício fiscal a que se referem, ou pelo prazo definido pela Instituição, se maior e justificado |
| Operações de antecipação, recebíveis, comprovantes, aceites e dados de recebimento | Até 5 anos após a liquidação da operação, ou pelo prazo maior exigido por lei ou pela regulamentação aplicável ao Financiador |
| Registros de acesso à aplicação (IP, data e hora) | No mínimo 6 meses (Marco Civil da Internet) e no máximo 12 meses, salvo se necessários para investigação ou processo |
| Convites não aceitos | Até 90 dias após a expiração |
| Registros de envio de e-mails e notificações | Até 12 meses |
| Registros de auditoria | Pelo prazo do registro a que se referem |
Quando você encerra a conta, os dados que precisamos manter por obrigação legal ou para defesa de direitos são conservados de forma restrita, e os demais são eliminados ou anonimizados. Registros operacionais e financeiros compartilhados com a Instituição e com o Financiador podem permanecer com eles, conforme suas próprias obrigações legais.
8. Seus direitos
Nos termos do art. 18 da LGPD, você pode solicitar:
- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- portabilidade dos dados, conforme a regulamentação da ANPD;
- informação sobre com quem compartilhamos seus dados;
- revisão de decisões tomadas com base em tratamento automatizado;
- oposição a tratamento baseado em legítimo interesse, quando cabível;
- eliminação de dados tratados com base em consentimento e revogação do consentimento, quando essa for a base legal.
Como exercer: envie um e-mail para contato@sincra.app a partir do e-mail cadastrado, com o assunto "Privacidade". Podemos pedir informações para confirmar sua identidade. Responderemos no prazo legal; pedidos de acesso completo são atendidos em até 15 dias.
Alguns pedidos podem não ser atendidos integralmente, por exemplo, quando precisarmos manter dados para cumprir obrigação legal, executar uma operação de antecipação em andamento ou exercer direitos em processos. Nesses casos, explicaremos o motivo.
Para dados tratados em nome da Instituição (Cláusula 1.2), encaminharemos seu pedido à Instituição, que é a controladora.
Você também pode apresentar reclamação à ANPD (www.gov.br/anpd).
9. Segurança
Adotamos medidas técnicas e administrativas para proteger os dados, entre elas: conexões cifradas (HTTPS com HSTS); banco de dados e arquivos hospedados no Brasil; arquivos privados, acessíveis apenas por links temporários de 60 segundos; isolamento dos dados de cada Instituição no banco de dados; autenticação em dois fatores obrigatória para a equipe interna da Sincra; proteção contra robôs; registros de auditoria que não podem ser alterados; e remoção automática de identificadores nos registros de erros.
Nenhum sistema é totalmente imune a incidentes. Se ocorrer um incidente de segurança que possa gerar risco ou dano relevante, comunicaremos a ANPD e os titulares afetados, nos termos da LGPD e da regulamentação da ANPD.
10. Idade mínima
A Plataforma é destinada a maiores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes. Se identificarmos esse tipo de cadastro, a conta será encerrada e os dados eliminados.
11. Encarregado pelo tratamento de dados
Encarregado (DPO): Felipe Miranda Contato: contato@sincra.app
12. Alterações desta Política
Podemos atualizar esta Política. Alterações relevantes serão comunicadas pela Plataforma ou por e-mail antes de entrarem em vigor. A versão vigente estará sempre em sincra.app/privacidade, com a data de início de vigência.
SINCRA TECNOLOGIA LTDA. — CNPJ 67.523.782/0001-14 — contato@sincra.app