1. Quem controla seus dados
Esta política explica como a HD MAKER Technology, operadora da plataforma HD One, coleta, usa e protege dados pessoais. Existem duas camadas de tratamento de dados na plataforma:
- Dados da empresa contratante (negócio contratante, qualquer que seja seu segmento) e de sua equipe — aqui a HD One é controladora: decide como e por que esses dados são tratados (operação da conta, cobrança, suporte).
- Dados dos clientes finais inseridos pela empresa contratante (nome, telefone, histórico de atendimento, documentos, fotos, e — dependendo do segmento e das funcionalidades utilizadas pela empresa contratante — registros de natureza clínica, como prontuário e informações de saúde) — aqui a HD One é operadora: trata esses dados apenas seguindo as instruções da empresa contratante, que é a controladora perante os próprios clientes/pacientes dela.
Alguns segmentos atendidos pela plataforma (notadamente odontologia) podem envolver o tratamento de dados de saúde por parte da empresa contratante, no exercício de sua atividade profissional. A HD One fornece a infraestrutura técnica (armazenamento, isolamento entre empresas, controle de acesso) para esse tratamento, mas não define a finalidade clínica, não acessa esses dados para fins próprios e não decide como cada profissional ou empresa contratante deve tratá-los perante seus pacientes — essa responsabilidade, incluindo obter o consentimento/base legal adequada quando exigido por lei, é sempre da empresa contratante.
2. Quais dados coletamos
- Cadastro: nome, e-mail, telefone, senha (armazenada de forma criptografada), dados da empresa.
- Uso da plataforma: registros de acesso, ações realizadas, dispositivo e navegador.
- Cobrança: dados de pagamento da assinatura, processados diretamente pelo Stripe ou Mercado Pago — não armazenamos números completos de cartão em nossos servidores.
- Dados inseridos por empresas contratantes sobre seus clientes finais: nome, contato, histórico de agendamentos e vendas, ficha técnica de procedimentos, fotos de antes/depois quando fornecidas, termos de autorização aceitos.
- Cookies e identificadores técnicos: necessários para manter a sessão de login e o funcionamento do aplicativo (PWA).
3. Base legal do tratamento
Tratamos dados pessoais com base em uma ou mais das seguintes hipóteses da LGPD (art. 7º):
- Execução de contrato (fornecer a plataforma contratada);
- Consentimento (ex.: aceite de termo de autorização por um cliente/paciente final da empresa contratante);
- Legítimo interesse (ex.: prevenção a fraude, segurança da plataforma);
- Cumprimento de obrigação legal ou regulatória.
4. Como usamos os dados
- Viabilizar o funcionamento da plataforma (agenda, caixa, estoque, comunicação);
- Processar cobranças de assinatura;
- Enviar comunicações operacionais (confirmação de agendamento, recuperação de senha, avisos importantes);
- Melhorar a plataforma e prevenir abusos (ex.: limitação de tentativas em rotas públicas);
- Cumprir obrigações legais quando aplicável.
Não vendemos dados pessoais a terceiros.
5. Com quem compartilhamos dados
Utilizamos os seguintes prestadores de serviço (suboperadores) para operar a plataforma:
- Supabase — banco de dados, autenticação e armazenamento de arquivos;
- Stripe e/ou Mercado Pago — processamento da cobrança da assinatura da plataforma;
- Mercado Pago e/ou InfinitePay da própria empresa contratante — quando ela conecta sua própria conta para receber pagamentos de clientes finais, esses dados de pagamento são processados diretamente entre o cliente final e a conta da empresa, sem passar pelos nossos servidores além do necessário para confirmar o status do pagamento.
- Vercel — hospedagem da aplicação.
6. Transferência internacional de dados
Alguns desses prestadores podem processar dados fora do Brasil. Nesses casos, buscamos utilizar fornecedores com garantias adequadas de proteção de dados, conforme exigido pela LGPD (art. 33).
7. Retenção de dados
Mantemos os dados pelo tempo necessário para cumprir a finalidade do tratamento, obrigações legais ou regulatórias, ou até que o titular solicite a exclusão, quando aplicável. Ao encerrar a conta, a empresa contratante pode solicitar a exclusão dos dados armazenados, observados prazos legais de guarda quando existirem (ex.: dados fiscais).
8. Seus direitos como titular de dados
Nos termos do art. 18 da LGPD, você pode solicitar:
- Confirmação da existência de tratamento e acesso aos dados;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
- Portabilidade dos dados;
- Eliminação dos dados tratados com base no consentimento;
- Revogação do consentimento, quando aplicável.
Se você é cliente final de uma empresa que usa a HD One, seu primeiro contato para exercer esses direitos deve ser a própria empresa (controladora dos seus dados). Se não obtiver resposta, ou se sua solicitação for sobre dados da conta da própria empresa contratante, entre em contato conosco pelo e-mail abaixo.
9. Segurança dos dados
Adotamos controles técnicos para proteger os dados, incluindo isolamento entre empresas contratantes por meio de políticas de segurança em nível de linha (Row Level Security) no banco de dados, criptografia de senhas e de credenciais sensíveis (ex.: tokens de gateways de pagamento), e controle de acesso por papel dentro de cada empresa.
10. Cookies
Usamos cookies essenciais para manter sua sessão autenticada e o funcionamento básico da plataforma. Não utilizamos cookies de rastreamento publicitário de terceiros.
11. Alterações desta política
Podemos atualizar esta Política periodicamente. Mudanças relevantes serão comunicadas pelos canais de contato cadastrados ou através da própria plataforma.
12. Aligner OS / REALIZ ALIGN — fabricação de alinhadores
Um dos módulos da plataforma (Aligner OS) conecta três papéis distintos em torno de um caso de fabricação de alinhadores: o fabricante/laboratório (que produz e opera o caso), o dentista/clínica (que envia o caso e acompanha o tratamento) e o paciente (titular dos dados clínicos/odontológicos envolvidos). Nessa relação, o dentista é quem decide o tratamento e é o responsável perante seu paciente — a mesma lógica de controlador/operadora da seção 1 se aplica aqui: o dentista é controlador dos dados do próprio paciente; o fabricante e a HD One atuam como operadores, tratando esses dados apenas para viabilizar a produção do caso. Quando o fabricante e o dentista são partes distintas (ex.: um laboratório terceiro atendendo vários consultórios), a repartição exata de responsabilidades entre eles pode depender do contrato comercial entre as partes — isso não é definido unilateralmente por esta Política.
- Arquivos técnicos (STL/ZIP e planejamento): são a representação digital da arcada do paciente. Tratamos como dado sensível associado à saúde, armazenado em bucket privado, nunca público, com acesso apenas por link assinado de curta duração (expira em minutos) — nunca por URL permanente.
- Etiqueta e QR de rastreabilidade: cada alinhador pode receber uma etiqueta com QR Code para rastreio do processo produtivo. O QR aponta para um identificador opaco (um token, não um dado pessoal) e a página pública de rastreio mostra apenas código do caso, arcada/sequência, status de produção e situação de envio — nunca nome completo do paciente, CPF, diagnóstico ou o próprio arquivo STL. A identificação exibida na etiqueta física (iniciais, código ou nome, conforme configuração do fabricante) é escolhida para reduzir a exposição de dado desnecessário.
- Teste gratuito de 14 dias: ao final do período de teste, se não houver assinatura ativa, o acesso operacional é bloqueado, mas nenhum dado (casos, arquivos, histórico) é apagado — eles ficam preservados até a regularização ou até que a exclusão seja solicitada nos termos da seção 7.
13. Encarregado de dados (DPO) e contato
Para exercer seus direitos ou tirar dúvidas sobre esta Política, entre em contato pelo e-mail hdmakercomercial@gmail.com.