POLITICA DE PRIVACIDADE

1. INTRODUCAO

A Revoluna Tecnologia Ltda. (“Revoluna”, “nos”, “nosso” ou “Controlador”), pessoa juridica de direito privado, na qualidade de controladora de dados pessoais, apresenta esta Politica de Privacidade em conformidade com a Lei Geral de Protecao de Dados Pessoais (Lei n. 13.709/2018 — “LGPD”) e demais normas aplicaveis a protecao de dados pessoais no Brasil.

Esta Politica se aplica a todos os usuarios de nossos produtos e servicos, incluindo:

• Revoluna — marketplace de plantoes medicos que conecta medicos a instituicoes de saude;
• Julia — assistente de inteligencia artificial acessivel via WhatsApp para suporte e automacao;
• Houston — plataforma de gestao de escalas e plantoes para hospitais e gestores.

A Revoluna opera duas modalidades de servico: (i) B2C, oferecendo acesso gratuito a medicos para busca e candidatura a plantoes; e (ii) B2B, oferecendo planos pagos a hospitais, clinicas e gestores de saude para gestao de escalas e recrutamento de profissionais.

Ao utilizar qualquer um de nossos servicos, voce declara ter lido, compreendido e concordado com os termos desta Politica de Privacidade. Para determinadas finalidades de tratamento, solicitaremos seu consentimento especifico, livre, informado e inequivoco, conforme exigido pelo Art. 8 da LGPD.

2. DEFINICOES

Para os fins desta Politica, aplicam-se as definicoes previstas no Art. 5 da LGPD:

• Dados Pessoais: informacao relacionada a pessoa natural identificada ou identificavel (Art. 5, I).
• Dados Pessoais Sensiveis: dados sobre origem racial ou etnica, conviccao religiosa, opiniao politica, filiacao sindical, dados referentes a saude ou a vida sexual, dado genetico ou biometrico, quando vinculado a uma pessoa natural (Art. 5, II).
• Titular: pessoa natural a quem se referem os dados pessoais que sao objeto de tratamento (Art. 5, V).
• Controlador: pessoa natural ou juridica, de direito publico ou privado, a quem competem as decisoes referentes ao tratamento de dados pessoais (Art. 5, VI). Nesta Politica, o Controlador e a Revoluna Tecnologia Ltda.
• Operador: pessoa natural ou juridica, de direito publico ou privado, que realiza o tratamento de dados pessoais em nome do controlador (Art. 5, VII).
• Encarregado (DPO): pessoa indicada pelo controlador para atuar como canal de comunicacao entre o controlador, os titulares dos dados e a Autoridade Nacional de Protecao de Dados — ANPD (Art. 5, VIII).
• Tratamento: toda operacao realizada com dados pessoais, como coleta, producao, recepcao, classificacao, utilizacao, acesso, reproducao, transmissao, distribuicao, processamento, arquivamento, armazenamento, eliminacao, avaliacao, controle, modificacao, comunicacao, transferencia, difusao ou extracao (Art. 5, X).
• Consentimento: manifestacao livre, informada e inequivoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada (Art. 5, XII).
• Eliminacao: exclusao de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado (Art. 5, XIV).
• Transferencia Internacional de Dados: transferencia de dados pessoais para pais estrangeiro ou organismo internacional do qual o pais seja membro (Art. 5, XV).
• ANPD: Autoridade Nacional de Protecao de Dados, orgao da administracao publica responsavel por zelar, implementar e fiscalizar o cumprimento da LGPD (Art. 5, XIX).

3. DADOS QUE COLETAMOS

Coletamos diferentes categorias de dados pessoais conforme o tipo de usuario e a finalidade do tratamento. Abaixo detalhamos cada categoria:

3.1 Dados de Identificacao de Medicos (B2C)

3.2 Dados de Hospitais e Gestores (B2B)

3.3 Dados Financeiros e de Pagamento

Importante: Nao armazenamos numeros de cartao de credito, CVV ou dados completos de meios de pagamento. O processamento de pagamentos e realizado integralmente pela Stripe, Inc., certificada PCI-DSS Nivel 1, que atua como operadora independente desses dados.

3.4 Dados Contratuais

3.5 Dados de Autenticacao e Sessao

3.6 Dados de Consentimento

3.7 Dados de Navegacao e Rastreamento (mediante consentimento)

Esses dados somente sao coletados apos o consentimento explicito do titular por meio do banner de cookies apresentado no primeiro acesso.

3.8 Dados de Blog e Conteudo

Autores de conteudo no blog podem ter publicados: nome, biografia e foto de perfil (avatar). Esses dados sao fornecidos voluntariamente e exibidos publicamente nas publicacoes.

4. BASE LEGAL PARA TRATAMENTO (Art. 7)

Cada tratamento de dados pessoais realizado pela Revoluna esta fundamentado em uma das bases legais previstas no Art. 7 da LGPD:

Quando o tratamento for baseado em consentimento, voce podera revoga-lo a qualquer momento, sem prejuizo da licitude do tratamento realizado anteriormente, conforme Art. 8, par. 5, da LGPD.

5. FINALIDADES DO TRATAMENTO (Art. 6, I)

Tratamos seus dados pessoais para as seguintes finalidades especificas:

• Prestacao dos servicos da plataforma Revoluna, incluindo cadastro, busca de plantoes, candidatura e gestao de escalas;
• Verificacao da habilitacao profissional de medicos por meio do registro no CRM;
• Processamento de assinaturas, cobrancas recorrentes e emissao de notas fiscais para clientes B2B;
• Formalizacao e gestao de contratos digitais entre a Revoluna e os clientes;
• Comunicacao com usuarios sobre o servico, incluindo notificacoes sobre plantoes, atualizacoes da plataforma e suporte via assistente Julia (WhatsApp);
• Autenticacao de usuarios e controle de acesso baseado em papeis (medico, administrador, gestor);
• Analise estatistica de uso da plataforma para melhoria dos servicos (mediante consentimento);
• Veiculacao de anuncios direcionados em plataformas de terceiros (mediante consentimento);
• Cumprimento de obrigacoes legais, regulatorias, fiscais e tributarias;
• Exercicio regular de direitos em processo judicial, administrativo ou arbitral;
• Prevencao a fraudes e garantia da seguranca do titular e da plataforma.

6. COMPARTILHAMENTO DE DADOS

A Revoluna compartilha dados pessoais exclusivamente com as seguintes categorias de destinatarios, sempre observando o principio da necessidade (Art. 6, III) e as bases legais aplicaveis:

6.1 Operadores e Subprocessadores

6.2 Compartilhamento Funcional

Entre medicos e instituicoes: quando um medico se candidata a um plantao, seus dados profissionais (nome, CRM, especialidade) sao compartilhados com a instituicao que publicou a vaga, sendo essa uma funcionalidade essencial do marketplace.

6.3 Compartilhamento por Obrigacao Legal

Podemos compartilhar dados pessoais com autoridades publicas, orgaos reguladores ou entidades judiciais quando exigido por lei, regulamento, decisao judicial ou procedimento administrativo, conforme Art. 7, II, da LGPD.

7. TRANSFERENCIA INTERNACIONAL DE DADOS (Art. 33)

Em razao dos operadores utilizados, dados pessoais podem ser transferidos para servidores localizados fora do Brasil, especificamente nos Estados Unidos da America. Essas transferencias sao realizadas em conformidade com o Art. 33 da LGPD e fundamentam-se nos seguintes mecanismos legais:

• Clausulas contratuais padrao (Art. 33, II, b): os contratos com Supabase Inc., Stripe Inc., Google LLC, Meta Platforms Inc. e Vercel Inc. incluem clausulas de protecao de dados equivalentes ao padrao exigido pela LGPD;
• Compromisso do operador com padroes de seguranca: todos os operadores internacionais listados mantem certificacoes de seguranca reconhecidas (SOC 2 Type II, ISO 27001 e/ou PCI-DSS), garantindo nivel adequado de protecao;
• Consentimento especifico (Art. 33, VIII): para dados de analytics (Google LLC) e marketing (Meta Platforms Inc.), a transferencia somente ocorre apos consentimento explicito do titular.

Paises envolvidos:

• Estados Unidos da America: Supabase (banco de dados e autenticacao), Stripe (pagamentos), Google (analytics), Meta (marketing), Vercel (hospedagem);
• Brasil: Clicksign (assinaturas digitais).

A Revoluna se compromete a acompanhar eventuais regulamentacoes da ANPD sobre transferencias internacionais e a adotar mecanismos adicionais que venham a ser exigidos.

8. COOKIES E TECNOLOGIAS DE RASTREAMENTO

Utilizamos cookies e tecnologias similares conforme as categorias abaixo. No primeiro acesso a plataforma, um banner de cookies e exibido permitindo que voce escolha quais categorias autorizar.

8.1 Cookies Essenciais (sempre ativos)

Sao necessarios para o funcionamento basico da plataforma e nao podem ser desativados. Incluem:

• Cookies de sessao e autenticacao (Supabase Auth — JWT);
• Preferencias de consentimento (armazenadas em localStorage e sincronizadas com o banco de dados);
• Cookies de seguranca (CSRF, protecao contra ataques).

8.2 Cookies de Analytics (requerem consentimento)

Utilizados pelo Google Analytics 4 (GA4) para entender como os usuarios interagem com a plataforma. Coletam dados como paginas visitadas, tempo de permanencia, cliques e fluxo de navegacao. Esses cookies somente sao ativados apos o consentimento explicito para a categoria “Analytics” no banner de cookies.

8.3 Cookies de Marketing (requerem consentimento)

Utilizados pelo Meta Pixel (Facebook/Instagram) para medir a eficacia de campanhas publicitarias e criar audiencias personalizadas. Esses cookies somente sao ativados apos o consentimento explicito para a categoria “Marketing” no banner de cookies.

8.4 Como Gerenciar Suas Preferencias

Voce pode alterar suas preferencias de cookies a qualquer momento por meio do banner de consentimento, acessivel no rodape da plataforma, ou entrando em contato com nosso DPO pelo e-mail dpo@revoluna.com.br. A revogacao do consentimento nao afeta a licitude do tratamento realizado anteriormente. Voce tambem pode configurar seu navegador para bloquear ou alertar sobre cookies, mas isso pode afetar funcionalidades da plataforma.

9. RETENCAO DE DADOS

Retemos seus dados pessoais apenas pelo tempo necessario para cumprir as finalidades descritas nesta Politica, observadas as obrigacoes legais aplicaveis:

Apos o termino do periodo de retencao, os dados sao eliminados ou anonimizados de forma irreversivel, conforme procedimentos internos de retencao e descarte. Dados objeto de soft delete sao anonimizados apos o periodo de retencao, tornando impossivel a reidentificacao do titular.

10. SEGURANCA DOS DADOS (Art. 46)

A Revoluna adota medidas tecnicas e administrativas aptas a proteger os dados pessoais de acessos nao autorizados e de situacoes acidentais ou ilicitas de destruicao, perda, alteracao, comunicacao ou difusao, conforme exigido pelo Art. 46 da LGPD:

• Criptografia em transito: todas as comunicacoes entre o navegador do usuario e nossos servidores sao protegidas por TLS (HTTPS), garantindo a confidencialidade dos dados em transito;
• Criptografia em repouso: o banco de dados PostgreSQL (Supabase) utiliza criptografia em repouso (AES-256) para proteger os dados armazenados;
• Row Level Security (RLS): todas as tabelas do banco de dados possuem politicas de seguranca em nivel de linha (RLS) ativas, garantindo que cada usuario so acesse os dados aos quais tem permissao;
• Autenticacao segura: utilizamos tokens JWT (JSON Web Tokens) via Supabase Auth, com renovacao automatica de sessao e invalidacao em caso de suspeita de comprometimento;
• Controle de acesso baseado em papeis (RBAC): o sistema diferencia usuarios por funcao (medico, gestor, administrador), limitando o acesso a dados e funcionalidades conforme o principio do menor privilegio;
• Validacao de webhooks: todas as integracoes que recebem webhooks (Stripe, Clicksign) utilizam verificacao HMAC para garantir a autenticidade e integridade das notificacoes;
• Sanitizacao de dados: payloads de webhooks e entradas de usuario passam por processos de sanitizacao para prevenir injecao de codigo e outros ataques;
• Chaves de API com expiracao: chaves de API para integracao possuem data de expiracao e rate limiting (limitacao de taxa por minuto) para prevenir uso abusivo;
• Backups automaticos: o banco de dados possui backups automaticos diarios gerenciados pelo Supabase, com retencao conforme o plano contratado;
• Monitoramento e auditoria: acessos e operacoes criticas sao registrados em logs de auditoria, sem incluir dados pessoais identificaveis (PII) nos registros.

11. DIREITOS DO TITULAR (Art. 18)

Em conformidade com o Art. 18 da LGPD, voce, como titular de dados pessoais, tem os seguintes direitos que podem ser exercidos a qualquer momento:

• I. Confirmacao da existencia de tratamento (Art. 18, I): voce pode solicitar a confirmacao de que realizamos o tratamento de seus dados pessoais. Envie um e-mail para dpo@revoluna.com.br solicitando essa informacao.
• II. Acesso aos dados (Art. 18, II): voce pode solicitar acesso aos seus dados pessoais que mantemos em nossos sistemas. Forneceremos um relatorio completo em formato estruturado e de leitura comum.
• III. Correcao de dados incompletos, inexatos ou desatualizados (Art. 18, III): voce pode solicitar a correcao de quaisquer dados pessoais que estejam incorretos ou desatualizados.
• IV. Anonimizacao, bloqueio ou eliminacao de dados desnecessarios ou excessivos (Art. 18, IV): voce pode solicitar que dados tratados em desconformidade com a LGPD sejam anonimizados, bloqueados ou eliminados.
• V. Portabilidade dos dados (Art. 18, V): voce pode solicitar a portabilidade de seus dados a outro fornecedor de servico, em formato estruturado e interoperavel, conforme regulamentacao da ANPD.
• VI. Eliminacao dos dados tratados com consentimento (Art. 18, VI): voce pode solicitar a eliminacao dos dados pessoais tratados com base no seu consentimento, exceto nas hipoteses previstas no Art. 16 da LGPD (cumprimento de obrigacao legal, estudo por orgao de pesquisa, transferencia a terceiro, uso exclusivo do controlador com anonimizacao).
• VII. Informacao sobre compartilhamento (Art. 18, VII): voce pode solicitar informacoes sobre as entidades publicas e privadas com as quais compartilhamos seus dados.
• VIII. Informacao sobre a possibilidade de nao consentir (Art. 18, VIII): voce tem o direito de ser informado sobre a possibilidade de nao fornecer consentimento e sobre as consequencias da negativa. Quando o consentimento for a base legal, indicaremos claramente quais funcionalidades ficarao indisponiveis.
• IX. Revogacao do consentimento (Art. 18, par. 2; Art. 8, par. 5): voce pode revogar o consentimento previamente concedido a qualquer momento, de forma gratuita e facilitada, por meio do banner de cookies (para analytics e marketing) ou enviando solicitacao ao DPO.

Como Exercer Seus Direitos

Para exercer qualquer dos direitos acima, envie um e-mail para dpo@revoluna.com.br com as seguintes informacoes:

• Nome completo e e-mail cadastrado na plataforma;
• Descricao clara do direito que deseja exercer;
• Documento de identidade para verificacao (em caso de duvida de identidade).

Prazo de resposta: responderemos sua solicitacao no prazo de 15 (quinze) dias contados do recebimento, conforme Art. 18, par. 5, da LGPD. Caso nao seja possivel atender de imediato, comunicaremos os motivos e o prazo previsto. Voce tambem tem o direito de peticionar perante a ANPD (Art. 18, par. 1).

12. DADOS DE MENORES (Art. 14)

A plataforma Revoluna e destinada exclusivamente a profissionais medicos devidamente registrados no Conselho Regional de Medicina (CRM) e a representantes de instituicoes de saude. Nao coletamos intencionalmente dados pessoais de criancas ou adolescentes (menores de 18 anos), conforme Art. 14 da LGPD. Caso tomemos conhecimento de que dados de um menor foram coletados inadvertidamente, procederemos a sua imediata eliminacao.

13. INCIDENTES DE SEGURANCA (Art. 48)

Em caso de incidente de seguranca que possa acarretar risco ou dano relevante aos titulares de dados, a Revoluna se compromete a:

• Comunicar a ANPD em prazo razoavel, conforme Art. 48 da LGPD, informando: (i) a descricao da natureza dos dados afetados; (ii) as informacoes sobre os titulares envolvidos; (iii) a indicacao das medidas tecnicas e de seguranca utilizadas; (iv) os riscos relacionados ao incidente; (v) as medidas que foram ou serao adotadas para reverter ou mitigar os efeitos do prejuizo;
• Comunicar os titulares afetados por meio dos canais de contato disponiveis (e-mail cadastrado), informando sobre a natureza do incidente e as medidas adotadas;
• Adotar medidas de contencao e remediacao imediatas para minimizar os danos e prevenir a recorrencia do incidente;
• Documentar integralmente o incidente, conforme nosso Plano de Resposta a Incidentes interno, incluindo analise de causa raiz e licoes aprendidas.

14. ENCARREGADO DE DADOS / DPO (Art. 41)

Nos termos do Art. 41 da LGPD, a Revoluna designou um Encarregado pelo Tratamento de Dados Pessoais (Data Protection Officer — DPO), que atua como canal de comunicacao entre o controlador, os titulares de dados e a ANPD.

O Encarregado e responsavel por: (i) aceitar reclamacoes e comunicacoes dos titulares, prestar esclarecimentos e adotar providencias; (ii) receber comunicacoes da ANPD e adotar providencias; (iii) orientar os funcionarios e contratados da entidade a respeito das praticas a serem adotadas em relacao a protecao de dados pessoais; e (iv) executar as demais atribuicoes determinadas pelo controlador ou estabelecidas em normas complementares.

15. ALTERACOES DESTA POLITICA

A Revoluna reserva-se o direito de modificar esta Politica de Privacidade a qualquer momento, especialmente para adapta-la a alteracoes legislativas, regulamentacoes da ANPD, ou evolucoes de nossos produtos e servicos.

Em caso de alteracoes substanciais, notificaremos os titulares por meio de:

• Aviso em destaque na plataforma (banner ou notificacao) por no minimo 30 dias;
• E-mail enviado ao endereco cadastrado, quando aplicavel;
• Atualizacao da data de “ultima atualizacao” no topo desta pagina.

Quando as alteracoes impactarem tratamentos baseados em consentimento, solicitaremos novo consentimento antes de aplicar as mudancas.

16. CONTATO

Para duvidas, solicitacoes ou reclamacoes relacionadas a esta Politica de Privacidade e ao tratamento de seus dados pessoais, entre em contato conosco:

Caso entenda que o tratamento de seus dados pessoais foi realizado em desconformidade com a legislacao vigente, voce tem o direito de apresentar reclamacao perante a Autoridade Nacional de Protecao de Dados (ANPD), nos termos do Art. 18, par. 1, da LGPD. Site da ANPD: www.gov.br/anpd.

Esta Politica de Privacidade e regida pela legislacao brasileira, em especial pela Lei n. 13.709/2018 (LGPD), pelo Marco Civil da Internet (Lei n. 12.965/2014), pelo Codigo de Defesa do Consumidor (Lei n. 8.078/1990) e demais normas aplicaveis. Fica eleito o foro da comarca da sede da Revoluna Tecnologia Ltda. para dirimir quaisquer controversias decorrentes desta Politica.