Política de Privacidade
Última atualização: 16 de agosto de 2026
1. Quem somos
O Open Lab é uma plataforma de gestão de casos odontológicos operada por D M Gomes Junior LTDA, inscrita no CNPJ sob o nº 12.823.871/0001-94, que atua sob o nome Maestro Soluções em Saúde e Educação. Esta Política de Privacidade descreve como coletamos, usamos, armazenamos e protegemos os dados pessoais dos dentistas cadastrados na plataforma, dos pacientes cujas informações eles nos enviam e de quem nos deixa contato pelo site, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD).
Ela integra os Termos de Uso e deve ser lida em conjunto com eles.
2. Nosso papel e o seu
A LGPD distingue quem decide sobre o tratamento dos dados (controlador) de quem os trata em nome de outro (operador). Na plataforma, os dois papéis convivem:
- Dados do dentista (cadastro, uso da plataforma, transações) — o Open Lab é o controlador.
- Dados dos pacientes enviados pelo dentista — o dentista é o controlador e o Open Lab atua como operador, tratando esses dados apenas para executar os serviços solicitados e conforme as instruções recebidas.
- Dados de quem deixa contato no site sem ter conta — o Open Lab é o controlador, com base no consentimento.
Na prática, isso significa que pedidos de pacientes sobre seus próprios dados devem ser dirigidos ao dentista responsável pelo tratamento, que é quem mantém a relação clínica e o prontuário. Nós o apoiamos no atendimento desses pedidos.
3. Dados que coletamos
Dos usuários cadastrados:
- Identificação: nome completo e endereço de e-mail.
- Credenciais profissionais: número do CRO e especialidade odontológica.
- Contato e localização: número de WhatsApp, endereço, cidade e estado — o endereço também define a disponibilidade de serviços que dependem de retirada e devolução presenciais.
- Dados financeiros: créditos em carteira, histórico de compras de créditos, débitos por caso e devoluções realizadas na plataforma.
- Dados de pagamento: CPF/CNPJ do titular (exigido pelo provedor de pagamento) e, no caso de cartão de crédito, apenas uma referência segura (token) fornecida pelo provedor, além dos quatro últimos dígitos e da bandeira do cartão. O número completo, a validade e o código de segurança (CVV) do cartão não são armazenados em nossos servidores — esses dados trafegam diretamente ao provedor de pagamento por conexão segura.
- Dados de uso: casos cadastrados, arquivos enviados, agendamentos, registros de acesso (data e hora do login e contagens de utilização no período) e ações registradas nos logs de auditoria internos.
- Avaliações: notas e comentários que você opta por enviar nas pesquisas de satisfação da plataforma.
- Pedidos de desativação: a data do pedido e o motivo, quando você escolhe informá-lo.
Programa de indicação.Quem participa do “Indique e ganhe” tem registrados o código de convite, os convites gerados, o vínculo entre indicador e convidado e as recompensas concedidas. Quando alguém abre um link de convite, registramos a visita para contabilizar cliques e prevenir fraude — o endereço IP e o navegador utilizados são gravados apenas como códigos irreversíveis (resumo criptográfico com chave secreta), nunca em texto legível, e não permitem identificar o visitante. Ao indicador mostramos apenas o primeiro nome abreviado e a situação de cada convidado — nunca e-mail, telefone ou CRO.
Login com o Google. Se você criar a conta ou entrar pelo Google, recebemos do provedor apenas seu nome e e-mail já verificados. Não temos acesso à sua senha do Google nem a qualquer outro dado da sua conta lá.
De quem ainda não tem conta e apenas preenche o formulário de contato do site, coletamos somente:
- Identificação: nome e endereço de e-mail informados por você no formulário.
- Origem do contato: a página em que o formulário foi preenchido e, quando você chega por um anúncio ou link de campanha, os parâmetros de campanha presentes no endereço (utm_source, utm_medium e utm_campaign).
- Registro do consentimento: a data e a hora em que você marcou a caixa de aceite, guardadas como prova de que o envio foi autorizado.
Não identificamos visitantes anônimos. Quem apenas navega pelo site sem preencher o formulário não tem nome, e-mail ou qualquer identificação coletada, e não recebe e-mails nossos. Não usamos serviços que tentem descobrir a identidade do visitante cruzando cookie ou IP com bases de terceiros, e também não compramos, alugamos nem enriquecemos listas de contato com dados obtidos de terceiros.
4. Dados de pacientes
Para executar os serviços, o dentista nos envia informações do paciente: nome, data de nascimento, telefone de contato (quando há agendamento presencial), anotações clínicas do caso e o material clínico propriamente dito — arquivos de escaneamento e STL, fotografias, radiografias e tomografias.
Boa parte desse material constitui dado pessoal sensível, por se referir à saúde. Ele é tratado exclusivamente para a execução dos serviços técnicos solicitados, por profissionais e serviços de saúde, na forma do art. 11, II, “f”, da LGPD, e sob as obrigações de sigilo profissional aplicáveis.
Quem acessa. Dentro do laboratório, o material fica acessível apenas a quem precisa dele para o caso: a equipe técnica designada, a administração e os perfis de supervisão. O paciente não tem conta na plataforma e não recebe comunicações nossas.
Uso anonimizado. Conforme os Termos de Uso, imagens e modelos podem ser utilizados em material técnico, educativo e de divulgação do laboratório apenas de forma anonimizada — sem nome, rosto identificável ou qualquer informação que permita identificar o paciente —, cabendo ao dentista obter do paciente a autorização para esse uso. Basta comunicar a equipe para que o material fique restrito à execução do serviço.
O consentimento do paciente, a guarda do prontuário e o cumprimento das normas do Conselho Federal de Odontologia são responsabilidade do dentista, na qualidade de controlador desses dados.
5. Finalidades e bases legais
Os dados são utilizados para:
- Autenticação e gestão da conta do dentista (execução de contrato).
- Análise e aprovação manual de novos cadastros pela equipe do laboratório (execução de contrato e procedimentos preliminares).
- Processamento dos casos odontológicos solicitados e dos agendamentos (execução de contrato; quanto aos dados de saúde, tutela da saúde).
- Controle financeiro das transações e processamento de pagamentos por meio de provedor (execução de contrato e obrigação legal).
- Comunicação sobre o status dos casos, pendências, cobranças e avisos de segurança (execução de contrato).
- Operação do programa de indicação e concessão das recompensas (execução de contrato).
- Prevenção a fraude e abuso, incluindo o registro pseudonimizado dos acessos ao link de convite (legítimo interesse).
- Segurança da plataforma, registros de auditoria e apuração de incidentes (legítimo interesse e obrigação legal).
- Métricas internas de uso e melhoria dos serviços, sempre que possível de forma agregada ou anonimizada (legítimo interesse).
- Pesquisas de satisfação, que são opcionais (legítimo interesse; a resposta é sua escolha).
- Cumprimento de obrigações legais e regulatórias e exercício regular de direitos (obrigação legal; exercício de direitos).
Os dados de contato enviados pelo formulário do site são usados apenas para enviar o material solicitado e comunicações sobre o Open Lab, e para que nossa equipe possa entrar em contato a respeito. A base legal aqui é o seu consentimento (art. 7º, I, da LGPD), manifestado ao marcar a caixa de aceite no formulário — e ele pode ser retirado a qualquer momento, pelo link “Não quero mais receber” presente em todos esses e-mails, sem qualquer justificativa e sem afetar os avisos sobre casos de quem também é cliente.
Não usamos seus dados para decisões automatizadas que afetem seus interesses: a aprovação de cadastros, a análise de indicações suspeitas e a revisão de casos são feitas por pessoas da equipe.
6. Compartilhamento de dados
Não comercializamos nem compartilhamos seus dados pessoais com terceiros para fins de marketing. Os dados podem ser acessados por:
- Equipe interna do Open Lab, para análise e execução dos casos: administração, perfis de supervisão e os técnicos designados a cada caso.
- Analista de relacionamento, quando houver vínculo comercial com a sua conta — em modo de leitura e limitado aos dentistas sob sua responsabilidade.
- Prestadores de infraestrutura tecnológica (Supabase — banco de dados, autenticação e armazenamento de arquivos), sob contrato de confidencialidade e em conformidade com a LGPD.
- Provedor de pagamento (Asaas), para o processamento das compras de créditos e das cobranças de assinatura, incluindo a guarda segura dos dados de cartão (tokenização), em conformidade com a LGPD e com os padrões de segurança do setor de pagamentos (PCI DSS).
- Provedor de envio de e-mails (Resend), que transmite as mensagens da plataforma e recebe, para isso, o endereço e o conteúdo do e-mail.
- Google, apenas quando você escolhe entrar com a conta dele, para autenticar o acesso.
- Autoridades públicas, quando exigido por lei.
Todos esses prestadores tratam os dados por nossa conta e ordem, limitados às finalidades desta política. Em caso de reorganização societária ou transferência das atividades, os dados podem ser transferidos ao sucessor, preservadas as condições aqui descritas.
7. Onde os dados ficam
O banco de dados e os arquivos clínicos ficam hospedados na infraestrutura da Supabase, em servidores localizados na região de São Paulo, no Brasil.
Alguns provedores necessários ao funcionamento do serviço são empresas estrangeiras e podem tratar dados fora do Brasil — é o caso do envio de e-mails e da autenticação pelo Google. Essas transferências internacionais se dão para a execução do contrato com você e mediante garantias contratuais de proteção, na forma do art. 33 da LGPD.
8. Armazenamento e segurança
Os dados são armazenados em servidores seguros gerenciados pela Supabase, com criptografia em trânsito (TLS) e em repouso. O acesso é controlado por autenticação e políticas de permissão por linha (Row Level Security), de modo que cada usuário alcança apenas os registros que lhe dizem respeito.
Adotamos ainda, entre outras medidas:
- Segregação de acesso por perfil (dentista, técnico, analista, supervisão e administração).
- Registro de auditoria das ações sensíveis realizadas na plataforma.
- Tokenização dos dados de cartão pelo provedor de pagamento, sem armazenamento do número completo em nossos servidores.
- Pseudonimização dos indicadores técnicos usados na prevenção a fraude (resumo criptográfico com chave secreta, irreversível).
- Verificação criptográfica de assinatura nos webhooks recebidos de provedores externos.
Nenhum sistema é integralmente imune a incidentes. Caso ocorra um incidente de segurança com risco relevante aos titulares, comunicaremos os afetados e a Autoridade Nacional de Proteção de Dados, na forma da lei — e, tratando-se de dados de pacientes, também o dentista responsável, na condição de controlador.
10. Seus direitos
Em conformidade com a LGPD, você tem direito a:
- Confirmar a existência de tratamento dos seus dados.
- Acessar, corrigir ou atualizar seus dados pelo perfil da plataforma.
- Solicitar a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desconformidade com a lei.
- Solicitar a portabilidade e informações sobre o compartilhamento dos seus dados.
- Solicitar a exclusão dos seus dados, mediante pedido formal, ressalvado o que precisarmos manter por obrigação legal ou para exercício regular de direitos.
- Revogar o consentimento a qualquer momento — inclusive, no caso dos e-mails de novidades, pelo link de descadastro no rodapé de cada mensagem.
- Opor-se a tratamentos fundados em legítimo interesse.
Para exercer seus direitos, entre em contato pelo WhatsApp disponível na plataforma ou pelo e-mail da equipe Open Lab. Responderemos no prazo legal, após confirmar sua identidade.
Se você é paciente de um dentista que utiliza a plataforma, procure diretamente o profissional responsável pelo seu tratamento: é ele quem controla esses dados, na forma da seção 2.
11. Retenção de dados
Os dados são mantidos enquanto a conta estiver ativa ou pelo prazo necessário para cumprimento de obrigações legais. Após a exclusão da conta, os dados financeiros podem ser retidos pelo prazo de 5 anos, conforme legislação fiscal.
O material clínico dos casos permanece disponível enquanto a conta existir, para consulta do histórico pelo dentista, e pelos prazos exigidos por lei. A plataforma não substitui a guarda do prontuário, que continua sendo obrigação do profissional. Registros de auditoria e de segurança e os dados do programa de indicação são mantidos pelo tempo necessário à sua finalidade, inclusive para apuração de fraudes.
Os contatos enviados pelo formulário do site são mantidos enquanto o consentimento estiver válido. Ao pedir o descadastro, seu endereço deixa imediatamente de receber nossas mensagens; guardamos apenas o registro de que o descadastro foi solicitado, justamente para não voltar a contatá-lo por engano.
12. Desativação e exclusão da conta
Você pode solicitar a desativação da conta pelo seu perfil, a qualquer momento. Desativar não é excluir: os dados, o histórico de casos e o saldo em créditos permanecem guardados, e a conta pode voltar a funcionar. Enquanto o pedido estiver aberto, nada muda — e você pode cancelá-lo quando quiser.
A exclusão definitiva dos dados pode ser pedida à parte, pelos canais de contato. Ela é atendida no que a lei permite: registros financeiros, fiscais, de auditoria e o que for necessário ao exercício regular de direitos são preservados pelos prazos aplicáveis, e o material clínico de pacientes segue as regras de guarda de prontuário a que o dentista está sujeito.
13. Crianças e adolescentes
A plataforma destina-se exclusivamente a cirurgiões-dentistas e não é dirigida a menores de 18 anos, que não podem criar conta.
Pacientes atendidos pelos dentistas podem ser crianças ou adolescentes. Nesse caso, os dados chegam até nós por meio do profissional, a quem cabe obter o consentimento específico e destacado de ao menos um dos pais ou do responsável legal, na forma do art. 14 da LGPD, e limitar o envio ao necessário para o tratamento.
14. Alterações nesta política
Esta política pode ser atualizada periodicamente, e a data da última atualização é sempre indicada no topo desta página. Alterações relevantes serão comunicadas na plataforma. O uso continuado após a publicação de alterações implica aceitação da nova versão.
15. Contato
Dúvidas sobre esta política, pedidos de titular ou comunicações sobre proteção de dados podem ser enviados a D M Gomes Junior LTDA (Maestro Soluções em Saúde e Educação), CNPJ 12.823.871/0001-94, pelo canal de atendimento disponível na plataforma ou pelo WhatsApp informado nas telas de suporte.