Todo fornecedor que trata dado pessoal por nossa conta, o que cada um recebe, e em que país processa e armazena. Esta página é citada pelo Aviso de Privacidade e existe separada dele porque muda com mais frequência.
Atualizada em 05/09/2026 · Mudança de fornecedor ou de região é comunicada aos clientes com no mínimo 30 dias de antecedência
Onde o dado fica · Resumo em três linhas
- O banco de dados, o servidor da aplicação, a telemetria e o processamento do canal WhatsApp pelo nosso provedor ficam no Brasil. A rede do WhatsApp em si é da Meta e é global.
- Três tratamentos saem do país: geração e transcrição por modelo de linguagem, espelho da agenda no Google Calendar, e armazenamento de e-mail transacional.
- Nenhum fornecedor recebe dado pessoal para finalidade própria. Nenhum vende, cede ou usa para publicidade.
Tabela 1 · Fornecedores que tratam dado pessoal
| Fornecedor | O que faz e o que recebe | País de processamento | Sai do Brasil? |
|---|---|---|---|
| Supabase Supabase Inc. |
Banco de dados, autenticação e armazenamento de arquivos. Recebe todo o domínio: prontuário, identificação, conversas, áudio da consulta e anexos | Brasil — São Paulo | Não |
| Vultr The Constant Company |
Servidor onde a aplicação roda. O dado passa por ele em trânsito e em cache volátil; nada clínico fica gravado em disco ali | Brasil — São Paulo | Não |
| Grafana Cloud Grafana Labs |
Telemetria: registros técnicos, métricas e alertas. Recebe apenas identificadores técnicos, sem nome nem conteúdo | Brasil — São Paulo | Não |
| OpenAI | Provedor do modelo de linguagem. Recebe o texto da conversa e o áudio da consulta para gerar a resposta ou a transcrição. Não armazena do nosso lado | Estados Unidos | Sim |
| OpenRouter | Caminho alternativo para o mesmo modelo, usado quando o principal falha. Recebe o mesmo conteúdo e repassa a um provedor upstream | Estados Unidos | Sim |
| Google Google LLC |
Espelho da agenda no Google Calendar, quando o médico liga: nome do paciente no título do evento, sem informação clínica. Também login social e acesso administrativo interno | Estados Unidos | Sim |
| 360dialog | Provedor oficial do canal WhatsApp. Recebe o conteúdo das mensagens trocadas entre a clínica e o paciente nesse canal | Brasil — região América Latina | Não |
| Meta Platforms |
Dona do WhatsApp. As mensagens do canal trafegam pela infraestrutura dela, e os metadados do serviço são tratados pela Meta conforme os termos próprios do WhatsApp Business | Estados Unidos / global | Sim, tráfego e metadado |
| Resend Resend Inc. |
E-mail transacional: convite de equipe, confirmação de conta e recuperação de acesso. Recebe nome e e-mail do destinatário. Sem conteúdo clínico | Disparo no Brasil — São Paulo. Armazenamento nos Estados Unidos, por 30 dias |
Sim, no armazenamento |
| Stripe | Assinatura da clínica junto à Symphony. Recebe dado de faturamento da clínica. Não recebe dado de paciente. Não guardamos número de cartão | Estados Unidos | Sim, dado da clínica |
| Cloudflare | Entrega das páginas do site e do sistema. Não recebe dado clínico. Como termina a conexão segura, vê metadado de requisição: endereço IP do visitante e endereço da página | Rede global, sem região fixa | Sim, metadado |
Tabela 2 · Infraestrutura que não recebe dado pessoal
Estão listados porque sustentam o serviço e porque a pergunta "quem mais está envolvido" merece resposta completa.
| Fornecedor | Para que serve | País |
|---|---|---|
| GitHub Microsoft | Código-fonte, automação de publicação e guarda de credenciais de infraestrutura | Estados Unidos |
| Hostinger | Servidor de nomes do domínio | União Europeia — Lituânia |
| Slack Salesforce | Destino dos alertas de infraestrutura: serviço fora do ar, disco, memória. Sem dado pessoal | Estados Unidos |
| Let's Encrypt ISRG | Certificados de segurança do site. Só o nome de host, que é público | Estados Unidos |
Para evitar dúvida · Fornecedores que não usamos
Aparecem aqui porque são perguntas frequentes de quem avalia a plataforma.
| Fornecedor | Situação |
|---|---|
| Google Fonts | Não usamos. As fontes do site são hospedadas por nós, por decisão de privacidade. Nenhuma requisição do seu navegador vai ao Google por causa de fonte |
| Memed | Integração de prescrição digital construída, porém desligada. Quando for ligada, passa a receber identificação do paciente e conteúdo da prescrição, e entra na Tabela 1 antes de entrar no ar |
| Ferramenta de análise de audiência no site | Nenhuma está ativa hoje. Se alguma for adotada, só carrega após o seu aceite no aviso de cookies |
| Rede de publicidade | Nenhuma. Não há pixel de anúncio no site nem no sistema |
Compromisso · Como esta página muda
- Fornecedor novo entra nesta página antes de entrar no ar, com o país de processamento declarado.
- Mudança de fornecedor ou de região é comunicada aos clientes com no mínimo 30 dias de antecedência, e vale como alteração do Aviso de Privacidade.
- A clínica que discordar de um subprocessador novo pode encerrar o contrato sem multa dentro desse prazo, com devolução dos dados.
Symphony Tecnologia Ltda — CNPJ 68.294.725/0001-73 — Rua Pais Leme, 215, conjunto 1713, Pinheiros, São Paulo/SP, CEP 05424-150. Symphony Health é o nome do produto operado por esta empresa, em health.symphonyos.com.br
Encarregado pelo tratamento de dados pessoais: Danilo Curti — contato.health@symphonyos.com.br
Documentos relacionados: aviso de privacidade · direitos do titular · termos de uso
Endereço permanente destes documentos: health.symphonyos.com.br/privacidade · health.symphonyos.com.br/direitos · health.symphonyos.com.br/subprocessadores