Privacidade e LGPD

Dado clínico do paciente. O profissional de saúde é o controlador: é ele quem define o que registrar, por quanto tempo acompanhar e com quem compartilhar. O Acompanha atua como operador, tratando esses dados conforme a instrução dele e conforme esta política.

Conta, segurança e cobrança. Para o cadastro do profissional, a autenticação, a prevenção a abuso e o faturamento, o Acompanha é o controlador e responde diretamente pelas decisões de tratamento.

O que coletamos do paciente por decisão nossa. Avaliação de satisfação, feedback sobre o app, inscrição de notificação e progresso de gamificação não são pedidos pelo médico — são decisão da plataforma. Nesses casos o Acompanha é o controlador, e a avaliação e o feedback não são exibidos ao profissional.

Equipe do paciente. Quando o médico responsável vincula outro profissional a um paciente, quem decide o que aquele profissional enxerga e edita continua sendo o médico responsável. O Acompanha aplica a permissão do vínculo; não a escolhe.

Quando um pedido de titular envolver dado clínico, podemos precisar acionar o médico ou a clínica responsável pelo vínculo assistencial para atendê-lo.

• Cadastro: nome, CPF, data de nascimento, e-mail, telefone e endereço.
• Profissional: conselho, número de registro, UF e especialidade.
• Clínico: consulta em formato SOAP, anamnese, protocolo de medicações, resultados de exames, documentos e laudos anexados, alergias, lesões e cirurgias.
• Registrado pelo paciente: check-in semanal, medidas corporais, fotos de progresso, treino executado, refeições e ingestão de água.
• Sensível de declaração voluntária: raça ou cor, tratada no art. 11 da LGPD. Ver item 4.4.
• Assinatura: plano, situação de pagamento e identificadores emitidos pelo processador. Não recebemos nem guardamos número de cartão.
• Mensagens: o conteúdo da conversa entre o paciente e cada profissional do vínculo, com data e autor.
• Financeiro do consultório: valor combinado, competência e baixa de recebimento que o profissional registra sobre cada paciente. Não processamos esse pagamento.
• Produto: avaliação de satisfação, feedback sobre o app, inscrição de notificação e progresso de gamificação. A avaliação e o feedback não são exibidos ao médico.
• Segurança: registro mínimo de acesso e de erro, para investigar incidente e abuso.

Paciente menor de 18 anos só pode ser cadastrado com o aceite do pai, da mãe ou do responsável legal, que responde pela conta e pelo que for registrado no app. Obter e manter esse aceite é responsabilidade do profissional. Para menor de 12 anos, o tratamento observa o art. 14 da LGPD.

Dado do médico: autenticar o acesso, gerir a assinatura, enviar aviso operacional, prevenir fraude e proteger a plataforma.

Dado do paciente: montar o histórico longitudinal, comparar evolução, gerar os alertas assistenciais, permitir o compartilhamento controlado de documentos e entregar as notificações que o próprio paciente ativou.

Bases legais do que nós controlamos: conta, autenticação e cobrança, execução do contrato (art. 7º, V); prevenção a fraude e registro de acesso, legítimo interesse (art. 7º, IX); guarda fiscal, cumprimento de obrigação legal (art. 7º, II); notificação, consentimento do titular (art. 7º, I), porque é o paciente quem ativa; avaliação de satisfação e feedback sobre o app, legítimo interesse (art. 7º, IX), sem exibição ao profissional; progresso de gamificação, consentimento específico do titular (art. 11, I), por derivar do registro clínico dele. O dado clínico é tratado por instrução do profissional controlador, que se apoia na tutela da saúde por profissional de saúde (art. 11, II, alínea f).

Não vendemos dado pessoal, não cedemos base para terceiro e não usamos dado clínico para publicidade.

No consultório, acionada pelo médico: leitura estruturada de laudo laboratorial e de receita, interpretação do painel de exames, redação do Subjetivo a partir da anamnese, rascunho da Avaliação, geração de plano de treino e de dieta, e reescrita das orientações em linguagem clara para o paciente.

No app, acionada pelo próprio paciente: leitura da refeição descrita por texto, da foto do prato e da foto do rótulo, e estruturação da dieta que ele cola de outro profissional, montagem da lista de compras da semana e sugestão de remanejo do treino. Nesses casos a imagem ou o texto que ele enviou também sai para o provedor de IA.

O processamento é feito pela OpenAI, na condição de suboperadora, que recebe apenas o conteúdo necessário para a tarefa acionada pelo médico ou pelo próprio paciente. Os dados trafegam por API e não são usados para treinar modelos. Esse tratamento envolve transferência internacional — ver item 7.

A IA é apoio, nunca decisão. Todo resultado de IA acionada pelo médico é rascunho e passa por revisão dele antes de virar conduta ou entrar no prontuário. O que o paciente registra pelo app entra identificado como registro do paciente e não vira conduta clínica. Nenhuma conduta é automatizada, e os alertas do prontuário são regra determinística, não IA.

A sincronização é opcional. O médico ativa em Administração e depois Integrações, passando pelo consentimento OAuth 2.0 do próprio Google, e pode revogar a qualquer momento — dentro do Acompanha ou em myaccount.google.com/permissions.

Escopos solicitados: calendar.events para criar, atualizar e remover os eventos que o próprio médico cria dentro do Acompanha, e calendar.readonly para listar os calendários dele e exibir os compromissos existentes em modo somente leitura na agenda.

O que não fazemos: não lemos, não guardamos e não processamos e-mail, contatos, Drive, fotos ou qualquer outro serviço Google além da Calendar API. Não compartilhamos esses dados com terceiros, não os usamos para treinar modelo de IA e não os exibimos para outro usuário da plataforma.

Os tokens de acesso são cifrados em repouso e decifrados apenas no servidor. Desconectar a integração remove os tokens do nosso banco e chama a API de revogação do Google. O uso dos dados obtidos por APIs do Google respeita a Google API Services User Data Policy, incluindo os requisitos de Limited Use.

Transferência internacional. Como a tabela mostra, parte do tratamento ocorre fora do Brasil. A transferência se apoia nas cláusulas contratuais firmadas com cada fornecedor (art. 33, II da LGPD) e, quanto ao dado de saúde, na tutela da saúde do titular por profissional de saúde (art. 11, II, alínea f).

O envio de notificação usa o serviço de push do próprio navegador ou sistema do aparelho, com chaves geradas por nós. A consulta de endereço por CEP usa um serviço público e envia apenas o CEP digitado; como a busca parte do seu navegador, o serviço enxerga o endereço de IP da conexão.

Cookies e rastreadores. Usamos cookie de sessão e de segurança, essenciais para manter você conectado; medição agregada de desempenho por padrão de rota, que não identifica o usuário; e a verificação antirrobô da Cloudflare nas telas de entrada. Não usamos cookie de publicidade nem de rastreamento entre sites.

• O isolamento entre contas é aplicado no banco de dados, não na tela: nenhum profissional alcança paciente de outro por conta própria.
• A exceção é a equipe. Quando o médico responsável vincula outro profissional a um paciente específico, esse profissional passa a alcançar aquele paciente — só ele, e só até onde a permissão do vínculo permite. O vínculo registra quem convidou e quando, e pode ser pausado ou revogado a qualquer momento pelo responsável.
• Laudo, foto e documento não ficam em link aberto — o acesso é gerado pelo servidor e expira.
• Alterações relevantes ficam registradas com autor, ação e data, e o registro de auditoria não é editável pelo usuário.
• As telas autenticadas não são armazenadas em cache pelo navegador, e a sessão pode ser protegida por biometria do aparelho.
• Acesso administrativo a dado clínico é excepcional, exige janela temporária e fica registrado.

A LGPD garante ao titular confirmar se há tratamento, acessar os dados, corrigi-los, pedir anonimização ou eliminação do que for desnecessário, pedir a portabilidade para outro fornecedor, saber com quem compartilhamos, saber o que acontece se não consentir, revogar consentimento, se opor a tratamento irregular e peticionar à ANPD.

Como pedir. Escreva para marshallpaiva@hotmail.com do e-mail cadastrado na conta, dizendo o que você quer. Se o pedido vier de outro endereço, vamos pedir uma confirmação para não entregar dado de saúde a quem não é o titular. Respondemos em até 15 dias, ou de imediato em formato simplificado, na forma do art. 19 da LGPD.

Um limite honesto: pedido de exclusão de dado clínico esbarra no dever de guarda do prontuário — ver item 10. Nesse caso encerramos o acompanhamento e restringimos o acesso, mas o registro permanece guardado pelo prazo legal.

Esse mesmo endereço é o canal para comunicar incidente de segurança. Os outros caminhos estão em Contato.

Prontuário. Encerrar o acompanhamento de um paciente libera a vaga do plano do médico e encerra o acesso corrente, mas não apaga o registro: ele continua guardado por 20 anos contados do último registro (Lei 13.787/2018), o mesmo prazo que o app mostra ao médico na hora de encerrar.

Conta e cobrança. Dado cadastral e fiscal é mantido enquanto a conta existe e, depois, por 5 anos, mais o prazo de defesa em processo em curso.

O que é apagado. Consulta apagada sai das telas, pode ser restaurada em 30 dias e depois fica retida pelo prazo legal de guarda, com o rastro de auditoria. Documento anexado apagado pelo profissional é removido na hora, sem recuperação. Laudo em PDF importado e depois apagado é descartado de vez a partir de 30 dias.

Registro de segurança. Mantido por 6 meses, ou pelo prazo do incidente em apuração, e depois descartado.

Como esta política muda. Alteração material é comunicada dentro do produto ou por e-mail antes de valer, e toda revisão fica registrada no histórico no fim desta página, com a data e o que mudou.