Política de Privacidade
Versão 1.1 · atualizada em 28 de outubro de 2026 (cadeado: dados do paciente embaralhados no aparelho; formato das etiquetas e relatórios, sem dados, para melhorar a leitura)
O essencial, em poucas linhas
- Cada médico só vê os próprios registros. Os dados ficam criptografados, em servidores no Brasil (São Paulo).
- Cadeado: nome ou iniciais, nascimento, número de atendimento, procedimento e observação são embaralhados no aparelho do médico antes de chegar ao servidor. A chave fica só com o médico: nem o CirurgIAsalva consegue ler esses dados. Se o médico perder o código de recuperação e todos os aparelhos com a chave, esses campos não podem ser recuperados.
- Contas novas guardam só as iniciais do paciente e não guardam a data de nascimento. O médico pode mudar isso na opção Privacidade do app.
- Não guardamos fotos, diagnósticos, exames, CPF de pacientes nem localização. Não há propaganda nem rastreadores no app.
- A foto da etiqueta é lida só no seu iPhone e nunca é enviada. Relatórios que o app já conhece também são lidos no aparelho.
- Os dados nunca são vendidos nem usados para treinar inteligência artificial.
- Para melhorar a leitura, o app envia só o tipo de correção que você faz e o formato das etiquetas e relatórios (todas as letras viram X e todos os números viram 9), sem nenhum dado de paciente e sem identificar você. Você desliga em Minha conta.
- Você pode baixar tudo e excluir a conta, com todos os dados, quando quiser.
- Quem é o responsável
- A quem esta política se aplica
- Dados dos médicos
- Dados dos pacientes
- Fotos e inteligência artificial
- Com quem os dados são compartilhados
- Dados fora do Brasil
- Por quanto tempo guardamos
- Segurança
- Seus direitos
- Cookies e armazenamento no aparelho
- Incidentes de segurança
- Mudanças e contato
1. Quem é o responsável
O CirurgIAsalva é oferecido por Leonardo Cosac Oliveira Paranhos, pessoa física, CPF [CPF], com endereço em [ENDEREÇO COMPLETO], que é o controlador dos dados dos médicos usuários. Se o serviço passar a ser oferecido por uma empresa, avisaremos com antecedência.
Encarregado pelo tratamento de dados (DPO): Leonardo Cosac Oliveira Paranhos. Canal de privacidade: cirurgiasalva@gmail.com (escreva "Privacidade" no assunto).
2. A quem esta política se aplica
- Médicos e profissionais de saúde que usam o app. Para os seus dados de cadastro, uso e cobrança, o CirurgIAsalva é o controlador.
- Pacientes cujos procedimentos são registrados pelo médico. Esses dados são colocados no app pelo próprio médico, para o controle de honorários dele. O médico é o controlador, e o CirurgIAsalva é o operador, que guarda e processa os dados em nome do médico (veja a seção 4).
- Visitantes da página de vendas.
O serviço é destinado a profissionais maiores de 18 anos.
3. Dados dos médicos
| Dado | Para quê | Base legal (LGPD) |
|---|---|---|
| E-mail e senha (a senha é guardada de forma embaralhada, que ninguém consegue ler) | Criar a conta, entrar, recuperar a senha, avisos sobre a conta | Execução do contrato (art. 7º, V) |
| Escolhas no app: opções de privacidade, valores que você costuma receber, preferências | Fazer o app funcionar do seu jeito | Execução do contrato (art. 7º, V) |
| Situação da assinatura, plano, datas e identificador do pagamento | Liberar o acesso, controlar teste grátis, cupons e indicações | Execução do contrato (art. 7º, V) |
| Dados do pagamento — informados diretamente à Apple, na compra pela App Store | Cobrar a assinatura. A Apple é a responsável por esses dados; o CirurgIAsalva recebe só a confirmação da compra e não guarda CPF nem dados de cartão | Execução do contrato e obrigação legal (art. 7º, II e V) |
| Registros de acesso: endereço IP, data, hora e tipo de aparelho/navegador de cada entrada e uso do app | Cumprir o Marco Civil da Internet e investigar uso indevido | Obrigação legal (art. 7º, II; Lei 12.965/2014, art. 15) |
| Marca do cadeado: um pequeno texto de teste, embaralhado com a sua chave, que permite ao app conferir se a chave ou o código digitado está certo. Não revela a chave nem o código | Fazer o cadeado funcionar (seção 4) | Execução do contrato (art. 7º, V) |
| Data, hora e versão do aceite dos Termos e desta Política | Comprovar o aceite | Exercício regular de direitos (art. 7º, VI) |
| Origem do cadastro (link de convite, cupom ou anúncio) | Aplicar benefícios e saber quais divulgações funcionam | Legítimo interesse (art. 7º, IX) |
| Contagem diária de leituras por inteligência artificial | Limite de uso contra abuso e controle de custo | Legítimo interesse (art. 7º, IX) |
| Melhoria do app, enviada automaticamente: o tipo de cada correção feita na conferência (por exemplo, “desfez um item encontrado”), o motivo em uma lista fixa de faixas (por exemplo, “número de atendimento com 1 dígito diferente”, “nome 80% parecido”), contagens de itens, o modelo do relatório, a versão e se foi no iPhone ou no site. Nunca inclui nome, iniciais, número de atendimento, procedimento, valor ou data de paciente, e não é ligada à sua conta | Melhorar a leitura e a conferência dos relatórios. Você pode desligar em Minha conta → Ajudar a melhorar o app | Legítimo interesse (art. 7º, IX), com opção de desligar |
| Formato das etiquetas e relatórios, enviado automaticamente nas 3 primeiras etiquetas e nas 3 primeiras conferências, e quando a leitura falha ou você corrige o que o app leu: o desenho da etiqueta ou do relatório, com todas as letras trocadas por X e todos os números por 9. Seguem como estão só palavras de uma lista fixa de rótulos (por exemplo, “Atend.”, “Nasc.”, “Paciente”, “Valor”, “Convênio”). O app confere antes de enviar que não sobrou nenhum número nem palavra do nome do paciente e, se sobrar, não envia. Junto vai só se cada campo lido saiu igual, corrigido ou em branco (nunca o conteúdo). Não identifica o paciente nem você | Ensinar o app a ler as etiquetas e os relatórios dos hospitais | Legítimo interesse (art. 7º, IX), com opção de desligar. Por não permitir identificar ninguém, é tratado como dado anonimizado (art. 12) |
| Formato de um relatório, só se você tocar em “Enviar o formato deste relatório”: o desenho do relatório, com todas as letras trocadas por X e todos os números por 9 (o app mostra na tela exatamente o que será enviado, antes de você confirmar). Podem seguir como estão os títulos das colunas e o nome do hospital e do sistema que aparecem no topo do relatório | Ensinar o app a ler os relatórios do seu hospital | Consentimento (art. 7º, I), dado a cada envio |
| Mensagens que você nos envia | Suporte | Execução do contrato (art. 7º, V). Se a mensagem trouxer dado de paciente, ele é tratado em nome do médico, como na seção 4 |
Usamos o seu e-mail para mensagens sobre a conta e o serviço (confirmação de cadastro, troca de senha, cobrança, mudanças importantes). Se um dia enviarmos novidades ou ofertas, você poderá deixar de recebê-las com um clique.
4. Dados dos pacientes
O que pode ser guardado, conforme as escolhas de cada médico na opção Privacidade do app:
- só as iniciais (padrão das contas novas) ou nome completo, se o médico escolher. No modo iniciais, o nome completo é convertido no próprio aparelho e nunca chega ao banco de dados;
- número de atendimento ou de prontuário do hospital;
- data de nascimento (só se o médico ligar essa opção; vem desligada);
- data do procedimento, procedimento, convênio, situação do pagamento, valores e observação do médico.
O que não guardamos: fotos de etiquetas ou de relatórios, diagnóstico, exames, prontuário, CPF do paciente e localização.
Cadeado (dados embaralhados no aparelho): em todas as contas, o app embaralha no próprio aparelho do médico, antes de enviar ao servidor, o nome ou as iniciais, a data de nascimento, o número de atendimento, o procedimento e a observação (criptografia AES-256, feita pelo próprio iPhone ou navegador). O banco de dados guarda só um texto sem sentido. A chave é criada no aparelho e nunca é enviada ao CirurgIAsalva: no iPhone, fica nas Chaves (Keychain) e pode ser sincronizada pelas Chaves do iCloud da Apple, que também não conseguem lê-la; no site, fica no navegador de cada computador em que o médico digitou o código de recuperação. Assim, nem o CirurgIAsalva, nem os fornecedores de hospedagem, nem quem eventualmente invadisse o banco de dados conseguiriam ler esses campos. Data do procedimento, convênio, valores e situação do pagamento continuam legíveis no servidor, para os totais, filtros e avisos de repasse funcionarem; sozinhos, eles não identificam o paciente.
Código de recuperação: é mostrado ao médico uma única vez no primeiro acesso (e de novo, a pedido, em Minha conta, num aparelho que já tenha a chave). O CirurgIAsalva não tem cópia dele. Se o médico perder o código e todos os aparelhos com a chave, esses campos não podem ser recuperados por ninguém; a opção "Perdi o código", depois de confirmada por um código enviado ao e-mail do médico, apaga só esses campos e cria um código novo. Recuperar a senha por e-mail não recupera o código.
Para quê: exclusivamente para o médico controlar os procedimentos que realizou e conferir o recebimento dos honorários. O CirurgIAsalva trata esses dados apenas por conta do médico e não os usa para fins próprios, não os vende, não os compartilha para propaganda e não os usa para treinar inteligência artificial.
Se você é paciente: seus dados foram registrados pelo seu médico, que é o responsável por eles. Para consultar, corrigir ou pedir a exclusão, fale com o seu médico. Se preferir, escreva para o nosso canal de privacidade: encaminharemos o pedido ao médico responsável e o apoiaremos na resposta.
Quando o procedimento for de paciente menor de idade, o médico deve registrar apenas o mínimo necessário, no melhor interesse da criança ou do adolescente.
5. Fotos e inteligência artificial
- Etiqueta: a foto é lida só no celular, em qualquer iPhone, e nada é enviado. O leitor de texto da Apple e regras do próprio app (e, nos iPhones com Apple Intelligence, a inteligência artificial da própria Apple, também no aparelho) separam nome, número e nascimento. No site, no computador, não há leitura de etiqueta por foto.
- Relatório de repasse: planilhas organizadas e PDFs de modelos que o app já conhece são lidos no próprio aparelho, sem inteligência artificial e sem enviar nada. Só quando o app não reconhece o relatório (formato novo, PDF escaneado, foto ou print), ele pergunta se o médico autoriza enviar o arquivo a um serviço de inteligência artificial (Anthropic, nos Estados Unidos), pelo nosso servidor de hospedagem (Netlify). Sem a autorização, nada é enviado, e o médico pode preencher à mão. Nem o CirurgIAsalva nem a Netlify guardam o arquivo.
- A Anthropic não usa esses dados para treinar seus modelos e os apaga em até 30 dias. Ela pode guardá-los por mais tempo (até 2 anos) apenas se os sistemas de segurança dela apontarem possível uso indevido, ou se a lei exigir.
- O resultado da leitura é sempre mostrado ao médico, que confere e decide o que salvar. Não há decisões automatizadas sobre pessoas.
6. Com quem os dados são compartilhados
Não vendemos dados. Compartilhamos apenas com os fornecedores necessários para o serviço funcionar:
| Fornecedor | Para que serve | Dados que recebe | Onde |
|---|---|---|---|
| Supabase | Banco de dados e login | Todos os registros dos médicos e dos pacientes | Dados guardados no Brasil (São Paulo); empresa com sede nos EUA |
| Netlify | Hospeda o site e faz a ponte com a inteligência artificial | Fotos e arquivos de passagem, sem guardar; registros técnicos de acesso | EUA |
| Anthropic | Inteligência artificial que lê relatórios que o app não reconhece (só com autorização) | Só relatórios de repasse que o app não reconhece, com autorização do médico (nunca a etiqueta) | EUA |
| Envio dos e-mails do app; fontes de letra do site | E-mail do médico e o link enviado; endereço IP do visitante ao carregar as fontes | EUA | |
| Apple | Cobrança das assinaturas (feitas pelo app de iPhone) | A Apple trata os dados de pagamento como responsável própria; nós recebemos só a confirmação da compra | EUA |
Nenhum fornecedor recebe dados de pacientes além de Supabase, Netlify e Anthropic. Também podemos compartilhar dados quando a lei exigir ou por ordem de autoridade competente, e para defender direitos em processo. Se trocarmos ou incluirmos algum fornecedor que receba dados de pacientes, atualizaremos esta lista e avisaremos os médicos com antecedência.
7. Dados fora do Brasil
Os registros ficam guardados no Brasil (São Paulo). Alguns fornecedores, porém, ficam nos Estados Unidos, e por isso há transferência internacional de dados. Ela acontece só nestes casos:
| Para quem | O que vai | Para quê | Por quanto tempo fica lá |
|---|---|---|---|
| Netlify (EUA) | Fotos, arquivos ou texto enviados para leitura, só de passagem; registros técnicos de acesso ao site | Levar o pedido de leitura até a inteligência artificial e hospedar o site | As fotos e arquivos não são guardados; registros técnicos por pouco tempo, conforme o fornecedor |
| Anthropic (EUA) | Só o relatório de repasse que o app não reconhece, depois da autorização do médico (nunca a etiqueta) | Ler e preencher os campos para o médico conferir | Até 30 dias (exceções na seção 5). Não é usado para treinar a inteligência artificial |
| Google (EUA) | E-mail do médico e a mensagem enviada; endereço IP de quem abre o site (fontes de letra) | Enviar e-mails da conta e mostrar o site | E-mails: enquanto a conta de e-mail do app existir |
| Apple (EUA) | Dados da compra, informados pelo médico diretamente à Apple | Cobrar a assinatura | Conforme as regras da Apple, que é responsável própria por esses dados |
Como protegemos: esses fornecedores se comprometem, por contrato, a usar os dados apenas para prestar o serviço, a mantê-los em sigilo e a protegê-los com medidas de segurança. Mantemos o envio ao exterior no mínimo necessário: as fotos não são guardadas, a etiqueta é lida só no celular e nunca é enviada, relatórios conhecidos são lidos no aparelho, e planilhas organizadas são lidas no aparelho, sem sair dele.
Seus direitos: você pode pedir mais informações sobre essas transferências pelo canal de privacidade (seção 1). Respondemos em até 15 dias. Também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.
8. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Conta e registros (médico e pacientes) | Enquanto a conta existir. O médico pode apagar registros um a um ou a conta inteira a qualquer momento. |
| Conta pausada (teste encerrado sem assinatura, ou assinatura cancelada) | Guardada para o médico poder voltar ou baixar os dados. Após 12 meses seguidos pausada, avisamos por e-mail e, sem resposta em 30 dias, excluímos tudo. |
| Conta excluída | Apagada na hora, com todos os registros, preferências, aceites e histórico de assinatura. Ficam só os registros de acesso, pelo prazo legal abaixo. Cópias de segurança são sobrescritas automaticamente em até 30 dias. |
| Fotos e arquivos enviados para leitura | Não são guardados pelo CirurgIAsalva. Na Anthropic, até 30 dias (exceções na seção 5). |
| Contagem de leituras por inteligência artificial | 90 dias |
| Contagem de correções e formatos de etiquetas e relatórios (melhoria do app) | 12 meses; depois são apagados automaticamente |
| Mensagens de suporte | Até 1 ano depois de resolvido o assunto |
| Registros de acesso (IP, data, hora e tipo de aparelho) | 6 meses, como exige o Marco Civil da Internet, mesmo que a conta seja excluída antes (ou mais, se uma autoridade pedir) |
| Dados de cobrança | Guardados pela Apple, pelo prazo que a lei e as regras dela exigem. No CirurgIAsalva, o histórico de assinatura é apagado junto com a conta. |
9. Segurança
- Cadeado: os dados que identificam o paciente são embaralhados no aparelho do médico, com uma chave que só ele tem (veja a seção 4).
- Dados criptografados no banco (AES-256) e em trânsito (HTTPS).
- Cada médico só acessa os próprios registros: a regra fica no próprio banco de dados, não apenas na tela.
- Senha forte obrigatória, guardada de forma ilegível; troca de senha exige a senha atual ou um link por e-mail que vale por 1 hora.
- Opção de sair sozinho depois de 30 minutos sem uso, para computadores compartilhados.
- No iPhone, você pode proteger o app e a entrada na conta com Face ID ou Touch ID. A leitura do rosto ou da digital é feita pelo próprio iPhone: o CirurgIAsalva não recebe nem guarda imagem do rosto ou da digital. Se você ativar “Entrar com Face ID”, a senha fica guardada só no cofre do seu iPhone (Keychain), protegida pelo Face ID, e não é enviada ao nosso servidor além do login normal. Você desliga quando quiser em Minha conta.
- Proteções contra invasão no site (o site só executa o próprio código e não pode ser aberto dentro de outro site), limite diário de uso da inteligência artificial e verificação em duas etapas nas contas de administração.
- O acesso técnico ao banco de dados é restrito ao responsável pelo serviço, usado só quando necessário para manutenção ou para atender um pedido do próprio médico.
Nenhum sistema é 100% invulnerável. Se você notar algo estranho, escreva para o canal de privacidade.
10. Seus direitos
Pela LGPD (art. 18), você pode pedir: confirmação de que tratamos seus dados; acesso a eles; correção; anonimização, bloqueio ou eliminação de dados desnecessários; portabilidade; eliminação dos dados; informação sobre com quem compartilhamos; e revogação de consentimento, quando for o caso. Também pode se opor a tratamentos baseados em legítimo interesse.
Boa parte disso você faz sozinho no app: Minha conta → baixar todos os dados em planilha, trocar senha, excluir a conta; e Privacidade → mudar o que é guardado dos pacientes. Para o restante, escreva para cirurgiasalva@gmail.com. Respondemos em até 15 dias. Se não ficar satisfeito, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.
11. Cookies e armazenamento no aparelho
O app guarda no seu navegador apenas o necessário para funcionar: a sessão de login (para você continuar conectado), preferências do aparelho e o código de convite ou cupom do link pelo qual você chegou. Não usamos cookies de propaganda nem ferramentas de análise de visitas. Se um dia passarmos a medir visitas na página de vendas, isso será informado aqui e você poderá recusar. O app também guarda no aparelho as suas escolhas de segurança e melhoria (por exemplo, sair sozinho, Face ID e “Ajudar a melhorar o app”) e a chave do cadeado (no iPhone, nas Chaves; no computador, no armazenamento do navegador). Se você limpar os dados do navegador, o site pedirá o código de recuperação de novo.
12. Incidentes de segurança
Se ocorrer um incidente que possa trazer risco ou dano relevante, comunicaremos a ANPD e os médicos afetados nos prazos da regulamentação. Quando envolver dados de pacientes, avisaremos o médico (controlador) sem demora, com as informações necessárias, e o apoiaremos na comunicação aos pacientes, quando for o caso. Na avaliação do risco, levaremos em conta que os campos protegidos pelo cadeado continuam ilegíveis para quem não tem a chave do médico.
13. Mudanças nesta política e contato
Podemos atualizar esta Política. Mudanças importantes serão avisadas por e-mail ou no app antes de entrarem em vigor. A data da versão em vigor fica no topo desta página.
Dúvidas ou pedidos: cirurgiasalva@gmail.com.