Política de Privacidade

Versão rascunho-2026-09-23 · atualizada em 23/09/2026
Não está em vigor
RASCUNHO para revisão jurídica, de 23/09/2026. Este texto ainda não está em vigor e pode mudar antes da abertura das assinaturas. Trechos entre colchetes serão preenchidos ou confirmados pelo jurídico.
Esta Política explica quais dados pessoais o RafeScan trata, para quê, com quem compartilha e como você exerce os seus direitos, nos termos da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, "LGPD").
Em resumo: guardamos só o necessário para a sua conta e a sua assinatura. O relato clínico que você digita é processado em memória para gerar a análise e não é armazenado nos nossos servidores, mas é enviado a fornecedores de inteligência artificial, alguns fora do Brasil. Não vendemos dados nem os usamos para publicidade.

1. Quem é o controlador

O controlador dos dados pessoais da sua conta é [RAZÃO SOCIAL], CNPJ [CNPJ], com sede em [ENDEREÇO COMPLETO].
Encarregado pelo tratamento de dados pessoais (DPO): [NOME E CONTATO DO ENCARREGADO].

2. Dados que guardamos

O nosso banco de dados guarda apenas:
  • Conta: e-mail, senha (guardada pelo serviço de autenticação apenas em forma cifrada, sem que tenhamos acesso a ela), data de criação da conta, data e versão dos termos aceitos e a declaração de que você é profissional de saúde.
  • Assinatura: situação (ativa, pendente, cancelada ou expirada), plano, forma de pagamento (cartão na web ou Apple no iPhone), data de expiração e o identificador do produto assinado na RevenueCat.
  • Pagamentos: identificador, valor, situação e data de cada cobrança. Os dados do cartão são tratados pela Stripe (web) ou pela Apple (iPhone); não recebemos o número completo do cartão.
  • Contagem de casos: para cada caso analisado, um identificador aleatório gerado no app e a data de criação, usados para aplicar o limite mensal. Não há nenhum conteúdo do caso nesse registro.
  • Métricas de uso: por usuário, dia e tipo de análise, o número de análises, o custo e o tempo de resposta. Nunca o texto do relato ou do resultado.
Nenhuma tabela do nosso banco guarda relato, hipótese, pergunta ou resposta de anamnese.

3. O relato clínico e os dados do paciente

Para gerar a análise, o app envia ao nosso servidor o relato, o sexo e a idade (opcionais), os exames informados e as respostas às perguntas de anamnese. Esses dados:
  • não podem conter dados que identifiquem o paciente (nome, CPF, cartão SUS, documento, telefone, e-mail, data de nascimento, endereço ou número de prontuário);
  • passam por um filtro automático que bloqueia a análise quando encontra CPF, CNS, telefone, e-mail ou data completa, e pede que você os remova antes de continuar; o filtro não reconhece nomes;
  • são processados em memória, não são gravados no nosso banco de dados e não são registrados nos nossos logs;
  • são enviados aos fornecedores de inteligência artificial listados na seção 6, que os processam para devolver a análise;
  • ficam no seu aparelho, em memória, enquanto o caso está aberto, e são descartados ao fechar o app ou a aba.
Mesmo sem identificação direta, um relato clínico é informação de saúde e o tratamos com o cuidado devido a dado pessoal sensível. [A CONFIRMAR PELO JURÍDICO: PAPEL DO RAFESCAN (OPERADOR DO PROFISSIONAL OU CONTROLADOR) EM RELAÇÃO A EVENTUAIS DADOS DE PACIENTES CONTIDOS NO RELATO, E SE O RELATO SEM IDENTIFICADORES PODE SER CONSIDERADO DADO ANONIMIZADO (ART. 12 DA LGPD).]

4. Para que usamos os dados e com qual base legal

  • Criar e manter a sua conta, autenticar o acesso e enviar e-mails de confirmação e de recuperação de senha: execução de contrato (art. 7º, V).
  • Cobrar a assinatura e emitir documentos fiscais: execução de contrato (art. 7º, V) e cumprimento de obrigação legal (art. 7º, II).
  • Registrar o aceite dos termos e a declaração de profissional de saúde: exercício regular de direitos (art. 7º, VI).
  • Aplicar o limite mensal de casos e medir custo e tempo de resposta do serviço: execução de contrato (art. 7º, V) e legítimo interesse em manter o serviço sustentável e estável (art. 7º, IX).
  • Guardar registros de acesso à aplicação, quando exigido: cumprimento de obrigação legal (art. 7º, II, e art. 15 do Marco Civil da Internet).
  • Processar o relato clínico para gerar a análise: [A CONFIRMAR PELO JURÍDICO: BASE LEGAL, CANDIDATA ART. 11, II, "F" (TUTELA DA SAÚDE, EM PROCEDIMENTO REALIZADO POR PROFISSIONAIS DE SAÚDE)].
Não usamos os seus dados para publicidade, não os vendemos e não os usamos para treinar modelos de inteligência artificial.

5. Como uma análise é feita

  • O app envia o caso ao nosso servidor por conexão cifrada, junto com o seu token de acesso.
  • O servidor confere a sua sessão, a sua assinatura e o filtro de dado pessoal.
  • A busca nas fontes oficiais (CID-10, protocolos e diretrizes) roda no nosso próprio servidor, sem enviar o relato a terceiros.
  • A estimativa de urgência, os sinais de alarme e o ranqueamento das hipóteses são calculados pelo Jev, da TypeSafe.
  • A extração dos achados clínicos do relato e a redação de textos auxiliares são feitas por um modelo de linguagem acessado pela Eden AI (hoje, o modelo openai/gpt-4o-mini, da OpenAI).
  • O resultado volta para o app e nada do caso fica gravado no servidor; ficam só a contagem do caso e as métricas da seção 2.

6. Com quem compartilhamos (suboperadores)

Compartilhamos dados apenas com os fornecedores necessários para o serviço funcionar, cada um para a finalidade indicada:
  • TypeSafe (Jev): recebe o relato e os dados clínicos da análise para estimar urgência e ranquear hipóteses. Local de processamento: Estados Unidos. [IDENTIFICAÇÃO, ENDEREÇO E INSTRUMENTO CONTRATUAL (DPA) A PREENCHER; DPA EM NEGOCIAÇÃO.]
  • Eden AI (roteador de modelos de linguagem): recebe o relato e trechos do caso e os encaminha ao modelo configurado, hoje openai/gpt-4o-mini, processado pela OpenAI nos Estados Unidos. [PAÍS DA SEDE DA EDEN AI, IDENTIFICAÇÃO, ENDEREÇO E INSTRUMENTO CONTRATUAL A CONFIRMAR.]
  • Maritaca AI (planejado, ainda não em uso): substituirá a Eden AI na extração de achados, com processamento no Brasil. [IDENTIFICAÇÃO E INSTRUMENTO CONTRATUAL A PREENCHER QUANDO ENTRAR EM USO.]
  • Supabase: autenticação, banco de dados da conta, da assinatura, da contagem de casos e das métricas, e envio dos e-mails de confirmação e de recuperação de senha. Região: São Paulo, Brasil. [IDENTIFICAÇÃO, ENDEREÇO E INSTRUMENTO CONTRATUAL A PREENCHER; CONFIRMAR O LOCAL DE ENVIO DOS E-MAILS.]
  • Stripe: processamento dos pagamentos com cartão na web. Local: [A CONFIRMAR: ENTIDADE STRIPE CONTRATANTE NO BRASIL E PAÍS DE PROCESSAMENTO]. [CNPJ, ENDEREÇO E INSTRUMENTO CONTRATUAL A PREENCHER; CONFIRMAR QUAIS DADOS DE COBRANÇA A STRIPE COLETA NO CHECKOUT, COMO NOME, E-MAIL E CPF.]
  • RevenueCat: gestão da assinatura (situação, plano e validade) na web e no iPhone, a partir de um identificador da sua conta. Local: Estados Unidos. [INSTRUMENTO CONTRATUAL (DPA) A PREENCHER.]
  • Hetzner: hospedagem do servidor da API, por onde o relato transita em memória durante a análise. Local: [A CONFIRMAR: ALEMANHA OU FINLÂNDIA]. [IDENTIFICAÇÃO E INSTRUMENTO CONTRATUAL A PREENCHER.]
Também podemos compartilhar dados quando a lei ou uma ordem de autoridade competente exigir.
[A CONFIRMAR PELO JURÍDICO: POLÍTICA DE RETENÇÃO E DE USO PARA TREINAMENTO DE CADA SUBOPERADOR QUE RECEBE O RELATO (TYPESAFE, EDEN AI E OPENAI), CONFORME OS RESPECTIVOS CONTRATOS.]

7. Transferência internacional de dados

O relato clínico é processado fora do Brasil: nos Estados Unidos, pela TypeSafe e pela OpenAI (via Eden AI), e no país do servidor da Hetzner, onde transita em memória. Os dados da conta e da assinatura ficam no Brasil.
Essas transferências se apoiam no art. 33 da LGPD, pelo mecanismo a seguir: [A CONFIRMAR PELO JURÍDICO: MECANISMO DE TRANSFERÊNCIA PARA CADA FORNECEDOR (POR EXEMPLO, CLÁUSULAS-PADRÃO CONTRATUAIS APROVADAS PELA ANPD, RESOLUÇÃO CD/ANPD Nº 19/2024), A DEPENDER DOS CONTRATOS (DPA) ASSINADOS.]
Planejamos reduzir essa exposição: a extração de achados passará para um fornecedor com processamento no Brasil (Maritaca AI), e o servidor poderá migrar para o Brasil.

8. Por quanto tempo guardamos

  • Relato clínico: não é guardado por nós. [A CONFIRMAR: PRAZO DE RETENÇÃO NOS SUBOPERADORES.]
  • Conta, assinatura, contagem de casos e métricas de uso: enquanto a conta existir. Ao excluir a conta, esses registros são apagados.
  • Pagamentos: mantidos pelo prazo exigido pela legislação fiscal, [PRAZO LEGAL DE GUARDA DE REGISTROS FISCAIS]; após a exclusão da conta, deixam de estar ligados a ela.
  • Registros de acesso à aplicação (endereço IP, data e hora): [A CONFIRMAR: PRAZO E EXISTÊNCIA DESSES REGISTROS NO SERVIDOR; O ART. 15 DO MARCO CIVIL DA INTERNET EXIGE 6 MESES].

9. No seu aparelho

No navegador, a sessão de login fica no armazenamento local do navegador; no iPhone, no armazenamento do app. O caso aberto fica apenas na memória, enquanto a tela está aberta.
O RafeScan não usa cookies de publicidade nem ferramentas de rastreamento ou de análise de navegação de terceiros.

10. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados, entre elas:
  • conexões cifradas entre o app, o servidor e os fornecedores;
  • regras de acesso no banco: cada usuário só lê os próprios dados, e só o servidor grava;
  • registros do servidor sem o conteúdo das requisições;
  • bloqueio automático de padrões de dado pessoal no relato.
Nenhum sistema é totalmente seguro. Em caso de incidente de segurança que possa causar risco ou dano relevante, avisaremos você e a Autoridade Nacional de Proteção de Dados (ANPD), nos termos do art. 48 da LGPD.

11. Seus direitos

Nos termos do art. 18 da LGPD, você pode pedir, a qualquer momento:
  • confirmação de que tratamos os seus dados e acesso a eles;
  • correção de dados incompletos, inexatos ou desatualizados;
  • anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
  • portabilidade dos dados a outro fornecedor;
  • eliminação dos dados tratados com base no seu consentimento, quando for o caso;
  • informação sobre as entidades com quem compartilhamos os seus dados;
  • informação sobre a possibilidade de não fornecer consentimento e as consequências da negativa;
  • revogação do consentimento, quando for o caso;
  • revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem os seus interesses (art. 20).
Para exercer esses direitos ou excluir a sua conta, escreva para [NOME E CONTATO DO ENCARREGADO]. Responderemos em até [PRAZO DE RESPOSTA AO TITULAR]. Como não guardamos relatos, não conseguimos fornecer cópia de análises anteriores.
Você também pode apresentar reclamação à ANPD.

12. Decisões automatizadas

As hipóteses, a urgência e as perguntas do RafeScan são sugestões automáticas apresentadas a você, profissional de saúde. Nenhuma decisão sobre o paciente é tomada pelo RafeScan: a decisão clínica é sempre sua.

13. Crianças e adolescentes

O RafeScan é destinado a profissionais de saúde maiores de 18 anos e não coleta dados de contas de crianças ou adolescentes.

14. Alterações desta Política

Podemos atualizar esta Política. A versão vigente fica disponível no app, com a data da última atualização, e mudanças relevantes serão avisadas por e-mail ou no app.

15. Contato

Encarregado pelo tratamento de dados pessoais: [NOME E CONTATO DO ENCARREGADO]. Outros assuntos: [E-MAIL DE CONTATO].
Leia também
Termos de Uso