Política de privacidade

1. Em uma tela

• Você entra com a sua conta Google. Recebemos nome, e-mail e foto. Nunca a sua senha, nunca o conteúdo do Gmail, Drive ou agenda.
• Guardamos a transcrição em texto das suas estações e a correção item a item. É o núcleo do produto: é o que permite comparar a décima tentativa com a primeira.
• Não gravamos a sua voz. O áudio vai do seu navegador ao provedor do modelo de voz, em tempo real, e não passa pelo nosso servidor nem fica armazenado por nós.
• Não vendemos dados nem treinamos modelo com o seu áudio. A medição de anúncios descrita abaixo depende da sua autorização opcional.
• Você apaga tudo sozinho, em Conta → Excluir conta. A exclusão é imediata.

2. Quem trata os dados

O controlador dos dados é o Paciente Zero, produto independente de treino para a prova prática de residência médica. Qualquer pedido sobre os seus dados vai para contato@pacientezero.com.br, que é também o canal do encarregado de dados.

3. A sua conta Google

O único jeito de entrar no Paciente Zero é com o login do Google. Pedimos ao Google apenas o perfil básico (escopos openid, email e profile) e recebemos:

• Nome, para cumprimentar você no painel e identificar a conta.
• Endereço de e-mail, como identificador da conta e para comunicações operacionais (mudança nestes termos, aviso de incidente, resposta a um pedido seu).
• Foto de perfil, mostrada no menu do painel. Guardamos só o endereço da imagem que o Google fornece.
• Identificador da conta Google, para reconhecer você no próximo login.

Não recebemos a sua senha nem acesso a nenhum outro serviço do Google. Esses dados servem para criar e manter a sua conta aqui. Nome, e-mail e foto não são enviados à Meta pela medição de cadastro. Não vendemos esses dados; os compartilhamentos estão na seção 7. Você pode revogar o acesso a qualquer momento em myaccount.google.com/permissions; para apagar também o que está aqui, use a exclusão de conta (seção 6).

4. O que mais coletamos

• Perfil de estudo: banca, especialidade, experiência com prova prática e mês da prova-alvo. Você informa no primeiro acesso e pode mudar ou deixar em branco na sua conta. Servem para escolher e calibrar as estações.
• Telefone: opcional, informado no onboarding e guardado no seu perfil. É excluído junto com a conta.
• Estações: a transcrição em texto do que você disse e do que o paciente respondeu, os tempos de cada fala, os exames que você solicitou, os itens do checklist marcados, a nota e os comentários da correção.
• Uso do serviço: data, duração e estação de cada sessão, e a contagem de estações usadas — é assim que controlamos as 5 estações grátis.
• Registros técnicos: a hospedagem guarda, por curto período, logs de acesso com endereço IP e navegador, para segurança e diagnóstico de erro.
• Analytics de produto: páginas visitadas, origem de campanhas, cliques nos planos e etapas de login, onboarding e treino. Usamos um identificador técnico para ligar essas etapas, sem enviar nome, e-mail, telefone, respostas de formulário, áudio, transcrição, nota ou conteúdo da correção como eventos de analytics.
• Replay da interface: reconstruímos a navegação, os cliques e a rolagem para encontrar problemas de uso. Os campos de formulário são mascarados; dados pessoais, sala de atendimento, onboarding, histórico e relatórios ficam ocultos na reprodução. Não capturamos áudio, vídeo, console nem conteúdo de requisições nesse replay.

Medição opcional de anúncios: se você marcar a autorização antes de continuar com Google, podemos enviar à Meta a confirmação de uma conta nova, o horário, um identificador pseudônimo derivado do ID da conta e a referência do anúncio, quando houver. O envio serve para atribuição e otimização de campanhas. Não inclui nome, e-mail, telefone, IP, áudio, transcrições, respostas clínicas, casos, notas ou resultados. Recusar não impede cadastro, teste grátis nem compra. Respeitamos Do Not Track e Global Privacy Control também nesse envio. A autorização vale para esse cadastro; em Conta, você pode cancelar um envio pendente. Para solicitar exclusão de dados já compartilhados, use o contato da seção 2. A Meta pode tratar esses dados fora do Brasil.

O que não coletamos:

• Áudio. A conversa por voz é transmitida do seu navegador diretamente ao provedor do modelo de voz. Nós recebemos apenas o texto transcrito. Pedimos ao provedor, em cada sessão, que não retenha a conversa.
• Câmera. Nunca pedimos acesso à câmera. O microfone é pedido apenas dentro da sala, e só enquanto a estação dura.
• Pagamento. O Asaas processa a assinatura por cartão recorrente ou Pix Automático. Os dados de cartão são preenchidos no checkout do Asaas. Para Pix Automático, nome, e-mail e CPF do pagador são enviados ao Asaas; o CPF não é persistido no Paciente Zero. Guardamos identificadores técnicos da assinatura, cobranças e autorização Pix, valores, períodos pagos e status para administrar seu acesso. Esses dados e as telas de cobrança ficam fora do session replay. Nenhum dado bancário, CPF, cartão ou payload financeiro bruto é enviado ao analytics.

5. Onde os dados ficam

Banco de dados e autenticação ficam em servidores no Brasil (região de São Paulo). O aplicativo também roda em São Paulo. A escolha é deliberada: reduz latência e evita transferência internacional desnecessária.

A voz do paciente e a correção são processadas pelo provedor do modelo, nos Estados Unidos. Essa transferência é necessária para o serviço existir e se apoia no art. 33 da LGPD. O que vai para lá: o áudio da conversa, em tempo real, e a transcrição em texto para a correção. O que nunca vai: seu nome, e-mail ou qualquer dado da sua conta — o provedor recebe apenas um identificador anônimo da sessão.

O analytics de produto usa o PostHog Cloud, na região dos Estados Unidos. Ele recebe somente os metadados de uso descritos na seção 4 e o identificador técnico da conta. O endereço IP não é usado para enriquecer os eventos com localização.

6. Por quanto tempo

• Conta, perfil, transcrições e correções: enquanto a conta existir.
• Exclusão da conta: em Conta → Excluir conta, a conta e tudo o que está ligado a ela (perfil, sessões, transcrições, correções, créditos) são apagados no mesmo instante. Não há período de carência nem cópia de segurança acessível.
• Registros técnicos: apagados pela hospedagem em prazo curto, em geral até 30 dias.
• No provedor do modelo: pedimos que a conversa não seja retida. Pela política dele, o conteúdo pode ficar por até 30 dias para monitoramento de abuso e é então apagado.
• Analytics: o identificador de navegação é guardado em cookie por até 90 dias. Para solicitar a exclusão dos eventos ligados à sua conta no PostHog, entre em contato pelo e-mail da seção 2.

7. Com quem compartilhamos

Compartilhamos o mínimo necessário com os serviços e destinatários abaixo:

• Google, para o login (seção 3);
• o provedor de banco de dados e autenticação (hospedagem no Brasil);
• a plataforma que hospeda o aplicativo;
• o provedor do modelo de voz e de texto (seção 5);
• PostHog, para medir navegação, conversão e uso do produto (seções 4 e 5);
• Meta, somente para a medição de cadastro autorizada na seção 4;
• autoridade competente, mediante ordem legal.

Não há venda de dados nem uso do seu conteúdo para treinar modelos de terceiros. O compartilhamento com a Meta para medir anúncios é opcional, como descrito na seção 4.

8. Seus direitos

Nos termos da Lei nº 13.709/2018 (LGPD), você pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação e informação sobre compartilhamento. O pedido é feito pelo e-mail acima e respondido em até 15 dias. Acesso, correção e eliminação você também faz sozinho, na sua conta, sem precisar pedir.

9. Cookies

Usamos cookies essenciais de sessão e autenticação, que mantêm você conectado, e um cookie próprio do PostHog para reconhecer a navegação entre o site e o app do Paciente Zero. O retorno do Google usa ainda um cookie de até 30 minutos, restrito ao app, para validar a tentativa de login e a escolha opcional de medição. Não carregamos o Pixel da Meta no navegador; a medição autorizada usa o servidor. O PostHog respeita os sinais Do Not Track eGlobal Privacy Control enviados pelo navegador. Também usamos Vercel Web Analytics para medir visitas de forma agregada, sem cookies. O conteúdo das estações fica fora do analytics.

10. Segurança

Tráfego cifrado em trânsito, controle de acesso por linha no banco de dados (cada pessoa só alcança as próprias sessões), chaves de serviço restritas ao servidor. O checklist de correção nunca é enviado ao modelo de voz. Nenhum sistema é infalível; se houver incidente relevante, você será comunicado conforme a LGPD.

11. Idade e alterações

O serviço é para maiores de 18 anos. Mudanças nesta política são publicadas aqui, com a data de atualização no topo; mudanças relevantes são avisadas por e-mail antes de valer.