Este documento explica, em português claro, quais dados o MedCare Assistant coleta, por quê, para onde eles vão, quem consegue ver, quanto tempo ficam guardados e o que você pode pedir. Ele foi escrito a partir do código e do banco de dados reais do aplicativo, e descreve o que o sistema faz hoje — não o que pretendemos fazer.
Quem lê isto normalmente é um cuidador, não um advogado. Por isso: frases curtas, sem rodeio. Onde o sistema tem uma limitação, ela está escrita aqui.
O controlador dos dados é Inovar Dia a Dia Marketing e Tecnologia, responsável por decidir o que é tratado e por responder por este documento perante a ANPD e a Justiça.
O mesmo canal atende o controlador e o Encarregado de Proteção de Dados (DPO):
Use este endereço para exercer qualquer direito do item 13, pedir o texto integral de qualquer versão deste documento, pedir o encerramento da conta ou reclamar de algo.
Cobre o aplicativo MedCare Assistant nas duas formas em que ele existe:
As duas usam o mesmo servidor e o mesmo banco de dados, hospedados em infraestrutura própria do controlador, no domínio mca.suacasanamao.com.br. Não usamos a nuvem pública de um provedor de banco de dados como serviço.
A mesma conta abre nas duas formas. Isso é importante para entender o item 10: a conta não está presa a um aparelho.
O site de divulgação segue a mesma regra. A página que apresenta e divulga o MedCare, em qualquer dos endereços do produto, também não usa Google Analytics, Meta Pixel, mapa de calor nem gravação de sessão, e não carrega fonte, script ou imagem de terceiros: as letras e as imagens ficam no próprio site. Esta Política vale, portanto, para o produto e para o site. O site tem ainda um aviso curto próprio, que repete isso. Ao tocar nos botões de WhatsApp você sai do site e passa a falar com a gente pelo aplicativo de mensagens, que tem as próprias regras. Se um dia o site passar a usar ferramenta de medição ou de anúncio, esta Política e o aviso serão atualizados antes, e o seu consentimento será pedido antes de qualquer uma delas carregar.
Para entrar, o aplicativo guarda e-mail e senha (a senha fica como verificação criptográfica, não em texto), além de nome, e-mail espelhado, horário da última atividade, plano contratado e a versão dos documentos legais que você aceitou.
A sessão no celular fica no cofre seguro do sistema operacional (Keychain no iPhone, Keystore no Android), não em armazenamento comum.
A sessão no aparelho não expira por tempo: ela vale até você tocar em "Sair".
Cada pessoa cadastrada tem: nome e sobrenome, vínculo com você, data de nascimento, sexo, tipo sanguíneo, altura, fuso horário, observações livres, nome e telefone do contato de emergência e, desde a versão atual do banco, telefone e e-mail da própria pessoa.
O cadastro é digitado por você. O contato de emergência pode ser escolhido pelo seletor de contatos do próprio sistema operacional — nesse caso, só o contato que você escolhe é lido; o aplicativo não varre nem copia sua agenda.
Uma cópia desses dados fica no aparelho, num banco local cifrado (SQLCipher, com chave aleatória guardada no cofre seguro), para o aplicativo funcionar sem internet. A janela local é de 12 meses de agenda passada, 6 meses futuros e 12 meses de histórico.
Esta é a categoria mais sensível que tratamos. Inclui:
Esses dados são digitados no aplicativo. No celular, ficam primeiro no banco local cifrado e sobem para o nosso servidor por uma fila de sincronização.
O PDF da anamnese e a exportação em CSV são gerados no seu aparelho e saem pelo menu de compartilhamento do próprio sistema operacional (WhatsApp, e-mail, o que você escolher), sempre por uma ação explícita sua. O arquivo temporário fica na pasta de cache do aplicativo; não encontramos uma rotina que apague esses arquivos temporários automaticamente.
Não há uso de inteligência artificial sobre seus dados de saúde: nenhuma chamada a serviço de IA ou de modelo de linguagem existe no aplicativo.
Você pode anexar receitas, exames e laudos. Para isso o aplicativo usa, com sua autorização e sempre por ação sua:
Guardamos do arquivo: título, categoria, tipo, tamanho, origem, observações e o vínculo com o exame, a consulta ou a medicação correspondente.
O arquivo em si vai para um repositório chamado health-documents, que é privado (nenhum arquivo é público ou acessível por link aberto), com:
Quando você abre um documento, o aplicativo recebe um link assinado que vale 5 minutos e depois deixa de funcionar.
Quem consegue ler: quem tem vínculo ativo de cuidado com aquela pessoa (item 7). Quem grava: apenas quem tem permissão de edição, e só dentro da própria pasta.
Limitação que precisamos declarar: apagar o registro de um documento não garante, em todos os caminhos do sistema, que o arquivo seja removido do repositório. No fluxo normal do aplicativo o arquivo é removido; nos expurgos automáticos, as linhas do banco são apagadas e não encontramos uma rotina que varra arquivos órfãos no repositório.
Sobre foto de perfil: existe um campo para isso no banco, mas nenhuma tela do aplicativo envia ou exibe foto de pessoa — as telas usam uma bolha com as iniciais.
A localização é o dado mais sensível que o aplicativo manipula, e existe por causa do S.O.S. Ela é tratada de duas formas.
Ao acionar o S.O.S., o aplicativo pede a posição com alta precisão, e só se a permissão de localização em uso já tiver sido concedida antes — ele não pede permissão durante a emergência. Há uma janela de 3 segundos. Se o GPS não responder nesse tempo, o aplicativo usa a última posição conhecida e avisa no SMS que a posição é antiga, com o horário em que foi capturada.
É um botão na tela do S.O.S., desligado por padrão. Ele só funciona se você ligar o botão e conceder a permissão de "permitir sempre". Quando ativo:
Por que isso é necessário, e não conveniência. Obter um ponto de GPS leva tempo: o aparelho precisa acordar o chip, encontrar satélites e convergir. Numa emergência, esse atraso é o dano — o socorro sai sem endereço ou com um endereço velho. Para que a posição esteja pronta no instante do toque, ela precisa ter sido obtida antes do toque. É por isso que o rastreamento em segundo plano existe e por isso ele fica. Tratamos essa coleta como necessária e proporcional à finalidade (art. 6º, III, da LGPD): sem ela, a função de socorro não cumpre o que promete.
Um terceiro canal, que você deve conhecer. O aplicativo tem um canal que, a cada 5 minutos, pode enviar a última posição conhecida do aparelho ao nosso servidor, numa tabela de telemetria de posição que só aceita inclusão (nada é alterado nem apagado depois). Esse envio só passa pelas regras do banco quando o recurso de S.O.S. está habilitado para a pessoa. Declaramos a existência desse canal porque ele está no aplicativo; não afirmamos aqui com que frequência ele efetivamente grava em produção.
Permissões de localização que o aplicativo declara: localização precisa, localização aproximada, localização em segundo plano, serviço em primeiro plano com localização e reconhecimento de atividade física (sensores de movimento e passos, usados pelo motor de rastreamento).
Quando o S.O.S. é acionado, acontecem quatro coisas, nesta ordem, com tempo máximo para cada uma:
1. Posição (até 3 segundos).
2. SMS para o contato de emergência (até 12 segundos). No Android, o aplicativo envia o SMS direto pelo rádio do aparelho, sem abrir o aplicativo de mensagens e sem nova confirmação sua — essa é a decisão de projeto: numa emergência, não há tempo para confirmar. O texto enviado contém:
Se a posição não estiver disponível, o texto diz que a localização está indisponível.
3. Um segundo SMS com o endereço (até 12 segundos), somente para quem recebeu o primeiro e somente se a conversão das coordenadas em endereço resolver em até 4 segundos. Esse SMS contém rua, número, bairro, cidade, estado e CEP, mais o link do mapa.
Deixe isto explícito, porque é o que é: o S.O.S. transmite a localização e o nome da pessoa a um terceiro, por SMS, sem criptografia de ponta a ponta, pela rede da operadora de telefonia. O destinatário é um contato: o telefone de emergência cadastrado para a pessoa ativa. Quem recebe pode guardar, encaminhar ou mostrar essa mensagem a quem quiser — isso está fora do nosso controle.
4. Ligação telefônica automática (até 8 segundos). No Android, com a permissão de telefone concedida, o aplicativo disca sozinho para o contato de emergência. Se a permissão não existir, ele apenas abre o discador com o número preenchido. Números de emergência pública (190, 192, 193, 112, 911 e outros de uma lista fechada) nunca são discados automaticamente.
No iPhone é diferente. O sistema da Apple não permite envio silencioso de SMS nem ligação automática: o aplicativo abre o compositor de mensagem já preenchido e o discador, e o envio e a ligação dependem de um toque seu.
O que vai para o nosso servidor. Quando quem aciona o S.O.S. é o titular da conta para si mesmo e o recurso de S.O.S. está habilitado para ele, o evento é gravado no nosso banco: pessoa, quem acionou, latitude, longitude, precisão, horário do retrato e horário do incidente. Esse registro é imutável: não pode ser alterado nem apagado, nem por você. Há um limite de 10 acionamentos em 10 minutos por conta. Nos demais casos (por exemplo, um cuidador acionando pela pessoa cuidada), o SMS e a ligação acontecem, mas o evento não é gravado no servidor.
A posição é a do aparelho que dispara. Se um cuidador aciona o S.O.S. por uma pessoa dependente, a coordenada enviada é a do aparelho do cuidador.
Conversão de coordenada em endereço. Para transformar latitude e longitude em rua e CEP, o aplicativo chama a função de geocodificação do próprio sistema operacional, entregando as coordenadas a ele. Qual servidor de plataforma responde a essa chamada não está sob nosso controle nem é visível no nosso código.
Nenhum dado biométrico é lido, transmitido ou armazenado pelo MedCare Assistant.
Quando você liga o desbloqueio por digital ou rosto, o aplicativo apenas pede ao sistema operacional que faça a verificação. O sistema devolve só uma resposta: deu certo ou não deu. Imagem, modelo, template ou impressão digital nunca chegam ao aplicativo — a interface do sistema operacional não os entrega.
O que o aplicativo guarda é uma marca ligado/desligado no cofre seguro do aparelho. É isso. Essa marca não sai do aparelho e não existe nenhum código de rede que a mencione.
A biometria apenas destranca uma sessão que já existe no aparelho. Ela não é uma credencial de entrada, não substitui a senha e não é enviada a nós.
No celular, não há notificação remota. O aplicativo não coleta token de push, e nós não temos como enviar uma notificação ao seu celular. Os lembretes de dose e de compromisso são notificações locais, agendadas e disparadas pelo próprio aparelho.
Na web, há Web Push. Se você autorizar as notificações no navegador, guardamos os dados técnicos exigidos pelo protocolo: o endereço de entrega do navegador, duas chaves criptográficas, o identificador do seu navegador, o status da inscrição e a contagem de falhas. O conteúdo enviado é o título e a descrição do evento da agenda — portanto pode conter o nome de um medicamento ou de uma consulta, se foi você quem escreveu isso no evento. O conteúdo viaja cifrado até o serviço de push do seu navegador. Guardamos o registro de entrega (título, corpo, status e erro).
Para conseguir socorrer você quando o aplicativo falha, coletamos diagnóstico técnico e o enviamos para o nosso próprio servidor. Nada disso vai para um serviço de análise de terceiros.
Ela vem ligada por padrão e pode ser desligada nas configurações de sincronização do aplicativo.
O que é coletado:
O identificador da sua conta vai junto quando existe sessão ativa. Quando não existe (por exemplo, uma falha antes de você entrar), o evento é aceito sem identificação de conta.
Sobre o texto do erro: ele é gravado em três níveis — o texto bruto como veio, um tratado e um higienizado, em que e-mail, telefone, CPF, cartão do SUS e códigos são mascarados. O nível higienizado é o que aparece por padrão. O texto bruto pode conter algo que você digitou, se isso apareceu na mensagem de erro; a leitura do texto bruto é restrita e fica registrada em auditoria separada.
O seu endereço IP é usado apenas para limitar a quantidade de envios por minuto e não é gravado.
Retenção: as ocorrências são apagadas após 90 dias e o retrato do aparelho após 180 dias.
Guardamos o registro das operações de sincronização enviadas pelo seu aparelho (para não duplicar um registro) e as suas preferências: módulos ativos, widgets da tela inicial, sons de notificação e tema claro/escuro.
Se você abrir um atendimento, guardamos o assunto e as mensagens trocadas. Toda ação da nossa equipe de suporte sobre dados de uma conta é registrada numa trilha de auditoria imutável, com o retrato de antes e depois.
| Dado | Para que |
|---|---|
| Conta, e-mail e senha | Dar acesso individual e seguro, e recuperar a senha |
| Pessoas cadastradas | Separar os registros por pessoa e identificar quem é quem |
| Dados de saúde | A função central do produto: organizar medicação, agenda, exames, sinais vitais e antropometria |
| Telefone e e-mail da pessoa | Preencher documentos como o PDF da anamnese e permitir contato relacionado ao cuidado |
| Documentos e imagens | Guardar receitas, exames e laudos junto do registro a que pertencem |
| Localização | Levar socorro ao lugar certo no acionamento do S.O.S. |
| Contato de emergência | Avisar alguém por SMS e por ligação quando o S.O.S. é acionado |
| Marca de biometria | Lembrar que você escolheu desbloquear o aplicativo por digital ou rosto |
| Inscrição de notificação (web) | Entregar o lembrete no navegador |
| Diagnóstico técnico | Descobrir e corrigir falhas do aplicativo sem precisar do seu aparelho na mão |
| Trilha de auditoria | Saber quem alterou o quê, e poder responder a uma contestação |
| Registros de sincronização | Manter os dados consistentes entre o aparelho e o servidor |
O MedCare Assistant não verifica nem audita o vínculo declarado. A responsabilidade por um cadastro sem legitimidade é de quem o fez.
Não dizemos "só você vê". Isto é o que acontece de verdade:
1. É preciso estar autenticado. Nenhum dado de saúde é acessível sem uma sessão válida. Não existe link público para dado clínico nem para arquivo de documento.
2. A regra é aplicada no próprio banco de dados. A separação entre contas e pessoas não depende de o aplicativo "se comportar bem": ela é imposta por políticas de segurança em nível de linha (RLS) dentro do PostgreSQL, ativas em todas as tabelas. Mesmo uma consulta direta à interface de dados responde sob a identidade do usuário autenticado e sob essas políticas.
3. Quem lê é o círculo de cuidado declarado daquela pessoa. Não é apenas o proprietário. Qualquer pessoa com vínculo ativo de cuidado com aquela pessoa lê os registros dela. Isso inclui:
4. O círculo de cuidado vê a localização do S.O.S. Enquanto o recurso de S.O.S. estiver habilitado para a pessoa, qualquer vínculo ativo — inclusive somente-leitura — pode ver os eventos de S.O.S. e a telemetria de posição dela, e recebe esses eventos em tempo real: a sessão é avisada quando alguém da rede de cuidado aciona o socorro, e a tela de Radar mostra as últimas posições num mapa.
5. Existe acesso administrativo, e ele é auditado. Nossa equipe de suporte tem um console web que acessa dados de qualquer conta, com privilégio técnico elevado. Esse acesso é limitado a uma lista fechada de tabelas, toda leitura e toda escrita são gravadas numa trilha de auditoria imutável, e o console falha fechado: se a auditoria não puder ser gravada, a operação não acontece. Contas com papel administrativo ou de suporte também conseguem listar os perfis (nome, e-mail, última atividade) de todas as contas. Quem administra o banco de dados tem, pela natureza da função, acesso técnico ao servidor — isso é verdade em qualquer sistema e não é uma restrição que o aplicativo possa impor.
6. Quem recebe o SMS do S.O.S. vê o que está no SMS. Nome, coordenadas, link de mapa e, quando resolvido, endereço com CEP. Essa pessoa não está sob nosso controle.
Não vendemos dados. Não há publicidade. Não há compartilhamento com fins comerciais ou de marketing. O que existe é o estritamente necessário para o serviço funcionar:
| Para onde | O que vai |
|---|---|
Nosso próprio servidor (mca.suacasanamao.com.br, infraestrutura própria, com TLS) | Todos os dados do aplicativo |
| Hostinger (servidor de e-mail, SMTP) | Seu e-mail e o conteúdo dos e-mails de autenticação, como recuperação de senha |
Stripe (processador de pagamento) — só quando você escolhe assinar. O pagamento acontece em uma página do próprio Stripe (stripe.com), fora deste site e do aplicativo | Seu nome, e-mail e os dados do cartão que você digita na página do Stripe — nós nunca recebemos nem guardamos o número do cartão. De volta, o Stripe nos informa apenas a situação da assinatura (em teste, ativa, vencida ou cancelada), para liberar ou cortar o acesso |
| Serviço de push do seu navegador (Google/FCM, Mozilla, Apple ou Microsoft, conforme o navegador) — só na web | O endereço de entrega e as chaves da inscrição; o conteúdo do lembrete viaja cifrado |
| Google Fonts — só na web | O IP e o identificador do seu navegador, ao carregar as fontes da página |
| Serviço de localização da plataforma (no Android, a biblioteca de localização do Google Play Services) | A posição do aparelho, obtida por essa biblioteca |
| Mapas da plataforma (Google Maps no Android, Apple Maps no iPhone), na tela de Radar | As coordenadas exibidas são enviadas ao provedor do mapa |
| Geocodificação do sistema operacional | Latitude e longitude, para virarem endereço |
| Sua operadora de telefonia | O texto do SMS do S.O.S. e a ligação |
| O contato de emergência que você cadastrou | Nome, coordenadas, link de mapa e, quando resolvido, endereço com CEP |
Sobre o processamento fora do Brasil: os operadores de plataforma citados acima (push do navegador, mapas, geocodificação, serviço de e-mail, biblioteca de localização e o Stripe, nos Estados Unidos) são empresas que podem processar esses dados em outros países. Não controlamos esses operadores e não temos como declarar aqui onde cada um processa. Os dados que o aplicativo guarda ficam no nosso servidor.
Isto é raro o suficiente para merecer uma seção. Verificamos as dependências e varremos o código do aplicativo:
O único canal de diagnóstico é o nosso, descrito no item 4.9.
Não prometemos segurança absoluta — ninguém honesto promete. Estas são as medidas que de fato existem:
Duas coisas que não prometemos, porque não são verdade:
| Dado | Prazo |
|---|---|
| Dados de saúde | Enquanto a pessoa cadastrada existir no sistema; não há expurgo automático por idade do registro |
| Registros de conta, aceites e credenciais | Até 5 anos após o pedido de encerramento (item 12) |
| Evento de S.O.S. no servidor | Permanente e imutável: não pode ser alterado nem apagado, nem por você |
| Telemetria de posição | Somente inclusão; sem expurgo automático por idade |
| Posição do rastreamento em segundo plano, no aparelho | Um único registro, sobrescrito; apagado ao sair da conta |
| Fila local de S.O.S. ainda não enviada | 24 horas |
| Diagnóstico técnico | 90 dias (ocorrências) e 180 dias (retrato do aparelho) |
| Inscrição de notificação web | Revogada após 90 dias sem sinal — o endereço e as chaves permanecem na tabela, inativos, até a conta ser expurgada |
| Trilha clínica de auditoria | Sem prazo definido; sobrevive à exclusão da conta e da pessoa |
| Trilha de auditoria do suporte | Permanente |
| Sessão no aparelho | Sem expiração por tempo; vale até você tocar em "Sair" |
| Arquivos no repositório de documentos | Removidos no fluxo normal do aplicativo; não há rotina de varredura de arquivos órfãos |
| Registros técnicos de falha de entrada (com e-mail mascarado) e de eventos de sessão do celular | Existem no banco sem prazo automático de expurgo |
Esta é a seção que mais importa ler inteira, porque o que o sistema faz hoje é mais limitado do que a palavra "exclusão" sugere.
Hoje não existe um botão de excluir a conta dentro do aplicativo. O pedido é feito pelo canal de contato:
Nossa equipe confirma a identidade pelo e-mail cadastrado, registra o pedido em auditoria e executa o encerramento pelo console de suporte.
Os registros de saúde das pessoas cadastradas são mantidos, de forma desvinculada da conta.
Quando o expurgo roda, ele retira a sua identificação dos registros clínicos — pessoa, medicação, receitas, planos, tratamentos, consultas, exames, agenda, anamnese, antropometria, sinais vitais, condições, alergias, documentos, metas e linha do tempo passam a não ter autor. Mas as linhas continuam no banco. Isso é uma decisão de projeto: o prontuário de uma pessoa não desaparece porque a conta de quem o digitou foi encerrada — outro cuidador pode ainda cuidar dela.
Também permanecem:
Dizendo sem rodeio: pedir o encerramento da conta não elimina o prontuário. A eliminação dos registros de uma pessoa é um ciclo separado, descrito a seguir. Se o que você quer é a eliminação dos registros de saúde, escreva para o canal de contato dizendo exatamente isso — o pedido de encerramento de conta, por si só, não produz esse efeito.
No aplicativo, excluir uma pessoa a marca como excluída: ela deixa de aparecer nas telas e de ser sincronizada. Os registros dela continuam no banco.
O banco tem um ciclo separado para a eliminação definitiva, com prazo de 5 anos a partir da formalização do pedido de exclusão daquela pessoa. Essa formalização não é feita pela tela do aplicativo — se você quer que ela ocorra, é preciso pedir pelo canal de contato.
A "pessoa você" (o cadastro do próprio titular da conta) está explicitamente fora desse ciclo: excluí-la equivale a encerrar a conta, e ela segue o caminho do item 12.2.
A LGPD (art. 18) garante a você: confirmação de que tratamos seus dados, acesso, correção, anonimização ou bloqueio de dado desnecessário, portabilidade, eliminação, informação sobre com quem compartilhamos, informação sobre a possibilidade de negar consentimento e revogação do consentimento.
Como isso funciona hoje:
| Direito | Como exercer hoje |
|---|---|
| Confirmação e acesso | Diretamente nas telas do aplicativo. Há também o PDF da anamnese e a exportação em CSV, pelo menu de compartilhamento do aparelho. Essas exportações não cobrem todas as categorias de dado; para um extrato completo, peça pelo canal de contato |
| Correção | Nas telas do aplicativo, se você tiver permissão de edição sobre aquela pessoa. Se não tiver, peça a quem tem ou use o canal de contato |
| Portabilidade | A exportação em CSV é um formato estruturado e legível por outro sistema; ela é parcial. Para o conjunto completo, peça pelo canal de contato |
| Eliminação | Pelo canal de contato. Leia o item 12 antes: o encerramento da conta não elimina o prontuário |
| Oposição e revogação | A telemetria de diagnóstico pode ser desligada nas configurações do aplicativo. O rastreamento em segundo plano pode ser desligado na tela do S.O.S. As notificações podem ser revogadas no navegador ou no sistema. Para outras oposições, use o canal de contato |
| Informação sobre compartilhamento | Item 8 deste documento, e o canal de contato para o que não estiver ali |
Prazo de resposta: respondemos no prazo da LGPD. Se um pedido não puder ser atendido, dizemos por quê — inclusive quando a razão for a reserva legal de 5 anos ou a imutabilidade do registro de S.O.S.
Você também pode reclamar diretamente à ANPD (Autoridade Nacional de Proteção de Dados).
O MedCare Assistant pode conter registros de saúde de crianças e adolescentes, cadastrados por um responsável. O aplicativo não verifica idade nem vínculo. Quando a pessoa cadastrada é criança ou adolescente, o cadastro e a inserção de dados são de responsabilidade do pai, da mãe ou do responsável legal, no melhor interesse da criança (art. 14 da LGPD), nos termos da Declaração de Responsabilidade do item 6.
O registro da versão aceita já existe e funciona. Não é um plano futuro:
Esta política pode mudar quando o produto, o banco de dados ou a lei mudarem. Alterações relevantes são comunicadas por aviso no aplicativo ou por e-mail, e o novo aceite é registrado da mesma forma. Você pode pedir o texto integral de qualquer versão pelo canal de contato.
Versão deste documento: 1.1 · Vigente desde: 28 de outubro de 2026 · substitui o rascunho 0.1, de 9 de setembro de 2026.
Controlador e Encarregado de Proteção de Dados (DPO):
Para exercer direitos, pedir o encerramento da conta, pedir a eliminação de registros, obter uma versão anterior deste documento ou reclamar de qualquer coisa descrita aqui.