# Política de Privacidade do Tendril **Versão:** `2026-09-15` **Última atualização:** 15 de setembro de 2026 A versão acima precisa continuar idêntica a `CONSENT_DOCUMENTS` em [`backend/app/domain/consent.py`](../../backend/app/domain/consent.py). Mudar a data aqui sem atualizar o registro invalida os aceites já registrados. Detalhes em [README.md](README.md). --- ## 1. Quem somos O Tendril é uma rede de cuidado **exclusiva por convite** que conecta profissionais de saúde brasileiros e seus pacientes, organizando o encontro entre eles a partir de intenções de cuidado e afinidade de comunicação. O **controlador** dos seus dados pessoais, nos termos da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD), é: | | | |---|---| | Razão social | Tendril Soluções em Saúde LTDA | | Nome fantasia | Tendril | | CNPJ | 68.176.224/0001-92 | | Endereço | Rua Lincoln Albuquerque, 259, Perdizes, São Paulo/SP, CEP 05004-010 | | E-mail de contato | gestaotendril@gmail.com | | Telefone | (11) 3673-3582 | Esta Política explica quais dados pessoais tratamos, por quê, com quem os compartilhamos, por quanto tempo os guardamos e como você exerce seus direitos. ## 2. O essencial, em resumo - **Nada do seu perfil é compartilhado automaticamente.** O padrão é não compartilhar. Um profissional só vê um dado seu depois que você confirma, campo por campo, para aquele profissional específico. - **Você muda ou revoga o compartilhamento quando quiser**, direto no app, na aba *Privacidade*. - **Tratamos dados sensíveis de saúde** (condições, medicamentos, alergias, peso, altura, o que você escreve sobre seu cuidado e suas conversas com profissionais). Isso exige seu consentimento específico e destacado. - **Não vendemos seus dados**, não fazemos publicidade com eles e não usamos ferramentas de rastreamento ou análise de comportamento de terceiros. - **Nossos servidores ficam nos Estados Unidos.** Isso é uma transferência internacional de dados, explicada na [seção 8](#8-transferência-internacional-de-dados). - **O app é para maiores de 18 anos.** O cadastro é recusado para quem tem menos. ## 3. Quais dados pessoais coletamos ### 3.1 Dados que você nos fornece **Para criar e identificar sua conta** - Nome completo - Telefone celular (é por ele que o convite chega) - E-mail - Senha (guardada apenas como hash criptográfico; nunca em texto legível) - CPF — usado só para confirmar sua identidade, e não aparece no seu perfil - Data de nascimento — usada para confirmar que você é maior de 18 anos - Cidade, estado e CEP - Foto de perfil, se você enviar uma **Se você é paciente** - Objetivos de cuidado, urgência e formatos de atendimento que prefere - Operadora do seu plano de saúde, se você informar - Peso e altura (opcionais) - Resumo de saúde (opcional): condições crônicas, medicamentos, alergias e anotações livres - Intenções de cuidado, incluindo o texto que você escreve para descrever o que procura - Respostas de personalidade e estilo de vida, quando você as preenche **Se você é profissional** - Profissão, especialidade e registro profissional (CRM e RQE, quando aplicável) - Formação: instituição, cidade e ano de especialização - Endereços de atendimento, incluindo rua, número, complemento, bairro e CEP - Horários de atendimento, idiomas e modalidades de consulta - Biografia pública - **Documentos comprobatórios** que você envia para verificação: registro profissional, diploma, certificado de especialidade e documento de identidade **De todas as pessoas** - Respostas do **questionário de cuidado** (13 perguntas de múltipla escolha sobre estilo de comunicação, ritmo e preferências de decisão) e os seis traços calculados a partir delas. Não há campo de texto livre nesse questionário. - Respostas do questionário de onboarding profissional (6 perguntas de múltipla escolha) ### 3.2 Dados sensíveis de saúde Sob o art. 5º, II da LGPD, os seguintes dados são **sensíveis** e recebem tratamento mais restrito: - Resumo de saúde: condições crônicas, medicamentos, alergias e anotações - Peso e altura - Objetivos e intenções de cuidado, inclusive o texto livre que você escreve - Operadora de plano de saúde, quando informada - O conteúdo das suas conversas com profissionais no app - Registro profissional e documentos de habilitação, no caso de profissionais Tratamos esses dados com base no seu **consentimento específico e destacado** (art. 11, I), que você dá ao aceitar esta Política e, no caso do compartilhamento com cada profissional, ao confirmar campo por campo o que aquela pessoa pode ver. ### 3.3 Dados gerados pelo seu uso do app - Mensagens que você envia e recebe no chat, com data, hora e autor - Quando você leu uma conversa por último — informação privada, usada apenas para calcular suas mensagens não lidas. **A outra pessoa não vê se ou quando você leu.** - Registros de consentimento: qual documento, qual versão e quando você aceitou - Solicitações de cuidado, agendamentos, encaminhamentos e vínculos de cuidado - Denúncias de mensagens que você faça, incluindo a descrição que você escrever - Registros de acesso administrativo: quando um administrador abre uma denúncia ou um arquivo de exportação, guardamos quem acessou, o quê e quando - Dados técnicos de segurança: hashes de sessão e de tokens, e contadores temporários de tentativas para conter abuso ### 3.4 O que **não** coletamos Para evitar dúvidas, e porque isso é verificável no funcionamento do app: - **Não** coletamos dados biométricos, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou dados sobre vida sexual. - **Não** usamos ferramentas de análise, rastreamento, publicidade ou atribuição de terceiros. Não há Google Analytics, Firebase Analytics, Sentry, Meta SDK, identificadores de publicidade nem qualquer SDK semelhante no aplicativo. - **Não** gravamos seu endereço IP nem o seu *user agent* no banco de dados. - **Não** enviamos notificações *push* para o seu aparelho e, por isso, não guardamos tokens de dispositivo. Os avisos que você vê aparecem dentro do próprio app. - **Não** guardamos o nome dos arquivos que você envia — apenas tipo, tamanho e uma impressão criptográfica do conteúdo. - **Não** registramos dados pessoais nos nossos logs técnicos. Eles contêm apenas identificadores, nomes de evento e códigos de erro. - **Não** acessamos sua agenda, seus contatos, sua localização precisa, seu microfone nem sua câmera sem que você inicie a ação. ## 4. Para que usamos seus dados e com que base legal | Finalidade | Dados usados | Base legal (LGPD) | |---|---|---| | Criar e manter sua conta; autenticar você | Identificação, telefone, e-mail, senha | Execução de contrato (art. 7º, V) | | Confirmar sua identidade e sua maioridade | CPF, data de nascimento | Execução de contrato (art. 7º, V); cumprimento de obrigação legal (art. 7º, II) | | Verificar a habilitação de profissionais | Registro profissional, documentos comprobatórios | Execução de contrato (art. 7º, V); consentimento para os dados sensíveis (art. 11, I) | | Sugerir profissionais compatíveis com você | Questionário de cuidado, traços calculados, intenção de cuidado, cidade | Consentimento (art. 7º, I e art. 11, I) | | Intermediar solicitações, agendamentos e acompanhamento de cuidado | Intenções, solicitações, agendamentos, vínculos | Execução de contrato (art. 7º, V) | | Mostrar a um profissional os dados que você liberou | Campos do perfil que você confirmou, dados de saúde | Consentimento específico (art. 11, I) | | Permitir conversas entre você e profissionais da sua rede | Conteúdo das mensagens | Execução de contrato (art. 7º, V); consentimento para conteúdo sensível (art. 11, I) | | Enviar lembretes de consulta | Agendamento, preferências de lembrete | Execução de contrato (art. 7º, V) | | Apurar denúncias e manter a segurança da rede | Mensagens selecionadas na denúncia, descrição, registros de acesso | Legítimo interesse (art. 7º, IX); exercício regular de direitos (art. 11, II, "d") | | Proteger contra fraude e abuso | Hashes de sessão, contadores de tentativas | Legítimo interesse (art. 7º, IX) | | Registrar seus aceites desta Política | Registro de consentimento | Cumprimento de obrigação legal (art. 7º, II) | | Cumprir ordens de autoridades competentes | O que for estritamente exigido | Cumprimento de obrigação legal (art. 7º, II) | Não tomamos decisões exclusivamente automatizadas que afetem seus interesses. As sugestões de compatibilidade são apenas sugestões: a escolha do profissional é sempre sua, e a decisão de aceitar um cuidado é sempre do profissional. ## 5. Como funciona o compartilhamento com profissionais Esta é a parte mais importante desta Política, porque é onde você decide. **O padrão é não compartilhar.** Criar uma conta, preencher seu perfil e responder aos questionários não torna nada visível para ninguém. **Ao enviar uma solicitação de cuidado**, o profissional vê **somente a intenção de cuidado que você selecionou** — inclusive o texto que você escreveu nela, se você marcou que pode ser compartilhado. Suas outras intenções, seu resumo de saúde, sua personalidade e seu estilo de vida continuam privados. Sua identidade permanece reservada até que o profissional aceite. **Ao começar um atendimento**, você confirma, item por item, o que aquele profissional pode ver. Os itens disponíveis são: idade, peso, altura, resumo de saúde, teste de personalidade e mapa de estilo de vida. A opção *básico* libera apenas a idade. **Cada profissional tem a própria lista.** Liberar um dado para uma pessoa não libera para as outras. **Você revoga ou altera quando quiser**, na aba *Privacidade*. A partir do momento da alteração, o profissional deixa de ver o que você retirou. A cada novo atendimento, pedimos que você reconfirme o compartilhamento — até você confirmar, o profissional não vê nada do seu perfil. **Encaminhamentos** levam apenas a intenção daquele cuidado, e cada encaminhamento precisa da sua aprovação específica, mesmo que você tenha autorizado encaminhamentos de forma geral. A regra é aplicada no nosso servidor, não apenas na tela: mesmo que um aplicativo modificado tentasse pedir um dado não liberado, o servidor recusa. ## 6. Com quem mais compartilhamos **Com a administração do Tendril.** Nossa equipe acessa dados de identificação e documentos de verificação para aprovar profissionais, e acessa **somente as mensagens que você selecionar** ao fazer uma denúncia, junto com o contexto que você escrever. Cada um desses acessos fica registrado. **Com operadores (subprocessadores).** Empresas que processam dados por nossa conta, seguindo nossas instruções e sob contrato: | Operador | O que faz | Onde processa | |---|---|---| | Google Cloud Platform | Executa o servidor da aplicação e guarda os arquivos enviados | Estados Unidos (`us-central1`) | | Neon | Hospeda o banco de dados | Estados Unidos (`aws-us-east-1`) | | Cloudflare | Rede de entrega, DNS, TLS e proteção contra ataques; hospeda a versão web | Rede global; não armazena dados pessoais da aplicação | | Expo (EAS) | Compila e distribui as versões do aplicativo | Estados Unidos | | Provedor de SMS/WhatsApp | Ainda não contratado para produção. Em desenvolvimento e homologação os códigos ficam em adaptadores sandbox e não são entregues a destinatários reais | — | | Provedor de e-mail | Ainda não contratado para produção. Em desenvolvimento e homologação as mensagens ficam em adaptadores sandbox | — | **Com autoridades**, quando houver requisição legal válida, e apenas na medida exigida. **Nunca vendemos seus dados pessoais**, e não os compartilhamos para publicidade, mediação de dados ou treinamento de modelos de terceiros. ## 7. Arquivos que você envia Documentos de verificação, foto de perfil e arquivos de exportação ficam em armazenamento **privado**. Não existe link público: todo byte passa pelo nosso servidor, que verifica antes se você tem permissão para aquele arquivo. Documentos de verificação aceitam PDF, JPEG e PNG, com limite de 10 MB; a foto de perfil aceita JPEG e PNG, com limite de 5 MB. ## 8. Transferência internacional de dados Nossa infraestrutura fica nos **Estados Unidos**. Ao usar o Tendril, seus dados — incluindo dados sensíveis de saúde — são transferidos e processados fora do Brasil. A LGPD permite essa transferência desde que haja garantias adequadas (art. 33). Estamos formalizando os instrumentos contratuais de transferência e os acordos de tratamento de dados com cada operador listado na [seção 6](#6-com-quem-mais-compartilhamos). Enquanto esses instrumentos não estiverem assinados, a transferência ocorre porque esses operadores processam dados nos Estados Unidos para hospedar e operar o Tendril. Não publicamos a plataforma para um público aberto enquanto essa formalização estiver pendente. ## 9. Por quanto tempo guardamos | Dado | Prazo | |---|---| | Dados da sua conta e do seu perfil | Enquanto sua conta existir, e depois pelo prazo necessário para cumprir obrigações legais | | Códigos de verificação por telefone | 10 minutos | | Códigos de verificação de e-mail e de redefinição de senha | 1 hora | | Sessão ativa | 30 minutos, renovável | | Sessão de longa duração | 30 dias, ou até você sair da conta | | Convites não utilizados | 7 dias | | Solicitações de cuidado sem resposta | 7 dias | | Arquivos de exportação de conversa | 24 horas | | Registros de consentimento | Mantidos enquanto necessários como prova do aceite | | Cópias de segurança | Seguem a política do provedor de banco. O plano operacional prevê recuperação pontual de 30 a 35 dias; o prazo efetivo de produção será o contratado com o provedor | Mensagens de chat são mantidas enquanto o vínculo de cuidado e a sua conta existirem. Estamos definindo, com validação jurídica por profissão, um prazo de expiração automática para o conteúdo das conversas; quando ele entrar em vigor, atualizaremos esta Política e avisaremos você. Ao excluirmos dados a seu pedido, removemos também os dados sensíveis associados, preservando apenas o mínimo que a lei exige que conservemos. ## 10. Seus direitos A LGPD (art. 18) garante a você o direito de: - **confirmar** que tratamos seus dados; - **acessar** seus dados; - **corrigir** dados incompletos, inexatos ou desatualizados; - **anonimizar, bloquear ou eliminar** dados desnecessários, excessivos ou tratados em desconformidade com a lei; - **solicitar a portabilidade** dos seus dados a outro fornecedor; - **eliminar** dados tratados com base no seu consentimento; - **saber com quem** compartilhamos seus dados; - **ser informado** sobre a possibilidade de não consentir e as consequências disso; - **revogar seu consentimento**; - **opor-se** a um tratamento feito sem consentimento, quando entender que ele descumpre a lei. **Como exercer.** Parte disso você faz sozinho e na hora, dentro do app: ver e editar seus dados pessoais, ajustar ou revogar o compartilhamento com cada profissional na aba *Privacidade*, e consultar em *Termos e privacidade* quais documentos você aceitou. Para os demais pedidos — em especial acesso completo, portabilidade e exclusão da conta — escreva para **gestaotendril@gmail.com**. Confirmamos o recebimento e respondemos no prazo legal. Enquanto o Tendril estiver em fase fechada de testes, esses pedidos são atendidos por esse canal, de forma assistida, e não por um botão no app. Você também pode apresentar reclamação à **Autoridade Nacional de Proteção de Dados (ANPD)**. ### Consequências de não consentir ou de revogar Alguns dados são indispensáveis para o serviço existir: sem identificação, telefone, e-mail e maioridade confirmada, não é possível manter uma conta. Sem o questionário de cuidado, não conseguimos sugerir profissionais compatíveis. Já o resumo de saúde, o peso, a altura, a personalidade e o estilo de vida são **opcionais**: você pode usar o Tendril sem eles, e pode revogar o compartilhamento deles a qualquer momento sem perder a conta. ## 11. Segurança - Senhas são guardadas com **Argon2id**, algoritmo específico para esse fim. Nunca temos acesso à sua senha. - Códigos de verificação e tokens de sessão são guardados apenas como hash. - Todo tráfego entre o app e o servidor é cifrado com TLS. - Dados em repouso são cifrados pelo provedor de infraestrutura. - Arquivos ficam em armazenamento privado, sem acesso público, e passam sempre pelo nosso servidor. - As permissões de leitura são decididas no servidor, nunca escondidas apenas na interface. - Logs técnicos não contêm dados pessoais. - Ambientes de desenvolvimento, teste e produção são separados, com credenciais distintas. Dados reais nunca são copiados para ambientes de teste. Nenhum sistema é infalível. Se ocorrer um incidente de segurança com risco relevante a você, comunicaremos você e a ANPD, conforme o art. 48 da LGPD. ## 12. Armazenamento no seu dispositivo Guardamos no seu aparelho apenas o necessário para manter você conectado: no celular, em armazenamento seguro do sistema operacional; na web, no armazenamento local do navegador. Não usamos cookies de rastreamento, de publicidade ou de análise de comportamento. Sair da conta apaga esses dados. ## 13. Maiores de 18 anos O Tendril é destinado exclusivamente a pessoas com **18 anos ou mais**. Verificamos a data de nascimento no cadastro e recusamos contas de menores de idade. Não coletamos intencionalmente dados de crianças ou adolescentes. Se souber que um menor criou uma conta, escreva para **gestaotendril@gmail.com** e excluiremos os dados. Participação de responsáveis legais, cuidadores ou procuradores em nome de outra pessoa ainda não é suportada pela plataforma. ## 14. Alterações nesta Política Se mudarmos esta Política de forma relevante, publicaremos uma nova versão com nova data e pediremos seu aceite no app. Você poderá consultar, em *Termos e privacidade*, qual versão aceitou e quando. Guardamos o histórico dos seus aceites. ## 15. Encarregado pelo tratamento de dados Nosso encarregado (*Data Protection Officer*), nos termos do art. 41 da LGPD, é: | | | |---|---| | Nome | Kelley Nascimento Andrade | | E-mail | gestaotendril@gmail.com | Para qualquer dúvida sobre esta Política ou sobre o tratamento dos seus dados, fale com ela.