Política de Privacidade

1. Quem somos e quem responde pelos seus dados

A plataforma Adherea Care é operada por EB CONSULTORIA E SAUDE LTDA, CNPJ 21.885.441/0001-98, com endereço em Rua Dr. Ivaldo Tolosa, 169 — Jundiaí/SP, Brasil. Contato: suporte@adherea.com.br · +55 11 3566-2093.

Há dois papéis diferentes nesta Política, e eles importam para os seus direitos:

• Dados da clínica e do profissional (cadastro, cobrança, uso da plataforma): a Adherea é a controladora, ou seja, decide como esses dados são tratados.
• Dados clínicos das pacientes (registros de alimentação, humor, medidas, mensagens): a clínica ou o profissional de saúde é o controlador; a Adherea atua como operadora, tratando esses dados apenas conforme as instruções da clínica e o que está descrito aqui.

Se você é paciente e quer exercer um direito sobre seus dados clínicos, pode falar com a sua profissional ou escrever direto para nós — nós encaminhamos e acompanhamos.

2. Encarregada de Dados (DPO)

Encarregada de Proteção de Dados: EB CONSULTORIA E SAUDE LTDA (encarregada pessoa jurídica). Canal de contato: suporte@adherea.com.br.

Mesmo microempresas e empresas de pequeno porte dispensadas de indicar formalmente um encarregado pela Resolução CD/ANPD nº 2/2022 devem manter um canal de atendimento ao titular. Nós mantemos esse canal e respondemos por ele.

3. Quais dados coletamos

Coletamos apenas o necessário para o acompanhamento funcionar.

Dados de identificação e contato

• Nome, e-mail e senha (a senha é guardada apenas de forma cifrada, jamais em texto legível).
• Telefone, quando você informa.
• Registro profissional, especialidade e apresentação, no caso das profissionais.
• Número de WhatsApp da clínica, quando cadastrado para receber avisos.

Dados técnicos e de navegação

• Endereço IP e informações do navegador/dispositivo, guardados no registro de consentimento, na trilha de auditoria de acesso e nos eventos de segurança.
• Cookie de sessão (mantém você conectada) e um cookie técnico de preferência de menu.
• Não usamos Google Analytics, pixel de redes sociais, rastreadores de publicidade nem geolocalização.

Dados de pagamento

• Não recebemos e não guardamos número de cartão. O pagamento é processado pela Stripe.
• Guardamos identificador de cliente e de assinatura, plano contratado, situação do pagamento e datas de período e de teste.

Dados pessoais sensíveis — saúde (LGPD, Art. 5º, II)

• Humor, sono, energia e nível de estresse.
• Peso, medidas corporais e evolução ao longo do tratamento.
• Fotos e descrições de refeições, itens consumidos e macronutrientes estimados.
• Plano alimentar, metas, atividade física, consumo de água e reflexões pessoais.
• Mensagens trocadas com a profissional e anotações clínicas dela.
• Leituras e sugestões geradas pela Adhê (assistente de inteligência artificial) a partir desses registros.

Conteúdo que você cria

• Texto (mensagens, descrições de refeição, reflexões, anotações).
• Imagem (fotos de refeição, guardadas em armazenamento privado).
• Áudio (mensagens de voz para a Adhê, usadas para transcrever o que você disse).

Dados de crianças e adolescentes

• Data de nascimento da paciente e, quando ela tem menos de 18 anos, o nome do responsável e o registro da autorização dele.

4. Para que usamos cada dado e com que base legal

A LGPD exige uma justificativa (base legal) para cada uso. Abaixo, finalidade por finalidade:

• Criar e manter sua conta, dar acesso à plataforma, cobrar a assinatura e emitir documentos fiscais — execução de contrato (Art. 7º, V).
• Acompanhar o tratamento da paciente: registrar alimentação, humor, medidas, metas e mensagens — consentimento específico e destacado para dados de saúde (Art. 11, I), com apoio na tutela da saúde prestada por profissional (Art. 11, II, alíneas 'a' e 'f') quando existe vínculo clínico.
• Gerar as leituras e sugestões da Adhê — execução de contrato e o mesmo consentimento de saúde. A Adhê é apoio à profissional e nunca decide sozinha sobre o seu tratamento.
• Enviar avisos operacionais (renovação, recuperação de senha, respostas de suporte, lembretes combinados) — execução de contrato (Art. 7º, V).
• Proteger contas e prevenir fraude: verificação em duas etapas, limites de tentativa, auditoria de acesso a dados clínicos — legítimo interesse (Art. 7º, IX) e cumprimento de obrigação legal (Art. 7º, II).
• Guardar registros de acesso à aplicação — obrigação legal (Art. 7º, II, e Marco Civil da Internet, Art. 15).
• Enviar convites, novidades e comunicações de marketing — consentimento (Art. 7º, I), que você pode retirar a qualquer momento.
• Guardar registros contábeis e fiscais da cobrança — obrigação legal (Art. 7º, II).
• Exercer direitos em processo judicial, administrativo ou arbitral, se necessário — Art. 7º, VI.

5. Com quem compartilhamos

Não vendemos dados e não os cedemos para publicidade. Compartilhamos apenas com prestadores necessários para o serviço funcionar, sempre com contrato e obrigação de confidencialidade:

• Lovable / Supabase (banco de dados, autenticação e armazenamento de arquivos) — recebe todos os dados guardados na plataforma. Política: https://lovable.dev/privacy e https://supabase.com/privacy
• Lovable AI Gateway, com modelos da OpenAI (leituras da Adhê, análise de refeições e transcrição de áudio) — recebe o conteúdo dos registros e o contexto de adesão, sem CPF, telefone, endereço ou nome completo. Política: https://openai.com/policies/privacy-policy
• Stripe (pagamentos e assinaturas) — recebe nome, e-mail, valor e plano; os dados do cartão ficam somente com ela. Política: https://stripe.com/br/privacy
• Serviço de envio de e-mail da Lovable (remetente notify.adherea.com.br) — recebe e-mail, nome e o conteúdo do aviso enviado.
• WhatsApp Business / Meta (lembretes de assinatura para a clínica) — recebe o número de telefone da clínica e o texto do lembrete. Nenhum dado de paciente. Política: https://www.whatsapp.com/legal/privacy-policy-brazil
• Google Calendar (recurso opcional, ativado apenas pela gestora da clínica) — recebe data, hora e um título neutro do compromisso, sem nome de paciente e sem informação clínica. Política: https://policies.google.com/privacy

Também podemos compartilhar dados quando houver ordem judicial ou requisição legítima de autoridade, e nesses casos informamos o titular sempre que a lei permitir.

6. Transferência internacional de dados (Art. 33)

Parte dos prestadores acima está nos Estados Unidos. Isso significa que seus dados podem ser processados fora do Brasil.

Para proteger essa transferência, adotamos as seguintes salvaguardas:

• Cláusulas contratuais padrão de proteção de dados com cada operador, conforme o Art. 33, II, 'a', da LGPD.
• Minimização: enviamos o mínimo necessário. Para a inteligência artificial não enviamos nome completo, CPF, telefone, endereço nem qualquer documento de identificação.
• Criptografia em trânsito (HTTPS/TLS) e em repouso.
• Compromisso contratual dos operadores de não usar o conteúdo enviado para treinar modelos.

Se você não concordar com a transferência internacional, o acompanhamento pela plataforma não pode ser prestado, pois ela depende desses prestadores.

7. Por quanto tempo guardamos

Cada tipo de informação tem um prazo próprio:

• Fotos de refeição: 30 dias. Depois a imagem é apagada automaticamente e apenas as informações nutricionais continuam no histórico.
• Avisos e notificações: 45 dias.
• Mensagens e exercícios sugeridos: 60 dias (o histórico de conversa é arquivado).
• Trilha de auditoria de acesso a dados clínicos: 365 dias.
• Eventos de segurança: 180 dias.
• Registros de acesso à aplicação: 6 meses, conforme o Art. 15 do Marco Civil da Internet.
• Acesso da paciente após o fim do teste ou da assinatura da clínica: 48 horas. Depois o acesso é pausado, mas nada é apagado.
• Ficha e histórico clínico de paciente inativa: 5 anos, em razão do dever de guarda do profissional de saúde.
• Registros de consentimento: durante a vigência da conta e por 5 anos após o encerramento, como prova de conformidade.
• Registros contábeis e fiscais da assinatura: 5 anos.

Critério de descarte: quando o prazo vence, os dados são eliminados por rotina automática diária ou anonimizados de forma irreversível, salvo se ainda houver obrigação legal, regulatória ou necessidade de defesa em processo.

8. Seus direitos (Art. 18) e como exercê-los

Você pode, a qualquer momento:

• Confirmar se tratamos seus dados.
• Acessar os dados que temos sobre você.
• Corrigir dados incompletos, desatualizados ou errados.
• Pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados fora da lei.
• Pedir a portabilidade dos seus dados para outro fornecedor.
• Pedir a eliminação dos dados tratados com base no seu consentimento.
• Saber com quem compartilhamos seus dados (a lista está na seção 5).
• Ser informada de que pode não consentir e das consequências disso.
• Retirar o consentimento a qualquer momento, sem custo.
• Pedir revisão de decisões tomadas apenas por sistemas automatizados (Art. 20). Na Adherea, a Adhê apenas sugere; nenhuma decisão sobre o seu tratamento é automática.

Na plataforma, a página "Meus dados" reúne esses direitos: baixar uma cópia dos seus dados, pedir correção, pedir exclusão da conta, retirar consentimento e acompanhar seus pedidos.

Você também pode escrever para suporte@adherea.com.br. Respondemos em até 15 dias. Pedidos de exclusão passam por conferência humana para preservar o que a lei obriga a guardar — e avisamos você do que foi mantido e por quê.

9. Como protegemos seus dados (Art. 46)

Medidas técnicas em uso:

• Controle de acesso linha a linha no banco de dados: cada pessoa só alcança o que lhe pertence.
• Isolamento por clínica: nenhuma clínica vê dados de outra.
• Verificação em duas etapas para profissionais e administradores.
• Criptografia em trânsito (HTTPS/TLS) e em repouso.
• Fotos de refeição em armazenamento privado, acessíveis somente pela paciente e pela profissional responsável.
• Trilha de auditoria imutável de acesso a dados clínicos (quem acessou, o quê, quando).
• Limites de tentativa em pontos sensíveis e bloqueio de senhas já vazadas na internet.
• Varredura de segurança periódica da aplicação e das dependências.
• Sessão que expira por inatividade.

Medidas administrativas:

• Acesso interno pelo mínimo privilégio, apenas ao que é necessário para operar o serviço.
• Ambientes de teste sem dados reais de pacientes.
• Mensagens de erro genéricas ao usuário; detalhes apenas em registros internos, que nunca guardam senha, token ou dado clínico.
• Contrato de confidencialidade e de tratamento de dados com os prestadores.

Nenhum sistema é infalível. Se identificar qualquer comportamento suspeito na sua conta, avise imediatamente pelo nosso canal de contato.

10. Cookies

Usamos cookies em três categorias possíveis:

• Necessários — os únicos em uso hoje. Mantêm você conectada (cookie de sessão) e guardam a preferência de menu abrindo ou fechado. Sem eles a plataforma não funciona, por isso não dependem de consentimento.
• Analíticos — mediriam como a plataforma é usada. Não usamos nenhum hoje (não há Google Analytics nem ferramenta equivalente).
• Marketing — serviriam para publicidade. Não usamos nenhum e não temos pixel de redes sociais.

Como gerenciar: você pode apagar ou bloquear cookies nas configurações do seu navegador (em geral em Privacidade e segurança). Bloquear os cookies necessários impede o login. Se um dia passarmos a usar cookies analíticos ou de marketing, pediremos seu consentimento antes, com opção de recusar.

11. Crianças e adolescentes (Art. 14)

O acompanhamento pode incluir pacientes menores de 18 anos, sempre no melhor interesse delas e com participação do responsável.

• Menores de 12 anos: o tratamento depende de consentimento específico e destacado de pelo menos um dos pais ou do responsável legal, registrado pela clínica no cadastro da paciente.
• De 12 a 17 anos: é exigida autorização do responsável, registrada da mesma forma, e a profissional deve envolvê-lo no acompanhamento.
• Não pedimos mais dados do que o necessário e não usamos dados de menores para publicidade, perfilamento comercial ou qualquer finalidade estranha ao cuidado em saúde.
• A conta de acesso da plataforma é criada por profissional maior de 18 anos; o acesso da paciente menor é liberado pela clínica com ciência do responsável.

O responsável pode, a qualquer momento, pedir acesso, correção ou eliminação dos dados do menor pelo nosso canal de contato.

12. Incidente de segurança (Art. 48)

Se ocorrer incidente de segurança com risco relevante aos titulares, nós:

• Contemos o incidente e registramos o que aconteceu.
• Comunicamos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável, em regra até 72 horas da ciência do fato.
• Informamos, na comunicação, a natureza dos dados envolvidos, os titulares afetados, as medidas técnicas de proteção adotadas, os riscos e o que já foi feito para reduzir o dano.
• Quando a clínica for a controladora dos dados envolvidos, avisamos a clínica imediatamente para que ela comunique suas pacientes, e apoiamos esse processo.

13. Reclamação à ANPD

Se você não se sentir atendida, tem direito de reclamar à Autoridade Nacional de Proteção de Dados pelo canal oficial: https://www.gov.br/anpd. Pedimos apenas que fale com a gente primeiro — quase sempre resolvemos rápido.

14. Vigência e mudanças nesta Política

Esta Política pode ser atualizada. Quando a mudança for relevante, avisamos com destaque na plataforma e por e-mail antes de ela passar a valer, e registramos o novo aceite.

Histórico: versão 2026-01-01 (publicação inicial) · versão 2026-09-18 (revisão completa: identificação da controladora e da encarregada, bases legais detalhadas, transferência internacional, prazos de retenção, cookies, crianças e adolescentes, incidentes e canal de direitos).

15. Lei aplicável e foro

Esta Política é regida pela lei brasileira, em especial a Lei nº 13.709/2018 (LGPD), a Lei nº 12.965/2014 (Marco Civil da Internet) e a Lei nº 8.078/1990 (Código de Defesa do Consumidor).

Fica eleito o foro do domicílio do consumidor para eventuais controvérsias, conforme o Art. 101, I, do CDC.