Política de Privacidade

1. Identificação do controlador

Razão social

Auramedical Tecnologia da Informação Ltda

CNPJ

58.107.486/0001-41

Endereço

São Paulo, SP — Brasil

Encarregado (DPO)

dpo@aura.med

Suporte geral

suporte@aura.med

2. Dados pessoais coletados

Coletamos somente os dados necessários para a prestação dos serviços de telemedicina e cuidado preventivo. Quatro categorias:

3. Dados de saúde sensíveis

Como aplicativo de saúde regulado, tratamos dados sensíveis na definição da LGPD (Art. 5, II). Categorias:

• Anamnese e prontuário: histórico médico, sintomas, hábitos, medicamentos em uso, alergias, cirurgias prévias. Gerados pelo seu uso do aplicativo e pelas consultas com nossos médicos.
• Apple HealthKit: métricas autorizadas por você no momento da conexão (frequência cardíaca, sono, atividade, peso, glicemia opcional, ciclo menstrual opcional). A Aura nunca lê categorias que você não autorizou explicitamente. A revogação é feita em Ajustes > Privacidade > Saúde do iOS, a qualquer momento.
• Garmin Connect: métricas equivalentes — mais atividades e treinos — recebidas pelas APIs do Garmin Connect Developer Program, dentro das permissões OAuth que você concede. Revogável a qualquer momento no aplicativo ou na sua conta Garmin Connect. O ciclo de vida completo desses dados está descrito na seção 4.
• Exames laboratoriais: resultados que você fizer upload no app (fotos tiradas pela câmera via scanner de documentos, ou imagens/PDFs da galeria) ou que parceiros laboratoriais integrados (futuros) enviarem com sua autorização.
• Conteúdo de consulta: resumo médico (não áudio bruto), prescrições assinadas digitalmente e mensagens de chat com seu médico.

O acesso a esses dados é restrito a você e ao(s) médico(s) que te atende(m). Toda visualização é registrada em log de auditoria.

4. Dados da Garmin

Esta seção descreve, em um só lugar, quais dados a Aura Med recebe da Garmin, quais APIs da Garmin pedimos e para quê, como esses dados são processados e armazenados, e quem mais tem acesso a eles — incluindo processamento por IA de terceiros. Vale apenas para usuários que escolherem conectar uma conta Garmin. Link direto para esta seção: aura.med/pt/privacidade#garmin.

4.1 Como funciona a conexão

• • A conexão é sempre iniciada por você, dentro do aplicativo da Aura Med. A Aura Med nunca acessa uma conta Garmin que o titular não tenha autorizado explicitamente.
• • A autorização usa OAuth 2.0 com PKCE, na própria tela de login da Garmin. A Aura Med nunca vê, recebe ou armazena seu usuário ou sua senha da Garmin.
• • A Garmin emite um access token e um refresh token para o backend da Aura Med. Os dois são criptografados em repouso com AES-256-GCM, sob uma chave que só o nosso servidor possui, nunca são enviados ao aplicativo e nunca são gravados em log.
• • Conectada a conta, a Garmin entrega os dados a um endpoint HTTPS dedicado do nosso backend por notificações push (webhook). Também fazemos pedidos de backfill para que seu histórico esteja disponível desde o primeiro dia.
• • Pedimos apenas as permissões necessárias para os usos descritos em 4.2. As permissões efetivamente concedidas ficam registradas por usuário, e a Garmin nos avisa sempre que você as altera ou revoga — agimos sobre esse aviso imediatamente.

4.2 Quais APIs da Garmin usamos, e para quê

Health API. O que recebemos: resumos diários (passos, distância, andares subidos, gasto energético ativo e basal, tempo ativo, frequência cardíaca de repouso, média, máxima e mínima, minutos de intensidade moderada e vigorosa); sono (duração total, estágios profundo, leve, REM e desperto, sonecas, score de sono, e se a noite foi medida pelo dispositivo ou estimada); variabilidade da frequência cardíaca; estresse e Body Battery; métricas do usuário (VO₂ máx e idade fitness). Para que usamos: é a linha de base diária do aplicativo — é o que nos permite mostrar suas tendências de sono, recuperação e atividade ao longo do tempo, e é a entrada do Aura Score, o número único com que o app resume como está indo a sua semana.

Activity API. O que recebemos: resumos e detalhes de atividade — tipo de atividade, horário de início e fuso, duração, distância, calorias, dados de frequência cardíaca e de ritmo/velocidade, altimetria, voltas e amostras — além dos arquivos de atividade correspondentes. Para que usamos: totais diários não distinguem musculação de uma partida de tênis, e a contagem de passos é cega para as duas. Precisamos da atividade nomeada e da sua intensidade para mostrar a você o que de fato treinou, para pesar carga de treino contra recuperação em vez de adivinhar isso a partir de passos, e para impedir que o assistente descrito em 4.4 leia um dia de treino forte como um dia sedentário. Os arquivos de atividade são lidos pelo seu conteúdo métrico; não os republicamos em lugar nenhum.

Workout API. O que enviamos: treinos estruturados que você cria ou aceita na Aura Med são enviados à sua conta Garmin para chegarem ao seu dispositivo. Para que usamos: para que uma sessão planejada no aplicativo possa ser executada no seu relógio sem ser redigitada lá. É o único fluxo que move dados na direção da Garmin, e ele não coleta nada sobre você.

Vínculo de conta. Junto com o acima, guardamos o identificador opaco de usuário Garmin emitido para nós, as permissões que você concedeu e os horários de conexão e da última sincronização. Não recebemos o nome, o e-mail nem as credenciais da sua conta Garmin.

Não usamos dados da Garmin para publicidade, para perfilamento em favor de terceiros, nem para decisões de crédito, seguro ou emprego. Não vendemos esses dados e não os compartilhamos com corretores de dados.

4.3 Como os dados da Garmin são processados e armazenados

• • Em trânsito: TLS 1.3 em todos os trechos — da Garmin ao nosso backend, e do nosso backend ao aplicativo (com certificate pinning).
• • Em repouso: banco PostgreSQL hospedado na Supabase, criptografado com AES-256. Os registros da Garmin são guardados por dia de calendário e marcados com a sua origem.
• • Controle de acesso: row-level security — você é a única pessoa que lê as suas linhas. Todo acesso é gravado em log de auditoria imutável com horário, usuário e IP.
• • Processamento: normalizamos os payloads da Garmin em métricas diárias, convertemos unidades e calculamos os indicadores descritos em 4.2. Não tentamos reidentificar ninguém e não enriquecemos nem cruzamos dados da Garmin com bases obtidas de terceiros.
• • Onde roda: nosso servidor de aplicação é hospedado na Render e o banco na Supabase, ambos provedores nos EUA. Essa transferência internacional segue o Art. 33 da LGPD — veja a seção 7.

4.4 Terceiros e processamento por IA

Os dados da Garmin são compartilhados com uma lista fechada de suboperadores, cada um agindo sob nossas instruções e apenas para as finalidades de 4.2:

• • Supabase — banco de dados e armazenamento de arquivos.
• • Render — hospedagem do servidor de aplicação que recebe e processa as notificações push da Garmin.
• • Anthropic (Claude) — o modelo de linguagem por trás do Aura+, nas condições declaradas logo abaixo.

Declaração explícita sobre processamento por IA de terceiros. O Aura+ é um assistente de IA construído sobre a API Claude, da Anthropic. Quando — e somente quando — você tiver dado um opt-in separado, explícito e auditável para o processamento dos seus dados de saúde e condicionamento físico por IA, um snapshot é enviado à API da Anthropic para gerar a resposta do assistente. Esse snapshot inclui métricas derivadas da Garmin (por exemplo frequência cardíaca de repouso, VFC, estágios e score de sono, passos, minutos de intensidade, VO₂ máx, estresse, Body Battery, e a contagem, a duração e a modalidade nomeada das suas atividades) junto com seu nome de exibição, idade, sexo biológico e as biometrias que você mesmo informou. Ele não inclui seus tokens OAuth da Garmin, seu identificador de usuário Garmin, seu documento de identidade nem seus dados de pagamento.

Esse consentimento é verificado antes de cada requisição e falha fechado: se estiver ausente, revogado ou não puder ser verificado, nenhum dado derivado da Garmin é enviado a qualquer provedor de IA e a funcionalidade não roda. A Anthropic atua como nossa suboperadora sob seus termos comerciais de API e não usa os dados para treinar seus modelos. Você pode revogar o consentimento a qualquer momento no aplicativo, o que interrompe todo processamento por IA dali em diante.

Nenhum outro terceiro recebe dados da Garmin. Eles nunca são enviados a redes de publicidade, intermediários de marketing, produtos de analytics ou corretores de dados, e nunca são usados para treinar qualquer modelo de IA — nosso ou de outrem.

4.5 Seu controle: desconectar, revogar, excluir

• • Desconectar no aplicativo: chamamos o endpoint de descadastro da Garmin, marcamos a conexão como inativa, apagamos os tokens guardados e paramos toda sincronização. Nenhum dado novo da Garmin chega até nós.
• • Revogar na Garmin: você também pode remover o acesso da Aura Med na sua conta Garmin Connect. A Garmin avisa nosso backend e paramos o processamento ao receber esse aviso.
• • Excluir sua conta (app → Você → Conta → Excluir conta): apaga sua conexão Garmin, seus tokens e todas as métricas derivadas da Garmin que guardamos sobre você.
• • Exclusão a pedido: você também pode escrever para dpo@aura.med e pedir que apaguemos seus dados da Garmin sem excluir sua conta. Fazemos isso em até 5 dias úteis, sem cobrar taxa.
• • Enquanto você permanecer conectado, as métricas derivadas da Garmin são mantidas para que o aplicativo possa mostrar a você seu próprio histórico e suas tendências, dentro da janela definida na seção 8.

5. Finalidade e base legal LGPD

Tratamos seus dados com base nas hipóteses dos Arts. 7º e 11 da LGPD:

• Consentimento expresso (Art. 11, I): para tratamento de dados de saúde, integração com wearables, envio de marketing opcional. Você pode revogar a qualquer momento.
• Execução de contrato (Art. 7º, V): para realizar a consulta médica, processar pagamento, emitir prescrição.
• Cumprimento de obrigação legal/regulatória (Art. 7º, II e Art. 11, II "a"): retenção de prontuário por 20 anos (CFM 1.821/2007), documentos fiscais, conformidade com CFM 2.314/2022.
• Tutela da saúde (Art. 11, II "f"): uso de IA assistiva (Aura+) para apoiar decisão clínica do médico.

6. Compartilhamento com terceiros (operadores)

Compartilhamos dados estritamente necessários com os seguintes operadores. Cada um tem contrato de tratamento de dados (DPA) que impede uso para finalidade diversa:

Não vendemos seus dados. Não compartilhamos com anunciantes nem intermediários de marketing. Não usamos seus dados para treinar modelos de IA de terceiros.

7. Transferência internacional de dados

Alguns operadores listados na seção 6 estão sediados fora do Brasil (principalmente Estados Unidos). A transferência segue o Art. 33 da LGPD por meio de cláusulas contratuais padrão e garantias específicas de cada operador (SOC 2, ISO 27001 onde aplicável).

O servidor do prontuário (Supabase) opera em infraestrutura com residência configurável; o vídeo de telemedicina (Agora.io) utiliza data residency Brasil para atender CFM 2.314/2022.

8. Retenção de dados

Aplicamos a seguinte matriz de retenção:

Anamnese e prontuário

20 anos (CFM Resolução 1.821/2007)

Prescrições e laudos

20 anos (mesma base)

Métricas de wearables

5 anos rolling (mais recentes)

Mensagens de chat clínico

20 anos (parte do prontuário)

Logs de navegação e segurança

12 meses

Logs de auditoria de acesso

5 anos

Dados financeiros (NF, recibo)

5 anos (legislação fiscal)

Após o prazo, os dados são eliminados de forma segura ou anonimizados irreversivelmente para fins de pesquisa estatística.

9. Segurança técnica

Medidas técnicas e organizacionais aplicadas:

• • Criptografia em trânsito (TLS 1.3) com certificate pinning no app iOS para impedir interceptação man-in-the-middle.
• • Criptografia em repouso no banco de dados Postgres do Supabase (AES-256).
• • Isolamento por linha (Row Level Security) — você só consegue ler/escrever os seus dados; o médico só consegue acessar dados dos pacientes em consulta ativa.
• • App Attest da Apple para verificar autenticidade do dispositivo antes de qualquer requisição sensível.
• • Tokens de autenticação de curta duração (JWT) com rotação automática.
• • MFA obrigatório para a equipe administrativa e médicos.
• • Logs imutáveis de auditoria — toda visualização de prontuário fica registrada com timestamp, usuário e IP.

10. Seus direitos LGPD e como excluir seus dados

Você tem todos os direitos do Art. 18 da LGPD: confirmação, acesso, correção, anonimização, portabilidade, eliminação, revogação de consentimento e informação sobre compartilhamentos.

Como excluir sua conta e seus dados

A forma mais rápida é direto pelo aplicativo:

1. Abra o app Aura Med no seu iPhone.
2. Toque na aba Você.
3. Toque em Conta e depois em Excluir conta.
4. Confirme com Face ID/Touch ID.

A exclusão remove imediatamente seus dados de cadastro, configurações e métricas de wearables. O prontuário médico (anamnese, consultas, prescrições) permanece arquivado pelos 20 anos exigidos pelo CFM 1.821/2007 — após esse prazo, é eliminado automaticamente. Durante esse período, o acesso fica restrito a você (mediante solicitação de cópia) e à autoridade competente em caso de processo legal.

Caso você não consiga acessar o app

Envie e-mail para dpo@aura.med. Resposta em até 5 dias úteis.

Outros direitos

Para acessar, corrigir, portar ou anonimizar seus dados, ou para revogar consentimento de integrações específicas (Apple HealthKit, Garmin), use o mesmo e-mail do DPO. Não cobramos taxa.

11. Apple Privacy Labels e alterações

As declarações da App Privacy section no App Store Connect refletem fielmente o que está descrito acima. Categorias declaradas:

• • Health & Fitness: dados de wearables e prontuário.
• • Contact Info: nome completo, e-mail, telefone (cadastro).
• • Identifiers: ID de usuário interno, App Attest device ID.
• • Diagnostics: crash reports técnicos para correção de bugs e métricas de performance anonimizadas.
• • User Content: anamnese, mensagens de chat clínico.
• • Photos or Videos: foto de documento e selfie para verificação KYC (via Didit); fotos de exames laboratoriais enviados via scanner de documentos (câmera) ou da galeria de fotos.

Não declaramos: Browsing History, Search History, Location precisa, Sensitive Info além do escopo de saúde, Tracking entre apps. A Aura nunca usa oApp Tracking Transparency (não pedimos permissão de tracking porque não fazemos).

Alterações desta política

Atualizações materiais (mudança de finalidade, novo operador, novo tipo de dado) são comunicadas no aplicativo com 30 dias de antecedência e exigem novo aceite. Atualizações de redação ou correções menores são publicadas aqui sem comunicação individual.

Contato

DPO: dpo@aura.med
Suporte: suporte@aura.med

Você também pode reclamar diretamente à Autoridade Nacional de Proteção de Dados (ANPD) em www.gov.br/anpd.