Política de Privacidade

Resumo em uma tela

O EndoTrack é um aplicativo para acompanhar tratamentos com GLP-1: aplicações, doses, peso, sintomas e consultas. Dados de saúde são dados pessoais sensíveis, e esta política existe para explicar, em linguagem clara, o que coletamos, por que coletamos e o que você pode fazer a respeito, na forma da Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018).

1. Quem é o controlador

Creative Media Digital Solutions LTDA, inscrita no CNPJ sob nº 41.878.690/0001-63, com sede na Rua Coronel Sergio Jose do Amaral, 31, Centro, Magé, RJ, CEP 25.900-073 ("nós"), é a controladora dos dados pessoais tratados pelo EndoTrack.

Encarregado pelo tratamento de dados (DPO): Edivan Galindo · privacidade@endotrack.com.br.

2. Quais dados coletamos

Dados de conta

• E-mail e nome de exibição.
• Se você entrar com Google ou Apple, recebemos do provedor apenas o identificador da conta, o e-mail e o nome que você autorizar.
• Fuso horário e idioma, para agenda e lembretes corretos.

Dados de saúde, registrados por você (dados sensíveis, art. 11 da LGPD)

• Plano de tratamento: medicamento (pelo nome genérico), doses, escada de titulação, dias e horários de aplicação.
• Registros de aplicação: data, hora, dose, local do corpo e caneta utilizada.
• Peso, medidas corporais e meta.
• Sintomas, com intensidade, padrão e anotações.
• Vitórias e anotações pessoais que você escrever.
• Fotos de progresso, se você optar por usá-las.
• Receitas (datas de validade e renovações) e consultas agendadas (data, nome da médica ou médico e anotações).
• Suprimentos: canetas, lotes e validades.

Dados de assinatura e pagamento

• O status da sua assinatura (plano, vigência, renovação).
• A assinatura é feita pela App Store (Apple) ou pelo Google Play. Os dados do seu cartão ficam com a loja: não passam pelos nossos servidores e não são armazenados por nós. Da loja recebemos apenas o status da assinatura e um identificador da transação.

Visitas ao site

Quem visita o site endotrack.com.br, com ou sem conta no app, entra só na medição agregada de audiência descrita na seção 9. Ela não identifica você e não se liga à sua conta.

Registros técnicos

Registros de acesso à nossa API (como endereço IP, data e hora), mantidos pelo tempo necessário à segurança e à obrigação legal do Marco Civil da Internet, e relatórios de erro dos nossos servidores, usados apenas para diagnóstico técnico.

3. Dados que ficam só no seu aparelho

• Fotos de caixas de caneta ficam em um cofre local e nunca saem do seu aparelho.
• A biometria (Face ID ou Touch ID) é verificada pelo próprio sistema do iPhone; não temos acesso a ela, apenas ao resultado "desbloqueado".
• Os lembretes de aplicação são notificações locais, agendadas no aparelho. Com o modo discreto ativado, elas não exibem nome de medicamento nem dose.
• Preferências do app (tema, ajustes) ficam no aparelho.

4. Para que usamos os dados

• Fazer o app funcionar: sua semana, sua titulação, seu histórico e a estimativa educativa de nível do medicamento no corpo, calculada nos nossos servidores a partir dos seus registros.
• Enviar e-mails transacionais: código de confirmação de cadastro e recuperação de senha. Não enviamos marketing.
• Gerar, quando você pedir, um relatório do período para levar à consulta.
• Cobrar e gerir a assinatura.
• Manter a segurança da conta e prevenir fraude.
• Medir, de forma agregada, a audiência do site endotrack.com.br (seção 9).

Bases legais (LGPD): consentimento específico para dados de saúde (art. 11, I), execução de contrato para conta e assinatura (art. 7º, V), cumprimento de obrigação legal para registros de acesso e registros das transações (art. 7º, II) e legítimo interesse para segurança, prevenção a fraudes e medição agregada da audiência do site (art. 7º, IX), sempre no mínimo necessário.

O consentimento para dados de saúde é versionado: se esta política ou os textos de consentimento mudarem de forma relevante, o app pede o seu aceite de novo antes de continuar.

5. Com quem compartilhamos

Nunca vendemos dados pessoais e não os compartilhamos para publicidade. Compartilhamos apenas com operadores que nos prestam serviço, sob contrato e instruções nossas:

• Apple (App Store) e Google (Google Play), lojas onde a assinatura é feita: pagamento e status da assinatura.
• Amazon Web Services (armazenamento em nuvem, região de São Paulo): banco de dados e fotos de progresso em bucket privado.
• Resend (envio de e-mails transacionais): seu endereço de e-mail.
• Google e Apple (login, se você escolher): autenticação da conta.
• Sentry (monitoramento de erros dos nossos servidores): dados técnicos de falhas, sem finalidade de perfil ou publicidade.
• PostHog, Inc., nos Estados Unidos (medição de audiência do site): os dados de visita descritos na seção 9, sem identificar você.

Alguns desses operadores tratam dados fora do Brasil. Nesses casos, a transferência internacional segue o art. 33 da LGPD, com salvaguardas contratuais adequadas.

Além disso, você mesmo pode compartilhar: o link de relatório que você cria é seu, para mostrar a quem cuida de você.

Podemos ainda compartilhar dados se formos legalmente obrigados, por ordem judicial ou requisição de autoridade competente.

6. Fotos de progresso

• Ficam em um bucket privado, cifrado, na região de São Paulo.
• O envio e a leitura acontecem por URLs assinadas de validade curta; as imagens não transitam pelos nossos servidores de aplicação.
• Os metadados da foto (EXIF, incluindo localização) são removidos antes do envio.
• A galeria dentro do app só abre com o desbloqueio do aparelho.

7. Links de relatório

• Só existem se você criar. O link é temporário (expira em 7 dias) e pode ser revogado por você a qualquer momento, no app.
• Guardamos apenas uma impressão criptográfica do link (hash); quem tem o endereço vê somente o recorte de dados que você escolheu incluir.

8. Segurança

• Todo o tráfego entre o app e os servidores usa criptografia (TLS).
• Senhas são armazenadas com hash forte (argon2id); nunca em texto claro.
• Sessões usam tokens de curta duração com renovação rotativa; reuso indevido revoga a cadeia inteira.
• Acesso interno aos dados é restrito ao mínimo necessário.

Nenhum sistema é infalível. Se um incidente de segurança relevante acontecer, comunicaremos você e a ANPD na forma da lei.

9. Cookies e medição de audiência do site

O site endotrack.com.br não usa cookies e não guarda nada no seu aparelho: nem cookies, nem armazenamento do navegador. Também não usa pixels, publicidade nem rastreadores de terceiros.

Para saber quantas pessoas visitam o site, quais páginas leem e de onde chegam, medimos a audiência com o PostHog, de forma agregada. O identificador de cada visita existe só na memória da página aberta e some quando você fecha ou recarrega a página, por isso não reconhecemos você numa visita seguinte.

O que é medido

• A página visitada, o endereço de onde você veio (referrer) e os parâmetros de campanha do link que trouxe você, como os UTM.
• Navegador, sistema operacional, tipo de dispositivo, tamanho da tela, idioma e fuso horário, como o próprio navegador informa.
• O país aproximado, estimado a partir do endereço IP no momento da visita.
• Quanto tempo a página ficou aberta e os cliques nos botões de baixar o app na App Store e na Google Play.

O que não é medido

• Quem você é: nome, e-mail, conta do app ou qualquer perfil seu. A visita ao site não é ligada ao app.
• O endereço IP não fica guardado: ele serve só para estimar o país e é descartado em seguida.
• Gravação de tela, mapas de calor, o que você digita e cliques fora dos botões das lojas.
• Os identificadores de clique de anúncio, como o fbclid da Meta e o gclid do Google: são mascarados antes de sair do navegador e descartados pelo servidor.

A página de download (endotrack.com.br/baixar)

Os anúncios do endotrack levam para endotrack.com.br/baixar. Ali o próprio servidor do site decide o caminho: no iPhone e no iPad você vai direto para a App Store, no Android para a Google Play; nos outros aparelhos aparece uma página curta sobre o app. Para cada acesso, o servidor registra um único evento no PostHog, que diz só isto:

• Qual caminho o acesso seguiu: App Store, Google Play ou página curta.
• O sistema operacional (iOS, Android, macOS, Windows, Linux ou outro) e se o acesso veio de um robô conhecido, como o que monta a prévia do link.
• Os parâmetros de campanha do anúncio: utm_source, utm_campaign e utm_content.

Esse evento não leva o endereço IP, o país, a identificação completa do navegador (user agent), o endereço completo da página, a página de onde você veio nem o identificador de clique do anúncio. Cada acesso recebe um identificador aleatório novo, que não se liga a nenhum outro acesso, e nada é gravado no seu aparelho. Com Do Not Track ou Global Privacy Control ligados, o evento não é registrado. No iPhone e no iPad, o endereço da App Store leva só o nome do anúncio (o utm_content), para a Apple contar os downloads por campanha. No Android, o endereço da Google Play leva só os parâmetros de campanha (utm_source, utm_campaign e utm_content), para o Google contar os downloads por campanha. Nenhum dado seu vai junto.

Se o seu navegador envia o sinal Do Not Track ("não rastrear") ou o Global Privacy Control, nenhuma medição acontece. Para não ser medido, basta ativar um desses sinais no navegador.

Base legal: legítimo interesse (art. 7º, IX, da LGPD), para entender no agregado como o site é usado e melhorar o que publicamos. Como nada é gravado no seu aparelho, não existe banner de consentimento. Os dados de audiência ficam guardados por até 1 ano no PostHog, nos Estados Unidos (seção 5).

O app guarda no seu aparelho apenas o necessário para manter você conectado (tokens de sessão) e as suas preferências, e não tem ferramentas de analytics. Se o site ou o app passarem a medir mais do que está descrito aqui, esta política será atualizada antes, e qualquer coisa não essencial que grave algo no seu aparelho dependerá do seu consentimento.

10. Retenção e exclusão

• Mantemos seus dados enquanto a sua conta existir.
• Excluir a conta, disponível dentro do app, apaga de forma definitiva seus dados pessoais e de saúde dos nossos sistemas ativos, incluindo as fotos de progresso. Cópias de segurança expiram e são sobrescritas em até 30 dias.
• Sem o app, você pede a exclusão por e-mail, do endereço cadastrado na conta, seguindo a página Excluir conta. Confirmamos a exclusão em até 15 dias.
• Registros de acesso e registros da transação e da assinatura são mantidos pelos prazos legais mínimos (por exemplo, 6 meses para registros de acesso, Marco Civil da Internet).
• Sessões de login expiram automaticamente após 30 dias de inatividade.
• Os dados de audiência do site (seção 9) ficam guardados por até 1 ano.

11. Seus direitos (art. 18 da LGPD)

Você pode, a qualquer momento e gratuitamente:

• Confirmar se tratamos seus dados e acessá-los.
• Corrigir dados incompletos ou desatualizados.
• Exportar seus dados (portabilidade): disponível no app, em Perfil, Exportar meus dados.
• Apagar tudo: disponível no app, na exclusão de conta, ou pela página Excluir conta, se você não tem mais o app.
• Revogar o consentimento para dados de saúde; sem ele, o app não tem como funcionar, e a revogação leva à exclusão dos dados de saúde.
• Obter informação sobre compartilhamentos e sobre a possibilidade de não consentir.

Para exercer qualquer direito, use os recursos do app ou escreva para privacidade@endotrack.com.br. Respondemos nos prazos da LGPD. Se preferir, você também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD).

12. Crianças e adolescentes

O EndoTrack não é destinado a crianças. Tratamentos com GLP-1 exigem prescrição e acompanhamento profissional; se você tem menos de 18 anos, use o app somente com o consentimento dos seus responsáveis (art. 14 da LGPD) e sob orientação médica.

13. Assinatura e reembolso

O EndoTrack funciona por assinatura com renovação automática, feita pela App Store ou pelo Google Play. Até 7 dias da compra, você pode desistir e receber o valor integral de volta, pelo direito de arrependimento (art. 49 do Código de Defesa do Consumidor). Depois desse prazo, você cancela quando quiser e o acesso vale até o fim do período pago. Cancelamento e pedido de reembolso passam pela loja onde você assinou: App Store ou Google Play. Excluir a conta não cancela a assinatura.

14. Este app não é aconselhamento médico

15. Alterações desta política

Quando esta política mudar, atualizaremos a data e a versão no topo. Se a mudança afetar dados de saúde ou ampliar algum tratamento, pediremos seu consentimento de novo dentro do app antes de continuar.

16. Contato

Creative Media Digital Solutions LTDA · CNPJ 41.878.690/0001-63. Rua Coronel Sergio Jose do Amaral, 31, Centro, Magé, RJ, CEP 25.900-073.

Esse mesmo e-mail atende o encarregado pelo tratamento de dados pessoais (DPO): Edivan Galindo.