Política de Privacidade do EngramaMed

1. O que este documento cobre

Este documento descreve o tratamento de dados que a plataforma realmente executa. Ele não descreve intenção futura: cada valor citado aqui é conferido automaticamente contra o sistema antes de a página ser publicada.

2. Como os dados alcançam uma pessoa

O inventário de dados classifica cada tabela por alcance a pessoa natural em quatro classes: direto, vinculado, conteudo, nenhum.

A classe direto contém identificador direto, como e-mail ou material de credencial. A classe vinculado não é anônima: é pseudonimizada, e a chave que reidentifica está uma junção adiante. A classe conteudo guarda o que você enviou ou escreveu, cujo interior o sistema não conhece. A classe nenhum é catálogo ou configuração, e não alcança pessoa alguma.

3. O que vai ao provedor de IA

Os recursos de IA usam a API paga do Google em modo privado, sem uso do que você envia para treinamento ou aprimoramento dos modelos do provedor.

No Mentor, vão ao provedor a sua pergunta, as mensagens anteriores do mesmo chat, os arquivos que você anexar e o item que você deixou aberto como contexto: a questão, o flashcard ou o material de Síndromes. O gabarito de uma questão só entra depois de você responder ou, fora de uma rodada em andamento, se você pedir.

Em Flashcards, vão ao provedor o texto do PDF enviado, em partes, e as suas instruções opcionais.

Quando o Mentor usa a busca do Google, o Google guarda a pergunta, o contexto enviado e a resposta por 30 dias, conforme os termos da API. Os anexos maiores são enviados à área de arquivos do provedor, que os apaga em 48 horas. O provedor também pode manter registros de segurança e de prevenção de abuso previstos nos termos dele.

4. Dados pessoais antes do envio

Antes de a pergunta digitada ao Mentor sair do servidor, uma verificação automática procura dados pessoais em oito categorias: cpf, cnpj, email, phone, cns, medical_record, date_of_birth, person_name_with_context.

O que ela reconhece é trocado por uma marca, e a pergunta segue sem ser bloqueada. É a pergunta mascarada que vai ao provedor e que fica no seu histórico; o valor detectado não é guardado à parte nem escrito em log.

A verificação não alcança os anexos, o PDF enviado em Flashcards nem o item aberto, que seguem como estão. Nenhum detector é completo, e a plataforma não promete que nada pessoal jamais será enviado. Não envie dados de pacientes nem de outras pessoas.

5. Registros do Mentor e dos chats

Cada pergunta ao Mentor gera um registro técnico sem o texto da pergunta e da resposta, sem endereço de página e sem identificador da conta: só desfecho, tempos, uso e créditos.

Abrir uma fonte citada ou tocar numa sugestão de busca não gera registro: a plataforma não acompanha esses cliques. As sugestões de busca não são guardadas.

Os chats são privados: só você vê, renomeia e apaga os seus, e não há como compartilhar um chat. Os prazos estão na Política de Retenção.

6. Foto de perfil

A foto de perfil enviada em Minha conta não é guardada como chegou: o servidor recorta o centro e grava uma imagem quadrada de 256 pixels, sem metadados como data, aparelho ou localização. O arquivo fica numa área privada da sua conta. A foto não é enviada ao provedor de IA.

7. Processamento econômico anterior

O modo econômico deixou de ser oferecido para novos envios. Se você utilizou esse modo anteriormente, os consentimentos e os direitos de revogação correspondentes continuam registrados.

A revogação do consentimento impede novos processamentos econômicos daquele documento e cancela tarefas ainda não iniciadas, mas não recupera o que já foi enviado, porque o envio já ocorreu.

8. Exportar seus dados

Você pode solicitar acesso e cópia dos seus dados pessoais pela seção Privacidade e dados pessoais da conta. A solicitação recebe um protocolo e é atendida pela equipe após conferência de identidade, por canal privado. O download automático de registros e arquivos não está disponível. O atendimento não inclui dados de terceiros, credenciais nem o acervo da plataforma.

Campos que carregam material de credencial ou token nunca entram na exportação.

9. Excluir sua conta

A exclusão é executada no servidor e remove objetos, dados e identidade, inclusive chats, anexos e a foto de perfil. Você abre a confirmação na conta e informa a senha atual; a identidade reautenticada precisa corresponder à conta que será excluída.

A operação é verificada ao final; quando a verificação não fecha, a sessão é preservada para nova tentativa, em vez de a conta ficar em estado indeterminado.

10. O que a exclusão não desfaz

O que já foi enviado ao provedor de IA não é recuperado pela exclusão, porque o envio já aconteceu; o provedor apaga o que guardou nos prazos descritos acima. O mesmo vale para conteúdo enviado antes sob consentimento econômico.

Registros somente-acréscimo de auditoria são preservados deliberadamente, e a Política de Retenção descreve o que eles guardam.

11. Cadastro, pagamento e origem da contratação

O cadastro registra o nome pelo qual você quer ser chamado e as declarações de maioridade e aceite. Quando há confirmação por e-mail, um recibo temporário por hash vincula essas informações à identidade confirmada; o recibo expira em sete dias.

Links de campanha podem carregar um código de campanha, a oferta e o cupom durante o cadastro e a contratação. A plataforma registra essa origem junto da conta e do pedido para analisar resultados. Esse percurso não utiliza pixels externos nem cookies de publicidade.

Visitas aos links e cadastros confirmados alimentam contadores agregados por dia e campanha, sem IP, identificador de navegador ou contato nesses contadores. Visitas não representam pessoas únicas. O vínculo de cadastro é removido com a conta, e os contadores agregados permanecem.

Quando você chega por um link com parâmetros de campanha ou vindo de outro site, o seu navegador guarda por até 90 dias a origem da visita: os parâmetros da campanha, o nome do site anterior, a seção em que você chegou e a data, sem identificador de navegador. Do identificador de clique que alguns anúncios acrescentam ao link, só o tipo é guardado, nunca o valor. Quando você abre o site sem nada disso, fica só a data desse acesso. O navegador envia essa origem no cadastro ou quando você entra na conta. Ela fica ligada à conta para medir resultados e sai com a exclusão da conta. Cada chegada por campanha ou por outro site também soma num contador agregado por dia e origem, sem IP, identificador de navegador ou contato.

Quando um piloto estiver habilitado, o cadastro confirmado pode receber um grupo sorteado no servidor, que permanece fixo durante o piloto. A medição vincula à conta referências de eventos de estudo, confirmação de visibilidade de oferta, pedidos de reembolso e minutos de suporte, sem copiar textos de questões, respostas, mensagens de atendimento ou dados de cartão. A finalidade é comparar ativação, uso, retorno e resultados comerciais de grupos elegíveis.

Essa medição usa a infraestrutura do EngramaMed, sem envio a um serviço externo de analytics. A equipe autorizada consulta resultados agregados. Os registros vinculados do piloto entram no atendimento de acesso aos dados e são removidos com a exclusão da conta. Instalar a infraestrutura não habilita um piloto nem representa consentimento para depoimentos; depoimentos exigem autorização própria.

O pagamento é feito na página do provedor de pagamento. Os dados que você informa ali, como nome, CPF, contato e cartão, vão ao provedor e são tratados por ele, conforme a política dele. Para abrir o pagamento, a plataforma envia ao provedor a oferta, o valor e uma referência opaca do pedido; algumas assinaturas também levam o e-mail da conta.

Recibos de pagamentos e restituições conservam valor, moeda, período e identidade opaca do pagamento para conciliação. Após excluir a conta, os recibos financeiros mantidos para auditoria ficam desassociados do titular; corpos brutos de notificações, credenciais e dados de cartão não são armazenados nesses recibos.

12. Mensagens da equipe por e-mail

Depois do cadastro, a equipe pode enviar até quatro mensagens por e-mail: boas-vindas, um lembrete da primeira sessão, uma pergunta sobre a sua experiência e um pedido de indicação. Cada uma sai uma vez.

Elas usam o seu e-mail e o primeiro nome do cadastro, e passam por um serviço de envio. Para escolher a mensagem, a plataforma olha só se uma sessão foi iniciada ou concluída e se há pagamento confirmado.

Toda mensagem traz um link para parar de receber, e a saída vale para todas elas. Avisos necessários à conta, como a confirmação do cadastro e a recuperação de senha, continuam chegando.