Política de Privacidade da Zeliane

Versão 2026-09-08.

⚠️ Ainda não revisada por advogado. Descreve com precisão o que o sistema faz hoje, mas precisa de revisão profissional antes de atender a primeira família de fora do time.

O que mudou nesta versão: duas correções, e as duas são sobre fato. Esta política estava contando o sistema errado em dois pontos, e isso é pior do que contar pouco.

A primeira é sobre onde o seu dado é processado. A tabela de empresas listava a Render como quem hospeda os servidores da aplicação. A Zeliane saiu da Render em 05/09/2026 e passou a rodar em servidores da Amazon (AWS), na mesma Virgínia. O país não mudou, e nada do que fazemos com o seu dado mudou; o que estava errado era o nome da empresa que trata dele, e esse nome é justamente o que esta tabela existe para dizer.

A segunda é sobre quem pode mandar o seu prontuário para fora. Esta política dizia que qualquer pessoa da família cadastrada podia gerar o link do médico. Isso foi verdade por um dia. Desde 07/09/2026, quem gera é só o responsável pela conta, e o banco de dados recusa a quem não é. Os Termos de Uso já diziam a regra certa, e era esta política que estava atrasada.

Os travessões também saíram do texto inteiro. Nenhuma obrigação, prazo, direito ou nome mudou por causa disso.

Da versão de 07/09, que continua valendo: mudou o pedido de consentimento que aparece na conversa, que encurtou de 732 para 496 caracteres: saiu comentário sobre o próprio texto e saiu repetição, e ficou tudo o que a lei pede que você leia antes de dizer sim: para que serve, que dado é, que ele é sensível e por isso o seu sim vem à parte, com quem ele fica, que é guardado criptografado, que você pode baixar ou apagar tudo, e como recusar. A versão sobe mesmo sem o conteúdo mudar porque ela existe para responder "com o que exatamente essa pessoa concordou?", e essa frase é parte do que ela leu.

Da versão anterior, de 06/09: o médico passou a poder perguntar dentro do endereço, sobre o que foi registrado. A seção Compartilhar com o médico diz o que ele recebe, o que a Zeliane recusa responder, e para onde a pergunta dele vai.

Da versão de 06/09 mais cedo: entrou a seção Compartilhar com o médico. A Zeliane passou a saber gerar um endereço para o médico abrir, e a versão anterior não descrevia isso: ela dizia só que o link existia e que expirava em 72 horas, e o prazo passou a ser de 7 dias. Agora está escrito o que o médico vê, o que ele não vê, quem gera, quem desliga e o que fica registrado.

Da versão de 04/09, que continua valendo: o banco de dados saiu de São Paulo e está na Virgínia, nos Estados Unidos, desde 04/09/2026. A versão anterior, desta mesma manhã, anunciava a mudança para o dia 14; ela foi antecipada porque nenhuma família de fora usava o serviço ainda. A seção Onde ficam seus dados conta o porquê, o que mudou e o que não mudou.

Uma cópia do banco continua na Neon, em São Paulo, sem receber nada de novo, até ser apagada. Ela existe para o caso de a mudança precisar ser desfeita, e a tabela abaixo a mantém listada enquanto ela existir.

Uma coisa a mais, que é uma correção nossa: as versões anteriores diziam que "seu prontuário fica no Brasil". Era verdade sobre o lugar onde a cópia dormia, e escondia que os servidores que leem e escrevem esse prontuário estão nos Estados Unidos desde o começo. A frase estava certa e dava a impressão errada, então ela saiu.

Em uma tela

• A Zeliane guarda dado de saúde, que a lei brasileira trata como dado sensível. Por isso pedimos seu consentimento explícito, e não usamos esses dados para nada além de cuidar de quem você cuida.
• Nunca vendemos nada seu. Não há publicidade, não há venda de dados, não há perfilamento para marketing.
• Sua família vê. Outra família nunca vê. Isso não é promessa de intenção: é uma regra dentro do banco de dados, e ela é testada automaticamente a cada mudança de código.
• Você pode baixar tudo e apagar tudo, quando quiser.
• Seus dados ficam nos Estados Unidos. O processamento sempre esteve lá; o banco de dados também, desde 04/09/2026. Explicamos onde e por quê mais abaixo.

Quem é responsável pelos seus dados

57.815.099 GUSTAVO PAULINO CRUZ, CNPJ 57.815.099/0001-05, é a controladora dos dados.

Encarregado pela proteção de dados (DPO): Gustavo Paulino Cruz, contato@zeliane.com.br.

O que guardamos

Sobre quem usa o aplicativo: número de WhatsApp, nome como você quer ser chamada, fuso horário e o que você escolheu receber de aviso.

Sobre a pessoa cuidada: nome, data de nascimento e a história de saúde que sua família registrar: diagnósticos, alergias, cirurgias, internações, medicações, histórico familiar.

Sobre a rotina: doses de remédio e se foram confirmadas, puladas ou ficaram sem resposta; consultas e terapias; estoque de medicamentos.

Sobre o dia a dia: o que você conta no diário, por texto ou áudio, com a data, a hora e a categoria.

Documentos: fotos de laudos, exames, receitas e caixas de remédio que você enviar.

Registros técnicos: quem registrou o quê e quando (trilha de auditoria), e o identificador das mensagens recebidas, para não processar a mesma coisa duas vezes. Não guardamos o conteúdo das suas mensagens em log.

Para que usamos, e com que base legal

Não usamos seus dados para treinar modelos de inteligência artificial.

Consentimento para dado sensível

Dado de saúde e de deficiência exigem consentimento específico e destacado. Por isso o pedimos separado, no primeiro cadastro, e guardamos qual versão deste documento você aceitou e quando.

Você pode retirar o consentimento a qualquer momento. Ao retirar, paramos de tratar os dados e explicamos o que isso significa na prática. Sem eles a Zeliane não tem como funcionar.

Quando a pessoa cuidada é criança ou adolescente

Boa parte das famílias que a Zeliane atende cuida de uma criança. Nesses casos, quem consente é o pai, a mãe ou o responsável legal, e o tratamento existe no melhor interesse da criança.

Quando a pessoa cuidada é um adulto capaz, ela precisa saber e concordar que a história dela está aqui.

Quem enxerga os dados

Dentro da sua família: as pessoas que o responsável convidou, conforme o papel de cada uma.

Outra família: nunca. Cada consulta ao banco carrega quem está pedindo, e o próprio Postgres recusa devolver dado de outro paciente, mesmo que alguém tenha o identificador em mãos, e mesmo que haja um erro no nosso código. É a proteção que mais testamos.

Médicos: só se você gerar um endereço de compartilhamento, e a seção seguinte conta exatamente o que ele mostra. Nenhum documento tem link público permanente.

Nossa equipe: o acesso a dado de família real é restrito e registrado, usado só para resolver um problema que você relatou.

Compartilhar com o médico

Você pode pedir à Zeliane, no WhatsApp, um endereço para o médico abrir. Ela pergunta antes de gerar e diz o que vai dentro; nada é enviado sem essa confirmação. Esta seção existe porque essa é a única situação em que o prontuário sai da sua família.

O que o médico vê: os diagnósticos e as alergias registrados, a medicação de agora e o histórico de mudanças de dose com data, o que a família registrou do dia a dia, os exames e laudos com o arquivo original, e uma linha do tempo de tudo isso. Ele também pode exportar essas informações em PDF. Ele não vê telefone de ninguém, não vê as conversas com a Zeliane, e não vê os áudios que vocês gravaram: a transcrição do que foi contado faz parte do prontuário, a gravação da voz não.

Ele só lê. Não há como escrever, corrigir ou apagar nada por esse endereço.

Ele pode perguntar, e só sobre o que foi registrado. "Quando a dose mudou?", "quantas intercorrências desde junho?". A Zeliane responde citando a data de cada coisa, e não avalia conduta, não interpreta o que os registros significam e não faz resumo do quadro: isso é do médico. A pergunta dele é enviada ao provedor de inteligência artificial listado na tabela de subprocessadores, junto com os registros necessários para respondê-la; a pergunta em si não é guardada por nós, só o fato de que houve uma. Cada endereço responde a um número limitado de perguntas.

Por quanto tempo: 7 dias, contados de quando você gerou. Depois disso ele para de abrir sozinho.

Como fechar antes: diga "desligar o link" à Zeliane. Quem desliga é o responsável pela conta. O endereço para de abrir na hora, inclusive para quem estiver com a página aberta naquele momento.

Quem pode gerar: só o responsável pela conta. Mandar o prontuário para fora é a única coisa que a Zeliane faz que não tem volta: o endereço expira e você pode desligá-lo, mas o que o médico já leu, ele leu. Por isso essa decisão fica com uma pessoa só, e o banco de dados recusa a quem não é responsável.

Isso tem um custo, e ele é seu: quem leva a pessoa cuidada na consulta nem sempre é quem instalou o aplicativo, e essa pessoa passa a depender de uma mensagem ao responsável para conseguir o endereço na sala de espera. A Zeliane responde a ela com a frase pronta para encaminhar, e não com uma recusa seca.

Cada endereço gerado fica registrado com o nome de quem gerou, e o responsável pode desligar qualquer um.

Um código de 6 dígitos vai junto com o endereço. Ele existe para o caso de o endereço sozinho vazar. Cinco erros seguidos e o endereço é bloqueado de vez.

Cada abertura fica registrada, e você pode perguntar: diga "quem abriu o link?" e a Zeliane responde quantas vezes foi aberto e quando foi a última. Ela não sabe quem abriu, e diz isso: o endereço não pede nome, e ele pode ter sido repassado pelo médico a outra pessoa. Preferimos não coletar o nome de quem abre a coletar um nome que ninguém confere.

O que fica fora do nosso alcance: a partir do momento em que o médico lê, o que ele faz com aquela informação é responsabilidade dele, sob o dever profissional dele. O mesmo vale para o PDF exportado: ele sai do nosso controle no instante em que é salvo, e por isso ele leva impressa a data em que foi tirado e o prazo do endereço que o originou.

Empresas que nos ajudam a funcionar

Para o serviço existir, alguns dados passam por prestadores. Nenhum deles usa seus dados para fins próprios.

Onde ficam seus dados

Nos Estados Unidos, na Virgínia. Isso vale para o banco de dados, para os servidores que leem e escrevem o seu prontuário, para as fotos e áudios que você manda, para o WhatsApp, para a inteligência artificial que organiza seus relatos e para a que transcreve sua voz.

Dito sem rodeio: dado de saúde seu, inclusive a sua voz, é guardado e processado fora do Brasil.

O banco de dados mudou de lugar em 04/09/2026. Ele era a única peça que ainda ficava no Brasil, em São Paulo, e foi para a Virgínia junto do resto.

Até então, cada consulta ao seu prontuário saía da Virgínia, atravessava o hemisfério até São Paulo e voltava. Os três motivos da mudança foram: o custo ficou previsível em vez de variar com o uso, a Zeliane responde mais rápido porque o dado deixou de fazer essa viagem a cada pergunta, e o backup passou a ficar no mesmo lugar que tudo o mais, o que torna uma restauração de emergência mais simples de ensaiar.

A cópia antiga continua na Neon, em São Paulo, parada e sem receber nada de novo, até ser apagada. Ela existe só para o caso de a mudança precisar ser desfeita.

Nada do que fazemos com os seus dados mudou. Mudou onde o arquivo dorme.

Por que a lei permite. A LGPD autoriza a transferência internacional com base no seu consentimento específico, que é o que você dá no cadastro, e em cláusulas contratuais com cada um desses fornecedores.

O que exigimos de quem guarda. O banco só aceita conexão cifrada, e a aplicação confere o certificado do servidor antes de mandar qualquer coisa, para que ninguém consiga se passar pelo banco no meio do caminho. As fotos, áudios e documentos são guardados cifrados. E a regra de que uma família nunca enxerga a outra vive dentro do próprio banco, e não no código que conversa com ele.

Se um dia voltar para o Brasil, a gente conta aqui, com data.

Sobre a inteligência artificial

Quando você manda um áudio

O áudio vai para a OpenAI, que devolve o texto do que você falou. Só isso: nós mandamos o arquivo de som e recebemos as palavras de volta. Não vai junto o nome do paciente, nem a lista de remédios dele, nem nada do prontuário, nem para "ajudar a entender melhor". Se mandássemos, dois problemas: seus dados sairiam daqui sem precisar, e a transcrição ficaria enviesada a ouvir o que a gente esperava ouvir. Numa dosagem, esperar uma palavra é meio caminho para inventá-la.

O áudio original fica guardado, criptografado, junto com a transcrição. Você pode conferir o que a Zeliane entendeu, e ela sempre te mostra, antes de seguir a conversa.

Se a transcrição falhar, a Zeliane diz que não conseguiu ouvir. Ela nunca chuta o que você disse.

Quando você conta algo por texto

Um modelo da Anthropic lê aquele trecho e propõe campos: o nome do remédio, a dosagem, a categoria do relato. É o mesmo modelo que lê suas fotos de laudo e de receita.

Três coisas importam aqui:

1. O texto original nunca é substituído. O que você disse fica guardado palavra por palavra; a interpretação vai ao lado.
2. A IA não inventa. Todo valor que ela propõe é conferido contra o que você disse; o que não estiver lá é descartado. Dosagem é o campo mais sensível, e essa checagem existe principalmente por causa dele.
3. Seus dados não treinam o modelo.

Quando você pergunta sobre um remédio

Se você perguntar algo como "qual a dose máxima desse remédio para adulto?", a Zeliane vai procurar a resposta na bula oficial e te contar o que está escrito lá, dizendo de onde tirou e de quando é aquela informação.

Duas coisas que ela não faz, e é importante que você saiba disso antes de perguntar:

• Ela não olha a receita da pessoa que você cuida para responder. Se você perguntar se a dose dela está certa, ou se pode dar mais um comprimido, a Zeliane não responde: ela te diz para falar com quem prescreveu. Isso não é ela se esquivando: é que só quem examinou a pessoa pode dizer.
• Ela não guarda a sua pergunta junto do prontuário como se fosse um fato de saúde. A dúvida é sua, não um sintoma dela.

Se você quiser, a Zeliane anota a pergunta para entrar no relatório da próxima consulta, e assim você chega lá com ela pronta, em vez de lembrar na saída.

Por quanto tempo guardamos

Enquanto a conta existir. O prontuário só é útil porque é longo: a história de dez anos atrás é o que o médico novo precisa ler.

Apagar seus dados

É só pedir para a Zeliane, no WhatsApp: "quero apagar meus dados". Você não precisa mandar e-mail, procurar um menu, nem falar com ninguém da nossa equipe. Se preferir o e-mail, ele está no fim desta página e também vale.

O que acontece depois, nesta ordem:

1. A Zeliane te conta o que vai acontecer e pergunta se é isso mesmo. Nenhum dado é apagado por uma frase: só depois que você confirmar.
2. Ficam sete dias de prazo. Nesse período basta dizer que você mudou de ideia, e o pedido é cancelado. O prazo existe porque um toque errado não pode apagar dois anos de história de cuidado, e porque apagar não tem volta.
3. Passado o prazo, apagamos. De uma vez só: ou tudo sai, ou nada sai e a rotina tenta de novo. Nunca pela metade.

O que some

Seu cadastro, o seu acesso, as suas conversas com a Zeliane, o que ficou pela metade, os avisos que você escolheu receber, o seu vínculo com a família, e os arquivos de áudio que você gravou, porque a sua voz é sua.

O que fica, e por quê

O histórico da pessoa cuidada. Os remédios, as consultas, as doses confirmadas, os relatos que você escreveu ou ditou: isso é o prontuário dela, não é seu, e apagar quem cuida não pode apagar quem é cuidado. O que sai é o seu nome: os registros passam a dizer "confirmado às 8h03", sem dizer por quem. A transcrição do que você ditou fica, porque ela virou o registro da pessoa cuidada; o arquivo de som, não.

A prova de que você consentiu, sem dizer quem você era. A lei nos obriga a poder demonstrar que houve consentimento. Então a linha do aceite fica, mas anonimizada no mesmo instante: somem o seu nome e o seu telefone, e no lugar entra um código embaralhado que não pode ser convertido de volta em número de celular. Dá para provar que aquele consentimento existiu naquela data. Não dá para reconstruir de quem era.

O mesmo vale para a trilha de auditoria, que existe para responder "quem mexeu nisto?" quando há suspeita de problema de segurança.

E fica o registro de que a exclusão aconteceu, com a data, também sem nome nem telefone legível. Sem ele, uma exclusão feita direito seria indistinguível de um vazamento.

Uma situação em que a Zeliane pede uma coisa antes

Se você for a única pessoa responsável por alguém, apagar você deixaria o histórico dessa pessoa sem ninguém que pudesse acessá-lo: vivo e trancado, o que é pior do que apagado. Nesse caso a Zeliane te explica isso e pede que você passe a responsabilidade para outra pessoa da família primeiro. Feito isso, ela apaga.

Sobre as cópias de segurança

O banco de dados guarda um retrato do passado recente, para o caso de uma falha nos derrubar. Depois que apagamos, esse retrato ainda contém o que era seu por um tempo, e ele não é usado para mais nada além de recuperar o serviço de um desastre. Nos comprometemos a que ele não contenha mais os seus dados em até 30 dias, contados do pedido.

Seus direitos

A LGPD te dá direito a: confirmar que tratamos seus dados; acessá-los; corrigir o que estiver errado; pedir anonimização, bloqueio ou eliminação; levar seus dados para outro serviço; saber com quem compartilhamos; retirar o consentimento; e revisar decisão automatizada.

Para exercer qualquer um, fale com a gente pelo WhatsApp da Zeliane ou pelo e-mail abaixo. Respondemos em até 15 dias. O de eliminação você exerce sozinha, sem esperar por nós: está descrito acima.

Como protegemos

Não é lista de intenção: é o que está implementado e testado:

• Isolamento entre famílias no próprio banco de dados, e não apenas no código. Uma consulta que esquecesse o filtro devolveria vazio, não o dado de outra pessoa.
• Acesso mínimo: a aplicação conecta com um usuário de banco que não pode criar nem apagar estrutura, e não pode reescrever a trilha de auditoria.
• Conexões cifradas com verificação de certificado.
• Códigos de acesso e tokens nunca guardados em texto: só o resumo criptográfico.
• Dado sensível nunca aparece em log, nem em mensagem de erro.
• Trilha de auditoria de quem registrou ou alterou o quê.
• Varredura automática de segurança a cada mudança de código.

Nenhum sistema é 100% seguro. Se houver incidente com risco relevante, avisamos você e a ANPD, como a lei manda.

Mudanças nesta política

Avisamos pelo WhatsApp antes de qualquer mudança relevante entrar em vigor. Guardamos a versão que você aceitou.

Falar com a gente

E-mail: contato@zeliane.com.br · Encarregado (DPO): Gustavo Paulino Cruz, contato@zeliane.com.br

Você também pode reclamar à ANPD, em gov.br/anpd.