Aviso de privacidade

• Os dados clínicos das suas pacientes são seus, não nossos: você é a controladora, nós somos operadores e tratamos esses dados seguindo as suas instruções.
• Não vendemos dados, não fazemos publicidade com eles e não usamos dados clínicos para treinar modelos de inteligência artificial.
• Cada consultório é isolado no banco de dados: uma profissional não alcança os dados de outra.
• A inteligência artificial só recebe dados de uma paciente quando você aciona um rascunho, e tudo o que ela produz nasce como rascunho.
• A exportação dos dados de uma paciente e a exclusão definitiva estão em Configurações, na sua mão, sem pedido nem espera — com as limitações que a seção 9 descreve.
• Só usamos cookies de sessão. A análise de uso (PostHog) registra quais telas do Dula Pro você abre — nunca o que está nelas, nunca dados de paciente. Não há publicidade.
• Este resumo não substitui o texto abaixo; ele só diz por onde começar.

O Dula Pro é operado pela equipe que desenvolve o Dula, produto brasileiro de nutrição materna. Este aviso segue a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018). A identificação completa do responsável (razão social e CNPJ a definir) será incluída na versão revisada deste aviso.

Há dois papéis diferentes aqui, e a diferença muda tudo o que vem depois:

• Sobre os seus dados de nutricionista — cadastro, CRN, contato, uso do sistema — nós somos os controladores.
• Sobre os dados das suas pacientes — tudo o que você registra no atendimento — você é a controladora e nós somos apenas operadores, tratando esses dados por sua conta e seguindo as suas instruções.

Nem sempre o Dula será controlador, portanto. O que fazemos como operador — quais instruções seguimos, com quem subcontratamos, como ajudamos você a responder às suas pacientes — está no anexo de tratamento de dados.

O aplicativo Dula, usado pelas mães no celular, é um produto separado, com termos e aviso de privacidade próprios. Naquele tratamento o Dula é o controlador e a mãe é a titular; os registros dela só chegam até você mediante autorização dela, permissão por permissão, revogável a qualquer momento.

Do seu cadastro profissional: nome, e-mail, telefone, CPF ou CNPJ, CRN e UF do registro, declaração de status no e-Nutricionista, endereço do consultório, chave Pix e dados de faturamento que você preencher, a data e a hora em que você aceitou os termos, além de registros técnicos de acesso e de auditoria (quem fez o quê e quando).

Das suas pacientes, inseridos por você: identificação e contato, fase da gestação, dados clínicos e antropométricos, exames, registros alimentares, planos, orientações, mensagens e documentos anexados; fotos de acompanhamento, quando você as registra com o consentimento dela; arquivos que você importa de outros sistemas; o registro dos consentimentos, incluindo o TCLE; e o registro das mensagens que você envia a ela pelo sistema. Esses são dados pessoais sensíveis (dados referentes à saúde, LGPD art. 5º, II), e é por isso que quase tudo neste aviso é mais restritivo do que precisaria ser.

Quando a paciente também usa o aplicativo Dula no celular, os registros que ela faz por lá só chegam até você mediante autorização dela, permissão por permissão, e ela pode revogar qualquer uma delas quando quiser.

Dos pedidos de contato feitos pelo aplicativo: se uma gestante pedir uma nutricionista, você vê apenas a fase e o tempo de espera. Ao assumir o pedido, passa a ver o nome, o e-mail e o texto que ela escreveu — e passa a ser controladora desses dados.

De terceiros, quando você os registra: ao anotar dados do parceiro, do bebê ou de um familiar no prontuário de uma paciente, esses dados também passam a ser tratados aqui — sob a sua responsabilidade como controladora, com a mesma proteção dos demais.

Não coletamos dados de navegação para fins de perfil, não usamos ferramentas de análise de comportamento e não compramos listas.

• Criar e manter a sua conta e o seu consultório — execução do contrato (LGPD art. 7º, V). Exemplo: guardar o seu CRN para identificar quem assina os documentos.
• Verificar o seu registro profissional e cumprir as normas do conselho — execução do contrato (art. 7º, V) e legítimo interesse na integridade do serviço (art. 7º, IX). Exemplo: registrar a sua declaração de status no e-Nutricionista, conforme a Resolução CFN 760/2023.
• Permitir que você registre, acompanhe e documente o atendimento — tutela da saúde, em procedimento realizado por profissional de saúde (art. 11, II, “f”), ou consentimento específico e destacado da titular (art. 11, I). Exemplo: guardar o prontuário e o plano alimentar que você escreve. Definir e registrar a base aplicável é responsabilidade sua como controladora, e o TCLE é parte disso.
• Gerar e assinar os seus documentos — execução do contrato e tutela da saúde. Exemplo: uma solicitação de exames com assinatura eletrônica avançada e manifesto de integridade.
• Preparar rascunhos por inteligência artificial — execução do contrato, sempre por acionamento seu, dentro da relação de tutela da saúde. Exemplo: uma proposta de avaliação integrada que só vale depois da sua revisão (Resolução CFN 856/2026).
• Manter a segurança e a trilha de auditoria — exercício regular de direitos (art. 11, II, “d”) quanto aos registros das suas pacientes, tratados por sua conta, e legítimo interesse (art. 7º, IX) quanto aos seus próprios acessos. Exemplo: registrar quem exportou ou excluiu dados de uma paciente, sem guardar o conteúdo.
• Entender como o Dula Pro é usado e melhorá-lo — legítimo interesse (art. 7º, IX), restrito à navegação da sua própria conta. Exemplo: saber quais telas são mais abertas e em que passo o cadastro trava. Nenhum dado de paciente entra nessa análise; a seção 5 diz exatamente o que a ferramenta recebe.
• Falar com você sobre o serviço — execução do contrato. Exemplo: avisar sobre manutenção, mudança de termos ou um incidente. Comunicação de marketing, se existir um dia, será separada, opcional e com descadastramento em um clique — e nunca usará dados clínicos das suas pacientes.

• vender, alugar ou ceder dados a quem quer que seja;
• usar dados clínicos das suas pacientes para publicidade, para construir perfis comerciais ou para treinar modelos de inteligência artificial;
• usar a trilha de auditoria ou os registros de segurança para outra finalidade que não a segurança e a prova;
• transformar os seus dados clínicos em base de estudo, ranking ou comparação entre profissionais;
• enviar mensagens às suas pacientes por conta própria: quem fala com elas é você.

Apenas com os fornecedores necessários para o sistema funcionar, todos atuando como operadores, recebendo só o que a tarefa exige e obrigados a confidencialidade:

• Supabase (Estados Unidos) — banco de dados, autenticação e armazenamento de arquivos. É onde os dados ficam guardados, o tempo todo. A região em que o banco fica hospedado será indicada na versão revisada deste aviso.
• Vercel (Estados Unidos) — hospedagem e entrega da aplicação web. Recebe o tráfego das páginas enquanto você usa o sistema.
• PostHog (Estados Unidos) — análise de uso do Dula Pro. Recebe o identificador interno da sua conta e do seu consultório, o seu perfil de acesso (nutricionista), o endereço de cada tela que você abre — sem os parâmetros de busca e com os identificadores de registros substituídos por uma máscara, de modo que não é possível saber qual paciente, plano ou documento foi aberto —, o navegador, o aparelho e o endereço IP de onde acessa. Não recebe o seu nome nem o seu e-mail, não lê o conteúdo das telas, não grava a sessão e não recebe nada das suas pacientes: a página do link da paciente não envia evento algum. As chamadas passam pelo nosso próprio servidor antes de chegar ao fornecedor.
• Resend (Estados Unidos) — envio dos e-mails de acesso e de redefinição de senha; recebe o seu e-mail e o link de redefinição.
• Anthropic (Estados Unidos) — o modelo de linguagem por trás dos rascunhos. Para a proposta de Selo recebe apenas dados de alimentos e composição nutricional. Quando você aciona um rascunho sobre uma paciente — rascunho de plano, resumo da paciente, avaliação integrada, metas, reescrita de um texto seu ou leitura de um documento que você importou —, recebe os dados clínicos necessários à tarefa, incluindo o nome dela e, na importação, o próprio arquivo como você o enviou. O rascunho de questionário não envia dados de paciente. Gatilho: uma ação sua, nunca automática. Cada envio fica registrado com o modelo usado. Conforme os termos comerciais contratados, o fornecedor não usa os dados enviados para treinar modelos e os retém apenas pelo período de segurança previsto nesses termos.
• Meta (WhatsApp Business) (Estados Unidos) — somente se o envio de mensagens por WhatsApp estiver ativado na sua conta e você tiver registrado o consentimento da paciente: recebe o número dela e o texto da mensagem que você mandou enviar, e devolve as respostas dela e as confirmações de entrega. Sem essa ativação, nenhuma mensagem sai do sistema — hoje esse canal está em ambiente de testes e não envia nada para fora.
• Expo (Estados Unidos) — quando a paciente usa o aplicativo Dula, os avisos no celular dela — a entrega de um conteúdo, um lembrete, um recado do consultório — passam pelo serviço de notificações da Expo, que recebe o identificador do aparelho e o texto do aviso. Esse texto é fixo e nunca carrega conteúdo clínico, nome ou número.
• ViaCEP (Brasil) — consulta pública de CEP feita pelo seu navegador no cadastro, com o CEP do consultório e nada mais.

Algumas funcionalidades estão construídas mas desativadas, sem chaves e sem fornecedor contratado — a transcrição de áudio de anamnese (cujo endpoint padrão é o da OpenAI), a busca de estabelecimentos por localização, a sincronização com o Google Agenda e o vídeo da teleconsulta. Enquanto estiverem assim, nenhum dado sai por elas. Antes de ativar um novo fornecedor que receba dados das suas pacientes, avisaremos você com pelo menos 30 dias de antecedência. Se você não concordar, poderá exportar tudo e encerrar a conta sem custo.

Fora isso, só compartilhamos dados por determinação legal ou judicial — e informamos você quando a lei permitir.

Os fornecedores acima, com exceção do ViaCEP, processam dados nos Estados Unidos, o que caracteriza transferência internacional (LGPD art. 33). A hipótese aplicável é a das cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024).

A incorporação dessas cláusulas aos contratos com os fornecedores nos Estados Unidos ainda não foi concluída e é uma pendência desta revisão. A versão revisada deste aviso trará a situação de cada fornecedor.

Os dados trafegam e ficam armazenados com criptografia. O acesso é isolado por consultório: as regras de segurança do próprio banco de dados impedem que uma profissional leia dados clínicos de outra. As alterações sensíveis — publicações, exclusões, exportações, consentimentos, aberturas do link da paciente — ficam registradas na trilha de auditoria; a simples leitura de um prontuário, hoje, não gera registro. Fotos e documentos clínicos só são lidos por endereços assinados e temporários; nunca ficam em pastas públicas. Uma solicitação de exame assinada não muda mais; um plano ou um registro de prontuário pode ser reaberto para correção, e cada nova publicação recebe uma nova assinatura. A sua senha é guardada apenas em forma cifrada, não reversível: nem nós conseguimos lê-la, e é por isso que uma senha esquecida se redefine em vez de ser informada.

Sobre o acesso da nossa equipe, a verdade inteira: existe um perfil administrativo, usado pela equipe para suporte e operação, que pode ler e alterar dados em qualquer consultório. Ele é concedido ao menor número possível de pessoas, todas sujeitas a dever de confidencialidade. Só as ações feitas pelo próprio sistema ficam na trilha de auditoria; um acesso direto ao banco de dados não gera registro hoje. Dizemos isso porque é verdade e porque é uma pendência desta revisão.

O Dula Pro usa apenas os cookies necessários para manter a sua sessão autenticada. A análise de uso descrita na seção 5 não usa cookie: o identificador anônimo fica no armazenamento local do navegador, sob o nosso próprio domínio. Não há cookies de publicidade nem de terceiros, e por isso não existe banner de consentimento a negociar com você.

Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos você e a Autoridade Nacional de Proteção de Dados (ANPD) nos termos do art. 48 da LGPD, no prazo da regulamentação da ANPD — hoje, três dias úteis contados do conhecimento do incidente (Resolução CD/ANPD nº 15/2024). A comunicação trará o que aconteceu, quais dados foram afetados, o que fizemos e o que você precisa saber para avisar as suas pacientes, já que a comunicação às titulares cabe a você, como controladora.

Guardamos cada dado pelo tempo necessário à finalidade que o justifica, e o critério é sempre o mesmo: o prazo da lei, quando existir; o prazo que você definir como controladora; ou, na falta dos dois, o tempo em que o dado ainda serve ao atendimento.

• Prontuário e documentos clínicos — a guarda do prontuário por 20 anos a contar do último registro é dever seu (Resolução CFN 594/2017; Lei 13.787/2018, art. 6º). O sistema não apaga esses registros, mesmo em um pedido de exclusão.
• Demais dados das suas pacientes — enquanto a sua conta existir e você os mantiver aqui. A retenção é sua decisão.
• Arquivos importados de outros sistemas — lidos para a extração e descartados na mesma operação; um arquivo que fique para trás é apagado em até sete dias.
• Registros de acesso à aplicação — não guardamos endereços de IP no nosso banco de dados. Os registros de acesso existem nos provedores de hospedagem pelo prazo padrão deles; a guarda de seis meses prevista no Marco Civil da Internet (art. 15) está sendo configurada e é uma pendência desta revisão.
• Trilha de auditoria — mantida enquanto o consultório existir, porque é ela que prova o que foi feito. Ela registra atos, não conteúdo clínico.
• Seus dados de cadastro — enquanto a sua conta existir e, depois do encerramento pelo canal de contato, por pelo menos 60 dias para que você possa exportar tudo. Em seguida os eliminamos manualmente, guardando apenas o necessário para cumprir obrigações legais; não há hoje uma rotina automática para isso.

A exclusão definitiva de uma paciente, pedida por você em Configurações, apaga permanentemente os dados dela e não pode ser desfeita: apaga os arquivos clínicos, as fotos e as mensagens. Documentos que você importou de outros sistemas são apagados pela rotina de limpeza em até sete dias. Uma exceção, e ela é uma obrigação legal, não uma conveniência nossa: se houver registros de prontuário, esses registros e a prova do consentimento são preservados pelo prazo do conselho, e o cadastro da paciente é anonimizado em vez de excluído, para que os registros retidos não fiquem soltos. A trilha de auditoria guarda que a exclusão aconteceu e o que foi retido, sem guardar o conteúdo.

Sobre os seus próprios dados, você pode nos pedir a qualquer momento (LGPD art. 18):

• confirmação de que tratamos dados seus e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade a outro fornecedor, mediante requisição expressa;
• eliminação dos dados tratados com o seu consentimento, salvo as hipóteses de guarda do art. 16;
• informação sobre com quem compartilhamos dados seus e sobre a possibilidade de não consentir, com as consequências disso;
• revogação do consentimento, quando for essa a base do tratamento;
• revisão de decisões automatizadas que afetem os seus interesses — e, hoje, não há no Dula Pro nenhuma decisão tomada apenas por máquina sobre você.

Basta escrever para o canal de contato (e-mail de contato a definir). Respondemos pelo mesmo canal por onde o pedido chegou, imediatamente em forma simplificada ou, quando o pedido exigir análise, em até 15 dias (LGPD art. 19). Mesmo em caso de negativa, informaremos os motivos. Você também pode reclamar à ANPD.

Sobre os dados das suas pacientes, os pedidos das titulares devem ser dirigidos a você, que é a controladora. Para que você possa atendê-los sem depender de nós, o Dula Pro tem, em Configurações, a exportação dos dados de uma paciente, a exportação de todo o consultório e a exclusão definitiva. Se um pedido de paciente sua chegar diretamente a nós, avisaremos você e o encaminharemos, sem responder por você.

A exportação em Configurações traz os dados da paciente em JSON, com exceção dos registros de prontuário, da antropometria e de alguns registros auxiliares; para esses, peça pelo canal de contato enquanto a exportação não os inclui.

Para encerrar a sua própria conta, escreva pelo mesmo canal. Antes disso, exporte o que é seu: depois do encerramento, os dados ficam disponíveis por pelo menos 60 dias e então são eliminados manualmente, com as exceções da seção 8.

Canal para questões de privacidade e para o encarregado pelo tratamento de dados pessoais (LGPD art. 41): e-mail de contato a definir. Respondemos em dias úteis. Este aviso ainda passará por revisão jurídica; a versão revisada trará o nome do encarregado e a identificação completa do controlador.

Sobre as regras de uso do sistema, leia também os termos de uso e o anexo de tratamento de dados.

Mudanças relevantes neste aviso serão comunicadas dentro do sistema antes de valerem. A data no topo identifica a versão que você leu.

• 1º de setembro de 2026 — primeira versão.
• 3 de setembro de 2026 — correção da descrição do fluxo de inteligência artificial (quais dados o fornecedor recebe e em que gatilho), detalhamento de segurança, cookies, acesso da equipe, incidentes, prazos de retenção e publicação do anexo de tratamento de dados.
• 4 de setembro de 2026 — inclusão da análise de uso (PostHog): finalidade e base legal na seção 3, o que o fornecedor recebe na seção 5, cookies na seção 7.