Política de Privacidade.

Controladora: AMPARUS SERVIÇOS LTDA, inscrita no CNPJ sob o nº 69.015.653/0001-40, com sede na Rua Amancio Valente, 1705, Sala 04, Cambeba, Fortaleza, Ceará, CEP 60822-155. "Amparus" é o nome do aplicativo e do serviço prestados por ela, e é assim que este documento se refere à empresa.

Encarregado pelo Tratamento de Dados (DPO): Gustavo Autran. Contato: dpo@amparus.app

Vigência: a partir de 16/10/2026. Versão: 1.4.2

Nesta página

1. Introdução

A Amparus (a “Amparus”, “nós”) leva a sério a sua privacidade. Esta Política de Privacidade (a “Política”) explica, de forma transparente, como coletamos, usamos, compartilhamos, armazenamos, protegemos e eliminamos dados pessoais quando você utiliza o aplicativo e os serviços Amparus (os “Serviços”). Tratamos dados pessoais em conformidade com a Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (a “LGPD”), e demais normas aplicáveis.

A Amparus organiza e acompanha o cuidado de uma pessoa idosa, em casa ou numa organização de cuidado, reunindo família, cuidador, profissional de saúde e, quando houver, a organização que a atende, em um mesmo lugar. A Amparus não é prontuário médico, não é serviço de emergência e não substitui a avaliação de um profissional de saúde.

Recomendamos a leitura integral desta Política, em conjunto com os Termos de Uso. Ao utilizar os Serviços, você declara estar ciente das práticas aqui descritas.

2. A quem esta Política se aplica

Esta Política se aplica a todas as pessoas que se relacionam com os Serviços, com as particularidades indicadas em cada seção:

• Família responsável: a pessoa que cria, administra a conta e acompanha o cuidado.
• Pessoa idosa: a pessoa cuidada, titular dos dados de saúde organizados na plataforma.
• Cuidador, profissional ou familiar: quem registra a rotina e o dia a dia do cuidado.
• Médico parceiro: profissional cadastrado que recebe o sumário pré-consulta no ambiente Amparus.
• Médico não cadastrado: profissional que recebe, fora da plataforma, um sumário que você exporta.
• Organização de cuidado e gestores: a instituição de longa permanência para idosos (ILPI) ou a empresa de atenção domiciliar (home care) que usa a Amparus, e as pessoas que ela autoriza a usar o aplicativo em nome dela (seção 27).
• Equipe da organização: cuidadores e profissionais de saúde que a organização convida para acompanhar as pessoas que ela atende (seção 27.3).

3. Definições

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre saúde, entre outros. A maior parte do que a Amparus trata é dado de saúde, com proteção reforçada (art. 11 da LGPD).
• Titular: a pessoa a quem os dados se referem.
• Controlador: quem decide como e por que os dados são tratados. Em regra, a Amparus é controladora dos dados criados na plataforma.
• Operador: quem trata dados seguindo as instruções do controlador, como os provedores de tecnologia que nos apoiam.
• Tratamento: toda operação com dados pessoais, como coleta, uso, armazenamento, compartilhamento e eliminação.

4. Origem dos dados

Coletamos dados de diferentes origens:

• Fornecidos por você: no cadastro e ao longo do uso, incluindo dados que você insere sobre a pessoa idosa.
• Fornecidos pela pessoa idosa: quando ela responde diretamente, pelo próprio aparelho, ou quando o cuidador registra em nome dela.
• Fornecidos pelo cuidador: ao registrar a rotina e o dia a dia.
• Fornecidos por uma organização de cuidado: no cadastro dela e das pessoas que ela atende, e ao longo do uso, pela gestão e pela equipe dela (seção 27).
• Documentos que você anexa: como exames de saúde e, entre os documentos da pessoa, identidade, contrato de cuidado e laudos.
• Calculados pelo próprio serviço: por exemplo a presença na escala de uma organização e o atraso de início de um turno, calculados a partir dos turnos registrados (seção 27.3).
• Provedores de login: se você optar por entrar com Google ou Apple, recebemos nome, e-mail e um identificador da conta, mediante a sua autorização. A seção 15.1 detalha o que eles ficam sabendo em troca.
• Confirmação do seu telefone: quando você cria a conta pelo telefone ou recupera a senha por ele, enviamos um código por WhatsApp. A seção 15.2 explica o que a Meta, dona do WhatsApp, fica sabendo nesse envio.
• Coletados automaticamente: metadados técnicos do dispositivo e do uso dos Serviços.

5. Dados que tratamos

5.1 Dados de cadastro e identificação

Nome, telefone (WhatsApp), e-mail, senha, relação com a pessoa cuidada e papel no cuidado, de família, cuidador, médico e gestor de organização de cuidado. Você pode criar a conta com e-mail ou com telefone: quem se cadastra pelo telefone confirma o número com um código enviado por WhatsApp, e pode não ter e-mail nenhum guardado aqui. O mesmo código por WhatsApp serve para recuperar a senha. Se você entrar com Google ou Apple, recebemos deles apenas o seu nome, o seu e-mail e um identificador da sua conta, como detalha a seção 15.1.

Da organização de cuidado, tratamos o nome, o tipo (ILPI ou home care) e o CNPJ, e, de cada gestor, os dados de cadastro acima e o papel na organização (seção 27.1).

5.2 Dados da pessoa idosa

Nome, foto (opcional), sexo, data de nascimento ou idade, cidade, forma de tratamento, com quem mora, grau de autonomia no dia a dia e capacidade de uso do celular.

Nome da mãe. Guardamos pensando no dia em que a Amparus precisar trocar informações com sistemas públicos de saúde, como o Cartão Nacional de Saúde: nome e data de nascimento sozinhos não bastam para confirmar que a pessoa é a mesma dos dois lados, e o nome da mãe é o campo que resolve isso. Essa troca ainda não acontece: por enquanto o dado apenas fica guardado. Não consultamos nenhum órgão com ele, não o usamos para conferir identidade dentro do aplicativo e não o compartilhamos. Se você preferir não informar, o cadastro segue normalmente.

Como ela participa das decisões. Perguntamos se a pessoa idosa consegue, hoje, entender e decidir sobre o compartilhamento das informações de saúde dela, e se existe curatela, tomada de decisão apoiada ou procuração. É uma pergunta de fato, que pode mudar com o tempo, e você pode corrigir a resposta quando quiser. Ela não define do que a pessoa é capaz. Define como organizamos o cuidado das informações dela, e o que fica desligado por padrão.

Documentos da pessoa. A família ou a organização de cuidado pode anexar documentos da pessoa idosa, como documento de identidade, contrato de cuidado, laudos e outros anexos (seção 27.6). Um laudo é também dado de saúde (seção 5.3).

5.3 Dados de saúde e de cuidado (sensíveis)

No acompanhamento do cuidado, tratamos, entre outros:

• Acompanhamento diário e autoavaliação: humor, sono, dor, energia, apetite, solidão, ansiedade, memória, falta de ar e bem-estar geral, respondidos pela pessoa idosa ou por quem a acompanha.
• Rotina registrada pelo cuidador: medicações, alimentação, hidratação, evacuações, higiene, qualidade do sono observada e observações do dia.
• Registro por voz: quando quem cuida usa o botão de voz para registrar o dia, o que ela fala enquanto segura o botão, conforme o quadro ao fim desta seção e a seção 14.
• Atividades e momentos do dia a dia: por exemplo leitura, caminhadas e outras atividades, além de fotos que você adiciona ao acompanhamento.
• Sinais e medidas: sinais vitais e outras medidas que você optar por registrar.
• Eventos de saúde: descritos por família, cuidador ou médico.
• Exames anexados: documentos clínicos que você envia (upload).
• Laudos e outros documentos de saúde anexados aos documentos da pessoa, pela família ou pela organização de cuidado.
• Agenda de compromissos: consultas, exames, vacinas e compromissos pessoais que você marca, com data, horário, local, observações e, na consulta, com quem ela é. Quando o profissional já está na rede de cuidado, guardamos o vínculo com o cadastro dele, e não uma cópia do nome; quando ele está fora da rede, guardamos o nome que você digitou, cifrado, e apenas nesse compromisso.
• Qualquer outra informação que você decida adicionar sobre o cuidado ou a saúde da pessoa idosa.

5.4 Dados de uso, registro e prova

Cada registro guarda a sua origem (quem registrou) e o horário do servidor. Tratamos também a trilha de auditoria dos acessos ao dado e metadados técnicos. Não capturamos a localização de ninguém. Quando uma organização de cuidado usa a Amparus, tratamos também os dados de trabalho da equipe dela, descritos na seção 27.3.

5.5 Resumos gerados com inteligência artificial

A partir dos dados acima, geramos resumos com apoio de inteligência artificial, como o resumo periódico do cuidado e o sumário pré-consulta, conforme a seção 14.

5.6 Dados de pagamento

Hoje não cobramos pelos Serviços, e por isso não tratamos nenhum dado de pagamento. Quando passarmos a cobrar, avisaremos você antes e atualizaremos esta Política: trataremos os dados necessários à contratação apenas para essa finalidade, o pagamento será processado por parceiro especializado e a Amparus não armazenará os dados completos do cartão.

6. Finalidades, bases legais e prazos de retenção

A tabela abaixo resume os principais tratamentos. As particularidades de cada tema estão detalhadas nas seções seguintes.

Uma observação sobre a base legal do dado de saúde. A LGPD trata dado de saúde em um artigo próprio, o art. 11, e esse artigo não tem a hipótese de execução de contrato. Por isso o que sustenta o registro do cuidado é o seu consentimento específico e destacado, e não o contrato. E é por isso que ele pode ser retirado, com as consequências que descrevemos na seção 20.

7. Dados pessoais sensíveis de saúde e o seu consentimento

Dado de saúde é dado pessoal sensível e recebe proteção reforçada (art. 11 da LGPD). No cadastro, apresentamos seus acordos em itens separados, e cada um é uma escolha independente. São seis: o aceite dos Termos de Uso e desta Política; a autorização específica para a Amparus registrar e organizar os dados de saúde da pessoa idosa, apenas para o cuidado dela; a sua declaração de que tem autorização para cuidar desses dados e de que vai manter a pessoa informada; o reconhecimento de que a Amparus não é serviço de emergência; a autorização específica para guardar e processar as informações fora do Brasil (art. 33, VIII); e, opcional, a autorização para gerar resumos com inteligência artificial.

Ao lado de cada item dizemos o que acontece se você não der aquele acordo. A lei nos obriga a informar isso antes, e não depois (art. 9º, §3º e art. 18, VIII). Os cinco primeiros são condição para a conta existir. O sexto é opcional e vem desligado: se você não ligar, tudo o mais continua funcionando e você apenas não recebe os resumos automáticos.

Nem todos esses itens são consentimento, e por isso nem todos podem ser retirados. A declaração de que você tem autorização é uma afirmação de fato: ela se corrige, não se retira. O reconhecimento de que a Amparus não é emergência é um aviso que você leu: não há como desconhecê-lo. Na tela Meus acordos, só aparece botão de retirar naquilo que é, de fato, consentimento.

Quando quem cadastra a pessoa idosa é uma organização de cuidado, a gestão vê itens próprios, também separados, e os registra em nome da organização, declarando que tem a autorização da pessoa ou de quem responde por ela. Entre eles está a declaração de acesso ao contato dos familiares, que é opcional, como a de inteligência artificial. A seção 27.4 explica quem pode retirar esses itens e o que acontece quando são retirados.

Importante. Essa autorização é limitada ao cuidado. Qualquer uso diferente, por exemplo estudos sobre a saúde das pessoas acompanhadas, treino de modelos ou compartilhamento de base de dados, depende de consentimento separado e específico, que pediremos à parte. Você pode revogar consentimentos a qualquer momento (seção 20).

8. Conta criada e administrada por um familiar

Na maioria dos casos, um familiar cria e administra a conta da pessoa idosa. Isso é possível sem o envio de documentos, mas com responsabilidades. Quando quem cadastra a pessoa é uma organização de cuidado, valem as regras da seção 27.

8.1 Declaração de autorização

Ao criar a conta, o familiar declara que está autorizado pela pessoa idosa, quando ela é capaz, ou que é seu representante legal ou responsável pelo cuidado, quando ela não pode decidir por si. Essa declaração é uma garantia de quem a presta. A Amparus pode solicitar comprovação em caso de dúvida ou conflito.

8.2 Pessoa idosa capaz

A pessoa idosa capaz é a titular dos seus próprios dados. O familiar transmite o consentimento dela e compromete-se a mantê-la informada. Quando a pessoa idosa passa a ter acesso próprio ao aplicativo, é ela quem decide sobre os seus dados. Em caso de divergência sobre os dados dela, prevalece a vontade da pessoa idosa capaz.

8.3 Pessoa idosa que não pode decidir por si

Quando há incapacidade, o consentimento é dado pelo representante legal. Ainda que não exista representação formal, as funções essenciais de cuidado e de segurança permanecem amparadas pela proteção da vida e da incolumidade física (art. 11, II, 'e' da LGPD), que não depende de consentimento. A Amparus jamais presume incapacidade pela idade ou pela fragilidade da pessoa.

9. Autonomia da pessoa idosa

Tratamos a pessoa idosa com respeito à sua autonomia e à sua dignidade. Ela tem direito de ser informada, de acessar seus dados, de decidir o que compartilha e de se opor a tratamentos, nos termos da seção 20. Hoje a pessoa idosa não tem acesso próprio ao aplicativo: quem opera a conta é a família, com o apoio do cuidador, ou, quando uma organização de cuidado administra a rede, a gestão dela. Por isso ela exerce esses direitos por meio de quem administra a rede ou escrevendo diretamente para dpo@amparus.app, e nós atendemos sem exigir que o pedido passe pela família ou pela organização.

10. O cuidador

O cuidador registra a rotina e o dia a dia. A Amparus é apenas a ferramenta que ele e a família utilizam para documentar o cuidado. Não existe entre a Amparus e o cuidador qualquer relação de emprego, subordinação ou fiscalização. O registro de quem fez cada anotação e do horário serve como memória do cuidado e como garantia para os dois lados.

A Amparus não captura a localização do cuidador e não faz rastreamento, contínuo ou pontual. O cuidador é titular de direitos sobre os próprios dados, nos termos da seção 20.

Quando o cuidador faz parte da equipe de uma organização de cuidado, a gestão dela vê a escala, a presença, os atrasos de início, as faltas e a quantidade de registros dele, como descreve a seção 27.3. A relação de trabalho é entre ele e a organização, e a Amparus não é parte dela.

11. Visibilidade entre usuários

Quando uma organização de cuidado administra a rede de uma pessoa, quem define quem entra e o que cada um pode ver é a gestão da organização, enquanto o vínculo durar, e a família continua acompanhando o cuidado. A seção 27.2 explica quando isso acontece, e a tabela abaixo resume o que a organização vê. Os parágrafos a seguir descrevem a rede que a família administra.

O responsável define quem entra na rede de cuidado e o que o cuidador pode ver, e cada acesso ao dado fica registrado. Entre os familiares não há níveis: quem é convidado para a rede de uma pessoa idosa acompanha e registra o cuidado dela por inteiro. O que distingue o responsável é a administração (convidar, definir o acesso do cuidador, e remover quem sai), não o quanto ele enxerga.

O profissional de saúde é diferente do cuidador: não há como liberar parte do registro para ele. Quem entra na rede como profissional de saúde acompanha o acompanhamento por inteiro, porque um profissional que decide sobre um registro pela metade, sem saber que ele está pela metade, decide pior. A escolha, portanto, está no convite: você convida quem quer que acompanhe, e remove quando quiser, em Pessoas. Cada acesso dele fica registrado na trilha que você vê em Privacidade.

O profissional de saúde não vê os dados de contato de quem está na rede, com uma exceção: o nome, o e-mail e o telefone de quem é responsável ficam visíveis para ele, para que possa falar com alguém sobre o acompanhamento. Cada responsável decide isso sobre o próprio contato, em Permissões, e ninguém decide pelo outro. O compartilhamento começa ligado, e desligá-lo não afeta o restante do acompanhamento. Esse interruptor é a regra para o profissional de saúde. Para uma organização de cuidado, o que decide se o e-mail e o telefone dos familiares chegam à gestão é a declaração da própria organização, descrita na seção 27.5.

A agenda de compromissos segue a mesma lógica, com uma chave própria: o cuidador vê e marca os compromissos da pessoa idosa, e o responsável pode desligar isso para cada cuidador, em Permissões. Desligada, o cuidador deixa de ver a agenda, e continua vendo no dia o compromisso que ele precisa registrar, porque o registro do dia a dia é o trabalho dele. O profissional de saúde não acessa a agenda.

A visualização pela família existe porque a pessoa idosa consente nessa configuração, ou delega o controle à família. Se alguém deixa o círculo de cuidado, perde o acesso futuro, mas o histórico que gerou permanece, pois integra o registro da pessoa idosa, e a revogação de consentimento não retroage.

12. Dados de saúde mental

Alguns acompanhamentos tocam a saúde mental, por exemplo humor, ansiedade, memória e solidão. Parte desses acompanhamentos usa perguntas de instrumentos de rastreio reconhecidos na área da saúde. Eles servem para acompanhar tendências ao longo do tempo e apoiar a conversa com o médico, e nunca constituem diagnóstico. Hoje esse conteúdo é visível para quem tem acesso ao acompanhamento, conforme a seção 11.

Há uma exceção de segurança: diante de risco sério à vida ou à integridade da pessoa, podemos compartilhar a informação para protegê-la, com aviso de que isso ocorreu, com base na proteção da vida e da incolumidade física (art. 11, II, 'e').

13. Envio ao médico e exportação

13.1 Médico cadastrado

Quando você envia o sumário a um médico cadastrado, ele o recebe dentro do ambiente Amparus. A partir desse momento, esse médico passa a ser controlador independente da cópia que recebeu, e a trata conforme a política dele. A Amparus atua na transmissão.

13.2 Médico não cadastrado (exportação)

A família envia o sumário dentro do ambiente Amparus, ao médico cadastrado. Algumas funções levam informação para fora da plataforma: o profissional de saúde pode copiar um resumo do período para o prontuário dele, e a gestão de uma organização de cuidado pode gerar um relatório em PDF de uma pessoa (seção 27.7). A partir do momento em que a informação sai, ela deixa de estar sob o controle da Amparus, e a guarda e o compartilhamento passam a depender de quem a levou e dos controles do lugar para onde ela foi. No relatório em PDF, o aplicativo avisa isso no momento de gerar.

13.3 Trilha de auditoria

Os acessos ao dado pela família, pelo cuidador, pelo médico e pela gestão de organizações de cuidado ficam registrados, assim como os envios de sumário e as gerações de relatório. Você vê essa trilha no próprio aplicativo, em Privacidade (quando uma organização administra a rede, a gestão dela também a vê, na página da pessoa), e pode pedi-la a qualquer momento em dpo@amparus.app. O acesso da equipe da Amparus pelo painel interno, descrito na seção 15, não aparece nessa trilha: ele é registrado à parte, em um registro interno que guardamos por 180 dias. Os registros desta trilha também alimentam as métricas internas de uso descritas na seção 6.

14. Inteligência artificial e tratamento automatizado

A Amparus utiliza inteligência artificial para gerar resumos a partir dos dados da pessoa idosa, como o resumo periódico do cuidado e o sumário pré-consulta. A finalidade é organizar e apresentar a informação de forma útil para a família, para os cuidadores autorizados da rede de cuidado, para o profissional de saúde e, quando a pessoa é atendida por uma organização de cuidado e a autorização aceita os nomeia, para os gestores autorizados da organização (seção 27.8). Cada um lê conforme o próprio vínculo com a pessoa e as permissões aplicáveis.

Esse uso depende de uma autorização própria, separada das demais e opcional, que pode ser retirada a qualquer momento. Retirada, a geração e a leitura dos resumos param.

No registro por voz, a inteligência artificial também é usada para transformar a fala de quem cuida em texto e para organizar esse texto em sugestões de registro, como “almoço, comeu menos que o normal”. Cada sugestão aparece na tela, com o que foi entendido, para ser conferida, corrigida ou descartada. Se ninguém responder, ela é salva como foi entendida, e pode ser corrigida depois, como qualquer registro. Medicação, sinais vitais e avaliações nunca são registrados por voz: continuam sendo registrados à mão. Quando a fala é um pedido de socorro, o aplicativo mostra um botão para ligar para o SAMU, e a ligação é sempre feita pela própria pessoa.

Para gerar esses resumos, dados podem ser processados por provedores de tecnologia de inteligência artificial, que atuam como operadores, sob contrato e medidas de segurança, e tratam os dados exclusivamente para prestar o serviço à Amparus, conforme as nossas instruções, sem utilizá-los para finalidades próprias.

Importante. Os resumos gerados por inteligência artificial têm caráter informativo, organizam o contexto e não constituem diagnóstico nem substituem a avaliação médica. A leitura e a decisão clínica são sempre do profissional de saúde.

Esse tratamento automatizado não produz decisões com efeitos jurídicos ou que afetem significativamente os seus interesses. Ainda assim, você pode solicitar informações sobre os critérios utilizados e a revisão por pessoa natural, nos termos do art. 20 da LGPD.

15. Compartilhamento de dados com terceiros

Para funcionar, a Amparus usa fornecedores de tecnologia. Eles tratam os dados seguindo as nossas instruções, sob contrato e com medidas de segurança, e não podem usá-los para finalidades próprias. São eles:

A própria equipe da Amparus. Nossa equipe tem um painel interno usado para operar o serviço, dar suporte e acompanhar métricas. Por ele, a equipe enxerga nomes de pessoas cadastradas, a composição de cada rede de cuidado, os dados de contato de familiares e de cuidadores (e-mail e telefone) indicadores de uso de cada pessoa acompanhada (em que dias houve registro, quantas medicações estão ativas e o percentual de adesão a elas) e métricas de uso do aplicativo: o último acesso de cada conta, os dias com atividade e quantas vezes cada seção foi aberta, por papel. O contato aparece ali porque o suporte precisa conseguir falar com você. O CONTEÚDO dos registros não aparece no painel: nem as respostas de um acompanhamento, nem o texto de um exame, nem o nome de um remédio. Esse acesso é restrito ao necessário para operar e dar suporte, e cada leitura fica registrada internamente por 180 dias.

Pelo mesmo painel, a equipe vê os dados de cadastro das organizações de cuidado e de quem as gere, para atender denúncias e, quando necessário, suspender ou reativar uma organização, e recebe os pedidos de exclusão dos dados de uma pessoa, para analisá-los (seção 27).

Quando alguém denuncia um conteúdo ou uma organização de cuidado. A denúncia entra em uma fila que a nossa equipe lê, com o nome e o e-mail de quem denunciou e de quem foi apontado, e com o que a pessoa escreveu ao denunciar. Precisamos disso para responder em até 24 horas e falar com as duas pontas. Conferir o conteúdo denunciado, quando é necessário, é uma consulta à parte, feita por quem responde à denúncia.

Quando passarmos a cobrar. Um processador de pagamentos entrará nesta lista, e a Amparus não armazenará os dados completos do cartão. Eles ficam com o processador. Ainda não cobramos, então esse fornecedor ainda não existe e nenhum dado seu foi para ele. Vamos avisar você e atualizar esta seção antes que isso mude.

O que não fazemos. Não vendemos seus dados. Não usamos dado de saúde para publicidade. Não compartilhamos dado de saúde identificável para obter vantagem econômica (art. 11, §4º da LGPD), salvo nas situações que a própria lei permite para a prestação do cuidado, em benefício da pessoa cuidada. Podemos compartilhar dados com autoridades quando a lei exigir, no limite do necessário.

15.1 Entrar com Google ou Apple

Google e Apple são diferentes dos fornecedores acima, e por isso ficam fora daquela lista. Eles não tratam dados seguindo instruções nossas: operam o próprio serviço de identidade, sob os próprios termos e para as próprias finalidades. Entrar por eles é opcional, e o cadastro com e-mail e senha continua disponível.

O que recebemos deles: seu nome, seu e-mail e um identificador da sua conta no provedor. Nada além disso. Não recebemos e não pedimos seus contatos, sua agenda, suas fotos, sua localização nem o conteúdo de qualquer outro serviço.

O que eles ficam sabendo: que você tem conta na Amparus, e quando você entra. A Amparus é um aplicativo de cuidado de pessoa idosa, então essa informação sugere algo sobre a sua vida. Dizemos isso para que a escolha seja informada, não porque haja algo errado nela.

15.2 Confirmação do telefone por WhatsApp

Para confirmar que o telefone é seu, no cadastro e na recuperação de senha, enviamos um código pelo WhatsApp. Quem entrega essa mensagem é a Meta, dona do WhatsApp, e ela fica fora da lista de fornecedores acima pela mesma razão que o Google e a Apple: opera o WhatsApp sob os próprios termos, e não segue instruções nossas sobre o serviço dela.

O que a Meta recebe: o seu número de telefone e o texto da mensagem, que traz apenas o código de confirmação. Nunca vai nome de pessoa cuidada, informação de saúde ou qualquer registro de cuidado. O que ela fica sabendo: que esse número recebeu uma mensagem da Amparus, e quando. Esse envio só acontece se você escolher o caminho do telefone. Quem usa e-mail e senha, ou entra com Google ou Apple, não passa por ele. As mensagens são processadas fora do Brasil, e por isso a Meta também aparece no Aviso de Transferência Internacional de Dados.

16. Local de armazenamento e transferências internacionais

Os dados são guardados e processados nos Estados Unidos, na região us-east-1 da AWS, por meio da Supabase. Os resumos gerados com inteligência artificial também são processados nos Estados Unidos. Nenhuma informação sua esteve guardada no Brasil: testamos a região brasileira antes de lançar o aplicativo, quando ainda não havia nenhum usuário, e o aplicativo ficava lento demais para o dia a dia do cuidado. Por isso o serviço está nos Estados Unidos desde o começo.

Os Estados Unidos não têm decisão de adequação da Agência Nacional de Proteção de Dados. Por isso, essa transferência se apoia na sua autorização específica e em destaque, dada no cadastro, nos termos do art. 33, VIII da LGPD. Quando a pessoa idosa é cadastrada por uma organização de cuidado, essa autorização é registrada pela gestão, em nome da organização, que declara tê-la obtido da pessoa ou de quem responde por ela (seção 27.4).

Explicamos a transferência em detalhe, em linguagem simples, no Aviso de Transferência Internacional de Dados, como exige o art. 17, §2º da Resolução CD/ANPD nº 19/2024. Você pode retirar essa autorização a qualquer momento; nesse caso, não temos como continuar prestando o serviço, e encerramos a conta com 30 dias para você exportar tudo.

17. Segurança da informação

Adotamos medidas técnicas e organizacionais adequadas para proteger os seus dados, entre as quais:

• segregação entre dados de identificação e dados clínicos;
• criptografia em repouso e em trânsito;
• controle de acesso por papel e por escopo, de modo que cada pessoa veja apenas o que lhe cabe, com menor privilégio;
• trilha de auditoria dos acessos;
• práticas e testes de segurança contínuos.

Nenhum sistema é totalmente imune a riscos. Trabalhamos para reduzi-los e respondemos a incidentes conforme a seção 22.

18. Usos secundários e dados anonimizados

Medimos internamente o uso do aplicativo a partir dos registros de acesso e de uso descritos na seção 6. Essas métricas ficam ligadas à conta e ao papel de quem usa, servem para operar, dar suporte, proteger e melhorar os Serviços, são vistas só pela equipe da Amparus e não são vendidas, compartilhadas para publicidade nem usadas para rastrear você.

Outros usos além do cuidado direto, como estudos sobre a saúde das pessoas acompanhadas, treino de modelos ou compartilhamento de base, somente ocorrem com consentimento separado e específico ou com dados efetivamente anonimizados. Dado anonimizado, por não permitir identificar a pessoa, não é dado pessoal (art. 12 da LGPD). Quando anonimizarmos, aplicaremos anonimização robusta, e dado que possa ser reidentificado continua protegido. Não compartilhamos dado de saúde identificável para obtenção de vantagem econômica (art. 11, parágrafo 4º).

19. Tecnologias e identificadores

Para funcionar, o aplicativo pode utilizar identificadores do dispositivo, tokens de notificação e relatórios automáticos de falha e diagnóstico. Usamos essas tecnologias para operar os Serviços, garantir segurança e corrigir defeitos, e não para publicidade direcionada, nem com dado de saúde nem com qualquer outro dado.

Quando você usa a Amparus pelo navegador, guardamos no armazenamento local do próprio aparelho o que mantém você conectada, para não pedir a senha a cada abertura. Não usamos cookies de publicidade, não instalamos rastreadores de terceiros e o aplicativo não traz ferramenta de análise de terceiros. O uso do aplicativo é medido só pelos nossos próprios servidores, com os registros de acesso e de uso descritos na seção 6.

20. Direitos do titular

Você pode, a qualquer tempo, exercer os direitos previstos no art. 18 da LGPD:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• portabilidade dos seus dados a outro fornecedor, mediante requisição;
• eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses de guarda legal;
• informação sobre as entidades com as quais compartilhamos seus dados;
• informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• revogação do consentimento, a qualquer tempo, sem efeito sobre os tratamentos já realizados.

Para exercer seus direitos, escreva para o Encarregado pelo Tratamento de Dados em dpo@amparus.app. Respondemos o mais rápido que conseguirmos, e no máximo em 15 dias, que é o prazo do art. 19 da LGPD. Poderemos confirmar a sua identidade para proteger os seus dados.

Se uma organização de cuidado atende você, ou se você faz parte da equipe de uma, pode exercer seus direitos diretamente conosco, sem passar pela organização.

21. Retenção e eliminação

A Amparus organiza informações de cuidado e bem-estar, e não constitui prontuário médico. Por isso, não está sujeita ao prazo de guarda de prontuário, que recai sobre o profissional de saúde, nos sistemas dele.

Quando passarmos a cobrar pelo serviço, os dados de pagamento e os registros fiscais serão guardados pelos prazos que a lei tributária exigir. Vamos avisar você antes que isso mude.

22. Incidentes de segurança

Caso ocorra um incidente de segurança que possa acarretar risco relevante a você, adotaremos medidas de contenção e comunicaremos a ANPD e os titulares afetados, nos prazos e na forma previstos no Regulamento de Comunicação de Incidente de Segurança da ANPD.

23. Comunicações e marketing

Enviamos comunicações necessárias ao serviço, por exemplo avisos da conta e do cuidado. Comunicações de marketing, quando existirem, dependerão do seu consentimento, e você poderá cancelá-las a qualquer momento. No momento, não enviamos comunicações de marketing.

24. Crianças e adolescentes

Os Serviços destinam-se a adultos e ao cuidado de pessoas idosas. Não são direcionados a crianças ou adolescentes, e não coletamos intencionalmente dados de menores.

25. Alterações desta Política

Podemos atualizar esta Política. Quando a alteração for relevante, avisaremos por meios adequados. A versão vigente é sempre a publicada no aplicativo, com a data de vigência indicada.

26. Encarregado, contato e ANPD

O Encarregado pelo Tratamento de Dados (DPO) é Gustavo Autran, sócio-fundador da Amparus. É ele quem recebe as suas reclamações e pedidos, presta esclarecimentos e adota as providências, e é também quem recebe as comunicações da Agência Nacional de Proteção de Dados. Contato: dpo@amparus.app. Você também pode apresentar reclamação diretamente à Agência Nacional de Proteção de Dados (ANPD).

27. Organizações de cuidado (ILPI e home care)

Uma organização de cuidado, como uma instituição de longa permanência para idosos (ILPI) ou uma empresa de atenção domiciliar (home care), pode usar a Amparus para organizar o cuidado das pessoas que atende. Esta seção explica o que muda nesse caso. O que não está dito aqui segue o restante desta Política.

A Amparus continua sendo a controladora dos dados tratados na plataforma (seção 3). A organização responde pelas autorizações que declara ter e pelas obrigações legais que tem com as pessoas que atende, com as famílias e com a própria equipe. Os Termos de Uso trazem as regras de uso para organizações na cláusula 17.

27.1 A organização e a gestão

A organização usa a Amparus por meio de gestores: pessoas que ela autoriza a usar o aplicativo em nome dela, cada uma com a própria conta. Quem cadastra a organização é o primeiro gestor, e pode convidar outros.

• Da organização, tratamos o nome, o tipo (ILPI ou home care) e o CNPJ. O CNPJ é conferido pelos dígitos verificadores, sem consulta a órgão externo, e serve para identificar a organização e evitar cadastro duplicado.
• De cada gestor, tratamos os dados de cadastro da seção 5.1 (nome, e-mail, telefone e senha), o papel na organização, o aceite destes documentos, com a versão e a hora, e a Declaração da organização (seção 27.4). A data de nascimento informada no cadastro serve só para conferir a idade mínima e não é guardada.

27.2 ILPI e home care: o que a gestão pode fazer

A gestão acessa os dados de saúde e de cuidado das pessoas que a organização atende, na medida necessária ao cuidado. O alcance depende do tipo da organização e de quem cadastrou a pessoa:

• ILPI: administra a rede de cuidado de cada pessoa que atende, enquanto o vínculo durar. A gestão lê e registra o cuidado, configura medicamentos, rotina e plano de cuidado, administra os familiares e a agenda, anexa documentos e vê a trilha de acesso. Nesse período, o familiar responsável deixa de administrar a rede: ele continua acompanhando o cuidado, e a decisão sobre quem entra passa a ser da gestão.
• Home care que administra: quando o home care cadastrou a pessoa e ela não tem um familiar responsável, a gestão tem o mesmo alcance da ILPI.
• Home care que apenas atende: nos demais casos, a família administra a rede, e a gestão lê o que o cuidado precisa, inclusive os documentos, mas não registra, não configura o cuidado, não edita o cadastro da pessoa, não administra familiares, não mexe na agenda e não vê a trilha de acesso.

Quando registra, a gestão faz os mesmos registros de quem cuida: confirma uma dose ou registra que ela não foi tomada, registra os lembretes da rotina e a dose fora da rotina, e responde a avaliação diária, como a visão de quem cuida ou transcrevendo a resposta da própria pessoa. Esses registros levam o nome de quem os fez, marcado como gestão. A gestão não preenche o questionário geriátrico nem responde pela família. Se a organização for suspensa, se o vínculo dela com a pessoa terminar ou se a rede da pessoa estiver suspensa, a gestão e a equipe deixam de acessar os dados dessa pessoa por meio da organização.

27.3 A equipe e os dados de trabalho

A organização convida cuidadores e profissionais de saúde para a sua equipe. Quem entra passa a acompanhar as pessoas que a organização atende, com as regras de visibilidade da seção 11. Para organizar o cuidado, a gestão trata dados de trabalho da equipe:

• a escala: quem está escalado, em que dia e em que horário, e as observações que a gestão escreve no horário;
• a presença, calculada a partir dos turnos que a própria pessoa abre e fecha no aplicativo, com os horários de início e de fim;
• o atraso de início, calculado pela diferença entre o horário previsto na escala e a abertura do turno;
• as faltas que a gestão registra ou desfaz, com quem registrou, quando e a observação;
• os horários da escala em que ninguém abriu turno;
• quantos registros de cuidado cada pessoa da equipe fez no período.

A finalidade é a gestão operacional do cuidado: saber se cada pessoa atendida está coberta e se os registros estão em dia. A escala não é controle oficial de jornada de trabalho, a Amparus não é ponto eletrônico, e esses dados não são pontuação nem avaliação de desempenho. As obrigações trabalhistas da organização com a sua equipe continuam sendo dela.

A pessoa da equipe vê os próprios horários e as faltas registradas para ela, sem a observação da gestão. Pedimos à gestão que registre nas observações só o necessário para a escala, sem diagnóstico nem detalhes médicos. Se ainda assim uma observação citar a saúde de alguém da equipe, ela é dado sensível e recebe a proteção correspondente.

27.4 Declarações e autorizações registradas pela organização

No cadastro da organização, quem a cadastra declara que tem poderes para vinculá-la à Amparus e que a organização só cadastra pessoas e trata dados quando tem autorização, consentimento ou outra base legal aplicável, obtida da pessoa, de quem a representa ou de quem responde por ela. Cada gestor que entra por convite faz a mesma declaração.

Ao cadastrar cada pessoa, a gestão declara de novo, para aquela pessoa, que a organização tem essa autorização, e registra, em nome da organização, as autorizações do cadastro: o registro das informações de saúde, a transferência internacional (seção 16) e, se houver, os resumos com inteligência artificial e o acesso ao contato dos familiares. Cada registro guarda a organização, o gestor que o fez, a hora do servidor, a versão e uma impressão digital do texto aceito, e o histórico de retiradas e de reconfirmações.

Essas declarações são da organização, e ela responde por elas. A Amparus pode pedir a comprovação, e elas não substituem as obrigações legais da organização.

Retirar e reconfirmar. A gestão vê, retira e reconfirma as autorizações que a organização registrou, em Privacidade e autorizações, na página de cada pessoa. O que acontece quando uma delas é retirada:

• registro das informações de saúde ou transferência internacional: são as autorizações de que o vínculo depende, e a gestão e a equipe deixam de acessar a pessoa por meio da organização;
• resumos com inteligência artificial: a geração e a leitura dos resumos param;
• acesso ao contato dos familiares: o e-mail e o telefone deixam de chegar à organização.

O que a família registrou continua sendo da família: a gestão não retira nem sobrescreve uma decisão dela. A pessoa cuidada, a família ou quem a representa pode pedir a retirada de uma autorização à organização ou diretamente a nós, em dpo@amparus.app.

27.5 O contato dos familiares

A gestão vê o nome e o parentesco dos familiares da pessoa e quem entre eles é responsável. O e-mail e o telefone de cada familiar só chegam à organização quando ela declara, para aquela pessoa, que tem a autorização aplicável para acessá-los, e apenas para coordenar o cuidado. Sem essa declaração, ou depois de retirada, eles não chegam. Essa é uma regra própria da organização: o interruptor de compartilhamento do contato da seção 11 vale para o profissional de saúde e não é a regra que decide o que a organização recebe. Cada leitura do contato pela gestão fica na trilha de acesso.

27.6 Documentos da pessoa

A gestão e a família podem anexar documentos da pessoa: documento de identidade, contrato de cuidado, laudos e outros anexos. Eles ficam num compartimento privado e abrem por link temporário de 15 minutos. A gestão vê os documentos anexados pela própria organização e pela família; a equipe e o profissional de saúde não os veem. O acesso da gestão aos documentos fica na trilha de acesso, cada lado apaga o que anexou, e os arquivos são eliminados junto com as informações da pessoa (seção 21).

27.7 Relatório em PDF e o que sai da Amparus

A gestão pode gerar um relatório em PDF de uma pessoa, para o período que escolher, com as principais informações do cuidado: doenças e condições, alergias, remédios e adesão, ocorrências, sinais vitais fora da referência, rotina, plano de cuidado, exames e consultas (sem os arquivos), evoluções publicadas e quantos registros cada pessoa da equipe fez. O relatório não traz resumo de inteligência artificial nem os documentos anexados.

O relatório é montado na hora do pedido e não fica guardado na Amparus. Ele abre no navegador do aparelho por um link temporário, que vale poucos minutos, abre poucas vezes e deixa de funcionar se quem o pediu perder o acesso à pessoa. Cada geração fica na trilha de acesso.

Quando o relatório é aberto, baixado ou compartilhado, ele sai do ambiente da Amparus. A partir daí, a guarda e o compartilhamento dependem dos controles de quem o recebeu e do lugar onde ele foi guardado, e são responsabilidade da organização. O aplicativo avisa isso no momento de gerar. O mesmo vale para o resumo do período que a gestão ou o profissional de saúde copia para usar fora do aplicativo.

27.8 Inteligência artificial pela gestão

Quando a pessoa tem uma autorização de resumos com inteligência artificial vigente, e o texto dessa autorização nomeia os gestores, a gestão de uma organização que atende a pessoa pode gerar e ler o sumário pré-consulta, o mesmo que o profissional de saúde lê. A autorização é opcional: quem a dá é a família ou, quando a organização cadastra a pessoa, a gestão, em nome da organização, que declara ter a autorização da pessoa ou de quem responde por ela. Ela pode ser retirada a qualquer momento, e então a geração e a leitura param.

As autorizações dadas antes desta versão não nomeavam a gestão de uma organização. Por isso elas não valem para a gestão até serem reconfirmadas com o texto novo. O processamento é o da seção 14, pelos mesmos fornecedores (seção 15), com os nomes das pessoas substituídos por marcadores, e o resumo continua sendo apoio: não substitui prontuário, diagnóstico, avaliação ou julgamento profissional.

27.9 Pedido de exclusão dos dados da pessoa

A gestão de uma organização que administra a rede de uma pessoa, e o familiar responsável quando há um, podem pedir pelo aplicativo a exclusão dos dados dessa pessoa. É um pedido, e não um apagamento imediato: a equipe da Amparus confere quem pediu e a situação da rede, responde e elimina o que puder ser eliminado. Alguns registros podem precisar ficar guardados pelo prazo que a lei exige, como o próprio registro do pedido, o livro de acordos e a trilha de acesso (seção 21). Qualquer pessoa, inclusive a pessoa cuidada, também pode pedir em dpo@amparus.app.

27.10 Avisos no celular

A gestão recebe avisos no celular sobre o cuidado e sobre a equipe: ocorrências, medicação sem registro, estoque acabando, horários da escala sem turno, dias sem registro, pendências e novidades da rede. Eles aparecem na tela bloqueada e passam pela Expo (seção 15). O texto pode trazer o primeiro nome da pessoa atendida, com a inicial do sobrenome quando a gestão acompanha várias, a quantidade de pessoas e, no aviso de horário sem turno, o primeiro nome de quem estava na escala e o horário. Nunca traz nome de remédio, medição, resposta de avaliação nem anotação. A gestão escolhe o que recebe em Avisos.

A equipe de cuidado recebe os avisos de quem cuida sobre as pessoas da organização, como a hora do remédio e os cuidados do plano. A cuidadora profissional da equipe os recebe durante o turno pela organização. Ninguém da equipe ou da gestão recebe aviso sobre uma pessoa que não pode mais ver pela organização: quando a organização é suspensa, quando a pessoa sai dela ou da equipe, ou quando a autorização do vínculo é retirada, os avisos param junto com o acesso.

Quem é da equipe pode tirar dos avisos o nome da pessoa atendida, em Avisos, como qualquer pessoa que cuida. Os avisos à gestão ainda não têm esse ajuste.

A pessoa da equipe recebe um aviso quando a gestão registra ou desfaz uma falta num horário dela, com o nome da organização, o dia e o horário, e nunca com a observação.

27.11 Suspensão, bloqueio e denúncia

A Amparus pode suspender uma organização em caso de abuso, declaração falsa, risco às pessoas cuidadas ou uso incompatível com os Termos de Uso. Suspensa, a gestão e a equipe deixam de acessar, por meio dela, os dados das pessoas atendidas. Os dados não são apagados, e a suspensão e a reativação ficam registradas com quem decidiu, quando e por quê.

Quando foi a família que convidou a organização, a família pode removê-la da rede. Quando foi a organização que cadastrou a pessoa, a família não encerra sozinha o vínculo de cuidado, mas pode denunciar a organização e bloquear as interações dela com a família pela Amparus, como novos convites e o acesso ao contato de quem bloqueou. O bloqueio não apaga o histórico do cuidado nem esconde da família os fatos do cuidado. Denúncias sobre a organização, sobre documentos e sobre observações entram na mesma fila da seção 15.

27.12 Trilha de acesso

Os acessos da gestão aos dados de saúde, aos documentos e ao contato dos familiares, e cada geração de relatório, ficam na trilha de acesso da pessoa (seção 13.3). Quando a organização administra a rede, a gestão vê essa trilha; quando apenas atende, não vê.

27.13 Quando o vínculo termina e por quanto tempo guardamos

Quando o vínculo da organização com a pessoa termina, a gestão e a equipe deixam de acessar os dados dela. Os registros feitos por elas continuam no histórico da pessoa, com a família quando há uma. Sem família, ficam guardados, sem acesso de ninguém, até a rede voltar a ter um responsável ou até um pedido de exclusão (seção 27.9). Os prazos de guarda estão na tabela da seção 21.

27.14 Fornecedores

A organização não traz fornecedor novo. Os dados dela, da gestão, da equipe e das pessoas atendidas passam pelos mesmos fornecedores da seção 15 e pelas mesmas transferências da seção 16: os documentos ficam na Supabase, como os exames; o relatório em PDF é montado no nosso servidor, na Railway; os avisos passam pela Expo; os resumos com inteligência artificial, pela OpenRouter; e os convites por e-mail, pela Resend.