Política de Privacidade

Como o elo trata os dados pessoais das famílias, com foco nos dados de saúde de crianças e adolescentes.

Esta Política de Privacidade explica, em linguagem simples e direta, como o aplicativo elo trata os dados pessoais das famílias que o usam, com foco especial nos dados de saúde de crianças e adolescentes atípicos. Ela foi escrita para cumprir a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, "LGPD"), o Estatuto da Criança e do Adolescente (Lei nº 8.069/1990, "ECA"), a Lei nº 15.211/2025 ("ECA Digital", que protege crianças e adolescentes no ambiente digital e está em vigor desde 17 de março de 2026) e o Código de Defesa do Consumidor (Lei nº 8.078/1990, "CDC"), além das exigências das lojas de aplicativos (Apple App Store e Google Play).

Leia com atenção. Se você não concordar com o tratamento aqui descrito, não deve usar o aplicativo.

Aviso importante: o elo é uma ferramenta de apoio à organização do cuidado. Ele não emite laudo, não faz diagnóstico nem triagem diagnóstica e não substitui a orientação de médico, psicólogo ou outro profissional de saúde, que deve ser sempre procurado. Em emergência, ligue 192 (SAMU). A assistente Val também não substitui essa orientação: suas respostas são automáticas, podem conter erro e devem ser avaliadas pelo responsável legal e validadas com o profissional que acompanha a pessoa cuidada antes de qualquer decisão de cuidado.

1. Introdução, escopo e aceitação

O elo é um aplicativo de cuidado compartilhado para famílias de crianças e adolescentes atípicos (por exemplo, no espectro autista). Ele reúne, num só lugar, um diário de cuidado, o controle de remédios, a rotina, a equipe de apoio da família, o apoio em momentos de crise, uma assistente virtual chamada Val e uma Comunidade em que famílias diferentes conversam entre si.

Esta Política se aplica a todas as pessoas que usam o elo, incluindo:

• o responsável legal que cria a conta e cadastra a criança;
• os membros convidados da família ou da equipe de cuidado (por exemplo, o outro genitor, avós, babá, terapeuta, escola);
• a criança ou adolescente cujos dados são cuidados no aplicativo (o titular central dos dados sensíveis).

Ao criar uma conta e usar o elo, o responsável declara que leu e compreendeu esta Política. O consentimento para o tratamento de dados de saúde, de dados da criança ou do adolescente, para o uso de inteligência artificial e para a transferência internacional não decorre do aceite desta Política: ele é dado em separado, no Termo de Consentimento, apresentado em tela própria e em destaque e publicado em elotea.com.br/consentimento.

Esta Política deve ser lida em conjunto com o Regulamento de Uso (regras de uso e de convivência), com o Termo de Licença de Uso de Software (direitos sobre o programa) e com o Termo de Consentimento (autorizações específicas para dados de saúde, inteligência artificial e transferência internacional).

2. Quem trata seus dados (controlador e operadores)

Controlador (quem decide como e por que os dados são tratados):

• Razão social: Garcco Soluções Tecnológicas para o Direito LTDA
• CNPJ: 55.046.826/0001-83
• Endereço: Rua Luís Correia de Melo, nº 92, Conj. 2603, Bloco A, Vila Cruzeiro, São Paulo/SP, CEP 04726-220
• Encarregado pelo Tratamento de Dados Pessoais: Gustavo Nishikawa, e-mail [email protected]

Clínica parceira: o elo é oferecido em parceria com a Evolução Centro de Vivência (São Paulo/SP), responsável pela curadoria de conteúdo e pela expertise em autismo. A clínica não é controladora nem operadora dos dados do aplicativo e não recebe acesso automático aos dados das famílias. Um profissional da clínica só vê dados de uma pessoa cuidada se a própria família o convidar para a equipe de cuidado, e somente o que a família compartilhar. O registro clínico que esse profissional produzir é de responsabilidade dele e da clínica, como controladores próprios, sob as normas do respectivo conselho profissional. A clínica não recebe dados das famílias por ser parceira do elo e não usa dados do elo para captar pacientes (art. 11, §4º, da LGPD). A clínica usa, no próprio atendimento, instrumentos seus, como a ficha de anamnese, que são registros dela e ficam sob a responsabilidade dela. O perfil de desenvolvimento preenchido no elo não é enviado à clínica: se quiser, a família pode exportá-lo e apresentá-lo ao profissional de sua escolha, de qualquer clínica (art. 11, §4º, I, da LGPD).

Operadores e subprocessadores: para funcionar, o elo utiliza prestadores de serviço que tratam dados em nome do controlador (hospedagem, proteção de rede, inteligência artificial, envio de e-mail e notificações). Eles estão descritos nas seções 9 e 10.

Para dúvidas, solicitações ou reclamações sobre privacidade, use o canal de proteção de dados indicado na seção 17.

3. Definições

Para facilitar o entendimento, alguns termos usados nesta Política:

• Titular: a pessoa a quem os dados pessoais se referem (aqui, principalmente a criança/adolescente, mas também os adultos usuários).
• Dado pessoal: qualquer informação relacionada a uma pessoa identificada ou identificável (nome, e-mail, etc.).
• Dado pessoal sensível: dado sobre saúde, entre outros. A maior parte do conteúdo do elo (crises, remédios, notas sensoriais, diário) é dado sensível de saúde.
• Dado de criança e adolescente: dado de pessoa menor de 18 anos, que recebe proteção reforçada pela LGPD (art. 14) e pelo ECA.
• Controlador: quem toma as decisões sobre o tratamento dos dados (ver seção 2).
• Operador: quem trata os dados em nome do controlador (por exemplo, os provedores de IA e de nuvem).
• Tratamento: qualquer operação com dados (coleta, guarda, uso, compartilhamento, eliminação).
• Consentimento: manifestação livre, informada e inequívoca pela qual o titular, ou o responsável legal pela criança ou pelo adolescente, concorda com o tratamento para uma finalidade determinada; para dados sensíveis, deve ser também específica e destacada.
• Anonimização: processo que impede associar o dado a uma pessoa específica.
• Encarregado: pessoa indicada pela controladora para ser o canal de comunicação com os titulares e com a ANPD (ver seção 17).
• Responsável legal: o pai, a mãe ou quem detenha a representação legal da criança ou do adolescente, como o tutor ou o guardião a quem decisão judicial tenha conferido essa representação (art. 33, §2º, do ECA). Para a pessoa cuidada adulta, ver seção 5.

4. Quais dados coletamos e de onde vêm

Todos os dados abaixo são fornecidos por você (ao se cadastrar e ao usar o aplicativo) ou gerados durante o uso (por exemplo, registros de data, hora e endereço IP de ações). O elo não compra dados de terceiros nem coleta sua localização por GPS.

4.1 Dados de conta (adulto)

Nome, e-mail, senha (guardada apenas em hash, nunca em texto claro) e fuso horário. Ao acessar pelos painéis web (administração e console do profissional), guardamos o endereço IP e o navegador (user-agent) da sessão. O endereço IP também é registrado quando você aceita os consentimentos e nas trilhas de auditoria de ações sensíveis (ver 4.8), não apenas nos painéis web.

4.2 Dados da criança/adolescente

Primeiro nome ou apelido (o elo não pede o nome completo da pessoa cuidada), data de nascimento, local de nascimento, cidade, com quem mora, escola, plano de saúde, nível de apoio, o que acalma a criança e uma foto (avatar), se você adicionar. O elo não pede o endereço residencial completo da criança nem da família, nem número de documento de identificação.

4.3 Dados da família e da equipe

Nome de exibição, papel (responsável, cuidador, profissional, escola), relação (mãe, pai, avó, babá, terapeuta), e, para membros convidados, o e-mail e o telefone informados por quem convida.

Dados de terceiros adultos: quando você convida um membro (por exemplo, babá, escola ou terapeuta), o e-mail e o telefone dessa pessoa são coletados de você, quem convida. Essa pessoa também é titular desses dados e pode exercer seus direitos (seção 12) pelo canal do Encarregado. Convide apenas pessoas que participem legitimamente do cuidado.

4.4 Dados de saúde e sensíveis (o núcleo do aplicativo)

• Diário de momentos: registros do dia a dia, incluindo crises, alimentação, sono, terapia, medicação, notas sensoriais, momentos sociais e conquistas, com título, descrição em texto livre, local (texto) e os detalhes que você escolher preencher sobre cada episódio (por exemplo, duração, intensidade, possíveis gatilhos, o que ajudou e como terminou) e sobre o sono.
• Marcos de desenvolvimento: conquistas por área (comunicação, social, autonomia, sensorial, escola).
• Perfil de desenvolvimento (anamnese do cuidado): histórico da criança organizado nos moldes da anamnese usada por profissionais que acompanham crianças atípicas, com preenchimento facultativo campo a campo: motivo da procura, quem identificou a dificuldade e há quanto tempo; diagnóstico ou hipótese diagnóstica e o código CID, quando informados por profissional; gestação e nascimento (planejamento, intercorrências, tipo de parto, prematuridade, pré-natal e peso ao nascer); marcos do desenvolvimento (sustentar a cabeça, sentar, engatinhar, andar, primeiras palavras) e eventual regressão; doenças, internações, medicação e acompanhamentos (neuropediatria, fonoaudiologia, terapia ocupacional, psicologia e outros); rotina, escola, com quem a criança passa mais tempo, brincadeiras, lazer, férias e datas comemorativas; comunicação e linguagem (fala, gestos, apontar, compreensão de ordens simples, contato visual); interação social; comportamento (birras e em que situações ocorrem, comportamentos repetitivos, reação à frustração); autonomia (alimentação e seletividade alimentar, uso do banheiro, vestir-se, banho, amarrar os sapatos); e as expectativas da família.
• Informações sobre a gestação: são tratadas como histórico de saúde da criança, mas também dizem respeito à saúde de quem gestou. Registre apenas o necessário ao histórico da criança. O que disser respeito exclusivamente à saúde de quem gestou deve ser registrado por essa pessoa ou com o conhecimento dela, que também é titular desses dados e pode exercer os direitos da seção 12.
• O que o elo não guarda: observações clínicas, evolução e prontuário do profissional, que ficam no sistema próprio dele ou da clínica (ver 4.7). O diagnóstico registrado no perfil é o que a família informa, e o elo não o confere nem o valida.
• Medicação: nome do remédio, dose, horário, quem prescreveu, e o histórico de quando foi dado ou recusado.
• Alergias: nome, gravidade e reação.
• Notas sensoriais.
• Plano de crise: passos e nota de perigo.
• Rotina, consultas e terapias.
• Atividades e álbum de fotos da criança: atividades registradas e um álbum com fotos da criança. Como são imagens de menor, tratamos essas fotos como dado sensível.
• Orientações e documentos clínicos: vídeos, PDFs, receitas e laudos anexados.
• Resumos: consolidações periódicas com números derivados dos registros.

4.5 Mídia (áudio, foto e documentos)

Áudios gravados no chat da equipe (e a transcrição deles), fotos e PDFs anexados ao chat, e documentos enviados para a assistente Val processar. Esses arquivos ficam em área privada do servidor e só são acessíveis por quem está autenticado e autorizado.

4.6 Conversas

Mensagens trocadas entre os membros da equipe (chat da família) e as conversas do cuidador com a assistente Val.

4.7 Consulta e atendimento

O elo não realiza consulta, presencial ou a distância, nem atendimento médico, psicológico, terapêutico ou nutricional, e não armazena prontuário. O registro clínico de qualquer atendimento feito fora do aplicativo, pelo profissional que a família escolher, é de responsabilidade desse profissional, em sistema próprio e sob as normas do respectivo conselho profissional.

4.8 Dados de uso, dispositivo e notificações

Token de notificação push do aparelho (para avisos do aplicativo), registros técnicos de operação, provas de consentimento (com data, versão e endereço IP do momento do aceite), trilhas de auditoria de ações sensíveis (que também registram o endereço IP) e métricas de uso da inteligência artificial (modelo, quantidade de tokens e custo). As métricas de IA nunca guardam o conteúdo das suas mensagens.

4.9 Localização

O elo não coleta coordenadas de GPS nem acessa o sensor de localização do aparelho. Guardamos apenas a cidade e os locais que você digita como texto.

4.10 Comunidade (conteúdo visível a outras famílias)

A Comunidade é o único espaço do elo em que o que você escreve pode ser lido por pessoas de fora da sua família. Entrar nela é opcional. Quando você entra, tratamos:

• o apelido que você escolhe (a identidade pública ali; seu nome real e o nome de quem você cuida nunca aparecem);
• uma linha opcional sobre você e a data em que você entrou;
• os recados e respostas que você publica, e o assunto que você marcar;
• as fotos que você publicar, sempre na versão reprocessada e sem metadados de câmera (ver seção 8);
• um registro diário de presença, que guarda apenas que o seu perfil da Comunidade passou por ali naquele dia; o número que aparece na tela é só a contagem do dia, e nunca a lista de quem esteve lá;
• avisos de que alguém respondeu você ou te chamou, guardados dentro do aplicativo;
• as denúncias que você fizer e as decisões de moderação sobre conteúdo seu.

O que a Comunidade nunca mostra: seu nome real, seu e-mail, o nome de quem você cuida, sua família, seus dados de saúde.

5. Dados sensíveis e dados de criança e adolescente (destaque)

O elo trata dados pessoais sensíveis de saúde (art. 11 da LGPD) de crianças e adolescentes (art. 14 da LGPD). Por isso, adotamos proteções reforçadas:

• Melhor interesse da criança: todo o tratamento é feito no interesse da criança, para apoiar seu cuidado.
• Consentimento específico e em destaque do responsável: a conta é criada pelo responsável legal, que autoriza o tratamento dos dados da criança ou do adolescente por meio do Termo de Consentimento, apresentado em tela própria, separada do aceite dos demais documentos, antes do primeiro registro de dado de saúde. O tratamento por inteligência artificial e a transferência internacional, por serem parte essencial do aplicativo, são autorizados no mesmo Termo, em itens próprios e destacados (ver seções 7, 8 e 10).
• Minimização: coletamos apenas o necessário para o cuidado. Você decide o que registrar.
• Identificação mínima: a pessoa cuidada é identificada no elo apenas pelo primeiro nome ou apelido, e é só essa identificação que segue aos provedores de inteligência artificial. Pedimos que você não escreva nome completo, documento, endereço ou telefone da pessoa cuidada ou de terceiros em textos livres, nas conversas com a Val ou na Comunidade. A identificação mínima reduz o risco, mas não torna o dado anônimo: as informações de saúde, rotina e desenvolvimento, somadas ao primeiro nome, continuam sendo dado pessoal sensível e recebem todas as proteções desta Política (arts. 5º, II, 11 e 12 da LGPD).
• Privacidade por padrão no perfil de desenvolvimento: diagnóstico, CID e histórico de gestação e nascimento ficam na área de saúde e só aparecem para os membros a quem o responsável liberar essa área. Escola, babá e outros membros convidados não os veem sem liberação expressa.
• Linguagem acessível: o tratamento é explicado em linguagem simples, para que o responsável compreenda o que acontece com os dados.
• Verificação do responsável: adotamos esforços razoáveis, compatíveis com a tecnologia disponível, para verificar que o consentimento foi dado pelo pai, pela mãe ou pelo responsável legal (art. 14, §5º, da LGPD), como confirmação por e-mail e, havendo indício de irregularidade, pedido de documento que comprove essa condição. A condição de responsável legal é declarada e validada pelo próprio responsável no cadastro, sob as penas da lei. O elo não tem acesso a registro civil, a termo de guarda ou de tutela nem a decisão judicial, e as medidas de verificação acima complementam essa declaração, sem substituí-la.
• Informação à criança e ao adolescente: disponibilizamos explicação em linguagem adequada ao entendimento da criança e do adolescente, para que o responsável a compartilhe com a pessoa cuidada (art. 14, §6º, da LGPD).
• Pessoa cuidada adulta: quando quem é cuidado tem 18 anos ou mais, o consentimento para o tratamento dos dados de saúde é dele próprio, com os apoios de que precisar. A curatela não alcança os direitos à privacidade e à saúde (art. 85, §1º, da Lei nº 13.146/2015), de modo que o curador só atua nos limites fixados na decisão judicial.

A legitimidade de quem consente se apoia na declaração do responsável, feita no cadastro e registrada com data e versão do documento aceito, somada às medidas de verificação acima. Ao cadastrar uma criança ou adolescente, você declara ser o pai, a mãe ou o responsável legal. Quem apenas tem autorização da família participa como membro convidado e não dá o consentimento. Declarar falsamente essa condição é violação do Regulamento de Uso e leva ao encerramento da conta, e quem declarou responde pelos danos que a declaração falsa causar. Basta o consentimento de um dos pais ou do responsável legal (art. 14, §1º, da LGPD). Quem consente declara também que nenhuma decisão judicial suspende, extingue ou limita sua autoridade sobre a pessoa cuidada para esse fim. Havendo ordem judicial ou divergência comprovada entre responsáveis, o controlador cumpre a ordem e pode suspender o acesso ao perfil da pessoa cuidada até a solução.

5.1 Proteção no ambiente digital (Lei nº 15.211/2025, ECA Digital)

Desde 17 de março de 2026 está em vigor a Lei nº 15.211/2025, que trata da proteção de crianças e adolescentes em produtos e serviços de tecnologia da informação. O que o elo faz a respeito:

• Contas são de adultos. Crianças e adolescentes não criam conta. O uso por quem é cuidado acontece no modo criança, que só o adulto ativa e encerra.
• Supervisão parental embutida. No modo criança não há diário, não há conversa com a Val, não há Comunidade e não há qualquer troca de mensagem com pessoas de fora da família.
• Privacidade por padrão. O acesso de cada membro é limitado às áreas que o responsável autorizou, e o que não foi autorizado não aparece. Entre famílias, o isolamento é total, salvo o que a própria pessoa escolher publicar na Comunidade.
• Sem publicidade e sem perfilamento. O elo não exibe anúncios, não cria perfil comportamental de criança ou adolescente para fins comerciais, não usa rastreadores publicitários e não tem mecânica de compra, recompensa ou premiação.
• Canal de denúncia e cooperação. Há denúncia de conteúdo dentro da Comunidade, com remoção imediata no caso de exposição de criança. Conteúdo que indique abuso, exploração sexual ou aliciamento é removido e comunicado às autoridades competentes (art. 27 da Lei nº 15.211/2025), e o controlador coopera com a apuração, preservando os registros de que dispuser, na forma da lei.
• Idade e responsabilidade: o cadastro é destinado a maiores de 18 anos, e quem cria a conta declara ser o pai, a mãe ou o responsável legal pela criança ou pelo adolescente cuidado ou, se a pessoa cuidada for adulta, ter o consentimento dela. Declaração falsa é violação do Regulamento de Uso e pode levar à suspensão ou ao encerramento da conta. O controlador acompanha a regulamentação da Lei nº 15.211/2025 sobre aferição de idade e adota as medidas cabíveis ao porte e ao risco do serviço.

6. Para que usamos os dados (finalidades)

Usamos os dados para as seguintes finalidades, e apenas para elas:

1. Cuidado compartilhado e diário: registrar e organizar o cuidado da criança e compartilhá-lo com os membros autorizados da família e da equipe.
2. Perfil de desenvolvimento: organizar o histórico da criança, para que a família o tenha à mão e, se quiser, o apresente ao profissional de sua escolha. O perfil não é usado para gerar diagnóstico, laudo, triagem ou classificação de risco.
3. Controle de remédios: registrar remédios, doses e o histórico de administração.
4. Rotina: organizar a rotina da criança, inclusive no modo criança.
5. Apoio em crise: oferecer o plano de crise e apoio em momentos difíceis.
6. Assistente Val: oferecer apoio informativo e acolhedor, não clínico, com base nos dados da criança (ver seção 8).
7. Comunidade: permitir que famílias conversem entre si sob apelido, e moderar esse espaço, com verificação automática do texto e triagem automática das fotos antes de publicar, canal de denúncia, remoção do que violar as regras e silenciamento temporário de quem reincidir, para proteger crianças e cuidadores.
8. Notificações: enviar avisos úteis do aplicativo (por exemplo, mensagens da equipe).
9. Comunicações transacionais: enviar e-mails de boas-vindas, convite e redefinição de senha.
10. Segurança e prevenção a fraudes e abusos: autenticar acessos, isolar os dados de cada família, aplicar limites de uso e manter trilhas de auditoria.
11. Cumprimento de obrigações legais e exercício regular de direitos, inclusive os deveres de proteção de crianças e adolescentes previstos no ECA e no ECA Digital.

Não usamos seus dados para publicidade nem os vendemos.

7. Bases legais (por finalidade)

A LGPD exige uma base legal para cada tratamento. No elo, elas são:

Para dados sensíveis e para o envio a serviços de IA, a base principal é o consentimento específico e destacado do responsável, dado no Termo de Consentimento, no cadastro. Você pode revogar esse consentimento a qualquer momento (ver seções 12 e 13). Como a assistente é indissociável do aplicativo, o que é informado com destaque antes do consentimento (art. 9º, §3º), revogar esses consentimentos essenciais equivale a encerrar o uso do elo: você pode pedir seus dados por e-mail e excluir a conta pelo próprio app, a qualquer momento e sem justificar. Revogar os consentimentos opcionais (Comunidade e acesso de profissional convidado pela família) não encerra a conta.

8. Inteligência artificial (Val) e processamento por IA

A Val é uma assistente virtual que oferece apoio informativo e acolhedor, não clínico. Ela ajuda a organizar informações e a entender padrões, com base nos dados da criança.

O que a Val NÃO é: a Val não é profissional de saúde, não faz diagnóstico, não prescreve remédios ou doses e não substitui o acompanhamento médico, psicológico ou terapêutico. Ela não é uma pessoa, não tem registro em conselho profissional e conhece a pessoa cuidada apenas pelo que a família registrou. A curadoria de conteúdo feita pela clínica parceira não significa revisão profissional de cada resposta. A Val não interpreta o perfil de desenvolvimento para sugerir diagnóstico, nível de suporte ou risco, e nenhum resumo do elo serve como laudo, atestado ou relatório clínico, inclusive para escola, plano de saúde, perícia ou processo. As respostas da IA podem conter imprecisões. Por isso, toda resposta da Val deve ser avaliada pelo responsável legal e, antes de aplicada a qualquer questão de saúde, comportamento, medicação, alimentação, sono, terapia ou segurança, validada com o profissional que acompanha a pessoa cuidada. Nunca inicie, suspenda ou altere remédio ou dose com base na Val, e não recorra a ela em emergência: ligue 192 (SAMU). A autoridade sobre o cuidado é sempre da família e da equipe de saúde. A Val não toma decisões sobre o cuidado. Algumas decisões do elo são automatizadas: a recusa de texto ou de foto na Comunidade e a retirada automática de recado por denúncia. Você pode pedir a revisão dessas decisões e informações sobre os critérios usados, pelo canal do Encarregado (seção 17), na forma do art. 20 da LGPD.

A conversa de texto com a Val já usa inteligência artificial de terceiro, fora do Brasil. Quando você escreve para a Val, os dados descritos na seção 10.1 são enviados ao provedor de IA (Anthropic, nos EUA). Isso está sujeito ao consentimento e às salvaguardas das seções 7, 10 e 13.

A Val também age de forma proativa. Alguns resumos periódicos são gerados pela inteligência artificial sem que você precise escrever uma mensagem. Para gerá-los, os mesmos dados descritos na seção 10.1 são enviados ao provedor de IA, com as mesmas salvaguardas.

A assistente é parte essencial do serviço, autorizada no cadastro. A Val não é um extra que se liga e desliga: sem ela não existe o elo como produto. Por isso o responsável autoriza o tratamento por inteligência artificial de forma específica e em destaque no momento do cadastro, no Termo de Consentimento, em item próprio e separado do aceite destes documentos. A autorização cobre:

• A conversa com a Val (texto e os resumos que ela prepara sozinha);
• Transcrição de áudio (converter em texto o áudio que você gravar);
• Descrição de imagem (a IA descrever uma foto que você enviar);
• Leitura de documento (a IA resumir um PDF ou documento que você anexar);
• Triagem de foto da Comunidade (a IA conferir a foto antes de ela ser publicada).

Cada um desses processamentos só acontece quando você usa o recurso: se você nunca gravar um áudio, nenhum áudio é enviado a lugar nenhum. O envio segue o que você faz dentro do app.

Sem treinamento de modelos. Os provedores de inteligência artificial atuam como operadores e são contratados sob condições que vedam o uso dos dados enviados para treinar ou aprimorar seus modelos e limitam a retenção ao necessário para prestar o serviço e garantir a segurança, adotada a retenção zero onde o provedor a oferece. O envio é minimizado: vai o primeiro nome ou o apelido da pessoa cuidada, e não o nome completo, o e-mail ou o endereço. Esse limite vale para a identificação. O contexto de cuidado descrito no item 10.1, que inclui informações de saúde, também é enviado, porque sem ele a Val não funciona, e por isso segue sob consentimento específico e as salvaguardas da seção 10.

Autorizações separadas. São essenciais apenas a conversa com a Val e os resumos que ela prepara sozinha, estes enviados de forma automática. A transcrição de áudio, a descrição de imagem e a leitura de documento são autorizadas em item próprio e opcional, pedido no primeiro uso, e podem ser desligadas sem encerrar a conta. A triagem de foto integra o consentimento para participar da Comunidade (art. 14, §4º, da LGPD).

Triagem automática das fotos da Comunidade. Quando você anexa uma foto a um recado da Comunidade, o aplicativo gera uma cópia reprocessada dela, sem os metadados da câmera (incluindo a localização), e envia essa cópia a um provedor de inteligência artificial, que faz uma verificação automática antes da publicação. O arquivo original não é mantido, e o que fica publicado é a cópia sem metadados. Se a verificação não puder ser concluída, a foto não é publicada. Essa verificação é automática, pode errar e não substitui o seu cuidado ao escolher a foto: a responsabilidade pelo que é publicado continua sendo de quem publica. Qualquer pessoa pode denunciar uma foto, e a remoção é imediata nos casos de exposição de criança.

Voz nas telas de entrada. Nas telas de criação de conta e de aceite de convite, o aplicativo pode reproduzir falas gravadas antes, iguais para todas as pessoas e guardadas dentro do próprio aplicativo. Nessa etapa o aplicativo não capta áudio, não usa o microfone e não envia nada a provedor de voz.

Conversa por voz com a Val: recurso não disponível nesta versão. Quando ele for oferecido, esta Política será atualizada antes, com a descrição exata dos dados tratados, e o consentimento correspondente será pedido a você.

O que vai para a IA: ver a seção 10, que descreve exatamente quais dados vão para cada provedor.

9. Compartilhamento e terceiros (operadores/subprocessadores)

Seus dados são compartilhados apenas com quem precisa deles para o serviço funcionar:

• Membros da própria família/equipe: cada membro vê apenas as áreas de dados que o responsável autorizou para ele. O responsável vê tudo. Um membro nunca vê dados de outra família.
• Outras famílias, na Comunidade: o que você escolher publicar ali é visível às demais famílias que usam o elo, sempre sob apelido. Nada da sua família vai para a Comunidade automaticamente: só o que você escreve e publica, quando publica. Depois de publicado, não é possível desfazer a leitura de quem já leu, nem impedir que alguém copie ou fotografe a tela.
• Provedor de infraestrutura (hospedagem): o servidor e o banco de dados são hospedados em nuvem Hetzner (Alemanha). Como isso significa guardar os dados fora do Brasil, o tema é detalhado na seção 10.4.
• Rede e proteção de borda (Cloudflare, EUA): a Cloudflare faz a proteção de rede e termina a conexão segura (TLS) na borda, o que significa que o tráfego passa por sua infraestrutura, fora do Brasil, antes de chegar ao servidor (ver seção 10.5).
• Subprocessadores de inteligência artificial (nos EUA): Groq e Anthropic, detalhados na seção 10. O ElevenLabs não recebe dados nesta versão do aplicativo (item 10.3).
• Envio de e-mail: servidor de e-mail próprio da operação, usado apenas para mensagens transacionais (boas-vindas, convite e redefinição de senha).
• Notificações push: infraestrutura da Expo e, por baixo, Apple e Google, com conteúdo mínimo e sem dados pessoais sensíveis no aviso.

Não vendemos seus dados e não os usamos para marketing ou publicidade. Podemos compartilhar dados com autoridades quando exigido por lei ou ordem judicial, inclusive nas comunicações obrigatórias de conteúdo de exploração, abuso sexual, sequestro ou aliciamento de criança ou adolescente (art. 27 da Lei nº 15.211/2025).

10. Transferência internacional de dados

Para funcionar, o elo trata dados fora do Brasil, tanto no armazenamento quanto em alguns recursos. É importante que você saiba disso com clareza. A União Europeia, e portanto a Alemanha, tem nível de proteção adequado reconhecido pela ANPD (Resolução CD/ANPD nº 32/2026). Os Estados Unidos não têm esse reconhecimento; por isso, as transferências para lá dependem das salvaguardas descritas no item 10.6.

10.1 Anthropic (EUA): o "cérebro" da assistente Val

Quando você conversa com a Val por texto (e, no futuro, na voz), enviamos à Anthropic (modelo Claude): o contexto da pessoa cuidada (nome curto, idade, o que a família contou sobre ela, interesses, escola, de quanto apoio precisa, como se comunica, perfil sensorial, o que acalma, primeiros sinais de sobrecarga, notas de sono, alimentação, segurança e terapias, as notas que a família escreveu com as próprias palavras, e os padrões de gatilho e do que ajudou), fatos do mês (por exemplo, número de crises, dados de sono), o histórico recente da conversa, os documentos da família que forem relevantes à pergunta, e a sua mensagem (que pode conter relato de saúde). Esse contexto é montado conforme as áreas que o membro que está escrevendo pode ler: os campos de saúde só saem quando quem escreve tem acesso à área de saúde. O CID e as informações sobre gestação e nascimento não são enviados. Os resumos proativos da Val (seção 8) enviam esses mesmos dados, sem que você precise escrever nada.

O envio é limitado ao necessário para produzir aquela resposta, e a transferência segue as bases legais e as salvaguardas do item 10.6.

10.2 Groq (EUA): transcrição, visão e resumo

Conforme o consentimento que você deu, enviamos à Groq: o arquivo de áudio (para transcrição), a imagem reduzida e sem metadados de câmera/EXIF (para descrição da foto que você manda para a Val ou para a triagem da foto que você quer publicar na Comunidade), ou o texto extraído de um documento (para resumo). Na triagem da Comunidade, o que é enviado é a cópia reprocessada da foto.

10.3 ElevenLabs (EUA): conversa por voz (não disponível nesta versão)

Quando o recurso de voz for ativado, a voz do cuidador é enviada diretamente do aparelho ao ElevenLabs (não passa pelo servidor do elo), e o texto da resposta da Val (que pode conter o primeiro nome da criança e fatos derivados) é enviado ao ElevenLabs para ser falado.

10.4 Hospedagem na Alemanha (Hetzner)

Todo o banco de dados do elo, incluindo os dados sensíveis de saúde da criança, fica hospedado em servidor de nuvem na Alemanha (provedor Hetzner). Ou seja, o próprio armazenamento já é uma transferência internacional, e não apenas os trechos enviados aos serviços de IA. Essa transferência se apoia no nível adequado de proteção reconhecido à União Europeia (art. 33, I, da LGPD; Resolução CD/ANPD nº 32/2026), com as salvaguardas do item 10.6.

10.5 Cloudflare (EUA)

A Cloudflare protege a rede e termina a conexão segura na borda, o que faz o tráfego passar por sua infraestrutura, nos Estados Unidos, antes de chegar ao servidor. A base legal e as salvaguardas são as do item 10.6.

10.6 Base legal e salvaguardas da transferência

As transferências para a União Europeia (Hetzner) se apoiam no reconhecimento de nível adequado de proteção (art. 33, I, da LGPD; Resolução CD/ANPD nº 32/2026). As transferências para os Estados Unidos (Anthropic, Groq, Cloudflare, Google, Apple e Expo) se apoiam nas cláusulas-padrão contratuais aprovadas pela ANPD e incorporadas aos contratos com esses provedores (art. 33, II, "b", da LGPD; Resolução CD/ANPD nº 19/2024), somadas ao consentimento específico e destacado do responsável, dado com informação prévia sobre o caráter internacional da operação (art. 33, VIII). As salvaguardas praticadas incluem envio limitado ao mínimo necessário, imagens sem os metadados da câmera e vedação de uso dos dados para publicidade ou para treinamento de modelos.

11. Por quanto tempo guardamos (retenção e eliminação)

• Enquanto a conta existir: os dados da criança e da família (diário, perfil de desenvolvimento, remédios, conversas da equipe, resumos, áudios e documentos do chat) ficam guardados enquanto a conta estiver ativa, para servir ao cuidado contínuo. Eles permanecem até você apagá-los ou encerrar a conta: não existe prazo de expiração automática para esses dados, salvo nos casos descritos nos itens abaixo (mídia enviada à IA, Comunidade, cópias de segurança e registros mantidos por obrigação legal).
• Conta sem uso: contas sem acesso por 12 (doze) meses recebem aviso por e-mail e, sem manifestação em 30 (trinta) dias, são encerradas, com eliminação dos dados na forma do item "Ao encerrar a conta".
• Mídia temporária enviada à IA: áudios e fotos enviados à Val e as cópias de imagem enviadas ao Groq são apagados imediatamente após o processamento.
• Ao encerrar a conta: se você é o único responsável, a exclusão da conta apaga em cascata todos os dados da família e da criança, e revoga os acessos. Se há outro responsável, apenas o seu vínculo é removido.
• Comunidade: um recado marcado como desabafo sai do ar sozinho 56 dias depois de publicado, e a foto dele é apagada do servidor. O que é marcado como "funcionou aqui em casa" não tem prazo automático de saída. Conteúdo removido por moderação sai do ar na hora e tem a foto apagada. Quando alguém encerra a conta, o que ela publicou sai do ar e o apelido é substituído, mas o tópico permanece como marcador, para não levar junto as respostas de outras famílias.
• Cópias de segurança: o banco de dados é copiado a cada publicação de nova versão do aplicativo, e essas cópias são mantidas por até 30 dias, para permitir recuperação em caso de falha. Um dado apagado por você pode permanecer nessas cópias até o prazo expirar, e elas não são usadas para nenhuma outra finalidade.
• Provas de consentimento e registros de auditoria: podem ser mantidos pelo prazo necessário ao cumprimento de obrigações legais e ao exercício regular de direitos, mesmo após a exclusão da conta. Registros de acesso a aplicações são guardados por 6 (seis) meses (art. 15 da Lei nº 12.965/2014), ou por prazo maior quando requerido por autoridade na forma da lei. A conservação após o término do tratamento segue as hipóteses do art. 16 da LGPD.

12. Seus direitos (titular) e como exercer

Você, como titular (ou como responsável legal que exerce os direitos em nome da criança), tem os direitos previstos no art. 18 da LGPD:

• Confirmação de que tratamos seus dados e acesso a eles;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• Portabilidade dos dados;
• Informação sobre com quem compartilhamos seus dados;
• Informação sobre a possibilidade de não consentir e as consequências;
• Revogação do consentimento e eliminação dos dados tratados com base nele;
• Oposição a tratamento realizado com fundamento em outra hipótese legal, em caso de descumprimento da LGPD (art. 18, §2º);
• Revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses (art. 20);
• Petição à Agência Nacional de Proteção de Dados (ANPD) contra o controlador (art. 18, §1º).

Como exercer no próprio aplicativo:

• Acessar e corrigir: os dados da criança e da família podem ser vistos e editados diretamente no app.
• Exportar (portabilidade): o responsável pode baixar um arquivo com os dados da família e da criança registrados no aplicativo, incluindo o perfil de desenvolvimento, as conversas da equipe, as conversas que ele mesmo teve com a Val e o que a família publicou na Comunidade. Os dados dos demais membros saem de forma minimizada. Os arquivos de mídia (áudios, fotos e PDFs) não cabem nesse arquivo e são fornecidos mediante solicitação pelo canal de proteção de dados (seção 17), no mesmo prazo legal.
• Excluir: o responsável pode apagar momentos individuais, remover membros, tirar do ar um recado que publicou na Comunidade e excluir a conta (que apaga os dados da família em cascata, quando é o último responsável).
• Revogar a autorização de IA: como a assistente é parte essencial do serviço, a revogação se dá pelo encerramento da conta, feito no próprio aplicativo, ou por pedido ao canal de proteção de dados (seção 17). Os recursos opcionais de inteligência artificial podem ser desligados a qualquer momento em Configurações › Privacidade, sem encerrar a conta.

Canal também fora do aplicativo: você pode solicitar acesso, exclusão e portabilidade dos seus dados sem precisar do aplicativo, pelo e-mail do Encarregado [email protected]. Esse canal externo atende também a exigência da Google Play de oferecer um caminho de exclusão fora do app.

Para os demais pedidos, ou para pedir ajuda com qualquer um deles, use o canal do Encarregado (seção 17). Responderemos de imediato, em formato simplificado, ou em até 15 (quinze) dias, por declaração completa (art. 19 da LGPD). Podemos precisar confirmar sua identidade antes de atender, para proteger os dados.

13. Consentimento: como conceder e revogar

• Consentimento do responsável no cadastro: ao criar a conta, o responsável aceita, em caixas separadas, o Regulamento de Uso e o Termo de Licença de Uso de Software, declara ter lido esta Política, declara ser o responsável legal pela pessoa cuidada e, em tela própria, dá os consentimentos do Termo de Consentimento: tratamento de dados de saúde, tratamento por inteligência artificial e transferência internacional. O consentimento para participar da Comunidade é pedido ao entrar nela, e o acesso de cada profissional convidado depende de liberação do responsável, profissional por profissional. Os documentos abrem ali mesmo, na tela, e ficam publicados no site para leitura a qualquer momento. Cada aceite é registrado com data, versão e endereço IP, como prova.
• Autorização de IA no cadastro: o tratamento por inteligência artificial é autorizado no momento do cadastro, no Termo de Consentimento, de forma específica e destacada, e cobre a conversa com a Val e os resumos automáticos; os demais usos seguem o item "Autorizações separadas" da seção 8. Como a assistente é parte essencial do serviço, ela não se liga e desliga separadamente: para retirar essa autorização, encerre a conta pelo próprio aplicativo ou peça a revogação pelo canal de proteção de dados (seção 17).
• Efeito da revogação: encerrada a autorização, o envio de dados aos provedores de inteligência artificial cessa imediatamente. A revogação não afeta os tratamentos já realizados de forma lícita antes dela.
• Consentimentos opcionais: podem ser revogados a qualquer momento, no próprio aplicativo e sem encerrar a conta, saindo da Comunidade ou retirando o acesso de um profissional (art. 8º, §5º, da LGPD).

14. Segurança da informação

Adotamos medidas técnicas e organizacionais para proteger seus dados, entre elas:

• Criptografia em trânsito (TLS/HTTPS) em toda a comunicação.
• Senhas guardadas em hash (nunca em texto claro).
• Controle de acesso por área autorizada e isolamento entre famílias: cada família só acessa os próprios dados.
• Separação entre os ambientes do aplicativo, do console do profissional e da administração, cada um com autenticação própria.
• Mídia guardada em área privada do servidor, servida apenas a quem está autenticado e autorizado.
• Envio a provedores de inteligência artificial centralizado e controlado, com verificação do consentimento antes de cada envio.
• Trilhas de auditoria (com IP) para ações sensíveis, e provas de consentimento versionadas.
• Limites de uso e proteções contra abuso, com verificação de arquivos no servidor.

As medidas de segurança são revisadas de forma contínua e evoluem junto com o serviço. Questões de segurança podem ser comunicadas de forma reservada pelo canal [email protected], e são tratadas com prioridade.

15. Incidentes de segurança

Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, tomaremos medidas para conter e mitigar o incidente e comunicaremos à Agência Nacional de Proteção de Dados (ANPD) e aos titulares afetados, na forma do art. 48 da LGPD e da Resolução CD/ANPD nº 15/2024, que fixa o prazo de 3 dias úteis contados do conhecimento do incidente, informando o que ocorreu, os dados envolvidos e as medidas adotadas. Quando o incidente envolver dados de criança ou adolescente, o tratamento é prioritário.

16. Cookies e tecnologias de rastreamento

• O aplicativo e os painéis web usam mecanismos estritamente necessários ao funcionamento, como cookies de sessão (nos painéis de administração e do profissional) e o token de notificação push do aparelho.
• O elo não usa cookies ou SDKs de rastreamento publicitário e não compartilha dados com redes de anúncios.
• Não fazemos publicidade comportamental nem venda de perfis.

17. Canal de proteção de dados e contato

Para exercer seus direitos, tirar dúvidas ou apresentar reclamações sobre o tratamento de dados, use o canal de proteção de dados do controlador:

• Encarregado: Gustavo Nishikawa, e-mail [email protected]
• Canal de atendimento ao titular: e-mail [email protected]

O canal acima é o ponto de contato oficial do Encarregado pelo Tratamento de Dados Pessoais (art. 41 da LGPD) para todos os assuntos de proteção de dados, e as solicitações são atendidas nos prazos da lei.

Se entender que seus direitos não foram atendidos, você também pode registrar reclamação junto à Agência Nacional de Proteção de Dados (ANPD), pelos canais oficiais em gov.br/anpd.

18. Alterações desta política

Podemos atualizar esta Política para refletir mudanças no aplicativo, na legislação ou nos serviços de terceiros. Quando houver mudança relevante, avisaremos pelos canais do aplicativo (por exemplo, e-mail ou aviso no app) antes de a nova versão passar a valer. A versão e a respectiva data sempre estarão indicadas no topo do documento. Mudanças que alterem a finalidade, a forma ou a duração do tratamento, a identificação do controlador ou o compartilhamento de dados são informadas com destaque e, quando o tratamento depender de consentimento, você poderá revogá-lo ou será pedido novo consentimento (art. 8º, §6º, e art. 9º, §2º, da LGPD). Se o elo passar a ser operado por outra sociedade, inclusive a que vier a ser constituída para o aplicativo, você será avisado com destaque antes da mudança, com a identificação da nova controladora. Nos demais casos, o uso continuado após a vigência da nova versão significa concordância com ela.

19. Legislação aplicável e foro

Esta Política é regida pela legislação brasileira, em especial a LGPD (Lei nº 13.709/2018), o ECA (Lei nº 8.069/1990), o ECA Digital (Lei nº 15.211/2025), o Marco Civil da Internet (Lei nº 12.965/2014), o Estatuto da Pessoa com Deficiência (Lei nº 13.146/2015), a Lei nº 12.764/2012 (proteção dos direitos da pessoa com transtorno do espectro autista) e o CDC (Lei nº 8.078/1990) quando aplicáveis. Fica eleito o foro da comarca de São Paulo/SP para dirimir controvérsias, respeitadas as regras de competência que protejam o consumidor.

20. Vigência, versão e histórico

A versão vigente e a respectiva data estão indicadas no topo desta página. Mudanças relevantes seguem a Seção 18.