← Voltar

Política de Privacidade

Versão 2026-04-30

1. Quem somos

O ProntuVet (a "Plataforma") é operado por Romero Saraiva, pessoa física, brasileiro, com sede comercial no Brasil. CPF mantido sob sigilo, fornecido mediante solicitação por escrito a contato@prontuvet.com em casos de necessidade legítima.

Esta Política descreve como coletamos, usamos, armazenamos, compartilhamos e protegemos dados pessoais, em conformidade com a Lei nº 13.709/2018 (LGPD).

2. Encarregado pelo tratamento (DPO)

O Encarregado pelo Tratamento de Dados Pessoais é Romero Saraiva. Para exercício de direitos do titular ou dúvidas de privacidade, escreva para privacidade@prontuvet.com. Respondemos em até 15 (quinze) dias contados do protocolo da solicitação.

3. Dados coletados e base legal

DadoTitularBase legal (LGPD)
Nome, e-mail, CPF, endereço, telefoneVeterinárioExecução de contrato (Art. 7º, V)
Especialização, data de nascimentoVeterinárioConsentimento (Art. 7º, I)
Áudio da consultaVet + tutor + animalExecução de contrato (vet é controlador dos dados do tutor)
Transcrição e prontuário estruturadoPaciente / Tutor (via vet)Execução de contrato
Nome do tutor, nome / espécie / raça do animalTutorExecução de contrato
IP, user-agent, registros de uso e aceiteVeterinárioLegítimo interesse (Art. 7º, IX) — segurança, anti-fraude e auditoria
Anexos clínicos (imagens, exames)PacienteExecução de contrato
Hash SHA-256 de Tokens MCP, último uso do tokenVeterinárioExecução de contrato + segurança

4. Áudio, IA generativa e transferência internacional

4.1. O áudio gravado pelo Veterinário é enviado em tempo real, via HTTPS, para o modelo Google Gemini 2.5 Flash Lite, operado por Google LLC nos Estados Unidos. O retorno é uma transcrição textual e um prontuário estruturado em formato JSON.

4.2. O áudio bruto não é armazenado em nossos servidores nem em servidores do Google após o processamento. Apenas a transcrição e o prontuário estruturado são persistidos no Supabase, região São Paulo, vinculados à conta do Veterinário.

4.3. A transferência internacional para os Estados Unidos é amparada por Cláusulas Contratuais Padrão (CCP) aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024) ou instrumento equivalente vigente, e tem como base legal o consentimento expresso do Usuário, manifestado em campo dedicado no momento do cadastro.

4.4. Conforme a política vigente do Google em relação à API Gemini em planos pagos, os dados enviados via API não são utilizados para treinamento de modelos de IA generativa. Eventuais alterações nessa política serão refletidas em atualizações desta Política, com re-aceite quando materiais.

4.5. O Usuário pode, a qualquer momento, deixar de utilizar o serviço. Não é tecnicamente viável usar o ProntuVet sem o processamento por IA descrito acima.

5. Sub-operadores

O ProntuVet contrata os seguintes sub-operadores, todos vinculados a contratos que vedam uso próprio dos dados além do estritamente necessário à prestação do serviço:

  • Supabase (Supabase, Inc.) — banco de dados PostgreSQL e autenticação. Armazenamento na região São Paulo, Brasil.
  • Vercel (Vercel Inc., EUA) — hospedagem da aplicação Next.js, processamento de requisições.
  • Google Gemini (Google LLC, EUA) — processamento do áudio em IA, conforme cláusula 4.
  • Asaas (Asaas Gestão Financeira S.A., Brasil) — processamento de pagamentos recorrentes (boleto, Pix, cartão).
  • Resend (Resend, Inc., EUA) — envio de e-mails transacionais (boas-vindas, convites, recuperação de senha). Recebe nome e e-mail do Usuário.
  • Sentry (Functional Software, Inc., EUA) — observabilidade e monitoramento de erros. Configurado para não receber dados pessoais clínicos; cabeçalhos de autenticação e cookies são removidos no envio (beforeSend).
  • Upstash Redis (Upstash, Inc., EUA) — limitação de taxa (rate limiting) por usuário e IP. Não armazena dados clínicos.
  • Cloudflare Turnstile (Cloudflare, Inc., EUA) — proteção anti-bot na tela de login e cadastro.

As transferências internacionais (Vercel, Google, Resend, Sentry, Upstash, Cloudflare) ocorrem sob Cláusulas Contratuais Padrão da ANPD ou instrumento equivalente.

6. Acesso programático (MCP)

O ProntuVet permite que o Veterinário gere Tokens de Acesso Pessoal (PAT) para conectar clientes externos de inteligência artificial (Claude Desktop, Cursor, etc.) via servidor MCP em /api/mcp. O token raw é exibido apenas uma vez no momento da criação; o ProntuVet armazena somente o seu hash SHA-256. As ferramentas expostas são exclusivamente de leitura, escopadas à conta do Veterinário autenticado.

7. Retenção

7.1. Dados cadastrais e de faturamento (perfil, contatos, histórico de cobrança Asaas) são mantidos enquanto a conta estiver ativa. Após exclusão da conta, são removidos em até 30 dias, salvo obrigação legal de retenção (p.ex., dados fiscais por 5 anos, conforme legislação tributária aplicável).

7.2. Prontuários, transcrições e anexos clínicos são mantidos enquanto a conta estiver ativa, sob responsabilidade do Veterinário (Controlador). Após exclusão da conta, são removidos em até 30 dias.

7.3. Histórico de aceites (Termos, Privacidade, IA) é mantido em tabela append-only com IP e user-agent enquanto a conta estiver ativa, e excluído junto com a conta.

7.4. Tokens MCP permanecem revogáveis a qualquer momento; após revogação, o registro é mantido em estado "revogado" para auditoria, sem permitir novos acessos.

8. Direitos do titular (Art. 18 LGPD)

O Usuário pode, a qualquer momento:

  • confirmar a existência de tratamento;
  • acessar e exportar seus dados — Perfil → Exportar dados, formato JSON;
  • corrigir dados incompletos, inexatos ou desatualizados;
  • solicitar anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
  • obter informações sobre os sub-operadores com quem compartilhamos dados (todos listados na cláusula 5);
  • revogar o consentimento (ressalvado que a operação do serviço depende do consentimento de processamento por IA);
  • excluir a conta completamente — Perfil → Excluir conta.

Solicitações relativas a tutores e pacientes (terceiros, não-titulares da conta) devem ser direcionadas ao Veterinário responsável pelo prontuário, na qualidade de Controlador (Art. 5º, VI LGPD).

9. Segurança

Aplicamos controles técnicos e organizacionais proporcionais aos riscos:

  • Row Level Security (RLS) ativa em todas as tabelas com dados pessoais ou clínicos;
  • TLS em todas as comunicações entre cliente, servidor e sub-operadores;
  • Tokens de sessão com expiração e renovação automática (Supabase Auth);
  • Tokens MCP armazenados como hash SHA-256, nunca em texto;
  • ProntuLink com TTL de 14 dias e revogação manual a qualquer momento;
  • Limitação de taxa (rate limiting) por usuário, IP e operação sensível;
  • Isolamento de chaves de API em variáveis de ambiente server-side;
  • Filtros de envio para o Sentry que removem cookies, autorização e demais cabeçalhos sensíveis antes do upload;
  • CAPTCHA no cadastro e no login para mitigação de tentativas automatizadas.

10. Cookies

Usamos cookies estritamente necessários para manter a sessão de autenticação (Supabase Auth) e para o desafio anti-bot (Cloudflare Turnstile). Não utilizamos cookies de rastreamento, perfilamento ou publicidade.

11. Comunicação de incidentes

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados em prazo razoável, conforme Art. 48 da LGPD e regulamentação vigente.

12. Alterações

Esta Política pode ser atualizada. Mudanças materiais (alterações em finalidades de tratamento, sub-operadores, transferência internacional ou direitos do titular) acionam re-aceite obrigatório no primeiro acesso autenticado posterior à publicação. Mudanças cosméticas são informadas por e-mail sem novo aceite.

13. Contato