Política de Privacidade

Esta Política explica como o Blummy trata dados pessoais no aplicativo: na conta, no espaço de trabalho, nos dados de pacientes que você registra, no formulário externo enviado a pacientes e responsáveis e nos recursos de Inteligência, WhatsApp e Bem-estar. A lista de lançamento e o site institucional têm um aviso próprio, em blummy.app/?pagina=privacidade. O Blummy está em fase de testes: quando um recurso muda o que acontece com os dados, esta Política muda junto.

Em resumo

• Pelos dados da sua conta, da assinatura e da segurança da plataforma, o Blummy é o controlador. Pelos dados dos seus pacientes, o controlador é você (ou a sua organização), e o Blummy trata esses dados em seu nome, como operador.
• Os dados do aplicativo ficam no Supabase, na região de São Paulo. Alguns fornecedores tratam dados fora do Brasil; o principal é a Anthropic (Estados Unidos), quando a Inteligência está ligada.
• A Inteligência só prepara rascunhos e sugestões para a sua revisão; nenhuma decisão sobre um paciente é tomada só por ela.
• Você exporta os seus dados e exclui a sua conta pelo próprio app. Excluir a conta apaga também os prontuários do espaço: a guarda pelo prazo da sua profissão é sua.
• O Blummy não vende dados pessoais e não usa dados para publicidade.

1. Quem é o controlador e como falar com ele

O Blummy é oferecido por Monise Sanches Rodrigues - T.O. (Blummy), CNPJ 47.638.307/0001-86. Para exercer direitos, tirar dúvidas, falar com quem responde pela privacidade (encarregado) ou relatar um incidente, escreva para contato@blummy.app. Nos assuntos de segurança, use o assunto “Segurança” e não envie dados de pacientes no relato.

2. Dois papéis: quando o Blummy decide e quando trata em seu nome

O Blummy é controlador dos dados que trata para oferecer e proteger a plataforma:

• conta e perfil: nome, e-mail, senha (guardada pelo serviço de autenticação, sem que o Blummy a veja) e preferências;
• credencial profissional: profissão, conselho, regional e número de registro, conferidos à mão na consulta pública oficial do conselho, quando conferidos;
• espaço e equipe: organização, papéis e vínculos;
• assinatura: plano, preço, período, situação dos pagamentos e identificadores do Asaas. O número do cartão e o CPF de quem paga são digitados na página do Asaas e não chegam ao Blummy;
• suporte: a mensagem que você escreve, a categoria, a tela em que estava, a versão do app e dados do navegador (idioma, tamanho da tela e identificação do navegador);
• segurança e auditoria: registros de quem abriu documentos e relatórios e de ações sensíveis, só com identificadores, datas e o tipo de ação, além de registros técnicos de acesso mantidos pelos provedores de hospedagem e de autenticação;
• uso do produto: qual tela foi aberta (pelo modelo do endereço, sem identificadores), qual botão marcado foi usado e o tipo de erro, sem texto digitado e sem dados de pacientes;
• Bem-estar: os check-ins, anotações e preferências que você registra na sua área pessoal, se ativá-la.

O Blummy é operador dos dados que você registra sobre a sua prática: pacientes e responsáveis, agenda, anamnese, avaliações, evoluções, plano terapêutico, medições, atividades, documentos e fotos, relatórios, financeiro dos atendimentos, respostas do formulário externo, conversas de WhatsApp com os seus contatos e rascunhos da Inteligência. Nesses dados, quem decide para que e como tratá-los é você ou a organização para a qual você trabalha. O Blummy os trata só para prestar o serviço, conforme as suas instruções (o que você configura e faz no app) e os Termos de Uso, e não os usa para finalidade própria: não vende, não faz publicidade e não treina modelos com eles. Sobre esses dados, o Blummy só faz contagens, sem conteúdo, para operar e dar suporte ao serviço, como espaço ocupado, cota de Inteligência, limites do plano e totais de uso no painel da equipe.

Se um paciente ou responsável escrever ao Blummy pedindo algo sobre os próprios dados, o pedido é encaminhado ao profissional ou à organização responsável, que decide e responde. O Blummy apoia esse atendimento com as ferramentas do app, como a exportação.

3. Para que usamos os dados e com qual base legal

Quando o Blummy é controlador:

• criar e manter a conta, prestar o serviço contratado (inclusive o plano Free), dar suporte e enviar avisos de serviço: execução de contrato (LGPD, art. 7º, V);
• conferir a credencial profissional: execução de contrato e legítimo interesse em manter a plataforma voltada a profissionais (art. 7º, V e IX). Nenhum recurso depende de o registro estar conferido;
• cobrar a assinatura: execução de contrato (art. 7º, V); guardar o registro dos pagamentos confirmados: cumprimento de obrigação legal e exercício regular de direitos (art. 7º, II e VI);
• proteger contas, prevenir fraude e abuso, investigar incidentes e manter auditoria: legítimo interesse e cumprimento de obrigação legal (art. 7º, IX e II), incluindo a guarda de registros de acesso exigida pelo Marco Civil da Internet (Lei 12.965/2014, art. 15);
• medir o uso do produto para corrigir falhas e decidir o que melhorar: legítimo interesse (art. 7º, IX), com os dados mínimos descritos acima. Você pode se opor pelo contato;
• guardar o que você registra no Bem-estar: o seu consentimento (art. 11, I), dado ao ativar a área, porque um autorrelato pode revelar informação sobre a sua saúde. Desativar ou apagar os registros, a qualquer momento, retira o consentimento;
• defender direitos em processo judicial, administrativo ou arbitral: exercício regular de direitos (art. 7º, VI, e art. 11, II, d).

Quando o Blummy é operador, a base legal é escolhida por você, como controlador. Para o registro do atendimento, as bases mais comuns são a tutela da saúde, em procedimento realizado por profissional de saúde (art. 11, II, f), e o cumprimento de obrigação legal ou regulatória, como a guarda do prontuário exigida pelo seu conselho (art. 11, II, a). Outros usos, como relatório para a escola, imagem, gravação ou apresentação de caso, costumam pedir autorização específica do paciente ou do responsável. O Blummy não registra esses consentimentos: o termo pode ficar guardado como documento do paciente.

4. Dados de saúde, de crianças e de adolescentes

Dado de saúde é dado pessoal sensível. No app, o conteúdo clínico de um paciente só é lido por quem está vinculado a ele e não é da recepção. Quem é dono ou administra o espaço, sem vínculo, não lê o conteúdo clínico; pode se vincular ao paciente, mas é um ato explícito e registrado. Quem escreveu um registro continua lendo o que escreveu. Essas regras valem no banco de dados, não só na tela.

O acesso clínico é por paciente: num espaço com mais de um profissional, quem está vinculado ao paciente lê os registros dos outros profissionais desse paciente. A exceção é a Psicologia: o que uma psicóloga ou um psicólogo registra (registros, atendimentos, plano, relatórios, documentos e instrumentos) só é lido por quem escreveu — nem colegas vinculados, nem quem administra o espaço leem; a equipe só vê que existe um registro restrito. Essa regra vale no banco de dados e também na Inteligência, que nunca usa esse conteúdo de outra pessoa.

O Blummy não é oferecido a crianças nem a adolescentes como usuários: as contas são de profissionais. Dados de crianças e de adolescentes chegam ao Blummy quando o profissional os registra ou quando o pai, a mãe ou o responsável legal preenche o formulário externo. Esse tratamento deve ser feito no melhor interesse da criança e do adolescente (LGPD, art. 14, e Enunciado CD/ANPD 1/2023), com o mínimo necessário ao atendimento. O formulário externo mostra a quem preenche quem pediu as informações, para que servem, quem as vê e como pedir acesso ou correção, e pede uma confirmação de ciência antes de começar.

5. Inteligência, Aura e decisões automatizadas

A Inteligência e a Aura vêm desligadas; quem é dono ou administra o espaço as liga. Ligadas, cada tarefa leva ao modelo de linguagem só o contexto de que precisa. Em outubro de 2026, o modelo é o Claude, da Anthropic, que processa os dados nos Estados Unidos. O que vai:

• nos rascunhos e sugestões clínicas (evolução, relatório, resumo, preparação da sessão, plano sugerido): os trechos do prontuário que a tarefa usa, com a idade e a faixa etária do paciente, sem data de nascimento e sem identificadores do banco. O nome cadastrado do paciente é trocado por “[paciente]”; outros nomes escritos em texto livre, como os de familiares ou da escola, seguem como estão. Documentos anexados ao prontuário não entram;
• na Aura: o que você escreve, como escreveu, e o resultado das consultas, com pacientes e colegas trocados por referências (P1, E1…);
• na leitura de um documento para importar uma anamnese: o arquivo inteiro (PDF, foto ou texto), inclusive a identificação escrita nele. Só acontece quando você escolhe o arquivo;
• nunca: o autorrelato do Bem-estar, as conversas de WhatsApp e as respostas do formulário externo. Da área de Bem-estar, só os fatos da agenda (quantidade e sequência de atendimentos) podem chegar ao modelo pela Aura.

O Blummy não usa prontuários para treinar modelos, e o app não tem caminho de código que faça isso. O que o provedor faz com os dados recebidos, inclusive por quanto tempo os guarda, segue o contrato e os termos comerciais dele. A Aura avisa na tela que usa um modelo externo.

Nenhuma decisão sobre pacientes, sobre a sua conta ou sobre os seus direitos é tomada só por tratamento automatizado. Rascunhos precisam ser aceitos e finalizados por você; ações da Aura que mudam dados mostram uma prévia e só acontecem com a sua confirmação. As regras fixas do app (prioridade dos avisos, limites do plano, contatos de apoio no Bem-estar) são aplicadas da mesma forma para todos. Se você entender que alguma decisão automatizada afetou os seus interesses, pode pedir revisão pelo contato (LGPD, art. 20).

6. Com quem os dados são compartilhados

O Blummy não vende dados pessoais. Os dados passam só pelos fornecedores necessários para o serviço, cada um com o que precisa para o seu trabalho:

• Supabase (banco de dados, autenticação, arquivos e rotinas agendadas): todos os dados do aplicativo, guardados na região de São Paulo (Brasil). É uma empresa estrangeira, com acesso técnico à infraestrutura nos termos do contrato dela.
• Hostinger (servidor do aplicativo e do site, e envio de e-mails de aviso): todo o tráfego do app passa pelo servidor, que não guarda os dados do app além de registros técnicos. Os e-mails de aviso, desligados por padrão, levam só um texto genérico, sem nome de paciente nem conteúdo clínico.
• Serviço de e-mail da autenticação, configurado no Supabase: e-mail e links de confirmação, de acesso e de redefinição de senha.
• Anthropic (Estados Unidos), só com a Inteligência ligada: o que está descrito na seção 5.
• Asaas (Brasil), só para quem assina um plano pago: os dados de cobrança de quem paga, nunca conteúdo clínico.
• Meta (WhatsApp Cloud API), só quando você conecta o seu número: o telefone de quem recebe, o texto das mensagens e as variáveis dos modelos (primeiro nome, data, horário, nome do profissional, valor e vencimento, link do formulário), e as mensagens que os seus contatos enviam. Ao conectar, o navegador carrega o código de cadastro da Meta. A Meta trata esses dados fora do Brasil e também pelos termos que você aceita com ela.
• Google Fonts: o navegador baixa a fonte do aplicativo dos servidores do Google, que recebem o endereço IP e dados do navegador, inclusive na página do formulário externo.
• Serviço de voz do navegador, só se você aceitar usar a voz da Aura nesse modo: o fabricante do navegador pode receber o áudio do pedido. No modo “no aparelho”, o áudio não sai do aparelho. O Blummy não guarda áudio nem a transcrição.

Dados também podem ser entregues a autoridades quando a lei ou uma ordem judicial exigir, no limite do que for exigido.

7. Transferência internacional

Há transferência de dados para fora do Brasil quando a Inteligência está ligada (Anthropic, Estados Unidos), quando você conecta o WhatsApp (Meta), quando o navegador baixa a fonte do Google, quando você usa a voz do navegador e no acesso técnico dos fornecedores estrangeiros à infraestrutura. A finalidade de cada transferência é a da seção 6, e ela dura o tempo de processar a tarefa ou o que o contrato do fornecedor prevê. Nos dados de pacientes, a transferência acontece porque o profissional ou a organização liga o recurso; desligar a Inteligência ou desconectar o WhatsApp interrompe os novos envios.

O mecanismo que o Blummy adota para essas transferências são as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD 19/2024). Em 19 de outubro de 2026, a formalização dessas cláusulas com cada fornecedor estrangeiro ainda não estava concluída. Você pode pedir a situação de cada fornecedor e o texto das cláusulas pelo contato, e tem os mesmos direitos da seção 10, inclusive o de reclamar à ANPD.

8. Por quanto tempo os dados ficam

• Conta, perfil e dados do espaço (pacientes, prontuário, documentos, agenda, financeiro, conversas de WhatsApp, respostas recebidas do formulário externo, rascunhos e histórico da Inteligência, auditoria clínica e suporte): enquanto a conta existir. Na exclusão da conta, são apagados (seção 11).
• Rascunhos clínicos excluídos: ficam na lixeira por 90 dias e depois são apagados.
• Importação de documento pela Inteligência: a conferência vale por 14 dias e é esvaziada depois. O arquivo enviado sai ao concluir ou cancelar a importação; o de uma importação vencida pode continuar no armazenamento privado até ser removido pela equipe ou até a exclusão da conta.
• Formulário externo: o link vale de 1 a 30 dias (padrão de 7). O que não foi enviado, ou foi revogado, fica disponível para exclusão 30 dias depois de o link vencer. O que foi enviado fica com o espaço.
• Avisos: os resolvidos ou vencidos saem em 45 dias; os informativos já lidos, em 120 dias; lembretes usados, em 90 dias.
• WhatsApp: eventos técnicos saem em 30 dias. O texto das mensagens e os arquivos recebidos ainda não têm prazo próprio e ficam até a exclusão da conta.
• Uso do produto: 400 dias. Totais diários, sem pessoa, ficam sem prazo.
• Registro mínimo dos pagamentos confirmados (sem dado clínico): fica depois da exclusão da conta, para obrigações fiscais e defesa de direitos. A exclusão automática ao fim desse prazo ainda não está implementada.
• Trilha de auditoria das ações da equipe Blummy e registro das exclusões de conta (sem pessoa nem espaço): sem prazo de exclusão, para segurança e defesa de direitos.
• Cópias de segurança do provedor do banco podem conter dados por um período depois da exclusão, até serem substituídas.

9. O que fica no seu navegador

O app não usa cookies de publicidade nem de medição. No armazenamento do navegador ficam: a sessão de acesso (até você sair da conta); uma cópia de texto clínico não salvo, criada só quando um salvamento falha e apagada quando você recupera, descarta ou sai da conta; preferências da tela, como a visão da agenda, o modo privacidade e o modo de voz da Aura; e a memória dos sinais da Aura (14 dias, apagada ao sair). Durante a aba aberta ficam a última busca de pacientes (nunca um número que pareça documento) e o recorte da agenda. O único cookie é técnico: na conexão do WhatsApp pelo celular, um cookie protegido de até 30 minutos prende o retorno da Meta ao navegador que começou. Sair da conta apaga a sessão, as cópias de rascunho e a memória da Aura, mas algumas preferências ficam: em computador compartilhado, saia da conta e limpe os dados do site.

10. Seus direitos e como exercê-los

Conforme a LGPD (art. 18), você pode pedir confirmação de que tratamos os seus dados e acesso a eles, correção, anonimização, bloqueio ou eliminação do que for desnecessário ou excessivo, portabilidade, informação sobre com quem compartilhamos, informação sobre a possibilidade de não consentir, revogação do consentimento, oposição a um tratamento e revisão de decisão automatizada.

• No app: corrigir o perfil, exportar os seus dados em ZIP (Configurações → Privacidade e dados → “Seus dados”), apagar os registros do Bem-estar e excluir a conta.
• Por e-mail: contato@blummy.app. A confirmação e o acesso em formato simplificado são imediatos quando possível; a declaração completa sai em até 15 dias (art. 19). Podemos pedir confirmação de identidade antes de entregar ou mudar dados.
• Pedidos sobre dados de pacientes são encaminhados ao profissional ou à organização responsável (seção 2).
• Alguns pedidos têm limites legais, como a guarda obrigatória do prontuário ou de registros fiscais. Quando não pudermos atender, explicamos o motivo.
• Você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

11. Exportação e exclusão da conta

A exportação gera, no seu navegador, um arquivo ZIP com os seus registros, documentos e arquivos, em planilhas e páginas legíveis, e nunca inclui dado de colega. O arquivo não é cifrado. Se algo não puder ser incluído, o ZIP diz o que faltou.

Para excluir a conta, você escreve uma frase de ciência e digita a senha de novo. A conta fica travada na tela por 7 dias, e você pode desistir até a remoção começar; nesse período a exportação continua disponível. Depois, a rotina do servidor apaga os arquivos e todos os dados do espaço, inclusive pacientes, prontuários, relatórios, documentos, agenda, financeiro e conversas, e então a conta. Ficam só o registro mínimo de pagamentos, o registro da exclusão, a trilha de auditoria da equipe e as cópias de segurança do provedor do banco até serem substituídas (seção 8). O que já foi entregue a terceiros segue as regras deles, como as cobranças no Asaas e as mensagens na conta de WhatsApp Business do profissional. Um espaço com outras pessoas ou com assinatura ativa só pode ser excluído depois de resolvidas essas situações.

Como controlador, você responde pela guarda do prontuário pelo prazo que a sua profissão exige. Exporte os dados antes de excluir a conta.

12. Segurança

O Blummy aplica as regras de acesso no banco de dados (políticas por linha e funções que conferem papel e vínculo), separa os dados por espaço, guarda arquivos em áreas privadas abertas por links temporários (2 minutos para documentos), registra a abertura de documentos e relatórios, impede a alteração de registros finalizados, usa conexão cifrada (HTTPS), guarda o acesso ao WhatsApp cifrado no servidor e exige duas etapas e autenticação recente no painel da equipe. Ainda não há verificação em duas etapas para as contas de quem atende, a sessão não se encerra sozinha por inatividade e não há criptografia de ponta a ponta: o servidor precisa ler os dados para o app funcionar. Quem opera a infraestrutura tem acesso técnico ao banco; as regras de acesso valem para o app, e esse acesso técnico é usado para operar, corrigir e proteger o serviço.

13. Incidentes de segurança

Quando um incidente puder causar risco ou dano relevante, o Blummy avalia o caso e, nos dados em que é controlador, comunica a ANPD e as pessoas afetadas no prazo da Resolução CD/ANPD 15/2024. Nos dados de pacientes, o Blummy avisa o profissional ou a organização responsável assim que confirmar o incidente, com as informações de que dispuser, para que possam cumprir as próprias obrigações. Todo incidente é registrado, mesmo os que não precisam ser comunicados.

14. Mudanças nesta Política

Cada mudança relevante gera uma nova versão, com a data no topo. Quando a mudança afetar o que acontece com os seus dados, avisamos no app antes de ela valer e pedimos a sua ciência da nova versão.