No banco de dados
Quem pode ler cada linha é decidido pelas políticas do banco e por funções que conferem o vínculo e o papel. Se alguém falar com o banco por fora da tela, a regra vale do mesmo jeito.
Segurança e privacidade
Dados de criança pedem mais do que um cadeado no rodapé.
Esta página não tem selos nem adjetivos. Ela descreve o que a Blummy faz: quem vê o quê, o que nunca muda, para onde cada dado vai e o que ainda não fazemos.
Em uma olhada
- Banco de dados na região de São Paulo
- Prontuário só para quem atende o paciente
- Registro finalizado não muda
- Documentos privados, abertos por link de 2 minutos
- Exportação dos seus dados e exclusão de conta
- Nenhum rastreador de publicidade
Veja na prática
O que acontece se…
Escolha uma situação e veja o que o app faz, com a regra que a garante e o lugar onde ela mora. As respostas foram escritas a partir do código e dos testes do app; nada é executado aqui.
Prontuário, financeiro e espaços separados.
A recepção tenta abrir a evolução de um paciente.
Aperte para ver o que a Blummy faz quando isso acontece. A resposta foi escrita a partir do código e dos testes do app.
Onde cada regra mora
Valem no banco de dados, não só na tela.
Uma tela bem desenhada não protege nada se o banco responder a quem pedir. Por isso as regras de acesso ficam em três camadas, e a que decide é a de baixo.
No servidor
As funções do servidor conferem de novo a pessoa, o papel e o vínculo antes de alterar dados. As da Inteligência agem com a sessão da própria pessoa; cobrança e exclusão de conta usam uma chave de servidor, que nunca vai ao navegador.
Na tela
A tela só reflete o que o banco permite: o botão que você não pode usar não aparece. Ela ajuda a pessoa, mas nunca é a única barreira.
Quem toca nos dados
Os fornecedores principais, pelo nome.
Cada um recebe só o que precisa para fazer o seu trabalho. A Blummy não vende dados pessoais nem os usa para publicidade comportamental.
| Quem | O que faz | Que dados passam por ele |
|---|---|---|
| Supabase | Banco de dados, autenticação e arquivos | Tudo o que você registra no app. A região é a de São Paulo (sa-east-1). |
| Hostinger | Servidor do aplicativo e do site | Executa o aplicativo que fala com o banco. O endereço blummy.app também é servido por ela. |
| Asaas | Pagamento da assinatura | Dados de cobrança de quem assina. Nunca conteúdo clínico. |
| Provedor de IA (em outubro de 2026, a Anthropic) | Modelo de linguagem, só com a Inteligência ligada | O contexto mínimo de cada tarefa, inclusive trechos do prontuário nos rascunhos, com o nome cadastrado do paciente trocado por “[paciente]”; o que você digita para a Aura; e o arquivo inteiro, quando você importa um documento. Processa nos Estados Unidos. Veja o caminho completo abaixo. |
| Meta (WhatsApp) | Mensagens pelo WhatsApp, só se você conectar o seu número | O telefone de quem recebe, o texto das mensagens e as respostas dos seus contatos. Processa fora do Brasil, pelas regras dela. |
| Serviço de voz do navegador | Reconhecimento de voz da Aura, quando o aparelho não reconhece a voz sozinho | O áudio do pedido, só se você aceitar usar a voz do navegador. A Blummy não guarda áudio nem texto. |
| Google Fonts | A fonte Inter do aplicativo | O endereço IP e o navegador, como em qualquer pedido de arquivo. O site público tem a fonte própria. |
Também entram um serviço de e-mail para as mensagens da conta, a API de e-mail da Hostinger para as mensagens da lista de lançamento, o banco da lista de lançamento (no Supabase, nos Estados Unidos, separado do banco do app), a agenda do Google quando você marca a conversa de 20 minutos e o WhatsApp no Grupo VIP, que é opcional. A Política de Privacidade descreve os fornecedores, os papéis de cada parte e a transferência internacional.
Se você liga a Inteligência
O caminho de um rascunho, do prontuário até você.
A IA é a parte em que o dado sai do nosso servidor. Por isso ela é opcional, e o caminho está escrito por inteiro.
Ver o módulo Inteligência- 1
Ela vem desligada
Quem administra o espaço liga a Inteligência, e a Aura (a assistente) tem outra chave. Sem isso, nada do que você escreve vai a nenhum modelo. Os rascunhos usam a cota de Inteligência do plano, e a conversa livre com a Aura é do plano Pro.
- 2
Só vai o contexto mínimo
Cada tarefa leva o que precisa, e não o prontuário inteiro. Nos rascunhos, o nome cadastrado do paciente vira “[paciente]”; nomes de familiares, de escola e outros dados escritos em texto livre seguem como estão. Os documentos anexados ao prontuário não entram. O que você digita para a Aura vai ao modelo como escrito.
- 3
O modelo pode ser de fora
O modelo pode rodar no servidor da própria Blummy ou num provedor externo, definido na configuração do servidor. Em outubro de 2026, a Blummy usa um provedor externo (a Anthropic, com o modelo Claude), que processa os dados nos Estados Unidos, e a liberação que permite gerar rascunhos clínicos com ele está ligada: o contexto desses rascunhos também sai do Brasil. A Aura avisa na tela quando o modelo é externo.
- 4
Volta como rascunho
Cada frase aponta a fonte no prontuário e, por regras fixas, o app sinaliza o que não tem fonte ou parece diagnóstico; a detecção é aproximada, e a revisão é sua. Aceitar um rascunho não finaliza nada.
- 5
Nada treina o modelo
A Blummy não usa prontuários para treinar modelos, e o app não tem caminho de código que faça isso. A política de retenção do provedor externo é dele.
Uma exceção, que é sua escolha: importar uma anamnese de um documento envia o arquivo inteiro ao modelo configurado, e a identificação escrita nele vai junto. Só acontece quando você escolhe o arquivo, e a tela avisa antes.
Seus dados são seus
Levar embora e excluir não deveriam exigir um pedido por e-mail.
Os dois caminhos estão dentro do app, no mesmo lugar, e a tela de exclusão oferece a exportação antes.
Levar tudo, de uma vez só
Configurações → Privacidade e dados → “Seus dados” gera um arquivo ZIP no seu navegador, com os seus registros e documentos, em planilhas e páginas legíveis. Não entram a cobrança do plano, a trilha de auditoria nem a lixeira, e nunca o dado de um colega. O arquivo não é cifrado, e fora do Chrome e do Edge há limite de tamanho. Se algo não puder ser incluído, o ZIP diz o que faltou, e a tela avisa para você não excluir ainda.
Excluir a conta, com tempo de desistir
Você escreve uma frase de ciência e digita a senha de novo. A conta fica travada por 7 dias, e você pode desistir até a remoção começar. Depois, os dados e os arquivos da conta saem da Blummy; ficam o registro mínimo de pagamentos confirmados, o que o Asaas guarda pelas regras dele e, por mais tempo, as cópias de segurança do provedor do banco. A guarda do prontuário pelo prazo da sua profissão é uma obrigação sua: por isso a tela oferece a exportação antes. Assinatura ativa e outras pessoas no espaço impedem a exclusão até serem resolvidas.
O que a Blummy ainda não faz
- Não há verificação em duas etapas para a sua conta (ela existe no painel da equipe da Blummy).
- Não há assinatura eletrônica (ICP-Brasil): finalizar um registro o preserva, mas não o assina.
- Não há criptografia ponta a ponta: os dados trafegam por HTTPS, mas o servidor precisa lê-los para o app funcionar.
- Nenhum conselho, órgão ou empresa de auditoria certificou a Blummy.
- Não prometemos tempo de funcionamento (SLA) nem prazo de recuperação de backup.
- Você ainda não vê a trilha de quem abriu o quê: o app grava as aberturas em segundo plano, mas não há tela para consultá-las.
- A sessão não se encerra sozinha por inatividade: em computador compartilhado, saia da conta. O ZIP da exportação também não é cifrado.
- Não registra o consentimento dos responsáveis para tratar os dados da criança: informar a família e decidir a base legal é com você.
- Quem opera a infraestrutura do banco tem acesso técnico a ele; as regras de acesso valem para o app, não para esse acesso.
- As cláusulas-padrão da ANPD para levar dados a fornecedores fora do Brasil (como a Anthropic e a Meta) ainda não estão formalizadas com cada um deles.
- O formulário externo mostra um aviso de privacidade e pede a ciência de quem preenche, mas essa ciência ainda não fica registrada no banco.
Quem responde
Uma pessoa, um endereço, um prazo.
Pelos dados de conta, contratação e segurança responde Monise Sanches Rodrigues - T.O., CNPJ 47.638.307/0001-86. Pelos dados dos seus pacientes, responde você: a Blummy opera a infraestrutura sob as suas instruções.
Dúvidas, pedidos sobre dados e relatos de falha de segurança: contato@blummy.app. Na lista de lançamento respondemos em até 15 dias; na conta do app valem os prazos da Política de Privacidade.
Dúvidas
Perguntas sobre dados
Quem vê o prontuário que eu escrevo?
Só quem atende o paciente, com vínculo registrado e fora da recepção. A recepção vê a agenda e o cadastro, nunca a evolução. Quem administra o espaço, sem vínculo com o paciente, não lê o conteúdo clínico; pode se vincular a ele, mas é um ato explícito e fica registrado. Na Psicologia, a regra é mais estreita: o que a psicóloga ou o psicólogo registra só é lido por quem escreveu, nem por colegas vinculados, nem por quem administra e se vincula. A regra vale no banco de dados, não só na tela.
Dá para corrigir ou apagar uma evolução finalizada?
Pelo app, não: registro finalizado não se edita nem se exclui, e a correção entra como adendo, com data e autor. Só a exclusão da conta remove tudo, depois de 7 dias. Já os rascunhos podem ser excluídos por quem os escreveu e voltam da lixeira por até 90 dias.
Onde ficam os dados?
O banco de dados, a autenticação e os arquivos ficam no Supabase, na região de São Paulo. O servidor da aplicação é da Hostinger. A página de Segurança traz os fornecedores principais e o que cada um toca, inclusive o provedor de IA, quando a Inteligência está ligada.
Posso levar meus dados embora?
Pode. Em Configurações → Privacidade e dados, “Seus dados” gera um arquivo ZIP, no seu navegador, com os seus registros, documentos e arquivos, em planilhas e páginas legíveis. Não entram a cobrança do plano, a trilha de auditoria nem a lixeira de rascunhos. O arquivo não é cifrado, e fora do Chrome e do Edge há limite de tamanho. Ainda não existe importação de dados de outro sistema.
Posso excluir a minha conta?
Pode. Você escreve uma frase de ciência, digita a senha de novo e a conta fica travada por 7 dias, para você poder desistir. Depois, os dados e os arquivos da conta saem da Blummy. Ficam o registro mínimo de pagamentos confirmados, que o prazo fiscal exige, e o que o Asaas guarda pelas regras dele; as cópias de segurança do provedor do banco podem manter os dados por mais tempo. Assinatura ativa e outras pessoas no espaço impedem a exclusão até serem resolvidas.
A Blummy cumpre a LGPD?
Nenhum software cumpre a LGPD sozinho: a lei vale para quem trata o dado, e essa é a profissional. O que a Blummy faz é dar o comportamento que ajuda: acesso por vínculo, registro interno de cada abertura de documento, exportação, exclusão de conta e nenhum rastreador de marketing dentro do app. Por isso a página de Segurança descreve comportamentos, e não selos.
Pronta para ver na sua rotina?
Registre uma vez. Reaproveite onde precisar.
O acesso grátis não custa nada e não obriga a nada. Se preferir conversar antes, reservamos 20 minutos para ouvir a sua rotina.