Política de Privacidade
1. Quem somos
A área de membros é um serviço do consultório de nutrição da Giovana Cezar (CNPJ informado mediante solicitação). Esta Política explica o que coletamos quando você, como paciente ativo, acessa materiais clínicos por aqui.
2. Dados que coletamos
- Email: importado do cadastro do consultório (Gestor) com a finalidade exclusiva de dar acesso ao seu material clínico.
- Senha: armazenada com hash bcrypt (custo 12). Em nenhum momento conseguimos ler a sua senha.
- Eventos de visualização: registramos quais materiais você abriu e quando, para mostrar "Vistos recentemente" e badges de novidade.
- Logs de aplicação: IP, user agent e timestamp de login. Mantidos por 30 dias para detecção de abuso e diagnósticos.
- Aceite de termos: gravamos a versão dos termos aceita e a data, para fins de auditoria e LGPD.
- Fotos de evolução, se você decidir enviar (seção 12).
- Mensagens da caixa "Ferramenta em testes", se você decidir escrever (seção 6).
3. Base legal e finalidades (LGPD)
O tratamento dos seus dados se ampara em execução de contrato com você (acesso aos materiais comprados) e em obrigação legal (registros que precisamos manter para fins fiscais e de auditoria).
Fotos de evolução: consentimento (LGPD, art. 11, I), ver seção 12.
4. Compartilhamento com terceiros
Não vendemos, alugamos ou cedemos seus dados. Operamos com os seguintes fornecedores técnicos, sob contrato:
- Resend (provedor de email): envia os emails de acesso e recuperação.
- Cloudflare R2 (armazenamento): guarda PDFs, áudios e fotos. Acesso só por links temporários e assinados: até 2 horas para fotos de corpo e de posts privados, até 2 dias para fotos de posts públicos e de perfil, até 7 dias para materiais do acervo. As capas dos materiais e as imagens de alimentos, que não têm dado pessoal, são públicas.
- Sentry (monitoramento): captura erros técnicos. Configuramos para não registrar email, cookie de sessão ou conteúdo do que você digitou.
- YouTube (modo sem cookies): lives gravadas são incorporadas via
youtube-nocookie.com, sem cookies de tracking. - Hostinger (servidor): infraestrutura onde rodamos a aplicação no Brasil.
- Serviço de notificações do navegador (Google, Apple, Mozilla ou Microsoft), só se você ativar os avisos: recebe o aviso cifrado para entregar ao seu aparelho (seção 16).
Não usamos Google Analytics, Meta Pixel, Hotjar ou qualquer ferramenta de rastreamento publicitário.
5. Cookies
Usamos os seguintes cookies neste app:
__Host-membros_session(essencial, 30 dias com renovação automática) - autenticação da sua conta. Flags HttpOnly, Secure, SameSite=Lax.membros_anonymous_id(essencial, 365 dias) - identificador anônimo gerado no seu navegador pra registrar sua escolha de cookies antes de você logar.membros_cookie_consent_v1(essencial, 365 dias) - guarda a sua escolha entre "Aceitar todos" e "Apenas essenciais", junto com a versão da política vigente quando você escolheu.umami.*(análise, 30 dias) - gravados apenas se você autorizar "Aceitar todos". Identifica sua sessão no nosso sistema interno de estatísticas (Umami) pra entendermos quais materiais são mais usados.
Você pode revogar a autorização de cookies de análise a qualquer momento em Configurações. Não usamos cookies de marketing, publicidade ou rastreamento de terceiros.
6. Analytics e estatísticas de uso
Quando você autoriza "Aceitar todos" no banner de cookies, gravamos estatísticas anônimas sobre o uso do aplicativo (páginas visitadas, materiais abertos, tempo médio em cada material). Usamos o Umami, uma ferramenta de análise que hospedamos na nossa própria infraestrutura - os dados não saem do nosso servidor e não são compartilhados com Google Analytics, Meta, ou qualquer outra plataforma externa.
Base legal: consentimento (LGPD Art. 7, inciso I). Você pode revogar a qualquer momento em Configurações. Após revogar, paramos de coletar dados novos imediatamente.
Retenção: estatísticas anonimizadas ficam guardadas por tempo indeterminado para análise histórica do serviço (ex: ver como o engajamento mudou ao longo dos meses). Para apagar dados de análise já coletados associados à sua conta, escreva para o Encarregado de Dados (seção 15).
Busca da área de membros. Pra melhorar a busca, contamos por semana os termos digitados nela: quantas vezes cada termo foi buscado, quantas vezes não trouxe resultado e se algum resultado foi aberto. Essa contagem não guarda quem buscou, nem a hora, nem qual material foi aberto, e por isso não depende da sua escolha no banner de cookies. Os termos buscados também não ficam nos registros técnicos do servidor. A contagem é apagada depois de 12 meses.
"Posso trocar?". Pra melhorar a ferramenta, contamos por semana os termos buscados nela que não trouxeram resultado e as trocas marcadas com "Essa troca não faz sentido". Essas contagens seguem a regra da busca: não guardam quem foi nem a hora, não dependem da sua escolha no banner de cookies, não ficam nos registros técnicos do servidor e são apagadas depois de 12 meses.
Caixa "Ferramenta em testes". Se você escrever pela caixa, guardamos o texto, a sua conta, a data e o que estava aberto na tela (o alimento, a quantidade, a medida e a ordem da lista). A mensagem é lida pela administração do consultório para corrigir erros e melhorar a ferramenta, e não faz parte do seu acompanhamento clínico. Ela é apagada depois de 12 meses, ou antes, se a sua conta for excluída, e entra nos pedidos de acesso e de exclusão dos seus dados (seção 7). O texto não fica nos registros técnicos do servidor nem na ferramenta de erros (Sentry). Base legal: consentimento, que você dá ao escrever (LGPD, art. 7º, I). Evite escrever dados de saúde ou de outras pessoas que não sejam necessários.
7. Seus direitos
Você tem direito a confirmar, acessar, corrigir, anonimizar, bloquear ou eliminar dados pessoais (Lei 13.709/2018, art. 18).
Para exercer esses direitos (acesso, correção, portabilidade, exclusão da conta e dos dados), escreva para guilherme@giovanacezar.eu (Encarregado de Tratamento de Dados) e respondemos em até 15 dias úteis. A portabilidade inclui as fotos de evolução que você enviou.
8. Retenção e exclusão automática
- Se sua jornada com o consultório terminar, sua conta entra em período de carência (5 dias) e depois é bloqueada automaticamente.
- Contas bloqueadas há mais de 6 meses são apagadas automaticamente por uma rotina semanal.
- Cópias de segurança do banco: fazemos cópias cifradas do banco de dados várias vezes ao dia, guardadas por até 35 dias. Depois desse prazo, o dado apagado sai totalmente do nosso ambiente.
- Logs de aplicação: rotacionam em 30 dias.
Importante: diferentes níveis de exclusão. Excluir sua conta na área de membros remove o acesso, a senha e o histórico de visualizações armazenados aqui. Os dados clínicos que o consultório mantém sobre você (prontuário, peso histórico, observações da equipe, briefings, planos alimentares) seguem regra própria do Conselho Federal de Nutricionistas e ficam retidos pelo prazo profissional aplicável, mesmo após o encerramento da sua jornada. Para solicitar revisão ou exclusão dos dados clínicos, escreva ao Encarregado de Dados (seção 15).
Contratos assinados. Contratos de prestação de serviços que você assinou são retidos após a exclusão dos seus dados pessoais, pelo prazo legal aplicável, como prova da relação de consumo e para o exercício regular de direitos em eventual processo (base legal: LGPD art. 7, VI e art. 16, I).
9. Segurança
Aplicamos rate limiting em login e magic links, isolamento por path no R2 (token escopado apenas aos buckets de membros), HTTPS com HSTS, Content Security Policy estrita e cabeçalhos de segurança padrão OWASP. Toda interação da sua conta é atrelada ao seu cookie de sessão httpOnly, inacessível via JavaScript do lado do cliente.
10. Criança e adolescente
O serviço é direcionado a pacientes adultos do consultório. Não tratamos deliberadamente dados de menores de 18 anos.
11. Feed comunitário
A área de membros inclui um feed comunitário: um espaço de acompanhamento onde os membros e a equipe do consultório compartilham publicações (texto e fotos). O feed está aberto a todos os pacientes ativos da área de membros.
Equipe identificada. Os profissionais da equipe da Jornada MUDA que participam do feed aparecem identificados pelo nome e pela foto de perfil, com um selo "Equipe MUDA", para que você sempre reconheça quando o conteúdo vem do consultório.
Suas publicações. Ao publicar, você escolhe a cada vez entre dois modos de visibilidade:
- Público: a publicação, incluindo seu nome, sua foto de perfil e o conteúdo (texto e imagens), fica visível para os demais membros da comunidade, além da equipe. Curtidas e comentários que você fizer em publicações públicas também ficam visíveis para a comunidade. A base legal desse compartilhamento é o seu consentimento (LGPD, Art. 7º, inciso I): você decide, a cada publicação, torná-la pública.
- Privado: a publicação vai apenas para o seu diário pessoal, visível somente a você e à equipe do consultório (para acompanhamento clínico e suporte), nunca a outros membros.
Dados sensíveis. O feed trata de alimentação e saúde, temas que podem envolver dados pessoais sensíveis (LGPD, Art. 11). Publique apenas o que você se sente à vontade de compartilhar e evite expor documentos, contatos, endereços ou dados de terceiros. O conteúdo que você decide tornar público é de sua responsabilidade.
Moderação e exclusão. Você pode apagar suas próprias publicações a qualquer momento. A equipe pode remover conteúdo que viole as regras da comunidade ou os Termos de Uso, independentemente de ordem judicial (Lei 12.965/2014, Marco Civil da Internet). Para exercer seus direitos sobre esses dados (acesso, correção, exclusão), fale com o Encarregado de Dados (seção 15).
12. Evolução fotográfica
Na área de membros você pode registrar a sua evolução com fotos do corpo (frente, costas e de lado). É opcional: nenhuma foto é guardada sem que você escolha enviar, e você pode apagar qualquer uma a qualquer momento, pela própria tela.
- O que guardamos: as fotos que você envia, a pose e a data que você informa.
- Para quê: acompanhar a sua evolução durante a jornada, junto com a equipe que cuida de você.
- Quem vê: você e a equipe técnica da Jornada MUDA (nutricionistas e administração). A equipe comercial não tem acesso. Outros membros nunca veem: as fotos não aparecem no feed, na busca nem no seu perfil. Cada acesso da equipe às suas fotos fica registrado.
- Base legal: foto do corpo é dado pessoal sensível (LGPD, art. 11). O tratamento se apoia no seu consentimento, que você dá ao enviar cada foto (art. 11, I). Você retira o consentimento apagando a foto.
- Dossiê de Resultados: a equipe pode escolher fotos suas para montar o seu Dossiê de Resultados. A foto escolhida é copiada para o seu prontuário e passa a seguir as regras de guarda do prontuário (seção 8), mesmo que você apague a original aqui.
- Onde ficam: no armazenamento privado da Cloudflare (R2), acessadas só por links temporários de no máximo 2 horas.
- Por quanto tempo: até você apagar. Se você excluir a sua conta, todas são apagadas na hora. Se a sua jornada terminar, elas saem junto com a conta, 6 meses depois do bloqueio (seção 8). A imagem apagada sai na hora; o registro de pose e data pode continuar nas cópias de segurança do banco até elas expirarem.
13. Pré-visualização de links compartilhados
Quando você ou a equipe compartilha o link de um material ou de um encontro ao vivo (por exemplo, colando no WhatsApp), o aplicativo de mensagens monta automaticamente um cartão de pré-visualização com o título, uma breve descrição e a imagem de capa daquele conteúdo. Para que esse cartão apareça, essas três informações ficam acessíveis a quem tem o link, mas somente para materiais já publicados e para encontros agendados.
O conteúdo em si (o PDF, o áudio, o vídeo, a sala do encontro) continua protegido atrás do login e só é acessível a pacientes ativos. A pré-visualização expõe apenas título, descrição e capa, que são conteúdo do acervo do consultório, sem nenhum dado pessoal de paciente.
Publicações do feed comunitário nunca geram esse cartão, nem as públicas, nem as privadas. Compartilhar o link de uma publicação leva quem recebe para a tela de login, sem expor texto, foto ou autor. É uma proteção reforçada por se tratar de tema de saúde, dado pessoal sensível (LGPD, Art. 11).
Base legal: legítimo interesse do consultório em divulgar o próprio material clínico já publicado (LGPD, Art. 7º, inciso IX), sem tratamento de dados pessoais de pacientes nessa pré-visualização.
14. Mudanças nesta política
Quando esta política muda, atualizamos a versão e a data no topo deste documento e registramos o que mudou no histórico de versões. No seu próximo acesso, o aviso de cookies reabre com o selo "Política atualizada" para você rever a sua escolha.
15. Encarregado de Dados (DPO)
Guilherme Godoi, guilherme@giovanacezar.eu, telefone +55 11 94762-1309 (base legal: LGPD Art. 41).
16. Avisos no celular e no computador
A área de membros pode avisar você de novidades por notificação no celular ou no computador. É opcional: nada chega sem que você ative os avisos no aparelho, e você escolhe o que receber na página Notificações do seu perfil.
- O que guardamos: para cada aparelho em que você ativa os avisos, o endereço técnico que o seu navegador cria para receber notificações e as chaves de cifra dele, o tipo de aparelho (Android, iPhone ou computador) e se as últimas entregas deram certo; e as suas escolhas na página Notificações (o que receber e o horário do lembrete da Evolução). Cada aviso que é para você também fica na caixa de avisos do app (o sino), como as outras notificações, e sai junto com a sua conta.
- Para quê: avisar você de material novo, das lives, dos recados da equipe, do seu plano atualizado e, se você ligar, do lembrete da Evolução.
- O que o aviso nunca traz: peso, medidas, exames, detalhes do seu plano ou o nome de outra pessoa. O aviso pode aparecer na tela bloqueada, então escrevemos cada um para que qualquer pessoa possa ver.
- Quem entrega: o serviço de notificações do seu navegador (Google, Apple, Mozilla ou Microsoft). O texto vai cifrado até o seu aparelho: esse serviço só vê um pacote fechado, não o que está escrito.
- O que contamos: por semana e por aviso, quantos saíram, chegaram e foram tocados, só no total. Essa contagem não guarda quem recebeu, abriu ou tocou em cada aviso.
- Base legal: o seu consentimento, dado ao ativar os avisos (LGPD, art. 7º, I). Você retira quando quiser, desativando.
- Como desligar: na página Notificações do seu perfil, por tipo de aviso ou em "Desativar neste aparelho", ou nos ajustes do próprio aparelho.
- Por quanto tempo: até você desativar. O endereço do aparelho também é apagado quando o serviço do navegador avisa que ele deixou de valer, e junto com a sua conta (na hora, se você excluir; 6 meses depois do bloqueio, se a jornada terminar, seção 8). Se a sua jornada terminar, os avisos param na hora.