Privacidade

O que guardamos

Da sua conta: nome, e-mail e a senha — guardada de forma protegida, nunca em texto. Se você entrar com o Google, recebemos só nome, e-mail e foto do perfil.

Da sua família: o que vocês registram — as pessoas (com nome, data de nascimento e parentesco), consultas, remédios, vacinas, exames, alergias, medidas, lembretes e os documentos que vocês enviam (fotos e PDFs de receitas, exames e laudos).

Quase tudo isso é dado de saúde, que a lei trata como dado sensível. Inclui dados de crianças e adolescentes e de outras pessoas da sua família, que você cadastra por elas.

Quando você envia um exame ou uma receita, o nome e a data de nascimento que aparecem no documento podem ser usados para sugerir de quem ele é, ou para cadastrar a pessoa. Você confere antes de confirmar.

Por que podemos tratar esses dados

A LGPD só deixa tratar dado pessoal com um motivo legal. Os nossos são estes:

Dados de saúde: o seu consentimento específico (LGPD, art. 11, I). Você o dá, numa caixa separada e destacada, ao criar a conta, e pode retirá-lo quando quiser (veja “Seus direitos”).

Conta e plano: a execução do contrato (art. 7º, V) — sem nome, e-mail e senha não há como manter a sua conta.

Dados fiscais de quem paga um plano: o cumprimento de obrigação legal (art. 7º, II).

Crianças e adolescentes (art. 14): o dado de saúde de quem tem menos de 18 anos é tratado com o consentimento do responsável legal. Ao cadastrar uma criança ou um adolescente, você declara que é o responsável por ele e consente por ele.

Quem vê

Só quem faz parte da sua família no app. Ninguém entra sem convite, e o convite só funciona para o e-mail convidado, com a conta já confirmada.

Cada pessoa vê o que o papel dela permite: o Cuidador só acompanha as pessoas que você escolheu, e o Visualizador lê sem alterar nada.

Leitura de documentos por inteligência artificial

Quando você envia uma receita ou um exame, o app lê o documento automaticamente logo depois do envio, com um modelo de inteligência artificial, e preenche os campos para você conferir. Se o documento foi enviado sem tipo, um modelo o classifica antes (receita, exame, laudo…); só receitas e exames são lidos por inteiro. O botão “Ler com IA” continua lá para ler de novo.

Para isso, o documento (a foto ou o PDF) é enviado ao AI Gateway da Vercel, nos Estados Unidos, que o repassa ao modelo. Hoje o modelo é o Gemini, do Google. O modelo pode mudar com o tempo; se passar a ser de outra empresa, esta página muda junto.

O app guarda só números de uso de cada leitura (quantidade de tokens e custo), nunca o conteúdo que foi enviado ou devolvido.

Nós não usamos os seus documentos para treinar modelo nenhum. O que o provedor do modelo faz com o conteúdo segue os termos dele para uso por API, e não conseguimos prometer por ele.

O resultado vira um rascunho. Nada entra no histórico sem a sua confirmação — e isso é garantido pelo sistema, não é só uma recomendação.

O app não dá diagnóstico nem interpreta resultado. Ele organiza e lembra; quem avalia é o médico.

O que nunca fazemos

Não vendemos seus dados. Não tem anúncio — nem agora, nem no plano gratuito.

Não usamos cookie de propaganda nem de rastreamento. Usamos só o necessário para manter você conectado.

Registro de acesso

O app anota quem fez o quê — por exemplo, quem abriu um documento ou editou um remédio. Esse registro não guarda o conteúdo de saúde.

E-mails

Mandamos e-mail para confirmar a conta, dar boas-vindas, recuperar a senha, avisar de um convite para entrar numa família e, se a família usa o resumo diário, dizer o que acontece hoje e amanhã. O resumo vai só para quem administra a família e pode trazer o primeiro nome de quem tem compromisso.

Quem administra a família também recebe um aviso quando alguém aceita um convite, com o primeiro nome da pessoa e o papel dela. Nada do histórico de saúde vai nesse e-mail.

Se a família cria um aviso de limite de medição (por exemplo, para quando uma medida passar de um valor), mandamos e-mail para quem foi escolhido para receber. Ele diz qual medida passou do limite e quando foi registrada, mas não traz o valor medido.

Dá para desligar o resumo diário e o aviso de entrada na família a qualquer momento, cada um por conta própria: pelo link "Descadastrar" no rodapé do próprio e-mail (sem precisar entrar na conta) ou pelos interruptores em Minha conta. O aviso de limite de medição também traz a opção de descadastrar no e-mail.

Quem é Responsável também recebe os avisos do plano: fim do teste e plano pago prestes a vencer.

Serviços que ajudam o app a funcionar

Para o app funcionar, usamos serviços de terceiros. Cada um recebe só o necessário para fazer a sua parte:

Neon (banco de dados): guarda as contas e tudo o que a família registra. O banco fica em São Paulo (AWS sa-east-1).

Cloudflare R2 (arquivos): guarda as fotos e os PDFs que você envia, num espaço privado, com nomes que não dizem nada sobre o conteúdo. Os arquivos ficam nos Estados Unidos (leste da América do Norte).

Vercel (hospedagem e AI Gateway): roda o app (as funções ficam em São Paulo) e, pelo AI Gateway, encaminha os documentos para a leitura por inteligência artificial, como explicado acima. O AI Gateway fica nos Estados Unidos.

Google (modelo de leitura e login): recebe, pelo AI Gateway, os documentos enviados à leitura por IA. Se você escolher entrar com o Google, ele também faz o login e nos envia nome, e-mail e foto do perfil.

Resend (e-mails): recebe o seu e-mail e o texto de cada mensagem para entregá-la. Nos avisos e no resumo vai o que foi descrito na seção de e-mails, nunca o histórico de saúde.

PostHog (hospedado na União Europeia): serve para entender, de forma anônima, como o app está sendo usado — por exemplo, se alguém trava no meio do cadastro ou se a leitura automática de documento é usada. Ele recebe eventos de uso sem dado de saúde, sem nome e sem identificador de pessoa: a rota da tela chega sem o id de ninguém ("/pessoas/exames", nunca a pessoa específica), e quem está logado é identificado por um código sem relação com e-mail ou nome. Dá para desligar isso a qualquer momento em Minha conta.

Sentry (hospedado na União Europeia): serve para saber quando o app quebra. Ele recebe erro técnico — nunca dado de saúde, nome de membro ou identificador de pessoa.

Stripe (pagamento): o pagamento do plano Família é feito pela Stripe. Os dados do cartão ou do Pix você digita na página da própria Stripe — o app nunca vê o número do cartão. A Stripe recebe do app o nome e o e-mail do Responsável, o CPF de quem paga e um código da família; nenhum dado de saúde.

O CPF é pedido antes do pagamento porque a nota fiscal da assinatura precisa dele (obrigação legal e fiscal, LGPD, art. 7º, II). Ele fica com a Stripe, junto do cadastro de pagamento, e o Bemjunto não guarda o CPF no próprio banco. Na sua conta aparecem só os dois últimos dígitos. A nota é emitida a partir dos dados que a Stripe guarda.

Dados que vão para fora do Brasil

Alguns desses serviços ficam fora do Brasil, e por isso os seus dados podem ser enviados para o exterior (LGPD, art. 33):

Estados Unidos: os documentos enviados para leitura por IA (AI Gateway da Vercel e modelo do Google). Sem a leitura automática o resto do app funciona do mesmo jeito, e dá para cadastrar tudo à mão. Também ficam nos Estados Unidos os arquivos enviados (Cloudflare R2), e podem estar lá a Resend (e-mails) e a Stripe (pagamento), conforme a região que cada uma usa.

União Europeia: PostHog e Sentry, que não recebem dado de saúde.

Ao dar o consentimento para o tratamento dos dados de saúde, você também autoriza essa transferência, nas condições descritas aqui.

Quanto tempo guardamos

Guardamos os dados enquanto a sua conta existir. Quando você pede para apagar a conta, apagamos os dados da família no banco e os arquivos no armazenamento.

Dados fiscais de pagamentos que já aconteceram podem ser guardados pelo prazo que a lei exigir.

Seus direitos e como exercê-los

A LGPD (art. 18) garante a você, a qualquer momento: confirmar que tratamos os seus dados; acessar os dados; corrigir o que estiver errado; pedir a anonimização, o bloqueio ou a eliminação do que for desnecessário ou tratado sem base legal; levar os dados para outro serviço (portabilidade); saber com quem compartilhamos; e retirar o consentimento.

Corrigir o que a família registrou você já faz no próprio app. Para os demais pedidos, inclusive apagar a conta e os dados da família, é por e-mail.

Escreva para contato@bemjunto.com a partir do e-mail da sua conta. Respondemos em até 15 dias.

Retirar o consentimento para o tratamento dos dados de saúde significa que deixamos de tratá-los, e na prática isso é apagar a conta e os dados da família: sem esse consentimento o app não tem como funcionar. Antes de apagar, você pode pedir uma cópia dos dados. Retirar o consentimento não desfaz o que foi feito antes dele.

Se não ficar satisfeito com a resposta, você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Quem é o controlador dos dados

O Bemjunto é mantido por MATHEUS CARLOS DOS SANTOS CONSULTORIA EM TECNOLOGIA DA INFORMACAO LTDA, CNPJ 50.886.111/0001-15, Rua Ajuricaba, 372, Santa Cruz, Rio de Janeiro/RJ, CEP 23520-410, que é a controladora dos dados tratados no app.

Dúvidas, sugestões, pedidos sobre os seus dados ou algum problema: contato@bemjunto.com.

Mudanças

Se esta página mudar de um jeito que afete o que fazemos com os seus dados, avisamos por e-mail antes. Quando a mudança afetar o tratamento de dado de saúde, pedimos o seu consentimento de novo na próxima vez que você entrar no app.