Care Rooms

Política de privacidade

Última atualização: 20/10/2026

Esta política explica quais dados pessoais o Care Rooms trata, para quê, com quem compartilha e quais são os seus direitos, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, “LGPD”). Ela vale para o aplicativo Care Rooms (iOS e Android), o painel web dos coworkings, o diretório de profissionais e salas e este site.

1. Quem somos

O Care Rooms é operado por BRUNO DIOGO ANDRE DESENVOLVEDOR, inscrita no CNPJ sob o nº 32.054.536/0001-86, com sede em Rua dos Brilhantes (Jd. Donini), 70, Casa 01, Centro, Diadema/SP, CEP 09920-470 (“Care Rooms” ou “nós”).

  • Somos controladores dos dados de cadastro e uso da plataforma: contas de profissionais, coworkings, equipes dos coworkings e visitantes do site.
  • Somos operadores dos dados de pacientes que o profissional registra no app, como agenda, contatos e prontuário. Nesses casos, o controlador é o próprio profissional de saúde, e nós tratamos os dados em nome dele e conforme as suas instruções.

2. Dados que coletamos

Profissionais de saúde

  • Cadastro: nome, e-mail, telefone, senha, profissão, especialidade e foto de perfil.
  • Ao pedir acesso a um coworking: CPF e número de registro no conselho de classe, que o coworking usa para aprovar o seu acesso.
  • Perfil público, quando você opta por aparecer no diretório: nome, foto, especialidade, cidade, descrição e as informações que você escolher mostrar.
  • Uso: reservas de salas, compras de horas, saldo, créditos de IA, mensagens no chat e na comunidade.

Coworkings e suas equipes

  • Dados da empresa (razão social, CNPJ e endereço) e dos responsáveis, administradores, secretárias e recepção.
  • Salas: fotos, descrição, comodidades, horários e preços.
  • Reservas, pagamentos recebidos, cupons e relatórios de ocupação.

Conta digital (para quem a abre)

Documentos de identificação, dados pessoais e, quando aplicável, da empresa, exigidos para abrir a conta de pagamento. Esses dados são encaminhados ao Asaas, instituição de pagamento que presta o serviço (veja a seção 4 dos Termos de uso).

Pacientes

  • Registrados pelo profissional: nome, e-mail, telefone, horários das consultas e, se o profissional quiser, a associação do paciente à reserva da sala.
  • Prontuário: anotações, formulários e anamneses, evoluções e resumos de sessão. São dados sensíveis de saúde, com acesso restrito ao profissional. Transcrições, resumos, respostas de formulários e o CPF do paciente são guardados criptografados, com chaves exclusivas de cada profissional (veja a seção 7).
  • Gravação de consultas: só quando o paciente autoriza e o consentimento é registrado no app. O áudio é usado para gerar a transcrição e o resumo e é apagado depois do processamento.
  • Agendamentos feitos pelo próprio paciente no diretório: nome, contato e as respostas que ele enviar ao profissional.

Visitantes do site

  • Formulário de contato para coworkings: nome, e-mail, WhatsApp, cidade, momento do negócio e número de salas, com o seu consentimento.
  • Cookies, conforme a seção 6.

Dados técnicos

Endereço IP, tipo de aparelho e navegador, registros de acesso, identificadores para envio de notificações e, quando você permite, localização aproximada para buscar salas perto de você. No app para iPhone, o identificador de publicidade só é usado se você autorizar no aviso de rastreamento do iOS.

3. Como usamos os dados e com que base legal

  • Prestar o serviço (execução de contrato): criar e manter a conta, reservar salas, processar compras e saldos, enviar avisos sobre reservas e pagamentos, permitir o chat e mostrar o perfil no diretório.
  • Apoiar o atendimento em saúde (tutela da saúde, em procedimento realizado por profissional de saúde): guardar a agenda e o prontuário e gerar transcrições e resumos com IA, sempre sob revisão do profissional.
  • Lembrar o paciente da consulta (em nome do profissional): enviar a mensagem de confirmação pelo WhatsApp na véspera e avisar o profissional da resposta e da chegada do paciente.
  • Cumprir obrigações legais e regulatórias: guarda de registros de acesso (Marco Civil da Internet), obrigações fiscais e procedimentos de prevenção à lavagem de dinheiro exigidos para a conta digital.
  • Segurança e prevenção a fraudes (legítimo interesse): proteger contas, detectar abusos e manter a plataforma funcionando.
  • Melhorar o produto (legítimo interesse): entender, de forma agregada, como as funções são usadas.
  • Marketing (consentimento): responder ao formulário de contato e medir anúncios por cookies, só com a sua permissão, que pode ser retirada a qualquer momento.

A IA do Care Rooms é uma ferramenta de apoio à documentação. Ela não toma decisões sobre você nem sobre o paciente: nada entra no prontuário sem a revisão do profissional.

4. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos apenas o necessário, com:

  • O coworking em que você atende: seu nome, contato, registro profissional, reservas e saldo. Quando você associa um paciente a uma reserva, o coworking e a recepção veem o nome do paciente e o horário, para receber quem chega. Eles não têm acesso ao prontuário.
  • Provedores que operam a plataforma, sob contrato e com dever de sigilo:
    • Google Cloud: provedor principal de infraestrutura. Hospedagem, banco de dados, armazenamento, autenticação, notificações e o cofre de chaves de criptografia (Secret Manager).
    • Outros provedores de banco de dados em nuvem, que recebem os registros clínicos já criptografados, sob as mesmas obrigações.
    • OpenAI: transcrição e resumo das sessões e as respostas do chat com o prontuário. Pelos termos da API, os dados enviados não são usados para treinar os modelos.
    • Asaas: cobranças por Pix e cartão, conta digital e transferências.
    • Meta (WhatsApp Business): mensagens de confirmação de consulta.
    • MailerSend: e-mails transacionais, como códigos de acesso e avisos.
    • Apple e Google: entrega de notificações no celular.
    • Google Maps: mapas e busca de endereços.
    • Meta: medição de anúncios, apenas com o seu consentimento (seção 6).
  • O público, quando você escolhe aparecer no diretório ou publica uma sala.
  • Autoridades, quando houver obrigação legal ou ordem judicial.

Alguns desses provedores guardam ou processam dados fora do Brasil, principalmente nos Estados Unidos. Essas transferências seguem o art. 33 da LGPD, com contratos que exigem proteção equivalente à da lei brasileira.

5. Por quanto tempo guardamos

  • Dados da conta: enquanto ela estiver ativa. Depois do encerramento, são apagados ou anonimizados.
  • Registros de acesso: 6 meses, como exige o Marco Civil da Internet. Dados fiscais e de pagamentos: pelo prazo da legislação aplicável, em geral 5 anos.
  • Prontuários: ficam disponíveis ao profissional enquanto a conta existir. As normas de cada conselho exigem prazos de guarda do prontuário. Antes de encerrar a conta, o profissional é responsável por garantir essa guarda.
  • Áudios das consultas: apagados depois de gerar a transcrição e o resumo.
  • Contatos do formulário do site: até você pedir a exclusão ou por até 2 anos sem novo contato.

6. Cookies

Essenciais. Guardamos no seu navegador a sua escolha sobre cookies, para não perguntar de novo a cada visita. Não identificam você e não são compartilhados.

Marketing (Meta Pixel). Só com a sua permissão. Medem visitas e ações no site, como o envio do formulário de contato ou o clique para baixar o app, para avaliarmos nossos anúncios na Meta (Facebook e Instagram). Nós não enviamos para a Meta os dados digitados nos formulários, como nome, e-mail ou telefone.

Você pode aceitar ou recusar no aviso de cookies e mudar de ideia quando quiser em “Preferências de cookies”, no rodapé do site. Ao recusar depois de ter aceitado, apagamos os cookies da Meta do seu navegador.

7. Segurança

Dados clínicos criptografados

O conteúdo clínico é o dado mais sensível que guardamos, e por isso ele nunca fica gravado em texto aberto. Transcrições, resumos de sessão, respostas de formulários e anamneses, alertas e tarefas clínicas e o CPF do paciente são criptografados antes de serem salvos, com AES-256-GCM, o mesmo padrão usado por bancos e governos.

  • Uma chave por sessão. Cada sessão é criptografada com a sua própria chave. Descobrir uma não abre as outras.
  • Uma chave por profissional. As chaves das sessões são protegidas por uma chave exclusiva de cada profissional. Os dados de um profissional não podem ser lidos com a chave de outro.
  • Chave principal fora do banco de dados. As chaves dos profissionais, por sua vez, são protegidas por uma chave principal guardada no cofre de chaves do Google Cloud (Secret Manager), separada dos dados. Quem obtivesse uma cópia do banco de dados veria só conteúdo cifrado, impossível de ler sem essa chave.
  • Integridade garantida. O AES-256-GCM detecta qualquer alteração no conteúdo cifrado: um dado adulterado é recusado em vez de ser mostrado.
  • Paciente pseudonimizado. No banco de dados clínico, o paciente é identificado por um código gerado com uma chave secreta, e não pelo nome. Para a busca no prontuário, guardamos índices numéricos e etiquetas de tema ligados a esse código, sem o texto da sessão.
  • Áudio não fica guardado. A gravação é apagada assim que a transcrição e o resumo são gerados.

O conteúdo só é decifrado quando o próprio profissional o abre no app ou usa a IA do prontuário (resumo e chat), e só para ele. O coworking, a recepção e a secretária não têm acesso ao prontuário.

Demais dados

  • Conexões protegidas por criptografia (HTTPS/TLS) e dados criptografados nos servidores.
  • Acesso restrito por perfil: cada pessoa vê apenas o que precisa para a sua função.
  • Operações de saída de dinheiro protegidas por senha transacional e limites.

Nenhum sistema é totalmente imune a incidentes. Se ocorrer um incidente que possa causar risco relevante, avisaremos os titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD), como determina a LGPD.

8. Seus direitos

Pela LGPD (art. 18), você pode pedir, a qualquer momento:

  • confirmação de que tratamos seus dados e acesso a eles;
  • correção de dados incompletos, inexatos ou desatualizados;
  • anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei;
  • portabilidade dos dados a outro fornecedor;
  • informação sobre com quem compartilhamos seus dados;
  • revogação do consentimento e eliminação dos dados tratados com base nele;
  • oposição a tratamentos feitos sem consentimento, quando houver descumprimento da lei.

Envie o pedido para o encarregado (seção 11). Respondemos em até 15 dias. Pacientes que quiserem exercer direitos sobre o prontuário devem falar com o profissional que os atende, que é o controlador desses dados. Se o pedido chegar até nós, encaminhamos ao profissional e ajudamos no que for preciso. Você também pode reclamar à ANPD.

9. Crianças e adolescentes

O Care Rooms é destinado a maiores de 18 anos. Dados de pacientes menores de idade só podem ser registrados pelo profissional com o consentimento de um dos pais ou do responsável legal, no melhor interesse do paciente.

10. Mudanças nesta política

Podemos atualizar esta política para refletir mudanças no serviço ou na lei. A data no topo indica a versão vigente. Quando a mudança for relevante, avisaremos no app ou por e-mail.

11. Contato e encarregado

Encarregado pelo tratamento de dados pessoais: Bruno Diogo André, pelo e-mail contato@carerooms.com.br. Para outros assuntos, fale com contato@carerooms.com.br.