Política de Privacidade — Dra. Sarah

Versão 1.3 — vigência a partir de 01 de setembro de 2026, exceto a Seção 3.2 (Medição dos nossos anúncios) e o inciso (vi) da Seção 6, vigentes desde 04 de agosto de 2026.

1. Que dados coletamos

Coletamos apenas os dados necessários para prestar o serviço, divididos em quatro categorias:

1.1. Dados cadastrais — nome, sobrenome, telefone (WhatsApp), e-mail, CPF e data de nascimento, coletados no cadastro inicial.

1.2. Dados pessoais sensíveis (art. 5º, II, e art. 11 da LGPD) — dividem-se em duas frentes: (a) sexo biológico e identidade de gênero, coletados no cadastro inicial; (b) dados de saúde: sintomas relatados, histórico clínico, descrição de queixas, transcrições de áudios, conteúdo de imagens e documentos (incluindo exames) que você compartilha durante a conversa com a Dra. Sarah ou durante a Teleconsulta/Atendimento Especializado Remoto.

1.3. Dados financeiros — limitados ao necessário para processar pagamentos. Não armazenamos dados completos de cartão de crédito — o processamento é feito diretamente pelo nosso gateway de pagamento, a Asaas.

1.4. Dados de uso — registros de acesso, logs de conversa e metadados técnicos, conforme exige o art. 15 do Marco Civil da Internet (Lei nº 12.965/2014).

Não coletamos dados além dos que você mesmo compartilha ao usar a Plataforma.

2. Para que usamos seus dados

Usamos seus dados exclusivamente para: (i) realizar a Triagem e organizar as informações em uma pré-anamnese estruturada; (ii) viabilizar a Teleconsulta ou o Atendimento Especializado Remoto, prestados pela Doc24 e pelo Médico Parceiro ou demais Profissional de Saúde Parceiro (Medicina, Psicologia ou Nutrição); (iii) processar cobranças e gerir sua assinatura; (iv) cumprir obrigações legais e regulatórias; (v) prevenir fraudes e manter a segurança da informação; (vi) comunicar com você sobre o próprio serviço; (vii) atender a solicitações que você fizer sobre seus próprios dados (ver Seção 7).

Não usamos seus dados para treinar modelos de inteligência artificial, próprios ou de terceiros, a menos que você dê um consentimento específico e destacado para isso — o que hoje não fazemos. Não vendemos seus dados e não usamos o conteúdo das suas conversas, seus sintomas, exames ou qualquer informação de saúde para publicidade — nem nossa, nem de terceiros.

Usamos uma informação técnica limitada para medir a eficácia dos nossos anúncios: quando você chega até nós clicando em um anúncio da Dra. Sarah no Facebook ou no Instagram, avisamos à Meta que aquele clique resultou em uma conversa e, se for o caso, em um cadastro concluído. A Seção 3.2 explica exatamente o que é enviado e o que nunca é enviado.

3. Com quem compartilhamos seus dados

Para funcionar, a Plataforma depende de alguns fornecedores especializados, que têm acesso aos dados estritamente necessários para a função que exercem, sob contrato de confidencialidade e tratamento de dados:

Provedores de inteligência artificial (ex.: OpenAI) — processamento da conversa de Triagem, incluindo dados de saúde.

Meta Platforms — (a) WhatsApp Business API: canal de mensageria pelo qual a conversa acontece; todo o conteúdo trocado no WhatsApp; (b) mensuração de anúncios: recebe os dados técnicos descritos na Seção 3.2, quando você chega até nós por um anúncio.

Asaas — processamento de pagamentos; dados financeiros e cadastrais mínimos.

Netlify — hospedagem do site institucional (drsarah.ai); dados de navegação e de formulários preenchidos no site.

Hostinger — hospedagem de toda a infraestrutura da Plataforma (workflows, bancos de dados, CRM e armazenamento de arquivos); todos os dados tratados fora do site.

Doc24 (DOC 24 BRASIL PLATAFORMA DE INTERMEDIAÇÃO LTDA., CNPJ 34.185.452/0001-07) e os Médicos Parceiros e demais Profissionais de Saúde Parceiros que atuam por meio dela — realização da Teleconsulta e do Atendimento Especializado Remoto (Medicina, Psicologia e Nutrição); pré-anamnese, dados de saúde e dados cadastrais necessários ao atendimento.

Resend — envio de e-mails transacionais; nome e e-mail do destinatário, conteúdo do e-mail enviado.

Google Analytics — métricas de navegação e tráfego do site institucional; dados de navegação e uso do site (não inclui dados de saúde ou da conversa no WhatsApp).

Internamente, a Plataforma usa ferramentas de CRM e de armazenamento de arquivos para organizar seu próprio funcionamento — essas ferramentas rodam dentro da infraestrutura da Hostinger, não são empresas terceiras com acesso independente aos seus dados.

Além desses fornecedores, seus dados podem ser acessados por profissionais autorizados da Dra. Sarah, sob dever de sigilo, e por autoridades públicas, mediante requisição legal, judicial ou regulatória. Nunca vendemos seus dados, não os cedemos para listas de contato e não os compartilhamos para o marketing de outras empresas. A única exceção — restrita e sem qualquer informação de saúde — é a medição dos nossos próprios anúncios, descrita na Seção 3.2.

3.2. Medição dos nossos anúncios (Meta)

Quando isso acontece. Só se você chegou até a Dra. Sarah clicando em um anúncio nosso no Facebook ou no Instagram. Se você nos procurou de outra forma — por indicação, pelo site, digitando nosso número —, nada do que está nesta seção se aplica a você.

Por que fazemos isso. Quando alguém clica em um anúncio e vai para o WhatsApp, a Meta não tem como saber se a conversa realmente começou. Sem essa informação, ela otimiza nossos anúncios para quem clica, e não para quem de fato procura ajuda. Avisar que o clique virou conversa — e, quando acontece, que virou um cadastro — nos permite investir melhor e mostrar nossos anúncios para quem realmente precisa do serviço.

O que exatamente enviamos. Apenas quatro informações técnicas:

• o identificador do clique — um código que a própria Meta criou quando você clicou no anúncio e que ela nos repassou;
• o identificador da nossa conta de WhatsApp comercial — um dado nosso, não seu;
• o nome do evento — a etiqueta "conversa iniciada" ou "cadastro concluído";
• a data e hora.

Quais eventos avisamos. Dois, e só estes: (a) conversa iniciada, quando você manda a primeira mensagem depois de clicar no anúncio; e (b) cadastro concluído, quando você finaliza o cadastro básico. Vale explicar o que é esse cadastro: ele é comercial e acontece antes de assinar qualquer plano e antes de qualquer triagem — serve para você conhecer os planos. Avisamos apenas que ele foi concluído; o conteúdo do cadastro nunca é enviado, e nada nele diz respeito à sua saúde.

O que nunca enviamos. Nunca, em nenhuma hipótese:

• o conteúdo da sua conversa com a Dra. Sarah — nem uma palavra;
• sintomas, queixas, histórico clínico, exames, transcrições de áudio ou qualquer informação sobre a sua saúde;
• seu nome, telefone, e-mail, CPF, data de nascimento, sexo ou identidade de gênero — nem qualquer outro dado que você preencheu no cadastro;
• se você assinou um plano, se realizou uma consulta ou qualquer informação sobre sua relação clínica conosco.

Base legal. Legítimo interesse (art. 7º, IX, da LGPD) — nosso interesse em medir e melhorar o investimento em divulgação. Fizemos e mantemos documentado o teste de balanceamento recomendado pela ANPD, e você pode solicitá-lo pelo canal do Encarregado.

Como se opor. Você pode se opor a este uso específico a qualquer momento, sem que isso afete o seu acesso ao serviço, escrevendo para contact@drsarah.ai com o assunto "medição de anúncios". Sua oposição vale para todos os envios futuros. Como o registro de "conversa iniciada" acontece no exato momento do seu primeiro contato, ele pode já ter ocorrido antes de você ler esta Política — se for o caso, avise-nos e solicitaremos a exclusão do dado junto à Meta pelos canais disponíveis.

Transferência internacional. A Meta Platforms está sediada nos Estados Unidos. Esta transferência é feita com as garantias descritas na Seção 3.3.

Papel da Meta. Ao receber esses dados, a Meta também os utiliza para as finalidades dela — em especial para o funcionamento e a melhoria do próprio sistema de anúncios —, de acordo com as políticas dela, que você encontra em https://www.facebook.com/privacy/policy.

3.3. Transferência internacional

Alguns dos fornecedores listados acima estão sediados no exterior — notadamente os provedores de inteligência artificial, a Meta Platforms, a Netlify, a Resend e o Google Analytics, todos nos Estados Unidos. A Hostinger, embora seja uma empresa sediada na Lituânia, armazena os dados desta operação especificamente em um data center em São Paulo, Brasil — portanto, para os dados tratados na infraestrutura da Plataforma, não há transferência internacional por essa via.

Para as transferências à Meta Platforms, Inc. (Estados Unidos) descritas na Seção 3.2, a transferência tem fundamento no art. 33, II, "b", da LGPD e é realizada sob as cláusulas-padrão contratuais aprovadas pela Autoridade Nacional de Proteção de Dados (ANPD), na forma do Anexo II da Resolução CD/ANPD nº 19/2024. Essas cláusulas estão incorporadas à nossa relação contratual com a Meta por meio do Adendo Global sobre a Transferência de Dados (Global Data Transfer Addendum), que integra os Termos das Ferramentas de Negócios da Meta e está disponível em https://www.facebook.com/legal/terms/Privacy/GDTA.

Para as demais transferências internacionais, adotamos as garantias exigidas pelos arts. 33 e seguintes da LGPD. Você pode solicitar informações sobre essas garantias, incluindo cópia do instrumento aplicável, pelo canal do Encarregado.

4. Por quanto tempo guardamos seus dados

Histórico de conversa e pré-anamnese elaborada pela Dra. Sarah — enquanto durar sua relação com a Plataforma, mais o prazo adicional necessário ao cumprimento de obrigações legais.

Prontuário/registro clínico da Teleconsulta ou do Atendimento Especializado Remoto — não é armazenado pela Dra. Sarah. É elaborado e mantido pela Doc24 e pelo Médico Parceiro ou demais Profissional de Saúde Parceiro que realizou o atendimento, sob a política de retenção deles — no caso da Medicina, prontuário eletrônico tem guarda permanente, conforme Resolução CFM nº 1.821/2007.

Dados financeiros — pelo prazo exigido pela legislação tributária e cível.

Logs de acesso à aplicação — mínimo de 6 (seis) meses, conforme art. 15 do Marco Civil da Internet.

Depois desses prazos, os dados são eliminados ou anonimizados de forma segura, salvo quando a lei determinar prazo diferente.

5. Como protegemos seus dados

Adotamos medidas técnicas e administrativas compatíveis com o estado da técnica, incluindo criptografia em trânsito (TLS), controle de acesso baseado em função, registro e auditoria de operações relevantes, segregação de ambientes, processos formais de gestão de incidentes e dever de sigilo contratualmente exigido de toda a equipe e de todos os fornecedores.

Nenhum sistema é absolutamente inviolável. Caso ocorra um incidente de segurança que possa gerar risco ou dano relevante a você, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, conforme exige o art. 48 da LGPD.

6. Base legal para o tratamento

Tratamos seus dados com base em, conforme o caso: (i) seu consentimento específico e destacado, para o tratamento de dados pessoais sensíveis — sexo biológico, identidade de gênero e dados de saúde; (ii) execução do contrato entre você e a Dra. Sarah; (iii) tutela da saúde, em procedimento realizado por profissional de saúde; (iv) cumprimento de obrigação legal ou regulatória; (v) exercício regular de direitos em processo judicial, administrativo ou arbitral; (vi) legítimo interesse, exclusivamente para a medição da eficácia dos nossos anúncios, na forma da Seção 3.2, e para a segurança da informação.

7. Seus direitos como titular de dados

A qualquer momento, você pode nos pedir, pelo canal de atendimento: confirmação de que tratamos seus dados; acesso aos dados que temos sobre você; correção de dados incompletos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários; portabilidade; eliminação dos dados tratados com base no seu consentimento; informação sobre com quem compartilhamos seus dados; informação sobre a possibilidade de não consentir; revogação do seu consentimento, a qualquer tempo; e oposição a tratamentos realizados com base em legítimo interesse, como o descrito na Seção 3.2.

Para exercer qualquer um desses direitos, escreva para contact@drsarah.ai ou para o canal do Encarregado (DPO), indicado no topo desta Política.

8. Menores de idade

A Plataforma é destinada exclusivamente a maiores de 18 anos. Não coletamos intencionalmente dados de menores. Caso a Dra. Sarah venha a oferecer atendimento pediátrico com cadastro feito por um responsável legal, o tratamento dos dados da criança seguirá as regras específicas do art. 14 da LGPD e do Estatuto da Criança e do Adolescente (Lei nº 8.069/1990).

9. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças na forma como tratamos seus dados, mudanças legais ou regulatórias, ou melhorias no serviço. Alterações materiais serão comunicadas pelo WhatsApp e/ou pelo e-mail cadastrado, com antecedência mínima de 15 dias.

10. Contato

Dúvidas, solicitações ou reclamações sobre esta Política podem ser enviadas para: e-mail de atendimento contact@drsarah.ai; Encarregado de Dados (DPO): Mario Galvão — contact@drsarah.ai.

Versão 1.3 — vigente a partir de 01 de setembro de 2026, exceto a Seção 3.2 e o inciso (vi) da Seção 6, vigentes desde 04 de agosto de 2026.
DRA SARAH TECNOLOGIA EM SAUDE LTDA — CNPJ 67.863.758/0001-24.