Política de Privacidade — Dra. Sarah

Versão 1.4 — vigência a partir de 01 de outubro de 2026, exceto o inciso (viii) da Seção 2 quanto aos dados de usuários cadastrados antes dessa data, vigente a partir de 16 de outubro de 2026.

Esta Política de Privacidade ("Política") descreve como DRA SARAH TECNOLOGIA EM SAUDE LTDA, CNPJ nº 67.863.758/0001-24, com sede na Av. Princesa Diana, nº 505, Sala 303, Alphaville — Lagoa dos Ingleses, Nova Lima/MG, CEP 34.018-006 ("Dra. Sarah", "nós", "Controladora"), coleta, usa, armazena, compartilha e protege os dados pessoais dos usuários ("Usuário", "você") da plataforma Dra. Sarah ("Plataforma"), incluindo o nosso site drsarah.ai ("site"), em conformidade com a Lei nº 13.709/2018 (LGPD).

Esta Política é parte integrante dos Termos de Uso da Plataforma. Em caso de conflito sobre temas de proteção de dados, esta Política prevalece.

Canal de atendimento: contact@drsarah.ai.

Encarregado pelo Tratamento de Dados Pessoais (DPO): Mario Galvão — contact@drsarah.ai.

1. Que dados coletamos

Coletamos apenas os dados necessários para prestar o serviço, divididos em cinco categorias:

1.1. Dados cadastrais — nome, sobrenome, telefone (WhatsApp), e-mail, CPF e data de nascimento, coletados no cadastro, que pode ser feito pelo WhatsApp ou pelo formulário de contratação do nosso site (drsarah.ai). CPF e data de nascimento são necessários para emitir a cobrança, confirmar que você tem 18 anos ou mais e cadastrar você no serviço de teleconsulta; sem eles não é possível contratar. Quando você contrata pelo site, confirmamos que o número de WhatsApp informado é seu enviando um código de verificação por mensagem no WhatsApp.

1.2. Dados pessoais sensíveis — dividem-se em duas frentes: (a) sexo biológico e identidade de gênero, coletados no cadastro pelo WhatsApp; (b) dados de saúde: sintomas relatados, histórico clínico, descrição de queixas, transcrições de áudios, conteúdo de imagens e documentos (incluindo exames) compartilhados durante a conversa com a Dra. Sarah ou durante a Teleconsulta/Atendimento Especializado Remoto. Pelo site não coletamos sexo biológico, identidade de gênero nem qualquer informação sobre a sua saúde — esses dados só são coletados no WhatsApp.

1.3. Dados financeiros — limitados ao necessário para processar pagamentos. Não armazenamos dados completos de cartão de crédito — o processamento é feito diretamente pelo gateway de pagamento Asaas. Quando você contrata pelo site, o pagamento é feito na página do próprio Asaas: o site da Dra. Sarah não recebe nem guarda dados do seu cartão.

1.4. Dados de uso — registros de acesso, logs de conversa e metadados técnicos, conforme exige o art. 15 do Marco Civil da Internet (Lei nº 12.965/2014).

1.5. Dados de navegação e de origem no site — (a) sinais técnicos do navegador e do dispositivo (como endereço IP, tipo de navegador e características técnicas da conexão), verificados pelo serviço de proteção contra robôs quando você envia um formulário do site; (b) somente se você autorizar no aviso de cookies, dados de navegação agregados (páginas e etapas do site visitadas, tipo de dispositivo, região aproximada); (c) informações sobre como você chegou ao site — link de campanha (parâmetros "UTM"), página de origem e página de entrada —, que só saem do seu navegador se você enviar um formulário.

Além dos dados que você mesmo nos fornece, coletamos apenas os dados técnicos de navegação descritos no item 1.5.

2. Para que usamos seus dados

Usamos seus dados exclusivamente para: (i) realizar a Triagem e organizar as informações em uma pré-anamnese estruturada; (ii) viabilizar a Teleconsulta ou o Atendimento Especializado Remoto, prestados pela Doc24 e pelo Médico Parceiro ou demais Profissional de Saúde Parceiro (Medicina, Psicologia ou Nutrição); (iii) processar cobranças e gerir sua assinatura, inclusive a contratação feita pelo site; (iv) cumprir obrigações legais e regulatórias; (v) prevenir fraudes e manter a segurança da informação, inclusive verificar que o número de WhatsApp informado no site é seu e proteger os formulários do site contra robôs; (vi) comunicar com você sobre o próprio serviço; (vii) atender a solicitações que você fizer sobre seus próprios dados (ver Seção 7); (viii) entender, de forma interna, por qual canal (site ou WhatsApp) e por qual campanha você chegou até nós, se cadastrou e contratou, para avaliar e melhorar nossa divulgação — sem compartilhar essas informações com plataformas de anúncios; (ix) com o seu consentimento, avisar você sobre o lançamento de novos planos, como o Plano Família, quando você pedir para ser avisado.

Não usamos seus dados para treinar modelos de inteligência artificial, próprios ou de terceiros, a menos que você dê um consentimento específico e destacado para isso — o que hoje não fazemos. Não vendemos seus dados e não usamos o conteúdo das suas conversas, seus sintomas, exames ou qualquer informação de saúde para publicidade — nem nossa, nem de terceiros.

Contratação pelo site. O fato de você ter contratado um serviço de saúde é tratado por nós com o mesmo cuidado de um dado de saúde. Por isso, a contratação pelo site não gera nenhum evento de compra ou de assinatura para a Meta, o Google ou qualquer plataforma de anúncios, e o site não usa o Pixel da Meta nem ferramentas de anúncios do Google. Se você autorizar os cookies analíticos, o Google Analytics recebe apenas contagens das etapas do site (por exemplo, "escolheu um plano" ou "seguiu para o pagamento"), sem seu nome, telefone, e-mail, CPF, data de nascimento ou qualquer informação de saúde.

Usamos uma informação técnica limitada para medir a eficácia dos nossos anúncios: quando você chega até nós clicando em um anúncio da Dra. Sarah no Facebook ou no Instagram, avisamos à Meta que aquele clique resultou em uma conversa e, se for o caso, em um cadastro concluído. A Seção 3.2 explica exatamente o que é enviado e o que nunca é enviado.

3. Com quem compartilhamos seus dados

Para funcionar, a Plataforma depende de alguns fornecedores especializados, que têm acesso aos dados estritamente necessários para a função que exercem, sob contrato de confidencialidade e tratamento de dados:

Provedores de inteligência artificial (ex.: OpenAI) — processamento da conversa de Triagem, incluindo dados de saúde.

Meta Platforms — (a) WhatsApp Business API: canal de mensageria pelo qual a conversa acontece, incluindo o envio do código de verificação quando você contrata pelo site; todo o conteúdo trocado no WhatsApp; (b) mensuração de anúncios: recebe os dados técnicos descritos na Seção 3.2, quando você chega até nós por um anúncio.

Asaas — processamento de pagamentos, inclusive a página de pagamento para a qual você é levado ao contratar pelo site; dados financeiros e cadastrais mínimos (nome, CPF, e-mail e telefone) necessários para emitir a cobrança.

Netlify — hospedagem do site institucional (drsarah.ai); registros técnicos de acesso às páginas. Os dados que você digita nos formulários do site não ficam armazenados na Netlify: são enviados diretamente à infraestrutura da Plataforma, na Hostinger.

Cloudflare — proteção dos formulários do site contra robôs e fraudes (Cloudflare Turnstile); endereço IP e sinais técnicos do navegador e do dispositivo, no momento do envio do formulário. A Cloudflare também pode usar esses sinais para aprimorar a sua própria detecção de robôs, de acordo com as políticas dela, que você encontra em https://www.cloudflare.com/turnstile-privacy-policy/.

Hostinger — hospedagem de toda a infraestrutura da Plataforma (workflows, bancos de dados, CRM e armazenamento de arquivos); todos os dados tratados fora do site.

Doc24 (DOC 24 BRASIL PLATAFORMA DE INTERMEDIAÇÃO LTDA., CNPJ 34.185.452/0001-07) e os Médicos Parceiros e demais Profissionais de Saúde Parceiros que atuam por meio dela — realização da Teleconsulta e do Atendimento Especializado Remoto (Medicina, Psicologia e Nutrição); pré-anamnese, dados de saúde e dados cadastrais necessários ao atendimento.

Resend — envio de e-mails transacionais; nome e e-mail do destinatário, conteúdo do e-mail enviado.

Google Analytics — somente se você autorizar no aviso de cookies do site: métricas agregadas de navegação e tráfego do site institucional. Configuramos a ferramenta para não usar os dados para publicidade (sem Google Signals, sem personalização de anúncios e sem ligação com o Google Ads) e sem identificador de usuário. Não inclui dados de saúde, dados do cadastro nem da conversa no WhatsApp.

Internamente, a Plataforma usa ferramentas de CRM e de armazenamento de arquivos para organizar seu próprio funcionamento — essas ferramentas rodam dentro da infraestrutura da Hostinger, não são empresas terceiras com acesso independente aos seus dados.

Além desses fornecedores, seus dados podem ser acessados por profissionais autorizados da Dra. Sarah, sob dever de sigilo, e por autoridades públicas, mediante requisição legal, judicial ou regulatória. Nunca vendemos seus dados, não os cedemos para listas de contato e não os compartilhamos para o marketing de outras empresas. A única exceção — restrita e sem qualquer informação de saúde — é a medição dos nossos próprios anúncios, descrita na Seção 3.2.

3.2. Medição dos nossos anúncios (Meta)

Quando isso acontece. Só se você chegou até a Dra. Sarah clicando em um anúncio nosso no Facebook ou no Instagram. Se você nos procurou de outra forma — por indicação, pelo site, digitando nosso número —, nada do que está nesta seção se aplica a você. O site drsarah.ai não usa o Pixel da Meta nem qualquer ferramenta de anúncios.

Por que fazemos isso. Quando alguém clica em um anúncio e vai para o WhatsApp, a Meta não tem como saber se a conversa realmente começou. Sem essa informação, ela otimiza nossos anúncios para quem clica, e não para quem de fato procura ajuda. Avisar que o clique virou conversa — e, quando acontece, que virou um cadastro — nos permite investir melhor e mostrar nossos anúncios para quem realmente precisa do serviço.

O que exatamente enviamos. Apenas quatro informações técnicas:

Quais eventos avisamos. Dois, e só estes: (a) conversa iniciada, quando você manda a primeira mensagem depois de clicar no anúncio; e (b) cadastro concluído, quando você finaliza o cadastro básico. Vale explicar o que é esse cadastro: ele é comercial, são os dados básicos (nome, CPF e data de nascimento) que você informa no WhatsApp para poder usar a Plataforma, e acontece antes de qualquer triagem. Normalmente ele vem antes de você assinar um plano; se você contratou pelo site, ele acontece depois do pagamento, quando você completa o cadastro no WhatsApp. Em qualquer caso, avisamos apenas que ele foi concluído; o conteúdo do cadastro nunca é enviado, nada nele diz respeito à sua saúde, e o aviso não informa se você assinou um plano.

O que nunca enviamos. Nunca, em nenhuma hipótese:

Base legal. Legítimo interesse (art. 7º, IX, da LGPD) — nosso interesse em medir e melhorar o investimento em divulgação. Fizemos e mantemos documentado o teste de balanceamento recomendado pela ANPD, e você pode solicitá-lo pelo canal do Encarregado.

Como se opor. Você pode se opor a este uso específico a qualquer momento, sem que isso afete o seu acesso ao serviço, escrevendo para contact@drsarah.ai com o assunto "medição de anúncios". Sua oposição vale para todos os envios futuros. Como o registro de "conversa iniciada" acontece no exato momento do seu primeiro contato, ele pode já ter ocorrido antes de você ler esta Política — se for o caso, avise-nos e solicitaremos a exclusão do dado junto à Meta pelos canais disponíveis.

Transferência internacional. A Meta Platforms está sediada nos Estados Unidos. Esta transferência é feita com as garantias descritas na Seção 3.3.

Papel da Meta. Ao receber esses dados, a Meta também os utiliza para as finalidades dela — em especial para o funcionamento e a melhoria do próprio sistema de anúncios —, de acordo com as políticas dela, que você encontra em https://www.facebook.com/privacy/policy.

3.3. Transferência internacional

Alguns dos fornecedores listados acima estão sediados no exterior — notadamente os provedores de inteligência artificial, a Meta Platforms, a Netlify, a Cloudflare, a Resend e o Google Analytics, todos nos Estados Unidos. A Hostinger, embora seja uma empresa sediada na Lituânia, armazena os dados desta operação especificamente em um data center em São Paulo, Brasil — portanto, para os dados tratados na infraestrutura da Plataforma, não há transferência internacional por essa via.

Para as transferências à Meta Platforms, Inc. (Estados Unidos) descritas na Seção 3.2, a transferência tem fundamento no art. 33, II, "b", da LGPD e é realizada sob as cláusulas-padrão contratuais aprovadas pela Autoridade Nacional de Proteção de Dados (ANPD), na forma do Anexo II da Resolução CD/ANPD nº 19/2024. Essas cláusulas estão incorporadas à nossa relação contratual com a Meta por meio do Adendo Global sobre a Transferência de Dados (Global Data Transfer Addendum), que integra os Termos das Ferramentas de Negócios da Meta e está disponível em https://www.facebook.com/legal/terms/Privacy/GDTA.

Para as demais transferências internacionais, adotamos as garantias exigidas pelos arts. 33 e seguintes da LGPD. Você pode solicitar informações sobre essas garantias, incluindo cópia do instrumento aplicável, pelo canal do Encarregado.

3.4. Cookies e tecnologias semelhantes no site

Cookies e tecnologias semelhantes são pequenos registros guardados no seu navegador. No site drsarah.ai usamos duas categorias:

Necessários (sempre ativos). Sem eles o site não funciona com segurança nem permite contratar:

Base legal: legítimo interesse, para a segurança do site e o funcionamento da contratação (art. 7º, IX, da LGPD).

Analíticos (desligados até você autorizar). Google Analytics, para medir de forma agregada como o site é usado e em que etapa as pessoas desistem de contratar. Enquanto você não clicar em "Aceitar", a ferramenta não é carregada e nenhum cookie analítico é gravado. Configuramos o Google Analytics sem Google Signals, sem personalização de anúncios, sem ligação com o Google Ads e sem identificador de usuário, e os dados ficam retidos na ferramenta por 2 (dois) meses. Base legal: seu consentimento (art. 7º, I, da LGPD).

Não usamos cookies de publicidade no site.

Como escolher e mudar de ideia. Na primeira visita, o aviso de cookies oferece "Aceitar" e "Rejeitar", com o mesmo destaque. Você pode mudar sua escolha a qualquer momento no link "Preferências de cookies", no rodapé do site; se retirar a autorização, apagamos os cookies analíticos do seu navegador e a ferramenta deixa de ser carregada, sem afetar o que já foi medido antes. Você também pode apagar cookies e dados de sites nas configurações do seu navegador. Recusar os cookies analíticos não impede a contratação.

4. Por quanto tempo guardamos seus dados

Histórico de conversa e pré-anamnese elaborada pela Dra. Sarah — enquanto durar sua relação com a Plataforma, mais o prazo adicional necessário ao cumprimento de obrigações legais.

Prontuário/registro clínico da Teleconsulta ou do Atendimento Especializado Remoto — não é armazenado pela Dra. Sarah. É elaborado e mantido pela Doc24 e pelo Médico Parceiro ou demais Profissional de Saúde Parceiro que realizou o atendimento, sob a política de retenção deles — no caso da Medicina, prontuário eletrônico tem guarda permanente, conforme Resolução CFM nº 1.821/2007.

Dados financeiros — pelo prazo exigido pela legislação tributária e cível.

Registro do seu aceite dos Termos de Uso e desta Política (versão aceita, data, hora e canal) — enquanto durar sua relação com a Plataforma e, depois, pelo prazo necessário para o exercício regular de direitos. Cada novo aceite é guardado junto com os anteriores.

Cadastros iniciados sem contratação — se você preencher seus dados para contratar e não concluir o pagamento, mantemos esses dados por até 12 (doze) meses a partir do seu último contato, para que você possa retomar a contratação e para prevenção a fraudes.

Código de verificação do WhatsApp — guardamos apenas uma versão cifrada do código, eliminada em até 24 (vinte e quatro) horas após o código expirar.

Origem e canal (campanha, site ou WhatsApp) — enquanto durar sua relação com a Plataforma.

Aviso de lançamento de planos (por exemplo, o Plano Família) — até o lançamento do plano e por até 12 (doze) meses a partir do seu pedido, ou até você pedir para sair, o que acontecer primeiro.

Dados do Google Analytics — retidos pelo Google por 2 (dois) meses, conforme configuramos na ferramenta.

Logs de acesso à aplicação — mínimo de 6 (seis) meses, conforme art. 15 do Marco Civil da Internet.

Depois desses prazos, os dados são eliminados ou anonimizados de forma segura, salvo quando a lei determinar prazo diferente.

5. Como protegemos seus dados

Adotamos medidas técnicas e administrativas compatíveis com o estado da técnica, incluindo criptografia em trânsito (TLS), controle de acesso baseado em função, registro e auditoria de operações relevantes, segregação de ambientes, processos formais de gestão de incidentes e dever de sigilo contratualmente exigido de toda a equipe e de todos os fornecedores.

Nenhum sistema é absolutamente inviolável. Caso ocorra um incidente de segurança que possa gerar risco ou dano relevante a você, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, conforme exige o art. 48 da LGPD.

6. Base legal para o tratamento

Tratamos seus dados com base em, conforme o caso: (i) seu consentimento específico e destacado, para o tratamento de dados pessoais sensíveis — sexo biológico, identidade de gênero e dados de saúde; (ii) execução do contrato entre você e a Dra. Sarah, incluindo os procedimentos preliminares à contratação, como o cadastro pelo site e a verificação do seu número de WhatsApp; (iii) tutela da saúde, em procedimento realizado por profissional de saúde; (iv) cumprimento de obrigação legal ou regulatória; (v) exercício regular de direitos em processo judicial, administrativo ou arbitral; (vi) legítimo interesse, exclusivamente para a medição da eficácia dos nossos anúncios, na forma da Seção 3.2; para a segurança da informação e a prevenção a fraudes, inclusive nos formulários do site e nos cookies necessários (Seção 3.4); e para a análise interna dos canais e campanhas pelos quais você chegou, se cadastrou e contratou (Seção 2, inciso (viii)); (vii) seu consentimento, para os cookies analíticos do site (Seção 3.4) e para os avisos de lançamento de novos planos (Seção 2, inciso (ix)).

7. Seus direitos como titular de dados

A qualquer momento, você pode nos pedir, pelo canal de atendimento: confirmação de que tratamos seus dados; acesso aos dados que temos sobre você; correção de dados incompletos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários; portabilidade; eliminação dos dados tratados com base no seu consentimento; informação sobre com quem compartilhamos seus dados; informação sobre a possibilidade de não consentir; revogação do seu consentimento, a qualquer tempo; e oposição a tratamentos realizados com base em legítimo interesse, como o descrito na Seção 3.2.

Para exercer qualquer um desses direitos, escreva para contact@drsarah.ai ou para o canal do Encarregado (DPO), indicado no topo desta Política. Você também pode mudar sua escolha sobre cookies no link "Preferências de cookies" do site e deixar de receber avisos de lançamento de planos respondendo "SAIR" no WhatsApp ou escrevendo para contact@drsarah.ai.

8. Menores de idade

A Plataforma é destinada exclusivamente a maiores de 18 anos. Não coletamos intencionalmente dados de menores. O formulário de contratação do site verifica a idade pela data de nascimento e não permite a contratação por menores de 18 anos. Caso a Dra. Sarah venha a oferecer atendimento pediátrico com cadastro feito por um responsável legal, o tratamento dos dados da criança seguirá as regras específicas do art. 14 da LGPD e do Estatuto da Criança e do Adolescente (Lei nº 8.069/1990).

9. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças na forma como tratamos seus dados, mudanças legais ou regulatórias, ou melhorias no serviço. Alterações materiais serão comunicadas pelo WhatsApp e/ou pelo e-mail cadastrado, com antecedência mínima de 15 dias.

10. Contato

Dúvidas, solicitações ou reclamações sobre esta Política podem ser enviadas para:

Versão 1.4 — vigente a partir de 01 de outubro de 2026, exceto o inciso (viii) da Seção 2 quanto aos dados de usuários cadastrados antes dessa data, vigente a partir de 16 de outubro de 2026.
DRA SARAH TECNOLOGIA EM SAUDE LTDA — CNPJ 67.863.758/0001-24.