Política de Privacidade

A plataforma fatloss.com.br é operada por SEU APP LTDA, CNPJ 65.221.843/0001-63, com sede na Rua Dom José de Barros, 51, sala 73, República, São Paulo, SP, CEP 01038-100, doravante denominada "plataforma" ou "controlador".

Encarregado de Proteção de Dados (DPO): Luis Santos, contato: contato@fatloss.com.br

Para os dados da própria conta (nome, e-mail, telefone da clínica ou do profissional, dados de faturamento), a plataforma é controladora: decidimos por que e como esse dado é tratado, para prestar o serviço contratado.

Para os dados de saúde do paciente, a clínica decide atendê-lo, obtém o consentimento e define a finalidade clínica: ela é a controladora desse dado, e responde pelas obrigações de retenção da sua especialidade (seção 6). A plataforma atua como operadora. Ela trata o dado de saúde só por instrução da clínica, só para o que o produto foi contratado a fazer, nunca por conta própria.

O paciente é o titular dos seus dados de saúde. A relação de consentimento com ele, e a responsabilidade de prová-lo quando exigido (art. 8.º §2.º da LGPD), é da clínica que o atende, não da plataforma.

Dados de conta (clínica/profissional): nome, e-mail, telefone, nome da clínica, dados de faturamento. Finalidade: criar e manter a conta, emitir cobranças, comunicações operacionais.

Dados de saúde dos pacientes (dados sensíveis, art. 5.º, II e art. 11 da LGPD): medidas corporais (peso, dobras cutâneas, percentual de gordura, massa magra, IMC, TMB/GET), informações de bioimpedância (InBody), fotos de avaliação e histórico de progressão. Esses dados são inseridos pelos profissionais de saúde em nome de suas clínicas; os papéis de controlador e operador para cada tipo de dado estão detalhados na seção 1.1.

Dados de saúde vindos do aparelho do paciente (dados sensíveis): peso e contagem de passos, quando o próprio paciente escolhe conectar o aplicativo de saúde do celular dele. Diferente dos dados acima, estes não são inseridos pelo profissional: vêm do aparelho, por iniciativa do paciente. A seção 2.3 descreve o que é coletado, como se desliga e o que a plataforma não faz com eles.

Dados de uso: logs de acesso (IP, user-agent, timestamps), eventos de navegação agregados para fins de melhoria do produto. Não vendemos nem compartilhamos dados de uso individualmente identificados com terceiros para fins publicitários.

O cadastro do profissional pede nome, e-mail e telefone. Em seguida enviamos um e-mail para você confirmar o endereço e definir a sua senha; a conta só passa a funcionar depois dessa confirmação.

Finalidade: criar e manter a conta, confirmar que o endereço de e-mail é seu e falar com você sobre a assinatura. Não enviamos newsletter.

Base legal: execução de contrato (art. 7.º, V da LGPD), por serem os dados necessários para prestar o serviço que você contratou.

Operador: o e-mail de confirmação é entregue pelo Mailgun, serviço de envio de e-mail, que processa o seu endereço apenas para entregá-lo.

A criação da conta também gera um evento de medição de anúncios enviado à Meta. O que exatamente é enviado, e sob qual condição, está descrito na seção 9.

Retenção: como dados de conta, seguem o prazo da seção 6.

O paciente acompanhado pela clínica acessa a própria evolução, o treino e a dieta pelo navegador do celular, sem instalar nada, ou pelo aplicativo nativo. No iPhone, o aplicativo está na App Store; no Android, no Google Play.

No aplicativo nativo, o token de autenticação fica em armazenamento seguro do próprio sistema operacional (Keychain no iOS, Keystore no Android), não em armazenamento comum do aplicativo.

No aplicativo, o paciente pode conectar o Apple Saúde (iPhone) ou o Health Connect (Android) para trazer o peso e a atividade física que o relógio, a pulseira ou a balança dele já registram nesses aplicativos. É ele quem decide conectar, e o próprio sistema operacional pede a autorização, item por item.

O que é lido: somente peso, passos, calorias gastas em atividade e minutos de exercício, como totais por dia, e nada além disso. Na primeira conexão são lidos até 30 dias para trás; depois, o aplicativo atualiza esses números sozinho quando o paciente o abre, no máximo uma vez por hora e só enquanto a autorização estiver ativa. Não lemos frequência cardíaca, sono, localização, rotas, detalhes de treinos, ciclo menstrual nem qualquer outra categoria do aplicativo de saúde, mesmo que o paciente as tenha registrado lá. O aplicativo também nunca grava nada no Apple Saúde nem no Health Connect.

Base legal: consentimento específico e destacado para dado sensível (art. 7.º, I e art. 11, I da LGPD), manifestado pelo próprio paciente no momento em que ele autoriza a leitura no celular.

Como revogar: a qualquer momento, nos ajustes do próprio celular (Ajustes, Saúde, Acesso a dados e aparelhos, no iPhone; ou no aplicativo Health Connect, no Android). Revogar interrompe novas leituras imediatamente. Os valores já importados continuam no histórico do paciente até ele pedir a exclusão, pelo caminho da seção 7.

Para que serve e quem vê: o paciente vê os números do dia, os últimos 7 dias e o progresso em relação às metas de atividade que o profissional definiu; a clínica que o acompanha vê as médias e os dias em que a meta foi atingida, no painel profissional, nos mesmos limites de isolamento por clínica descritos na seção 8. Nenhuma outra clínica tem acesso.

O que a plataforma NÃO faz com esse dado: não usamos para publicidade, marketing ou qualquer forma de segmentação; não vendemos; não compartilhamos com terceiros; e não usamos para treinar modelos de inteligência artificial. Ele também não é enviado a nenhum provedor de IA, diferentemente do que a seção 5.1 descreve para os rascunhos de plano.

Limite clínico, que é o mais importante: esse número é tratado como declarado pelo aparelho. Ele aparece numa seção separada e nunca vira uma avaliação, nunca entra no cálculo de composição corporal, de taxa metabólica ou de gasto energético, e não altera nenhuma dieta ou treino prescrito. Peso de balança doméstica e peso de avaliação clínica não são a mesma medida, e a plataforma não os mistura.

Apple e Google não recebem dados nossos nesse fluxo. A leitura acontece dentro do celular do paciente, com a autorização dele, e o valor segue do aparelho para o servidor da plataforma. O Apple Saúde e o Health Connect são a origem do dado, não destinatários dele.

Retenção: como dado de saúde, segue o prazo da seção 6.

Health Connect e Uso Limitado: o uso de informações recebidas do Health Connect segue a Política de Permissões do Health Connect, incluindo os requisitos de Uso Limitado. Da mesma forma, os dados lidos do Apple Saúde (HealthKit) são usados apenas para as finalidades de saúde descritas nesta seção.

Execução de contrato (art. 7.º, V): dados de conta e de faturamento necessários para prestação do serviço contratado.

Consentimento (art. 7.º, I e art. 11, I): dados de saúde dos pacientes são tratados mediante consentimento específico e destacado, coletado pelo profissional/ clínica antes do cadastro do paciente. A clínica é responsável por registrar e manter esse consentimento.

Consentimento para páginas públicas (art. 7.º, I): ao gerar um link público de evolução, o profissional confirma que obteve consentimento explícito do paciente para a divulgação. O paciente pode revogar a qualquer momento solicitando ao profissional a revogação do link.

Legítimo interesse / obrigação legal (art. 7.º, II e IX): logs de segurança e retenção de dados para cumprimento de obrigações regulatórias e defesa em processos administrativos ou judiciais.

Profissionais podem gerar links de evolução (/e/[slug]) que permitem que o paciente ou terceiros autorizados visualizem métricas selecionadas. Os links podem ser protegidos por PIN e têm prazo de validade configurável.

Links públicos não incluem fotos na pré-visualização social (OG image) e não expõem dados brutos de saúde em metadados de redes sociais, apenas nome do paciente e nome da clínica são exibidos em previews.

O profissional pode revogar qualquer link a qualquer momento. Após revogação, o link retorna erro 410 (expirado) e os dados deixam de ser acessíveis via aquela URL.

Estimativa de composição corporal por foto. Quando o profissional solicita uma estimativa, as fotos enviadas para aquela finalidade são transmitidas a um provedor de inteligência artificial para processamento, junto de sexo, idade, altura e peso. As fotos são armazenadas com acesso restrito por URL assinada e expirável, nunca públicas, e são excluídas em até 30 dias, permanecendo apenas o resultado da estimativa. O profissional pode excluir a estimativa e as fotos a qualquer momento. A exclusão remove o que está armazenado, e não desfaz um envio já realizado.

Não vendemos dados. Podemos compartilhar dados com:

• Armazenamento de arquivo (Cloudflare R2): fotos de avaliação, exames e anexos ficam em bucket com acesso restrito por URL assinada e expirável. Outros prestadores de infraestrutura (hospedagem do servidor e do banco de dados) também estão sujeitos a contrato de processamento de dados (DPA) compatível com a LGPD.
• Gateway de pagamento (Asaas): apenas os dados necessários para processamento da cobrança.
• Autoridades competentes: quando exigido por lei, ordem judicial ou investigação regulatória.
• Provedores de inteligência artificial (Anthropic/Claude, e a OpenAI como contingência): quando o profissional usa um recurso assistido por IA (rascunho de treino, rascunho de dieta, leitura de plano enviado em arquivo e estimativa de composição corporal por foto), o conteúdo necessário àquele recurso é enviado ao provedor para processamento e devolvido ao produto. O envio acontece por ação do profissional, recurso a recurso, e não de forma contínua. Leitura de imagem e de foto (leitura de exame em imagem, importação de plano por foto, estimativa de composição corporal por foto) é processada só pela Anthropic/Claude, sem envio à OpenAI em nenhuma hipótese.

Não temos um estudo de acurácia publicado para os recursos assistidos por IA (rascunho de treino, rascunho de dieta, leitura de exame, estimativa de composição corporal por foto), e não afirmamos um número que não temos como sustentar. Preferimos dizer isso a inventar uma margem de erro: um número inventado daria ao resultado uma aparência de medida que ele não tem.

Em vez de um número de acurácia, o desenho do produto limita o risco de um resultado de IA errado:

• Todo rascunho de treino, de dieta e toda leitura de exame por IA fica pendente de revisão do profissional antes de entrar na ficha do paciente. Nada gerado por IA é aplicado sozinho.
• A estimativa de composição corporal por foto devolve uma faixa, não um valor, fica num registro separado, e nunca alimenta o gráfico de evolução, o laudo ou o cálculo da dieta, que dependem só de medida (dobras cutâneas ou bioimpedância).
• As fórmulas que calculam a composição corporal (Jackson-Pollock, Faulkner, Siri, Brozek, Mifflin-St Jeor e as demais) não são geradas por IA: estão publicadas por extenso, com os coeficientes, em duas implementações independentes verificadas em paridade por teste automatizado a cada mudança.

O Fatloss Conecta é um recurso opcional, que vem desligado. Quando o dono da clínica o liga e aceita o termo, a clínica, como controladora dos dados, escolhe permitir que a equipe conecte assistentes de IA de terceiros (como Claude e ChatGPT) aos dados da clínica, inclusive dados de saúde de pacientes.

O que o assistente recebe passa a seguir os termos do provedor escolhido pela clínica. O Fatloss limita o acesso às permissões de cada pessoa, pede confirmação antes de ações sensíveis e registra cada chamada, mas não controla o que o provedor faz com o que recebe.

• O que o Fatloss registra: a trilha de auditoria guarda qual ferramenta foi chamada, quando, com que resultado e o identificador do paciente envolvido. Ela não guarda o conteúdo da conversa nem os argumentos da chamada.
• Arquivos: laudo, foto e anexo só saem como link assinado e temporário. O assistente nunca recebe o arquivo em si.
• Prévia e confirmação: toda ação sensível passa por uma prévia, que não grava nada no prontuário. A confirmação vale uma vez, por 15 minutos, para exatamente os mesmos dados. O servidor guarda só um resumo técnico (hash) e o texto genérico do efeito, nunca o conteúdo.
• Como revogar: cada conexão pode ser revogada pelo painel, e a revogação vale a partir da chamada seguinte.
• Desligar tudo: o dono pode desligar o recurso a qualquer momento, e todas as conexões da clínica param na hora.

Dados de conta: mantidos enquanto a conta estiver ativa e por até 5 anos após o encerramento, para fins de obrigação legal e defesa em litígios.

Dados de saúde: mantidos pelo prazo exigido pela regulamentação setorial aplicável (Resolução CFM n.º 1.638/2002 e normativas equivalentes para nutrição e educação física), em geral 20 anos para prontuários médicos. A clínica é responsável por definir e comunicar ao paciente o prazo de retenção adequado à sua especialidade.

Exceção: as fotos enviadas para estimativa de composição corporal por foto (seção 4) são excluídas em até 30 dias, prazo mais curto que o de prontuário. Após essa exclusão permanecem apenas o resultado da estimativa e o registro do consentimento correspondente.

Após o prazo de retenção, os dados são anonimizados ou excluídos de forma segura.

Nos termos dos artigos 17 a 22 da LGPD, o titular dos dados (paciente ou profissional) tem direito a:

• Acesso: confirmar a existência e obter cópia dos dados tratados.
• Correção: corrigir dados incompletos, inexatos ou desatualizados.
• Portabilidade: receber os dados em formato estruturado e interoperável. O dono da clínica também pode gerar, pelo próprio produto e sem precisar nos contatar, um export em JSON com os pacientes e o histórico de avaliações de cada um, a qualquer momento.
• Exclusão: solicitar a eliminação dos dados tratados com base em consentimento.
• Revogação do consentimento: retirar o consentimento a qualquer tempo, sem prejuízo da licitude do tratamento anterior.
• Oposição: opor-se ao tratamento realizado em descumprimento da LGPD.
• Informação: ser informado sobre entidades com as quais os dados foram compartilhados.

Para exercer seus direitos, entre em contato pelo e-mail contato@fatloss.com.br. Responderemos em até 15 dias úteis, podendo prorrogar por igual período mediante justificativa.

O paciente pode excluir a própria conta a qualquer momento, sem precisar nos contatar, no aplicativo, em Perfil, Configurações, Excluir conta. A exclusão vale para todas as clínicas em que a pessoa é atendida e, de imediato: apaga o nome, o e-mail, o telefone e a senha da conta; apaga as publicações, fotos, comentários, curtidas e bloqueios na comunidade; revoga os links públicos de evolução e a autorização de aparecer no perfil público da clínica; e apaga os aparelhos cadastrados para notificação e as sessões abertas.

O prontuário (avaliações, fotos de avaliação, planos e mensagens com a equipe) não é apagado pela exclusão da conta: dele a clínica é a controladora (seção 1.1) e é obrigada a guardá-lo pelo prazo da regulamentação da sua profissão (seção 6). Ele deixa de estar ligado a um login. Para pedir a eliminação também desse dado, o paciente fala com a clínica ou usa o canal da seção 7.

Infraestrutura: servidores dedicados, não máquinas virtuais compartilhadas.

Adotamos medidas técnicas e organizacionais adequadas ao risco, incluindo: senha de acesso protegida por Argon2id (parâmetros recomendados pela OWASP), criptografia TLS em trânsito, criptografia em repouso, controle de acesso por função (RBAC), isolamento entre clínicas por Row-Level Security (RLS) no banco de dados, URLs de acesso a fotos assinadas e com prazo de expiração, e logs de auditoria de ações sensíveis.

Sessão: o token de acesso expira em 15 minutos. A renovação usa um token separado, de uso único. A cada renovação ele é substituído por um novo, e reusar um token já substituído revoga toda a sessão daquela conta, não só o token reutilizado.

Limite de tentativas: as rotas de login, cadastro e recuperação de senha têm limite de requisições por IP, para dificultar tentativa automatizada de adivinhar senha.

Isolamento por tenant testado, não só declarado: o isolamento entre clínicas por Row-Level Security roda em teste automatizado a cada mudança no banco de dados, e um dos testes confirma que a própria conexão de teste está sujeita à política, e não passa só porque ignorou a regra por engano.

Backup: cópia diária do banco de dados, validada estruturalmente antes de ser aceita, com histórico das mais recentes mantido separado do banco principal.

Autenticação de dois fatores para conta de profissional está no roteiro do produto e ainda não está disponível.

Mantemos um canal de divulgação responsável de vulnerabilidades em /.well-known/security.txt. Quem encontrar uma falha de segurança pode reportar por esse canal antes de torná-la pública.

Em caso de incidente de segurança relevante, notificaremos a ANPD e os titulares afetados no prazo de 72 horas contado do conhecimento do incidente, conforme art. 48 da LGPD.

Cookies estritamente necessários, para autenticação e segurança da sessão, são usados sempre: sem eles o serviço não funciona, e por isso não dependem de consentimento.

Além deles, usamos duas ferramentas de medição de anúncios: o pixel do Meta (Facebook e Instagram) e a tag do Google (Google Ads). Navegando pelo site, elas registram as páginas visitadas e enviam esse registro à Meta Platforms e à Google, para medir quantas pessoas que viram um anúncio nosso chegaram até aqui.

Desse registro de navegação não faz parte o seu nome, e-mail ou telefone. Também pedimos à tag do Google, pelo código do site, que não colete dados de formulário por conta própria.

Ao criar uma conta o nosso servidor envia à Meta um evento de cadastro que contém o hash SHA-256 do seu e-mail e do seu telefone, um identificador interno também com hash, o seu endereço IP, o seu navegador e os identificadores que a própria Meta grava no navegador. O hash é um cálculo de mão única: serve para a Meta comparar com quem ela já conhece, e não permite recuperar o seu endereço nem o seu número. Seu nome não é enviado, e a Google não recebe nada desse evento.

Esse envio de cadastro só acontece se você tiver aceitado o aviso de cookies. Sem o aceite, o registro de origem que o autoriza nunca é criado, e o evento não sai do nosso servidor.

Estes cookies só carregam depois do seu aceite no aviso que aparece na primeira visita. Enquanto você não decidir, ou se recusar, nada é carregado nem enviado. Recusar não limita nenhuma funcionalidade do site.

As páginas públicas de evolução de paciente (endereços que começam com /e/) nunca carregam nenhum dos dois, em nenhuma hipótese e independentemente da sua escolha. São páginas com dado de saúde, e associar a visita a um perfil de anúncios seria incompatível com o tratamento desse tipo de dado.

Os dados podem ser armazenados em servidores localizados fora do Brasil (ex.: provedores de cloud com data centers nos EUA ou Europa). Nesse caso, garantimos que os países ou organizações destinatárias proporcionam grau de proteção adequado à LGPD ou adotamos cláusulas contratuais padrão equivalentes.

Esta Política pode ser atualizada periodicamente. Alterações relevantes serão comunicadas por e-mail com antecedência mínima de 15 dias. Recomendamos revisitar esta página regularmente.

Controlador: SEU APP LTDA, CNPJ 65.221.843/0001-63
E-mail: contato@fatloss.com.br
DPO: Luis Santos, mesmo e-mail acima.

Autoridade supervisora: Autoridade Nacional de Proteção de Dados (ANPD), www.gov.br/anpd