Política de Privacidade

A plataforma fatloss.com.br é operada por SEU APP LTDA, CNPJ 65.221.843/0001-63, com sede na Rua Dom José de Barros, 51, sala 73, República, São Paulo, SP, CEP 01038-100, doravante denominada "plataforma" ou "controlador".

Encarregado de Proteção de Dados (DPO): Luis Santos, contato: contato@fatloss.com.br

Dados de conta (clínica/profissional): nome, e-mail, telefone, nome da clínica, dados de faturamento. Finalidade: criar e manter a conta, emitir cobranças, comunicações operacionais.

Dados de saúde dos pacientes (dados sensíveis, art. 5.º, II e art. 11 da LGPD): medidas corporais (peso, dobras cutâneas, percentual de gordura, massa magra, IMC, TMB/GET), informações de bioimpedância (InBody), fotos de avaliação e histórico de progressão. Esses dados são inseridos pelos profissionais de saúde em nome de suas clínicas, que atuam como operadoras ou cotitulares dependendo do contexto.

Dados de uso: logs de acesso (IP, user-agent, timestamps), eventos de navegação agregados para fins de melhoria do produto. Não vendemos nem compartilhamos dados de uso individualmente identificados com terceiros para fins publicitários.

O cadastro do profissional pede nome, e-mail e telefone. Em seguida enviamos um e-mail para você confirmar o endereço e definir a sua senha; a conta só passa a funcionar depois dessa confirmação.

Finalidade: criar e manter a conta, confirmar que o endereço de e-mail é seu e falar com você sobre a assinatura. Não enviamos newsletter.

Base legal: execução de contrato (art. 7.º, V da LGPD), por serem os dados necessários para prestar o serviço que você contratou.

Operador: o e-mail de confirmação é entregue pelo Mailgun, serviço de envio de e-mail, que processa o seu endereço apenas para entregá-lo.

A criação da conta também gera um evento de medição de anúncios enviado à Meta. O que exatamente é enviado, e sob qual condição, está descrito na seção 9.

Retenção: como dados de conta, seguem o prazo da seção 6.

Execução de contrato (art. 7.º, V): dados de conta e de faturamento necessários para prestação do serviço contratado.

Consentimento (art. 7.º, I e art. 11, I): dados de saúde dos pacientes são tratados mediante consentimento específico e destacado, coletado pelo profissional/ clínica antes do cadastro do paciente. A clínica é responsável por registrar e manter esse consentimento.

Consentimento para páginas públicas (art. 7.º, I): ao gerar um link público de evolução, o profissional confirma que obteve consentimento explícito do paciente para a divulgação. O paciente pode revogar a qualquer momento solicitando ao profissional a revogação do link.

Legítimo interesse / obrigação legal (art. 7.º, II e IX): logs de segurança e retenção de dados para cumprimento de obrigações regulatórias e defesa em processos administrativos ou judiciais.

Profissionais podem gerar links de evolução (/e/[slug]) que permitem que o paciente ou terceiros autorizados visualizem métricas selecionadas. Os links podem ser protegidos por PIN e têm prazo de validade configurável.

Links públicos não incluem fotos na pré-visualização social (OG image) e não expõem dados brutos de saúde em metadados de redes sociais, apenas nome do paciente e nome da clínica são exibidos em previews.

O profissional pode revogar qualquer link a qualquer momento. Após revogação, o link retorna erro 410 (expirado) e os dados deixam de ser acessíveis via aquela URL.

Não vendemos dados. Podemos compartilhar dados com:

• Prestadores de infraestrutura (cloud/storage): sujeitos a contratos de processamento de dados (DPA) compatíveis com a LGPD.
• Gateway de pagamento: apenas dados necessários para processamento da cobrança.
• Autoridades competentes: quando exigido por lei, ordem judicial ou investigação regulatória.

Dados de conta: mantidos enquanto a conta estiver ativa e por até 5 anos após o encerramento, para fins de obrigação legal e defesa em litígios.

Dados de saúde: mantidos pelo prazo exigido pela regulamentação setorial aplicável (Resolução CFM n.º 1.638/2002 e normativas equivalentes para nutrição e educação física), em geral 20 anos para prontuários médicos. A clínica é responsável por definir e comunicar ao paciente o prazo de retenção adequado à sua especialidade.

Após o prazo de retenção, os dados são anonimizados ou excluídos de forma segura.

Nos termos dos artigos 17 a 22 da LGPD, o titular dos dados (paciente ou profissional) tem direito a:

• Acesso: confirmar a existência e obter cópia dos dados tratados.
• Correção: corrigir dados incompletos, inexatos ou desatualizados.
• Portabilidade: receber os dados em formato estruturado e interoperável.
• Exclusão: solicitar a eliminação dos dados tratados com base em consentimento.
• Revogação do consentimento: retirar o consentimento a qualquer tempo, sem prejuízo da licitude do tratamento anterior.
• Oposição: opor-se ao tratamento realizado em descumprimento da LGPD.
• Informação: ser informado sobre entidades com as quais os dados foram compartilhados.

Para exercer seus direitos, entre em contato pelo e-mail contato@fatloss.com.br. Responderemos em até 15 dias úteis, podendo prorrogar por igual período mediante justificativa.

Adotamos medidas técnicas e organizacionais adequadas ao risco, incluindo: criptografia TLS em trânsito, criptografia em repouso, controle de acesso por função (RBAC), isolamento entre clínicas por Row-Level Security (RLS) no banco de dados, URLs de acesso a fotos assinadas e com prazo de expiração, e logs de auditoria de ações sensíveis.

Em caso de incidente de segurança relevante, notificaremos a ANPD e os titulares afetados no prazo de 72 horas contado do conhecimento do incidente, conforme art. 48 da LGPD.

Cookies estritamente necessários, para autenticação e segurança da sessão, são usados sempre: sem eles o serviço não funciona, e por isso não dependem de consentimento.

Além deles, usamos duas ferramentas de medição de anúncios: o pixel do Meta (Facebook e Instagram) e a tag do Google (Google Ads). Navegando pelo site, elas registram as páginas visitadas e enviam esse registro à Meta Platforms e à Google, para medir quantas pessoas que viram um anúncio nosso chegaram até aqui.

Desse registro de navegação não faz parte o seu nome, e-mail ou telefone. Também pedimos à tag do Google, pelo código do site, que não colete dados de formulário por conta própria.

Ao criar uma conta o nosso servidor envia à Meta um evento de cadastro que contém o hash SHA-256 do seu e-mail e do seu telefone, um identificador interno também com hash, o seu endereço IP, o seu navegador e os identificadores que a própria Meta grava no navegador. O hash é um cálculo de mão única: serve para a Meta comparar com quem ela já conhece, e não permite recuperar o seu endereço nem o seu número. Seu nome não é enviado, e a Google não recebe nada desse evento.

Esse envio de cadastro só acontece se você tiver aceitado o aviso de cookies. Sem o aceite, o registro de origem que o autoriza nunca é criado, e o evento não sai do nosso servidor.

Estes cookies só carregam depois do seu aceite no aviso que aparece na primeira visita. Enquanto você não decidir, ou se recusar, nada é carregado nem enviado. Recusar não limita nenhuma funcionalidade do site.

As páginas públicas de evolução de paciente (endereços que começam com /e/) nunca carregam nenhum dos dois, em nenhuma hipótese e independentemente da sua escolha. São páginas com dado de saúde, e associar a visita a um perfil de anúncios seria incompatível com o tratamento desse tipo de dado.

Os dados podem ser armazenados em servidores localizados fora do Brasil (ex.: provedores de cloud com data centers nos EUA ou Europa). Nesse caso, garantimos que os países ou organizações destinatárias proporcionam grau de proteção adequado à LGPD ou adotamos cláusulas contratuais padrão equivalentes.

Esta Política pode ser atualizada periodicamente. Alterações relevantes serão comunicadas por e-mail com antecedência mínima de 15 dias. Recomendamos revisitar esta página regularmente.

Controlador: SEU APP LTDA, CNPJ 65.221.843/0001-63
E-mail: contato@fatloss.com.br
DPO: Luis Santos, mesmo e-mail acima.

Autoridade supervisora: Autoridade Nacional de Proteção de Dados (ANPD), www.gov.br/anpd