Política de Privacidade
Sobre esta versão
VERSÃO PROVISÓRIA 0.1 — publicada para transparência e revisão. Informações de identificação, contato, fornecedores e decisões de tratamento ainda podem estar pendentes, conforme indicado no texto. Esta publicação não representa validação jurídica, não exige aceite contratual da equipe e não habilita consentimento para automação do atendimento de crianças. O canal Privacidade e meus dados permanece disponível para solicitações.
1. Responsável e contato
Informação pendente de preenchimento e validação pelo administrador: identificar a pessoa física ou jurídica responsável. Ortotrópico é o nome do sistema e não identifica, por si só, o controlador.
Informação pendente de preenchimento e validação pelo administrador: confirmar quem decide finalidades e meios essenciais e em quais operações atua como controlador ou sob instruções de outro agente.
Informação pendente de preenchimento e validação pelo administrador: cadastrar contato atendido pelo responsável. O canal /meus-dados recebe solicitações com protocolo quando disponível.
2. Alcance e origem dos dados
Esta política abrange atendimento WhatsApp, painel interno, biblioteca institucional de conhecimento, canal de direitos e registros técnicos. Aplica-se a pacientes, interlocutores, responsáveis, representantes e integrantes autorizados da equipe.
Os dados são enviados pelo interlocutor, cadastrados por equipe autorizada ou gerados na operação. WhatsApp fornece identificadores e eventos de entrega. Não existe cadastro público de paciente no painel, agenda, prontuário geral ou integração operacional com sistemas clínicos externos.
3. Dados tratados e necessidade
Atendimento: nome disponível, telefone ou identificador WhatsApp, mensagens e legendas, horários, IDs, estado de entrega, conversa e referência de mensagem citada. Servem para responder no canal correto, reunir contexto, impedir duplicidades e acompanhar pendências. Nome é opcional; endereço do canal é necessário para responder.
Mensagens podem conter dados sensíveis de saúde. Evite enviar CPF, documentos, endereço, localização ou histórico clínico desnecessário. Não exigimos nascimento completo. Quando pertinente à proteção do atendimento, a equipe registra faixa etária informada, identificação e contato mínimos do responsável, conferência e hipótese de tratamento.
Anexos podem ser recebidos e mantidos pelo WhatsApp, dispositivos e gateway. O núcleo minimiza o envelope de entrada: não inclui mídia binária, localização, cartões de contato, chaves de mídia ou URLs de download nessa projeção. Esse filtro não significa que outros participantes nunca receberam o anexo.
Equipe: nome, login, papel, credenciais protegidas, autenticação adicional quando habilitada, sessão, telefone profissional, grupo, disponibilidade e regras de recebimento. São usados para acesso individual, autoria e encaminhamento ao responsável. Não solicitamos endereço residencial ou documento pessoal por mera conveniência.
Conhecimento: arquivos institucionais, título, descrição, categoria, texto extraído ou transcrito, perguntas cobertas, trechos, versões e responsáveis. Servem à aprovação e rastreabilidade das respostas. A biblioteca não é armazenamento pessoal de exames; materiais devem evitar identificação de pacientes.
Direitos e segurança: tipo do pedido, telefone, relação com o titular, descrição opcional, protocolo, evidência mínima de verificação, decisões, versões aceitas e preferências. Registros técnicos incluem identificadores, horário e estado; logs de infraestrutura podem conter endereço de rede. O recibo de cookies não recebe nome, IP ou perfil publicitário.
4. Finalidades e fundamentos
Informação pendente de preenchimento e validação pelo administrador: aprovar hipóteses por finalidade, dados, pressupostos e responsável. Dados de saúde exigem avaliação própria; contrato ou legítimo interesse não autorizam automaticamente tratamento de dados sensíveis.
A finalidade é avaliada separadamente para atendimento, saúde, autenticação, conhecimento, direitos e auditoria. Enviar mensagem, ler a política, aceitar termos ou escolher cookies não autoriza todos esses usos.
Quando uma finalidade depender de consentimento, a solicitação deve ser específica, informada e separada de escolhas opcionais. Recusa e revogação devem produzir efeito real; conservação por outro fundamento exige justificativa própria. Encaminhar para uma pessoa não dispensa uma hipótese válida de tratamento.
5. Automação, IA e revisão humana
O sistema busca cobertura cadastrada em materiais aprovados e vigentes. No modo extrativo, envia o trecho aprovado. Rascunhos, versões arquivadas ou sem cobertura suficiente não devem fundamentar novas respostas automáticas.
Quando habilitado, Ollama executado localmente recebe pergunta e trecho aprovado para validar cobertura e pode vetar a resposta. Nessa implementação o modelo não escreve o texto enviado. Não há API operacional de LLM em nuvem, embeddings ou rotina de treinamento/fine-tuning implementada no núcleo auditado.
Essa constatação não comprova retenção, acesso ou usos de todos os fornecedores. Os termos aplicáveis são informados separadamente; não afirmamos que nenhum terceiro treina modelos ou melhora serviços com dados sem a comprovação correspondente.
No fluxo comum, cobertura insuficiente ou restrição gera pendência humana. Fontes, versões, trechos e eventos são registrados. O sistema pode falhar e a equipe pode demorar; não fornece diagnóstico autônomo nem substitui avaliação profissional.
Antes desse fluxo, regras locais examinam o texto e mensagens recentes da mesma conversa em busca de linguagem potencialmente relacionada a autolesão ou perigo atual. Esse encaminhamento não é diagnóstico nem avaliação psiquiátrica. Pode produzir erros e não interpreta automaticamente áudio ou imagens.
Quando acionada, a rota de segurança envia aviso operacional local com recursos de emergência e apoio emocional e cria ou prioriza uma pendência. Ela independe de cobertura na biblioteca ou disponibilidade do modelo. O aviso essencial também pode ser enviado após PARAR IA ou enquanto a autorização para conteúdo automático de menores estiver pendente. Isso não reativa a preferência nem libera orientação médica automática.
Responsáveis ativos, verificados e configurados podem receber simultaneamente a última mensagem relevante e um resumo mínimo. Registros internos incluem nível operacional, motivos padronizados, identificadores, horário e versão do protocolo, com acesso restrito e auditado. Esses dados não alimentam campanhas, publicidade ou segmentação. Encaminhamento não garante leitura, acompanhamento contínuo ou resposta humana imediata.
Envie PARAR IA para suspender respostas automáticas de conteúdo. Confirmações operacionais e respostas humanas solicitadas podem continuar. Para informação ou revisão de tratamento automatizado que afete seus interesses, use /meus-dados. A escolha é conferida antes do envio; escrever depois não reativa automaticamente a automação.
6. Destinatários e fornecedores
Informação pendente de preenchimento e validação pelo administrador: identificar fornecedores contratados, dados recebidos e operações sob instrução ou decisão própria. Nome de software não prova contrato de operação.
WhatsApp/Meta participa da comunicação, com tratamento de dados de conta, uso e metadados conforme o serviço e suas regras. Isso não significa afirmar acesso geral ao texto de mensagens protegidas por criptografia de ponta a ponta. No atendimento, o gateway conectado e os destinatários autorizados têm acesso ao conteúdo necessário.
OpenWA e Evolution são gateways auto-hospedados. A arquitetura prevê OpenWA principal e Evolution como alternativa compatível, condicionada ao estado da sessão e ao número verificado. O estado de conexão pode variar.
Identificação disponível, telefone, dúvida e resumo necessário podem ser enviados ao WhatsApp do responsável autorizado. Seus dispositivos passam a ter aquela cópia. Não encaminhe informações a contatos ou grupos fora do fluxo autorizado.
Banco, filas, storage, proxy e modelo local são componentes da infraestrutura. Prestadores de hospedagem, manutenção e suporte podem ter acesso técnico conforme configuração e contrato. Autores de software livre não se tornam operadores dos dados apenas porque sua biblioteca é usada.
O gateway pode consultar serviços externos para obter componentes técnicos do WhatsApp. Não há analytics, anúncios, fontes remotas, CAPTCHA ou SDK de marketing carregados no frontend próprio. Esses contextos não devem ser confundidos.
Informação pendente de preenchimento e validação pelo administrador: documentar termos aplicáveis a fornecedores: acesso a dados, subprocessamento, treinamento ou melhoria de serviços, retenção, exclusão e direitos.
7. Localização e transferências internacionais
Informação pendente de preenchimento e validação pelo administrador: confirmar localização de hospedagem, acessos remotos, destinatários, países e mecanismo de transferência aplicável. Não presumir adequação, cláusulas assinadas ou permanência integral no Brasil.
Banco e modelo auto-hospedados não provam que todo tratamento ocorre no Brasil. Infraestrutura, WhatsApp, suporte e acessos remotos exigem avaliação. Transferências efetivas precisam de finalidade, destinatários e garantias documentados, com informação acessível ao titular.
8. Crianças, adolescentes e responsáveis
O atendimento admite menores. Não há declaração universal de maioridade nem inferência etária por IA. Faixa desconhecida não comprova que o interlocutor é adulto. A equipe deve avaliar melhor interesse, necessidade e poderes do responsável.
Adolescentes identificados seguem para atendimento humano. Para crianças identificadas, automação depende de responsável conferido e hipótese registrada. Quando utilizado consentimento, a autorização específica deve ser obtida e documentada com finalidade, versão e data. Um campo marcado pelo administrador não substitui a manifestação do responsável. Se uma mudança exigir nova autorização e uma nova versão do aviso específico for publicada, consentimento de versão anterior não libera automação: a pergunta segue ao humano até a autorização atual ser conferida. Essa verificação também ocorre antes do envio.
Outras hipóteses cabíveis exigem avaliação e justificativa, sem fabricar consentimento. A retenção da mensagem para conferência humana também precisa ser necessária e fundamentada. Não há mecanismo automático de aferição etária implementado.
O responsável pode esclarecer, corrigir ou revogar autorização pelo canal de privacidade. Não exigimos documento completo ou biometria como regra geral. Obrigações de proteção digital de menores devem ser avaliadas conforme o acesso real ao serviço; a existência de faixa etária no cadastro não certifica cumprimento.
9. Segurança e limites
Há contas individuais, perfis de acesso, expiração de sessões, registros de autoria e controles de webhook. O painel usa HTTPS. Uploads institucionais são privados e o download depende de backend autorizado, sem URL pública permanente.
A operação registrou backups próprios cifrados, mas não se afirma que todo banco, arquivo ou dispositivo esteja cifrado em repouso. Não existe proteção absoluta. A equipe deve restringir acessos, proteger dispositivos e comunicar suspeitas.
Incidentes exigem avaliação de impacto, resposta e comunicações cabíveis aos titulares e à autoridade. Limites de logs e reinício de serviços não substituem investigação. Não divulgamos mensagens como prova de segurança.
10. Retenção e eliminação
Informação pendente de preenchimento e validação pelo administrador: definir retenção por categoria, prazo ou evento objetivo, marco inicial, fundamento, responsável, descarte e cópias. Não existe expurgo geral automático de mensagens, saúde e auditoria.
Dados não se tornam descartáveis pela retirada de um módulo. O sistema não expurga automaticamente mensagens, saúde e auditoria. Decisões podem eliminar conteúdo, minimizar perfil ou conservar registros com finalidade e fundamento identificados.
Arquivar conhecimento impede novos usos automáticos, mas preserva histórico. Rascunhos elegíveis podem ter original e derivados excluídos; materiais aprovados, citados ou retidos exigem análise. Cópias em mensagens, fornecedores, importações e backups precisam de tratamento separado.
Identificadores mínimos podem permanecer para correlação, deduplicação e oposição quando necessário e fundamentado. Isso é retenção parcial, não anonimização garantida. Restauração de backup deve reconciliar exclusões e escolhas antes da retomada. O detalhamento está na Política de Exclusão e Retenção de Dados, em /exclusao-de-dados.
11. Direitos, escolhas e alterações
Use /meus-dados para solicitar acesso, correção, exclusão, revogação ou encerramento e descrever outros direitos aplicáveis. A equipe confere identidade e representação proporcionalmente antes de fornecer cópias ou alterar dados. O resultado distingue execução, retenções e pendências externas.
SAIR, PARAR ou CANCELAR registram oposição persistente a comunicações promocionais. Não há campanhas operacionais nesta versão; atendimento transacional solicitado continua possível. PARAR IA é a escolha sobre conteúdo automático; PRIVACIDADE e MEUS DADOS solicitam informação.
Alteração de finalidade, dados, fornecedores ou garantias exige atualização factual e eventual nova autorização específica. Política não substitui consentimento quando necessário. Direitos permanecem disponíveis apesar de discordância, recusa de cookies ou aceite dos termos; é possível recorrer à ANPD e aos órgãos competentes.