Política de Privacidade

Data de vigência: 31 de outubro de 2026

Introdução

Boas-vindas ao AI DiagMe! A Smart Medical Care SAS (“nós”, “nos”, “nosso”) está comprometida em proteger a privacidade e a segurança dos dados pessoais de seus usuários (“você”, “seu”). AI DiagMe é um nome comercial da Smart Medical Care SAS. Esta Política de Privacidade explica como coletamos, usamos, compartilhamos, conservamos e protegemos seus dados pessoais quando você utiliza nosso site aidiagme.com (o “Site”) e nossos serviços baseados em inteligência artificial que ajudam você a entender e interpretar seus resultados de exames laboratoriais (os “Serviços”). Ela também informa sobre seus direitos de proteção de dados e os recursos disponíveis. Ao usar nossos Serviços, você reconhece que leu esta política. O tratamento dos seus dados de saúde é baseado no seu consentimento explícito, coletado separadamente.

Um serviço estritamente informativo. O AI DiagMe é um serviço informativo e educacional desenvolvido para ajudar você a entender seus resultados de exames. Ele complementa — e não substitui — o atendimento médico profissional, e não fornece diagnósticos. O AI DiagMe não é um dispositivo médico: isso foi confirmado pela Agência Nacional Francesa de Segurança de Medicamentos e Produtos de Saúde (ANSM — referência GIO 23593272, processo 2500297).

1. Controlador dos dados e contato de privacidade

O controlador dos seus dados pessoais é:

Empresa: Smart Medical Care SAS (sociedade por ações simplificada / société par actions simplifiée constituída na França)
Sede social: 37 Avenue Maréchal Foch, 06000 Nice, França
Registro de Comércio e Sociedades: RCS Nice 932 924 194
E-mail de contato: [email protected]

Seu contato de privacidade. Para qualquer dúvida sobre esta política ou sobre seus dados pessoais, ou para exercer seus direitos, entre em contato com nosso responsável pela privacidade, Julien P., pelo e-mail [email protected].

Encarregado pela proteção de dados (DPO). Neste momento, a Smart Medical Care SAS não nomeou um DPO nos termos dos artigos 37 a 39 do RGPD, pois suas atividades não tornam essa nomeação obrigatória. Julien P. atua como principal ponto de contato para qualquer questão relacionada à proteção de dados.

Dados de saúde hospedados na França. Independentemente da sua localização, todos os dados de saúde processados pelo AI DiagMe são hospedados exclusivamente em servidores do Google Cloud localizados na França, certificados para Hospedagem de Dados de Saúde (Hébergement de Données de Santé — HDS). Os dados de saúde da sua conta e seus relatórios não são hospedados fora da União Europeia. Em conformidade com o artigo L1111-8 do Código de Saúde Pública francês, essa hospedagem ocorre após você ter sido informado(a) e desde que você não se oponha por motivo legítimo; esse direito pode ser exercido em [email protected] (o exercício desse direito pode, no entanto, nos impedir de prestar o serviço). A única exceção, para fins de controle de qualidade: de forma pseudonimizada, as interpretações (sem identificador direto no quadro; nossos médicos não têm acesso às nossas bases de dados e não podem reidentificar você) podem ser revisadas pelos médicos do nosso Comitê Científico e de Ética por meio do Trello (Atlassian), hospedado nos Estados Unidos e coberto por um acordo de tratamento de dados (Cláusulas Contratuais Padrão e Data Privacy Framework).

2. Dados pessoais que coletamos

Dados de identificação e contato: nome, sobrenome e endereço de e-mail. Seu nome e sobrenome são usados para pseudonimizar (desidentificar) seu laudo antes do processamento pela IA; seu e-mail é usado para enviar a você o relatório de IA gerado.
Dados de saúde e contexto (categorias especiais): o laudo de exame laboratorial (sangue, urina, fezes) que você envia em PDF e as informações de contexto que você fornece (idade, sexo, altura, peso, histórico médico pessoal e familiar, alergias, estilo de vida) para gerar uma explicação mais relevante.
Dados de transação: informações relacionadas à sua compra, processadas diretamente pelo nosso provedor de pagamentos Stripe (não armazenamos os dados completos do seu cartão); seu histórico de transações conosco.
Dados técnicos de uso: como você interage com o Site, coletados via Google Analytics mediante seu consentimento (endereço IP, anonimizado sempre que possível, tipo de navegador, páginas visitadas, tempo de permanência, caminho de navegação).
Dados de comunicação: qualquer informação que você forneça ao entrar em contato com nosso suporte ou ao enviar um feedback.

3. Como usamos seus dados (finalidades e bases legais)

Tratamos seus dados apenas quando temos uma base legal adequada nos termos do RGPD (e do UK GDPR):

Para fornecer o serviço AI DiagMe (analisar seu laudo e gerar a explicação pela IA): seu consentimento explícito para dados de saúde (Art. 9(2)(a)), coletado por meio de uma caixa de seleção obrigatória antes de qualquer processamento, e execução do contrato para dados não sensíveis (Art. 6(1)(b)).
Para pseudonimizar seu laudo (remoção dos seus identificadores diretos antes da análise pela IA): execução do contrato (Art. 6(1)(b)), no âmbito do tratamento baseado no seu consentimento explícito (Art. 9(2)(a)).
Para enviar a você o relatório de IA gerado: execução do contrato (Art. 6(1)(b)).
Para gerenciar o relacionamento com o cliente e processar pagamentos (via Stripe): execução do contrato (Art. 6(1)(b)).
Para analisar o uso do Site e mantê-lo seguro (via Google Analytics): seu consentimento para cookies não essenciais (Art. 6(1)(a)); nosso interesse legítimo para segurança (Art. 6(1)(f)).
Para responder às suas solicitações: execução do contrato (Art. 6(1)(b)) ou interesse legítimo (Art. 6(1)(f)).
Para enviar comunicações de marketing (quando aplicável): exclusivamente com base no seu consentimento específico de opt-in, solicitado separadamente e nunca presumido (Art. 6(1)(a)).
Para exibir publicidade em nosso blog (artigos e páginas de publicações, via Google AdSense): seu consentimento para publicidade personalizada e para os cookies relacionados (Art. 6(1)(a)); se você recusar, somente anúncios não personalizados poderão ser exibidos. Os anúncios nunca são segmentados com base nos seus exames laboratoriais ou em qualquer dado de saúde, que nunca são compartilhados com o Google nem com seus parceiros de publicidade.
Para cumprir nossas obrigações legais e regulatórias: obrigação legal (Art. 6(1)(c)).

Pseudonimização e melhoria da IA

Nossa ferramenta interna remove seus identificadores diretos (nome e sobrenome) do seu laudo em PDF antes de qualquer análise pela IA. Isso constitui pseudonimização no sentido do artigo 4(5) do RGPD: seus dados de saúde deixam de ser diretamente identificáveis, mas continuam sendo dados pessoais enquanto puderem ser vinculados a você por meio do seu endereço de e-mail, que é armazenado separadamente. Não criamos conjuntos de dados supostamente anônimos conservados por tempo indeterminado.

Nós não treinamos modelos de IA com seus dados. Melhoramos a qualidade das nossas explicações por meio de uma base de conhecimento própria, alimentada pela revisão, de forma pseudonimizada, de relatórios de interpretação pelos médicos do nosso Comitê Científico e de Ética, que não têm acesso às nossas bases de dados e não podem reidentificar você. Como esses relatórios continuam sendo dados de saúde, você pode se opor (opt out) a essa revisão a qualquer momento, escrevendo para [email protected].

Nenhuma tomada de decisão automatizada

A interpretação dos seus resultados pela IA não constitui uma decisão baseada exclusivamente em tratamento automatizado que produza efeitos jurídicos sobre você ou que o(a) afete de forma igualmente significativa, nos termos do artigo 22 do RGPD. O relatório do AI DiagMe é um documento informativo e educacional: não fornece diagnóstico nem toma decisões médicas, e destina-se a ser discutido com um profissional de saúde. A interpretação é gerada por um modelo de linguagem de grande escala (por meio do Amazon Bedrock) a partir do seu laudo e dos seus dados de contexto; você pode, a qualquer momento, pedir esclarecimentos, expressar seu ponto de vista e contestar o resultado escrevendo para [email protected].

Necessidade de fornecer seus dados

O fornecimento do seu laudo, dos seus dados de contexto e do seu consentimento explícito é necessário para utilizar o serviço: sem eles, não é possível gerar o seu relatório de IA. Isso não constitui uma obrigação legal ou contratual, mas decorre exclusivamente da sua decisão; você é livre para não fornecê-los, caso em que o serviço não poderá ser prestado.

4. Compartilhamento dos seus dados pessoais

Não vendemos seus dados pessoais. Nós os compartilhamos apenas com os operadores estritamente necessários para a prestação dos Serviços, com as devidas salvaguardas:

Hospedagem: Google Cloud — os dados da sua conta e os seus dados de saúde são hospedados em servidores certificados HDS localizados na França. O site público aidiagme.com é hospedado pela OVH SAS (França) e não armazena nenhum dado de saúde.
Infraestrutura de IA: OpenRouter, Inc. (Estados Unidos), que faz a interface segura com o modelo de IA (por meio do Amazon Bedrock) para gerar seu relatório. Apenas dados rigorosamente pseudonimizados (sem seus identificadores diretos) são transmitidos; esses fornecedores nunca têm acesso à sua identidade e não estão autorizados a reutilizar seus dados, inclusive para treinar seus modelos.
Processamento de pagamentos: Stripe, Inc. (Estados Unidos), que processa seus pagamentos com segurança.
E-mail transacional: SendGrid (Twilio Inc.), que trata temporariamente seu endereço de e-mail e o conteúdo do seu relatório exclusivamente para o encaminhamento e a entrega do relatório de IA.
Análise de audiência: Google LLC (Google Analytics), sujeito ao seu consentimento de cookies.
Publicidade: Google Ireland Limited e Google LLC (Google AdSense) e, com o seu consentimento, os parceiros de publicidade do Google certificados no IAB Transparency & Consent Framework (lista completa na mensagem de consentimento, em “Gerenciar opções”). Trata-se apenas de dados de navegação (cookies, identificadores do dispositivo, endereço IP), nunca dos seus dados de saúde.
Controle de qualidade (Comitê Científico e de Ética): Atlassian, Inc. (Trello, Estados Unidos) — hospeda o quadro em que os médicos do nosso comitê revisam interpretações de IA pseudonimizadas (sem identificador direto) para verificar sua precisão. Nenhum dado identificável, nem nenhum laudo laboratorial, é compartilhado com eles.

Também podemos divulgar seus dados às autoridades competentes quando exigido por lei, ou transferi-los a uma entidade adquirente em caso de fusão, aquisição ou venda de ativos, sujeito a compromissos equivalentes de confidencialidade.

5. Transferências internacionais de dados

Seus dados de saúde são hospedados na França e não são transferidos para fora do Espaço Econômico Europeu (EEE) para armazenamento. Alguns dos nossos operadores (OpenRouter, Amazon Web Services, Stripe, Google, Twilio, Atlassian) estão estabelecidos ou operam nos Estados Unidos. Quando ocorre uma transferência para fora do EEE/Reino Unido, garantimos um nível adequado de proteção por meio de um dos seguintes mecanismos:

O Data Privacy Framework UE–EUA e sua extensão para o Reino Unido, para as empresas certificadas (Amazon Web Services, Stripe, Google, Twilio, Atlassian).
As Cláusulas Contratuais Padrão aprovadas pela Comissão Europeia (e o Adendo de Transferência Internacional de Dados do Reino Unido para as transferências ao Reino Unido), juntamente com uma avaliação de impacto da transferência quando necessário.
Pseudonimização prévia dos dados enviados ao provedor de IA, com a remoção dos seus identificadores diretos antes de qualquer transferência.

6. Segurança dos dados

Implementamos medidas técnicas e organizacionais adequadas para prevenir a perda, o acesso não autorizado, a alteração ou a divulgação dos seus dados, incluindo:

Hospedagem em servidores certificados HDS na França (Google Cloud, certificado ISO/IEC 27001 e SOC 2).
Pseudonimização dos laudos (remoção dos seus identificadores diretos) antes do processamento pela IA.
Criptografia dos dados em trânsito (TLS) e em repouso (AES-256).
Controles de acesso rigorosos com base no princípio do menor privilégio; a autenticação multifator (MFA) está sendo implementada e os direitos de acesso são revisados mensalmente.
Procedimentos de gestão e notificação de violações de dados pessoais, em conformidade com os Artigos 33 e 34 do RGPD.

7. Conservação dos dados

Conservamos seus dados apenas pelo tempo necessário às finalidades para as quais foram coletados, inclusive para cumprir nossas obrigações legais, contábeis e de prestação de contas:

Laudo de exame original (PDF): até 90 dias após a geração e entrega do relatório de IA, sendo então excluído com segurança (minimização de dados, Art. 5(1)(c)).
Dados de conta, contato e contexto, e relatórios de IA gerados: durante a vigência da conta ativa e, depois, por até 3 anos após a desativação ou a última interação, antes da exclusão definitiva.
Dados de transação: mantidos por 6 anos, e até 10 anos para faturas e registros contábeis a partir da data de emissão, em conformidade com o Código Comercial Francês (Art. L123-22) e a legislação tributária aplicável.
Cookies de análise (Google Analytics): até 14 meses (recomendação da CNIL).
Cookie de consentimento: até 13 meses.
Cookies de publicidade (Google AdSense e parceiros): até 13 meses, dependendo do cookie.
Logs do servidor (endereços IP): até 90 dias (interesse legítimo — segurança).

Uma solicitação de exclusão definitiva resulta no apagamento de todos esses dados, exceto quando somos legalmente obrigados a conservá-los (em especial os dados de transação).

8. Seus direitos de proteção de dados

Nos termos do RGPD (e do UK GDPR), você tem os seguintes direitos: acesso; retificação; exclusão (“direito ao esquecimento”), sujeito às nossas obrigações legais; limitação do tratamento; oposição (inclusive à revisão das suas interpretações pseudonimizadas pelo nosso Comitê Científico e de Ética, por meio de opt-out, e ao marketing direto); portabilidade dos dados; e o direito de revogar seu consentimento a qualquer momento, sem afetar a licitude do tratamento realizado anteriormente.

Respondemos às suas solicitações em até um mês, prazo prorrogável por mais dois meses em casos complexos, sem custo, salvo se a solicitação for manifestamente infundada ou excessiva.

Usuários nos Estados Unidos. Dependendo do seu estado de residência (por exemplo, Califórnia, sob a CCPA/CPRA), você pode ter o direito de saber, acessar, corrigir e excluir seus dados pessoais, além de recusar a “venda” ou o “compartilhamento” de dados pessoais. Não vendemos seus dados pessoais. Para exercer esses direitos, entre em contato conosco pelo endereço abaixo; não haverá qualquer discriminação contra você por exercê-los.

Como exercer seus direitos. Escreva para [email protected]. As opções de desativação e de exclusão definitiva também estão disponíveis diretamente nas configurações do seu portal do paciente.

9. Crianças e menores de idade

Nossos Serviços não se destinam a pessoas com menos de 18 anos. Uma confirmação de idade (ter pelo menos 18 anos) é exigida antes do pagamento. Não coletamos intencionalmente dados pessoais de menores; caso isso ocorra, nós os excluímos prontamente.

10. Cookies

Utilizamos cookies estritamente necessários (para o funcionamento do Site), cookies de análise (Google Analytics) e, somente nas páginas do nosso blog, cookies de publicidade (Google AdSense e seus parceiros). Os cookies de análise e de publicidade só são instalados com o seu consentimento, coletado por meio da mensagem de consentimento do Google (certificada no IAB TCF); você pode alterá-lo ou revogá-lo a qualquer momento pelo link “Configurações de cookies” no rodapé de todas as páginas. Para mais informações, consulte nossa Política de Cookies.

11. Alterações nesta política

Podemos atualizar esta política periodicamente. A data da última atualização é exibida no topo desta página. Em caso de alteração relevante, informaremos você pelos meios adequados.

12. Direito de apresentar uma reclamação

Se você tiver alguma preocupação sobre a forma como tratamos seus dados, recomendamos que entre em contato primeiro com nosso responsável pela privacidade pelo e-mail [email protected]. Você também tem o direito de apresentar uma reclamação a uma autoridade de controle:

França (autoridade principal): Commission Nationale de l’Informatique et des Libertés (CNIL) — www.cnil.fr
Reino Unido: Information Commissioner’s Office (ICO) — www.ico.org.uk
Outros países do EEE: a autoridade de proteção de dados do seu país de residência.