Privacidade por contexto
O contexto clínico não vira contexto publicitário.
Esta política descreve o Doctor Browser para iOS e iPadOS, além das superfícies web oficiais. O produto está em validação controlada e a política será versionada quando o fluxo de dados mudar.
Sem tracking
O aplicativo não usa SDK de anúncios, IDFA, perfil publicitário nem venda de dados. O manifesto Apple declara tracking desativado.
Local por padrão
Notas, preferências, capturas, marcações e credenciais ficam no dispositivo. Credenciais opcionais usam o Keychain e não são incorporadas ao binário.
1. Dados processados no dispositivo
- preferências de espaço clínico, progresso educacional e atalhos;
- notas e sessões criadas pelo usuário;
- imagens capturadas após permissão da câmera, com análise Vision/Core ML local;
- rasters sanitizados admitidos voluntariamente no laboratório de pesquisa, com rótulo, hash e agrupador pseudônimo HMAC;
- chaves de provedores e a chave de pseudonimização, armazenadas no Keychain.
Esses dados podem ser removidos pelos controles do aplicativo ou pela desinstalação. O usuário pode revogar câmera e outras permissões nos Ajustes do sistema.
2. Assistentes e pesquisa externa
Quando o usuário escolhe um provedor externo, somente a consulta ou o conteúdo público expressamente autorizado é transmitido ao provedor selecionado. O tratamento posterior segue os termos e a política desse provedor.
O produto bloqueia o envio automático de notas, contêiner Paciente, PEP, credenciais e conteúdo licenciado. Mesmo assim, não se deve inserir nome, CPF, CNS, prontuário, imagem identificável ou outro dado pessoal em campos destinados a serviços externos.
O assistente web privado processa consultas no VPS para recuperar fontes públicas e produzir respostas ancoradas. Logs operacionais mínimos podem existir para segurança, disponibilidade e prevenção de abuso; não são usados para publicidade.
3. Navegação e fontes licenciadas
Páginas abertas no navegador podem receber endereço IP, cookies e outros dados segundo a política do próprio site. Fontes autenticadas usam a sessão do usuário em contêiner isolado; o Doctor Browser não indexa nem usa automaticamente essa sessão para treinamento.
No modo estudo transitório, uma ação explícita pode analisar no dispositivo somente a tela atual do Optix One. A imagem é re-rasterizada, texto e faces detectados são cobertos, o texto visível é sanitizado e somente esse contexto reduzido alcança o modelo Apple local. Raster original, laudo bruto, URL e cookies não são persistidos nem enviados a provedores externos.
O laboratório de pesquisa é uma superfície separada. Material sintético, phantom ou produzido pelo projeto pode ser admitido mediante declaração local de origem e direito de treinamento. Material derivado de pessoa real ou sistema clínico continua exigindo recibo e documento autorizador correspondente. Em ambos os modos um novo PNG é produzido sem copiar os metadados da origem.
4. Câmera, imagem e saúde
A câmera só é ativada por ação do usuário. A captura é apresentada como referência educacional e não como aquisição diagnóstica. O aplicativo não grava dados no HealthKit e não envia informação clínica para publicidade, marketing ou mineração de perfil.
5. Controle, segurança e retenção
O usuário controla as permissões, a seleção de provedor, a admissão e a exclusão dos artefatos locais. O agrupador original informado para separar pacientes não é salvo: ele é transformado por HMAC com chave exclusiva do dispositivo. Conexões usam HTTPS fornecido pelo sistema Apple. Nenhum sistema é infalível; incidentes confirmados serão documentados e tratados conforme a legislação aplicável.
6. Crianças e escopo profissional
Embora o conteúdo seja pediátrico, o aplicativo é destinado a profissionais e pós-graduandos, não a crianças. Casos demonstrativos são sintéticos. Dados de pacientes reais não devem ser usados no beta sem governança institucional e base legal próprias.