O contexto clínico não vira contexto publicitário.

1. Dados processados no dispositivo

• preferências de espaço clínico, progresso educacional e atalhos;
• notas e sessões criadas pelo usuário;
• imagens capturadas após permissão da câmera, com análise Vision/Core ML local;
• rasters sanitizados admitidos voluntariamente no laboratório de pesquisa, com rótulo, hash e agrupador pseudônimo HMAC;
• chaves de provedores e a chave de pseudonimização, armazenadas no Keychain.

Esses dados podem ser removidos pelos controles do aplicativo ou pela desinstalação. O usuário pode revogar câmera e outras permissões nos Ajustes do sistema.

2. Assistentes e pesquisa externa

Quando o usuário escolhe um provedor externo, somente a consulta ou o conteúdo público expressamente autorizado é transmitido ao provedor selecionado. O tratamento posterior segue os termos e a política desse provedor.

O produto bloqueia o envio automático de notas, contêiner Paciente, PEP, credenciais e conteúdo licenciado. Mesmo assim, não se deve inserir nome, CPF, CNS, prontuário, imagem identificável ou outro dado pessoal em campos destinados a serviços externos.

O assistente web privado processa consultas no VPS para recuperar fontes públicas e produzir respostas ancoradas. Logs operacionais mínimos podem existir para segurança, disponibilidade e prevenção de abuso; não são usados para publicidade.

3. Navegação e fontes licenciadas

Páginas abertas no navegador podem receber endereço IP, cookies e outros dados segundo a política do próprio site. Fontes autenticadas usam a sessão do usuário em contêiner isolado; a MedLink não indexa nem usa automaticamente essa sessão para treinamento.

A distribuição pública da App Store não inclui PEP, PACS, treinamento com imagem clínica, catálogo de medicamentos nem calculadora de dose. Essas capacidades pertencem a canais institucionais separados e não são ativadas por login, configuração remota ou compra dentro do app público.

4. Câmera, imagem e saúde

A câmera só é ativada por ação do usuário. A captura é apresentada como referência educacional e não como aquisição diagnóstica. O aplicativo não grava dados no HealthKit e não envia informação clínica para publicidade, marketing ou mineração de perfil.

5. Controle, segurança e retenção

O usuário controla as permissões, a seleção de provedor, a admissão e a exclusão dos artefatos locais. O agrupador original informado para separar pacientes não é salvo: ele é transformado por HMAC com chave exclusiva do dispositivo. Conexões usam HTTPS fornecido pelo sistema Apple. Nenhum sistema é infalível; incidentes confirmados serão documentados e tratados conforme a legislação aplicável.

6. Crianças e escopo profissional

Embora o conteúdo seja pediátrico, o aplicativo é destinado a profissionais e pós-graduandos, não a crianças. Casos demonstrativos são sintéticos. Dados de pacientes reais não devem ser usados no beta sem governança institucional e base legal próprias.

7. Rede profissional MedLink

Ao criar uma conta na rede profissional, a MedLink trata no servidor os dados necessários para a rede funcionar:

• conta: e-mail, senha (guardada apenas como hash scrypt), chave de recuperação (também em hash) e sessões;
• perfil profissional: nome, CRM e UF, especialidade, apresentação e, se você quiser, cidade, instituição, trajetória, interesses e foto (reduzida e sem metadados EXIF/GPS);
• conteúdo e interações: publicações, comentários, mensagens privadas, eventos, comunidades, seguidores, itens salvos, curtidas e notificações;
• segurança: denúncias feitas e recebidas, bloqueios, registros de moderação, estado da conta (ativa, suspensa ou banida) e a versão e a data em que você aceitou os Termos de Uso.

Finalidades e bases legais (LGPD): executar o serviço que você contratou ao criar a conta (art. 7º, V); conferir o CRM e manter a rede segura, moderar denúncias e prevenir abuso e fraude (legítimo interesse, art. 7º, IX); e cumprir obrigações legais e defender direitos (art. 7º, II e VI). O filtro de linguagem ofensiva e o bloqueio de dados de pacientes analisam o texto no aparelho e no servidor apenas para recusar o envio; não geram perfil do usuário.

Quem vê: o perfil profissional e as publicações ficam visíveis a outros médicos da rede, exceto para contas bloqueadas; mensagens privadas são visíveis apenas aos participantes e, se denunciadas, à moderação. E-mail e senha nunca são exibidos. Não há venda de dados nem uso para publicidade.

Onde: os dados da rede ficam em servidor dedicado (VPS) contratado pela MedLink e localizado nos Estados Unidos, com conexão HTTPS; isso configura transferência internacional nos termos do art. 33 da LGPD. Cópias de segurança diárias são cifradas antes de sair do servidor.

Retenção e exclusão: os dados permanecem enquanto a conta existir. Ao excluir a conta no aplicativo, o perfil, as publicações, os comentários, as mensagens, os eventos, as denúncias feitas por você e demais dados da rede são apagados de uma vez; se algo falhar, nada é apagado e o aplicativo avisa para tentar de novo. As cópias de segurança cifradas são descartadas em até 30 dias. Registros de moderação e denúncias feitas por outras pessoas sobre conteúdo que violou os Termos podem ser mantidos pelo tempo necessário para segurança da rede e defesa de direitos.

Seus direitos: confirmação, acesso, correção, portabilidade, eliminação, informação sobre compartilhamento e revogação de consentimento (art. 18 da LGPD) podem ser solicitados pela central de suporte. Nunca insira dados de pacientes na rede.