Política de Privacidade do 10x Vidas

O 10x Vidas é oferecido por SAUDE 10X DIGITAL LTDA, CNPJ 69.387.102/0001-08, com sede na Rua Monsenhor Bruno, 1153, Sala 1423 – Scopa Platinum Corporate, Aldeota, Fortaleza/CE, CEP 60115-191. O papel dela muda conforme quem escreveu o dado:

• O que você e a sua família escrevem no app — conta, perfis, ficha, medidas, atividade física e alimentação (inclusive o que você traz do Apple Saúde ou do Health Connect), atendimentos registrados por vocês, convites e acessos dados: o Saúde10x é o controlador. Decide como esses dados são tratados e responde por isso.
• A consulta que um profissional entregou a você pelo link do pós-consulta e você guardou no app: o conteúdo é do profissional ou da instituição que atendeu, que é o controlador. O Saúde10x é operador: guarda e mostra a consulta como o profissional publicou, sem copiar. Pedidos sobre esse conteúdo (corrigir, apagar) vão ao profissional; podemos ajudar a encaminhar.
• O profissional a quem você der o código e que levar algo ao prontuário passa a ser controlador do que levou.

Em cada perfil, o titular é a pessoa de quem é a saúde — você, o seu filho, a pessoa de quem você é curador. Quem criou o perfil é o dono: decide, no app, quem tem acesso, e consente em nome da criança, do adolescente ou do curatelado. Essa divisão segue os arts. 37 a 39 da LGPD.

• Conta: nome e e-mail que a Apple ou o Google informam, a data em que você aceitou estes textos e a versão aceita. Também o seu CPF, pedido no cadastro para ligar os links de pós-consulta à sua conta, e o seu telefone, pedido na primeira vez que você compartilha a ficha, liga um familiar ou cria um perfil de dependente. Ficam guardados e só a sua conta os vê. O seu CPF vai ao profissional só quando você mesmo gera um código com Minha ficha; o familiar com “ver, editar e enviar” não o envia. Eles aparecem para você no app e saem quando você exclui a conta. Se você escolher, guardamos também a opção de usar a foto da sua conta Google;
• Faixa de idade informada pela loja: quando a App Store ou o Google Play a informam, usamos só para não abrir conta a quem tem menos de 18 anos, e não a guardamos;
• Perfis: nome, nome social, data de nascimento, sexo e foto de cada pessoa e, se você informar, o plano de saúde (operadora e carteirinha) e o endereço; do filho, da filha ou da pessoa de quem você é curador, também o CPF e o telefone, se você informar; do pet, nome, espécie, raça, sexo e data de nascimento; quem é o dono e quem tem acesso (só ver, ver e editar, ou ver, editar e enviar). Quem tem acesso ao perfil, mesmo só para ver, vê o CPF e o telefone como vê o resto da ficha. O profissional a quem você der o código também vê o CPF, se você marcar Minha ficha. Se você ligar a sua conta à de um familiar adulto, guardamos a ligação e o parentesco, sem a saúde dele;
• Ficha de saúde: alergias, medicamentos, diagnósticos, cirurgias, vacinas, exames, tipo sanguíneo, peso, altura, se fuma ou bebe e contato de emergência — o que você escrever. De cada mudança, guardamos quem fez, quando e a versão anterior, que saem com o perfil. Do tipo sanguíneo, do peso, da altura, das condições, de fumo e bebida e das respostas sobre gestação, parto, menarca e menopausa, fica só a última resposta;
• Minha fase (só se você responder): no perfil de criança, como foram a gestação e o parto — idade gestacional, tipo de parto, peso, comprimento e perímetro cefálico ao nascer, Apgar, intercorrências (como gravidez de risco, reanimação e internação, com o local, os dias e o motivo) e triagens neonatais, se foram feitas e, quando há, o resultado; ainda na criança, os marcos do desenvolvimento que o responsável marcar, com a data em que observou e a observação; no perfil de sexo feminino, a partir de 12 anos, a idade da primeira menstruação (menarca) e, a partir de 40, a menopausa. As respostas sobre gestação, parto, menarca e menopausa ficam na ficha do perfil. Os marcos são registros, e de cada mudança guardamos quem fez, quando e a versão anterior, que saem com o perfil. No perfil de criança ou adolescente, quem responde é o responsável. A gravidez de risco é guardada como parte da história do nascimento da criança;
• Gestação e histórico obstétrico (só se responder): se está grávida, a data da última menstruação ou a data provável do parto e a semana calculada a partir delas; quantos partos e quantos abortos; de cada parto, o ano, como foi, com quantas semanas e o que for escrito; e, de cada aborto, o ano e o que for escrito. De cada parto da lista, guardamos quem fez, quando e a versão anterior, que saem com o perfil. Do número de partos e de abortos e dos abortos da lista, fica só a última resposta. Em “Histórico de aborto”, “Prefiro não dizer” não guarda nada e apaga as respostas anteriores. Não perguntamos o tipo nem o motivo de um aborto;
• Medidas: as medidas que você registra no perfil — como glicemia, pressão, frequência cardíaca, peso, gordura e massa magra, altura e temperatura —, com a hora, o momento (na glicemia), a nota e quem registrou. A temperatura não vai para o Apple Saúde nem para o Health Connect;
• Atividade física (de 12 anos em diante): o treino que você registra à mão — a atividade, o tempo, a intensidade e quando começou — e quem registrou. O treino registrado à mão não vai para o Apple Saúde nem para o Health Connect;
• Do Apple Saúde (no iPhone) ou do Health Connect (no Android), só no seu perfil e só se você ligar em Ajustes: o que você permitir destes dados: a glicemia, com a hora e se foi antes ou depois de comer; a pressão (máxima e mínima de cada medida); a frequência cardíaca de repouso (uma por dia); todas as medidas de frequência cardíaca e de saturação, como as do relógio, com o horário de cada uma, guardadas por dia; o peso; a gordura e a massa magra; os passos e as calorias ativas (o total do dia); cada treino (o tipo, o início e o fim, os minutos, as calorias e, no iPhone, a distância); e o sono, uma linha por noite: quando começou, quando acabou, os minutos dormidos e, se o aparelho separar, os minutos de cada fase (leve, profundo e REM) e a sequência da noite, com os períodos acordado. De cada um, guardamos também o nome do app que o gravou e um identificador, para não repetir o dado. De um sensor contínuo de glicemia (mais de 24 leituras no dia ou, no Android, marcado como sensor), guardamos só o resumo do dia: média, menor e maior valor e número de leituras. Na primeira vez, no iPhone, vêm 1 ano de peso, gordura, massa magra e sono, 90 dias de calorias e 30 dias dos outros tipos; no Android, 30 dias de tudo. Esses dados ficam na sua conta, nas Medidas e na Atividade física, e não só no celular. Não lemos nada além disso, nem o trajeto dos treinos, e só lemos com o app aberto. Com a ligação ligada, a glicemia, a pressão, a frequência cardíaca e o peso que você registra no seu perfil neste celular também são gravados no Apple Saúde ou no Health Connect, marcados como registrados por você. O pulso medido com a pressão vai como frequência cardíaca. Passos, calorias, treinos, saturação, sono, gordura e massa magra nunca são gravados lá. Cada conta usa um dos dois: ligar um desliga o outro, no outro celular, e o que já veio continua no 10x Vidas;
• Atendimentos registrados por você: data, local, profissional e o que você anotar, e os próximos atendimentos planejados;
• Itens ocultos do Histórico: quais itens o dono do perfil ocultou e quando;
• Alimentação (fora do pet): no diário, a data e a hora, a refeição, o que você escrever, até 4 fotos e quem registrou; no plano alimentar, o título, a data, o profissional e o arquivo que você anexar. As fotos e os arquivos ficam no Cloudflare R2, nos Estados Unidos;
• Documentos e fotos: os PDFs (laudos, receitas, exames) e as imagens que você guarda num perfil, até 100 MB por conta, ou 2 GB no Vidas Pro. Ficam no Cloudflare R2, nos Estados Unidos. A leitura dos dados de um laudo em PDF é feita no seu próprio aparelho: o arquivo não vai a nenhum outro serviço para isso;
• Atendimentos guardados pelo link: qual atendimento foi guardado em qual perfil, por qual conta, quando e se você o ocultou. Sem o app, o link abre a página do atendimento no navegador, que segue a Política de Privacidade do Saúde10x. Com o app, o atendimento abre numa tela do próprio 10x Vidas. O conteúdo continua no Saúde10x, sob o profissional, e não é copiado: cada vez que você abre, o app o lê do Saúde10x (inclusive os documentos e anexos, guardados no Cloudflare R2) e não o guarda no celular. O arquivo que você abre fica no celular só enquanto está aberto; se você o salvar ou enviar pela opção de compartilhar do celular, essa cópia é sua. O CPF ou a chave que você digita para guardar só são conferidos com a ficha do consultório. Não ficam guardados, e o endereço do link também não;
• Compartilhar com um profissional: quem gerou o código, as partes e o prazo escolhidos, quando foi gerado e quando foi encerrado; o código, só num formato que não se lê; e, de quem abriu, o nome e o registro profissional informados por ele (ou a conta, se usa o Saúde10x) e a hora de cada leitura. Nunca guardamos uma cópia do que ele leu;
• De quem declara ser responsável ou curador: a qualidade declarada (mãe, pai, tutor, guardião, curador; no perfil de neto ou neta, a qualidade em relação à mãe ou ao pai do bebê) e, do curador, o número do processo, a comarca e a data do termo. Na prova da declaração, o CPF não aparece: fica só um código calculado a partir dele, que não permite saber o número e serve apenas para conferir, se houver contestação, que foi a mesma pessoa que declarou. Esse código fica pelo prazo da prova, mesmo depois que o CPF da conta for apagado;
• Prova do consentimento: quem concordou, em que qualidade, com o quê, com qual versão do texto, quando, por qual app, e quando retirou;
• Acesso e aparelho: sessões abertas, aparelho, sistema, versão do app e o identificador para avisos no celular. Se você ligou o Apple Saúde ou o Health Connect, guardamos na sua conta qual dos dois ela usa, até você desligar ou trocar, sem nenhum dado de saúde. Até que dia já foi lido fica só no celular, separado por conta, e é apagado quando você sai da conta;
• Google Agenda, se você conectar: a permissão de acesso à conta Google que você escolher, cifrada no servidor, e o e-mail dessa conta, e qual evento de lá corresponde a cada item marcado. Não vemos os seus outros compromissos;
• Vidas Pro, se você assinar: a loja (App Store ou Google Play), o identificador da transação, ligado à sua conta, o plano (mensal ou anual), a situação da assinatura (ativa, cancelada, vencida ou reembolsada), as datas da primeira compra, do cancelamento e do fim do período pago, o número de renovações e se ela renova sozinha. Nome, cartão e os outros dados do pagamento ficam com a loja e não chegam a nós. Se você usar a devolução por e-mail dos Termos, guardamos também o recibo e o pedido, sem dado de saúde;
• Contato com o suporte: o que você escrever ao contato@saude10x.com ou no formulário de contato. Não mande dado de saúde pelo suporte.
• Laudo enviado à equipe: se o app não conseguir ler um laudo, você pode autorizar o envio do PDF. Nossa equipe o abre para ajustar a leitura daquele modelo. Ele fica no Cloudflare R2 e é apagado em até 8 dias; para apagar antes, fale com o suporte.

Não pedimos foto de documento nem de certidão para criar perfil. Só se alguém contestar uma declaração, ou para atender o pedido de um pai ou mãe que não é dono, pedimos o documento necessário, que é conferido e apagado; fica registrado só que foi conferido, quando e qual tipo de documento.

• Guardar e mostrar a sua ficha, as suas medidas, a sua atividade física, a sua alimentação e os seus atendimentos: Seu consentimento específico e em destaque (art. 11, I)
• Guardar a ficha de criança, com o consentimento de um dos pais ou do responsável: Art. 14, §1º, com o art. 11, I
• Guardar a ficha de adolescente, gerida pelo responsável: Melhor interesse do adolescente (art. 14, caput), com o consentimento do responsável (art. 11, I)
• Guardar a ficha de adulto com curador: Consentimento dado pelo curador, como representante (art. 11, I; Lei 13.146/2015, art. 85)
• Guardar o perfil depois dos 18 anos, sem acesso, até a pessoa assumir ou o dono apagar: O consentimento do responsável, que já incluiu essa guarda (art. 11, I; art. 15, I)
• Guardar os dados nos Estados Unidos: Seu consentimento específico e em destaque para a transferência (art. 33, VIII)
• Dar acesso a quem o dono escolher: Consentimento do dono (art. 11, I)
• Mostrar ao profissional que tem o código as partes escolhidas: da ficha, das medidas, da atividade física, da alimentação e da Minha fase: Seu consentimento específico, ao gerar o código (art. 11, I; art. 7º, §5º). Se quem gera é um familiar com “ver, editar e enviar”, vale o consentimento que o dono deu ao dar esse nível, e que retira quando quiser. No perfil de criança ou adolescente, o do responsável (art. 14)
• Registrar quem abriu e quando, e mostrar isso a você: Prova do que foi autorizado (art. 8º, §2º) e defesa em processo (art. 11, II, “d”); de quem abriu, legítimo interesse, para sua segurança (art. 7º, IX; art. 10, II)
• Guardar no app o atendimento do link e mostrá-lo ao dono do perfil e a quem vê e edita: Seu consentimento, dado ao guardar (art. 11, I); no perfil de criança ou adolescente, o do responsável (art. 14, §1º). O próprio registro de quem guardou e quando é a prova. O conteúdo é do profissional, e o Saúde10x o trata por ele (operador: arts. 37 a 39)
• Mostrar ao profissional que publicou o link que o atendimento foi guardado, e quando, como confirmação de recebimento para a continuidade do tratamento: Tutela da saúde, em procedimento de profissional de saúde (art. 11, II, “f”)
• Conferir o CPF ou a chave com a ficha do consultório, contar tentativas e travar quem erra demais: Prevenção à fraude e segurança do titular na identificação (art. 11, II, “g”)
• Receber a faixa de idade da loja: Obrigação legal (art. 7º, II; Lei 15.211/2025, art. 14)
• Mandar ao pai ou à mãe que não é dono a cópia que ele pediu: Direito do titular exercido pelo representante legal (art. 18, I e II; CC, art. 1.634, VII)
• Guardar a prova de que houve consentimento e de quando foi retirado: Obrigação de provar o consentimento (art. 8º, §2º) e defesa em processo (art. 11, II, “d”; art. 16, I)
• Guardar os registros de acesso por 6 meses: Obrigação legal (Marco Civil da Internet, art. 15; LGPD, art. 7º, II)
• Avisar no app e por e-mail (maioridade, conta excluída, convite): Execução do serviço que você pediu (art. 7º, V), com texto sem dado de saúde
• Lembrar as consultas, exames e vacinas com dia marcado, por e-mail e no celular, quando você liga os lembretes (de todos os perfis que você acompanha): Seu consentimento específico e em destaque (art. 11, I), que você retira desligando os lembretes
• Levar à sua conta Google as consultas, exames e vacinas com dia marcado, quando você conecta a Google Agenda (de todos os perfis que você acompanha): Seu consentimento específico e em destaque, dado na folha de conectar, que você retira desconectando (art. 11, I). No perfil de outra pessoa, também o consentimento do dono, dado ao dar o acesso; no de criança ou adolescente, o do responsável (art. 14)
• Trazer do Apple Saúde ou do Health Connect as suas medidas, os seus passos, as suas calorias, os seus treinos e o seu sono e gravar lá a glicemia, a pressão, a frequência cardíaca e o peso que você registra no app, no seu perfil: Seu consentimento específico e em destaque (art. 11, I), dado ao ligar em Ajustes e na permissão do iPhone ou do Android; você o retira desligando
• Analisar o laudo que você enviar à equipe, para ajustar a leitura daquele modelo: Seu consentimento específico e em destaque (art. 11, I), dado na tela de envio, para cada laudo
• Vender o Vidas Pro pela loja, liberar o plano à conta que pagou e atender cancelamento, desistência e reembolso: Execução do contrato (art. 7º, V)
• Guardar o registro da compra depois que a assinatura ou a conta acaba, como prova da venda e para a assinatura não passar a outra conta: Exercício regular de direitos (art. 7º, VI)
• Responder ao suporte: Execução do serviço (art. 7º, V)

• vender dado de saúde ou usá-lo para publicidade, marketing ou para traçar perfil de consumo;
• usar os seus dados para treinar inteligência artificial. Hoje o 10x Vidas não envia os seus dados a serviço de inteligência artificial;
• ligar um atendimento a você sem o link que o profissional mandou — o CPF sozinho não basta;
• mostrar a quem cuida de um adolescente a consulta inteira dele: aparece só o que o profissional publicou no link;
• usar o que vem do Apple Saúde ou do Health Connect para outra coisa que não seja mostrar as suas medidas e a sua atividade física a você, a quem você deu acesso e ao profissional a quem você der um código com essas partes — nunca para publicidade, nunca para avaliar crédito, seguro ou emprego, nunca vendido nem entregue a outras pessoas ou empresas, fora os fornecedores e os casos da seção “Com quem os dados são compartilhados”. Nossa equipe não lê esses dados, salvo se você pedir, por segurança ou por obrigação legal.

Dentro do app, só com quem o dono do perfil deu acesso; os atendimentos enviados pelo consultório, só com o dono e quem vê e edita. Ao profissional que publicou o link, mostramos que o atendimento foi guardado e a data, como confirmação de recebimento — nada da sua conta. Fora dele, com o profissional a quem você, ou o familiar com “ver, editar e enviar”, der um código, só as partes e pelo prazo escolhidos; com o pai ou a mãe que pedir cópia do perfil do filho (ver “Seus direitos”) e com os fornecedores que fazem o app funcionar:

• Supabase — banco de dados e entrada na conta: todo o conteúdo do app, nos Estados Unidos;
• Vercel — os servidores do app (cadastro, perfis, acessos, envio de arquivos, conferência do link, do CPF ou da chave, leitura dos atendimentos guardados e leitura do profissional pelo código), nos Estados Unidos; recebe o endereço IP e o aparelho de quem usa e os mantém nos registros técnicos dela por até 1 dia;
• Cloudflare R2 — os documentos e as fotos que você guarda, nos Estados Unidos;
• Apple e Google — entrada na conta, com o login que você escolheu, e a entrega dos avisos no celular;
• App Store (Apple) e Google Play: a compra do Vidas Pro, fora do Brasil. A loja cobra e trata o pagamento sob a política de privacidade dela. Recebe do app só um código da sua conta, sem nome nem e-mail, para ligar a compra à conta, e sabe, pela compra, que você assina o Vidas Pro. Nenhum dado de saúde vai à loja. Dela recebemos a situação da assinatura e as datas descritas em “Que dados tratamos”;
• Expo — avisos no celular, nos Estados Unidos: identificador do aparelho e o texto do aviso; nos lembretes que você liga, o tipo (consulta, exame ou vacina), o primeiro nome de quem é e a hora, sem o nome do exame nem o lugar;
• Resend — e-mails de aviso (maioridade, conta excluída) e os lembretes que você liga, nos Estados Unidos: o seu e-mail; nos avisos, um texto fixo, sem dado de saúde; nos lembretes, o que foi marcado (o nome da consulta, do exame ou da vacina, de quem é, a hora e o lugar);
• Sentry — avisos de erro do app, nos Estados Unidos: tipo do erro e identificador da conta, sem dado de saúde;
• Slack — aviso interno do pedido de suporte, nos Estados Unidos: o nome, o e-mail e o texto de quem escreveu.

Esses fornecedores só usam os dados para fazer o app funcionar, pelos contratos de cada um, que os obrigam a protegê-los.

Google Agenda, no Vidas Pro, se você conectar. Criamos a agenda “10x Vidas” na conta Google que você escolher e levamos para ela as consultas, os exames e as vacinas com dia marcado de todos os perfis que você acompanha: o título como foi escrito, o dia, a hora, o lugar e o primeiro nome da pessoa, como no e-mail de lembrete. Nunca o CPF nem o resto da ficha. Só escrevemos nessa agenda, e nada do Google volta ao app. Usamos o acesso à sua conta Google só para isso.

Ligar é escolha sua, e essa agenda é sua, sob os seus termos com o Google e, se a conta for do trabalho, sob as regras de quem a administra. Ela aparece onde a sua agenda aparecer, inclusive nos avisos do Google no celular. O Google trata esses dados como os outros da sua conta. Ele não é um fornecedor do 10x Vidas nisso.

Quem tem acesso a um perfil também pode conectar a agenda dele, se ele assinar o Vidas Pro, e o que tem dia marcado nesse perfil vai à conta Google dele. Quando o acesso acaba, inclusive quando a pessoa faz 18 anos, apagamos os eventos daquele perfil na agenda “10x Vidas” dele.

Desconectar ou excluir a conta apaga a agenda. A lixeira, as cópias e o que você compartilhar no Google ficam fora do nosso alcance. Se você tirar a permissão direto no Google, não conseguimos mais apagar: a agenda fica lá, e quem a apaga é você. Se a assinatura acabar, nada novo vai para a agenda, e os eventos ficam até você desconectar. Desconectar não depende de assinatura, e o que precisar sair por fim de acesso continua saindo.

As medidas, a atividade física e a alimentação do seu perfil, inclusive o que veio do Apple Saúde ou do Health Connect, são vistas por quem tem acesso ao perfil, como o resto da ficha. O profissional a quem você der um código vê só o que você deixar marcado: em Medidas e sinais vitais, o último ano, com a nota e se foi digitada ou veio de um aparelho; em Atividade física, os passos, as calorias e os treinos dos últimos 90 dias; em Alimentação, o diário dos últimos 30 dias, com as fotos, e os planos. Ele não vê o nome do app de origem. Em Medidas e sinais vitais vão também a temperatura, o sono, com as fases e a sequência da noite, inclusive os períodos acordado, e as medidas de frequência cardíaca e de saturação do relógio: o resumo de cada dia dos últimos 90 dias e cada medida, com o horário, dos últimos 30. A ligação com o Apple Saúde ou o Health Connect acontece no seu celular: a Apple e o Google não recebem nada nosso por ela. O que fica no app Saúde segue as regras da Apple e da sua conta Apple; o que fica no Health Connect segue as regras do Android.

As respostas e os marcos da Minha fase são vistos por quem tem acesso ao perfil, mesmo só para ver, e quem vê e edita também responde. O profissional só os vê se você deixar marcada a seção Minha fase no código. Marcar só a ficha não os leva. Ele vê as respostas e também que uma pergunta ficou sem resposta. Se você marcar Minha fase e também Medidas e sinais vitais, ele vê as medidas de crescimento do último ano numa curva, com percentil e escore-z pela referência da OMS. Isso é uma conta sobre as medidas, sem cor e sem avaliação.

A gestação e o histórico obstétrico seguem a mesma regra: quem tem acesso ao perfil, mesmo só para ver, os vê, e quem vê e edita também responde. O profissional vê as datas, a semana e o histórico se você deixar marcada a seção Minha fase. Que a pessoa está grávida ele também vê em Minha ficha, porque é uma das condições da ficha. Se alguém responder com um código aberto com a seção Minha fase, ele vê a resposta. O fim da gestação entra no Histórico. Em “Encerrar sem registrar”, esse item já nasce oculto. Depois de 42 dias da data provável do parto, a gestação sai da Minha fase, e “Gestante” continua na ficha até ser tirada.

No Histórico, o dono do perfil pode ocultar qualquer item. O item oculto, com os arquivos dele, não aparece a quem tem acesso, mesmo em ver e editar, nem ao profissional, mesmo com a seção Histórico marcada. Só o dono o vê e pode mostrá-lo de novo. Se o perfil mudar de dono, o novo dono também o vê. Ocultar não desfaz o que já aconteceu: quem tinha acesso ou um código aberto pode já ter visto o item, e o que o profissional levou ao prontuário fica com ele. No celular de quem tem acesso, o item sai quando o app atualizar com internet. Ocultar vale só para aquele item. O que está em outra parte do perfil continua visível, como um medicamento ou uma consulta, e quem tem acesso pode notar que a gestação saiu da ficha e da Minha fase.

O dono pode dar a um familiar o nível “ver, editar e enviar”. Com ele, o familiar gera o código para um profissional de saúde, escolhe as partes e o prazo e renova, sem o dono aprovar cada envio. O que esta Política diz sobre “você” ao gerar um código vale também para ele. O dono vê em Enviados quem gerou, o que foi e quem abriu, e encerra quando quiser; descer o nível ou tirar o acesso encerra os envios desse familiar. Ele não dá acesso a outra conta. O que o profissional já leu ou levou ao prontuário fica com ele.

Também compartilhamos quando a lei ou uma ordem de autoridade exigir. Esta lista muda quando um fornecedor entra ou sai, e a mudança é avisada antes.

Tudo o que você guarda no 10x Vidas fica em servidores nos Estados Unidos (Supabase, Vercel e Cloudflare R2), e os avisos de celular, de e-mail e de erro também passam por lá (Expo, Resend e Sentry). O Brasil ainda não reconheceu os Estados Unidos como país de proteção adequada, e esses fornecedores ainda não assinaram as cláusulas-padrão da ANPD. Por isso, pedimos o seu consentimento específico para essa transferência ao criar a conta, separado dos outros. A Google Agenda é à parte: se você conectar, os eventos ficam com o Google, em servidores que ele mantém em vários países. A App Store e o Google Play também tratam fora do Brasil a compra de quem assina. Essa transferência não depende do consentimento acima: é necessária para a compra que você pediu (art. 33, IX), e não leva dado de saúde.

A transferência serve só para o app funcionar, dura enquanto os dados estiverem guardados e não muda a finalidade. Os dados vão criptografados no envio e ficam criptografados no armazenamento. O controlador é SAUDE 10X DIGITAL LTDA, contato@saude10x.com. Você pode pedir mais informações, exercer os seus direitos pelo contato@saude10x.com e reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Quem tem menos de 18 anos não tem conta, e o app recusa criar conta quando a loja informa que o usuário tem menos de 18. A ficha da criança ou do adolescente fica na conta de um dos pais ou do responsável legal, que é o dono do perfil, consente por ele e declara a sua qualidade. Quando um profissional do Saúde10x atende a criança e entrega o link a quem a acompanhou, guardar esse atendimento, com o link que o profissional entregou a quem a acompanhou, reforça que o perfil está com quem cuida dela.

No perfil de adolescente (12 a 17 anos), de cada consulta guardada aparece só o que o profissional escolheu entregar no link: o sigilo médico também vale perante os pais. Na Minha fase, a idade da primeira menstruação da adolescente é respondida pelo responsável, se ele quiser, e ela vê essa resposta quando assumir o perfil. Se a adolescente estiver grávida, o responsável pode registrar a gestação e o histórico obstétrico dela, se quiser, e ela os vê quando assumir o perfil. Quem tem “ver, editar e enviar” envia pelas mesmas regras. No perfil de adolescente, a seção Minha fase começa desmarcada em todo envio, e quem envia a marca se o atendimento precisar.

No perfil de criança ou adolescente, quem oculta um item do Histórico é o dono, mesmo se outra pessoa cuida junto. Ela não vê o item no app, mas o pai ou a mãe pode pedir a cópia do perfil (ver “Seus direitos”). Quem assume o perfil vê tudo, inclusive o que foi ocultado.

Se a mãe ou o pai de um bebê tem menos de 18 anos, quem responde por essa mãe ou esse pai pode criar o perfil do bebê, como neto ou neta. Essa pessoa é a dona do perfil, declara a sua qualidade em relação à mãe ou ao pai e consente em nome deles. Ao fazer 18 anos, a mãe ou o pai pode pedir pelo contato@saude10x.com para ser dono do perfil.

Aos 18 anos, ninguém mais vê o perfil, que fica guardado até a pessoa assumi-lo ou o dono apagá-lo (ver “Por quanto tempo”).

Tratamos dados de crianças e adolescentes no melhor interesse deles, sem publicidade e sem perfil de consumo, com as opções mais protetivas ligadas por padrão. Para avisar de violação de direito de criança ou adolescente, escreva para contato@saude10x.com.

O perfil de adulto curatelado é criado pelo curador, que consente por ele e declara o processo da curatela. A pessoa continua titular dos dados: pode pedir, ela mesma ou por quem a apoia, o que a lei garante (ver “Seus direitos”). Se a curatela terminar, o perfil passa a ser dela.

• conta, perfis, ficha e atendimentos registrados por você: até você apagar ou excluir a conta;
• item oculto do Histórico: continua guardado até ser apagado, e as versões anteriores saem com o perfil. Ocultar não apaga;
• documentos e fotos: até você apagar o arquivo ou o perfil, ou excluir a conta; depois disso, saem do armazenamento em até 1 dia;
• laudo enviado à equipe: até 8 dias depois do envio;
• medidas, atividade física e diário alimentar, inclusive o que veio do Apple Saúde ou do Health Connect: até você apagar o registro ou o perfil, ou excluir a conta. Desligar não apaga o que já veio, e apagar um dado no app Saúde ou no Health Connect não o tira do 10x Vidas. O que você registrou no app você apaga no app. A glicemia, a pressão, o peso e as outras medidas que vieram do aparelho e têm Apagar saem assim: o conteúdo some, e fica só uma marca sem valor, para não voltar. O sono, a saturação, os treinos que vieram do aparelho, os passos, as calorias do dia e as medidas do relógio guardadas por dia ainda não se apagam um a um: para tirá-los do 10x Vidas, peça pelo contato@saude10x.com. O que o 10x Vidas gravou lá fica lá: corrigir ou apagar aqui não muda lá, e você apaga pelo app Saúde ou pelo Health Connect;
• atendimento guardado pelo link: o registro de qual atendimento está em qual perfil fica até você apagar o perfil ou excluir a conta. Ocultar o atendimento tira-o da lista, mas não apaga esse registro. Se o profissional retirar o link, fica só o dia em que você guardou, sem o conteúdo. O conteúdo é registro do profissional e segue os prazos dele;
• perfil de quem fez 18 anos e ainda não o assumiu: guardado sem que ninguém o veja, só para ser entregue à pessoa, até ela assumir, até o dono apagar ou excluir a conta, ou até a própria pessoa pedir que seja apagado;
• acessos dados a outras pessoas: até o dono tirar o acesso;
• prova do consentimento e da retirada (criar a conta, criar perfil de dependente ou de curatelado, dar e tirar acesso, compartilhar com um profissional, conectar a Google Agenda): 5 anos depois que o perfil ou a conta deixam de existir, só para provar o que foi autorizado e quando. Guardar um atendimento não tem prova à parte: o próprio registro de quem guardou e quando serve de prova e sai com o perfil ou a conta;
• registro de quem abriu uma ficha compartilhada: você o vê em Enviados por 30 dias e, depois, pode pedi-lo pelo contato@saude10x.com; guardamos por 5 anos, como a prova do consentimento, mesmo depois da exclusão — sem nada do que foi lido;
• registro de que um documento foi conferido: o mesmo prazo da prova; o documento em si é apagado logo depois de conferido;
• registros de acesso ao app: 6 meses, em sigilo, mesmo depois da exclusão (Marco Civil da Internet, art. 15);
• Google Agenda: a permissão fica até você desconectar ou excluir a conta. Os eventos ficam até o item sair do app, você desconectar ou o acesso ao perfil acabar;
• Vidas Pro: o registro da compra fica enquanto a conta existir e, depois da exclusão, por 5 anos, como prova da venda e para a assinatura não passar a outra conta. O identificador das compras do Google Play sai com a exclusão quando a compra já terminou, ou assim que ela terminar;
• identificador do celular para avisos: até você sair do app nele ou excluir a conta.

Você exclui a conta no app, em Ajustes → Conta → Excluir conta. Se não conseguir pelo app, peça pelo e-mail contato@saude10x.com. A conta é uma só para o 10x Vidas e o Saúde10x: se você também usa o Saúde10x como profissional, a exclusão apaga a conta nos dois, e avisamos antes de você confirmar.

• Os perfis de que você é dono: o perfil de criança, adolescente ou pet que você compartilhou em “ver e editar” ou “ver, editar e enviar” passa a ser da pessoa que tem um desses acessos há mais tempo, e os outros acessos a ele terminam. Os demais saem com a conta: os sem ninguém com esses acessos, os suspensos aos 18 e os de adulto com curador.
• O que sai: a conta, com o CPF, o telefone e a foto; o seu perfil, a sua ficha, as medidas, a atividade física e o diário alimentar (inclusive o que veio do Apple Saúde ou do Health Connect), os atendimentos que você registrou e os documentos e fotos; os perfis de que você é dono e que não passaram a ninguém; as ligações com familiares; os acessos que você deu e os que recebeu; as consultas guardadas (o registro do profissional continua com ele).
• O que fica: a prova dos consentimentos, o registro de quem abriu uma ficha compartilhada e os registros de acesso, pelos prazos acima. Também fica o registro das assinaturas do Vidas Pro, sem dado de pagamento. Se você informou o motivo da exclusão, ele também fica, sem dado de saúde. O que o 10x Vidas gravou no Apple Saúde ou no Health Connect fica no seu celular; você apaga por lá.

Nenhuma exclusão pode ser desfeita.

Você pode pedir, a qualquer momento (LGPD, art. 18): confirmação de que tratamos dados seus e acesso a eles; correção; anonimização, bloqueio ou eliminação do que for desnecessário; portabilidade; saber com quem compartilhamos; informação sobre o que acontece se não consentir; e retirar o consentimento.

Quase tudo você faz no próprio app: corrigir, apagar, tirar um acesso, excluir a conta. O resto, pelo contato@saude10x.com. Respondemos à confirmação e ao acesso em formato simplificado na hora e, por declaração completa, em até 15 dias (art. 19). Pedido sobre o conteúdo de uma consulta guardada vai ao profissional que a publicou.

Quem tem a ficha num perfil de outra pessoa também é titular e pode pedir direto ao contato@saude10x.com: o adulto que deu acesso, a pessoa que fez 18 anos e ainda não assumiu o perfil, o adulto curatelado e a mãe, sobre o que o perfil do filho guarda da gestação dela.

O pai ou a mãe que não é dono do perfil do filho pode pedir, como representante dele, confirmação e cópia do que está no perfil. Pedimos só o necessário para confirmar que você é o pai ou a mãe (certidão de nascimento da criança e um documento seu), conferimos e apagamos. Mandamos a cópia por e-mail. A cópia inclui o que o dono ocultou no Histórico. Isso não dá acesso ao app nem muda o dono. Não mandamos a cópia se houver decisão judicial que o impeça e que tenha sido comunicada a nós. Pedido para apagar ou retirar o consentimento feito por quem não é dono não é atendido sozinho: o consentimento de um dos pais basta (art. 14, §1º), e o desacordo entre eles vai ao juiz.

Retirar é tão fácil quanto dar. No app: tirar o acesso de alguém, descer o nível de quem envia, desconectar a Google Agenda em Ajustes, desligar o Apple Saúde ou o Health Connect em Ajustes (ou tirar a permissão nos Ajustes do iPhone ou nas permissões do Health Connect, no Android), apagar um perfil ou excluir a conta. O laudo enviado à equipe, pelo suporte. Um atendimento guardado você pode ocultar, mas ele é registro do profissional: o vínculo sai quando o perfil é apagado ou a conta é excluída. Sem o app, pelo contato@saude10x.com. A retirada vale na hora para o que vem depois; o que foi feito antes com o seu consentimento continua válido (art. 8º, §5º). Sem o consentimento para guardar os dados nos Estados Unidos o app não tem como funcionar: retirar esse consentimento é excluir a conta.

Cada conta só lê o que é dela ou o que recebeu acesso, e isso é conferido no banco de dados a cada leitura. Um atendimento só entra no app com o link e o CPF de quem foi atendido ou a chave de 4 dígitos, e as tentativas erradas são contadas e travadas. Os avisos no celular e por e-mail não levam nome nem dado de saúde, salvo os lembretes que você liga: no celular, só o tipo, o primeiro nome e a hora; no e-mail, o que foi marcado. Na Google Agenda, se você conectar, vai o mesmo do e-mail. Os erros que chegam a nós não levam dado de saúde. Os dados vão criptografados no envio e ficam criptografados no armazenamento. Nenhum sistema é imune a falhas; por isso temos um roteiro para incidentes.

Se um incidente de segurança puder causar risco ou dano relevante a você, avisamos você e a ANPD em até 3 dias úteis depois de sabermos que ele atingiu dados pessoais, dizendo o que aconteceu, que dados, o que fizemos e o que você pode fazer. No perfil de criança, adolescente ou adulto curatelado, o aviso vai ao dono do perfil. Se o incidente atingir a consulta de um profissional, avisamos também o profissional, que é quem responde por ela. Todo incidente fica registrado por pelo menos 5 anos.

Mudança relevante é avisada no app antes de valer, e, quando muda o que você consentiu, pedimos o consentimento de novo. A versão e a data ficam no topo.

Encarregado pelo tratamento de dados pessoais: Jônatas Catunda de Freitas, contato@saude10x.com.