Política de Privacidade — Divergi

Versão 1.0 — vigente desde «SUBSTITUIR: DD/MM/AAAA»

Este documento precisa de revisão jurídica antes de ir ao ar. Ele descreve com precisão o que o app faz hoje, mas quem responde por ele perante a ANPD é a empresa, não o texto.

Resumo em duas frases

O Divergi funciona inteiramente no seu aparelho, e sem conta nenhuma nada sai dele. Se você criar uma conta — que é opcional e gratuita — os registros passam a ter uma cópia no nosso servidor, e só uma clínica que você autorizar consegue ler, pelo tempo que você quiser.

1. Quem somos

O Divergi é desenvolvido por «SUBSTITUIR: razão social», CNPJ «SUBSTITUIR: 00.000.000/0001-00», com sede em «SUBSTITUIR: endereço».

Contato para assuntos de privacidade e encarregado de dados (DPO, Art. 41 da LGPD): «SUBSTITUIR: privacidade@divergi.app».

2. O que o app registra

Você usa o Divergi para registrar observações sobre uma pessoa sob seus cuidados. O app guarda, no seu aparelho:

• Perfil: apelido, data de nascimento (opcional), condições autodeclaradas (opcional), um texto livre de contexto (opcional) e sua relação com a pessoa.
• Registros diários: respostas aos indicadores que você deixou ligados — humor, sono, alimentação, escola, terapia, e os módulos que você escolher.
• Episódios: horário, antecedente, o que aconteceu, o que ajudou, intensidade, duração e local.
• Medicação: nome, dose, horários e o que você observou.
• Preferências: modo baixo estímulo, contraste, tipografia, lembrete.

O que o app deliberadamente não pede: nome completo da criança, CPF, endereço, foto, escola, contato, localização, agenda ou contatos do celular. O princípio é o da minimização (Art. 6º, III da LGPD): o que não vira informação útil não é coletado.

3. Onde esses dados ficam

Sem conta: só no seu aparelho. Num banco de dados local, dentro da área privada do aplicativo, protegido pela criptografia do sistema operacional (Data Protection no iOS, criptografia de arquivo no Android) e pelo seu bloqueio de tela. Nesse modo o app não faz requisição de rede alguma — você pode conferir em modo avião — e nós não temos como acessar nada.

Consequência honesta desse modo: se você perder o aparelho, desinstalar o app ou apagar os dados, os registros são perdidos e não temos como recuperá-los.

Com conta: também no nosso servidor. Criar conta é opcional, gratuito e serve para três coisas — não perder o histórico, registrar de mais de um aparelho da casa, e poder autorizar uma clínica. Ao criar, passamos a armazenar:

• os mesmos registros que já estavam no aparelho, sincronizados;
• seu e-mail e nome, e a senha guardada como hash Argon2id (nunca em texto);
• o registro do seu consentimento, com data, hora, IP e a versão deste documento;
• um histórico de quem abriu os dados da criança e quando.

A infraestrutura fica na Amazon Web Services, região Norte da Virgínia (EUA), e a redação do resumo usa a DeepSeek, na China. As duas são transferências internacionais, admitidas pela LGPD por cláusulas contratuais (Art. 33, VIII). Para a China não há decisão de adequação da ANPD, então a base é contratual. O banco é criptografado em repouso, não é acessível pela internet, e o tráfego até ele é cifrado com verificação de certificado.

3.1 Acesso de clínicas

Nenhum profissional enxerga nada sem você autorizar, e o caminho é sempre o mesmo: a clínica gera um código, você digita esse código no app, escolhe quais seções ficam visíveis e confirma. A clínica só pede; quem concede é você.

• Você pode conceder menos do que foi pedido, e o que ficar de fora não aparece para eles nem como número.
• O que você escreve com suas palavras (campo livre) não entra no padrão: fica de fora a menos que você marque. Ao marcar, o app avisa que esse texto também pode ser enviado à DeepSeek — sem nome e sem data de nascimento — para escrever o resumo do período. É o único item do escopo que sai do país dessa forma; os demais viram apenas números.
• Você encerra o acesso quando quiser, com efeito imediato.
• Toda leitura fica registrada, e você vê quem abriu e quando, no app.

O profissional pode escrever anotações próprias sobre o atendimento. Elas são dele, não ficam visíveis para você, e não entram no documento que você exporta — é privacidade clínica, para ele poder registrar hipótese e dúvida.

4. O que não fazemos

• Não coletamos dados analíticos, de uso ou de desempenho.
• Não usamos rastreadores, identificadores de publicidade ou SDK de terceiros que colete informação.
• Não exibimos anúncios.
• Não enviamos relatórios de erro com conteúdo seu. Nossos registros de aplicação guardam qual tela foi aberta, nunca o que estava nela.
• Não vendemos nem compartilhamos dados com ninguém além da clínica que você autorizou.
• Não usamos seus registros para treinar modelos de inteligência artificial.
• Não gravamos áudio. O ditado transcreve no aparelho e descarta o som (§5.1).
• Não cobramos nada de você, em lugar nenhum. Quem paga é a clínica, para receber os dados no painel dela.

5. Notificações

Se você ligar o lembrete diário, o agendamento é feito e disparado pelo próprio aparelho. Não existe notificação remota, não existe token de push e nenhuma informação sai do celular. Desligar é imediato, em Ajustes.

5.1 Microfone e ditado

Em qualquer campo de texto livre existe a opção de ditar em vez de digitar. Ao usá-la, o app pede permissão de microfone.

O reconhecimento roda dentro do seu aparelho, pelo recurso do próprio sistema operacional. Em consequência:

• O áudio não é gravado em arquivo e não fica em lugar nenhum. Ele é convertido em texto e descartado na mesma hora.
• O áudio não é enviado para nós nem para terceiro nenhum.
• O texto reconhecido aparece no campo para você conferir e corrigir antes de salvar. Transcrição erra, e nada é salvo sem você ver.
• Se o aparelho não tiver o reconhecimento de português instalado, o botão de ditar simplesmente não aparece. Preferimos não oferecer o atalho a oferecê-lo mandando sua voz para fora.

Negar a permissão de microfone não limita nada: todos os campos continuam funcionando pelo teclado. A permissão pode ser revogada nos ajustes do sistema a qualquer momento.

O painel da clínica tem o mesmo recurso para as anotações do profissional, com a mesma regra: só é oferecido quando o navegador consegue transcrever localmente.

6. Dados de criança e adolescente

Os registros costumam se referir a uma criança ou adolescente, e são dados referentes à saúde. É o regime mais protegido da LGPD (Art. 11 e Art. 14).

Quem instala e opera o app é um adulto responsável, que decide o que registrar.

Sem conta, a guarda é exclusivamente dele, no próprio aparelho, e não há tratamento nenhum em nossos sistemas.

Ao criar conta, o consentimento é pedido de forma específica e destacada, com a versão deste documento, e fica registrado com data, hora e endereço IP. Ele não está embutido nos termos de uso nem no ato de instalar o app: é uma tela própria, com uma decisão própria, e recusá-la não impede de continuar usando o app sem conta.

Nenhum acesso de clínica ou profissional existe sem aprovação explícita do responsável, seção por seção, e é revogável a qualquer momento com efeito imediato. Não existe caminho pelo qual um profissional obtenha acesso sem essa aprovação — nem a nosso pedido, nem ao dele.

7. Seus direitos (Art. 18 da LGPD)

Os direitos se exercem dentro do próprio app, sem depender de nós e sem prazo de resposta.

Sobre o que está no aparelho:

• Acessar e corrigir: todo registro é visível e editável nas telas do app.
• Excluir: Ajustes → apagar tudo remove todos os registros do aparelho, de forma definitiva. Desinstalar o app tem o mesmo efeito.
• Portabilidade: Calendário → exportar resumo do período gera o documento em PDF. É gratuito, não exige conta e não tem limite de uso.

Se você criou conta, os mesmos direitos valem sobre a cópia no servidor, também sem depender de nós:

• Baixar meus dados (conta → baixar meus dados): entrega tudo em um arquivo legível por máquina.
• Apagar minha conta e meus dados (conta → apagar minha conta e meus dados): apaga de verdade. O texto que você escreveu é sobrescrito, não escondido atrás de uma marca de "excluído", e a sessão cai na hora. Se outro adulto cuida da mesma criança, os registros feitos por ele continuam sendo dele — a tela avisa isso antes de você confirmar.
• Saber quem viu: conta → quem vê os dados lista cada acesso de profissional, com data e hora, e permite encerrar o vínculo ali mesmo.

Se ainda assim quiser falar conosco sobre qualquer um desses direitos, escreva para «SUBSTITUIR: privacidade@divergi.app».

8. O que o Divergi não é

O Divergi não faz diagnóstico. Ele registra o que você observa e organiza esses registros. Nada no app constitui diagnóstico, laudo, prognóstico ou recomendação clínica, e nenhuma decisão sobre tratamento ou medicação deve ser tomada com base nele sem um profissional de saúde.

9. Serviços de terceiros

O app não integra rastreador, SDK de analytics nem rede de publicidade. Os terceiros que existem são estes:

O resumo em texto é um recurso do painel da clínica. O que sai do nosso servidor para gerá-lo é a agregação já calculada, anônima: nenhum identificador seu ou da criança viaja, e o texto gerado é conferido antes de ser salvo — se citar um número que a agregação não produziu, é recusado.

As lojas (App Store e Google Play) coletam suas próprias informações sobre download e instalação, segundo as políticas da Apple e do Google, sobre as quais não temos controle nem acesso individualizado.

10. Mudanças nesta política

Se esta política mudar de forma relevante — em especial quando existir conta ou sincronização — avisaremos dentro do app antes que a mudança tenha efeito. O histórico de versões fica registrado neste documento.