Política de Privacidade do Ampare

Versão: 2026-09-21. Publicado em: 21 de setembro de 2026 (beta fechado no Brasil). Última atualização: 21 de setembro de 2026

Resumo em linguagem simples (transparência, art. 6º, VI, LGPD)

• O Ampare ajuda famílias a cuidar de uma pessoa querida. Para isso, tratamos dados pessoais e, com o seu consentimento, dados de saúde, que são dados sensíveis.
• Você decide. Dados de saúde, envio de textos à IA, localização sob demanda, transcrição da voz da pessoa amparada e gravação de áudio na emergência dependem de consentimentos específicos e separados, que você pode recusar ou revogar a qualquer momento, um por um.
• A IA só sugere. Nada vira registro de saúde sem confirmação de uma pessoa. Antes de enviar textos à IA de terceiros, removemos e mascaramos dados pessoais diretos.
• Não vendemos seus dados. Não usamos seus dados de saúde para publicidade.
• O Ampare não é serviço médico e não é canal de emergência. O botão do Ampare SOS avisa a sua família, e mais ninguém (ver Termos de Uso).
• Você tem direitos (acesso, correção, exclusão, portabilidade, revogação) e pode exercê-los dentro do aplicativo ou pelo e-mail privacidade@ampare.me.

Este resumo não substitui o texto completo abaixo.

1. Quem é o controlador dos seus dados

1.1. O controlador é USoft Tecnologia Ltda. (CNPJ 46.762.176/0001-81), com sede em Av. Virgilio Veronez, 1727, CEP 88950-000, Jacinto Machado, SC ("USoft Tecnologia", "nós"), responsável pelas decisões sobre o tratamento de dados no Ampare.

1.2. Encarregado pelo Tratamento de Dados Pessoais (DPO, art. 41 da LGPD): Helem Hahn Buzello, dpo@ampare.me. Contato: privacidade@ampare.me.

2. A quem esta Política se aplica

2.1. Aplica-se a quem usa o Ampare (titulares de conta) e às pessoas cujos dados são inseridos nele, especialmente a pessoa amparada e demais membros da família.

2.2. Onde ela se aplica. Em todas as partes do serviço: o aplicativo da família, a área da pessoa amparada, o aplicativo Ampare SOS, os widgets na tela inicial, o portal profissional e o site ampare.me, inclusive a lista de espera e o formulário de contato. É uma só Política para todas essas partes, com a mesma versão e a mesma data; o site publica este mesmo texto.

2.3. Papéis de tratamento. A USoft Tecnologia é controladora dos dados tratados para operar o Ampare. Profissionais, estabelecimentos e organizações que acessam dados por meio do portal podem ser controladores ou operadores próprios, conforme o caso, e respondem pelo uso que fazem do que leem.

3. Definições rápidas

• Dado pessoal: informação sobre pessoa identificada ou identificável.
• Dado pessoal sensível: dado sobre saúde, entre outros. Recebe proteção reforçada.
• Titular: a pessoa a quem o dado se refere.
• Controlador e operador: quem decide sobre o tratamento, e quem trata em nome do controlador.

4. Quais dados tratamos, para quê e com qual base legal

A tabela reúne as categorias de dados, a finalidade e a base legal na LGPD. O escopo de consentimento correspondente no aplicativo aparece em código.

Aviso sobre o escopo `caregiver_wellbeing`: a base para os dados de saúde derivados de bem-estar é o consentimento específico do próprio cuidador (art. 11, I, da LGPD); a operação do recurso como parte do serviço apoia-se, adicionalmente, na execução de contrato (art. 7º, V) apenas para os dados não sensíveis envolvidos.

Aviso sobre as contas de teste. Contas e sessões criadas para ensaio são marcadas como teste e ficam fora das estatísticas e do acompanhamento do estado de saúde. Elas continuam sujeitas a esta Política.

5. Dados sensíveis de saúde, proteção reforçada

5.1. Dados de saúde são dados pessoais sensíveis. Só os tratamos com base legal adequada, em regra o consentimento específico e destacado, e com medidas de segurança reforçadas.

5.2. O consentimento para dados de saúde é coletado de forma destacada e no momento oportuno, ao cadastrar a pessoa amparada, conforme o Termo de Consentimento para Tratamento de Dados de Saúde.

5.3. Um consentimento não vale pelo outro. Cada finalidade tem o seu, e revogar um não revoga os demais: dados de saúde (health_data), envio à IA de terceiros (ai_extraction), gravação do áudio da emergência, transcrição da voz da pessoa amparada (patient_audio_transcription), localização sob demanda, compartilhamento com profissional (share_with_prof), vínculo com estabelecimento (organization_link), bem-estar do cuidador (caregiver_wellbeing) e check-in de bem-estar da pessoa amparada (patient_wellbeing). O aplicativo registra, para cada um, quem consentiu, quando, em que versão do texto, em que idioma e de que aparelho.

5.4. A base legal de "tutela da saúde" (art. 11, II, "f", da LGPD) não se aplica ao Ampare, porque essa hipótese é restrita a procedimentos realizados por profissionais de saúde, serviços de saúde ou autoridade sanitária, o que não é o caso de uma ferramenta de coordenação familiar. Por isso dependemos de consentimento ou, excepcionalmente, de outra hipótese do art. 11, II (ver seção 6).

6. Dados da pessoa amparada fornecidos por familiar ou representante

Muitas pessoas amparadas convivem com Alzheimer ou outra demência e podem ter dificuldade ou impossibilidade de consentir. Por isso, quem cadastra a pessoa amparada faz, no aplicativo, uma autodeclaração graduada sobre a legitimidade para fornecer os dados. Há três situações, detalhadas no Termo de Consentimento para Tratamento de Dados de Saúde.

6.1. (a) A pessoa amparada compreende e consentiu. O consentimento é da própria titular, assistida se necessário. Base: art. 11, I, da LGPD.

6.2. (b) Há representante legal (curador, tutor ou procurador com poderes). O consentimento é dado pelo representante legal, admitido expressamente pelo art. 11, I, que menciona "o titular ou seu responsável legal". O aplicativo permite referenciar e anexar o instrumento depois (termo de curatela, procuração), sem travar o cadastro. Base: art. 11, I, da LGPD.

6.3. (c) A pessoa não consegue consentir e não há representante formal constituído; quem cadastra é familiar responsável pelo cuidado. É o caso mais comum no cuidado de demência. Aqui não há consentimento válido do titular. O enquadramento proposto é o da proteção da vida ou da incolumidade física do titular ou de terceiro, art. 11, II, "e", da LGPD, quando o titular está física ou juridicamente incapaz de consentir.

6.4. Recursos que a situação (c) não liga. Na situação (c) ficam desligados, e o sistema recusa ligar: o envio à IA de terceiros (ai_extraction), a localização sob demanda, a transcrição da voz da pessoa amparada (patient_audio_transcription) e o vínculo com estabelecimento (organization_link). Continuam o cuidado essencial e a emergência. Antes de aceitar a situação (c), o aplicativo oferece o consentimento da própria pessoa, com apoio e gravado em vídeo (situação a), e a procuração particular (situação b); a prova em vídeo fica cifrada no Ampare, visível só à pessoa amparada, a quem gravou e a auditor da USoft com motivo registrado, e cada abertura aparece à família. A pessoa amparada pode contestar a qualquer momento na área dela.

6.5. Autocuidado. Quem usa o Ampare para cuidar de si mesmo é, ao mesmo tempo, titular da conta e titular dos dados de saúde. Nesse caso a declaração acima é o consentimento do próprio titular (situação "a"), sem intermediário.

6.6. Responsabilidade e registro. Quem faz a declaração assume responsabilidade formal pela sua veracidade, em cláusula específica do Termo de Consentimento. O aplicativo registra quem declarou, o papel na família, o estado declarado, a data e a hora e a versão do termo.

6.7. Atualização e contestação. A capacidade pode mudar com a progressão da doença; por isso a declaração é atualizável e pode ser redeclarada. Se outro familiar ou a própria pessoa amparada contestar a legitimidade ou o tratamento, aplica-se o canal de oposição desta Política (seção 12).

6.8. Dados de terceiros na conversa. A conversa da família pode mencionar outras pessoas (outro familiar, um vizinho, um profissional, uma criança da casa) e, na emergência, o áudio do ambiente pode captar a voz de quem estiver por perto. Quem escreve e quem opera o aparelho é responsável por ter legitimidade para isso.

7. Inteligência artificial e decisões automatizadas

7.1. IA sempre intermediada por humano. A IA sugere; nenhum registro de saúde é criado sem confirmação de uma pessoa da família, e o pedido de confirmação é apresentado a quem está de plantão. Não existe caminho que aceite registro clínico direto da IA.

7.2. Sanitização antes do envio à IA. Antes de enviar texto a provedores de IA (ver seção 9), o Ampare remove e mascara dados pessoais diretos: nomes completos viram apelidos genéricos, e CPF, telefones e endereços são removidos. Fotos de receitas não são enviadas à IA de terceiros; o reconhecimento de texto ocorre na infraestrutura da USoft.

7.3. Limite de leitura automática no plano Gratuito. No plano Gratuito, a leitura automática produz no máximo 30 registros por janela de 30 dias, por família. Esgotado o limite, a leitura automática para até a janela virar. Isso é um limite comercial, e não altera bases legais nem finalidades.

7.4. Recusa e reversão de dose. Quando a conversa indica que um remédio não foi tomado, o Ampare propõe a correção e pede confirmação. Confirmada, fica registrado quem corrigiu, quando, qual era o estado anterior e o motivo. Duas ou mais ocorrências em 7 dias geram um aviso de padrão de recusa à família e ao profissional vinculado, que não é diagnóstico nem orientação clínica.

7.4a. Outras sugestões da leitura da conversa. A mesma leitura pode sugerir consultas e exames mencionados, um padrão que se repete ao longo de até 30 dias (por exemplo, menções a esquecimento ou a repetição de perguntas), e a menção ao falecimento da pessoa amparada, que abre um cartão de confirmação discreto para quem está de plantão. Nenhuma dessas sugestões vira registro sem confirmação humana, e nenhuma é diagnóstico.

7.5. Bem-estar do cuidador (decisões automatizadas). O recurso de bem-estar produz decisões internas, por exemplo oferecer apoio privado ou sugerir à família dividir o cuidado. Trata-se de apoio, não de decisão com efeitos jurídicos; ainda assim, para transparência (art. 20 da LGPD):

• funciona somente com o seu consentimento individual (caregiver_wellbeing);
• roda com classificador que fica no servidor do Ampare, e o texto do cuidador não é enviado à IA de terceiros para essa finalidade;
• você pode dar feedback, pedir revisão e revogar o consentimento a qualquer momento;
• o alerta familiar nunca revela conteúdo do chat, pontuação, sentimento, check-in ou diagnóstico, apenas informações operacionais de cobertura (ver seção 8).

7.6. Análise do texto das suas mensagens para estimar a sua sobrecarga. Quando você ativa o bem-estar do cuidador (caregiver_wellbeing), o texto das mensagens que você mesmo escreve ou dita no chat da família passa a ser lido por dois programas de análise que rodam dentro do servidor do Ampare: um reconhece sinais de cansaço, de pedido de ajuda e de esgotamento; o outro reconhece sinais de cuidado complexo, como noite interrompida, vigilância contínua, agitação e recusa de cuidado. A finalidade é uma só: estimar o seu nível de sobrecarga e oferecer apoio a você. Valem sempre as regras abaixo.

• Só as suas mensagens, e só se você for cuidador familiar. O que as outras pessoas escrevem e as mensagens automáticas do sistema não entram nessa análise. Contas com papel de profissional, inclusive cuidador contratado, não têm o recurso e nunca são analisadas; o portal profissional não mostra o bem-estar de ninguém.
• A análise fica no servidor do Ampare. Nenhuma mensagem sua é enviada a serviço de inteligência artificial de terceiros para essa finalidade.
• Nenhum trecho é mostrado a ninguém. Nem à sua família, nem a profissionais, nem à equipe do Ampare. Do cálculo ficam guardados apenas uma pontuação, uma gravidade e um motivo genérico, nunca o que você escreveu.
• A família recebe, no máximo, um aviso de sobrecarga, com informação de escala e de divisão de tarefas. O aviso nunca traz o conteúdo, o trecho nem o tom das suas mensagens.
• A recusa de remédio pesa aqui. Cada recusa ou reversão de dose registrada por você entra na estimativa da sua sobrecarga, sem que o conteúdo da conversa saia do servidor.
• É uma estimativa de apoio. Não é diagnóstico, não avalia o seu desempenho e não substitui avaliação de profissional de saúde.
• Base legal. O seu consentimento específico, destacado e revogável para o bem-estar do cuidador (LGPD art. 11, I)(a)). Sem esse consentimento ativo na versão vigente do termo, nenhuma mensagem sua é analisada para essa finalidade. A execução do contrato (LGPD art. 7º, V)(b)) cobre apenas o funcionamento do chat em si.
• Pedir revisão da avaliação (LGPD art. 20). Em "Meu bem-estar", toque em "Não representa meu momento". O pedido fica registrado junto da leitura contestada e chega a uma pessoa da equipe do Ampare. A explicação completa do cálculo está em Ajustes, Privacidade e dados, "Como calculamos o seu nível de sobrecarga".
• Acessar e eliminar (LGPD art. 18). Em Ajustes, Privacidade e dados: "Exportar meus dados" entrega o que está guardado sobre você; "Parar de acompanhar o meu bem-estar" interrompe a análise na hora e apaga as leituras e as pontuações dessa finalidade; "Excluir minha conta e meus dados" elimina tudo.

8. Com quem compartilhamos dados

8.1. Dentro da família. Os dados são visíveis aos membros da família conforme os papéis (ver Termos de Uso). Dados privados de bem-estar de um cuidador não são mostrados aos demais; o alerta familiar traz apenas dados operacionais, como dias e horas de cobertura documentada, nomes das pessoas cuidadas e tarefas concluídas com denominador explícito.

8.2. A pessoa amparada não vê a conversa da família. A área dela mostra os remédios do dia, os avisos, a conversa dela com a família e o que ela mesma registrou. Correções feitas pela família, como a reversão de uma dose, não aparecem para ela.

8.3. Profissionais convidados pela família. Só com consentimento de compartilhamento (share_with_prof) e nos limites definidos pela família.

8.4. Estabelecimentos. Só com o aceite do Termo de Vínculo Institucional pela família, que descreve exatamente o que a organização passa a ler. O acesso é somente leitura, é atribuído a uma pessoa identificada, é registrado a cada leitura e termina com o fim do vínculo ou do contrato. Chat, tarefas e dados dos demais membros não entram. A família pode revogar a qualquer momento.

8.5. Estatísticas do estabelecimento. O portal e o sistema comercial da USoft mostram números agregados da carteira. Contagens pequenas, de uma a quatro pessoas, aparecem como "menos de 5", e uma faixa que possa ser deduzida por subtração também é retida. Zero nunca é mascarado, e mascarado nunca vira zero. Ensaios ficam de fora.

8.6. Operadores (prestadores que tratam dados em nosso nome). Provedores de infraestrutura, notificação, IA e processamento de assinatura, listados na seção 9, sob contrato e instruções da USoft Tecnologia.

8.7. USoft Panel. Sistema comercial da própria USoft Tecnologia, que recebe apenas dados de cliente, contrato e assinatura, além das solicitações enviadas pelo formulário de contato do site e de metadados técnicos de erros dos sistemas (título, nível, quantidade e data, sem conteúdo nem dado de pessoa), e nenhum dado clínico. As estatísticas agregadas da seção 8.5 chegam a ele já mascaradas.

8.8. Obrigações legais. Podemos compartilhar dados para cumprir lei, ordem judicial ou determinação de autoridade competente, nos limites legais.

8.9. Nunca vendemos seus dados pessoais e não os usamos para publicidade de terceiros. Não há dados de saúde em nenhum fluxo de marketing.

8.10. Aplicativos de calendário que você conectar. Se você gerar um link de agenda externa, o aplicativo de calendário que você escolher (por exemplo, o do seu telefone ou do seu computador) passa a baixar, pelo link, o nome da pessoa amparada, as consultas e as rotinas. Esse aplicativo é um serviço de terceiro, escolhido por você, e trata esses dados conforme a política dele. Quem tiver o link consegue ler; revogue-o em Ajustes se ele vazar.

8.12. Registro de cada compartilhamento. Toda autorização de acesso a dados da pessoa amparada por alguém de fora da família, e toda autorização dada pela própria pessoa amparada a pessoas nomeadas, fica registrada com quem autorizou (papel, condição e vínculo declarados), quando (data, hora, aparelho, endereço de rede), para quem (a pessoa, o profissional ou o estabelecimento) e quais dados (versão e resumo criptográfico do texto aceito, que lista os blocos), além de quando e por quem foi revogada. Para estabelecimentos, cada leitura do prontuário também é registrada. A família consulta esses registros no aplicativo; eles seguem o prazo dos registros de auditoria (10.2) e não são apagados pela revogação.

8.11. Quem vai ao local na emergência. A posição de quem tocou em "Estou indo" é mostrada apenas aos membros da família que já podem ver a localização daquela emergência, e nunca a profissionais de estabelecimento.

9. Transferências internacionais de dados

Parte do tratamento envolve prestadores fora do Brasil, principalmente nos Estados Unidos da América. Aplicamos as salvaguardas da LGPD (art. 33).

9.1. Dentro do Brasil, os dados ficam no datacenter da USoft Tecnologia (banco de dados, cache, armazenamento de anexos, observabilidade) e no serviço de e-mail da USoft. O registro de erros técnicos dos aplicativos, do site, do portal e dos servidores também fica nesse datacenter, em ferramenta própria da USoft: sem corpo de requisição, sem nomes, e-mails ou dados de saúde, com a pessoa identificada apenas por pseudônimo, e apagado em 30 dias.

9.3. Salvaguardas LGPD. As transferências observam o art. 33: consentimento específico e destacado (inciso VIII) para a IA, e necessidade de execução de contrato (inciso IX, combinado com o art. 7º, V) para pagamento, além de cláusulas-padrão contratuais quando aplicável (inciso II, "b"), conforme regulamentação da ANPD.

9.4. IA no datacenter da USoft. A leitura da conversa, a transcrição de áudio e a busca semântica já rodam em modelos executados na infraestrutura da USoft, no Brasil, quando o serviço está assim configurado. Enquanto for assim, o consentimento ai_extraction continua sendo pedido, porque ele cobre a leitura automática da conversa em si, e não apenas o envio a terceiro.

10. Por quanto tempo guardamos, e como eliminamos

10.1. Enquanto a conta existe, mantemos os dados necessários ao funcionamento do Ampare.

10.2. Exclusão de conta (pelo aplicativo ou pela página ampare.me/excluir-conta, que envia um link de confirmação ao e-mail da conta e só executa a exclusão depois que a pessoa o confirma):

1. eliminação lógica imediata, a conta deixa de funcionar;
2. eliminação definitiva em até 30 dias, com remoção física dos dados, inclusive dados derivados como vetores de busca, exceto os registros de auditoria;
3. registros de auditoria mantidos por até 5 anos, com base legal própria (segurança e prestação de contas, arts. 7º, II e IX, e 37 da LGPD), e depois anonimizados.

10.3. Revogação de consentimento de bem-estar (caregiver_wellbeing) remove os dados derivados desse recurso (sinais, check-ins, recomendações, feedbacks e notificações privadas), preservando a mensagem original do chat. Alertas familiares já entregues pertencem às contas que os receberam e não são apagados retroativamente.

10.4. Quanto tempo os áudios e as imagens do chat ficam guardados. Os áudios e as imagens enviados no chat da família e na conversa da pessoa amparada ficam guardados no servidor do Ampare por 7 dias, contados do envio. Passado esse prazo, o arquivo é apagado automaticamente do servidor e não pode ser recuperado por ninguém, nem pela equipe do Ampare. Valem sempre as regras abaixo.

• A transcrição continua. O texto transcrito do áudio permanece na conversa e no registro de cuidado da família, pelo mesmo tempo dos demais registros (itens 10.1 e 10.2). Depois dos 7 dias, a mensagem mostra a transcrição e avisa que o áudio expirou no servidor.
• A cópia no aparelho é sua, e não tem prazo. O aparelho que gravou o áudio ou enviou a imagem, e o aparelho que baixou o arquivo para ouvir ou ver, guardam uma cópia local protegida, sem limite de tempo nem de tamanho, que continua disponível depois dos 7 dias. Essa cópia é apagada quando você sai da conta, quando sai da família, quando exclui a conta e quando remove o aplicativo do aparelho. Ela não volta para o servidor nem fica disponível a outra pessoa.
• A cópia de trabalho sem internet (conversa, agenda, mídia já baixada e escritas pendentes) fica em armazenamento cifrado no aparelho e segue exatamente a mesma regra.
• Imagem expirada pode ser pedida de novo. Quando a imagem já saiu do servidor e o seu aparelho não tem cópia local, a mensagem avisa que a imagem expirou e oferece pedir o reenvio a quem enviou. Essa pessoa recebe o aviso e o aplicativo dela reenvia a imagem a partir da cópia guardada naquele aparelho. Se aquele aparelho já não tiver a cópia, a imagem não volta.
• Emergência tem regra própria. Os áudios e as imagens gravados durante um acionamento do botão de emergência não entram no prazo de 7 dias: esses arquivos de mídia são apagados do servidor 90 dias depois do encerramento da emergência.
• Documentos e registros da pessoa amparada não entram nessa regra. Documentos, receitas, exames, o prontuário e o registro de cada emergência (quando foi, quem atendeu, o que ficou anotado e a transcrição do que foi dito) não são mídia de conversa: ficam guardados no servidor enquanto a conta existir, pelo mesmo prazo dos demais registros de cuidado (itens 10.1 e 10.2), e só saem pela exclusão da conta ou por um pedido de eliminação.
• Eliminar antes do prazo. No próprio chat, "Apagar para todos" apaga o áudio ou a imagem junto com a transcrição, nas primeiras 48 horas e apenas para quem enviou a mensagem. Em Ajustes, Privacidade e dados, "Excluir minha conta e meus dados" elimina os seus áudios e as suas imagens junto com o restante. Para qualquer outro pedido de eliminação antecipada, escreva para privacidade@ampare.me.
• Base legal. Guardar e entregar o áudio e a imagem faz parte do funcionamento do chat (LGPD art. 7º, V)(b)); quando o arquivo traz dado de saúde, vale o consentimento específico que você já deu para esses dados (LGPD art. 11, I)(a)). O prazo de 7 dias atende à necessidade e à eliminação após o fim do tratamento (LGPD arts. 6º, III e 16)(c) e (e)).

10.5. Localização sob demanda. Passados 30 dias, a coordenada é apagada e resta apenas o registro de quem pediu, quando e com que desfecho, pela finalidade de prestação de contas.

10.6. Dados guardados nos widgets. São apagados do aparelho quando a família desliga o acompanhamento daquela pessoa, quando o plano deixa de cobrir o recurso e quando você sai da conta.

10.7. Fim do plano. A saída de um plano pago não elimina dado nenhum: ela apenas restringe o acesso. A eliminação segue os caminhos desta seção.

10.8. Falecimento da pessoa amparada. O registro do óbito não apaga nada: o histórico dela fica em modo de leitura pelo mesmo prazo dos demais registros, o SOS, o acesso próprio e a localização são suspensos com 24 horas para desfazer, a conversa vira memória após 7 dias e a família passa a inativa, em modo de leitura, 30 dias depois do registro. Os dados são eliminados pelos mesmos caminhos desta seção, a pedido de quem tem legitimidade (12.2).

10.9. Posição de quem vai ao local. Apagada em 30 dias, restando apenas o registro de que a pessoa esteve a caminho.

10.10. Registros de auditoria. O prazo de até 5 anos é o declarado;

11. Segurança da informação

Adotamos medidas técnicas e organizacionais compatíveis com dados sensíveis, entre elas TLS 1.3 em todo o tráfego, criptografia em repouso do banco de dados, backups diários criptografados, senhas guardadas com hash, sessões com token e revogação, isolamento por família com controle de acesso por papéis, limitação de taxa, registros de auditoria de leituras e escritas sensíveis, armazenamento local cifrado nos aparelhos e gestão de segredos fora do código-fonte. Nenhum sistema é totalmente imune; em caso de incidente relevante, seguiremos os deveres de comunicação (art. 48 da LGPD e Resolução CD/ANPD 15/2024, com comunicação à ANPD e aos titulares em até 3 dias úteis).

12. Seus direitos e como exercê-los

Você pode exercer seus direitos dentro do aplicativo ou pelo e-mail privacidade@ampare.me. Responderemos nos prazos legais.

12.1. Direitos na LGPD (art. 18)

12.2. Quem exerce pela pessoa amparada. Os direitos da pessoa amparada são exercidos por ela, quando tem capacidade, ou pelo seu representante legal (pai, mãe, tutor, curador ou procurador, conforme o vínculo declarado na ficha), e o Ampare pode pedir a demonstração dessa condição. A pessoa amparada com acesso próprio e capacidade decide, na área dela, com quem da família compartilha as suas informações de saúde, e pode revogar a qualquer momento (item 4.2 dos Termos de Uso). Um pedido feito por familiar que não é representante será analisado caso a caso.

13. Cookies, telemetria e o site

13.1. No aplicativo, coletamos telemetria mínima de erros, para segurança e melhoria, com base em legítimo interesse, sem rastreamento publicitário de terceiros. Estatísticas de uso, coletadas para melhorar o aplicativo, são enviadas ao prestador descrito na seção 9 com base em legítimo interesse: telas abertas e ações genéricas, como abrir a agenda ou registrar uma tarefa, associadas a um identificador pseudônimo, sempre por meio do servidor da USoft, que remove identificadores e não repassa o seu endereço IP. Quando você contrata, renova ou encerra um plano pago, o evento de assinatura, com plano, período, loja, preço e moeda, também é associado ao pseudônimo, para medir a conversão. O prestador nunca recebe o conteúdo das conversas, nomes, e-mails, dados de saúde nem o que você digita. Você pode se opor a esse uso pelo canal de privacidade indicado nesta Política, e a partir daí a sua conta deixa de ser incluída.

13.2. No site e no portal profissional. O site ampare.me e o portal podem coletar estatísticas de uso para melhorar o Ampare, por meio de um prestador nos Estados Unidos descrito na seção 9, somente depois que você aceita o aviso exibido na primeira visita. Se você recusa, nada é carregado, e a recusa fica guardada no seu navegador. Com o aceite, o prestador recebe as páginas que você abre, sem parâmetros de endereço; ações genéricas, como entrar na lista de espera ou enviar o formulário de contato; o tipo de aparelho e de navegador; e um identificador de visitante guardado no seu navegador. Tudo passa antes pelo servidor da USoft, que remove parâmetros de endereço, títulos de página e identificadores e não repassa o seu endereço IP ao prestador. No portal, esse uso é associado ao identificador pseudônimo da conta profissional, nunca ao nome, ao e-mail ou a dados de pacientes. Páginas de convite, de ativação e de recuperação de senha nunca são medidas. Não há pixel publicitário, gerenciador de tags nem cookie de rastreamento entre sites. O site também carrega fontes e envia ao servidor da USoft o que você mesmo digita na lista de espera e no formulário de contato.

13.3. Formulário de contato. O que você envia por ele, inclusive o endereço IP de quem enviou, é encaminhado ao sistema comercial da USoft Tecnologia para que o pedido seja respondido e registrado.

13.4. Comunicações de marketing, se oferecidas, dependem de opt-in específico e podem ser canceladas a qualquer momento.

14. Configurações de privacidade: o que você controla, e o que o Ampare não faz

14.1. O que existe hoje. Em Ajustes, Privacidade e dados, e nas telas de cada recurso, você controla, um a um: os consentimentos da seção 5.3, com revogação imediata; "Exportar meus dados"; "Parar de acompanhar o meu bem-estar", que apaga as leituras dessa finalidade; "Excluir minha conta e meus dados"; o acompanhamento do estado de saúde por pessoa amparada; os links de agenda externa; e os avisos e horários de silêncio. A pessoa amparada controla, na área dela, o check-in de bem-estar e o que compartilha.

14.2. O que o Ampare não faz com os seus dados de saúde. Hoje o Ampare não usa dados de saúde de ninguém para: (a) pesquisa científica ou compartilhamento com parceiros de pesquisa, mesmo sem identificação; (b) treinar ou melhorar algoritmos e previsões, além do funcionamento do próprio recurso para a sua família; (c) recomendações personalizadas de produtos ou serviços, próprios ou de terceiros; (d) publicidade. As estatísticas de uso da seção 13 não recebem dado de saúde, nome nem e-mail.

14.3. Se um dia fizermos. Qualquer uma dessas finalidades só será introduzida com opção própria, separada, desligada por padrão, apresentada em uma tela de configurações de privacidade, com explicação do que sai, para quem e para onde, e revogável a qualquer momento sem perda de nenhum recurso. Ela nunca virá dentro de uma atualização dos Termos nem condicionará o uso do Ampare.

15. Menores de idade

15.1. Titulares de conta são sempre adultos. O cadastro exige a data de nascimento e recusa quem não tem 18 anos. A pessoa amparada pode ser menor de idade: nesse caso os dados dela são fornecidos por pai, mãe ou tutor, que consente no melhor interesse dela (art. 14 da LGPD), com a declaração da situação "d" do Termo de Consentimento para Tratamento de Dados de Saúde. Para pessoa amparada menor de idade não enviamos estatísticas de uso da conta dela, não lhe apresentamos consentimentos para decidir sozinha, e o acesso próprio dela só existe quando os pais ou o tutor o ativam. Dados de outras crianças citados na conversa são responsabilidade de quem escreve (6.8).

16. Fase atual: só Brasil

16.1. Nesta fase o Ampare é oferecido em beta fechado, por convite, apenas a residentes no Brasil. Regras para outros países, inclusive a nomeação de representante e as políticas exigidas por leis locais, serão acrescentadas antes da oferta neles.

17. Autoridade e reclamações

17.1. Brasil, ANPD: você pode contatar o Encarregado e, se necessário, a Autoridade Nacional de Proteção de Dados (gov.br/anpd).

18. Alterações desta Política

18.1. Podemos atualizar esta Política. Mudanças materiais, isto é, em bases legais, finalidades, categorias de dados, destinatários, transferências internacionais ou prazos de retenção, são comunicadas com antecedência por e-mail ou aviso no aplicativo e passam a valer para você depois do seu novo aceite. Mudanças não materiais, como correções de redação, esclarecimentos e reorganização do texto, são publicadas com a nova versão e data no topo, sem novo aceite. A distinção é a mesma do item 17.1 dos Termos de Uso.

19. Contato

• Encarregado (DPO): Helem Hahn Buzello, dpo@ampare.me
• Controladora: USoft Tecnologia Ltda., Av. Virgilio Veronez, 1727, CEP 88950-000, Jacinto Machado, SC