POLÍTICA DE PRIVACIDADE

1. Como ler este documento

Esta Política explica quais dados o VapApp trata, por quê, com quem os compartilha, por quanto tempo os guarda e quais são os seus direitos.

2. Definições

Adotam-se as definições do art. 5º da Lei nº 13.709/2018 (LGPD), em especial:

• Dado pessoal — informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível — entre outros, o dado referente à saúde. Os dados clínicos do Assistido são dados pessoais sensíveis.
• Titular — a pessoa natural a quem os dados se referem. O titular dos dados do Assistido é o próprio Assistido, ainda que quem os informe e consinta seja o Usuário Responsável.
• Controlador — a quem competem as decisões sobre o tratamento: a INNOVA.
• Operador — quem trata dados pessoais em nome do Controlador.
• Anonimização — perda da possibilidade de associação ao indivíduo, considerados os meios técnicos razoáveis e disponíveis.
• Descaracterização — tratamento que remove ou substitui identificadores diretos, reduzindo, sem eliminar, a possibilidade de associação ao indivíduo. Distingue-se da anonimização por não ser irreversível.

Os demais termos — Assistido, Usuário Responsável, Colaborador do Diário, Usuário Profissional, Diário de Eventos, Dr. VAP e Comunidade — têm o significado atribuído nos Termos de Uso.

3. Quem é o Controlador e quem é o Encarregado

Controlador: INNOVA DIGITAL LTDA., CNPJ 61.674.924/0001-68, Avenida Fernandes Lima, nº 08, Edifício Centenário Plaza Center, sala 406, Farol, Maceió/AL, CEP 57.050-000. Contato: comunicacao@vap-app.com.br

Encarregado pelo Tratamento de Dados Pessoais (DPO): Kauê Cavalcante Wanderley de Melo — dpo@vap-app.com.br

4. Normas observadas

Constituição Federal (arts. 5º, X e LXXIX, e 227); Lei nº 13.709/2018 (LGPD); Lei nº 8.069/1990 (ECA); Lei nº 15.211/2025 e Decreto nº 12.880/2026; Lei nº 12.965/2014 (Marco Civil da Internet) e Decreto nº 8.771/2016; Lei nº 8.078/1990 (CDC); Resoluções CD/ANPD nº 15/2024 e nº 19/2024.

5. De quem são os dados que tratamos

6. Quais dados tratamos

6.1. Do Usuário Responsável

Nome completo; CPF; data de nascimento; e-mail; telefone; endereço residencial (CEP, logradouro, bairro, cidade, estado); foto de perfil; grau de parentesco com o Assistido; registro do aceite dos documentos; conteúdo que publica na Comunidade e no Diário; perguntas feitas ao Dr. VAP.

6.2. Do Assistido

Nome completo; data de nascimento; sexo; filiação; Cartão Nacional de Saúde ou CPF; município de nascimento; e dados de saúde, incluindo: informações sobre a gestação e o parto; motivo e data da traqueostomia; características da cânula; equipamentos em uso; internações; especialidades que o acompanham; medicações; e os registros do Diário de Eventos.

6.3. Do Colaborador do Diário

Dados de identificação e contato; registros de acesso; autoria e horário dos lançamentos.

6.4. Do Usuário Profissional

Nome; CPF; e-mail; telefone; conselho profissional, número de registro e UF; a decisão sobre o cadastro; e, havendo adesão ao Programa Apoiador Científico, o registro desse aceite.

6.5. Dados técnicos e de uso

Identificador do dispositivo; modelo e sistema operacional; versão do aplicativo; data, hora e endereço IP de acesso; token de notificação; registros de erro do aplicativo; registros de moderação.

6.6. Dados que não tratamos

• Não coletamos localização. O Aplicativo não solicita permissão de localização e não coleta a posição geográfica do Usuário ou do Assistido, por GPS, por rede ou por qualquer outro meio.
• Não tratamos dados de pagamento, bancários ou de transação. O Aplicativo não comercializa produtos ou serviços.
• Não utilizamos cookies HTTP, pixels de rastreamento ou web beacons.
• Não realizamos publicidade comportamental e não vendemos dados pessoais.

6.7. Informações sobre o contexto de cuidado

De preenchimento facultativo, e destinadas exclusivamente a adequar o conteúdo educativo e as orientações de segurança ao preparo declarado de quem cuida:

• se a família recebeu treinamento hospitalar antes da alta e como avalia sua segurança para realizar os cuidados;
• escolaridade do Usuário Responsável, utilizada para calibrar a linguagem do material educativo.

A recusa em informá-las não impede o cadastro nem o uso de qualquer funcionalidade, e a informação pode ser excluída a qualquer tempo nas configurações do Aplicativo.

Não tratamos informações sobre renda, benefícios assistenciais ou situação financeira da família.

7. Por que tratamos cada dado — finalidades e bases legais

7.1. Registro Nacional da Criança Traqueostomizada

7.1.1. O Registro Nacional da Criança Traqueostomizada é base de dados de saúde descaracterizados, mantida pela INNOVA, destinada a produzir indicadores sobre a população pediátrica traqueostomizada no Brasil e a orientar o aprimoramento do conteúdo educativo e das funcionalidades do Aplicativo.

7.1.2. Facultatividade. A inclusão dos dados do Assistido no Registro é facultativa e depende de consentimento específico e destacado do Usuário Responsável, apartado dos demais. A recusa e a revogação não impedem o cadastro, não restringem qualquer funcionalidade e não alteram a qualidade do serviço.

7.1.3. Base legal. Arts. 7º, I; 11, I; e 14, §1º, da LGPD. A INNOVA não é órgão de pesquisa na acepção do art. 5º, XVIII, da LGPD e não invoca as hipóteses dos arts. 7º, IV, 11, II, "c", ou 13.

7.1.4. O que integra o Registro. Faixa etária; sexo; unidade federativa; motivo da traqueostomia; faixa etária na data da traqueostomia; caráter permanente ou temporário; material e número da cânula; ocorrência e mês/ano da decanulação; equipamentos em uso; especialidades em acompanhamento; faixa de internações no período; faixa de semanas de gestação; faixa de peso ao nascer; necessidade de suporte respiratório na sala de parto; e tipo de parto.

Não integram o Registro, em nenhuma hipótese: nome, Cartão Nacional de Saúde, CPF, filiação, contato, endereço, data de nascimento exata, município de nascimento, o conteúdo do Diário de Eventos, as mensagens da Comunidade e as perguntas feitas ao Dr. VAP.

7.1.5. Limite da técnica. A INNOVA informa que, em razão da raridade da condição clínica e do número de variáveis, não é possível assegurar anonimização irreversível: subsiste risco residual de reidentificação. Por essa razão, os dados que integram a camada individualizada do Registro permanecem tratados como dados pessoais sensíveis, com todas as proteções desta Política. Os indicadores divulgados são exclusivamente agregados e não permitem individualização.

7.1.6. Vedações. São vedados, quanto aos dados do Registro: cessão onerosa a qualquer título; compartilhamento com a indústria farmacêutica, de equipamentos ou de dispositivos médicos; uso publicitário ou comercial; utilização para decisão sobre acesso a plano de saúde, crédito, benefício ou emprego; e qualquer tentativa de reidentificação.

7.1.7. Acesso externo e pesquisa. O acesso a dados individualizados por instituição externa depende, cumulativamente, de: (a) projeto com finalidade, método e prazo definidos; (b) aprovação por Comitê de Ética em Pesquisa e, quando cabível, pela CONEP, na forma da Lei nº 14.874/2024; (c) instrumento escrito que defina papéis, responsabilidades, prazo e medidas de segurança; e (d) atualização prévia desta Política. Nenhum acesso externo está em curso nesta data.

7.1.8. Retenção e revogação. Os dados permanecem no Registro enquanto durar a finalidade, com revisão da necessidade a cada 24 (vinte e quatro) meses. A revogação do consentimento determina a exclusão dos dados do Assistido da camada individualizada, ressalvados os indicadores agregados já produzidos, que não permitem individualização.

7.1.9. Governança. O acesso à camada individualizada é restrito e registrado, mediante política interna de acesso, sob supervisão do Encarregado.

8. Consentimento

8.1. O que exige consentimento. O tratamento dos dados de saúde do Assistido depende de consentimento específico e destacado, prestado pelo Usuário Responsável.

8.2. Finalidades obrigatórias e recusáveis.

8.3. Revogação. O consentimento pode ser revogado a qualquer tempo, por funcionalidade no Aplicativo ou pelo contato com o Encarregado. A revogação não invalida o tratamento realizado antes dela e pode implicar a impossibilidade de uso da funcionalidade correspondente.

8.4. Registro do aceite. Registramos, como prova do consentimento prestado: a versão do documento aceito, a data, a hora, o endereço IP, o identificador da conta e o resumo criptográfico (hash) do texto exibido, que permite comprovar sua integridade sem armazená-lo associado aos dados pessoais do titular. Não mantemos, nesse registro nem em suas trilhas de auditoria, o nome, a data de nascimento ou o número de CPF do titular por extenso. Mantemos o histórico de versões dos documentos, de modo que o texto aceito seja sempre recuperável.

8.5. Consentimento colhido em versões anteriores.

• (a) O consentimento obtido sob versões anteriores desta Política foi prestado de forma atrelada, sem possibilidade de manifestação separada por finalidade. Por isso será recoletado, de forma desmembrada, na primeira abertura do Aplicativo após a entrada em vigor desta Política.
• (b) As funcionalidades do Aplicativo permanecem integralmente disponíveis durante a recoleta. A publicação desta Política não suspende o cadastro do Assistido, o Diário de Eventos, a Comunidade nem o Dr. VAP.
• (c) Fica suspensa, desde a entrada em vigor e até manifestação específica do Usuário Responsável, exclusivamente a finalidade que não integra a prestação do serviço: a inclusão de dados no Registro Nacional (cláusula 7.1). Nenhum dado é incluído no Registro antes do novo consentimento.
• (d) O consentimento anteriormente colhido sob a expressão "uso de dados anonimizados para pesquisa" não é aproveitado, por descrever como anônimo tratamento que é descaracterizado, na forma da cláusula 7.1.5.
• (e) A recusa de qualquer finalidade recusável não implica exclusão da conta nem perda do conteúdo já registrado.

9. Dados de crianças e adolescentes

9.1. O Aplicativo não é dirigido a crianças e adolescentes, e não admite cadastro por eles. O titular da conta é sempre adulto, cuja identidade é verificada por CPF.

9.2. O Aplicativo trata dados de crianças e adolescentes — informados pelo adulto responsável. Esse tratamento observa o Melhor Interesse do Assistido, na forma do art. 227 da Constituição Federal, dos arts. 3º e 4º do ECA e do art. 14 da LGPD.

9.3. Quem consente e quem titulariza. O consentimento é prestado por quem detém o poder familiar, a guarda, a tutela ou a curatela. Os direitos previstos no art. 18 da LGPD são do Assistido, e são exercidos, em seu nome e no seu melhor interesse, pelo Usuário Responsável. O Colaborador do Diário não presta consentimento nem cadastra um Assistido.

9.4. Não fazemos, com dados de crianças e adolescentes: publicidade direcionada; comercialização ou cessão onerosa; perfilamento para engajamento; coleta de biometria; rastreamento de localização; nem condicionamento de funcionalidade ao fornecimento de dado além do necessário. O Aplicativo também não emprega recompensa aleatória, caixas de recompensa, rolagem infinita, notificação com gatilho de urgência artificial ou qualquer recurso destinado a prolongar compulsoriamente o tempo de uso.

9.5. Ao completar 18 anos, o Assistido pode requerer diretamente o acesso, a correção, a portabilidade ou a eliminação de seus dados, pelo canal do Encarregado.

9.6. Canal. Notificações sobre violação de direitos de criança ou adolescente podem ser feitas no Aplicativo ou pelo e-mail do Encarregado, e são apreciadas em até 48 horas.

9.7. Aferição de idade. O cadastro exige o CPF, validado junto à base da Receita Federal, de onde se obtém a data de nascimento do candidato a Usuário. Cadastros de pessoas menores de 18 anos não são aprovados. Não utilizamos autodeclaração de idade como único mecanismo de aferição.

10. Com quem compartilhamos

10.1. Operadores. Compartilhamos dados com fornecedores que os tratam em nosso nome e sob nossas instruções, vinculados contratualmente a deveres de segurança e confidencialidade.

10.2. Autoridades. Podemos compartilhar dados para cumprir ordem judicial, requisição de autoridade competente ou obrigação legal, no limite do estritamente necessário. Comunicaremos o Usuário, salvo vedação legal ou segredo de justiça.

10.3. Comunidade. O que Você publica na Comunidade é visível aos demais participantes, observado o prazo da seção 12.

10.4. Reorganização societária. Em caso de fusão, aquisição ou transferência de ativos, os dados podem ser transferidos, mantidas as condições desta Política e comunicado o titular.

10.5. Não vendemos, alugamos nem cedemos dados pessoais para fins publicitários ou comerciais.

11. Transferência internacional

11.1. A base de dados do Aplicativo fica no Brasil. Os cadastros, os dados do Assistido, o Diário, a Comunidade e os arquivos estão hospedados em servidores localizados no território nacional, na região de São Paulo.

11.2. Há transferência internacional de dados específicos. Quatro dos nossos operadores estão localizados nos Estados Unidos e recebem, rotineiramente, os seguintes dados:

11.3. Base legal e garantias. As transferências ocorrem com fundamento no art. 33, II, "a", da LGPD, mediante cláusulas contratuais padrão aprovadas pela Autoridade Nacional de Proteção de Dados (Resolução CD/ANPD nº 19/2024), que asseguram ao titular os mesmos direitos e o mesmo nível de proteção previstos na legislação brasileira.

11.4. Não transferimos, para fora do país, o cadastro clínico do Assistido nem o Diário de Eventos.

12. Por quanto tempo guardamos

12.1. Guardamos os dados pelo tempo necessário às finalidades declaradas, observados os prazos abaixo. Findo o prazo, os dados são eliminados ou anonimizados, salvo hipótese do art. 16 da LGPD.

12.2. Limite da eliminação na Comunidade. A eliminação em 7 dias alcança as cópias sob nosso controle. Não alcança as cópias eventualmente retidas nos aparelhos dos Usuários que a elas tiveram acesso, nem as cópias sob controle do operador responsável pela moderação, sujeitas à política de retenção deste.

12.3. Retenção após a exclusão da conta. Alguns dados são mantidos, após o pedido de exclusão, exclusivamente para: (a) cumprimento de obrigação legal ou regulatória; (b) exercício regular de direitos em processo judicial, administrativo ou arbitral; (c) prova do aceite dos documentos, na forma da seção 8.4; e (d) prova de que o próprio pedido de exclusão foi recebido e atendido. Mantemos o mínimo necessário e pelos prazos da tabela acima.

12.4. Suspensão dos prazos por determinação ou por conhecimento de ilicitude. Os prazos desta seção não se aplicam quando houver requisição de autoridade judicial, policial, administrativa ou do Ministério Público, ou quando tivermos conhecimento de conteúdo que possa configurar violação a direito de criança ou adolescente, ou ilícito penal. Nessas hipóteses, o conteúdo e os registros correspondentes são preservados pelo tempo necessário à apuração e ao cumprimento da determinação, na forma do art. 15, §2º, da Lei nº 12.965/2014 e do Estatuto Digital da Criança e do Adolescente.

13. Segurança

13.1. Adotamos medidas técnicas e administrativas para proteger os dados, entre elas: controle de acesso por perfil; segregação de acesso no banco de dados; criptografia dos dados em trânsito; criptografia, no banco de dados, dos seguintes campos do Assistido: nome, Cartão Nacional de Saúde, telefone, CEP, logradouro, bairro e cidade; registro de acessos; e rotina de cópia de segurança.

13.2. O CPF não é armazenado em texto legível. Do número é derivado um identificador criptográfico, com valor de sal, que permite verificar a correspondência com um número informado sem manter o número armazenado. Trabalhamos continuamente no reforço desse mecanismo. Isso se aplica tanto ao Usuário Responsável quanto ao Usuário Profissional.

13.3. Nenhum sistema é absolutamente seguro. Proteja suas credenciais e comunique-nos imediatamente qualquer atividade suspeita.

14. Incidentes de segurança

14.1. Ocorrendo incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos a Autoridade Nacional de Proteção de Dados e os titulares afetados em até 3 (três) dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, na forma da Resolução CD/ANPD nº 15/2024.

14.2. A comunicação ao titular indicará, em linguagem acessível: a descrição do incidente, os dados afetados, os riscos envolvidos, as medidas adotadas e os canais de contato.

14.3. Mantemos plano de resposta a incidentes, com responsável designado e fluxo de escalonamento.

15. Seus direitos

15.1. Você pode, a qualquer tempo, requerer: confirmação da existência de tratamento; acesso aos dados; correção; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade; informação sobre compartilhamento; informação sobre a possibilidade de não consentir e suas consequências; revogação do consentimento; e oposição a tratamento em desconformidade com a lei (arts. 18 e 20 da LGPD).

15.2. Prazo. Responderemos em até 15 (quinze) dias corridos, contados do recebimento do pedido.

15.3. Exclusão da conta. O pedido pode ser feito no Aplicativo. A eliminação ocorre em até 90 (noventa) dias, ressalvadas as hipóteses da seção 12.3, que serão informadas de forma específica na confirmação enviada a Você.

15.4. Decisões automatizadas. A moderação de conteúdo pode envolver tratamento automatizado. Você pode solicitar revisão dessas decisões pelo canal de atendimento.

15.5. Reclamação. Você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados.

16. Tecnologias empregadas

16.1. Identificadores de dispositivo — para autenticação, detecção de acesso não autorizado e gestão de sessões.

16.2. Armazenamento local — tokens de autenticação e preferências ficam no seu próprio aparelho, protegidos pelo sistema operacional.

16.3. Notificações — utilizamos token de notificação, que pode ser desativado nas configurações do seu aparelho.

16.4. Relatórios de falha. Utilizamos o serviço Sentry para identificar e corrigir falhas do próprio Aplicativo — travamentos, erros de execução e problemas de desempenho. São coletados o identificador do usuário e informações técnicas sobre a falha. Não utilizamos esse serviço para análise de comportamento, publicidade ou perfilamento.

17. Vigência, alterações e histórico

17.1. Esta Política pode ser atualizada. Alterações que ampliem o tratamento, criem nova finalidade ou restrinjam direitos do titular serão comunicadas por aviso no Aplicativo e por e-mail, com antecedência mínima de 30 (trinta) dias. Alterações corretivas, favoráveis ao titular ou determinadas por lei, decisão judicial ou ato de autoridade competente produzem efeito imediato, com comunicação na data da publicação.

17.2. Manteremos disponível o histórico de versões, com as respectivas datas.

17.3. Foro. Fica eleito o foro do domicílio do titular.

17.4. Dúvidas, solicitações e reclamações: dpo@vap-app.com.br.

17.5. Disposição transitória. Esta Versão 2.0 entra em vigor na data de sua publicação, com comunicação por aviso no Aplicativo e por e-mail nessa mesma data. A antecedência prevista na cláusula 17.1 aplica-se às alterações posteriores a esta versão. A eliminação das mensagens da Comunidade prevista na seção 12 passa a produzir efeitos 30 (trinta) dias após a publicação, prazo em que o Usuário pode preservar o conteúdo que deseje.

Versão 2.0 — 10 de agosto de 2026.