Privacidade de dados de saúde do consumidor

Quais dados de saúde guardamos

• Tipo sanguíneo.
• Alergias, medicamentos e condições médicas — texto livre que você escreve.
• Implantes e dispositivos, como marca-passo ou material metálico.
• Se você toma anticoagulantes.
• Se é doador de órgãos.
• Seu peso, se você informar.
• Notas livres que você decidir acrescentar.
• Dados de plano de saúde que você decidir acrescentar: operadora, número de associado, um telefone da operadora e a data de vencimento da sua cobertura.

De onde vêm

De você, digitados no seu próprio painel, e de nenhum outro lugar, com uma exceção: dados de saúde que alguém decida escrever numa mensagem pelo nosso formulário de contato, que o aviso de privacidade descreve. Não compramos, não recebemos de um data broker, não inferimos e não importamos de clínica, plano de saúde, farmácia ou dispositivo. Não existe outra fonte.

Por que guardamos

Para mostrar a quem escanear sua tag depois de um acidente — esse é o propósito inteiro deste serviço e não há um segundo. Não usamos para publicidade, para perfilamento, para pesquisa, para treinar nenhum modelo, nem para nada que possa ser chamado de melhoria de produto. Não é analisado. Ninguém na KINTAG lê isso na operação normal do serviço.

O que é compartilhado, e com quem

Nunca vendemos seus dados de saúde. A lei de Washington exige a sua autorização assinada para vender dados de saúde do consumidor; não pedimos uma porque não vendemos, e não vamos vender.

Eles são COMPARTILHADOS de um jeito só, e quem controla é você: os campos que você ativar nas configurações de Privacidade aparecem na página pública da sua tag para quem escanear seu QR. Essa página é um endereço público na web. Todo campo começa desativado. Ativar um é você publicando, de propósito, porque um estranho com um telefone depois de um acidente precisa daquilo.

Até 12 de setembro de 2026 alguns campos não podiam aparecer para quem escaneia, não importa o que você ativasse: seu peso, sua data de nascimento, seus números completos de associado ou de apólice. Agora podem, e só se você mesmo ativar cada um. Começam desativados, cada um leva uma marca na página de Privacidade, e uma linha lá diz que os campos marcados identificam você mais do que ajudam no seu atendimento. Seu peso é o que tem motivo clínico para estar lá: as doses são calculadas por ele.

Fora isso, a única coisa que toca neles é a nossa própria infraestrutura: a Vercel, a hospedagem que roda a aplicação, que os descriptografa na memória para servir cada página, e o Supabase, o provedor que roda o banco de dados, e mais ninguém. No banco de dados eles ficam criptografados — veja abaixo. Nosso provedor de e-mail nunca os recebe a partir da sua conta; a única forma de dados de saúde chegarem a ele, e ao provedor da caixa por trás dele, é você escrevê-los numa mensagem pelo nosso formulário de contato, que o aviso de privacidade descreve. O provedor da verificação anti-robô nunca os recebe, e nunca roda na página que um socorrista abre. Não compartilhamos com nenhuma afiliada, nenhum anunciante, nenhum serviço de analytics, nenhum plano de saúde e nenhum órgão público, exceto quando a lei nos obrigar e pudermos avisar você.

Como protegemos

Cada campo de saúde desta lista é criptografado dentro do próprio banco de dados com AES-256-GCM, preso ao seu registro para não poder ser movido para o de outra pessoa, com uma chave que não fica guardada junto dos dados. Contra o que protege, com precisão: quem obtiver só o banco de dados — um backup ou snapshot roubado, ou acesso amplo demais no provedor. Contra o que não protege: o nosso próprio servidor, que precisa conseguir descriptografar, porque sua tag precisa abrir para um estranho com um telefone e nenhuma chave. Preferimos dizer isso com todas as letras a sugerir uma proteção que não temos.

Onde ficam guardados

Nos Estados Unidos. A Vercel roda a aplicação lá, na região de Washington, D.C., e o Supabase hospeda o banco de dados lá, em Ohio. Então seus dados de saúde são guardados e tratados nos Estados Unidos, que podem ser um país diferente daquele em que você mora, com leis de proteção de dados diferentes.

Lá, o que os protege é o que está descrito acima: no banco de dados eles são texto cifrado, com uma chave que não fica guardada junto com os dados, e o nosso próprio servidor ainda os descriptografa para mostrar sua tag.

Aceitar esta política no cadastro é o seu consentimento a isso: a que seus dados de saúde sejam guardados e tratados nos Estados Unidos como descrito aqui. Excluir sua conta retira esse consentimento e apaga os dados.

Seus direitos sobre eles

Tudo isso é autoatendimento, e é de propósito: um direito que você precisa pedir é um direito que depende de a gente responder. Se quiser exercer algum de outro jeito, ou achar que erramos em algo, escreva pelo formulário de contato. Respondemos em até 10 dias úteis, e se recusarmos um pedido você pode pedir que a gente reconsidere respondendo àquela resposta. O aviso de privacidade explica como conferimos que uma conta é sua antes de agir sobre um pedido que não veio de dentro dela.

• Retirar o consentimento: desative qualquer campo nas configurações de Privacidade, ou apague o conteúdo dele no painel. Os dois valem na hora.
• Apagar: exclua sua conta e com ela todos os campos de saúde, pelas configurações da Conta, com um clique. É uma exclusão de verdade, não uma marca escondida — o aviso de privacidade explica o que isso significa para os backups.
• Acessar: baixe tudo o que guardamos, dados de saúde inclusive, como arquivo JSON na mesma tela.
• Corrigir: edite qualquer campo no painel, quando quiser.

Por quanto tempo guardamos

Guardamos enquanto sua conta existir e nem um dia a mais. Não há prazo separado para dados de saúde nem arquivo histórico: apagar sua conta apaga todos os campos da lista acima, no banco de dados, no momento em que você aperta o botão.

A única coisa que sobrevive a isso é um backup, como para tudo o mais que guardamos. Uma conta apagada permanece nos nossos por no máximo 30 dias e depois some. Backups nunca são usados para trazer uma conta de volta; se algum dia restaurarmos um backup após uma falha, as exclusões são reaplicadas antes. E o que um backup guarda dos seus dados de saúde é o mesmo texto cifrado que o banco guarda — a chave que o abre fica onde os backups não estão.

Consentimento

No cadastro você marca uma caixa, separada da de aceitar os termos, concordando que a KINTAG guarde os dados de saúde que você digitar. Essa caixa é o consentimento de que trata esta política; os termos e o aviso de privacidade são aceitos por outra caixa, e nenhuma vem junto com a outra. Sua conta registra qual versão desta política você aceitou.

O que nunca fazemos

• Nunca vendemos dados de saúde, para ninguém, por preço nenhum.
• Nunca usamos para publicidade nem compartilhamos com anunciantes.
• Não usamos cercas geográficas (geofencing) em volta de hospitais, clínicas, farmácias ou qualquer outra instalação de saúde, para nenhuma finalidade.
• Não montamos perfis, não inferimos condições que você não digitou e não enriquecemos o que você deu com nenhuma fonte externa.

Mudanças

Se mudarmos esta política de forma relevante, publicaremos uma nova versão aqui, e uma nota no topo do seu painel vai avisar até você fechá-la. Essa nota informa; não pede que você aceite de novo. Sua conta registra a versão que você aceitou e, à parte, a versão que foi mostrada a você por último.

Contato

Dúvidas ou pedidos sobre dados de saúde: fale com a gente.