Política de privacidade

O site e o aplicativo são servidos pela Cloudflare. A autenticação e o banco de dados da conta usam o Supabase, com controles de acesso por linha (RLS). Os exames são decodificados e renderizados no navegador do usuário; nenhum pixel de imagem é enviado aos nossos servidores. Ao acionar a IA, o texto do pedido trafega cifrado (TLS) diretamente ao provedor configurado — pela chave do próprio usuário ou pelo proxy do site, que não registra o conteúdo das mensagens.

Nos termos do art. 18 da LGPD, o titular pode solicitar: confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamentos e revisão de decisões automatizadas, além de revogar consentimentos. Canal: iris@irisdicom.app — respondemos em prazo razoável e sem custo.

Em relação aos dados de cadastro, uso e faturamento dos usuários, atuamos como controladora. Em relação a eventuais dados de pacientes contidos nos exames abertos pelo médico, o tratamento ocorre localmente no dispositivo do usuário — esses dados não são coletados, acessados nem armazenados por nós; o médico e/ou a instituição permanecem controladores desses dados, e recomendamos o uso de exames anonimizados sempre que possível.

Os pagamentos são processados pelo Stripe. Não armazenamos números completos de cartão. Para ativar planos e créditos, recebemos do processador a confirmação do pagamento com o e-mail do pagador e o item adquirido. Notas e obrigações fiscais seguem a legislação brasileira.

Dados de conta: nome, e-mail, CPF, CRM, telefone, endereço (opcional), senha (armazenada com hash) ou identidade do login Google.

Dados de uso e faturamento: plano, créditos consumidos, cupom de indicação, notificações, registros técnicos mínimos (datas de acesso) e histórico de pagamentos (via processador).

Conteúdo enviado à IA: o texto que o usuário submete voluntariamente aos recursos de IA (instruções, trechos de laudo, perguntas ao tutor) é transmitido ao provedor de IA apenas para gerar a resposta daquele pedido.

O que NÃO tratamos: imagens DICOM, laudos salvos e preferências ficam no dispositivo do usuário (ou viajam cifrados de ponta a ponta na sincronização opcional, ilegíveis para nós). Não vendemos dados pessoais nem exibimos publicidade de terceiros.

TLS em todo o tráfego; senhas com hash; controle de acesso por linha (RLS) no banco; segredos de servidor mantidos fora do código; chaves de IA do usuário armazenadas somente no dispositivo; sincronização opcional cifrada de ponta a ponta (AES-GCM) — o servidor não consegue ler o conteúdo; princípio do menor privilégio no acesso administrativo.

Aplica-se a todos os usuários da plataforma (site, PWA instalado e recursos associados) e a todos os dados pessoais tratados em razão do uso, do cadastro, do suporte e do faturamento.

Alguns suboperadores mantêm infraestrutura fora do Brasil. Nesses casos, a transferência ampara-se nos arts. 33 e seguintes da LGPD, com salvaguardas contratuais adequadas dos provedores.

Tratamos dados para: prestar o serviço contratado e manter a conta (execução de contrato, art. 7º, V); faturar e prevenir fraude (execução de contrato e legítimo interesse, art. 7º, IX); cumprir obrigações legais, fiscais e regulatórias (art. 7º, II); comunicar novidades e avisos da plataforma (legítimo interesse, com opção de opt-out); e melhorar a plataforma com métricas agregadas e anonimizadas.

Incidentes de segurança com risco relevante aos titulares serão comunicados aos afetados e, quando cabível, à ANPD, sem demora indevida — quando possível em até 72 horas após o conhecimento — com a descrição do ocorrido, dos dados envolvidos e das medidas adotadas.

Dados de conta são mantidos enquanto a conta existir. Registros de faturamento são conservados pelos prazos legais/fiscais aplicáveis. Após a exclusão da conta, dados pessoais são apagados ou anonimizados em prazo razoável, ressalvadas as retenções obrigatórias. Conteúdo local (laudos, preferências, exames) pode ser removido pelo próprio usuário a qualquer momento, pois reside no dispositivo dele.

Esta Política pode ser atualizada para refletir mudanças legais ou da plataforma. A versão vigente fica sempre em https://irisdicom.app/privacidade, com a data de atualização no topo; mudanças relevantes serão comunicadas pelos canais da plataforma.

Compartilhamos dados apenas com os operadores necessários ao serviço:

• Supabase (autenticação e banco da conta) · Cloudflare (hospedagem e proxy) · Stripe (pagamentos — os dados completos de cartão são tratados exclusivamente por ele) · Google (login opcional com a conta Google) · provedores de infraestrutura de inteligência artificial contratados como operadores (processam o texto dos pedidos de laudo ao usar a IA do site — a relação pode ser detalhada mediante solicitação ao nosso contato). Cada provedor trata os dados conforme os próprios termos e contratos de proteção de dados. Não há venda ou cessão de dados a terceiros para fins comerciais.

Controladora: Daniel Andres Ortiz Cabrera LTDA · CNPJ 40.840.388/0001-53. Encarregado pelo tratamento de dados (DPO): contato pelo e-mail iris@irisdicom.app.