Política de Privacidade

O Instituto Nova Medida é uma plataforma brasileira de telessaúde que oferece avaliação médica online, prescrição individualizada quando indicada e acompanhamento contínuo para pessoas com sobrepeso ou obesidade.

Para fins da Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018), o controlador dos seus dados é o Instituto Nova Medida Saúde Ltda., inscrito no CNPJ [a preencher], com sede em [endereço a preencher].

As médicas e os médicos parceiros que realizam suas consultas são controladores independentes dos dados clínicos gerados durante o atendimento (prontuário, prescrição, conduta), nos termos do sigilo médico estabelecido pelo Código de Ética Médica.

Coletamos apenas o necessário para oferecer o serviço com segurança e qualidade. Categorizamos assim:

2.1. Dados que você nos fornece diretamente

• Identificação: nome completo, telefone celular, e-mail, CPF, data de nascimento, sexo biológico, endereço de entrega.
• Dados de saúde (sensíveis): peso, altura, medidas, histórico de comorbidades (diabetes, hipertensão, etc), histórico de tentativas anteriores de emagrecimento, exames laboratoriais, uso atual e prévio de medicamentos, alergias, gestação ou amamentação, hábitos alimentares e de sono.
• Dados clínicos gerados na consulta: anamnese, hipóteses diagnósticas, prescrições, pedidos de exame, evolução do tratamento.
• Dados de pagamento: tokenizados pelo provedor (Asaas). Nunca armazenamos número de cartão.

2.2. Dados que coletamos automaticamente

• Dados de navegação: endereço IP, tipo de dispositivo, navegador, sistema operacional, páginas visitadas, tempo de permanência, origem do acesso (UTM e referrer).
• Cookies e identificadores: ver seção 9.
• Dados de comunicação: data, hora e status das mensagens trocadas pelo WhatsApp para fins de continuidade do atendimento. Não lemos rotineiramente o conteúdo das suas conversas com sua médica — apenas o necessário para qualidade e auditoria, como exige o CFM.

2.3. Dados que recebemos de terceiros

• Plataforma de pagamento (Asaas): status de cobranças, eventuais inadimplências.
• Plataforma de prescrição (Memed): confirmação de emissão e dispensação da receita.
• Farmácia parceira: status do envio do medicamento manipulado.

• Prestar o serviço: agendar e realizar a consulta, emitir prescrição quando indicada, intermediar a entrega do medicamento, oferecer acompanhamento contínuo.
• Acompanhamento clínico: registrar a evolução do tratamento, ajustar conduta, contatar você por WhatsApp para checagens periódicas.
• Cumprir obrigações legais: guarda de prontuário (Resolução CFM nº 1.821/2007), emissão de notas fiscais, prevenção a fraudes.
• Segurança e auditoria: investigar incidentes, evitar uso indevido da plataforma.
• Comunicação: avisar sobre status de consulta, cobranças, alterações importantes no serviço, lembrar de exames e reconsultas.
• Marketing (apenas com seu consentimento): envio de conteúdos educativos sobre emagrecimento e novidades da plataforma. Você pode descadastrar a qualquer momento.
• Melhoria do produto: análises agregadas e anonimizadas para entender como nosso serviço pode ficar melhor.

A LGPD exige que toda coleta de dados pessoais tenha uma base legal que a autorize. As nossas são:

• Execução de contrato (art. 7º, V) — para realizar a consulta, prescrever, intermediar entrega do medicamento e cobrar pelos serviços contratados.
• Consentimento (art. 7º, I e art. 11, I) — para tratamento de dados sensíveis de saúde, comunicações de marketing e cookies não essenciais.
• Tutela da saúde (art. 11, II, "f") — para o exercício da medicina pela profissional de saúde responsável pelo seu atendimento.
• Cumprimento de obrigação legal (art. 7º, II) — para guarda de prontuário, contabilidade e atendimento a requisições de autoridades.
• Legítimo interesse (art. 7º, IX) — para segurança da plataforma, prevenção a fraudes e melhorias agregadas, sempre com proporcionalidade e respeito aos seus direitos.

Compartilhamos apenas o necessário, e apenas com quem precisa para que o serviço funcione:

• Médicas e médicos parceiros — recebem seu histórico clínico para realizar a consulta. Estão sujeitos a sigilo médico.
• Farmácias de manipulação parceiras — recebem nome, endereço, telefone e a prescrição médica para preparar e enviar o medicamento.
• Asaas (processamento de pagamentos) — recebe dados estritamente financeiros para emissão de cobranças.
• Memed (prescrição digital) — recebe dados necessários para emissão da receita com assinatura ICP-Brasil.
• Provedor de videoconsulta — recebe seus dados de identificação para criar a sala segura. As gravações, se existirem, ficam sob nosso controle.
• Provedores de infraestrutura (Supabase para banco de dados, Vercel para hospedagem, Meta para WhatsApp Business API) — processam dados sob contrato de operador (art. 5º, VII da LGPD), com cláusulas de confidencialidade.
• Autoridades públicas — quando legalmente obrigados (decisão judicial, ofício de autoridade competente, requisição válida).

Todos os parceiros são previamente avaliados quanto à conformidade com a LGPD e estão vinculados por contrato a padrões mínimos de segurança.

Seus dados são armazenados em servidores localizados no Brasil (região São Paulo) sempre que possível. Provedores específicos podem manter cópias em outras jurisdições com garantias adequadas — ver seção 11.

Prazos de retenção

• Prontuário médico: mínimo de 20 anos a partir do último registro (Resolução CFM nº 1.821/2007). Após esse prazo, pode ser anonimizado para fins estatísticos.
• Dados financeiros e fiscais: 5 anos após o término do contrato (art. 174 do CTN; art. 11 da Lei nº 8.218/1991).
• Dados de navegação e logs de acesso: 6 meses (art. 15 do Marco Civil da Internet).
• Comunicações de WhatsApp: 5 anos para fins de auditoria do atendimento.
• Dados de marketing: até você descadastrar.

Adotamos medidas técnicas e administrativas compatíveis com o porte do tratamento e a sensibilidade dos dados envolvidos:

• Criptografia em trânsito (HTTPS/TLS) em 100% das páginas e APIs.
• Criptografia em repouso no banco de dados.
• Controle de acesso baseado em função — cada colaborador acessa apenas o estritamente necessário (Row-Level Security no banco).
• Logs de auditoria de todos os acessos a dados sensíveis.
• Autenticação forte para profissionais e colaboradores.
• Backups diários com retenção de 30 dias e teste periódico de restauração.
• Plano de resposta a incidentes — comunicaremos a ANPD e você, sem demora indevida, em caso de incidente que possa acarretar risco ou dano relevante (art. 48 da LGPD).

A LGPD garante a você uma série de direitos sobre seus próprios dados. Você pode, a qualquer momento:

• Confirmar a existência de tratamento dos seus dados.
• Acessar os dados que mantemos sobre você.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Anonimizar, bloquear ou eliminar dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
• Solicitar a portabilidade dos seus dados a outro fornecedor.
• Eliminar dados tratados com base no seu consentimento — ressalvadas as hipóteses de retenção obrigatória (item 6).
• Saber com quem compartilhamos seus dados.
• Revogar o consentimento a qualquer momento.
• Opor-se a tratamento realizado com base em legítimo interesse.
• Peticionar diretamente à ANPD (Autoridade Nacional de Proteção de Dados) caso entenda que seus direitos foram violados.

Para exercer qualquer um desses direitos, escreva para nosso Encarregado de Dados (item 13). Respondemos em até 15 dias.

Usamos cookies para fazer o site funcionar, lembrar suas preferências e medir o que precisa melhorar. São três categorias:

• Essenciais: necessários para o site funcionar (sessão, segurança). Não exigem consentimento.
• Funcionais: lembram preferências (idioma, último passo do quiz).
• Analíticos: nos ajudam a entender como o site é usado, de forma agregada.

Você pode desabilitar cookies não essenciais nas configurações do seu navegador. Isso pode degradar a experiência mas não impede o uso do serviço.

O Instituto Nova Medida não atende menores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes. Se você é responsável legal e identificou um cadastro indevido, escreva ao DPO (item 13) para exclusão imediata.

Alguns provedores que utilizamos possuem operações em outros países (por exemplo, Vercel/EUA para edge cache estático e Meta para WhatsApp Business API). Sempre que isso ocorre, garantimos que a transferência atende a uma das hipóteses do art. 33 da LGPD, tipicamente por meio de cláusulas contratuais específicas e provedores com programas de governança maduros.

Dados clínicos sensíveis (prontuário, prescrições, videoconsulta) permanecem em servidores no Brasil sempre que possível.

Esta política pode ser atualizada para refletir mudanças no serviço, na legislação ou nas nossas práticas de privacidade. Sempre que ocorrerem mudanças relevantes, avisaremos por e-mail e WhatsApp antes que entrem em vigor. A data da última atualização aparece no topo desta página.

Para qualquer dúvida, solicitação ou exercício de direitos:

• E-mail do Encarregado: dpo@institutonovamedida.com.br
• E-mail geral: contato@institutonovamedida.com.br
• Endereço postal: [a preencher].