Política de Privacidade

Quem é responsável

A Ninia é oferecida por [razão social do controlador], inscrita no CNPJ sob o nº [CNPJ], com sede em [endereço do controlador]. Ela é a controladora dos dados pessoais tratados nesta política (LGPD, art. 5º, VI). O encarregado pelo tratamento de dados pessoais é [nome do encarregado], no e-mail privacidade@ninia.com.br.

Para que serve esta política

Ela explica o que a Ninia guarda, onde, o que sai do seu aparelho em cada plano e quais são os seus direitos. A Ninia guarda dado de saúde de criança, que a lei protege com o cuidado mais alto.

Onde os seus dados ficam

No seu aparelho, cifrados. A chave fica no cofre de segurança do sistema, e nós não temos acesso a ela. Toda cópia que sai do aparelho para uma nuvem sai cifrada com essa chave: não conseguimos ler o que você registra, nem se formos obrigados a tentar. No aparelho ficam:

• Perfis — nome, data de nascimento, sexo, ícone e cor, e, se você informar, a data prevista do parto e a altura da mãe e do pai
• Registros de saúde — medidas, sintomas, alergias, condições, cuidados, consultas, exames, pedidos de exame, vacinas e as conversas com o assistente
• Anexos — fotos e PDFs, cada um cifrado com chave própria. Uma foto guarda o que a câmera gravou nela, como a data e, se a câmera gravou, o local
• Preferências — tema, lembretes e as autorizações desta política

A chave e a troca de aparelho

Para o seu histórico voltar num aparelho novo, a chave que abre os seus dados é guardada também pelo sistema: nas Chaves do iCloud, no iPhone, e na sua conta Google, no Android. A Apple e o Google guardam essa cópia pelas regras deles, e ela não leva nenhum registro de saúde. No Android sem bloqueio de tela, o Google guarda a chave sem cifra de ponta a ponta, e o app avisa quando é o seu caso.

O que não coletamos

Nenhum dado seu é vendido ou cedido. Em nenhum plano há:

• Nome, e-mail, telefone ou documento de quem usa o app — a não ser o que você mesmo nos escrever
• Cadastro, senha ou login
• Registro de quais telas você abre, por quanto tempo ou o que você busca
• Relatório automático de erro
• Publicidade ou rastreamento entre aplicativos
• Localização, a não ser a que a câmera grava numa foto que você guarda

O que sai do aparelho em cada plano

A Ninia tem um plano gratuito e dois pagos. Os planos pagos, e o que eles incluem, só valem a partir do momento em que estiverem à venda na loja. O que sai depende do que você usa:

• Gratuito — nada sai sozinho. Só o que você mesmo manda: o backup que você exporta, o relatório que você gera para levar à consulta, o documento que você compartilha e o texto que você copia
• Compra única — além disso, o backup cifrado pode ir sozinho para o seu Google Drive ou OneDrive, e o que você enviar à inteligência artificial, se ligá-la
• Anual (para quem tem a compra única) — além disso, os seus registros vão cifrados para a nuvem da Ninia, para manter os seus aparelhos iguais e compartilhar perfis

O que você compartilha

Compartilhar um documento, um laudo, o relatório para a consulta ou um texto copiado é um gesto seu, e o arquivo sai como está, para quem você escolher. O relatório leva o nome completo da criança, porque é feito para o prontuário. Depois de sair, o arquivo é de quem recebeu, e nenhuma cifra da Ninia o acompanha.

Backup na sua nuvem (compra única)

Se você ligar, o app salva o backup cifrado, de tempos em tempos, numa pasta da sua conta no Google Drive ou no OneDrive. Google e Microsoft guardam o arquivo e não conseguem lê-lo: ele só abre com as suas doze palavras de recuperação. A ligação é entre o app e a sua conta — nós não recebemos o arquivo nem o acesso à sua conta. Desligar interrompe os envios; o que já está lá é seu, e apagá-lo é com você.

Nuvem da Ninia (plano anual)

Para manter os seus aparelhos iguais e compartilhar perfis, os seus registros e anexos vão cifrados para um servidor da Ninia, nos Estados Unidos. Ele guarda e repassa, mas não tem a chave: não conseguimos ler o conteúdo, nem em caso de vazamento, nem sob ordem judicial.

• O servidor sabe quantos arquivos cifrados a sua conta tem, de que tamanho e quando mudaram — não o que há neles
• Se o plano vencer, a sincronização para, e a cópia na nuvem é guardada por 90 dias para quem renovar. Depois, é apagada. O que está no seu aparelho continua lá
• Você pode apagar a cópia na nuvem quando quiser, pelo app

Compartilhar um perfil (plano anual)

Você pode convidar outro responsável para acompanhar o perfil de uma criança. A partir do convite, ele vê e registra tudo naquele perfil, no aparelho dele — inclusive as conversas com o assistente.

• O convite é o seu consentimento para esse compartilhamento
• O convite é um link que vale por 24 horas e serve uma vez, e os dois celulares mostram os mesmos números para vocês conferirem antes de qualquer dado sair do seu
• Qualquer um de vocês dois pode encerrar o compartilhamento quando quiser; dali em diante, nada mais passa entre vocês naquele perfil
• O que cada um já recebeu fica no aparelho de cada um: encerrar não apaga o passado, e nenhum dos dois consegue apagar a cópia do outro
• Nós não sabemos com quem você compartilha: o servidor sabe só que a sua conta tem um convite aceito e, se o seu plano vencer e o da outra pessoa estiver ativo, que a conta dela passou a pagar pelo espaço dos perfis compartilhados

Compras e créditos

Pagamentos são feitos pela loja de aplicativos, que processa o cartão; nós não recebemos dado de pagamento. Para contar créditos de inteligência artificial, o nosso servidor guarda um número derivado do seu aparelho — sem nome, sem e-mail e sem senha —, a data em que ele apareceu e cada crédito concedido ou usado, com o momento do uso. Para cada recurso de inteligência artificial que você usa, ele guarda também o que foi autorizado e quando: qual recurso, a versão desta política e o momento em que você o ligou — uma vez por autorização, e não a cada uso, e ligado ao mesmo número da conta. Quem usa o plano gratuito não tem créditos e não deixa nada no nosso servidor. Hoje o servidor não guarda comprovante de compra; quando guardar, esta política dirá por quanto tempo, antes de você comprar. Quando o app fala com o servidor, ele guarda também, ligados a esse número, o endereço de rede de onde veio a conexão, a porta e o horário de cada acesso, por 6 meses, porque a lei exige (Marco Civil da Internet, art. 15). Esse registro fica separado, ninguém da Ninia o consulta, e ele só é entregue por ordem judicial.

Por que tratamos cada dado

Cada finalidade tem a sua base legal na LGPD:

Registro de saúde da família

Consentimento específico e destacado de um dos pais ou do responsável (art. 11, I, e art. 14, § 1º)

Leitura automática de documento e assistente

Consentimento específico de cada um, pedido na hora de ligar (art. 11, I)

Envio para fora do Brasil

O mesmo consentimento, que informa o país (art. 33, VIII); e, para o número da conta e os créditos, a execução do contrato de compra (art. 33, IX)

Backup na sua nuvem, sincronização e compartilhamento

Execução do contrato do plano (art. 7º, V), sobre dado de saúde que você consentiu em registrar (art. 11, I)

Número da conta e saldo de créditos

Execução do contrato de compra (art. 7º, V)

Registro de acesso ao servidor

Cumprimento de obrigação legal (art. 7º, II), a do Marco Civil da Internet (art. 15)

Proteção do servidor contra ataques e abusos

Legítimo interesse, pela segurança (art. 7º, IX)

Lembrete de cuidado no aparelho

Execução do serviço que você pediu (art. 7º, V)

Resposta ao que você nos escrever

Cumprimento de obrigação legal (art. 7º, II)

Inteligência artificial (opcional)

A leitura automática de documento e o assistente começam desligados, e cada um pede a sua própria autorização. Eles usam créditos, que vêm da compra do app; o plano anual traz créditos todo mês. Ligado, o envio passa pela Cloudflare, que protege o servidor contra ataques e abusos, e pelo servidor da Ninia, que não o guarda; e segue para a provedora de inteligência artificial, a OpenAI.

• A OpenAI se obriga, por contrato, a não usar o que você envia para treinar modelos. Ela guarda o envio por até 30 dias, para detectar abuso, e depois o apaga
• A OpenAI pode guardar um envio por mais tempo quando a lei obriga, ou quando os sistemas de segurança dela o marcam como possível abuso
• A inteligência artificial pode errar: nada que ela lê é salvo antes de você conferir, e o assistente não substitui o pediatra

Leitura automática de documento

Ligada, a imagem do laudo, do pedido ou da caderneta que você anexa é lida, e os dados voltam para você conferir antes de salvar.

• Sai: a imagem como ela é, inclusive nome, CPF e outros dados que estiverem nela, e a idade em meses e o sexo da criança, para a faixa de referência certa
• Não sai: o histórico da família, outros documentos, a data de nascimento, o nome do arquivo e o local que a câmera gravou na foto
• Registrar à mão está sempre disponível

Assistente

Ligado, cada pergunta vai junto com o trecho do histórico de que ela precisa.

• Sai: a pergunta como você escreveu, a conversa até ali e um recorte com idade em meses, sexo, valores e datas, e os títulos e as anotações como foram escritos
• Não sai: a data de nascimento, os anexos e o histórico inteiro. O nome do perfil é retirado do que sai; um nome escrito de outro jeito numa anotação, ou na sua pergunta, vai como foi escrito
• A conversa fica no seu aparelho, junto com o resto do seu histórico: ela entra no backup que você exporta e, no plano anual, vai para quem compartilha o perfil
• Apagar uma conversa a tira do app; o que já foi escrito continua nos backups que você exportou

Quem mais participa

Estas empresas tratam dados para a Ninia, só para o que está descrito aqui, e nenhuma os recebe para publicidade:

Cloudflare

Protege o servidor e publica o site ninia.com.br. Vê o endereço de rede e, em trânsito, o que vai para a inteligência artificial

Railway

Hospeda o servidor e o banco da Ninia, nos Estados Unidos

Google

Recebe e guarda, no Gmail, os e-mails que você manda aos endereços da Ninia; a Cloudflare os encaminha até lá

OpenAI

A provedora de inteligência artificial, nos Estados Unidos, só se você ligar um dos recursos

Lojas e sistemas

A Apple e o Google tratam, pelas políticas deles e não pelas nossas, os dados da sua conta na loja, da compra e da cópia da chave, e, se você permitiu no aparelho, relatórios de falha e de uso do sistema.

Envio para fora do Brasil

O servidor da Ninia fica nos Estados Unidos, e o que chega até ele passa antes pela Cloudflare, que opera em vários países. Pelo servidor passam a inteligência artificial — seguindo para a OpenAI, também nos Estados Unidos —, o número da conta com o saldo de créditos e, no plano anual, a cópia cifrada dos seus registros. O envio de dado de saúde para a inteligência artificial se apoia no seu consentimento específico, pedido com esta informação (LGPD, art. 33, VIII); o número da conta e os créditos vão porque são necessários para cumprir a compra que você fez (art. 33, IX).

Segurança

O banco de dados e cada anexo são cifrados no aparelho. O app pede desbloqueio para abrir, esconde o conteúdo na troca de aplicativos e, no Android, bloqueia captura de tela. O backup e a nuvem saem cifrados.

• O lembrete de cuidado aparece na tela de bloqueio com o nome do perfil, e nunca com o nome do cuidado
• Quem desbloqueia o seu aparelho abre a Ninia: proteja o desbloqueio

Backup que você exporta

Em qualquer plano, você pode exportar um arquivo cifrado com o histórico e os anexos e guardá-lo onde quiser. Ele só abre com as suas doze palavras de recuperação, e não recebemos cópia. As autorizações desta política não vão no backup: um aparelho novo pergunta de novo.

Por quanto tempo

Cada lugar tem o seu prazo:

• No seu aparelho — enquanto você quiser. Quem decide é você
• No nosso servidor — o número da conta e os créditos ficam até você apagar todos os dados, em Conta › Zona de perigo
• O que foi autorizado e quando, para cada recurso de inteligência artificial usado — cinco anos contados de cada autorização, mesmo depois de você apagar a conta no servidor, porque é o que mostra que o envio tinha a sua autorização (LGPD, art. 16, I e II)
• O registro de acesso ao servidor — 6 meses, porque a lei exige, e depois se apaga sozinho, mesmo que você tenha apagado a conta antes
• Na provedora de inteligência artificial — até 30 dias, para detectar abuso, salvo o que a lei obrigar ou o que for marcado como possível abuso
• Na nuvem da Ninia — enquanto o plano anual estiver ativo e por mais 90 dias
• O que você nos escrever — até cinco anos depois de o assunto terminar
• Um backup exportado ou salvo na sua nuvem — é seu, e continua onde está

Seus direitos

A LGPD garante direitos sobre os seus dados (art. 18), e aqui você os exerce direto no app, sem pedir a ninguém:

• Confirmar e acessar — tudo está nas telas, e o backup é uma cópia completa
• Corrigir — todo registro pode ser editado
• Excluir — todo registro pode ser apagado e some do app, da busca e do relatório. O histórico do aparelho é gravado em sequência, e o que foi apagado continua nele, cifrado, até você apagar os dados da Ninia no aparelho — e vai junto nos backups que você exportar até lá. Um anexo apagado some de verdade
• Excluir tudo — em Conta › Zona de perigo › Apagar todos os dados. Some tudo o que está no aparelho e, no nosso servidor, o número da conta e o saldo de créditos. É definitivo. O que foi autorizado para a inteligência artificial, e quando, fica por cinco anos, como diz "Por quanto tempo", e o registro de acesso fica até completar os 6 meses que a lei exige. Os backups que você exportou continuam abrindo com as suas 12 palavras
• Revogar — as autorizações de inteligência artificial se desligam em Conta › Meus consentimentos; revogar o tratamento de dado de saúde é apagar todos os dados, em Conta › Zona de perigo
• Portar — o backup leva o seu histórico num arquivo seu

Crianças e adolescentes

Dado de criança só entra na Ninia porque um responsável legal o registrou, no melhor interesse dela (LGPD, art. 14, e Estatuto da Criança e do Adolescente). Quem cria o perfil declara ser responsável pela criança; sem cadastro, não temos como conferir. O dado nunca é usado para publicidade, perfil comercial ou qualquer fim além de organizar a saúde dela para a família.

Incidente de segurança

Se um incidente puder trazer risco ou dano relevante a você, comunicamos à ANPD e publicamos um aviso em ninia.com.br e na nota da versão do app, no prazo da regulamentação da ANPD. Como não sabemos quem você é, não conseguimos avisar você diretamente.

Contato e ANPD

Como não há cadastro, não sabemos quem você é: do nosso lado só existe um número derivado do seu aparelho, sem nome nem e-mail, e só se você usar a inteligência artificial. Dúvidas e pedidos sobre esta política vão para o encarregado, em privacidade@ninia.com.br, sem custo, e respondemos em até 15 dias. Se não ficar satisfeito, você pode peticionar à ANPD em gov.br/anpd (LGPD, art. 18, § 1º).

Mudanças nesta política

Mudanças relevantes pedem o seu aceite antes de você continuar usando o app; ajustes de redação, não. A versão e a data no topo são sempre as vigentes, e as versões anteriores ficam publicadas em ninia.com.br/privacidade.