Aviso de Privacidade

Responsável pelo serviço: CM PRO ACADEMY LTDA, CNPJ 62.389.409/0001-07, responsável pela plataforma Evolufoto.

1. Quem cuida de cada informação

CM PRO ACADEMY LTDA administra os dados necessários à sua conta, à segurança, ao atendimento e à cobrança do Evolufoto, atuando como controladora dessas operações. A empresa ou pessoa responsável pelo acompanhamento decide a finalidade dos registros de seus clientes ou pacientes e atua como controladora desse tratamento, quando sujeito à LGPD. Ao armazenar e organizar o acervo seguindo suas instruções, o Evolufoto atua como operador.

Essas responsabilidades dependem de cada operação. A pessoa responsável pela conta deve assegurar base legal adequada para os registros e orientar o uso dos dados das pessoas acompanhadas. A plataforma não assume decisões profissionais ou clínicas nem autoriza a publicação de imagens em nome das pessoas fotografadas.

O Evolufoto cuida de suas próprias medidas de segurança, do atendimento de direitos, da retenção aplicável, da transparência e da avaliação dos fornecedores que utiliza. O responsável pelo acompanhamento mantém as decisões sobre finalidade, base legal e guarda profissional do acervo.

2. Quais dados são tratados e para quê

• Conta e acesso: nome, e-mail, senha protegida por hash, confirmação de e-mail, sessões e registros da versão dos documentos apresentada no cadastro.
• Acervo: identificação da pessoa acompanhada, e-mail e anotações quando incluídos, fotografias, datas, etapas, procedimentos, ângulos, legendas, configurações de comparações e marcações manuais, incluindo pontos, referência de escala, textos, numeração dentária, proporções labiais, medidas derivadas e valores corporais informados pelo usuário com instrumento e unidade.
• Cobrança: dados do pagador, documento fiscal, telefone e endereço necessários ao checkout, identificadores e situação da assinatura, dos adicionais, das recargas e dos pagamentos, além de concessões, reservas, consumo e vencimento dos créditos de IA para controlar saldo e conciliar cobranças. Dados de cartão são informados no Asaas.
• Operação e atendimento: registros de ações, IP e data/hora de acessos autenticados, protocolos de privacidade, sugestões, reclamações, elogios e histórico de mensagens e respostas de atendimento. O canal de feedback não recebe anexos; evite incluir dados clínicos ou documentos de terceiros no texto.
• Atribuição opcional de campanhas: quando você permite essa finalidade separadamente, identificadores de campanha, grupo e termo previamente cadastrados, data do consentimento e vínculo ao cadastro e à primeira contratação. Esses dados permitem medir internamente o gasto por novo cliente, incluindo reembolsos confirmados. A medição não utiliza fotografias, registros de clientes/pacientes, informações clínicas, URL completa, identificadores de clique publicitário ou termos de pesquisa livres.

Essas informações permitem autenticar o acesso, organizar e disponibilizar o acervo, gerar as comparações solicitadas, controlar planos e limites, enviar mensagens de acesso, processar cobranças e atender solicitações. Inclua somente os dados necessários à sua finalidade.

Fotografias vinculadas a um atendimento, anotações clínicas e medidas associadas podem revelar dados pessoais sensíveis de saúde. Uma fotografia não é automaticamente um dado biométrico em toda utilização. Esta versão não realiza identificação biométrica, reconhecimento de identidade ou diagnóstico por inteligência artificial. Os cálculos das medições manuais ocorrem no navegador, sem enviar a imagem a um serviço de inteligência artificial; salvar uma comparação continua sendo tratamento do acervo na plataforma.

Os registros dos roteiros de medição podem incluir a região escolhida, pontos, referência numérica e unidade, nota e observações informadas pelo usuário. Esses dados acompanham as marcações da fotografia no acervo, respeitando as mesmas permissões e regras de exportação e eliminação. Não são usados para treinar modelos ou segmentar publicidade.

No laboratório exclusivo da administração, fotos e marcações permanecem apenas na memória do navegador e são descartadas ao encerrar a sessão de teste, inclusive por saída da área, recarga ou expiração. Não entram no acervo persistente nem em seus backups. As verificações autenticadas de acesso podem gerar registros técnicos normais de segurança. O descarte não apaga arquivos baixados voluntariamente, cópias feitas pela câmera nativa ou registros independentes do dispositivo; prefira imagens fictícias ou próprias autorizadas para testes.

Ao salvar marcações em uma fotografia ou comparação, seus textos, números, medidas e referência de escala também ficam nos metadados do acervo e podem integrar a exportação da conta. A opção de exibir medidas no JPG controla o desenho sobre a imagem; desmarcá-la não elimina esses metadados. Comparações copiam as marcações existentes e preservam sua própria versão. Excluir uma foto de origem não apaga automaticamente uma montagem anteriormente salva: confira também as cópias e comparações ao atender um pedido de eliminação.

3. Fundamentos e uso de imagens

As operações necessárias à conta e à assinatura se relacionam à execução do contrato. Outras operações podem decorrer de obrigações legais, exercício regular de direitos ou interesses legítimos na segurança do serviço, quando essa hipótese for adequada e respeitar os direitos dos titulares.

O tratamento de dados sensíveis, inclusive de saúde, exige uma hipótese própria prevista no artigo 11 da LGPD, a ser definida pelo responsável pelo acompanhamento conforme o caso. Interesse legítimo ou aceite destes termos não substituem essa avaliação. Quando a base utilizada for consentimento, ele deve atender aos requisitos legais da finalidade em questão.

A permissão para registrar ou armazenar o acompanhamento não implica autorização para publicidade, redes sociais ou outras divulgações. O responsável pelo uso deve avaliar separadamente essa finalidade e as normas profissionais aplicáveis.

A atribuição de campanhas depende de uma escolha opcional e específica, separada do aceite dos Termos de Uso. Recusar não impede o cadastro, não altera o preço e não reduz os recursos da assinatura. Essa escolha não autoriza mensagens promocionais ou envio de fotografias à IA. Você pode revogar a preferência de navegação em “Preferências de medição” e remover a atribuição da conta em “Conta e assinatura”. Nesse menu, “medição” se refere às campanhas; não às medidas e marcações feitas nas fotografias. A recusa não é tratada como origem orgânica nem como prova de ausência de influência de anúncios.

3.1. E-mails opcionais após o teste

Com autorização opcional e separada, utilizamos o e-mail verificado da conta, o estado do teste e os registros da escolha para enviar até quatro mensagens de retomada, em D+1, D+3, D+5 e D+7 após o fim do teste cancelado sem cobrança. A sequência é interrompida quando há contratação, reativação, pedido de eliminação/encerramento ou descadastro. Não usamos fotos, dados de pacientes nem informações clínicas nessas mensagens. Recusar não altera o preço, o teste ou os recursos; avisos necessários sobre conta e cobrança permanecem separados.

A escolha de receber esses e-mails registra a versão e a data do consentimento. Você pode revogar na conta ou pelo link de cada mensagem, sem cancelar o contrato. A autorização de medição de campanhas não autoriza e-mails promocionais, e contas antigas não recebem aceite retroativo. Mantemos identificadores, horários e estados mínimos de envio, sem pixel de abertura e sem guardar o corpo enviado. A aceitação pelo servidor de e-mail não comprova entrega ou leitura.

4. Fornecedores e locais de tratamento

Somente ao solicitar explicitamente a simulação odontológica por IA, a fotografia selecionada, o objetivo e as instruções digitadas são enviados à API da OpenAI. A análise compara essa fotografia e a imagem gerada para produzir observações. Não enviamos automaticamente nome, CPF, telefone ou ficha do paciente. Evite inserir identificadores no texto. O responsável pela conta deve verificar a autorização e a base legal para esse processamento específico; o aceite técnico do botão não substitui essa avaliação. Imagens e instruções podem ser tratadas fora do Brasil conforme as condições do fornecedor.

Os dados enviados à API da OpenAI não são usados para treinamento por padrão. O pedido de análise é enviado com armazenamento de resposta desativado; isso não significa retenção zero: registros de monitoramento de abuso podem ser mantidos pelo fornecedor por até 30 dias, com exceções previstas em suas políticas. Consulte a política de dados da API. No Evolufoto, imagem gerada, instruções, observações e revisão ficam no acervo privado, podem ser exportadas e seguem as regras de eliminação. Registros mínimos de consumo são preservados para conciliação; excluir a fonte ou o resultado remove o texto clínico da solicitação, mas não apaga automaticamente outras montagens já salvas.

O serviço utiliza Hostinger para hospedagem, cópias do servidor e envio de e-mails e Asaas para o processamento da cobrança. O acervo fotográfico e suas cópias externas são armazenados em Cloudflare R2, em áreas privadas distintas; a cópia de recuperação recebe criptografia adicional antes do envio. Cada fornecedor recebe os dados necessários à atividade que desempenha. O fluxo de pagamento não envia o acervo fotográfico ao Asaas.

A localização da VPS e de suas cópias semanais foi confirmada no painel da Hostinger como Brasil. A localização de todos os tratamentos de e-mail e demais subprocessadores ainda depende de confirmação contratual; por isso, não afirmamos que todo tratamento ocorre exclusivamente no Brasil. Você pode solicitar informações sobre fornecedores e transferências pelo canal de privacidade.

Quando houver transferência internacional, devem ser observados os mecanismos e as garantias previstos na LGPD e na regulamentação da ANPD. A identificação do fornecedor, isoladamente, não comprova a localização de todos os tratamentos ou o atendimento dessas condições.

Na implantação atual com Cloudflare R2, os buckets do acervo e da recuperação utilizam a restrição de jurisdição da União Europeia. Isso informa a configuração de armazenamento dos objetos e não significa que todos os tratamentos de suporte, conta e subprocessadores ocorram no mesmo local. O alcance contratual dos fluxos internacionais está em verificação com o fornecedor; informações sobre essa avaliação podem ser solicitadas pelo canal de privacidade. A criptografia do backup é um controle técnico e não substitui as obrigações legais de transferência internacional.

A galeria utiliza miniaturas derivadas das fotografias e comparações. Elas recebem o mesmo controle de acesso ao acervo e são guardadas temporariamente em cache privado na infraestrutura do serviço. A remoção do registro impede novas consultas à miniatura; a limpeza do cache é automática. Cópias integrais da infraestrutura podem conter esses arquivos temporários e seguem a política de backup do fornecedor. As miniaturas não substituem as imagens completas.

No recorte automático de pessoas, a fotografia é processada no navegador e não é enviada ao Google, à Adobe ou à OpenAI para segmentação. O navegador obtém o modelo e seus arquivos de execução do próprio Evolufoto. Ao usar Salvar ajustes, a máscara de recorte e os ajustes são vinculados à fotografia na conta, sob os mesmos controles de acesso e conservação do acervo. O laboratório temporário mantém esses dados somente na sessão local.

Na Radiografia aberta a partir do acervo, a imagem e os registros manuais salvos são guardados na conta sob os mesmos controles de acesso e conservação das fotografias. Na demonstração com arquivo local, a imagem e os registros permanecem somente na sessão do navegador. Arquivos exportados podem conter a imagem e as observações e devem ser guardados em local adequado.

Ao solicitar o Assistente IA de Radiografia, você seleciona e confirma os achados registrados pelo profissional e autoriza o envio desse texto à OpenAI. A radiografia, o nome e a ficha do paciente não são enviados por esse assistente. Não inclua identificadores nas observações. A numeração dentária só acompanha o pedido quando informada pelo profissional. O texto selecionado, o rascunho gerado, a identificação do modelo e o histórico de revisão ficam vinculados à fotografia, podem ser exportados e são eliminados do acervo ativo quando a fotografia é excluída. Aplicam-se as condições de processamento da API e de conservação de cópias descritas neste aviso. O recurso não detecta achados automaticamente e não utiliza o acervo para treinamento.

Ao solicitar a Análise da imagem, a panorâmica original salva é processada por um modelo de análise de imagens no servidor privado Evolufoto, sem envio à OpenAI ou a outro serviço externo de inferência. O modelo recebe os pixels, incluindo textos visíveis na própria radiografia, e sínteses bibliográficas; não recebe o cadastro do paciente nem observações prévias. Metadados do arquivo são removidos da cópia de processamento. A solicitação, a confirmação, o modelo, as hipóteses e o histórico de revisão ficam vinculados à fotografia, podem ser exportados e são eliminados do acervo ativo quando a fotografia é excluída, sujeitos ao ciclo de cópias de segurança. As imagens e revisões não são utilizadas para treinar o modelo. O piloto exige confirmação própria antes de cada análise e não é iniciado pelo simples envio ou abertura de uma fotografia.

5. Cookies e proteção do acesso

Utilizamos um cookie essencial para manter sua sessão, com duração máxima atual de sete dias. Ele tem proteção HttpOnly, Secure e SameSite no ambiente publicado com HTTPS. As telas de acervo, fotos e pacientes não carregam ferramentas de publicidade ou analytics de terceiros. A medição opcional do Google Ads, quando habilitada e autorizada separadamente, ocorre em uma origem própria, conforme descrito abaixo. O ambiente externo do Asaas possui suas próprias práticas, informadas por esse provedor.

Na atribuição opcional, o aceite permite um cookie próprio com identificador aleatório protegido por HttpOnly, Secure e SameSite, por até trinta dias. A recusa guarda apenas a preferência “recusado”, sem identificador de atribuição. O código da página não grava campanhas em localStorage ou sessionStorage. Esse aceite de medição interna não autoriza o envio de informações ao Google. O administrador informa manualmente o gasto diário, e o relatório interno utiliza os pagamentos conciliados no Evolufoto.

Quando disponível, a medição opcional no Google Ads exige uma autorização própria. Ela associa somente o identificador do clique no anúncio ao cadastro e à primeira contratação paga confirmada. Um cookie próprio, aleatório e protegido por HttpOnly, Secure e SameSite mantém essa preferência por até trinta dias; a recusa não guarda um identificador de anúncio. O vínculo é feito no cadastro, sem atribuir retroativamente contratos anteriores.

Após a confirmação do primeiro pagamento e com autorização vigente, o retorno do checkout pode abrir uma página em medicao.evolufoto.com.br; para pagamentos assíncronos, a opção pode ser iniciada em Conta e assinatura. Somente essa página carrega a tag do Google. Ela recebe o identificador do anúncio, o valor em reais e uma referência opaca de deduplicação. Não recebe fotos, observações, nomes, e-mails, telefones, identificadores internos ou dados de pacientes. Essa origem não serve as APIs do acervo e não compartilha o cookie de sessão do aplicativo. Cookies da tag são restritos à origem de medição; não habilitamos personalização de anúncios ou conversões otimizadas com dados de contato.

Você pode recusar sem alterar preços ou acesso e revogar em Conta e assinatura. A revogação apaga o identificador de clique guardado pelo Evolufoto e invalida tentativas ainda não utilizadas; não recolhe uma medição já enviada ao Google. Identificadores de clique expiram em até trinta dias e deixam de ser usados; registros mínimos de tentativa e deduplicação permanecem vinculados à conta. Uma restauração de backup invalida as autorizações anteriores. A contabilização de uma tentativa depende do Google e das condições do navegador; o retorno da página não comprova uma conversão nos relatórios. Aplicam-se também as práticas descritas na Política de Privacidade do Google.

Medição opcional de compras na OpenAI

Quando habilitada, esta medição exige uma autorização própria, separada dos Termos de Uso, da atribuição interna, do Google Ads e do envio de fotografias para simulação por IA. O valor do identificador do anúncio da OpenAI só é capturado pela interface após o clique em autorizar; não é gravado em localStorage ou sessionStorage. Um cookie próprio aleatório, protegido por HttpOnly, Secure e SameSite, mantém a preferência por até trinta dias. A recusa guarda somente a escolha, sem identificador de anúncio. A autorização pode ser vinculada ao cadastro realizado nessa navegação; contas e compras anteriores não recebem consentimento retroativo.

Com autorização vigente e primeira contratação paga confirmada e elegível, o servidor do Evolufoto pode enviar à API da OpenAI o identificador do anúncio, o evento de compra, o horário da primeira ativação comprovada, o valor em centavos e a moeda BRL, uma referência opaca para evitar duplicidade e o endereço fixo da página inicial do serviço. Esse envio não contém nomes, e-mails, telefones, endereço IP ou identificador do navegador do usuário, fotos, observações, dados clínicos ou registros de pacientes. Não carregamos SDK ou tag da OpenAI nas telas do acervo. Um evento recebido pela API não comprova atribuição nem contabilização nos relatórios de anúncios.

Você pode recusar sem alterar o preço ou acesso e revogar em Preferências de medição ou em Conta e assinatura. A revogação remove o identificador do anúncio mantido para essa finalidade e bloqueia envios pendentes que ainda não começaram; não desfaz uma requisição já em andamento ou evento recebido pela OpenAI. A autorização e o identificador expiram em até trinta dias, e uma restauração de backup invalida autorizações anteriores. Eventos fora do prazo de envio admitido não são reconstruídos retroativamente. Registros mínimos do estado de envio e de deduplicação permanecem para evitar repetições, separados dos dados do acervo.

Para recuperar uma solicitação de simulação após uma interrupção e evitar duplicidade, a aba pode guardar uma chave aleatória ligada aos identificadores técnicos da conta e da fotografia em sessionStorage. Esse registro não contém a imagem, as instruções ou o texto da revisão e não é usado para publicidade. A consulta do resultado continua exigindo autenticação.

O acesso ao acervo exige autenticação e as consultas são limitadas à conta correspondente. As imagens ficam fora da pasta pública do site; as senhas são armazenadas por hash e a comunicação publicada utiliza HTTPS. Esses controles reduzem riscos, mas não eliminam a possibilidade de incidentes. Esta versão não oferece autenticação biométrica nem autenticação em dois fatores.

Esses controles não constituem criptografia de ponta a ponta ou certificação de conformidade. Mantenha seu dispositivo protegido, use uma senha exclusiva e encerre a sessão em aparelhos compartilhados.

6. Conservação e eliminação

Para o teste sem contratação paga, a consulta direta da galeria dura sete dias após o fim do teste; a exportação e a conservação operacional do acervo ativo vão até sessenta dias após esse fim. O descarte segue as mesmas exigências de instrução válida, guarda clínica e preservação descritas abaixo. O prazo não começa na data de um cancelamento antecipado. A política de sessenta dias após o período pago continua aplicável às assinaturas pagas.

As evidências mínimas de consentimento, descadastro e tentativas da sequência de e-mails são conservadas por doze meses de calendário após o encerramento da janela de envio ou a última atividade relevante, ressalvada preservação fundamentada. O descadastro bloqueia as próximas mensagens; não recolhe uma mensagem já entregue ao servidor de e-mail. Uma restauração de backup invalida as autorizações antigas dessa sequência, evitando retomar consentimento que possa ter sido revogado depois da cópia.

O acervo é mantido para prestar o serviço e atender às finalidades e instruções aplicáveis. Cancelar a renovação mantém o período pago e não apaga imediatamente os registros. Quando há cancelamento ou reembolso integral confirmado, a janela de sessenta dias para consulta e exportação começa ao fim do acesso pago correspondente. A conta apresenta o prazo e solicita a destinação adequada dos registros antes da eliminação automática do acervo ativo. Nova contratação válida pode interromper um encerramento ainda não iniciado. Atraso de pagamento, isoladamente, não equivale a encerramento confirmado.

A LGPD não determina um prazo universal de sessenta dias. Esse é o prazo operacional do serviço. Fotografias integrantes de prontuário podem estar sujeitas a obrigações específicas, inclusive as da Lei 13.787/2018. A eliminação automática é bloqueada quando falta confirmação de guarda adequada, há pedido de privacidade em aberto ou uma preservação legal registrada. Dados de conta, cobrança e evidências necessários a obrigações legais ou ao exercício de direitos seguem suas próprias finalidades e não são apagados junto com as fotografias.

Você pode excluir fotografias pela plataforma e solicitar encerramento da conta ou eliminação de dados pela central de privacidade. O pedido será analisado considerando sua identidade, as instruções do responsável pelos registros e eventuais obrigações legais ou exercício de direitos que justifiquem conservar parte das informações.

A resposta ao pedido deve informar o alcance e o cronograma da eliminação, os dados eventualmente conservados e sua justificativa, incluindo o tratamento das cópias de segurança. A exclusão de um arquivo do acervo ativo não significa apagamento instantâneo de todas as cópias. Solicitar o encerramento também não substitui a guarda de documentos que caiba à clínica ou profissional.

Os registros de acesso autenticado são conservados por seis meses de calendário, ressalvada preservação legal. A política operacional estabelece trinta dias após a expiração para limpeza de sessões e links de acesso, doze meses para auditoria geral e dois anos após o encerramento para protocolos de privacidade e feedback e sua auditoria associada. Pedidos em aberto e registros sob preservação fundamentada ficam fora dessa limpeza.

Os registros de visita consentida para atribuição são conservados por até trinta dias; o vínculo consentido à conta, por até cento e oitenta dias, ressalvada preservação fundamentada. A revogação na conta remove esse vínculo e invalida a preferência de atribuição. As cópias de recuperação seguem o ciclo de conservação descrito neste aviso. A expiração e a revogação podem reduzir a cobertura e alterar relatórios recalculados. A remoção da atribuição não apaga os registros de contratação, pagamentos ou outros dados conservados para suas finalidades próprias e obrigações aplicáveis.

As cópias externas de recuperação são criptografadas antes do envio ao armazenamento de objetos e ficam em área privada separada do acervo principal. Estar em áreas distintas da mesma conta não elimina o risco de indisponibilidade do provedor ou comprometimento da conta. A janela operacional de recuperação é de trinta dias. Após a eliminação do acervo ativo, cópias podem permanecer por até mais trinta dias nesse ciclo, salvo preservação fundamentada ou falha operacional tratada em atendimento. Assim, a janela de sessenta dias do acervo ativo não significa apagamento de todas as réplicas nessa mesma data. Na recuperação das cópias remotas, o registro de exclusões é consultado para impedir a reintrodução de arquivos eliminados.

O diário cifrado de exclusões conserva identificadores mínimos de conta e arquivo e a data da exclusão, sem o conteúdo das fotografias, para evitar sua reintrodução por uma cópia antiga. Esses registros não são eliminados automaticamente no prazo de trinta dias dos arquivos; sua conservação e eventual eliminação exigem avaliação das cópias existentes, da necessidade dessa proteção e das preservações aplicáveis.

7. Como exercer seus direitos

Você pode solicitar confirmação de tratamento, acesso, correção, informações sobre compartilhamento, portabilidade quando aplicável, e anonimização, bloqueio ou eliminação nas hipóteses legais. Quando o tratamento depender de consentimento, pode solicitar informações e sua revogação, observadas as consequências e exceções previstas em lei.

A central de privacidade da conta permite abrir um protocolo e acompanhar o andamento e as respostas. Um protocolo recebido não significa que a exclusão ou correção já foi realizada. Quem não tem acesso à conta, inclusive clientes e pacientes cadastrados por um profissional, pode usar o e-mail ao final desta política. Pedidos relativos ao acervo serão tratados com participação do responsável pelo acompanhamento, sem encaminhamento desnecessário de dados.

Podemos pedir informações proporcionais para confirmar a identidade ou a representação, evitando acesso indevido. Não envie fotografias clínicas ou documentos sensíveis no primeiro contato. Para confirmação ou acesso, a LGPD prevê resposta simplificada imediata ou declaração completa em até quinze dias, conforme o artigo 19 e as regras aplicáveis. Outros pedidos serão tratados segundo sua natureza e os prazos legais correspondentes.

8. Atualizações e transparência

Esta política de proteção de dados descreve as práticas, os controles e as avaliações ainda em andamento para a versão atual. Atualizações relevantes serão comunicadas pelos canais do serviço. Melhorias técnicas e atendimento de pedidos não equivalem, isoladamente, a uma declaração de adequação integral ou certificação de conformidade.

Você também pode conhecer seus direitos na Lei Geral de Proteção de Dados e consultar os canais da ANPD.

Proteção de dados

Responsável interno pela governança e pelo atendimento de privacidade: Hugo Marcio Lima Godinho. O contato é realizado pelo e-mail abaixo. Essa função coordena o atendimento e as rotinas da plataforma, preservadas as responsabilidades da empresa e de cada contratante.

contato@evolufoto.com.br. Para facilitar o atendimento, informe se sua solicitação se refere à conta, à cobrança, aos créditos de IA ou à privacidade. Em dúvidas sobre uma simulação ou recarga, informe o identificador da solicitação ou compra, sem anexar fotografias clínicas, chave de API, senha ou dados de pacientes. Não inclua dados clínicos no assunto do e-mail.