Política de Privacidade — Systole

Sem revisão jurídica. Por decisão do responsável, em 14/10/2026, o beta é lançado sem que um advogado tenha revisto este texto. Ele foi escrito e conferido contra o código, e cada afirmação de fato aqui é verificável; o que NÃO foi verificado por quem tem formação para isso é o enquadramento jurídico: as bases legais invocadas, a redação das obrigações e a suficiência das cláusulas. Isso não é uma ressalva de praxe, é o estado real deste documento.

Os pontos que mais pediriam um advogado, listados para quando houver um: (a) a base do art. 33, VIII para a transferência à China, e a redação da tela que colhe esse consentimento; (b) se «execução de contrato» (art. 33, IX, "b") basta para Resend, Stripe e Backblaze; (c) a dispensa do encarregado pela Resolução CD/ANPD nº 2/2022.

Versão 1.4 · 24 de outubro de 2026 — o servidor passou a enxergar o seu endereço IP verdadeiro (e não o da Cloudflare), então o limite de requisições é individual e não compartilhado; o registro de acessos do Caddy passa a declarar também país, idioma, família do navegador e página de origem; e a exportação ao Grafana Cloud passa a constar como não ligada. A versão 1.3, de 19 de outubro de 2026, corrigia dez frases que descreviam o sistema de um jeito que ele não tem: a retenção de 180 dias (ela apaga o texto das conversas), onde ficam os registros técnicos (no disco do servidor, não no Grafana), o que fica guardado no seu aparelho, o que a exportação leva, e o que o limite de requisições e o bloqueio de origem realmente fazem. Passa a declarar o endereço IP, as cópias de segurança, a Stripe como controladora do que ela coleta, e três operadores que faltavam (Discord, Cloudflare Workers e Let's Encrypt). A versão 1.2, de 14 de outubro de 2026, nomeava os operadores e os países e dizia em qual hipótese do art. 33 cada transferência se apoia; a 1.1, de 28 de setembro de 2026, deixava esses campos em branco; a 1.0, de 22 de setembro, não nomeava o encarregado, o provedor de IA nem a transferência internacional.

1. Quem trata os seus dados

O Systole é operado por Marcelo Vargas de Matos, pessoa física, controlador dos dados pessoais tratados neste jogo.

Encarregado pelo tratamento de dados pessoais (DPO). O Systole é operado por pessoa física e se enquadra como agente de tratamento de pequeno porte; a Resolução CD/ANPD nº 2/2022 dispensa esse agente de indicar um encarregado, desde que mantenha um canal de comunicação com o titular. O canal é o e-mail abaixo, e é atendido pelo próprio controlador.

Para qualquer pedido relativo aos seus dados — acesso, correção, exclusão, portabilidade ou dúvidas sobre este texto — escreva para [email protected]. Respondemos em até 15 dias.

As regras de uso do jogo estão nos Termos de Uso.

2. O que é o Systole

Um jogo de simulação de plantão de pronto-socorro, feito para estudantes de medicina e recém-formados treinarem raciocínio clínico.

Ele é educacional e nada mais. Não é ferramenta de diagnóstico, não substitui julgamento clínico, supervisão ou avaliação formal, e os pacientes são todos fictícios. Nenhum caso do jogo descreve uma pessoa real.

3. O que guardamos, e por quê

3.1 Da sua conta

3.2 Do seu jogo

Enquanto você joga, guardamos o que você fez em cada atendimento:

• as perguntas que você digitou na anamnese e o que o paciente-IA respondeu;
• os exames físicos que você pediu e os achados que recebeu;
• as hipóteses diagnósticas que levantou (com o código CID-10);
• as condutas que prescreveu — medicamento, dose, via — e os exames pedidos;
• a nota de cada atendimento, com a justificativa do avaliador;
• as dicas de preceptor que você pediu e as devolutivas que contestou;
• os seus plantões, sua progressão por competência e suas conquistas;
• os desafios que criou ou aceitou;
• as turmas de que participa (com o apelido que você digitou nelas) e os pontos que fez para a turma;
• as suas tentativas no modo estação — o que você escreveu e a correção item a item;
• o seu plantão do dia, a sua triagem e as suas preferências (as que você escolhe em Ajustes).

Guardamos isso por uma razão só: é o seu progresso. Sem ele não há histórico, não há revisão espaçada, não há curva de competência — o jogo vira uma sessão isolada que esquece você.

3.3 De uso do aplicativo

Registramos eventos do jogo — o que aconteceu num atendimento, e não por onde você navegou — para medir custo, conferir a nota e achar defeitos. Cada evento é uma linha com a data, o identificador da conta (quando há) e o do atendimento, mais poucos campos. Hoje eles contêm:

• ao encerrar um atendimento: a nota final, a nota de cada uma das cinco dimensões (anamnese, exame físico, diagnóstico, conduta e segurança), o nível de dificuldade, o tom do desfecho (bom ou ruim), as etiquetas do caso e quantos atendimentos você já fez nos últimos 7 dias (a conta da meta);
• ao contestar um item da devolutiva: qual item foi e o veredito antes e depois da nova avaliação;
• a cada mudança de estado do paciente simulado: de qual estado para qual, o motivo e os sinais vitais do paciente fictício — não os seus;
• na triagem: a cor que você escolheu, a cor correta, se acertou, se a subtriagem era grave, ou que você pulou a revelação;
• ao pedir um link de desafio: qual caso era;
• no primeiro atendimento: quantos milissegundos passaram até a sua primeira pergunta;
• o custo de cada chamada à IA (valor e camada) e o total de cada atendimento, com quantas chamadas houve e quantas se perderam.

Não registramos qual tela você abriu nem o caminho que fez pelo aplicativo, nem quanto tempo cada resposta da IA demorou: o aplicativo não envia eventos desse tipo. O erro em si também não é gravado nesses eventos — só a contagem das chamadas à IA que se perderam. O que você digitou e o que o paciente respondeu ficam na conversa (seção 3.2), não nos eventos. Antes de gravar, um filtro automático remove e-mails e sequências de 8 ou mais dígitos do conteúdo desses eventos.

O servidor também escreve registros técnicos (logs) de funcionamento, que trazem o identificador da conta e o endereço IP de quem fez a requisição — nunca a senha. O servidor de entrada (o Caddy) mantém ainda um registro de acessos com o endereço IP, o endereço da página pedida e o navegador usado. Esse registro guarda, além disso, os cabeçalhos que o seu navegador e a Cloudflare mandam junto com cada pedido: o país de onde o pedido parece vir (a Cloudflare o deduz do IP), o idioma do navegador, a família e o sistema do navegador, a página de onde você veio (o endereço de referência) e os endereços que a Cloudflare repassa. Os cabeçalhos de senha e de cookie não aparecem nele. Como o jogo passa pela Cloudflare (seção 4), a Cloudflare nos informa o seu endereço IP verdadeiro e o servidor passou a enxergá-lo e a gravá-lo — nos registros técnicos e no registro de acessos. Quando um login falha, o e-mail tentado aparece só como um resumo criptográfico com sal, que não permite recuperar o endereço.

Esses registros NÃO têm prazo fixo de dias. Ficam no disco do nosso servidor e são trocados por tamanho, não por data: cada contêiner guarda até 3 arquivos de 10 MB, e o registro de acessos do Caddy até 5 arquivos de 10 MB; quando o último enche, o mais antigo é apagado. Quanto tempo isso dá depende de quanta gente joga, e não prometemos um número de dias. Eles não são enviados ao Grafana Cloud.

Hoje nada é enviado ao Grafana Cloud: o servidor sabe montar rastros de desempenho dos eventos do jogo da lista acima, já depois do filtro, mas a exportação não está ligada — não há endereço nem credencial configurados no servidor de produção. Se um dia for ligada, o que sairia são esses rastros, e não os logs do servidor.

3.4 No seu aparelho

Para você não precisar entrar de novo a cada visita, o aplicativo guarda o token de acesso no armazenamento do aparelho (no navegador, o armazenamento local do site). Ele sai quando você toca em Sair ou exclui a conta. Não usamos cookies de rastreamento.

O aplicativo guarda também, no armazenamento local do aparelho, coisas que NÃO saem quando você toca em Sair nem quando exclui a conta, e algumas são texto digitado por você:

• o plano de condutas que você montou e ainda não enviou — o medicamento, a dose, a via e os exames. Fica por até 7 dias por atendimento e é apagado quando você envia o plano ou o esvazia;
• o rascunho da abertura (o tutorial): a pergunta que você digitou e o passo em que estava. Vale 12 horas e é apagado quando você conclui o tutorial;
• marcas sem texto seu: o passo do Box, a estação aberta, o último nível de carreira visto e as suas preferências de tela (como o alto contraste).

Nada disso é enviado aos nossos servidores por esse caminho. Mas, como Sair e Excluir minha conta não limpam essas chaves, quem usa um aparelho compartilhado e quer que nada fique pode limpar os dados do site nas configurações do navegador.

Durante um atendimento, a pergunta que você digitou e ainda não enviou fica guardada no armazenamento de sessão do navegador — uma gaveta separada, que morre quando você fecha a aba. Ela existe para que recarregar a página no meio da consulta não apague a frase que você estava formulando. É texto escrito por você, e por isso está listado aqui: esse rascunho não é enviado aos nossos servidores, vale no máximo 30 minutos, e é apagado quando você envia a pergunta, esvazia o campo, encerra o atendimento ou fecha a aba — o que vier primeiro. Fora do navegador, ele nunca sai da memória do aplicativo.

3.5 O que não guardamos

Não pedimos e não guardamos CPF, telefone, endereço, data de nascimento, idade, CRM, foto, localização nem dado de pagamento. Não usamos cookies de publicidade, não há rastreadores de terceiros e não vendemos nem compartilhamos seus dados com anunciantes — nem hoje, nem como plano.

4. Com quem compartilhamos

Com o provedor de inteligência artificial, e só o necessário para o jogo funcionar. O paciente virtual e o avaliador são modelos de linguagem executados por um fornecedor externo. Hoje são dois, e os dois são chineses:

• Xiaomi, pela plataforma MiMo (api.xiaomimimo.com), que atende todas as chamadas em condições normais;
• DeepSeek (api.deepseek.com), que fica de reserva e só é chamado quando a Xiaomi falha — e, quando isso acontece, recebe exatamente o mesmo conteúdo descrito abaixo.

O que é enviado a eles:

• o texto do caso clínico e as instruções do personagem;
• o que você escreve no atendimento: as perguntas da anamnese e, na correção, as suas hipóteses, condutas e o argumento de uma devolutiva que você contestar.

Por isso, não digite dados de pacientes reais no jogo (os Termos de Uso proíbem): tudo o que você escreve pode ser enviado a esse fornecedor.

Transferência internacional, e esta é a mais sensível das três. Os dois fornecedores de IA processam e armazenam os dados na China, fora do Brasil. A China não tem reconhecimento de grau de proteção adequado pela ANPD.

A troca do fornecedor principal (de DeepSeek para Xiaomi/MiMo) não muda o país nem a hipótese legal desta transferência: continua sendo China, e continua se apoiando no art. 33, VIII. O que mudou foi a empresa, e por isso o nome dela está aqui.

Por isso esta transferência se apoia no art. 33, VIII, da LGPD — o seu consentimento específico e em destaque: antes do seu primeiro atendimento, o jogo mostra uma tela que explica isto em uma frase e pede que você aceite. Sem esse aceite não há atendimento, porque sem a IA não há paciente. Você pode retirar o consentimento a qualquer momento em Ajustes; o jogo passa a não ter como gerar atendimentos novos, e tudo o que você já tem continua seu.

A transferência se limita ao texto descrito acima, sem nada que identifique você.

O que não é enviado a ESSE provedor: seu e-mail, seu identificador de conta, seu nome — nada que diga quem você é. O pedido leva apenas a chave da aplicação. (Verificado no código: o corpo enviado ao provedor contém somente o modelo, as instruções do sistema e o seu texto.)

O provedor de e-mail

Para confirmar que o seu endereço é seu, mandamos um e-mail quando você se cadastra (e outro, se você pedir). Para isso, o seu endereço de e-mail vai para um provedor de envio: a Resend, que armazena os dados nos Estados Unidos (mesmo quando a mensagem sai do servidor de São Paulo), fora do Brasil. A transferência se apoia no art. 33, IX, "b", da LGPD — é necessária para executar o contrato de que você é parte: sem mandar o e-mail não há como confirmar que o endereço é seu.

Vai só o endereço e o texto da mensagem — nada do seu progresso, do seu histórico ou do que você escreve no jogo.

O provedor de pagamento

O acesso ao jogo é pago. Nós não processamos o seu pagamento e não vemos o seu cartão: o pagamento acontece na página do provedor, a Stripe, que processa os dados nos Estados Unidos, fora do Brasil. A transferência se apoia no art. 33, IX, "b", da LGPD — é necessária para executar o contrato de que você é parte: é o pagamento do próprio acesso.

Atenção: na página da Stripe, a Stripe é controladora própria dos dados que ela coleta — e-mail, nome e dados do cartão — e os trata segundo a política dela, não segundo esta. O jogo não recebe o seu cartão.

O que sai daqui para lá é o identificador da sua conta no jogo — um código, não o seu nome nem o seu e-mail —, para que o pagamento volte ligado a você. O que fica aqui, quando o pagamento se confirma, é o identificador do evento no provedor, o tipo e quantos dias ele concedeu: nem valor, nem meio de pagamento, nem qualquer dado do seu cartão.

Esse registro de pagamento sobrevive à exclusão da conta, e é a única coisa que sobrevive: o identificador da sua conta é apagado dele na mesma operação, de modo que a linha continua provando que houve um pagamento sem dizer de quem. É registro de uma relação de consumo, e apagá-lo apagaria a prova de que você pagou — o que interessa a você tanto quanto a nós.

Hospedagem

Fora isso, compartilhamos dados apenas com os serviços de hospedagem e banco de dados que mantêm o jogo no ar, e quando a lei ou uma ordem judicial exigir. São estes, e todos foram escolhidos em região no Brasil justamente para o seu banco de dados não sair do país:

• Oracle Cloud Infrastructure — o servidor, o banco de dados e a cópia de segurança diária, em região brasileira;
• Grafana Cloud — está nomeado porque o servidor tem o exportador, mas hoje a exportação NÃO está ligada e nada vai para lá (seção 3.3). Se for ligada, receberia os eventos do jogo listados na seção 3.3 (notas, triagem, custo das chamadas à IA, na forma de rastros de desempenho, sem os logs do servidor), em região brasileira, para descobrirmos que algo quebrou antes de você escrever contando; o plano gratuito guarda esses dados por 14 dias. Atualizaremos este texto antes de ligar.

Quem mais aparece nos bastidores

Três operadores tocam o jogo sem receber o que você escreve nem o seu e-mail:

• Discord — recebe os avisos de operação que mandamos a nós mesmos (custo de IA alto, falha de envio de e-mail, pagamento que não foi creditado, backup que falhou, jogo fora do ar), por um endereço de webhook. Os avisos são frases de operação: não levam o seu e-mail nem o que você digitou; o de pagamento leva o identificador do evento no provedor de pagamento;
• Cloudflare Workers — é onde roda o vigia externo, um programa que de tempos em tempos pergunta se o jogo responde e, se não, manda o aviso acima. Ele não vê dado de jogador;
• Let's Encrypt — emite o certificado do servidor (o cadeado do HTTPS). Para isso recebe o nome do domínio e o e-mail do responsável pelo jogo, não o seu.

A Cloudflare vê o que você escreve, e você precisa saber disso

Tudo o que o seu navegador manda para o jogo passa pela Cloudflare, que faz três coisas para nós: responde pelo endereço do domínio (DNS), serve o aplicativo (as páginas e os arquivos que o seu navegador baixa) e fica entre você e o nosso servidor como intermediária de segurança.

Essa última merece ser dita sem rodeio. A conexão do seu navegador é cifrada até a Cloudflare, não até nós: é ela quem abre a cifra, e depois abre uma segunda conexão, também cifrada, até o nosso servidor. Na prática, tudo o que você digita no jogo passa legível por ela — as perguntas que você faz ao paciente, as suas condutas, o seu e-mail e a sua senha no momento do cadastro. Não é uma falha: é como funciona qualquer serviço desse tipo, e é o que nos dá proteção contra ataque e sobrecarga. Mas não dá para dizer que só nós vemos o que você escreve, porque não seria verdade.

A Cloudflare é uma empresa dos Estados Unidos. Os pontos de presença que atendem o jogo hoje ficam no Brasil (medimos: Uberlândia e Rio de Janeiro), de modo que o tráfego normalmente não sai do país — mas a rede dela é mundial e o caminho pode mudar sem nos avisar. A base da transferência é o art. 33, IX, "b", da LGPD: sem essa camada o jogo não fica de pé de forma segura, e mantê-lo no ar é o contrato que temos com você.

O que ela não tem: o seu banco de dados. Ele mora na Oracle, em região brasileira, e a Cloudflare só vê o que trafega no momento em que trafega.

Uma segunda cópia semanal da cópia de segurança sai do país, para a Backblaze B2, nos Estados Unidos — e sai cifrada com uma chave que só nós temos, de modo que o provedor guarda um arquivo que não consegue ler. Ela existe porque uma cópia de segurança que mora no mesmo provedor do servidor não protege contra a perda da conta nesse provedor. As cópias da Backblaze são guardadas por 8 semanas. Base: art. 33, IX, "b" — manter o seu progresso recuperável faz parte do serviço que você contratou.

5. Por quanto tempo guardamos

Enquanto a sua conta existir. Se você não excluir a conta, seus dados permanecem, porque são o seu progresso.

Quando você exclui a conta, a remoção descrita na seção 6 acontece na hora, numa única operação — não há fila nem prazo de carência no banco de dados em uso. As cópias de segurança são outra conta: elas guardam o banco como ele estava no dia, então os seus dados excluídos continuam nelas até a cópia ser trocada — 14 dias nas cópias diárias que ficam no nosso servidor e 8 semanas na cópia cifrada da Backblaze. Elas existem, e dizer que a exclusão apaga tudo de todos os lugares seria falso.

Conversas com mais de 180 dias perdem o texto. Toda noite, às 03:00 (UTC), o servidor varre as conversas de anamnese arquivadas e, nas que passaram de 180 dias, apaga o texto de cada turno — o que você digitou e o que o paciente respondeu — e o resumo final. Sobra o esqueleto (quem falou e quando, e quantos turnos houve). Isso vale para a conta de todos os jogadores. A conversa mais antiga do banco é de 7 de agosto de 2026, então o efeito começa a aparecer por volta de fevereiro de 2027; até lá nada foi apagado por esse caminho. O que não é o texto da conversa — notas, hipóteses, condutas, exames — continua enquanto a conta existir. Consequência prática: se você quer guardar a conversa inteira, baixe os seus dados antes de ela completar 180 dias.

6. Os seus direitos, e como exercê-los dentro do jogo

A LGPD (Lei 13.709/2018, art. 18) te dá direitos sobre os seus dados. Dois deles você exerce sozinho, sem pedir nada a ninguém, em Ajustes:

Baixar os seus dados (portabilidade, art. 18 V)

O botão «Baixar os meus dados» entrega um arquivo JSON com tudo que a seção 3 lista: perfil, todos os atendimentos com a conversa, exames, hipóteses, condutas, notas e justificativas, plantões, progressão, conquistas, desafios, turmas, estações, triagem, preferências e eventos de uso. Duas ressalvas:

• a conversa de um atendimento com mais de 180 dias vem sem o texto (seção 5): o arquivo traz só o esqueleto dela;
• a sua senha não vai no arquivo, nem o código de recuperação, nem o gabarito dos casos (que é conteúdo do jogo, não dado seu) — com uma exceção deliberada: a justificativa da sua nota e a correção das estações trazem, item a item, o que era esperado naquele caso. É a mesma devolutiva que a tela já te mostrou, e recusá-la seria entregar a nota sem a explicação dela. Só existe para o que você jogou.

Excluir a sua conta (eliminação, art. 18 VI)

O botão «Excluir minha conta» apaga, numa única transação:

• o seu e-mail, o resumo da senha e o perfil declarado;
• todos os seus atendimentos — conversas, exames, hipóteses, condutas, notas e justificativas;
• a sua progressão, conquistas, plantões e resgates;
• os seus desafios, que saem também do placar público;
• os seus eventos de uso;
• o plantão em andamento, a fila de pacientes e os atendimentos abertos guardados na memória do servidor;
• e a sessão viva no servidor, encerrando o acesso imediatamente.

O que permanece:

• um registro de que uma exclusão foi pedida naquela data (identificador e carimbo de tempo, sem nenhum conteúdo), para provarmos que o pedido foi cumprido;
• a linha da conta, já sem e-mail, senha, código de recuperação e perfil, com a data do consentimento — a prova de que ele existiu; o e-mail volta a ficar livre caso você queira se cadastrar de novo;
• sem nenhuma ligação com você, três tipos de registro que não são as suas palavras ou que pertencem também a outras pessoas: as devolutivas que você contestou (sem o seu argumento, que é apagado; a nova explicação do avaliador fica e pode resumi-lo), as dicas de preceptor que o jogo gerou, e os desafios que você criou — porque outros jogadores participaram deles.

Os registros técnicos do servidor (seção 3.3) seguem a troca por tamanho que a seção descreve.

A exclusão é imediata e irreversível no jogo. As cópias de segurança (seção 5) só trocam os seus dados com o tempo, e o que está guardado no seu aparelho (seção 3.4) você mesmo limpa. Baixe seus dados antes, se quiser guardá-los.

Os demais direitos

Confirmação de tratamento, acesso, correção, anonimização, informação sobre compartilhamento e revogação do consentimento: escreva para [email protected].

7. Como protegemos

• a senha é guardada como hash Argon2, nunca em texto claro;
• o acesso é por token assinado, com prazo, e a saída o revoga na hora;
• o tráfego entre o seu aparelho e o servidor é cifrado (HTTPS);
• o servidor diz ao navegador que só a origem oficial do jogo pode ler as respostas (CORS). Isso protege quem usa o jogo no navegador; não impede um programa fora do navegador de chamar o servidor — quem protege essas chamadas é a senha, o token e o limite abaixo;
• as rotas sensíveis têm limite de requisições por endereço IP (a exportação dos dados, por conta). Como o servidor enxerga o seu endereço IP verdadeiro (seção 3.3), o limite é individual: o que outras pessoas fazem atrás da mesma Cloudflare não gasta o seu.

Nenhum sistema é perfeito. Se houver incidente de segurança que possa te causar risco relevante, avisaremos você e a ANPD, como a lei exige.

8. Menores de idade

O Systole é feito para estudantes de medicina e profissionais — pessoas maiores de 18 anos. Não coletamos dados de crianças e adolescentes conscientemente. Se você é responsável e acredita que um menor criou conta aqui, escreva para [email protected] e removemos.

9. Mudanças nesta política

Quando mudarmos esta política, publicamos o texto novo nesta página, com a versão e a data no topo. O aplicativo não mostra aviso de mudança nem pede um novo aceite — o único aceite que ele registra é o da transferência à IA (seção 4) —, então a versão e a data no topo são o único sinal. Se você discordar de uma mudança, pode baixar os dados e excluir a conta.