Política de Privacidade — App beOrigo

Publicado: privacy_publicado_2026-09-25

Aceite (wire): v4.1-DOC-ACEITE-2026-09-24 · privacy_v4.1-DOC-ACEITE-2026-09-24

Produto: beOrigo · Idioma: pt-BR

1. Quem somos

O beOrigo é um aplicativo web (beorigo.app) de prescrição de HEP (programa de exercícios em casa), adesão e registro clínico leve na relação profissional ↔ aluno (1:1). Site de apresentação: beorigo.com.

Controlador: GCP INOVACOES TECNOLOGIA LTDA, CNPJ 54.639.529/0001-89, R ALM ALEXANDRINO, 25, SALA 2 ANEXO 31 — VILA INVERNADA — SÃO PAULO/SP — CEP 03.350-010.

Encarregado pelo tratamento de dados pessoais: Gabriel Campos de Paula. Contato: privacy@beorigo.com. Contato geral/suporte: contact@beorigo.app.

Esta política vale para o aplicativo web beOrigo (beorigo.app). Os apps para iOS e Android, quando lançados, seguirão esta mesma política.

2. Escopo desta política

Aplica-se ao tratamento de dados pessoais no App beOrigo e fluxos de conta vinculados. O site de apresentação pode ter avisos/cookies próprios (ver Política de Cookies). Pagamentos do profissional via Stripe estão descritos aqui na parte de subprocessadores de pagamento (não de dado clínico).

3. Papéis no produto

• Aluno: titular da conta aluno; executa o programa e reporta; vê só o que é dele por profissional e categoria.
• Profissional: paga o SaaS. O Profissional é o controlador do programa de exercícios, da dor e das notas clínicas leves do Aluno vinculado. A plataforma é operadora desse tratamento clínico (SaaS), não co-controladora clínica.
• Categoria: área do vínculo 1:1 entre Aluno e Profissional (Fisioterapeuta ou Educador físico). 1 profissional ativo por categoria; troca = encerra o vínculo antigo + novo convite.
• Vínculo: vínculo ativo profissional↔aluno naquela categoria (conta/login/vínculo = plataforma controladora; clínico = profissional).
• Equipe beOrigo (administração). Um grupo restrito de pessoas da beOrigo, autorizadas individualmente, pode ver nome, e-mail, telefone, plano, situação de pagamento, vínculos entre alunos e profissionais, contagens de uso e registros de acesso de todos os usuários. Esse acesso serve só para suporte, segurança, prevenção a fraudes, cobrança e cumprimento de obrigações legais. A equipe não consulta o conteúdo das notas clínicas, da dor ou dos programas de exercícios, exceto quando o próprio profissional pedir ajuda com um problema específico, e apenas no necessário para resolvê-lo. A equipe também pode ver o motivo e as observações que o profissional registrou ao cadastrar um aluno sem acesso ao app. Cada acesso é feito com login individual e fica registrado em log de auditoria.

4. Quais dados tratamos

Não armazenamos número de cartão, CVV nem dados completos de pagamento — isso fica na Stripe.

As notas clínicas do beOrigo são um registro simples do acompanhamento. Elas podem fazer parte do prontuário do profissional, mas o beOrigo não substitui o prontuário completo exigido pelo conselho profissional. O profissional é o responsável por manter e guardar o seu prontuário pelo prazo legal.

5. Finalidades e bases legais

Finalidade | Base legal. Criar e manter a conta, login e vínculo | execução de contrato (art. 7º, V). Registros de acesso | obrigação legal (art. 7º, II; Marco Civil, art. 15). Segurança, prevenção a fraude e auditoria | legítimo interesse e exercício de direitos (art. 7º, IX e VI). Registros de Sessão do aluno | consentimento específico e destacado (art. 11, I). Notas do fisioterapeuta | tutela da saúde por profissional de saúde (art. 11, II, \"f\"), definida pelo profissional como controlador. Notas do profissional de educação física | consentimento do aluno (art. 11, I), obtido pelo profissional. Cobrança do Profissional | execução de contrato (art. 7º, V). Programa de indicação | execução de contrato (art. 7º, V). Prova de aceite | exercício regular de direitos (art. 7º, VI).

Consentimento de saúde: texto específico e destacado (fora do aceite genérico), listando categorias (dor e notas), finalidade (acompanhamento do programa pelo profissional vinculado), quem acessa, retenção e direitos. O texto informa que, com autorização opcional do aluno e ativação pelo profissional no Ultimate, trechos das anotações podem ir a um modelo de inteligência artificial de um fornecedor no Brasil, sem identificação, sob controle do profissional [C6(a) — ver Telas].

Revogar o consentimento pode impedir o registro de dor e observações; não apaga automaticamente as obrigações de guarda do profissional sob normas de conselho.

5A. Vínculo profissional↔aluno

1. O Aluno entra por convite do profissional ou é cadastrado pelo profissional sem acesso e ativado depois por e-mail.

2. 1 profissional ativo por categoria; troca = encerra o vínculo antigo + novo convite.

3. Aluno vê só o que é dele por profissional/categoria; profissional vê só alunos com vínculo ativo dele.

4. A conta do Profissional e o aceite dos documentos são criados antes do pagamento

As funções do Profissional só são liberadas depois do pagamento do plano ou durante o teste grátis, quando houver código de indicação válido. Contas de Profissional que nunca tiveram pagamento nem teste ativo são excluídas depois de 12 meses sem uso, guardada apenas a prova de aceite pelo prazo da seção de guarda de dados.

Papéis. A beOrigo (GCP INOVACOES TECNOLOGIA LTDA) é controladora dos dados de conta, login, vínculo, cobrança, indicação, segurança e registros de acesso. O Profissional é o controlador dos dados do acompanhamento do Aluno (programa de exercícios, dor, notas clínicas, agenda, auxílio de CIF quando liberado, e dados do aluno sem acesso). Nesses dados, a beOrigo é operadora e só os trata conforme as instruções do Profissional previstas nos Termos SaaS e neste DPA.

Plataforma = operadora (Art. 5º VII LGPD) desse tratamento clínico sob instruções do profissional (SaaS) — não co-controladora clínica. Não prometemos “a plataforma cuida do prontuário”.

5B. Aluno cadastrado pelo profissional sem acesso ao app

O profissional pode cadastrar um aluno que ainda não tem e-mail ou não consegue usar o app, para registrar o acompanhamento que já faz presencialmente. Nesse caso guardamos o nome, o motivo informado pelo profissional e, se houver, telefone, observações e os registros do acompanhamento. O profissional é o responsável (controlador) por esses dados e declara ao beOrigo que informou o aluno e que tem base legal para registrá-los, inclusive, quando exigido, o consentimento do aluno ou, se ele for menor de 18 anos, de um dos pais ou responsável. O aluno pode pedir ao profissional ou ao privacy@beorigo.com acesso, correção ou exclusão desses dados. O aluno só ganha acesso quando o profissional informa o e-mail dele, confirma que o e-mail está correto e o aluno cria a própria senha. Antes de ver qualquer dado, o aluno precisa aceitar os Termos de Uso, a Política de Privacidade e o consentimento de dados de saúde e confirmar a idade.

5C. Sessão (registros do aluno)

Cada vez que faz o programa, o aluno pode registrar no app se fez os exercícios, a dor que sentiu (escala de 0 a 10) e observações. Esses registros são dados de saúde. Finalidade: permitir que o profissional acompanhe a adesão e a evolução do programa e o ajuste. Quem vê: o aluno e o profissional vinculado na categoria, que é o responsável (controlador) por esses dados; a beOrigo só os trata para operar o app, como operadora. Não são usados para publicidade. Base legal: consentimento específico e destacado do aluno (LGPD, art. 11, I), pedido antes do primeiro registro e revogável a qualquer momento. Se o aluno revogar, novos registros deixam de ser coletados e o pedido sobre os registros anteriores é encaminhado ao profissional. Guarda: enquanto durar o contrato do Profissional; no fim do vínculo ou do contrato, o Profissional pode pedir cópia por 90 dias; depois, a beOrigo exclui ou anonimiza. A guarda do prontuário pelo prazo do conselho é responsabilidade do Profissional.

6. Compartilhamento

• Profissional vinculado (vínculo ativo na categoria): acesso ao programa, dor e notas do aluno como controlador clínico; a plataforma hospeda/processa como operadora.
• Subprocessadores: Vercel, Fly.io, Neon, Resend, Stripe (pagamento) — auth self-hosted — não são controladores clínicos. Lista completa:
• Não vendemos dados de saúde (Art. 11 §4º).
• Autoridades quando houver obrigação legal.

6A. Auxílio de códigos CIF com inteligência artificial

No plano Ultimate, o fisioterapeuta pode ligar ou desligar, a qualquer momento, um auxílio de códigos da Classificação Internacional de Funcionalidade, Incapacidade e Saúde (CIF). A função vem desligada. Quando o profissional a liga e pede um auxílio, o beOrigo envia a um modelo de inteligência artificial de um fornecedor (suboperador) trechos da nota clínica e o texto escrito pelo profissional. Antes do envio, retiramos automaticamente nome, CPF, e-mail, telefone e outros dados de contato. Não enviamos nome, CPF, telefone nem e-mail. O processamento ocorre no Brasil (São Paulo). O fornecedor é configurado para não reter o conteúdo além do necessário ao processamento; detalhes sob pedido a privacy@beorigo.com. A sugestão é apenas apoio: não é diagnóstico, não é decisão automatizada e não substitui o julgamento do profissional; só é salva depois que o profissional revisa e confirma. O aluno pode pedir que o auxílio com IA não seja usado com os seus dados, sem prejuízo do acompanhamento, pela opção no consentimento de saúde ou pelo e-mail privacy@beorigo.com.

7. Transferência internacional

Onde ficam os dados. Os dados do app ficam em servidores no Brasil, em São Paulo: a API na Fly.io e o banco de dados na Neon. Essas empresas têm sede nos Estados Unidos. Por isso, em situações pontuais de suporte técnico, segurança ou manutenção, pessoas dessas empresas ou de seus fornecedores podem acessar os sistemas a partir de outros países, o que a lei trata como transferência internacional. Nesses casos, [usamos as cláusulas-padrão contratuais aprovadas pela ANPD, assinadas em (data)] [ou, enquanto não estiverem assinadas: limitamos esse acesso ao mínimo necessário e não enviamos dados de saúde aos registros técnicos]. Empresas dos Estados Unidos também podem receber pedidos de autoridades daquele país para entregar dados. Se isso acontecer, exigimos por contrato que o fornecedor nos avise quando a lei permitir, conteste pedidos sem fundamento e entregue só o mínimo.

Logs técnicos da API na Fly.io. A Fly processa logs técnicos da API (o que o app escreve nos registros técnicos). Esses logs técnicos podem ficar fora do Brasil. Isso é distinto dos registros de acesso exigidos pelo Marco Civil da Internet, que ficam no Brasil (banco Neon), por 6 meses, com os campos descritos na seção 8. Nenhum log de produção pode guardar corpo de nota clínica, prompt ou resposta do auxílio de CIF.

Alguns fornecedores tratam dados nos Estados Unidos de forma contínua: a Vercel (funcionamento do site e do app; só endereço IP e dados de navegação, sem dados de saúde); a Resend (envio de e-mails; nome, e-mail e conteúdo do aviso); e a Stripe (pagamentos do Profissional). Para a Stripe usamos as cláusulas-padrão contratuais da ANPD incorporadas ao contrato da Stripe (Data Transfers Addendum, seção 11, versão de 18/11/2025). Para Vercel e Resend: [A CONFIRMAR: cláusulas da ANPD solicitadas em (data)]; enquanto isso, enviamos só o mínimo (sem dados de saúde). Você pode pedir a íntegra das cláusulas pelo e-mail privacy@beorigo.com; respondemos em até 15 dias. Você também pode apresentar petição à ANPD. Mais detalhes na página beorigo.app/transferencias (complemento à seção 7).

8. Retenção e exclusão (guarda de dados)

• Conta ativa: enquanto houver relação contratual / uso.
• Depois do fim da conta ou do contrato do Profissional. O acesso termina no fim do período pago. Por 90 dias depois disso, o Profissional pode pedir pelo e-mail privacy@beorigo.com uma cópia dos dados dos seus Alunos, que enviamos em até 15 dias. Terminado esse prazo, os dados do acompanhamento são excluídos ou anonimizados, salvo o que tivermos de guardar por lei (por exemplo, os registros de acesso por 6 meses e a prova de aceite). A guarda do prontuário pelo prazo do conselho profissional é responsabilidade do Profissional.
• Seus direitos. Você pode pedir: confirmação de que tratamos seus dados; acesso e cópia; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei; portabilidade; informação sobre com quem compartilhamos; revogação do consentimento e eliminação dos dados tratados com base nele; e revisão de decisões automatizadas (LGPD, art. 18). Hoje esses pedidos são feitos pelo e-mail privacy@beorigo.com, a partir do e-mail cadastrado na sua conta. Podemos pedir uma confirmação de identidade. Respondemos em até 15 dias. Quando o pedido envolver dados do seu acompanhamento (programa de exercícios, dor, notas), que são de responsabilidade do seu profissional, avisamos o profissional e cumprimos o que for decidido, informando você. Alguns dados podem ser guardados mesmo depois da exclusão, quando a lei exigir, pelo prazo necessário. Você também pode reclamar à Agência Nacional de Proteção de Dados (ANPD).
• O prazo de guarda do prontuário é responsabilidade do profissional (fisioterapia: no mínimo 5 anos pela Res. COFFITO 414/2012 e no mínimo 20 anos pela Lei 13.787/2018).
• Registros técnicos de funcionamento são guardados por até 30 dias, sem conteúdo dos seus dados de saúde.
• Os demais eventos de segurança (por exemplo, convites e alterações de vínculo) são guardados por 12 meses e depois excluídos.
• Prova de aceite: 5 anos após o fim da conta.
• Conta de Profissional nunca paga: exclusão após 12 meses sem uso (fica só a prova de aceite).

9. Seus direitos

[ver também a seção 8, \"Seus direitos\"]. Canal para pedidos sobre dados pessoais e contato do encarregado: privacy@beorigo.com. Suporte e cobrança: contact@beorigo.app.

10. Segurança

Criptografia em trânsito, controle de acesso por papel, logs mínimos, segregação de cobrança vs clínico. Sem número de cartão no banco beOrigo. A API e os logs técnicos não gravam conteúdo clínico.

11. Crianças e adolescentes

Para criar e usar uma conta no beOrigo é preciso ter 18 anos ou mais. Pessoas com menos de 18 anos não podem ter conta. Elas só podem ser acompanhadas pelo profissional como aluno sem acesso ao app, e o profissional declara que tem a autorização de um dos pais ou do responsável legal. Esses dados são tratados no melhor interesse da criança ou do adolescente. Se soubermos que uma conta pertence a menor de 18 anos, vamos suspendê-la e avisar o profissional.

12. Cookies, armazenamento local e indicação

No app usamos apenas tecnologias essenciais/funcionais para login e uso:

• Cookie HTTP first-party origo_logged_in (até 7 dias; SameSite=Lax; sem HttpOnly): indicador de sessão para roteamento; não substitui o token de acesso.
• localStorage: origo_access_token (JWT), origo_user (cache de perfil), origo_missing_docs (aceites pendentes). Chave legada origo_refresh_token é removida se existir.
• sessionStorage: preferências de sessão HEP/agenda (apagadas ao fechar a aba).
• A API não define cookies de autenticação no navegador.
• Sem cookies de análise, marketing ou pixels no código do app.

Detalhes: Política de Cookies publicada (mesmo carimbo GO).

Indicação (referral): a atribuição usa o parâmetro de URL ?ref= no cadastro/checkout e o registro no servidor. Não há cookie first-party de indicação. Textos antigos do app que falavam em cookie de cupom/indicação estão desatualizados e devem ser trocados por este §12.

12A. Programa de indicação

Quando alguém se cadastra com o seu código de indicação, registramos a ligação entre o seu código e a nova conta para liberar o teste, calcular comissão e prevenir fraudes. Quem indica vê status e valor conforme a tela do produto — não dados de saúde da pessoa indicada.

13. Alterações e aceite versionado

Mudanças materiais geram nova versão. Aceite no produto usa version_id v4.1-DOC-ACEITE-2026-09-24 (LegalAcceptance: privacy, terms_app, terms_saas, dpa). Cookies ficam fora do wire de aceite (política linkada).

Version badge on page: privacy_publicado_2026-09-25 · wire: v4.1-DOC-ACEITE-2026-09-24