1. O que é o Alloro
O Alloro é um aplicativo de registro clínico e apoio à redação de relatórios terapêuticos, para uso de profissionais (por exemplo, fonoaudiólogos e terapeutas). Ele não realiza diagnóstico e não substitui o julgamento profissional. Os dados de pacientes são do profissional ou da clínica que os registra.
2. Quais dados tratamos
- Conta do profissional: nome, e-mail e credenciais (senha guardada apenas como hash Argon2, nunca em texto; ou o identificador de login Apple/Google). Registro profissional (conselho de classe), usado para assinar relatórios.
- Dados de pacientes inseridos pelo profissional: nome, data de nascimento, sexo, contato, escola, convênio, encaminhamento e diagnóstico, dados do responsável (quando menor) e o histórico clínico (anamnese, protocolos e evoluções de sessão). São dados pessoais sensíveis de saúde (LGPD, art. 11), inseridos pelo profissional sob a responsabilidade dele.
- Dados de clínica: nome, contato, expediente e equipe (vínculos e papéis).
- Assinatura: o estado da assinatura vem da Apple (StoreKit). Não recebemos nem guardamos dados de cartão; a cobrança é inteiramente da Apple.
- Dados técnicos mínimos necessários à sincronização (identificadores e carimbos de tempo).
- Dados de funcionamento e de uso do app: relatórios de falha e de desempenho (fornecidos pelo próprio iOS), registros de erro e de tempo de resposta de cada chamada ao servidor (inclusive às ferramentas de IA: quanto texto foi processado e quanto custou, nunca o conteúdo), e quais telas e funções são usadas e quanto tempo leva cada registro. Vão ligados à sua conta, à clínica em uso e a um identificador aleatório desta instalação do app (não é o identificador de publicidade), e ficam no nosso próprio servidor, sem ferramentas de análise de terceiros. Nunca incluem nome de paciente nem o conteúdo do prontuário. Os dados de uso podem ser desligados em Configurações › Dados de uso; os de falha e desempenho continuam, porque são eles que avisam quando algo quebra.
O Alloro não usa rastreadores de publicidade, não vende dados e não os compartilha para fins de marketing.
3. Para que usamos, e a base legal (LGPD)
- Operar o registro clínico e a sincronização entre aparelhos — execução de contrato com o profissional.
- Tratar dados de saúde de pacientes — sob a regra do art. 11 da LGPD, na responsabilidade do profissional de saúde ou da clínica, que é quem obtém o consentimento ou aplica a base legal cabível junto ao paciente ou ao responsável.
- Autenticar o acesso e manter a segurança da conta — legítimo interesse e cumprimento de obrigações de segurança.
- Diagnosticar falhas, medir o desempenho e entender como o app é usado, para corrigi-lo e melhorá-lo — legítimo interesse (LGPD, art. 7º, IX). Você pode se opor aos dados de uso a qualquer momento, desligando-os em Configurações › Dados de uso.
4. Com quem compartilhamos
- Equipe da clínica: os dados de pacientes de uma clínica são visíveis aos membros dela, conforme o papel de cada um (administrador, editor ou visualizador).
- Provedor de infraestrutura: Hetzner Online GmbH (Alemanha), que hospeda o servidor e o banco de dados.
- Armazenamento de arquivos: os relatórios em PDF ou Word que o profissional anexa são guardados na Cloudflare (serviço Cloudflare R2).
- Recursos de IA: o Alloro usa modelos de linguagem, acessados pelo intermediário OpenRouter, quando o profissional aciona um destes recursos:
- geração de relatório — trechos do prontuário do paciente na janela escolhida;
- sugestões de atendimento — as evoluções anteriores do paciente;
- ditado do relato — o áudio gravado no app (até 1 minuto) é transcrito e a transcrição é redigida como relato;
- transcrição de consulta — o áudio da consulta, em trechos, é transcrito e a transcrição é organizada como conversa; o áudio fica guardado no armazenamento de arquivos para o profissional ouvir depois, e pode ser apagado por ele;
- melhorar o texto — o relato que o profissional escreveu;
- sugestão de objetivos terapêuticos — a queixa principal.
O áudio não é pseudonimizado. No ditado e na transcrição de consulta, o áudio segue como foi gravado para o serviço de transcrição: a voz e tudo o que foi falado, inclusive nomes de pacientes, responsáveis e do profissional, chegam a esse serviço, porque não há como ocultar um nome dentro de uma gravação. Só depois de transcrito o texto é pseudonimizado e segue para o modelo de linguagem; nessa etapa, um nome que a transcrição tenha escrito diferente do cadastro, um apelido ou um sobrenome que não consta no cadastro pode passar. Por isso, recomendamos não ditar dados de identificação além do necessário. Preferimos provedores sem retenção do conteúdo enviado.
Conferência automática. O relatório, a sugestão de atendimento e a conversa organizada da transcrição de consulta podem ser conferidos por um classificador automático (Jev, da TypeSafe, também acessado pela OpenRouter), que verifica se o texto gerado é fiel ao prontuário ou à transcrição. Ele recebe o mesmo texto pseudonimizado enviado ao modelo de linguagem e o texto gerado, com pedido de não coleta para treino, e devolve apenas uma nota. - Login social: quando o profissional escolhe entrar com Apple ou Google, o provedor confirma a identidade dele. Não compartilhamos dados de pacientes com esses provedores.
- Autoridades: quando exigido por lei ou ordem judicial.
5. Onde os dados ficam
Os dados são hospedados em servidores da Hetzner, na Alemanha (União Europeia). Como o controlador está no Brasil, há transferência internacional de dados (LGPD, arts. 33 a 36), amparada em cláusulas contratuais de proteção de dados com cada operador. Além da Alemanha, os dados podem ser tratados:
- nos Estados Unidos, pela Cloudflare (arquivos anexados) e pela OpenRouter (intermediário dos recursos de IA);
- no país do provedor do modelo de IA que atende cada pedido, escolhido pela OpenRouter dentro de uma lista que mantemos. Esses provedores podem estar nos Estados Unidos, na União Europeia ou na Ásia, inclusive na China.
6. Por quanto tempo guardamos
Os registros em texto, enquanto a sua conta existir; os arquivos anexados, enquanto a assinatura estiver ativa (veja abaixo). Os dados de pacientes são prontuário sob a guarda do profissional que os registrou: cabe a ele observar o prazo mínimo de guarda exigido pelo seu conselho de classe. Para registros de saúde no Brasil, esse prazo costuma ser de no mínimo 20 anos a contar do último registro; confirme o prazo aplicável à sua profissão. Ao apagar a sua conta, seus dados pessoais são apagados ou anonimizados conforme a seção 8; os registros clínicos que você criou em clínicas compartilhadas permanecem com a clínica, como prontuário, desvinculados de você.
Arquivos anexados — guardados só enquanto a assinatura estiver ativa. Fotos, vídeos, laudos, documentos e os arquivos dos relatórios assinados (a seção Arquivos do paciente) ficam guardados enquanto a assinatura da clínica estiver ativa. Se a assinatura deixar de valer — porque foi cancelada, venceu sem renovação ou foi reembolsada —, os arquivos são apagados de vez 45 dias depois, sem possibilidade de recuperação. Durante esse prazo o app avisa, na tela e por notificação, o dono da clínica e cada profissional que tem arquivos nela; todos continuam podendo abrir e exportar os arquivos que leem. Voltar a assinar antes do prazo cancela a exclusão. Os registros em texto continuam guardados como prontuário: cadastro, evoluções, formulários, o texto dos relatórios escritos no Alloro e, dos documentos enviados em PDF ou Word, o texto e os dados informados (tipo, datas, autoria). O arquivo de cada relatório assinado é gerado de novo se a assinatura voltar. Como os arquivos podem fazer parte do prontuário, guardar uma cópia exportada é responsabilidade do profissional que precisa cumprir o prazo de guarda da sua profissão.
Os dados de funcionamento e de uso do app são guardados por no máximo 12 meses (o registro de cada requisição, por 30 dias) e depois apagados automaticamente. Ao apagar a conta, os dados de uso ligados a ela são apagados na hora, e os de funcionamento perdem o vínculo com você.
7. Segurança
Conexão sempre por HTTPS/TLS; senhas guardadas apenas como hash Argon2; autorização por papéis no servidor, com o conteúdo clínico separado por autor; segredos e chaves ficam só no servidor. As sessões podem ser encerradas remotamente. Nenhum sistema é totalmente seguro, mas adotamos medidas técnicas e organizacionais razoáveis e proporcionais à sensibilidade do dado.
8. Seus direitos e a exclusão de conta
Você pode, pelo app ou pelo contato acima, acessar, corrigir e apagar seus dados (LGPD, arts. 18 a 20). Ao apagar a conta (aba Conta, opção “Apagar minha conta”):
- Sua conta e os dados que são só seus são apagados, inclusive o workspace pessoal e o seu conteúdo.
- Os registros em clínicas compartilhadas permanecem com a equipe, por serem prontuário da clínica, mas desvinculados dos seus dados pessoais (sua conta é anonimizada).
- A operação não tem como ser desfeita.
9. Crianças e adolescentes
O app registra dados de pacientes que podem ser menores, inseridos pelo profissional, com a base legal ou o consentimento do responsável obtido por ele. O Alloro destina-se a profissionais, não a menores como usuários finais.
10. Alterações
Esta política pode ser atualizada. A data no topo indica a versão vigente.
11. Contato
Dúvidas sobre privacidade ou pedidos relativos aos seus dados: support@alloro.site.