Política de Privacidad — MyHealth

Versión (policy_version): 2.1 Última actualización: 23 de junio de 2026 Vigencia: a partir del 23 de junio de 2026.

En resumen (léalo primero)

MyHealth es una aplicación para iPhone que le ayuda a organizar su propio historial de salud, con el apoyo de un asistente de inteligencia artificial (IA) que lee los documentos y fotos que usted envíe para extraer y completar registros (que usted confirma antes de guardar) y ofrece una lectura educativa de apoyo. Usted reúne sus análisis, condiciones, medicaciones, vacunas, consultas, mediciones y documentos en un único lugar, y la app arma una línea de tiempo de su salud para prepararlo para la conversación con su médico.

Los puntos más importantes:

• Quién es usted queda separado de sus datos de salud. Su nombre, correo electrónico, teléfono y documento (como el CPF) quedan guardados en una bóveda cifrada (cifrado de campo autenticado — AEAD — determinista, con la biblioteca pgsodium, AES-256) y solo se descifran bajo su propia identidad, mediante una función segura. Las tablas clínicas se refieren a usted solo por un código (seudónimo).
• Sus datos quedan en Brasil. La base de datos está alojada en la región de São Paulo (sa-east-1).
• La IA recibe el contenido clínico de su historial — sin sus identificadores directos — y solo si usted lo consiente. Puede incluir análisis, medicaciones, síntomas, sueño y métricas de dispositivos vestibles, eventos de su dispositivo, hábitos de vida que usted declara (tabaco, alcohol, actividad, sueño) y registros de ciclo menstrual, además de su sexo y edad. El nombre, el CPF, el correo electrónico y el teléfono quedan cifrados en una bóveda aparte y no se envían a la IA. Sus datos no entrenan modelos. Ese procesamiento implica una transferencia internacional hacia los Estados Unidos (Anthropic). Vea las Secciones 6 y 9.
• La cuenta es para mayores de 18 años. Los menores solo entran como perfil gestionado por un responsable adulto (Sección 11).
• Las funciones de IA son de pago y consumen su cuota de uso (páginas analizadas y prompts del AI Chat). Hay una cortesía inicial gratuita, una suscripción que renueva la cuota cada ciclo y paquetes adicionales que no caducan. Las compras son procesadas por Apple (App Store); el uso de IA de un menor se cobra al responsable. Vea la Sección 9 y los Términos.
• Usted manda. Puede acceder, corregir, exportar (en formato estándar de salud FHIR R4 y en PDF), revocar consentimientos y eliminar su cuenta cuando quiera.
• MyHealth NO es un médico y no es un dispositivo médico. No realiza diagnósticos y no prescribe. Las lecturas y las respuestas del asistente de IA son educativas — usted debe siempre confirmar con su médico. Para prepararlo mejor para la consulta, la lectura educativa puede explicar el significado y el contexto de sus hallazgos (el mecanismo, lo que la práctica clínica suele investigar de forma general y lo que conviene llevar al especialista), pero sigue siendo información educativa: nunca define su diagnóstico, su conducta, su investigación ni su tratamiento — eso es decisión de su médico.
• Recordatorio de vacunas (perfiles de menores). Para el perfil de un dependiente menor de edad, la lectura educativa puede, con base en el calendario de inmunización recomendado (referencia de la OMS / de su país) y en las vacunas que usted registró, señalar de forma informativa que alguna vacuna puede estar pendiente. Es solo un recordatorio educativo al responsable: la ausencia de registro en la app NO significa que la vacuna no se haya aplicado (puede haberse administrado en otro lugar), no es una exigencia ni una recomendación individual de inmunización, y debe confirmarse en la cartilla, con el pediatra o en el servicio de inmunización.

El texto completo a continuación detalla todo esto y describe sus derechos legales.

1. Quiénes somos (el Responsable) y el Encargado/DPO

El responsable del tratamiento de sus datos personales ("Responsable" en la LGPD; "Controller" en el GDPR) es:

BAS AI — BAS ARTIFICIAL INTELLIGENCE LTDA

CNPJ: 64.106.409/0001-70

Sitio web: www.bas-ai.com

Dirección: Rua Gomes de Carvalho, 911, Vila Olímpia, São Paulo/SP, CEP 04547-003, Brasil

En este documento, "MyHealth", "nosotros" o "la aplicación" se refieren a ese Responsable.

Encargado del Tratamiento de Datos Personales (DPO)

Para cualquier asunto de privacidad y protección de datos, comuníquese con nuestro Encargado (LGPD Art. 41 / Data Protection Officer, GDPR Art. 37):

Correo electrónico: dpo@bas-ai.com

Nombre del Encargado: Guilherme Kaschny Bastian

Dirección para correspondencia: Rua Gomes de Carvalho, 911, Vila Olímpia, São Paulo/SP, CEP 04547-003, Brasil

Adoptamos el estándar del GDPR como base global de protección (el criterio más protector, aplicado a todos los usuarios), aunque el lanzamiento no ofrezca el servicio en la Unión Europea/EEE ni en el Reino Unido.

2. A quién se aplica esta Política

Esta Política se aplica a todas las personas que usan la aplicación MyHealth, en cualquier país. La app es global y multiidioma (portugués, inglés y español).

El lanzamiento inicial tiene foco en Brasil, pero, donde la ley de su país sea más protectora, ella prevalece. Tratamos la LGPD (Ley n.º 13.709/2018, Brasil) y el GDPR (Reglamento (UE) 2016/679) como nuestro estándar mínimo de protección en cualquier lugar, aplicado a todos los usuarios. La app se distribuye mundialmente, excepto en la Unión Europea/EEE y el Reino Unido, que quedan fuera del lanzamiento.

Usuarios en los Estados Unidos: divulgaciones suplementarias específicas para los EE. UU. — el Aviso de Privacidad de California (CCPA/CPRA) y la Divulgación de Datos de Salud del Consumidor de Washington (My Health My Data Act) — integran esta Política como documentos complementarios, publicados en https://www.bas-ai.com/myhealth/legal y prevaleciendo, para los residentes de esas jurisdicciones, en lo que sean más específicos.

Niños y adolescentes: el registro propio está destinado a mayores de 18 años. Los datos de menores solo pueden ser incluidos por un responsable legal, que gestiona el perfil del dependiente (ver Sección 11).

3. Qué datos recopilamos

Recopilamos solo lo necesario para que la app funcione (principio de minimización). A continuación, lo que recopilamos y dónde queda.

3.1 Datos de identidad (PII) — cifrados en bóveda

Los siguientes datos lo identifican a usted directamente y quedan guardados en una bóveda de identidad (identity_vault), cifrados campo a campo con cifrado autenticado (AEAD) determinista (biblioteca pgsodium, AES-256), físicamente separados de las tablas clínicas. Solo se descifran mediante una función segura, bajo su propia identidad:

• Nombre (o nombre para mostrar);
• Correo electrónico;
• Teléfono;
• Documento (por ejemplo, CPF).

Las tablas clínicas no contienen esos datos — se refieren a usted solo por un código de perfil (seudónimo). En el perfil seudonimizado guardamos solo el mínimo clínico-demográfico necesario para interpretar correctamente los datos (por ejemplo, sexo biológico y fecha de nacimiento/edad, importantes para los rangos de referencia de los análisis).

3.2 Datos de salud / sensibles (PHI)

Son datos personales sensibles (salud) y reciben la protección máxima. Recopilamos, conforme usted los registra o importa:

• Análisis y marcadores de laboratorio (valores, unidades, rangos de referencia, fechas);
• Condiciones y sistemas del cuerpo (línea "de la cabeza a los pies");
• Medicaciones (ítem, dosis, indicación, período, prescriptor, estado activo/inactivo);
• Alergias e intolerancias (sustancia, categoría, reacción, gravedad);
• Vacunas;
• Consultas / atenciones;
• Signos vitales y bioimpedancia — peso, porcentaje de grasa, masa magra, circunferencias, glucemia, presión arterial, frecuencia cardíaca, saturación, temperatura;
• Síntomas y molestias;
• Actividad física;
• Documentos e informes (PDFs, fotos y archivos de texto — análisis, recetas, informes, registros que usted envía);
• Historia familiar de salud;
• Equipo de cuidados (profesionales, área, institución, motivo);
• Tarjeta / información de emergencia (grupo sanguíneo, alergias, contacto de emergencia);
• Notas, preguntas y mensajes que usted escribe en la app (incluido el chat con el asistente de IA), en la medida en que contengan datos de salud.
• Eventos de dispositivo — eventos que su dispositivo registra: clasificación de ECG (ritmo sinusal / fibrilación auricular / no concluyente) con la frecuencia cardíaca media, notificaciones de ritmo irregular y de frecuencia cardíaca alta o baja, carga de fibrilación auricular, detección de caída y — cuando su dispositivo las ofrece — notificaciones de posibles señales de hipertensión y de condición cardiorrespiratoria baja. Guardamos la clasificación y los metadatos del evento — nunca el trazado bruto (forma de onda) del ECG, que permanece solo en su dispositivo y no se envía a la IA.
• Ciclo menstrual y salud reproductiva — flujo menstrual, sangrado intermenstrual, pruebas de ovulación, calidad del moco cervical y pruebas de embarazo, cuando usted los registra o los importa. Signos correlacionados, como la temperatura basal corporal, pueden importarse como signos vitales. Si usted es de sexo femenino y tiene 40 años o más, la app puede, de forma opcional, preguntar su fase en relación con la menopausia (aún menstrúa, en transición o ya en la menopausia — con la opción de no responder); esa información es autodeclarada por usted, no importada de Apple Salud, y ayuda a la IA a interpretar mejor sus hormonas (por ejemplo, FSH, LH y estradiol). No importamos registros de actividad sexual. Son datos sensibles con la misma protección máxima que los demás datos de salud.
• Hábitos de vida que usted informa — datos que usted declara, de forma opcional, en las tarjetas de la app: tabaquismo (y rango de cigarrillos por semana), consumo de alcohol (y rango de tragos por semana), nivel de actividad física y percepción de su sueño. Cuando usted autoriza el Procesamiento por IA (Sección 6), esos hábitos integran el contexto enviado a la IA.

Cuando esos datos se refieren a un menor bajo su guarda, se aplican las mismas protecciones (ver Sección 11).

3.3 Localidad e idioma (opcionales, en claro)

De forma opcional, para adaptar la experiencia y preparar funcionalidades futuras (como la recomendación de profesionales por ciudad), podemos guardar país, estado/provincia, ciudad y el idioma preferido. No recopilamos dirección completa, latitud/longitud ni ubicación precisa. Esos campos de localidad quedan en claro porque la granularidad "ciudad" no es, por sí sola, un dato sensible, y están protegidos por las mismas reglas de acceso de su cuenta. Cuando usted autoriza el Procesamiento por IA (Sección 6), el país de su perfil integra el contexto enviado a la IA, únicamente para regionalizar, de forma educativa, orientaciones de emergencia y de calendario de vacunación (el estado/provincia y la ciudad no se envían a la IA).

3.4 Datos de cuenta, sesión y seguridad

• Cuenta y autenticación: identificadores técnicos de la cuenta y tokens de sesión, para mantenerlo conectado con seguridad; autenticación en dos pasos (MFA/2FA vía TOTP), cuando usted la active.
• Notificaciones (push): cuando usted activa las notificaciones, guardamos un token técnico que su dispositivo genera, usado solo para entregar avisos de la app (p. ej., cuando su análisis queda listo). Es un identificador de entrega — no se usa para rastreo, no entrena la IA y no se comparte con terceros (solo transita por el servicio de push de Apple). Usted lo controla en el permiso de notificaciones de iOS y en el botón Notificaciones dentro de la app, y el contenido del aviso es genérico, sin datos de salud.
• Registros de acceso y auditoría (access_log): metadato de quién accedió a qué y cuándo (acción, tabla, origen, dirección IP de origen) — solo metadato, nunca el contenido clínico.
• Registros de consentimiento (consent_events): qué finalidad autorizó usted, la base legal, la versión de la Política y el momento — de forma inmutable (ver Sección 5).
• Uso y cobro de IA: registramos metadatos del uso de las funciones de IA (función, modelo, cantidad de tokens) y su saldo y consumo de cuota de uso (páginas y prompts) y de paquetes adicionales, para operar el cobro y prevenir abusos. Esos registros no contienen el contenido de salud analizado.

3.5 Datos de uso desidentificados

Recopilamos datos mínimos de estabilidad y diagnóstico (telemetría) — fallos, errores, rendimiento — de forma desidentificada y sin ningún contenido de salud, para mantener la app segura y en funcionamiento (ver Sección 13). Se trata de un tratamiento interno: no usamos SDK de analytics ni rastreo de terceros. Por autolimitación de minimización, retenemos esa telemetría por hasta cerca de 12 meses (ver Secciones 12 y 13).

3.6 Lo que NO recopilamos / NO hacemos

• No vendemos sus datos.
• No hacemos publicidad dirigida con base en su salud, ni usamos rastreadores de terceros que vean sus datos de salud.
• No recopilamos ubicación precisa, contactos del teléfono ni micrófono. La cámara y la galería solo se acceden en el momento exacto en que usted decide enviar un documento (permiso just-in-time).

4. Finalidades y bases legales

Toda actividad de tratamiento tiene una base legal. Como tratamos datos sensibles de salud, somos especialmente rigurosos: cada finalidad sensible se registra en nuestro registro de consentimiento con la base legal y la versión de la Política correspondientes.

Base legal del núcleo clínico — aclaración. La base primaria del tratamiento de su historial es su consentimiento específico y destacado (LGPD Art. 11, II, "a" / GDPR Art. 9(2)(a)), coherente con el posicionamiento de "historial soberano": usted autoriza, y puede revocar. Reservamos una base subsidiaria solo para lo que el consentimiento no cubre — seguridad de la información, integridad de los datos, cumplimiento de obligación legal y la propia operación de eliminación de la cuenta —, apoyada en la LGPD Art. 7, II y Art. 10 y en el GDPR Art. 6(1)(c) y (f). No adoptamos la hipótesis de tutela de la salud (LGPD Art. 11, II, "f" / GDPR Art. 9(2)(h)): en el GDPR, el Art. 9(3) condiciona esa hipótesis a la presencia, en el flujo, de un profesional de salud sujeto a deber de secreto, y no hay médico en el circuito de MyHealth.

5. Consentimiento y cómo revocarlo

Cuando usted autoriza una finalidad sensible, ese consentimiento es:

• Libre — la app funciona en lo esencial aunque usted no autorice la IA;
• Informado — explicamos la finalidad en el momento, en lenguaje claro;
• Específico y destacado — cada finalidad sensible tiene su propia solicitud (no un "acepto todo" genérico), como exige la LGPD para dato de salud;
• Revocable en cualquier momento — usted puede retirar una autorización en los ajustes, sin perder el acceso a lo que ya organizó.

Nuestro sistema solo ejecuta una operación si el consentimiento correspondiente está activo. Por ejemplo: si usted no autoriza el "Procesamiento por IA", la app no envía nada a la IA — esa verificación ocurre automáticamente, en el servidor (función has_active_consent), en cada operación.

Cómo funciona el registro: cada autorización o revocación se graba como un evento inmutable en nuestro registro de consentimiento (consent_events), con la finalidad, la base legal, el idioma y la versión de la Política vigente. Revocar no borra el historial del consentimiento — registra un nuevo evento que interrumpe el tratamiento futuro de esa finalidad.

La revocación no torna ilícito el tratamiento ya realizado lícitamente, pero interrumpe el uso futuro de esa finalidad. Usted no pierde el acceso al historial que ya había organizado.

6. Cómo la Inteligencia Artificial (IA) trata sus datos

La IA es pieza central de MyHealth (asistente y extracción de datos de documentos), por lo que lo explicamos con total transparencia. Nuestro proveedor de IA es Anthropic, que actúa como subencargado.

6.1 La IA recibe el contenido clínico de su historial, sin sus identificadores directos

• El contenido enviado a la IA es del propio usuario y solo se procesa mediante su consentimiento (ai_processing).
• El contenido clínico que enviamos a la IA, sin que enviemos sus identificadores directos (nombre, CPF, correo electrónico, teléfono) — sustituidos por sexo, edad y el año de nacimiento (sin día/mes) y, cuando esté disponible, por su país (únicamente para regionalizar, de forma educativa, orientaciones de emergencia y de calendario de vacunación — nunca la ciudad ni la ubicación precisa) — y sin los contactos de emergencia — puede incluir: marcadores y tendencias de análisis, mediciones y bioimpedancia, medicaciones, vacunas, alergias, síntomas, consultas y anotaciones, historia familiar, actividad física, datos de sueño y puntajes de dispositivos vestibles, eventos de dispositivo (clasificación de ECG, ritmo irregular, caída, posibles señales de hipertensión, condición cardiorrespiratoria baja), ciclo menstrual y datos reproductivos (incluida la fase de menopausa, cuando usted la informa), hábitos de vida que usted informa (tabaquismo y tiempo de uso, alcohol, actividad y sueño), el grupo sanguíneo y las observaciones de su tarjeta de emergencia, y el propio documento (foto/PDF) cuando usted solicita la extracción por IA — antes del envío, la aplicación intenta cubrir (tachar), directamente en su dispositivo, su nombre, CPF, correo electrónico y teléfono impresos en el documento, y usted puede cubrir áreas manualmente; el archivo original permanece intacto en su historial y la versión enviada a la IA es la tachada, cuando se genera. Esta redacción automática es best-effort: puede fallar en fotos de baja calidad o manuscritos y no es garantía de eliminación completa. No enviamos los contactos de su tarjeta de emergencia (nombre, teléfono, parentesco). Las anotaciones libres hechas por usted o por profesionales pueden, eventualmente, contener nombres — por eso recomendamos no insertar datos de identificación en campos de texto. En el chat con el asistente, el contexto puede incluir adicionalmente el historial de la propia conversación y el lugar y el profesional registrados en sus consultas — elementos que no entran en el análisis longitudinal del historial.
• La búsqueda en la web existe solo en el chat asistente, para conocimiento clínico general. Instruimos al modelo para que use solo términos clínicos genéricos, sin incluir sus valores, fechas, edad, nombres o identificadores. Esa protección se aplica por instrucción al modelo y no por un filtro técnico infalible; la búsqueda es ejecutada por la infraestructura de Anthropic. Las funciones de análisis del historial y de extracción de documentos no hacen búsqueda en la web.

6.2 NO usamos sus datos para entrenar IA

• Por los términos comerciales de Anthropic, sus datos (entradas y salidas) no se usan para entrenar ni mejorar modelos y son retenidos por un período limitado y luego eliminados (por regla, en hasta 30 días), salvo retención exigida por ley o para prevención de abuso. Esta relación está amparada en un DPA + SCC (Módulos 2/3, UK IDTA, adenda suiza) en vigor a través de los Términos Comerciales de Anthropic.

6.3 Salvaguardas técnicas

• El tráfico con la IA usa conexión cifrada (TLS).
• Aplicamos salvaguardas contra inyección de prompt y minimización del contenido enviado.
• La IA no toma decisiones automatizadas sobre usted en el sentido del GDPR Art. 22 / LGPD Art. 20: ella organiza y describe, no decide, no diagnostica y no prescribe. Usted revisa y confirma las informaciones, y las lecturas vienen marcadas como contenido a confirmar con su médico.
• La IA no detecta, no monitorea y no diagnostica riesgo de suicidio, autolesión o crisis psiquiátrica, y no contacta a nadie por usted. Si está en crisis, busque ayuda inmediata (en Brasil, CVV 188, 24h, gratuito; fuera de Brasil, la línea nacional de prevención). Vea la Sección 3.5 de los Términos de Uso.

6.4 Estándares y vocabularios abiertos (LOINC® / UCUM)

Para que el mismo examen proveniente de laboratorios distintos (con nombres, siglas e idiomas diferentes) se reconozca como un único parámetro y genere una línea de tiempo coherente, MyHealth normaliza los marcadores usando el vocabulario abierto LOINC® (Logical Observation Identifiers Names and Codes) y estandariza las unidades de medida con base en UCUM. Estos estándares son contenido de referencia licenciado, incorporado en la aplicación — funcionan como un diccionario y no reciben ningún dato personal suyo (Regenstrief Institute no es subprocesador y nada de su historial se le envía).

This product includes content from LOINC® (loinc.org). LOINC is copyright © 1995–2024, Regenstrief Institute, Inc. and the LOINC Committee, and is available at no cost under the LOINC license (loinc.org/license). LOINC® is a registered trademark of Regenstrief Institute, Inc.

6.5 Organización de medicamentos y suplementos (dato derivado, asistido por IA)

Para organizar su historial, la IA puede producir, a partir de los medicamentos y suplementos que usted registra, un dato derivado de organización: los principios activos descompuestos (una fórmula magistral se separa en los ingredientes de su etiqueta) y una categoría general; la vacuna canónica, la enfermedad prevista y la dosis en la serie (consolidando la misma vacuna bajo nombres distintos); y el alérgeno normalizado y su clase. Ese dato se genera a partir de lo que usted ya proporcionó (no recopilamos nada nuevo) y sirve para relacionar, por ejemplo, un principio activo con el marcador correspondiente de su análisis. Es educativo y asistido por IA — usted puede revisarlo y corregirlo, y no es una clasificación clínica, una prescripción ni una verificación de interacciones (vea el Aviso Médico, ítem 5.2). Los detalles del tratamiento por IA siguen las Secciones 6.1–6.3.

6.6 Documento a la espera de cuota/uso disponible

Cuando el cobro esté activo y usted no tenga cuota o uso disponible suficiente al momento del envío, un documento ya tachado (tras la redacción on-device descrita en 6.1) puede quedar guardado, sin análisis, hasta que haya cuota de la suscripción o un paquete adicional disponible — y entonces se analiza automáticamente. El documento espera en su propio historial, bajo las mismas protecciones de seguridad y acceso de su cuenta; nada se envía a la IA mientras el consentimiento de Procesamiento por IA (ai_processing) no esté activo y no haya uso disponible.

7. Compartir en familia (opt-in, solo lectura, revocable)

MyHealth permite que usted comparta su historial con un familiar, de forma controlada:

• Es opt-in: nada se comparte sin que usted lo inicie y autorice (family_sharing).
• El acceso es solo lectura y del historial completo (todo o nada — no es posible compartir solo partes): el familiar puede ver, pero no puede editar ni borrar.
• El vínculo se crea mediante un código de invitación de un solo uso, que expira en 7 días si no se utiliza.
• Usted puede revocar el vínculo en cualquier momento, finalizando el acceso.

El familiar también necesita ser usuario de la app. Ese acceso compartido es entre usted y la persona que usted elija — no es un compartir con terceros ni con fines comerciales.

8. Apple Health (HealthKit)

MyHealth permite importar mediciones de Apple Health (HealthKit) — peso, altura, composición corporal, glucemia, presión, frecuencia cardíaca, saturación y temperatura, además de métricas del día a día cuando su dispositivo las ofrece, como alteraciones respiratorias del sueño, tiempo a la luz del día y sesiones de atención plena (mindfulness) — y, cuando usted las autoriza en los permisos de iOS, también datos de ciclo menstrual y salud reproductiva (flujo menstrual, sangrado intermenstrual, pruebas de ovulación, calidad del moco cervical y pruebas de embarazo) a su historial. No importamos registros de actividad sexual.

• La importación es opcional y ocurre solo con su autorización explícita, concedida en los permisos de iOS. El acceso es solo de lectura — MyHealth no escribe datos en Apple Health.
• Los datos provenientes de Apple Health se usan exclusivamente para enriquecer su propio historial dentro de la app.
• En conformidad con la Directriz 5.1.3 de la App Store de Apple, los datos de Apple Health NUNCA se usan para marketing/publicidad, NUNCA se comparten con terceros para fines de propaganda o data mining, y NUNCA se usan para entrenar modelos de IA.

Conexión con pulseras y anillos inteligentes (Oura y WHOOP)

Además de Apple Health, usted puede, de forma opcional y revocable, conectar dispositivos vestibles de terceros, con consentimiento específico por proveedor (wearable_sync_oura, wearable_sync_whoop):

• Oura Ring: sueño y fases del sueño, puntajes diarios (sueño, preparación, actividad, estrés, resiliencia), desviación de temperatura, pasos, calorías, distancia, tiempo sedentario, SpO2, índice de alteraciones respiratorias del sueño, VO2max, edad cardiovascular, entrenamientos y sesiones de meditación.
• WHOOP: puntaje de recuperación, frecuencia cardíaca de reposo, variabilidad de la FC (HRV), SpO2, temperatura de la piel, carga (strain), sueño y entrenamientos.

La autorización usa OAuth: los tokens de acceso quedan cifrados (AES-256-GCM) en nuestro servidor y no son accesibles por la aplicación. Oura opera en Finlandia (Espacio Económico Europeo) y WHOOP en los Estados Unidos; conectar esos servicios implica transferencia internacional de entrada, bajo las salvaguardas de la Sección 9.1. Oura y WHOOP actúan como fuentes de datos (controladoras independientes de las propias plataformas), no como nuestros subencargados, y no reciben datos de su historial.

Al desconectar un dispositivo vestible:

• WHOOP: para cumplir las condiciones de uso de la API de WHOOP y por estándar de privacidad que adoptamos, solicitamos la revocación del acceso en WHOOP y eliminamos definitivamente todos los datos originados de WHOOP ya sincronizados (sueño, puntajes, mediciones, actividades y eventos). Recomendamos exportar antes, si desea conservar una copia.
• Oura / Apple Health: revocamos el acceso y eliminamos los tokens cifrados que guardamos. Los datos ya sincronizados permanecen en su historial, salvo que usted solicite su eliminación.

Los datos importados de dispositivos vestibles y de Apple Health siempre se graban en su propio historial (titular de la cuenta) y nunca en el perfil de un dependiente, aunque usted esté visualizando el perfil de un menor.

9. Subencargados y transferencias internacionales

Nosotros no vendemos sus datos. Para operar el servicio, usamos un conjunto mínimo de proveedores ("subencargados"/"encargados"), cada uno bajo contrato de tratamiento de datos (DPA) en vigor, confidencialidad y seguridad, tratando datos solo bajo nuestras instrucciones. Los tres subencargados de abajo tienen DPA/SCC vigentes: Supabase (firmado el 2026-06-18), Anthropic (vía Términos Comerciales, 2026-06-17) y Resend (vía EU-US DPF + SCC, 2026-06-17).

Oura y WHOOP no figuran en esta tabla: son fuentes de datos que usted conecta (Sección 8), actuando como controladoras independientes de las propias plataformas, y no como nuestros subencargados. Apple actúa como controladora independiente para distribución, HealthKit, push y pagos. Los DPA y las Cláusulas Contractuales Estándar (SCC) de nuestros tres subencargados (Supabase, Anthropic y Resend) están en vigor, conforme la columna "Salvaguardas". Mantenemos una página pública de subencargados actualizada en https://www.bas-ai.com/myhealth/legal/subprocessadores. Avisaremos antes de agregar un nuevo subencargado relevante.

9.1 Transferencias internacionales

Su historial queda almacenado en Brasil (São Paulo) — esa es la regla. Las transferencias hacia fuera de Brasil ocurren de forma limitada y con su autorización (intl_transfer): en el procesamiento por IA (Anthropic, Estados Unidos — Sección 6), en el cual enviamos el contenido clínico sin sus identificadores directos (en la extracción de documento, el propio archivo — tras una redacción automática on-device best-effort que intenta cubrir nombre, CPF, correo y teléfono; los identificadores no localizados pueden permanecer en el archivo); en la conexión de dispositivos vestibles (Oura, en Finlandia/EEE; WHOOP, en los Estados Unidos — Sección 8); y en la distribución por Apple (Estados Unidos). Cuando haya transferencia internacional, adoptamos las salvaguardas exigidas:

• LGPD (Art. 33): transferencia basada en consentimiento específico y/o en garantías contractuales adecuadas (cláusulas estándar), conforme regulación de la ANPD.
• GDPR (Art. 44–49): Cláusulas Contractuales Estándar (SCC) y/u otras garantías adecuadas para transferencias fuera del EEE, con evaluación de impacto de la transferencia cuando sea aplicable.

También podemos divulgar datos cuando sea exigido por ley (orden judicial o autoridad competente), siempre limitado a lo estrictamente necesario y, cuando esté legalmente permitido, notificándolo a usted.

10. Seguridad de la información

La confidencialidad de sus datos de salud es nuestro control número uno. Las principales medidas:

• Separación entre identidad y datos clínicos: quién es usted (nombre, correo electrónico, teléfono, documento) queda en una bóveda cifrada (identity_vault) con cifrado de campo autenticado (AEAD) determinista (pgsodium, AES-256), separada de las tablas clínicas, que se refieren a usted solo por un código.
• Descifrado controlado: la PII solo se descifra mediante una función segura, bajo su propia identidad, con registro de auditoría.
• Cifrado en reposo y en tránsito: base de datos y almacenamiento cifrados; comunicaciones por TLS.
• Control de acceso por fila (RLS) por verbo: la base de datos garantiza que solo usted (o un responsable/familiar autorizado) accede a sus datos — y los permisos de leer y escribir están separados.
• Autenticación en dos pasos (MFA/2FA vía TOTP): disponible para reforzar el acceso a su cuenta.
• Consentimientos versionados y registro de auditoría inmutable (solo metadato de acceso, nunca el contenido clínico).
• Salvaguardas de IA: eliminación de los identificadores directos (nombre, CPF, correo electrónico, teléfono) del contexto enviado, no envío de los contactos de la tarjeta de emergencia, minimización del contenido y protección contra inyección de prompt.

Buscamos alineación a las mejores prácticas internacionales de seguridad de la información en salud. Ningún sistema es 100% inmune; por eso mantenemos planes de respuesta a incidentes (ver Sección 14).

11. Datos de niños y adolescentes (menores)

La protección de niños y adolescentes observa el Estatuto del Niño y del Adolescente (Ley 8.069/1990), la Ley 15.211/2025 (ECA Digital), el Art. 14 de la LGPD y el Art. 8 del GDPR (EEE).

• El registro propio está destinado a mayores de 18 años (o a la mayoría de edad civil del país, si es superior).
• El menor no posee cuenta ni correo electrónico propios: existe solo como perfil gestionado dentro de la cuenta de un responsable adulto (campo managed_by), que declara esa condición.
• El perfil puede tener más de un responsable: el responsable principal invita a otro adulto mediante código de invitación con plazo de validez. Cada invitado recibe un rol: responsable (ve y edita) o acompañante (solo lectura). Toda autorización se verifica en el servidor, en cada operación.
• El consentimiento relativo al menor se registra identificando qué adulto lo concedió, observando el mejor interés del niño y del adolescente (LGPD Art. 14).
• Los recursos de pago de IA exigen rol de responsable y se cobran al responsable principal (titular pagador del perfil), independientemente de qué responsable los haya activado; el registro de uso permanece vinculado al perfil del menor para auditoría.
• Aplicamos a esos datos la misma protección máxima (bóveda de identidad, RLS, no-entrenamiento de IA). No dirigimos publicidad a menores. Los datos de dispositivos vestibles nunca siguen al perfil de un menor.
• El responsable puede, en cualquier momento, exportar los datos del dependiente y, en condición de responsable principal, eliminar de forma definitiva el perfil del dependiente y todos los datos asociados (exámenes, documentos y registros) — la eliminación es permanente.

Adoptamos, en cualquier país, el límite único de 18 años para cuenta propia. Ese requisito se refiere a la titularidad de la cuenta y no se confunde con la edad de consentimiento digital autónomo del GDPR (Art. 8, entre 13 y 16 años según el país). Por debajo de 18, el tratamiento de datos solo ocurre mediante un perfil gestionado por un responsable adulto.

Usuarios en los Estados Unidos (COPPA): MyHealth no ofrece cuentas a menores ni recopila datos directamente de niños. Cualquier dato de menor es insertado y controlado por un adulto responsable, que ejerce el consentimiento parental verificable.

12. Retención y descarte

Adoptamos el principio de minimización: guardamos cada categoría de dato solo por el tiempo necesario a su finalidad o exigido por ley. Como MyHealth se distribuye mundialmente, aplicamos el criterio más protector entre las leyes aplicables: por defecto, la eliminación borra la identidad, y la retención es la excepción, accionada únicamente cuando una ley concreta la exige.

12.1 Plazos de retención

Cómo se protege la identidad cuando se retiene: cuando hay transacción y la ley fiscal exige guarda, mantenemos el nombre y el correo cifrados (misma protección de la bóveda de identidad), en una tabla aislada, accesible únicamente por el servicio interno (RLS, sin acceso de usuario), y la borramos automáticamente al final del plazo. No guardamos su correo en texto legible.

12.2 Eliminación definitiva de la cuenta (derecho al borrado — LGPD Art. 18, VI / GDPR Art. 17 / equivalentes locales)

La eliminación está disponible directamente en la app, en Perfil › Privacidad › Eliminar mi cuenta (exigencia de Apple). Al confirmar, ejecutamos la eliminación permanente en cascada — una operación inmediata — de todo su historial clínico (análisis, condiciones, medicaciones, vacunas, documentos, mediciones, historial, consultas, conversaciones con la IA, datos de dispositivos vestibles) y de los archivos en el almacenamiento, revocamos las conexiones de dispositivos vestibles y cerramos su cuenta de acceso.

Dependientes gestionados y migración de guarda. La eliminación de su cuenta también borra los datos y los archivos de los dependientes que usted gestiona (perfiles de menores bajo su guarda). Antes de concluir, si un menor tiene otro responsable ya vinculado, la app ofrece migrar la guarda de ese menor al co-responsable existente — de modo que el perfil del menor sobrevive con él, en lugar de ser borrado. Si usted opta por no migrar, el perfil del dependiente se elimina junto con su cuenta. En cualquier caso, nunca retenemos el nombre ni el correo del menor por motivo fiscal (ver abajo).

Las copias de seguridad (backups) pueden, por un corto período, todavía contener datos ya eliminados: son sobrescritas en el ciclo normal de nuestro encargado (Supabase, alrededor de 14 días — bien dentro de los 6 meses), y los contratos de tratamiento de datos (DPA) con Supabase y Anthropic rigen el descarte de cualesquiera copias residuales. (No alegamos "destrucción de claves" ni purga instantánea del backup.)

La eliminación de su identidad depende de si usted hizo, o no, una compra:

• Si usted nunca hizo ninguna compra (suscripción o paquetes): borramos también su nombre y su correo en la eliminación. No creamos ningún registro de identidad que sobreviva. La eliminación es, para usted, la cesación real del tratamiento de su identidad.
• Si usted hizo al menos una compra: la ley fiscal/contable de su país nos obliga a guardar el registro de la transacción por un plazo (en Brasil, 5 años). Para ello mantenemos un registro contable mínimo y, cuando sea indispensable vincularlo a usted, su nombre y correo cifrados — aislados, accesibles únicamente mediante solicitud judicial o de autoridad competente, y borrados automáticamente al final del plazo legal.

Recibo de eliminación (accountability — LGPD Art. 6º, X): podemos confirmar la conclusión de la eliminación mediante solicitud al DPO. La eliminación no es total — permanecen los registros mínimos descritos a continuación, por imposición legal.

Lo que siempre permanece después de la eliminación, para cualquier usuario:

• Registro mínimo de la eliminación, sin ningún dato personal y con su identidad sustituida por un código irreversible (no permite reidentificarlo), solo para comprobar que la eliminación ocurrió.
• Registros de acceso por el período de guarda de 6 meses (12.1), proporcionados únicamente mediante solicitud judicial o de autoridad competente.
• Registros de consentimiento desvinculados de su perfil (sustituimos el identificador por un código seudónimo, separado por una clave que no queda en la base de datos), mantenidos solo como prueba de licitud por el plazo prescripcional. Tratamos esto como dato seudonimizado, no como dato anónimo irreversible.
• Opcional — investigación: si, y solo si, usted lo autoriza al momento de la eliminación, mantenemos sus marcadores de forma seudonimizada — sin nombre, sin identificador de perfil (profile_id), sin texto libre y sin fecha exacta, guardando solo sexo, franja etaria y el año, en cohortes aleatorias. Tratamos esto como dato seudonimizado, y no como dato anónimo irreversible: la reidentificación es improbable, pero no la declaramos imposible. Usted puede rechazarlo y aun así eliminar la cuenta.

Perfiles de dependientes (menores): al eliminar el perfil de un menor, nunca retenemos el nombre ni el correo del menor por motivo fiscal — la obligación fiscal, si la hay, pertenece al responsable pagador, y no al perfil del menor. Para el menor, el borrado de la identidad es la regla; queda solo el registro mínimo de eliminación por código irreversible.

Usuarios en jurisdicciones con derecho de eliminación reforzado (ej.: Washington — My Health My Data Act): tratamos la solicitud como eliminación de dato de salud del consumidor — borramos la identidad (sin invocar plazo fiscal contra quien no transaccionó) y el descarte de las copias residuales en los encargados ocurre dentro de 6 meses, conforme a los respectivos contratos de tratamiento (DPA).

12.3 Fallecimiento del titular

La LGPD y el GDPR protegen a personas vivas y, por regla, no alcanzan al fallecido (ANPD, Nota Técnica n.º 3/2023; GDPR, Considerando 27). Aun así, el historial de una persona fallecida involucra derechos de la personalidad que sobreviven a la muerte (Código Civil, Art. 12, párrafo único) y cuestiones de sucesión.

• El heredero no hereda el acceso al contenido del historial. El Superior Tribunal de Justicia (REsp 2.124.424/SP) trató los registros de salud como bien existencial no transmisible — ligado a la intimidad de la persona, y no a su patrimonio.
• Por eso, no realizamos la eliminación total a pedido de terceros (permanecen, aun así, los registros de acceso por 6 meses y los fiscales por 5 años — 12.1), ni entregamos el contenido clínico a herederos como si fuera herencia.
• Los pedidos relacionados con el fallecimiento de un titular (por ejemplo, cesar el tratamiento, o medidas previstas en el Art. 12, párrafo único, del Código Civil por quien tenga legitimidad) deben dirigirse a nuestro DPO (Sección 1), mediante prueba del fallecimiento y de la legitimidad de quien solicita. Evaluamos cada pedido a la luz de la ley aplicable.

12-A. Notificaciones y recordatorios (opt-in)

MyHealth puede enviar recordatorios en su iPhone — sobre medicación, un check-in de bienestar, su agenda (consultas/exámenes/seguimientos/vacunas) y algunos avisos del servidor (cuando un análisis queda listo, cuando uno de sus exámenes se actualiza y cuando se acerca una consulta de seguimiento). Puntos importantes:

• Notificaciones LOCALES vs. push remoto. Muchas notificaciones son LOCALES, programadas en su propio dispositivo (medicación, check-in y compromisos de la agenda) — para esas no usamos servidor de envío. Otras se entregan por push remoto (APNs, de Apple) porque el evento ocurre en el servidor, en tres casos: (a) un análisis quedó listo; (b) uno de sus exámenes se actualizó (un marcador que estaba fuera de rango recibió un resultado nuevo); y (c) una consulta de seguimiento se aproxima. Para el push remoto guardamos un token técnico de entrega de su dispositivo (ver Sección 3.4) y el contenido del aviso es genérico, de texto fijo, sin datos de salud ("Uno de sus exámenes fue actualizado", "Tiene una consulta de seguimiento") — nunca el nombre del examen, marcador, valor ni médico. El token es un identificador de entrega — no es rastreo, no entrena la IA y no se comparte con terceros más allá del servicio de push de Apple. Para no molestar, lo limitamos a un aviso interruptivo por día y respetamos su franja de silencio; cada categoría puede desactivarse por separado en Perfil › Notificaciones.
• Opt-in granular y revocable. Cada tipo está desactivado por defecto (medicación y check-in) o lo controla usted en Perfil › Notificaciones, donde elige qué recibir, los horarios y la franja de silencio. Puede desactivar todo en cualquier momento (en la app o en los Ajustes de iOS). La base legal es el consentimiento (LGPD Art. 7, I y Art. 11, I; GDPR Art. 6(1)(a) y Art. 9(2)(a)).
• Contenido minimizado en la pantalla de bloqueo. La notificación nunca muestra valores de examen, diagnóstico, nombre de enfermedad, nombre de medicamento, especialidad ni el resumen de la IA. Solo indica que existe algo y dónde ("¿Tomó sus medicamentos hoy?", "Su análisis está listo. Toque para verlo en la app.", "Mañana: Consulta"). El contenido clínico queda solo dentro de la app. Recuerde que la pantalla de bloqueo puede ser vista por terceros y leída en voz alta por Siri — por eso iOS permite ocultar las vistas previas (Ajustes › Notificaciones › Mostrar vistas previas: Cuando esté desbloqueado).
• Responda desde la propia notificación. Puede contestar ciertos recordatorios en la notificación (p. ej., "Tomé todas" / "Más o menos"). Esas respuestas son dato de salud (adherencia a la medicación, bienestar) y se guardan en su historial con la misma protección que sus demás datos de salud; nada de eso aparece en la pantalla de bloqueo.
• Menores: cuando el recordatorio es de un perfil de dependiente, el aviso en el dispositivo del responsable es genérico ("Recordatorio de un dependiente") y nunca expone el nombre ni ningún dato de salud del menor.
• Los recordatorios de reexamen y de actualización son educativos y universales. Algunos recordatorios señalan que puede ser hora de repetir un análisis de rutina, actualizar un registro (p. ej., el peso) o revisar un control/dispositivo. Se basan solo en intervalos genéricos de referencia (p. ej., los análisis de rutina suelen repetirse periódicamente) y en las fechas de sus propios registros — no recopilamos nada nuevo y la app no calcula un plazo individual a partir de su resultado. No son una recomendación clínica individual: el intervalo correcto debe confirmarse con su médico.

13. Cookies, telemetría y rastreo

MyHealth es una aplicación nativa de iPhone (no un sitio web), por lo que no usa cookies de navegación en el sentido tradicional.

• Telemetría técnica desidentificada: recopilamos datos mínimos de estabilidad y diagnóstico (fallos, errores, rendimiento), sin contenido de salud, para mantener la app segura y en funcionamiento. Ese es un tratamiento interno: no embarcamos SDK de analytics ni ningún rastreador de terceros. Por autolimitación de minimización, mantenemos esa telemetría por hasta cerca de 12 meses (ver Sección 12).
• Sin rastreadores de terceros con acceso a datos de salud y sin venta de datos. No hacemos rastreo entre apps/sitios para fines de publicidad.
• Etiquetas de privacidad de la App Store: nuestras declaraciones en la App Store reflejan lo que está descrito aquí.

Hoy no usamos ninguna herramienta de analytics o rastreo de terceros; si eso cambia, actualizaremos esta Política y la página de subencargados antes de la activación, con nuevo aviso — revisando también las etiquetas de privacidad de la App Store y la necesidad (o no) de App Tracking Transparency (ATT).

14. Incidentes de seguridad y notificación

Mantenemos planes de respuesta a incidentes. En caso de un incidente de seguridad que pueda generar riesgo relevante para usted:

• LGPD (Art. 48): comunicaremos a la Autoridad Nacional de Protección de Datos (ANPD) y a usted, en plazo razonable, indicando la naturaleza del incidente, los datos afectados, las medidas adoptadas y las recomendaciones para que usted se proteja.
• GDPR (Art. 33–34): notificaremos a la autoridad de control competente, por regla en hasta 72 horas, y lo comunicaremos a usted cuando haya alto riesgo para sus derechos y libertades.

15. Sus derechos

Usted es el titular de sus datos y tiene derechos garantizados por la LGPD (Art. 18) y por el GDPR (Capítulo III):

Cómo ejercerlos: muchos derechos se ejercen directamente en la app (revisar, exportar, eliminar, revocar consentimiento). Para los demás, o si algo no funciona, escriba a nuestro DPO (Sección 1). Respondemos en el plazo legal (por regla, hasta 15 días para confirmación de existencia o acceso, conforme la LGPD; hasta 30 días bajo el GDPR, prorrogables cuando la ley lo permita).

Reclamaciones: si usted entiende que tratamos sus datos de forma inadecuada, puede reclamar a la autoridad competente — en Brasil, la ANPD (https://www.gov.br/anpd); en Europa, la autoridad de protección de datos de su país. Le pedimos, sin embargo, que hable antes con nuestro DPO — queremos resolverlo directamente con usted.

16. MyHealth NO es un servicio médico

• MyHealth es una herramienta de organización y educación sobre su propia salud, que lo prepara para la consulta con profesionales de salud y ofrece una lectura educativa de apoyo por IA.
• NO realiza diagnósticos, NO prescribe tratamiento y NO sustituye la evaluación de un médico o profesional de salud habilitado.
• Las lecturas y las respuestas del asistente de IA sirven para llevar preguntas e informaciones a su médico — usted debe siempre confirmar con su médico antes de cualquier decisión.
• MyHealth no es un dispositivo médico (no es "SaMD") y no debe usarse como tal.
• En emergencia, busque atención médica inmediatamente — no use la app para eso.

17. Cambios en esta Política y versionado

Podemos actualizar esta Política para reflejar cambios en la app, en proveedores o en la ley. La Política tiene versión (policy_version):

• La app recoge su aceptación en el registro, vinculada a la versión vigente;
• Actualizamos la versión y la fecha en la parte superior cuando hay un cambio;
• Le avisamos en la app y/o por correo electrónico; y, cuando el cambio lo exija, pediremos una NUEVA aceptación — la app exige nueva aceptación cuando la versión cambia — registrándola de forma inmutable en nuestro registro de consentimiento.

El historial de versiones queda publicado en https://www.bas-ai.com/myhealth/legal/versoes; cada versión aceptada permanece archivada.

18. Contáctenos

Dudas, pedidos o reclamaciones sobre sus datos:

• Encargado/DPO: dpo@bas-ai.com
• Responsable: BAS ARTIFICIAL INTELLIGENCE LTDA — CNPJ 64.106.409/0001-70 — www.bas-ai.com — Rua Gomes de Carvalho, 911, Vila Olímpia, São Paulo/SP, CEP 04547-003, Brasil
• Página de subencargados: https://www.bas-ai.com/myhealth/legal/subprocessadores

MyHealth — su historial, soberano y privado. Esta Política fue redactada en portugués como base para la traducción a los demás idiomas de la app (como mínimo PT/EN/ES). En caso de divergencia entre versiones, prevalece el portugués.