Política de Privacidad — MyHealth

Versión (policy_version): 3.1 Última actualización: 16 de julio de 2026 Vigencia: a partir del 16 de julio de 2026. Cambios (3.1, 2026-07-16): Se activa el Soporte asistido por IA (Sección 6.7): cuando un agente usa apoyo de IA para redactar o traducir la respuesta del soporte, el texto de su conversación puede enviarse a la IA (Anthropic (Claude), EE. UU.) solo para preparar un borrador, revisado por un agente humano antes de enviar — nunca su historial clínico; antes del envío el texto se minimiza (best-effort, no es una desidentificación). Corre bajo un consentimiento nuevo, dedicado y desagregado (support_ai_share), separado del Procesamiento por IA general y desactivado por defecto (el producto de pago funciona por completo si usted lo rechaza), junto con la Transferencia internacional. Para quienes escriben al soporte sin cuenta, adoptamos un modelo consent-first: dos consentimientos separados (tratar el mensaje y transferirlo a Anthropic/EE. UU.) antes de cualquier uso de IA. Amparado por el DPA + SCC ya vigente con Anthropic (sin uso para entrenamiento; retención propia de Anthropic, ~30 días); sin nuevo subencargado. Dispara el re-consentimiento de todos. Cambios (3.0, 2026-07-15): Nueva excepción opcional al cuerpo neutro de los avisos (Sección 12-A): con el "Titular del día" activo, el titular adulto puede incluir, en los avisos derivados de sus propios datos, un pequeño detalle del dato — p. ej., minutos restantes para su meta de actividad, o que durmió por encima de su habitual (la variante "por debajo" no existe). Lista cerrada de frases — nunca diagnóstico, valor de examen, juicio ni urgencia. Opt-in por dispositivo, desactivado por defecto, revocable con efecto inmediato; dependientes/gestionados quedan excluidos. También en esta versión: nuevos titulares de lista cerrada por dominio (sueño, meta de actividad, examen con resultado nuevo, semana parcial, constancia), aviso en la víspera de consulta con el resumen de preparación listo y aviso técnico de sensor sin sincronizar. Base legal: consentimiento específico y explícito (LGPD Art. 7, I y Art. 11, I; RGPD Art. 6(1)(a) y Art. 9(2)(a)). Dispara el re-consentimiento de todos.

En resumen (léalo primero)

MyHealth es una aplicación para iPhone que le ayuda a organizar su propio historial de salud, con el apoyo de un asistente de inteligencia artificial (IA) que lee los documentos y fotos que usted envíe para extraer y completar registros (que usted confirma antes de guardar) y ofrece una lectura educativa de apoyo. Usted reúne sus análisis, condiciones, medicaciones, vacunas, consultas, mediciones y documentos en un único lugar, y la app arma una línea de tiempo de su salud para prepararlo para la conversación con su médico.

Los puntos más importantes:

• Quién es usted queda separado de sus datos de salud. Su nombre, correo electrónico, teléfono y documento (como el CPF) quedan guardados en una bóveda cifrada (cifrado de campo autenticado — AEAD — determinista, con la biblioteca pgsodium, AES-256) y solo se descifran bajo su propia identidad, mediante una función segura. Las tablas clínicas se refieren a usted solo por un código (seudónimo).
• Sus datos quedan en Brasil. La base de datos está alojada en la región de São Paulo (sa-east-1).
• La IA recibe el contenido clínico de su historial — sin sus identificadores directos — y solo si usted lo consiente. Puede incluir análisis, medicaciones, síntomas, sueño y métricas de dispositivos vestibles, eventos de su dispositivo, hábitos de vida que usted declara (tabaco, alcohol, actividad, sueño) y registros de ciclo menstrual, además de su sexo y edad. El nombre, el CPF, el correo electrónico y el teléfono quedan cifrados en una bóveda aparte y no se envían a la IA. Sus datos no entrenan modelos. Ese procesamiento implica una transferencia internacional hacia los Estados Unidos (Anthropic). Vea las Secciones 6 y 9.
• La cuenta es para mayores de 18 años. Los menores solo entran como perfil gestionado por un responsable adulto (Sección 11).
• Las funciones de IA son de pago y consumen su cuota de uso (páginas analizadas y prompts del AI Chat). Hay una cortesía inicial gratuita, una suscripción que renueva la cuota cada ciclo y paquetes adicionales que no caducan. Las compras son procesadas por Apple (App Store); el uso de IA de un menor se cobra al responsable. Vea la Sección 9 y los Términos.
• Usted manda. Puede acceder, corregir, exportar (en formato estándar de salud FHIR R4 y en PDF), revocar consentimientos y eliminar su cuenta cuando quiera.
• MyHealth NO es un médico y no es un dispositivo médico. No realiza diagnósticos y no prescribe. Las lecturas y las respuestas del asistente de IA son educativas — usted debe siempre confirmar con su médico. Para prepararlo mejor para la consulta, la lectura educativa puede explicar el significado y el contexto de sus hallazgos (el mecanismo, lo que la práctica clínica suele investigar de forma general y lo que conviene llevar al especialista), pero sigue siendo información educativa: nunca define su diagnóstico, su conducta, su investigación ni su tratamiento — eso es decisión de su médico.
• Recordatorio de vacunas (perfiles de menores). Para el perfil de un dependiente menor de edad, la lectura educativa puede, con base en el calendario de inmunización recomendado (referencia de la OMS / de su país) y en las vacunas que usted registró, señalar de forma informativa que alguna vacuna puede estar pendiente. Es solo un recordatorio educativo al responsable: la ausencia de registro en la app NO significa que la vacuna no se haya aplicado (puede haberse administrado en otro lugar), no es una exigencia ni una recomendación individual de inmunización, y debe confirmarse en la cartilla, con el pediatra o en el servicio de inmunización.

El texto completo a continuación detalla todo esto y describe sus derechos legales.

1. Quiénes somos (el Responsable) y el Encargado/DPO

El responsable del tratamiento de sus datos personales ("Responsable" en la LGPD; "Controller" en el GDPR) es:

BAS AI — BAS ARTIFICIAL INTELLIGENCE LTDA

CNPJ: 64.106.409/0001-70

Sitio web: www.bas-ai.com

Dirección: Rua Gomes de Carvalho, 911, Vila Olímpia, São Paulo/SP, CEP 04547-003, Brasil

En este documento, "MyHealth", "nosotros" o "la aplicación" se refieren a ese Responsable.

Encargado del Tratamiento de Datos Personales (DPO)

Para cualquier asunto de privacidad y protección de datos, comuníquese con nuestro Encargado (LGPD Art. 41 / Data Protection Officer, GDPR Art. 37):

Correo electrónico: dpo@bas-ai.com

Nombre del Encargado: Guilherme Kaschny Bastian

Dirección para correspondencia: Rua Gomes de Carvalho, 911, Vila Olímpia, São Paulo/SP, CEP 04547-003, Brasil

Adoptamos el estándar del GDPR como base global de protección (el criterio más protector, aplicado a todos los usuarios), aunque el lanzamiento no ofrezca el servicio en la Unión Europea/EEE ni en el Reino Unido.

2. A quién se aplica esta Política

Esta Política se aplica a todas las personas que usan la aplicación MyHealth, en cualquier país. La app es global y multiidioma (portugués, inglés y español).

El lanzamiento inicial tiene foco en Brasil, pero, donde la ley de su país sea más protectora, ella prevalece. Tratamos la LGPD (Ley n.º 13.709/2018, Brasil) y el GDPR (Reglamento (UE) 2016/679) como nuestro estándar mínimo de protección en cualquier lugar, aplicado a todos los usuarios. La app se distribuye mundialmente, excepto en la Unión Europea/EEE y el Reino Unido, que quedan fuera del lanzamiento.

Usuarios en los Estados Unidos: divulgaciones suplementarias específicas para los EE. UU. — el Aviso de Privacidad de California (CCPA/CPRA) y la Divulgación de Datos de Salud del Consumidor de Washington (My Health My Data Act) — integran esta Política como documentos complementarios, publicados en https://www.bas-ai.com/myhealth/legal y prevaleciendo, para los residentes de esas jurisdicciones, en lo que sean más específicos.

Niños y adolescentes: el registro propio está destinado a mayores de 18 años. Los datos de menores solo pueden ser incluidos por un responsable legal, que gestiona el perfil del dependiente (ver Sección 11).

3. Qué datos recopilamos

Recopilamos solo lo necesario para que la app funcione (principio de minimización). A continuación, lo que recopilamos y dónde queda.

3.1 Datos de identidad (PII) — cifrados en bóveda

Los siguientes datos lo identifican a usted directamente y quedan guardados en una bóveda de identidad (identity_vault), cifrados campo a campo con cifrado autenticado (AEAD) determinista (biblioteca pgsodium, AES-256), físicamente separados de las tablas clínicas. Solo se descifran mediante una función segura, bajo su propia identidad:

• Nombre (o nombre para mostrar);
• Correo electrónico;
• Teléfono;
• Documento (por ejemplo, CPF).

Las tablas clínicas no contienen esos datos — se refieren a usted solo por un código de perfil (seudónimo). En el perfil seudonimizado guardamos solo el mínimo clínico-demográfico necesario para interpretar correctamente los datos (por ejemplo, sexo biológico y fecha de nacimiento/edad, importantes para los rangos de referencia de los análisis).

3.2 Datos de salud / sensibles (PHI)

Son datos personales sensibles (salud) y reciben la protección máxima. Recopilamos, conforme usted los registra o importa:

• Análisis y marcadores de laboratorio (valores, unidades, rangos de referencia, fechas);
• Condiciones y sistemas del cuerpo (línea "de la cabeza a los pies");
• Medicaciones (ítem, dosis, indicación, período, prescriptor, estado activo/inactivo);
• Alergias e intolerancias (sustancia, categoría, reacción, gravedad);
• Vacunas;
• Consultas / atenciones;
• Signos vitales y bioimpedancia — peso, porcentaje de grasa, masa magra, circunferencias, glucemia, presión arterial, frecuencia cardíaca, saturación, temperatura;
• Síntomas y molestias;
• Actividad física;
• Documentos e informes (PDFs, fotos y archivos de texto — análisis, recetas, informes, registros que usted envía);
• Historia familiar de salud;
• Equipo de cuidados (profesionales, área, institución, motivo, contacto profesional opcional);
• Tarjeta / información de emergencia (grupo sanguíneo, alergias, contacto de emergencia);
• Notas, preguntas y mensajes que usted escribe en la app (incluido el chat con el asistente de IA y los mensajes que usted envía a nuestro soporte por la app), en la medida en que contengan datos de salud.
• Eventos de dispositivo — eventos que su dispositivo registra: clasificación de ECG (ritmo sinusal / fibrilación auricular / no concluyente) con la frecuencia cardíaca media, notificaciones de ritmo irregular y de frecuencia cardíaca alta o baja, carga de fibrilación auricular, detección de caída y — cuando su dispositivo las ofrece — notificaciones de posibles señales de hipertensión y de condición cardiorrespiratoria baja. Guardamos la clasificación y los metadatos del evento — nunca el trazado bruto (forma de onda) del ECG, que permanece solo en su dispositivo y no se envía a la IA.
• Ciclo menstrual y salud reproductiva — flujo menstrual, sangrado intermenstrual, pruebas de ovulación, calidad del moco cervical y pruebas de embarazo, cuando usted los registra o los importa. Signos correlacionados, como la temperatura basal corporal, pueden importarse como signos vitales. Si usted es de sexo femenino y tiene 40 años o más, la app puede, de forma opcional, preguntar su fase en relación con la menopausia (aún menstrúa, en transición o ya en la menopausia — con la opción de no responder); esa información es autodeclarada por usted, no importada de Apple Salud, y ayuda a la IA a interpretar mejor sus hormonas (por ejemplo, FSH, LH y estradiol). No importamos registros de actividad sexual. Son datos sensibles con la misma protección máxima que los demás datos de salud.
• Hábitos de vida que usted informa — datos que usted declara, de forma opcional, en las tarjetas de la app: tabaquismo (y rango de cigarrillos por semana), consumo de alcohol (y rango de tragos por semana), nivel de actividad física y percepción de su sueño. Cuando usted autoriza el Procesamiento por IA (Sección 6), esos hábitos integran el contexto enviado a la IA.

Registros diarios de hábitos sensibles (categoría especial). Además de lo que usted envía, la app puede preguntar, de forma puntual y opcional, sobre hábitos que los dispositivos no miden: los tragos de alcohol de un día (dato de uso de sustancia) y qué marcó una noche más corta — incluidas las opciones "Estrés" (dato de salud mental) y "Alcohol". Por involucrar sustancia y estado mental, tratamos esos registros como dato personal sensible / de categoría especial. Esto es distinto del rango semanal de tabaquismo/alcohol que usted declara en el registro (ítem "Hábitos de vida que usted informa", arriba) y que integra el contexto de la IA cuando usted lo autoriza: aquí hablamos de los registros diarios y puntuales, que quedan en su dispositivo y en su historial y no se envían a la IA.

Solo los recopilamos tras SU consentimiento específico y destacado (la finalidad daily_journal, activada por usted en Perfil › Privacidad y consentimientos), separado de la aceptación de los Términos y del consentimiento clínico general. Está DESACTIVADO por defecto — nada se graba hasta que usted lo active —, es bloqueado en el servidor hasta que el consentimiento exista, y es NO DISPONIBLE en perfiles de menores y perfiles gestionados (bloqueo en la app y en el servidor). Rechazarlo no reduce ninguna otra función de la app.

Distinción del estado de ánimo/bienestar. El check-in de estado de ánimo ("cómo amaneció") se trata aparte, como dato de salud bajo el consentimiento clínico general (no integra la categoría de hábito sensible anterior) y — como el resto del historial — puede integrar el contexto enviado a la IA bajo ese mismo consentimiento clínico. La distinción: los tragos de alcohol y el estrés puntual conllevan mayor estigma y por eso reciben consentimiento propio y quedan fuera de la IA; el estado de ánimo, autorreporte agregado de baja granularidad (1–3), sigue el tratamiento clínico general.

Otros contextos diarios no sensibles. De forma puntual y opcional, la app también puede preguntar sobre contextos de estilo de vida y bienestar que los dispositivos no miden — por ejemplo café/cafeína, energía/disposición, hidratación, cómo percibió su entrenamiento (ligero/normal/intenso) y cambios de rutina en la semana (p. ej., viaje, entrenamiento nuevo, cambios de alimentación o de sueño). Como el check-in de estado de ánimo, son datos de salud bajo el consentimiento clínico general y quedan guardados en su historial. Cuando usted autoriza el Procesamiento por IA y la Transferencia Internacional (Secciones 6 y 9), estos contextos se incluyen en el contexto enviado a nuestra proveedora de IA (Anthropic, EE. UU. — Sección 9) solo de forma agregada por semana, como conteos de días — por ejemplo, "hidratación baja en 3 días de la semana" o "3+ cafés en 2 días"; en los cambios de rutina, solo la categoría que usted declaró esa semana (p. ej., "viaje") — nunca el registro diario aislado, nunca texto libre, limitado a las últimas semanas. La finalidad es exclusivamente correlacionar, de forma educativa y descriptiva, sus hábitos con sus datos de sueño, actividad y análisis — nunca diagnóstico ni conducta. Los registros del Diario de salud sensible (alcohol y estrés/contexto de la noche) no están incluidos: siguen fuera del contexto enviado a la IA y bajo su propio consentimiento separado, y cualquier uso futuro de ellos por la IA exigiría un nuevo consentimiento explícito.

Cuando esos datos se refieren a un menor bajo su guarda, se aplican las mismas protecciones (ver Sección 11).

3.3 Localidad e idioma (opcionales, en claro)

De forma opcional, para adaptar la experiencia y preparar funcionalidades futuras (como la recomendación de profesionales por ciudad), podemos guardar país, estado/provincia, ciudad y el idioma preferido. No recopilamos dirección completa, latitud/longitud ni ubicación precisa. Esos campos de localidad quedan en claro porque la granularidad "ciudad" no es, por sí sola, un dato sensible, y están protegidos por las mismas reglas de acceso de su cuenta. Cuando usted autoriza el Procesamiento por IA (Sección 6), el país de su perfil integra el contexto enviado a la IA, únicamente para regionalizar, de forma educativa, orientaciones de emergencia y de calendario de vacunación (el estado/provincia y la ciudad no se envían a la IA).

3.4 Datos de cuenta, sesión y seguridad

• Cuenta y autenticación: identificadores técnicos de la cuenta y tokens de sesión, para mantenerlo conectado con seguridad; autenticación en dos pasos (MFA/2FA vía TOTP), cuando usted la active.
• Número de cuenta (account_ref): un identificador seudónimo corto, de 8 dígitos aleatorios y no secuenciales, generado por nosotros (no recopilado de usted), mostrado en su Perfil y usado por el soporte para localizar su cuenta — incluso cuando usa "Ocultar correo" en Sign in with Apple. Se elimina al borrar la cuenta.
• Notificaciones (push): cuando usted activa las notificaciones, guardamos un token técnico que su dispositivo genera, usado solo para entregar avisos de la app (p. ej., cuando su análisis queda listo). Es un identificador de entrega — no se usa para rastreo, no entrena la IA y no se comparte con terceros (solo transita por el servicio de push de Apple). Usted lo controla en el permiso de notificaciones de iOS y en el botón Notificaciones dentro de la app, y el contenido del aviso es genérico, sin datos de salud. Un tipo de aviso — "Novedad en tus datos" (opcional, desactivado por defecto) — se activa cuando sus datos (p. ej., sueño, frecuencia cardíaca en reposo, variabilidad) registran un hallazgo nuevo; aun así el contenido sigue siendo genérico y sin ningún dato de salud (el dato nunca viaja en el push, nunca sugiere anormalidad ni urgencia), como máximo uno por día, y nunca para perfiles de menores.
• Registros de acceso y auditoría (access_log): metadato de quién accedió a qué y cuándo (acción, tabla, origen, dirección IP de origen) — solo metadato, nunca el contenido clínico.
• Registros de consentimiento (consent_events): qué finalidad autorizó usted, la base legal, la versión de la Política y el momento — de forma inmutable (ver Sección 5).
• Uso y cobro de IA: registramos metadatos del uso de las funciones de IA (función, modelo, cantidad de tokens) y su saldo y consumo de cuota de uso (páginas y prompts) y de paquetes adicionales, para operar el cobro y prevenir abusos. Esos registros no contienen el contenido de salud analizado.

3.5 Datos de uso desidentificados

Recopilamos datos mínimos de estabilidad y diagnóstico (telemetría) — fallos, errores, rendimiento — de forma desidentificada y sin ningún contenido de salud, para mantener la app segura y en funcionamiento (ver Sección 13). Se trata de un tratamiento interno: no usamos SDK de analytics ni rastreo de terceros. Por autolimitación de minimización, retenemos esa telemetría por hasta cerca de 12 meses (ver Secciones 12 y 13).

3.6 Lo que NO recopilamos / NO hacemos

• No vendemos sus datos.
• No hacemos publicidad dirigida con base en su salud, ni usamos rastreadores de terceros que vean sus datos de salud.
• No recopilamos ubicación precisa, contactos del teléfono ni micrófono. La cámara y la galería solo se acceden en el momento exacto en que usted decide enviar un documento (permiso just-in-time).

4. Finalidades y bases legales

Toda actividad de tratamiento tiene una base legal. Como tratamos datos sensibles de salud, somos especialmente rigurosos: cada finalidad sensible se registra en nuestro registro de consentimiento con la base legal y la versión de la Política correspondientes.

Base legal del núcleo clínico — aclaración. La base primaria del tratamiento de su historial es su consentimiento específico y destacado (LGPD Art. 11, II, "a" / GDPR Art. 9(2)(a)), coherente con el posicionamiento de "historial soberano": usted autoriza, y puede revocar. Reservamos una base subsidiaria solo para lo que el consentimiento no cubre — seguridad de la información, integridad de los datos, cumplimiento de obligación legal y la propia operación de eliminación de la cuenta —, apoyada en la LGPD Art. 7, II y Art. 10 y en el GDPR Art. 6(1)(c) y (f). No adoptamos la hipótesis de tutela de la salud (LGPD Art. 11, II, "f" / GDPR Art. 9(2)(h)): en el GDPR, el Art. 9(3) condiciona esa hipótesis a la presencia, en el flujo, de un profesional de salud sujeto a deber de secreto, y no hay médico en el circuito de MyHealth.

5. Consentimiento y cómo revocarlo

Cuando usted autoriza una finalidad sensible, ese consentimiento es:

• Libre — la app funciona en lo esencial aunque usted no autorice la IA;
• Informado — explicamos la finalidad en el momento, en lenguaje claro;
• Específico y destacado — cada finalidad sensible tiene su propia solicitud (no un "acepto todo" genérico), como exige la LGPD para dato de salud;
• Revocable en cualquier momento — usted puede retirar una autorización en los ajustes, sin perder el acceso a lo que ya organizó.

Nuestro sistema solo ejecuta una operación si el consentimiento correspondiente está activo. Por ejemplo: si usted no autoriza el "Procesamiento por IA", la app no envía nada a la IA — esa verificación ocurre automáticamente, en el servidor (función has_active_consent), en cada operación.

Cómo funciona el registro: cada autorización o revocación se graba como un evento inmutable en nuestro registro de consentimiento (consent_events), con la finalidad, la base legal, el idioma y la versión de la Política vigente. Revocar no borra el historial del consentimiento — registra un nuevo evento que interrumpe el tratamiento futuro de esa finalidad.

La revocación no torna ilícito el tratamiento ya realizado lícitamente, pero interrumpe el uso futuro de esa finalidad. Usted no pierde el acceso al historial que ya había organizado.

Diario de salud sensible. La recopilación diaria sensible (alcohol, estrés/contexto de la noche) tiene consentimiento propio (daily_journal), desactivado por defecto: nada se graba hasta que usted lo active, y el servidor bloquea la escritura de esos ítems sin el consentimiento activo. Puede revocarlo en cualquier momento, con la misma facilidad, en Perfil › Privacidad y consentimientos. Al revocar: (1) dejamos de recopilar de inmediato nuevos registros; y (2) eliminamos los registros de alcohol/estrés ya recopilados de esas categorías.

6. Cómo la Inteligencia Artificial (IA) trata sus datos

La IA es pieza central de MyHealth (asistente y extracción de datos de documentos), por lo que lo explicamos con total transparencia. Nuestro proveedor de IA es Anthropic, que actúa como subencargado.

6.1 La IA recibe el contenido clínico de su historial, sin sus identificadores directos

• El contenido enviado a la IA es del propio usuario y solo se procesa mediante su consentimiento (ai_processing).
• El contenido clínico que enviamos a la IA, sin que enviemos sus identificadores directos (nombre, CPF, correo electrónico, teléfono) — sustituidos por sexo, edad y el año de nacimiento (sin día/mes) y, cuando esté disponible, por su país (únicamente para regionalizar, de forma educativa, orientaciones de emergencia y de calendario de vacunación — nunca la ciudad ni la ubicación precisa) — y sin los contactos de emergencia — puede incluir: marcadores y tendencias de análisis, mediciones y bioimpedancia, medicaciones, vacunas, alergias, síntomas, consultas y anotaciones, historia familiar, actividad física, datos de sueño y puntajes de dispositivos vestibles, eventos de dispositivo (clasificación de ECG, ritmo irregular, caída, posibles señales de hipertensión, condición cardiorrespiratoria baja), ciclo menstrual y datos reproductivos (incluida la fase de menopausa, cuando usted la informa), hábitos de vida que usted informa (tabaquismo y tiempo de uso, alcohol, actividad y sueño), los contextos diarios no sensibles agregados por semana (café/cafeína, energía/disposición, hidratación y percepción del entrenamiento, como conteos de días, y la categoría de cambio de rutina de la semana — nunca el registro diario aislado, nunca texto libre; ver §3.2), el grupo sanguíneo y las observaciones de su tarjeta de emergencia, y el propio documento (foto/PDF) cuando usted solicita la extracción por IA — antes del envío, la aplicación intenta cubrir (tachar), directamente en su dispositivo, su nombre, CPF, correo electrónico y teléfono impresos en el documento, y usted puede cubrir áreas manualmente; el archivo original permanece intacto en su historial y la versión enviada a la IA es la tachada, cuando se genera. Esta redacción automática es best-effort: puede fallar en fotos de baja calidad o manuscritos y no es garantía de eliminación completa. No enviamos los contactos de su tarjeta de emergencia (nombre, teléfono, parentesco). Las anotaciones libres hechas por usted o por profesionales pueden, eventualmente, contener nombres — por eso recomendamos no insertar datos de identificación en campos de texto. En el chat con el asistente, el contexto puede incluir adicionalmente el historial de la propia conversación y el lugar y el profesional registrados en sus consultas — elementos que no entran en el análisis longitudinal del historial.
• La búsqueda en la web existe solo en el chat asistente, para conocimiento clínico general. Instruimos al modelo para que use solo términos clínicos genéricos, sin incluir sus valores, fechas, edad, nombres o identificadores. Esa protección se aplica por instrucción al modelo y no por un filtro técnico infalible; la búsqueda es ejecutada por la infraestructura de Anthropic. Las funciones de análisis del historial y de extracción de documentos no hacen búsqueda en la web.

6.2 NO usamos sus datos para entrenar IA

• Por los términos comerciales de Anthropic, sus datos (entradas y salidas) no se usan para entrenar ni mejorar modelos y son retenidos por un período limitado y luego eliminados (por regla, en hasta 30 días), salvo retención exigida por ley o para prevención de abuso. Esta relación está amparada en un DPA + SCC (Módulos 2/3, UK IDTA, adenda suiza) en vigor a través de los Términos Comerciales de Anthropic.

6.3 Salvaguardas técnicas

• El tráfico con la IA usa conexión cifrada (TLS).
• Aplicamos salvaguardas contra inyección de prompt y minimización del contenido enviado.
• La IA no toma decisiones automatizadas sobre usted en el sentido del GDPR Art. 22 / LGPD Art. 20: ella organiza y describe, no decide, no diagnostica y no prescribe. Usted revisa y confirma las informaciones, y las lecturas vienen marcadas como contenido a confirmar con su médico.
• La IA no detecta, no monitorea y no diagnostica riesgo de suicidio, autolesión o crisis psiquiátrica, y no contacta a nadie por usted. Si está en crisis, busque ayuda inmediata (en Brasil, CVV 188, 24h, gratuito; fuera de Brasil, la línea nacional de prevención). Vea la Sección 3.5 de los Términos de Uso.

6.4 Estándares y vocabularios abiertos (LOINC® / UCUM)

Para que el mismo examen proveniente de laboratorios distintos (con nombres, siglas e idiomas diferentes) se reconozca como un único parámetro y genere una línea de tiempo coherente, MyHealth normaliza los marcadores usando el vocabulario abierto LOINC® (Logical Observation Identifiers Names and Codes) y estandariza las unidades de medida con base en UCUM. Estos estándares son contenido de referencia licenciado, incorporado en la aplicación — funcionan como un diccionario y no reciben ningún dato personal suyo (Regenstrief Institute no es subprocesador y nada de su historial se le envía).

This product includes content from LOINC® (loinc.org). LOINC is copyright © 1995–2024, Regenstrief Institute, Inc. and the LOINC Committee, and is available at no cost under the LOINC license (loinc.org/license). LOINC® is a registered trademark of Regenstrief Institute, Inc.

6.5 Organización de medicamentos y suplementos (dato derivado, asistido por IA)

Para organizar su historial, la IA puede producir, a partir de los medicamentos y suplementos que usted registra, un dato derivado de organización: los principios activos descompuestos (una fórmula magistral se separa en los ingredientes de su etiqueta) y una categoría general; la vacuna canónica, la enfermedad prevista y la dosis en la serie (consolidando la misma vacuna bajo nombres distintos); y el alérgeno normalizado y su clase. Ese dato se genera a partir de lo que usted ya proporcionó (no recopilamos nada nuevo) y sirve para relacionar, por ejemplo, un principio activo con el marcador correspondiente de su análisis. Es educativo y asistido por IA — usted puede revisarlo y corregirlo, y no es una clasificación clínica, una prescripción ni una verificación de interacciones (vea el Aviso Médico, ítem 5.2). Los detalles del tratamiento por IA siguen las Secciones 6.1–6.3.

6.6 Documento a la espera de cuota/uso disponible

Cuando el cobro esté activo y usted no tenga cuota o uso disponible suficiente al momento del envío, un documento ya tachado (tras la redacción on-device descrita en 6.1) puede quedar guardado, sin análisis, hasta que haya cuota de la suscripción o un paquete adicional disponible — y entonces se analiza automáticamente. El documento espera en su propio historial, bajo las mismas protecciones de seguridad y acceso de su cuenta; nada se envía a la IA mientras el consentimiento de Procesamiento por IA (ai_processing) no esté activo y no haya uso disponible.

6.7 Soporte asistido por IA

Cuando usted habla con nuestro soporte dentro de la app (Perfil › Soporte), un agente puede usar apoyo de IA para redactar y traducir la respuesta. En ese caso, el texto de su conversación de soporte — que puede contener dato de salud que usted escriba — puede enviarse a la IA (Anthropic (Claude), Estados Unidos) solo para preparar un borrador de respuesta o traducirla, que un agente humano revisa antes de enviar. La IA de soporte no accede a su historial clínico — el prontuario nunca se envía para el soporte.

Ese apoyo de IA solo se activa cuando usted concede un consentimiento nuevo, dedicado y desagregado — "Soporte asistido por IA" (support_ai_share) —, separado del consentimiento general de Procesamiento por IA (ai_processing) y rechazable por separado, desactivado por defecto: el producto de pago funciona por completo aunque usted lo rechace. Ese consentimiento opera junto con su consentimiento de Transferencia internacional (intl_transfer). Si cualquiera de los dos no está activo, el agente responde sin apoyo de IA.

Antes del envío, minimizamos el texto de soporte — un intento best-effort de cubrir identificadores (nombre, documento, contactos) —, pero, a diferencia de los documentos, esto no es una desidentificación ni garantía de eliminación completa; por eso evite incluir datos innecesarios en sus mensajes de soporte.

Ese envío ocurre bajo las mismas salvaguardas que el resto del Procesamiento por IA — el mismo DPA + SCC (UE) con Anthropic que ampara el análisis del historial, la extracción de documentos y el chat, y que rige todos los datos que enviamos a la API de Anthropic (un DPA no se limita por caso de uso): sin uso para entrenamiento (contractual) y con la retención propia de Anthropic (por regla, hasta cerca de 30 días, salvo excepciones legales o de prevención de abuso). No se agrega ningún subencargado nuevo (Anthropic ya está listada).

Personas sin cuenta MyHealth (soporte por correo). Si alguien escribe a nuestro soporte por correo sin tener una cuenta, adoptamos un modelo consent-first: esa persona recibe un correo que le pide dos consentimientos separados — (1) tratar su mensaje para preparar una respuesta y (2) transferirlo a Anthropic (Claude), en los Estados Unidos —, con un enlace a la Política de Privacidad de Datos de Salud del Consumidor. Solo después de que la persona conceda ambos consentimientos, la IA redacta o traduce ese ticket, y un agente humano lo revisa antes de enviar. Si no consiente, un humano responde sin IA. Nada se envía a la IA sin el consentimiento de la propia persona.

6.8 El Diario de salud sensible NO se envía a la IA

El Diario de salud sensible NO se envía a la inteligencia artificial. Sus registros de alcohol y de estrés/contexto de la noche quedan en su dispositivo y en su historial y no integran el contexto enviado a nuestra proveedora de IA (Anthropic, EE. UU.). Cualquier uso futuro de esos registros por la IA exigiría un consentimiento separado y explícito ("incluir mis registros diarios en el análisis de la IA"), que no existe en esta versión. Esto es diferente de los contextos diarios no sensibles (café/cafeína, energía/disposición, hidratación, percepción del entrenamiento y cambios de rutina), que integran el contexto de la IA solo de forma agregada por semana — conteos de días y categoría de cambio de rutina —, conforme al §3.2.

6.9 Relatos de evolución y decisiones de seguimiento

Cuando usted registra la evolución de un ítem en seguimiento como relato suyo (Términos, Sección 9.7), guardamos en su historial el texto del relato, la decisión (mantener o cerrar el seguimiento), la fecha y la versión del texto que usted confirmó, en un rastro inmutable (corregir = un nuevo registro). Esos relatos integran el contexto enviado a la IA explícitamente marcados como relato del paciente — la IA recibe la instrucción de tratarlos como relato ("usted relató que…"), nunca como hecho clínico documentado, y está técnicamente impedida (validación en el servidor, no solo una instrucción) de cerrar o superar un ítem con base en un relato sin su decisión expresa. Todo esto opera bajo los consentimientos ya vigentes de Procesamiento Clínico, Procesamiento por IA y Transferencia Internacional; la copia enviada a la IA sigue el mismo pipeline de redacción de identificadores que el resto del historial.

Minimización: para registrar un relato, los nombres de profesionales son opcionales — el relato funciona igualmente sin identificar a quien hizo la evaluación; recomendamos incluir solo lo necesario.

Exportación y eliminación: los relatos y las decisiones forman parte de su historial — entran en la exportación y se eliminan en la eliminación de la cuenta, por la misma doble vía de la Sección 12.

Menores: en perfiles de menores, quien registra es el responsable legal, en representación, y el registro identifica al responsable que lo hizo; los cierres relevantes se comunican a los demás responsables vinculados al perfil.

7. Compartir en familia (opt-in, solo lectura, revocable)

MyHealth permite que usted comparta su historial con un familiar, de forma controlada:

• Es opt-in: nada se comparte sin que usted lo inicie y autorice (family_sharing).
• El acceso es solo lectura y del historial completo (todo o nada — no es posible compartir solo partes): el familiar puede ver, pero no puede editar ni borrar.
• El vínculo se crea mediante un código de invitación de un solo uso, que expira en 7 días si no se utiliza.
• Usted puede revocar el vínculo en cualquier momento, finalizando el acceso.

El familiar también necesita ser usuario de la app. Ese acceso compartido es entre usted y la persona que usted elija — no es un compartir con terceros ni con fines comerciales.

7.1 Compartir ítem por ítem de condiciones hereditarias

Además del vínculo de lectura anterior, usted puede elegir, ítem por ítem, ofrecer condiciones de salud registradas en su historial (por ejemplo, un diagnóstico y el año de inicio) a los familiares vinculados, para que ellos puedan añadirlas a su propia historia familiar. Cómo funciona:

• Doble autorización: el ítem solo se ofrece si usted lo activa, y solo se incorpora si su familiar lo acepta expresamente, ítem por ítem (nunca en bloque).
• Minimización bloqueada en código: se transmite solo la condición, el período (año de inicio) y el estado — nunca exámenes, documentos, valores, medicaciones, texto libre, adjuntos ni rutina. La base de datos rechaza cualquier contenido más allá de esos campos.
• Aviso de permanencia: en el acto de activar cada ítem, mostramos el ítem nombrado, quién puede recibirlo y el aviso de que, si usted lo desactiva después, lo que un familiar ya aceptó permanece en su registro. Registramos su consentimiento (quién, cuándo y la versión del texto mostrado).
• Regla de permanencia (revocación ex nunc): la revocación produce efectos a partir de ese momento y no afecta las incorporaciones ya aceptadas por sus familiares, que pasan a tratarse como datos de salud de sus respectivos titulares (historia familiar) — como si las hubieran anotado de memoria. La desactivación retira de inmediato la oferta para todos los vinculados, en un toque, gratuita y sin justificación.
• Eliminación por el receptor: el familiar puede eliminar el ítem incorporado en cualquier momento, y este integra la exportación y la eliminación de datos del propio familiar.
• Desidentificación al eliminarse la fuente: si la fuente solicita la eliminación de sus datos o borra su cuenta, retiramos del registro del familiar toda referencia a la identidad y a la cuenta de la fuente, permaneciendo solo el grado de parentesco, la condición y el período (LGPD art. 18, VI; GDPR art. 17).
• Menores: los perfiles de menores no participan como fuente por decisión propia; la gestión de datos de menores sigue el mecanismo de responsables legales.

Base legal: tratamiento con base en su consentimiento específico y destacado (LGPD art. 11, II, "a"; GDPR art. 9(2)(a)) y, cuando aplique, mediante autorización válida bajo el My Health My Data Act (Washington/EE. UU.). El ítem incorporado se trata como dato sensible del propio receptor en todo el pipeline (incluida la IA, la exportación y la eliminación), bajo los consentimientos vigentes del receptor.

7.2 Gestor autorizado por usted (delegación por un adulto)

Mediante su consentimiento específico y destacado (LGPD art. 7, I y art. 11, I; GDPR art. 9(2)(a); para residentes de Washington/EE. UU., el consentimiento separado exigido por el MHMDA), un adulto designado por usted (el "Gestor") puede acceder y registrar datos en su historial. Cómo funciona este tratamiento:

• Consentimiento en su dispositivo, con identidad reforzada: la autorización solo la concede usted, en su aparato, tras una confirmación reforzada de identidad; registramos quién consintió, cuándo y la versión del texto mostrado.
• Base legal: su consentimiento, revocable en cualquier momento con efecto inmediato, en un toque, gratuito y sin justificación; el Gestor solo sabe que el vínculo cambió, nunca el motivo. La revocación termina de inmediato los poderes de gestión; el vínculo de lectura permanece hasta que usted también lo elimine (ambas opciones aparecen lado a lado en la aplicación).
• Actos personalísimos técnicamente bloqueados: el Gestor no puede cambiar sus consentimientos, eliminar su cuenta, crear/cambiar/eliminar compartires o vínculos, cambiar sus credenciales, realizar compras en su nombre ni exportar su historial en masa — el bloqueo de consentimientos, eliminación de cuenta, vínculos y credenciales se aplica en el servidor (reglas de acceso a la base de datos); el de compras y exportación en masa se aplica técnicamente en la aplicación.
• Pista de auditoría: mantenemos un registro de autoría inmutable de todo lo que el Gestor crea o edita en su historial y se lo mostramos a usted, además de un resumen de su actividad, en la aplicación, que el Gestor no puede desactivar. Esos registros se conservan por el mismo plazo que el historial.
• Titularidad: lo que el Gestor registra es dato suyo y permanece en su historial tras la revocación, bajo sus consentimientos y derechos (acceso, exportación, eliminación).
• Menores: los perfiles de menores no pueden nombrar Gestor; la gestión de datos de menores sigue exclusivamente el mecanismo de responsables legales.

8. Apple Health (HealthKit)

MyHealth permite importar mediciones de Apple Health (HealthKit) — peso, altura, composición corporal, glucemia, presión, frecuencia cardíaca, saturación y temperatura, además de métricas del día a día cuando su dispositivo las ofrece, como alteraciones respiratorias del sueño, tiempo a la luz del día y sesiones de atención plena (mindfulness) — y, cuando usted las autoriza en los permisos de iOS, también datos de ciclo menstrual y salud reproductiva (flujo menstrual, sangrado intermenstrual, pruebas de ovulación, calidad del moco cervical y pruebas de embarazo) a su historial. No importamos registros de actividad sexual.

Patrones del ciclo (opt-in propio, desactivado por defecto). Si usted lo activa en Perfil › Privacidad, la app puede mostrar los días de ciclo registrados junto a sus gráficos (sueño, corazón) y observar patrones descriptivos locales (por ejemplo, cómo se comporta su sueño en los días de menstruación registrados). Es una composición, en su dispositivo, de datos que usted ya ve: nada de esto se convierte en notificación, nada se envía a la IA más allá de lo que usted ya autorizó, y la app nunca calcula ni predice fertilidad/ovulación. No disponible en perfiles de dependientes; revocable en cualquier momento (el patrón simplemente deja de mostrarse).

• La importación es opcional y ocurre solo con su autorización explícita, concedida en los permisos de iOS. El acceso es solo de lectura — MyHealth no escribe datos en Apple Health.
• Los datos provenientes de Apple Health se usan exclusivamente para enriquecer su propio historial dentro de la app.
• En conformidad con la Directriz 5.1.3 de la App Store de Apple, los datos de Apple Health NUNCA se usan para marketing/publicidad, NUNCA se comparten con terceros para fines de propaganda o data mining, y NUNCA se usan para entrenar modelos de IA.

Conexión con pulseras y anillos inteligentes (Oura y WHOOP)

Además de Apple Health, usted puede, de forma opcional y revocable, conectar dispositivos vestibles de terceros, con consentimiento específico por proveedor (wearable_sync_oura, wearable_sync_whoop):

• Oura Ring: sueño y fases del sueño, puntajes diarios (sueño, preparación, actividad, estrés, resiliencia), desviación de temperatura, pasos, calorías, distancia, tiempo sedentario, SpO2, índice de alteraciones respiratorias del sueño, VO2max, edad cardiovascular, entrenamientos y sesiones de meditación.
• WHOOP: puntaje de recuperación, frecuencia cardíaca de reposo, variabilidad de la FC (HRV), SpO2, temperatura de la piel, carga (strain), sueño y entrenamientos.

La autorización usa OAuth: los tokens de acceso quedan cifrados (AES-256-GCM) en nuestro servidor y no son accesibles por la aplicación. Oura opera en Finlandia (Espacio Económico Europeo) y WHOOP en los Estados Unidos; conectar esos servicios implica transferencia internacional de entrada, bajo las salvaguardas de la Sección 9.1. Oura y WHOOP actúan como fuentes de datos (controladoras independientes de las propias plataformas), no como nuestros subencargados, y no reciben datos de su historial.

Al desconectar un dispositivo vestible:

• WHOOP: para cumplir las condiciones de uso de la API de WHOOP y por estándar de privacidad que adoptamos, solicitamos la revocación del acceso en WHOOP y eliminamos definitivamente todos los datos originados de WHOOP ya sincronizados (sueño, puntajes, mediciones, actividades y eventos). Recomendamos exportar antes, si desea conservar una copia.
• Oura / Apple Health: revocamos el acceso y eliminamos los tokens cifrados que guardamos. Los datos ya sincronizados permanecen en su historial, salvo que usted solicite su eliminación.

Los datos importados de dispositivos vestibles y de Apple Health siempre se graban en su propio historial (titular de la cuenta) y nunca en el perfil de un dependiente, aunque usted esté visualizando el perfil de un menor.

9. Subencargados y transferencias internacionales

Nosotros no vendemos sus datos. Para operar el servicio, usamos un conjunto mínimo de proveedores ("subencargados"/"encargados"), cada uno bajo contrato de tratamiento de datos (DPA) en vigor, confidencialidad y seguridad, tratando datos solo bajo nuestras instrucciones. Los tres subencargados de abajo tienen DPA/SCC vigentes: Supabase (firmado el 2026-06-18), Anthropic (vía Términos Comerciales, 2026-06-17) y Resend (vía EU-US DPF + SCC, 2026-06-17).

Oura y WHOOP no figuran en esta tabla: son fuentes de datos que usted conecta (Sección 8), actuando como controladoras independientes de las propias plataformas, y no como nuestros subencargados. Apple actúa como controladora independiente para distribución, HealthKit, push y pagos. Los DPA y las Cláusulas Contractuales Estándar (SCC) de nuestros tres subencargados (Supabase, Anthropic y Resend) están en vigor, conforme la columna "Salvaguardas". Mantenemos una página pública de subencargados actualizada en https://www.bas-ai.com/myhealth/legal/subprocessadores. Avisaremos antes de agregar un nuevo subencargado relevante.

9.1 Transferencias internacionales

Su historial queda almacenado en Brasil (São Paulo) — esa es la regla. Las transferencias hacia fuera de Brasil ocurren de forma limitada y con su autorización (intl_transfer): en el procesamiento por IA (Anthropic, Estados Unidos — Sección 6), en el cual enviamos el contenido clínico sin sus identificadores directos (en la extracción de documento, el propio archivo — tras una redacción automática on-device best-effort que intenta cubrir nombre, CPF, correo y teléfono; los identificadores no localizados pueden permanecer en el archivo); en la conexión de dispositivos vestibles (Oura, en Finlandia/EEE; WHOOP, en los Estados Unidos — Sección 8); y en la distribución por Apple (Estados Unidos). Cuando haya transferencia internacional, adoptamos las salvaguardas exigidas:

• LGPD (Art. 33): transferencia basada en consentimiento específico y/o en garantías contractuales adecuadas (cláusulas estándar), conforme regulación de la ANPD.
• GDPR (Art. 44–49): Cláusulas Contractuales Estándar (SCC) y/u otras garantías adecuadas para transferencias fuera del EEE, con evaluación de impacto de la transferencia cuando sea aplicable.

También podemos divulgar datos cuando sea exigido por ley (orden judicial o autoridad competente), siempre limitado a lo estrictamente necesario y, cuando esté legalmente permitido, notificándolo a usted.

10. Seguridad de la información

La confidencialidad de sus datos de salud es nuestro control número uno. Las principales medidas:

• Separación entre identidad y datos clínicos: quién es usted (nombre, correo electrónico, teléfono, documento) queda en una bóveda cifrada (identity_vault) con cifrado de campo autenticado (AEAD) determinista (pgsodium, AES-256), separada de las tablas clínicas, que se refieren a usted solo por un código.
• Descifrado controlado: la PII solo se descifra mediante una función segura, bajo su propia identidad, con registro de auditoría.
• Cifrado en reposo y en tránsito: base de datos y almacenamiento cifrados; comunicaciones por TLS.
• Control de acceso por fila (RLS) por verbo: la base de datos garantiza que solo usted (o un responsable/familiar autorizado) accede a sus datos — y los permisos de leer y escribir están separados.
• Autenticación en dos pasos (MFA/2FA vía TOTP): disponible para reforzar el acceso a su cuenta.
• Consentimientos versionados y registro de auditoría inmutable (solo metadato de acceso, nunca el contenido clínico).
• Salvaguardas de IA: eliminación de los identificadores directos (nombre, CPF, correo electrónico, teléfono) del contexto enviado, no envío de los contactos de la tarjeta de emergencia, minimización del contenido y protección contra inyección de prompt.

Buscamos alineación a las mejores prácticas internacionales de seguridad de la información en salud. Ningún sistema es 100% inmune; por eso mantenemos planes de respuesta a incidentes (ver Sección 14).

11. Datos de niños y adolescentes (menores)

La protección de niños y adolescentes observa el Estatuto del Niño y del Adolescente (Ley 8.069/1990), la Ley 15.211/2025 (ECA Digital), el Art. 14 de la LGPD y el Art. 8 del GDPR (EEE).

• El registro propio está destinado a mayores de 18 años (o a la mayoría de edad civil del país, si es superior).
• El menor no posee cuenta ni correo electrónico propios: existe solo como perfil gestionado dentro de la cuenta de un responsable adulto (campo managed_by), que declara esa condición.
• El perfil puede tener más de un responsable: el responsable principal invita a otro adulto mediante código de invitación con plazo de validez. Cada invitado recibe un rol: responsable (ve y edita) o acompañante (solo lectura). Toda autorización se verifica en el servidor, en cada operación.
• El consentimiento relativo al menor se registra identificando qué adulto lo concedió, observando el mejor interés del niño y del adolescente (LGPD Art. 14).
• Los recursos de pago de IA exigen rol de responsable y se cobran al responsable principal (titular pagador del perfil), independientemente de qué responsable los haya activado; el registro de uso permanece vinculado al perfil del menor para auditoría.
• Aplicamos a esos datos la misma protección máxima (bóveda de identidad, RLS, no-entrenamiento de IA). No dirigimos publicidad a menores. Los datos de dispositivos vestibles nunca siguen al perfil de un menor.
• El responsable puede, en cualquier momento, exportar los datos del dependiente y, en condición de responsable principal, eliminar de forma definitiva el perfil del dependiente y todos los datos asociados (exámenes, documentos y registros) — la eliminación es permanente.

Adoptamos, en cualquier país, el límite único de 18 años para cuenta propia. Ese requisito se refiere a la titularidad de la cuenta y no se confunde con la edad de consentimiento digital autónomo del GDPR (Art. 8, entre 13 y 16 años según el país). Por debajo de 18, el tratamiento de datos solo ocurre mediante un perfil gestionado por un responsable adulto.

Usuarios en los Estados Unidos (COPPA): MyHealth no ofrece cuentas a menores ni recopila datos directamente de niños. Cualquier dato de menor es insertado y controlado por un adulto responsable, que ejerce el consentimiento parental verificable.

Diario sensible no disponible para menores. La recopilación diaria sensible (alcohol, estrés) no se realiza en perfiles de menores ni en perfiles gestionados por un responsable — bloqueada en el cliente y en el servidor. Es un recurso exclusivo de titulares adultos (18+). No recopilamos, bajo ninguna hipótesis, registros de alcohol/estrés de menores.

12. Retención y descarte

Adoptamos el principio de minimización: guardamos cada categoría de dato solo por el tiempo necesario a su finalidad o exigido por ley. Como MyHealth se distribuye mundialmente, aplicamos el criterio más protector entre las leyes aplicables: por defecto, la eliminación borra la identidad, y la retención es la excepción, accionada únicamente cuando una ley concreta la exige.

12.1 Plazos de retención

Cómo se protege la identidad cuando se retiene: cuando hay transacción y la ley fiscal exige guarda, mantenemos el nombre y el correo cifrados (misma protección de la bóveda de identidad), en una tabla aislada, accesible únicamente por el servicio interno (RLS, sin acceso de usuario), y la borramos automáticamente al final del plazo. No guardamos su correo en texto legible.

Retención del diario sensible. Mientras el consentimiento esté activo y la cuenta exista, los registros del Diario de salud sensible (alcohol, estrés/contexto de la noche) permanecen en su historial. Al revocar el consentimiento, se eliminan; al eliminar la cuenta, siguen la doble vía de eliminación (Sección 12). No hay retención fiscal de esos datos.

12.2 Eliminación definitiva de la cuenta (derecho al borrado — LGPD Art. 18, VI / GDPR Art. 17 / equivalentes locales)

La eliminación está disponible directamente en la app, en Perfil › Privacidad › Eliminar mi cuenta (exigencia de Apple). Al confirmar, ejecutamos la eliminación permanente en cascada — una operación inmediata — de todo su historial clínico (análisis, condiciones, medicaciones, vacunas, documentos, mediciones, historial, consultas, conversaciones con la IA, datos de dispositivos vestibles) y de los archivos en el almacenamiento, revocamos las conexiones de dispositivos vestibles y cerramos su cuenta de acceso.

Dependientes gestionados y migración de guarda. La eliminación de su cuenta también borra los datos y los archivos de los dependientes que usted gestiona (perfiles de menores bajo su guarda). Antes de concluir, si un menor tiene otro responsable ya vinculado, la app ofrece migrar la guarda de ese menor al co-responsable existente — de modo que el perfil del menor sobrevive con él, en lugar de ser borrado. Si usted opta por no migrar, el perfil del dependiente se elimina junto con su cuenta. En cualquier caso, nunca retenemos el nombre ni el correo del menor por motivo fiscal (ver abajo).

Las copias de seguridad (backups) pueden, por un corto período, todavía contener datos ya eliminados: son sobrescritas en el ciclo normal de nuestro encargado (Supabase, alrededor de 14 días — bien dentro de los 6 meses), y los contratos de tratamiento de datos (DPA) con Supabase y Anthropic rigen el descarte de cualesquiera copias residuales. (No alegamos "destrucción de claves" ni purga instantánea del backup.)

La eliminación de su identidad depende de si usted hizo, o no, una compra:

• Si usted nunca hizo ninguna compra (suscripción o paquetes): borramos también su nombre y su correo en la eliminación. No creamos ningún registro de identidad que sobreviva. La eliminación es, para usted, la cesación real del tratamiento de su identidad.
• Si usted hizo al menos una compra: la ley fiscal/contable de su país nos obliga a guardar el registro de la transacción por un plazo (en Brasil, 5 años). Para ello mantenemos un registro contable mínimo y, cuando sea indispensable vincularlo a usted, su nombre y correo cifrados — aislados, accesibles únicamente mediante solicitud judicial o de autoridad competente, y borrados automáticamente al final del plazo legal.

Recibo de eliminación (accountability — LGPD Art. 6º, X): podemos confirmar la conclusión de la eliminación mediante solicitud al DPO. La eliminación no es total — permanecen los registros mínimos descritos a continuación, por imposición legal.

Lo que siempre permanece después de la eliminación, para cualquier usuario:

• Registro mínimo de la eliminación, sin ningún dato personal y con su identidad sustituida por un código irreversible (no permite reidentificarlo), solo para comprobar que la eliminación ocurrió.
• Registros de acceso por el período de guarda de 6 meses (12.1), proporcionados únicamente mediante solicitud judicial o de autoridad competente.
• Registros de consentimiento desvinculados de su perfil (sustituimos el identificador por un código seudónimo, separado por una clave que no queda en la base de datos), mantenidos solo como prueba de licitud por el plazo prescripcional. Tratamos esto como dato seudonimizado, no como dato anónimo irreversible.
• Opcional — investigación: si, y solo si, usted lo autoriza al momento de la eliminación, mantenemos sus marcadores de forma seudonimizada — sin nombre, sin identificador de perfil (profile_id), sin texto libre y sin fecha exacta, guardando solo sexo, franja etaria y el año, en cohortes aleatorias. Tratamos esto como dato seudonimizado, y no como dato anónimo irreversible: la reidentificación es improbable, pero no la declaramos imposible. Usted puede rechazarlo y aun así eliminar la cuenta.

Perfiles de dependientes (menores): al eliminar el perfil de un menor, nunca retenemos el nombre ni el correo del menor por motivo fiscal — la obligación fiscal, si la hay, pertenece al responsable pagador, y no al perfil del menor. Para el menor, el borrado de la identidad es la regla; queda solo el registro mínimo de eliminación por código irreversible.

Usuarios en jurisdicciones con derecho de eliminación reforzado (ej.: Washington — My Health My Data Act): tratamos la solicitud como eliminación de dato de salud del consumidor — borramos la identidad (sin invocar plazo fiscal contra quien no transaccionó) y el descarte de las copias residuales en los encargados ocurre dentro de 6 meses, conforme a los respectivos contratos de tratamiento (DPA).

12.3 Fallecimiento del titular

La LGPD y el GDPR protegen a personas vivas y, por regla, no alcanzan al fallecido (ANPD, Nota Técnica n.º 3/2023; GDPR, Considerando 27). Aun así, el historial de una persona fallecida involucra derechos de la personalidad que sobreviven a la muerte (Código Civil, Art. 12, párrafo único) y cuestiones de sucesión.

• El heredero no hereda el acceso al contenido del historial. El Superior Tribunal de Justicia (REsp 2.124.424/SP) trató los registros de salud como bien existencial no transmisible — ligado a la intimidad de la persona, y no a su patrimonio.
• Por eso, no realizamos la eliminación total a pedido de terceros (permanecen, aun así, los registros de acceso por 6 meses y los fiscales por 5 años — 12.1), ni entregamos el contenido clínico a herederos como si fuera herencia.
• Los pedidos relacionados con el fallecimiento de un titular (por ejemplo, cesar el tratamiento, o medidas previstas en el Art. 12, párrafo único, del Código Civil por quien tenga legitimidad) deben dirigirse a nuestro DPO (Sección 1), mediante prueba del fallecimiento y de la legitimidad de quien solicita. Evaluamos cada pedido a la luz de la ley aplicable.

12-A. Notificaciones y recordatorios (opt-in)

MyHealth puede enviar recordatorios en su iPhone — sobre medicación, un check-in de bienestar, un check-in semanal (opcional, desactivado por defecto, una vez por semana — una invitación neutra, de texto fijo, para registrar lo que la app no ve por sí sola, como actividad, síntomas o energía; nunca trae datos de salud ni inferencia), su agenda (consultas/exámenes/seguimientos/vacunas) y algunos avisos del servidor (cuando un análisis queda listo, cuando uno de sus exámenes se actualiza, cuando se acerca una consulta de seguimiento, cuando el soporte responde a su mensaje y — opcional, desactivado por defecto — cuando sus datos, p. ej., sueño, frecuencia cardíaca en reposo, traen algo nuevo). Puntos importantes:

• Notificaciones LOCALES vs. push remoto. Muchas notificaciones son LOCALES, programadas en su propio dispositivo (medicación, check-in de bienestar, check-in semanal y compromisos de la agenda) — para esas no usamos servidor de envío. Otras se entregan por push remoto (APNs, de Apple) porque el evento ocurre en el servidor, en cinco casos: (a) un análisis quedó listo; (b) uno de sus exámenes se actualizó (un marcador que estaba fuera de rango recibió un resultado nuevo); (c) una consulta de seguimiento se aproxima; (d) el soporte respondió a su mensaje; y (e) sus datos (p. ej., sueño, frecuencia cardíaca en reposo) registraron algo nuevo (opcional, desactivado por defecto — "Novedad en tus datos"; el cuerpo nunca sugiere anormalidad ni urgencia) — un aviso genérico, de texto fijo, sin PHI ("El soporte le respondió — toque para leer"; "Hay algo nuevo en tus datos — toque para ver"), que usted puede desactivar en Perfil › Notificaciones. Para el push remoto guardamos un token técnico de entrega de su dispositivo (ver Sección 3.4) y el contenido del aviso es genérico, de texto fijo, sin datos de salud ("Uno de sus exámenes fue actualizado", "Tiene una consulta de seguimiento") — nunca el nombre del examen, marcador, valor ni médico. El token es un identificador de entrega — no es rastreo, no entrena la IA y no se comparte con terceros más allá del servicio de push de Apple. Para no molestar, lo limitamos a un aviso interruptivo por día y respetamos su franja de silencio; cada categoría puede desactivarse por separado en Perfil › Notificaciones.
• Opt-in granular y revocable. Cada tipo está desactivado por defecto (medicación y check-in) o lo controla usted en Perfil › Notificaciones, donde elige qué recibir, los horarios y la franja de silencio. Puede desactivar todo en cualquier momento (en la app o en los Ajustes de iOS). La base legal es el consentimiento (LGPD Art. 7, I y Art. 11, I; GDPR Art. 6(1)(a) y Art. 9(2)(a)).
• Contenido minimizado en la pantalla de bloqueo. Por defecto, la notificación nunca muestra valores de examen, diagnóstico, nombre de enfermedad, nombre de medicamento, nombre de vacuna, especialidad ni el resumen de la IA. Solo indica que existe algo y dónde ("¿Tomó sus medicamentos hoy?", "Su análisis está listo. Toque para verlo en la app.", "Mañana: Consulta", "Mañana: Vacunación"). Las únicas excepciones son el nombre del medicamento (en los recordatorios de medicación), el nombre de la vacuna (en los recordatorios de vacuna) y, en los avisos opcionales derivados, un pequeño detalle de su propio dato (ver "Detalle de sus datos en el aviso") — y solo si usted activa las opciones que se describen a continuación. Todo el resto del contenido clínico queda solo dentro de la app. Los avisos opcionales derivados de sus datos (p. ej., el "titular del día") usan una lista cerrada de frases fijas que pueden nombrar el dominio del dato (p. ej., "Tu noche trajo datos nuevos", "tu meta de actividad de la semana", "preguntas nuevas a partir de tu historial", "algo nuevo en tus resultados de laboratorio", "una observación sobre tu meta de actividad", "una lectura breve a partir de tu historial") — nunca el valor, la dirección, una comparación con su habitual ni ningún juicio. Recuerde que la pantalla de bloqueo puede ser vista por terceros y leída en voz alta por Siri — por eso iOS permite ocultar las vistas previas (Ajustes › Notificaciones › Mostrar vistas previas: Cuando esté desbloqueado).
• Nombre del medicamento en la pantalla de bloqueo (opcional, desactivado por defecto, por dispositivo). De forma predeterminada, los recordatorios de medicación son neutros y nunca muestran el nombre ni la dosis del elemento. Puedes optar por mostrar el nombre y la posología en las notificaciones DE ESTE dispositivo — por ejemplo, "Losartán 50 mg · desayuno". Es tu elección explícita: está desactivada por defecto, se aplica solo a TUS PROPIOS medicamentos, se configura por separado en cada uno de tus dispositivos (activarla en un iPhone no la activa en otro), y puedes desactivarla en cualquier momento, con efecto inmediato — al desactivarla, los recordatorios ya programados vuelven a ser neutros. El texto muestra solo lo que registraste — nombre, dosis y el momento/etiqueta — y NUNCA la finalidad, la clase del medicamento, la condición tratada, interacciones ni ningún juicio clínico o de urgencia. Como esta es una visualización de DATO DE SALUD en una superficie que terceros pueden ver, que Siri puede leer en voz alta y que puede reflejarse en otros dispositivos (Apple Watch, CarPlay, altavoces, historial de notificaciones), depende de un consentimiento propio y destacado, separado del consentimiento clínico, y no forma parte de "Aceptar y continuar". La encuentras en Perfil › Notificaciones y puedes, además, ocultar las vistas previas en Ajustes › Notificaciones › Mostrar vistas previas: Cuando esté desbloqueado. Base legal: consentimiento específico y explícito (LGPD Art. 11, I; GDPR Art. 9(2)(a)). Los recordatorios de perfiles de DEPENDIENTES (menores) y de perfiles GESTIONADOS NUNCA muestran el nombre ni la posología en la pantalla de bloqueo, aunque esta opción esté activada — para ellos el aviso permanece genérico ("Recordatorio de un dependiente").
• Detalle de la vacuna en el recordatorio (opcional, desactivado por defecto — solo en su perfil de adulto). En Perfil › Notificaciones puede activar la opción "Mostrar el detalle de la vacuna en el recordatorio" para que sus recordatorios de vacuna — y solo esos — muestren el nombre de la vacuna y la dosis en la pantalla de bloqueo (p. ej., "Mañana: Influenza · dosis anual"). Aun activado, el aviso sigue siendo un eco de su propio registro (el nombre y la dosis que usted guardó): nunca es una recomendación de refuerzo, un cálculo de plazo individual ("vencida", "próxima en X") ni una alerta de urgencia, y nunca muestra el médico, el lugar ni el motivo. Ningún otro aviso cambia — exámenes, análisis, medicación y consultas permanecen neutros. Como el nombre de una vacuna es dato de salud (categoría/dato sensible) y puede revelar un contexto sensible, y como la pantalla de bloqueo puede ser vista por terceros y leída en voz alta por Siri, esta opción está desactivada por defecto, depende de su consentimiento específico y destacado, separado de la aceptación de los Términos (base legal: GDPR Art. 6(1)(a) y Art. 9(2)(a); LGPD Art. 7 I y Art. 11 I), y puede desactivarse en cualquier momento, con efecto inmediato; iOS permite ocultar las vistas previas. Los perfiles de menores y gestionados quedan excluidos: el recordatorio de vacuna de un dependiente permanece siempre genérico ("Recordatorio de un dependiente") y nunca expone el nombre de la vacuna ni el nombre del menor — en el mejor interés del niño (LGPD Art. 14; GDPR Art. 8).
• Detalle de sus datos en el aviso (opcional, desactivado por defecto, por dispositivo). Con el "Titular del día" activo, puede optar por incluir, en los avisos derivados de SUS datos, un pequeño detalle del propio dato — por ejemplo, cuántos minutos faltan para SU meta de actividad de la semana (meta que usted mismo definió) o que durmió por encima de su habitual. Es una lista cerrada de frases: el aviso nunca trae diagnóstico, nombre de enfermedad/medicamento/examen, valor de examen, juicio ("bien/mal"), sugerencia de anormalidad ni urgencia — la variante "por debajo de su habitual" no existe. Aplica solo a sus propios datos (los perfiles de dependientes y gestionados quedan excluidos), se configura por separado en cada dispositivo (preferencia local, no sincronizada) y puede desactivarse en cualquier momento, con efecto inmediato — los avisos vuelven al texto neutro. Como la pantalla de bloqueo puede ser vista por terceros y leída en voz alta por Siri, esta opción está desactivada por defecto y depende de su consentimiento específico y destacado, separado de la aceptación de los Términos, registrado con fecha y versión (base legal: LGPD Art. 7, I y Art. 11, I; RGPD Art. 6(1)(a) y Art. 9(2)(a)).
• Responda desde la propia notificación. Puede contestar ciertos recordatorios en la notificación (p. ej., "Tomé todas" / "Más o menos"). Esas respuestas son dato de salud (adherencia a la medicación, bienestar) y se guardan en su historial con la misma protección que sus demás datos de salud; nada de eso aparece en la pantalla de bloqueo.
• Menores y perfiles gestionados: cuando el recordatorio es de un perfil de dependiente o de otra persona que usted gestiona, el aviso en su dispositivo es siempre genérico ("Recordatorio de un dependiente") y nunca expone el nombre, la posología ni ningún dato de salud de esa persona. Las opciones de mostrar el nombre del medicamento o el detalle de la vacuna en la pantalla de bloqueo se aplican solo a sus propios registros y nunca a los de dependientes o perfiles gestionados — esto vale también para los recordatorios de vacuna, que nunca muestran el nombre de la vacuna de un dependiente.
• Recordatorio de reposición de stock (opt-in, desactivado por defecto). Si registras la cantidad disponible de un elemento de tu rutina (un medicamento o suplemento), la app puede avisarte, en tu propio dispositivo (notificación LOCAL, sin servidor de envío), que un elemento de tu rutina se está acabando — para que lo repongas cuando quieras. Es organización/logística de inventario, calculada en el dispositivo a partir de un dato que ya registraste (la cantidad) y tu pauta de dosis: no recopilamos nada nuevo y no es una recomendación clínica — no afirma que quedarte sin el elemento sea un riesgo, no sugiere anormalidad ni te ordena reponer con urgencia. El cuerpo es neutro y de texto fijo ("Un elemento de tu rutina se está acabando"): nunca el nombre del elemento, la dosis, la cantidad ni los "días restantes" — el detalle (qué elemento, cuánto queda) queda solo dentro de la app. Funciona bajo el mismo consentimiento que las notificaciones de medicación (opt-in, desactivado por defecto) y solo se dispara mientras ese consentimiento esté activo; se puede desactivar en Perfil › Notificaciones, con el mismo tope de un aviso interruptivo por día y la misma franja de silencio. Base legal: consentimiento para aviso derivado de dato de salud (LGPD Art. 7, I y Art. 11, I; RGPD Art. 6(1)(a) y Art. 9(2)(a)), como los demás recordatorios de medicación. En perfiles de dependientes aplica la regla de menores: el aviso en el dispositivo del responsable es genérico ("Recordatorio de un dependiente") y nunca revela el nombre del menor, qué elemento es, ni que se trata de un medicamento/suplemento.
• Recordatorio de control sugerido (opt-in, desactivado por defecto). Cuando tu historial registra un control sugerido por un profesional (una fecha de seguimiento que tú — o la lectura de un documento tuyo — guardaste) y aún no has agendado la consulta correspondiente, la app puede enviarte, en tu propio dispositivo (notificación LOCAL, sin servidor de envío), un único aviso de que un control sugerido se está acercando — para que lo agendes cuando quieras. Es organización de agenda, calculada en el dispositivo a partir de una fecha que ya registraste: no recopilamos nada nuevo y no es una recomendación clínica — no afirma urgencia ni sugiere anormalidad. El cuerpo es neutro y de texto fijo ("Un control sugerido en una consulta se está acercando. Los detalles están en la app."): nunca el médico, el motivo, la especialidad, la fecha, ni el hecho de que no lo hayas agendado; el detalle (qué control, cuándo) queda solo dentro de la app. Funciona bajo el mismo consentimiento que las notificaciones de tu agenda (opt-in), respeta el tope de un aviso interruptivo por día y tu franja de silencio, y desaparece en cuanto agendas la consulta. Los perfiles de dependientes y gestionados quedan excluidos (vale solo para tu propio perfil). Base legal: consentimiento para aviso derivado de dato de salud (LGPD Art. 7, I y Art. 11, I; RGPD Art. 6(1)(a) y Art. 9(2)(a)).
• Los recordatorios de reexamen y de actualización son educativos y universales. Algunos recordatorios señalan que puede ser hora de repetir un análisis de rutina, actualizar un registro (p. ej., el peso) o revisar un control/dispositivo. Se basan solo en intervalos genéricos de referencia (p. ej., los análisis de rutina suelen repetirse periódicamente) y en las fechas de sus propios registros — no recopilamos nada nuevo y la app no calcula un plazo individual a partir de su resultado. No son una recomendación clínica individual: el intervalo correcto debe confirmarse con su médico.

13. Cookies, telemetría y rastreo

MyHealth es una aplicación nativa de iPhone (no un sitio web), por lo que no usa cookies de navegación en el sentido tradicional.

• Telemetría técnica desidentificada: recopilamos datos mínimos de estabilidad y diagnóstico (fallos, errores, rendimiento), sin contenido de salud, para mantener la app segura y en funcionamiento. Ese es un tratamiento interno: no embarcamos SDK de analytics ni ningún rastreador de terceros. Por autolimitación de minimización, mantenemos esa telemetría por hasta cerca de 12 meses (ver Sección 12).
• Sin rastreadores de terceros con acceso a datos de salud y sin venta de datos. No hacemos rastreo entre apps/sitios para fines de publicidad.
• Etiquetas de privacidad de la App Store: nuestras declaraciones en la App Store reflejan lo que está descrito aquí.

Hoy no usamos ninguna herramienta de analytics o rastreo de terceros; si eso cambia, actualizaremos esta Política y la página de subencargados antes de la activación, con nuevo aviso — revisando también las etiquetas de privacidad de la App Store y la necesidad (o no) de App Tracking Transparency (ATT).

14. Incidentes de seguridad y notificación

Mantenemos planes de respuesta a incidentes. En caso de un incidente de seguridad que pueda generar riesgo relevante para usted:

• LGPD (Art. 48): comunicaremos a la Autoridad Nacional de Protección de Datos (ANPD) y a usted, en plazo razonable, indicando la naturaleza del incidente, los datos afectados, las medidas adoptadas y las recomendaciones para que usted se proteja.
• GDPR (Art. 33–34): notificaremos a la autoridad de control competente, por regla en hasta 72 horas, y lo comunicaremos a usted cuando haya alto riesgo para sus derechos y libertades.

15. Sus derechos

Usted es el titular de sus datos y tiene derechos garantizados por la LGPD (Art. 18) y por el GDPR (Capítulo III):

Cómo ejercerlos: muchos derechos se ejercen directamente en la app (revisar, exportar, eliminar, revocar consentimiento). Para los demás, o si algo no funciona, escriba a nuestro DPO (Sección 1). Respondemos en el plazo legal (por regla, hasta 15 días para confirmación de existencia o acceso, conforme la LGPD; hasta 30 días bajo el GDPR, prorrogables cuando la ley lo permita).

Reclamaciones: si usted entiende que tratamos sus datos de forma inadecuada, puede reclamar a la autoridad competente — en Brasil, la ANPD (https://www.gov.br/anpd); en Europa, la autoridad de protección de datos de su país. Le pedimos, sin embargo, que hable antes con nuestro DPO — queremos resolverlo directamente con usted.

16. MyHealth NO es un servicio médico

• MyHealth es una herramienta de organización y educación sobre su propia salud, que lo prepara para la consulta con profesionales de salud y ofrece una lectura educativa de apoyo por IA.
• NO realiza diagnósticos, NO prescribe tratamiento y NO sustituye la evaluación de un médico o profesional de salud habilitado.
• Las lecturas y las respuestas del asistente de IA sirven para llevar preguntas e informaciones a su médico — usted debe siempre confirmar con su médico antes de cualquier decisión.
• MyHealth no es un dispositivo médico (no es "SaMD") y no debe usarse como tal.
• En emergencia, busque atención médica inmediatamente — no use la app para eso.

17. Cambios en esta Política y versionado

Podemos actualizar esta Política para reflejar cambios en la app, en proveedores o en la ley. La Política tiene versión (policy_version):

• La app recoge su aceptación en el registro, vinculada a la versión vigente;
• Actualizamos la versión y la fecha en la parte superior cuando hay un cambio;
• Le avisamos en la app y/o por correo electrónico; y, cuando el cambio lo exija, pediremos una NUEVA aceptación — la app exige nueva aceptación cuando la versión cambia — registrándola de forma inmutable en nuestro registro de consentimiento.

El historial de versiones queda publicado en https://www.bas-ai.com/myhealth/legal/versoes; cada versión aceptada permanece archivada.

18. Contáctenos

Dudas, pedidos o reclamaciones sobre sus datos:

• Encargado/DPO: dpo@bas-ai.com
• Soporte en la app: Perfil › Soporte — el canal para dudas de uso, problemas técnicos y solicitudes sobre su cuenta.
• Número de cuenta: lo encuentra en Perfil; indíquelo al soporte para localizar su cuenta más rápido (incluso si usa "Ocultar correo" en Sign in with Apple).
• Responsable: BAS ARTIFICIAL INTELLIGENCE LTDA — CNPJ 64.106.409/0001-70 — www.bas-ai.com — Rua Gomes de Carvalho, 911, Vila Olímpia, São Paulo/SP, CEP 04547-003, Brasil
• Página de subencargados: https://www.bas-ai.com/myhealth/legal/subprocessadores

MyHealth — su historial, soberano y privado. Esta Política fue redactada en portugués como base para la traducción a los demás idiomas de la app (como mínimo PT/EN/ES). En caso de divergencia entre versiones, prevalece el portugués.