Política de Privacidad — MyHealth

Versión (policy_version): 3.11 Última actualización: 19 de julio de 2026 Vigencia: a partir del 19 de julio de 2026. Cambios (3.11, 2026-07-19): Dos novedades relacionadas con Apple Salud, publicadas juntas — bump menor, con reaceptación. (A) Adherencia de medicamentos observada (§3.2, Secciones 4, 6 y 9; requiere iOS 26 o posterior): si usted registra en Apple Salud que tomó una dosis de un medicamento, MyHealth puede importar solo las dosis marcadas como tomadas a su historial, emparejadas con un medicamento que usted ya registró en la app (nunca creamos un medicamento nuevo a partir de Apple Salud). A la IA va solo el agregado factual — cuántos días, en una ventana de 30 días, tuvieron una dosis registrada — nunca un porcentaje, nunca un juicio, nunca una relación de causa. No existe fiscalización: la app nunca envía una notificación de "dosis perdida" o "dosis olvidada" — la ausencia de registro nunca se trata como una falla. Esta importación usa los consentimientos de procesamiento clínico y de IA que usted ya otorgó (es una nueva fuente de un dato de rutina que usted ya comparte, no una categoría nueva); no disponible para menores ni perfiles gestionados. (B) Registros Clínicos (solo Estados Unidos) — nota condicional honesta (§3.2, Sección 8, y Secciones 4, 6 y 9): construimos, y dejaremos disponible cuando Apple conceda la autorización necesaria (un proceso externo, fuera de nuestro control, que puede tardar semanas), la importación de solo lectura de sus propios registros clínicos estructurados de Apple Salud (vía FHIR) — resultados de laboratorio (emparejados mediante el estándar internacional LOINC), vacunas, medicamentos, condiciones/diagnósticos ya registrados por profesionales, procedimientos y alergias — directamente a su historial, con las mismas protecciones que cualquier otro dato suyo. Las notas clínicas de texto libre y los datos de cobertura/seguro nunca se importan. Disponible solo para cuentas en Estados Unidos; hasta que Apple conceda la autorización, la función permanece invisible. Sin subprocesador nuevo y sin transferencia internacional nueva en ninguna de las dos novedades. Esta actualización dispara la reaceptación (reaparece la pantalla de aceptación). Cambios (3.10, 2026-07-19): Dos nuevas áreas opcionales de categoría especial (salud mental y complemento reproductivo), cada una bajo consentimiento propio y separado — bump dedicado, con reaceptación. (A) Salud mental de Apple Salud (§3.2, Secciones 4, 6 y 9): si usted registra su estado de ánimo (Estado de Ánimo) o responde cuestionarios de bienestar (GAD-7 de ansiedad, PHQ-9 de depresión) en Apple Salud, puede traerlos a su historial solo activando un consentimiento propio y destacado ("Salud mental de Apple Salud", mind_import, desactivado por defecto, fuera de "Aceptar y continuar"). Guardamos solo el promedio diario del ánimo (una nota de −1 a +1; descartamos las emociones y asociaciones ítem por ítem) y, de los cuestionarios, solo la puntuación total y la clasificación del propio Apple Salud (descartamos las respuestas pregunta por pregunta). Estos datos viven en su historial, con casa en el Diario y en el sistema "Salud mental" — nunca en la pantalla de inicio. A la IA va solo la tendencia semanal del ánimo (promedio y nº de días), de forma descriptiva y solo si usted también activó el Diario de salud (daily_journal_ai) — doble consentimiento. Los cuestionarios GAD-7/PHQ-9 y el índice de estrés del anillo NUNCA se envían a la IA. Ningún contenido de salud mental aparece en notificaciones. No disponible para menores ni perfiles gestionados. Al revocar, borramos todo (ánimo y cuestionarios). Base: LGPD Art. 7º, I + Art. 11, I; GDPR Art. 6(1)(a) + 9(2)(a); Washington MHMDA (consentimiento por categoría); requiere iOS 18+. (B) Complemento de ciclo/reproductivo (§3.2 y Secciones 6.10 y 9): los estados anticonceptivo (en uso) y lactancia pasan a poder contextualizar la lectura educativa de sus exámenes (cambian rangos de referencia, como el embarazo y la menopausia ya lo hacían). Siguen exactamente el mismo diseño del embarazo: quedan solo en su dispositivo (Keychain, fuera de iCloud y de las copias de seguridad), nunca se graban en tabla nuestra ni se sincronizan, y van a la IA solo de forma transitoria, en el momento en que usted ejecuta el análisis, para calibrar la lectura — no los almacenamos y la IA no los registra como condición. Además, desvíos de ciclo de Apple Salud (ciclos infrecuentes/irregulares, sangrado intermenstrual persistente, menstruación prolongada) aparecen como hallazgos descriptivos dentro del seguimiento de ciclo (bajo el opt-in de ciclo que usted ya controla), siempre sugiriendo hablar con el ginecólogo, sin alarmar. Como ya vale para el ciclo, el chat de IA no recibe datos de ciclo, y nada de esto se convierte en notificación. La app sigue sin importar la "prueba de embarazo" de Apple Salud y no importa actividad sexual. Base: LGPD Art. 7º, I + Art. 11, I + Art. 33; GDPR Art. 6(1)(a) + 9(2)(a) + 44–49; Washington MHMDA. Sin subprocesador nuevo y sin transferencia internacional nueva. Esta actualización dispara la reaceptación (reaparece la pantalla de aceptación). Cambios (3.9, 2026-07-19): Actualización de transparencia (bump menor, con reaceptación — quien ya aceptó la 3.8 solo confirma la lectura de esta actualización): enumeramos las nuevas categorías de dato de Apple Salud y de dispositivos vestibles que pasamos a importar, todas bajo los consentimientos que usted ya otorgó (clínico + IA + transferencia internacional) — ningún subencargado nuevo, ninguna transferencia internacional nueva. (1) Nuevos datos del dispositivo/Apple Salud (§3.2): evento de posible apnea del sueño y avisos de exposición sonora alta; espirometría domiciliaria (CVF/VEF₁/pico de flujo) y uso de inhalador; hipnograma y ventana ideal de sueño del anillo Oura; síntomas importados de Apple Salud; datos nutricionales (agua, cafeína, energía, macros y micronutrientes); marcha (asimetría, apoyo, longitud del paso, velocidad en escaleras); audiograma (se convierte en un examen de audiometría en su historial, sin envío de archivo); receta de anteojos/lentes (solo visualización); insulina y bebidas alcohólicas (solo visualización, nunca enviadas a la IA); edad vascular, velocidad de onda de pulso y desviación de temperatura del anillo; tiempo de pie, tramos de escalera, esfuerzo, impulsos de silla de ruedas y la intensidad/calidad de la actividad. (2) Anotaciones del anillo Oura (§3.2 y Sección 8) — corrección y detalle: el texto libre (nombre personalizado y comentario) es descartado en la importación y nunca llega a guardarse; guardamos solo el código de categoría estandarizado (p. ej., "café", "alcohol"), que — agregado por semana y nunca como texto libre — puede integrar el contexto enviado a la IA cuando usted tiene el Diario de salud (daily_journal) activo. (3) Retención (Sección 12.1): detallamos que la condensación de las series diarias de vestible (resúmenes semanales tras 13 meses; mensuales tras 36 meses) abarca las métricas continuas de actividad, sueño, ambiente y los agregados diarios de glucosa de monitor continuo — pero nunca las mediciones registradas manualmente, las mediciones clínicas puntuales (peso, glucemia capilar, presión) ni insulina, alcohol, espirometría y uso de inhalador. (4) El recordatorio nocturno de sueño puede citar la ventana ideal sugerida por Oura, siempre atribuida a Oura (recomendación de la marca, nunca consejo nuestro). (5) Pasamos a guardar un identificador seudónimo de su perfil en WHOOP (solo un número, nunca nombre ni correo) para recibir avisos de actualización/eliminación en tiempo real (Sección 9). Bases legales indicadas en cada sección. Esta actualización dispara la reaceptación (reaparece la pantalla de aceptación): quien ya aceptó la 3.8 solo confirma la lectura — no hay nuevo consentimiento afirmativo obligatorio (ninguna categoría especial nueva, ningún subprocesador, ninguna transferencia internacional nueva). Cambios (3.8, 2026-07-18): Ronda consolidada con seis cambios. (1) Recordatorios educativos de cribado por franja de edad (Sección 4): pasamos a usar su fecha de nacimiento y su sexo al nacer — datos que usted ya proporcionó en el registro — para mostrar, como tarjeta dentro de la app (nunca por notificación), recordatorios educativos sobre cribados de salud que las guías poblacionales suelen sugerir para su franja de edad; se generan en su dispositivo, mediante reglas fijas de edad y sexo — sin usar sus resultados de exámenes, condiciones ni ninguna evaluación individual de riesgo —, descartables uno a uno y desactivables. (2) Equipo de cuidado en el análisis (Sección 6.11): el contexto que enviamos a la IA al analizar su historial pasa a incluir el nombre y la especialidad (y, cuando usted los indica, la institución y el motivo) de los profesionales de su Equipo de Cuidado — nunca teléfono, correo, dirección ni número de registro —, como ya ocurría en el chat. (3) Glucosa de monitor continuo (CGM) (§3.2 y Secciones 6 y 8): los días de monitor continuo importados de Apple Salud se guardan solo como agregados diarios — media, mínimo, máximo, variabilidad (CV) y el porcentaje del día dentro del rango de 70–180 mg/dL del estándar de visualización de la industria (AGP) — y las lecturas continuas brutas nunca son almacenadas por nosotros; las mediciones puntuales/capilares continúan como mediciones normales; solo los agregados entran en el contexto de la IA. (4) Anotaciones del anillo Oura (§3.2 y Sección 8): importamos las anotaciones que usted registra en la app de Oura (tipo, nombre personalizado y comentario en texto libre) bajo la máxima protección de dato sensible — visibles solo para usted, nunca enviadas a la IA y siempre eliminadas al desconectar Oura; exigen un permiso adicional de Oura (alcance "tag"): las conexiones antiguas deben reconectarse. (5) Biblioteca educativa generada por IA (Sección 6.12): el contenido educativo genérico mostrado en la app puede ser generado por IA (Anthropic) de forma poblacional — un texto por tema e idioma, igual para todos; la generación no recibe ningún dato suyo y la elección de qué mostrar ocurre en su dispositivo. (6) Condensación de series de dispositivo vestible (Sección 12.1): las series diarias brutas de métricas de vestible pueden ser condensadas después de 13 meses en resúmenes semanales (mínimo/media/máximo/conteo) y, después de 36 meses, en resúmenes mensuales — política de minimización; las mediciones manuales y las mediciones clínicas (peso, glucosa, presión) nunca se condensan. Bases legales indicadas en cada sección. Dispara el re-consentimiento de todos. Cambios (3.7, 2026-07-18): Nueva función opcional para titulares adultas — el Estado de embarazo (§3.2, la tabla de la Sección 4, y Secciones 6.10 y 9). Usted declara solo su trimestre (no estoy embarazada / 1.º / 2.º / 3.º / posparto, con "prefiero no decir"); nunca la fecha de la última menstruación (FUM) ni la fecha probable de parto (FPP). El estado queda solo en su dispositivo (Keychain, fuera del iCloud Keychain y de los backups), nunca se graba en una tabla nuestra ni se sincroniza, expira en cerca de 40 semanas y es borrable en un toque. Solo va a la IA (Anthropic, EE. UU.) de forma transitoria, en el cuerpo de la solicitud, cuando USTED ejecuta un análisis o el chat, para calibrar la lectura de sus análisis por los rangos propios del embarazo y la lactancia — no lo almacenamos y la IA nunca lo registra como condición, alerta ni diagnóstico. No disponible para menores ni perfiles gestionados. Consentimiento específico y destacado (pregnancy-state-1.0), separado del consentimiento clínico, que cubre la transferencia internacional bajo el DPA/SCC vigente; revocable en Perfil › Privacidad. También en esta versión: la app dejó de importar y de almacenar "pruebas de embarazo" de Apple Salud (§3.2 y Sección 8) — la mención fue eliminada. Base legal: LGPD Art. 7, I + Art. 11, I + Art. 33; RGPD Art. 6(1)(a) + 9(2)(a) + 44–49. Dispara el re-consentimiento de todos. Cambios (3.6, 2026-07-18): Ajustes en los recordatorios y avisos (Sección 12-A), sin nueva recopilación de datos: (1) la invitación a volver a la app tras un tiempo sin usarla (por ejemplo, alrededor de una y de tres semanas) pasa a formar parte de los recordatorios de servicio neutros (grupo 1, preactivados), y ya no del grupo de avisos por inferencia — porque lo que lo dispara es solo el tiempo desde tu última apertura (un dato de uso de la app, no una lectura sobre tu salud); el cuerpo es neutro, sin dato de salud ni culpa, y el recordatorio sigue siendo desactivable en Perfil › Notificaciones. (2) En la Pregunta del Día (bajo el "Titular del día", opcional), el cuerpo del aviso puede pasar a ser la propia pregunta cuando viene de una lista cerrada de preguntas del día a día no sensibles (café, energía, hidratación, cambio de rutina, cómo respondió el cuerpo al entrenamiento de forma genérica) — frases fijas, hechas para todos, sin ningún dato, valor ni juicio tuyo; las preguntas sensibles (alcohol, contexto de la noche, estrés), de síntoma, o que involucrarían medicación/consulta o una inferencia sobre tus datos nunca aparecen por extenso. (3) El aviso de análisis listo puede indicar cuántos exámenes se organizaron (un conteo), nunca el nombre ni el valor de ninguno; y nuevos textos neutros en los recordatorios existentes. Base legal de los ítems de servicio: ejecución del servicio/interés legítimo (LGPD Art. 7, V y IX; GDPR Art. 6(1)(b) y (f)); de los avisos por inferencia: consentimiento específico (LGPD Art. 7, I y Art. 11, I; GDPR Art. 6(1)(a) y Art. 9(2)(a)). Dispara el re-consentimiento de todos. Cambios (3.5, 2026-07-17): Nueva función opcional de agenda (Sección 12-A) — y la primera función de la app que usa tu ubicación: con "Avisarme la hora de salir" activada, el día de una consulta que tiene hora y dirección, la app estima el tiempo de desplazamiento (con Apple Maps, en tu dispositivo) y te avisa "Hora de salir" para que llegues a tiempo. La ubicación se pide solo al activar la opción (permiso de iOS "Mientras se usa la app"), se usa 100% en tu dispositivo para el cálculo y nunca se guarda, nunca se envía a nuestros servidores ni se envía a la IA. Opt-in por dispositivo, desactivado por defecto, revocable en la app o en los Ajustes del iPhone; los perfiles de dependientes y gestionados quedan excluidos; el cálculo y el aviso son 100% en tu dispositivo. Base legal: consentimiento específico y explícito (LGPD Art. 7, I y Art. 11, I; GDPR Art. 6(1)(a) y Art. 9(2)(a)). Dispara el re-consentimiento de todos. Cambios (3.4, 2026-07-17): Nueva excepción opcional al cuerpo neutro de los recordatorios de agenda (Sección 12-A): el titular adulto puede activar, para sus propias consultas y controles, que en la pantalla de bloqueo se muestre el profesional, la hora y una dirección corta que él mismo registró (con un mapa del destino) — nunca la especialidad, el motivo ni un diagnóstico. Opt-in por dispositivo, desactivado por defecto, revocable con efecto inmediato; los perfiles de dependientes y gestionados quedan excluidos; 100% en su dispositivo (nada viaja por push). Base legal: consentimiento específico y explícito (LGPD Art. 7, I y Art. 11, I; GDPR Art. 6(1)(a) y Art. 9(2)(a)). Dispara el re-consentimiento de todos. Cambios (3.1, 2026-07-16): Se activa el Soporte asistido por IA (Sección 6.7): cuando un agente usa apoyo de IA para redactar o traducir la respuesta del soporte, el texto de su conversación puede enviarse a la IA (Anthropic (Claude), EE. UU.) solo para preparar un borrador, revisado por un agente humano antes de enviar — nunca su historial clínico; antes del envío el texto se minimiza (best-effort, no es una desidentificación). Corre bajo un consentimiento nuevo, dedicado y desagregado (support_ai_share), separado del Procesamiento por IA general y desactivado por defecto (el producto de pago funciona por completo si usted lo rechaza), junto con la Transferencia internacional. Para quienes escriben al soporte sin cuenta, adoptamos un modelo consent-first: dos consentimientos separados (tratar el mensaje y transferirlo a Anthropic/EE. UU.) antes de cualquier uso de IA. Amparado por el DPA + SCC ya vigente con Anthropic (sin uso para entrenamiento; retención propia de Anthropic, ~30 días); sin nuevo subencargado. Dispara el re-consentimiento de todos. Cambios (3.0, 2026-07-15): Nueva excepción opcional al cuerpo neutro de los avisos (Sección 12-A): con el "Titular del día" activo, el titular adulto puede incluir, en los avisos derivados de sus propios datos, un pequeño detalle del dato — p. ej., minutos restantes para su meta de actividad, o que durmió por encima de su habitual (la variante "por debajo" no existe). Lista cerrada de frases — nunca diagnóstico, valor de examen, juicio ni urgencia. Opt-in por dispositivo, desactivado por defecto, revocable con efecto inmediato; dependientes/gestionados quedan excluidos. También en esta versión: nuevos titulares de lista cerrada por dominio (sueño, meta de actividad, examen con resultado nuevo, semana parcial, constancia), aviso en la víspera de consulta con el resumen de preparación listo y aviso técnico de sensor sin sincronizar. Base legal: consentimiento específico y explícito (LGPD Art. 7, I y Art. 11, I; RGPD Art. 6(1)(a) y Art. 9(2)(a)). Dispara el re-consentimiento de todos.

En resumen (léalo primero)

MyHealth es una aplicación para iPhone que le ayuda a organizar su propio historial de salud, con el apoyo de un asistente de inteligencia artificial (IA) que lee los documentos y fotos que usted envíe para extraer y completar registros (que usted confirma antes de guardar) y ofrece una lectura educativa de apoyo. Usted reúne sus análisis, condiciones, medicaciones, vacunas, consultas, mediciones y documentos en un único lugar, y la app arma una línea de tiempo de su salud para prepararlo para la conversación con su médico.

Los puntos más importantes:

• Quién es usted queda separado de sus datos de salud. Su nombre, correo electrónico, teléfono y documento (como el CPF) quedan guardados en una bóveda cifrada (cifrado de campo autenticado — AEAD — determinista, con la biblioteca pgsodium, AES-256) y solo se descifran bajo su propia identidad, mediante una función segura. Las tablas clínicas se refieren a usted solo por un código (seudónimo).
• Sus datos quedan en Brasil. La base de datos está alojada en la región de São Paulo (sa-east-1).
• La IA recibe el contenido clínico de su historial — sin sus identificadores directos — y solo si usted lo consiente. Puede incluir análisis, medicaciones, síntomas, sueño y métricas de dispositivos vestibles, eventos de su dispositivo, hábitos de vida que usted declara (tabaco, alcohol, actividad, sueño) y registros de ciclo menstrual, además de su sexo y edad. El nombre, el CPF, el correo electrónico y el teléfono quedan cifrados en una bóveda aparte y no se envían a la IA. Sus datos no entrenan modelos. Ese procesamiento implica una transferencia internacional hacia los Estados Unidos (Anthropic). Vea las Secciones 6 y 9.
• La cuenta es para mayores de 18 años. Los menores solo entran como perfil gestionado por un responsable adulto (Sección 11).
• Las funciones de IA son de pago y consumen su cuota de uso (páginas analizadas y prompts del AI Chat). Hay una cortesía inicial gratuita, una suscripción que renueva la cuota cada ciclo y paquetes adicionales que no caducan. Las compras son procesadas por Apple (App Store); el uso de IA de un menor se cobra al responsable. Vea la Sección 9 y los Términos.
• Usted manda. Puede acceder, corregir, exportar (en formato estándar de salud FHIR R4 y en PDF), revocar consentimientos y eliminar su cuenta cuando quiera.
• MyHealth NO es un médico y no es un dispositivo médico. No realiza diagnósticos y no prescribe. Las lecturas y las respuestas del asistente de IA son educativas — usted debe siempre confirmar con su médico. Para prepararlo mejor para la consulta, la lectura educativa puede explicar el significado y el contexto de sus hallazgos (el mecanismo, lo que la práctica clínica suele investigar de forma general y lo que conviene llevar al especialista), pero sigue siendo información educativa: nunca define su diagnóstico, su conducta, su investigación ni su tratamiento — eso es decisión de su médico.
• Recordatorio de vacunas (perfiles de menores). Para el perfil de un dependiente menor de edad, la lectura educativa puede, con base en el calendario de inmunización recomendado (referencia de la OMS / de su país) y en las vacunas que usted registró, señalar de forma informativa que alguna vacuna puede estar pendiente. Es solo un recordatorio educativo al responsable: la ausencia de registro en la app NO significa que la vacuna no se haya aplicado (puede haberse administrado en otro lugar), no es una exigencia ni una recomendación individual de inmunización, y debe confirmarse en la cartilla, con el pediatra o en el servicio de inmunización.

El texto completo a continuación detalla todo esto y describe sus derechos legales.

1. Quiénes somos (el Responsable) y el Encargado/DPO

El responsable del tratamiento de sus datos personales ("Responsable" en la LGPD; "Controller" en el GDPR) es:

BAS AI — BAS ARTIFICIAL INTELLIGENCE LTDA

CNPJ: 64.106.409/0001-70

Sitio web: www.bas-ai.com

Dirección: Rua Gomes de Carvalho, 911, Vila Olímpia, São Paulo/SP, CEP 04547-003, Brasil

En este documento, "MyHealth", "nosotros" o "la aplicación" se refieren a ese Responsable.

Encargado del Tratamiento de Datos Personales (DPO)

Para cualquier asunto de privacidad y protección de datos, comuníquese con nuestro Encargado (LGPD Art. 41 / Data Protection Officer, GDPR Art. 37):

Correo electrónico: dpo@bas-ai.com

Nombre del Encargado: Guilherme Kaschny Bastian

Dirección para correspondencia: Rua Gomes de Carvalho, 911, Vila Olímpia, São Paulo/SP, CEP 04547-003, Brasil

Adoptamos el estándar del GDPR como base global de protección (el criterio más protector, aplicado a todos los usuarios), aunque el lanzamiento no ofrezca el servicio en la Unión Europea/EEE ni en el Reino Unido.

2. A quién se aplica esta Política

Esta Política se aplica a todas las personas que usan la aplicación MyHealth, en cualquier país. La app es global y multiidioma (portugués, inglés y español).

El lanzamiento inicial tiene foco en Brasil, pero, donde la ley de su país sea más protectora, ella prevalece. Tratamos la LGPD (Ley n.º 13.709/2018, Brasil) y el GDPR (Reglamento (UE) 2016/679) como nuestro estándar mínimo de protección en cualquier lugar, aplicado a todos los usuarios. La app se distribuye mundialmente, excepto en la Unión Europea/EEE y el Reino Unido, que quedan fuera del lanzamiento.

Usuarios en los Estados Unidos: divulgaciones suplementarias específicas para los EE. UU. — el Aviso de Privacidad de California (CCPA/CPRA) y la Divulgación de Datos de Salud del Consumidor de Washington (My Health My Data Act) — integran esta Política como documentos complementarios, publicados en https://www.bas-ai.com/myhealth/legal y prevaleciendo, para los residentes de esas jurisdicciones, en lo que sean más específicos.

Niños y adolescentes: el registro propio está destinado a mayores de 18 años. Los datos de menores solo pueden ser incluidos por un responsable legal, que gestiona el perfil del dependiente (ver Sección 11).

3. Qué datos recopilamos

Recopilamos solo lo necesario para que la app funcione (principio de minimización). A continuación, lo que recopilamos y dónde queda.

3.1 Datos de identidad (PII) — cifrados en bóveda

Los siguientes datos lo identifican a usted directamente y quedan guardados en una bóveda de identidad (identity_vault), cifrados campo a campo con cifrado autenticado (AEAD) determinista (biblioteca pgsodium, AES-256), físicamente separados de las tablas clínicas. Solo se descifran mediante una función segura, bajo su propia identidad:

• Nombre (o nombre para mostrar);
• Correo electrónico;
• Teléfono;
• Documento (por ejemplo, CPF).

Las tablas clínicas no contienen esos datos — se refieren a usted solo por un código de perfil (seudónimo). En el perfil seudonimizado guardamos solo el mínimo clínico-demográfico necesario para interpretar correctamente los datos (por ejemplo, sexo biológico y fecha de nacimiento/edad, importantes para los rangos de referencia de los análisis).

3.2 Datos de salud / sensibles (PHI)

Son datos personales sensibles (salud) y reciben la protección máxima. Recopilamos, conforme usted los registra o importa:

• Análisis y marcadores de laboratorio (valores, unidades, rangos de referencia, fechas);
• Condiciones y sistemas del cuerpo (línea "de la cabeza a los pies");
• Medicaciones (ítem, dosis, indicación, período, prescriptor, estado activo/inactivo);
• Alergias e intolerancias (sustancia, categoría, reacción, gravedad);
• Vacunas;
• Consultas / atenciones;
• Signos vitales y bioimpedancia — peso, porcentaje de grasa, masa magra, circunferencias, glucemia, presión arterial, frecuencia cardíaca, saturación, temperatura;
• Glucosa de monitor continuo (CGM) — solo agregados diarios. Si usted importa glucosa de Apple Salud, la app distingue, día a día, la medición puntual (por ejemplo, glucemia capilar o ingresada manualmente — guardada como medición normal, con fecha y hora) del día de monitor continuo (CGM), que produce cientos de lecturas: en los días identificados como de monitor continuo, guardamos solo cinco agregados del día — media, mínimo, máximo, variabilidad (CV) y el porcentaje del día dentro del rango de 70–180 mg/dL (el rango del estándar de visualización de la industria, el informe AGP) — y las lecturas continuas brutas nunca son almacenadas por nosotros (se resumen en memoria, en su propio dispositivo, en el acto de la importación). Estos agregados son una visualización factual de un estándar de la industria — no son una meta individual ni un juicio sobre su control glucémico (ver el Aviso Médico);
• Síntomas y molestias;
• Actividad física;
• Documentos e informes (PDFs, fotos y archivos de texto — análisis, recetas, informes, registros que usted envía);
• Historia familiar de salud;
• Equipo de cuidados (profesionales, área, institución, motivo, contacto y dirección profesional opcionales);
• Tarjeta / información de emergencia (grupo sanguíneo, alergias, contacto de emergencia);
• Notas, preguntas y mensajes que usted escribe en la app (incluido el chat con el asistente de IA y los mensajes que usted envía a nuestro soporte por la app), en la medida en que contengan datos de salud.
• Eventos de dispositivo — eventos que su dispositivo registra: clasificación de ECG (ritmo sinusal / fibrilación auricular / no concluyente) con la frecuencia cardíaca media, notificaciones de ritmo irregular y de frecuencia cardíaca alta o baja, carga de fibrilación auricular, detección de caída y — cuando su dispositivo las ofrece — notificaciones de posibles señales de hipertensión, de condición cardiorrespiratoria baja, eventos de posible apnea del sueño y avisos de exposición sonora alta (ambiente y auriculares). Guardamos la clasificación y los metadatos del evento — nunca el trazado bruto (forma de onda) del ECG, que permanece solo en su dispositivo y no se envía a la IA. Los eventos regulados del dispositivo (apnea, exposición sonora) se muestran exactamente como el dispositivo los clasifica, nunca reinterpretados por nosotros.
• Anotaciones de su dispositivo vestible (solo el código de categoría). — si usted conecta un anillo Oura, importamos las anotaciones que usted mismo registra en la app de Oura (por ejemplo: café, alcohol, síntoma, medicación, viaje). El texto libre de esas anotaciones — el nombre personalizado y el comentario que haya escrito, que podrían mencionar, por ejemplo, salud mental o consumo de sustancias — es descartado en el momento de la importación y nunca llega a guardarse por nosotros (no toca su historial, nuestros registros ni nuestros logs). Guardamos solo el código de categoría estandarizado de la anotación (el "tipo": café, alcohol, etc.), que queda visible solo para usted (no aparece en el intercambio familiar) y se elimina cuando usted desconecta el dispositivo vestible. Ese código estandarizado — agregado por semana y nunca como texto libre — puede integrar el contexto enviado a la IA cuando, y solo cuando, usted mantiene el Diario de salud (daily_journal) activo; sin ese consentimiento, no se envía a la IA. Importar las anotaciones exige un permiso adicional de Oura (alcance "tag"): las conexiones antiguas deben reconectarse.
• Más datos de Apple Salud y de dispositivos vestibles que usted opta por importar — cuando estén disponibles en su dispositivo y usted los importa: actividad detallada (tiempo de pie, tramos de escalera, esfuerzo físico, intensidad del movimiento y, para quienes usan silla de ruedas, impulsos y distancia — leídos como actividad, nunca como una condición); exposición sonora media del ambiente y de los auriculares (en decibelios); sueño detallado (perfil de fases/hipnograma y la ventana ideal de sueño sugerida por Oura); función respiratoria (espirometría domiciliaria — CVF, VEF₁ y pico de flujo — y el número de usos del inhalador); datos nutricionales (agua, cafeína, energía y macro/micronutrientes, cuando usted usa una app de conteo que graba en Apple Salud); marcha (asimetría, apoyo doble, longitud del paso y velocidad al subir/bajar escaleras); audiograma (una prueba auditiva de Apple Salud se convierte en un examen de audiometría en su historial, sin envío de archivo); receta de anteojos/lentes (solo para visualización, fuera de la IA); insulina (totales diarios) y bebidas alcohólicas (conteo diario), guardados solo para visualización y nunca enviados a la IA; y las estimaciones del anillo Oura de edad vascular, velocidad de onda de pulso y desviación de temperatura. Todos son datos de salud con la misma protección máxima y, salvo los ítems marcados como "solo visualización", integran el contexto de la IA bajo su consentimiento — siempre de forma descriptiva/educativa, nunca como diagnóstico, meta ni conducta.
• Adherencia de medicamentos observada (Apple Salud, iOS 26 o posterior). Si su dispositivo tiene iOS 26 o posterior y usted registra en Apple Salud que tomó la dosis de un medicamento, MyHealth puede importar solo las dosis marcadas como tomadas, emparejadas con un medicamento que usted ya registró en la app (nunca creamos un medicamento nuevo a partir de esta importación). Es memoria de adherencia para usted, nunca fiscalización: la ausencia de un registro nunca se trata como "dosis olvidada", y la app nunca envía una notificación de dosis perdida. Cuando usted autoriza el Procesamiento por IA (Sección 6), la IA recibe solo el agregado factual — cuántos días, en una ventana de 30 días, tuvieron una dosis registrada — nunca un porcentaje, nunca un juicio, nunca una relación de causa con otro dato suyo. No disponible en perfiles de menores ni gestionados (el registro manual sigue permitido a un responsable).
• Registros Clínicos — solo Estados Unidos (nota condicional). Construimos, y dejaremos disponible solo cuando Apple conceda la autorización necesaria (un proceso de aprobación externo de Apple, fuera de nuestro control, que puede tardar semanas) y solo para cuentas en Estados Unidos, la importación de solo lectura de sus propios registros clínicos estructurados de Apple Salud, recibidos en el estándar internacional FHIR de sus proveedores de salud: resultados de laboratorio (emparejados a nuestro catálogo mediante el código LOINC), vacunas, medicamentos, condiciones/diagnósticos ya registrados por un profesional, procedimientos y alergias — cada uno integrado en la sección correspondiente de su historial, con las mismas protecciones que cualquier otro dato suyo. Nunca importamos notas clínicas en texto libre ni datos de cobertura/seguro de salud. Hasta que Apple conceda esa autorización, esta función permanece invisible e inactiva en la app.
• Ciclo menstrual y salud reproductiva — flujo menstrual, sangrado intermenstrual, pruebas de ovulación y calidad del moco cervical, cuando usted los registra o los importa. Bajo el mismo opt-in de ciclo (el permiso de lectura de Apple Salud), la app también puede importar los hallazgos descriptivos de patrón del ciclo que la propia Apple Salud clasifica — ciclos infrecuentes, ciclos irregulares, sangrado intermenstrual persistente y períodos menstruales prolongados —, guardados solo como la presencia del hallazgo, verbatim (sin grado y sin interpretación alguna de nuestra parte). Esos hallazgos integran el contexto del análisis de forma descriptiva ("irregularidades persistentes vale conversarlas con su ginecólogo/a", sin alarmar) y nunca van al chat. Signos correlacionados, como la temperatura basal corporal, pueden importarse como signos vitales. Si usted es de sexo femenino y tiene 40 años o más, la app puede, de forma opcional, preguntar su fase en relación con la menopausia (aún menstrúa, en transición o ya en la menopausia — con la opción de no responder); esa información es autodeclarada por usted, no importada de Apple Salud, y ayuda a la IA a interpretar mejor sus hormonas (por ejemplo, FSH, LH y estradiol). No importamos registros de actividad sexual. Son datos sensibles con la misma protección máxima que los demás datos de salud.
• Estado de embarazo (opcional, solo en su dispositivo). Si usted es una titular adulta (perfil propio, 18 años o más, sexo femenino al nacer), la app puede, de forma opcional, preguntar su etapa de embarazo — solo el trimestre (no estoy embarazada / 1.º / 2.º / 3.º trimestre / posparto), con la opción "prefiero no decir" (que borra el registro). Para esta función recopilamos únicamente ese enum de trimestre — nunca la fecha de la última menstruación (FUM) ni la fecha probable de parto (FPP), nunca una fecha. Ese estado queda guardado solo en su dispositivo, en el Keychain de iOS (protección WhenUnlockedThisDeviceOnly, que lo mantiene fuera del iCloud Keychain y de los backups), por perfil: nunca se graba en una tabla nuestra (Supabase), nunca entra en sus hábitos de vida (lifestyle_facts) y nunca se sincroniza; expira por sí solo en cerca de 40 semanas y es borrable en cualquier momento, en un toque (desactivar la función borra el dato del Keychain), en Perfil › Privacidad. Solo cuando usted ejecuta un análisis (o el chat) con la función activa, ese estado se envía en ese momento, en el cuerpo de la solicitud, en memoria, a nuestro proveedor de IA (Anthropic, Estados Unidos — Secciones 6 y 9), únicamente para calibrar la lectura de sus análisis por los rangos propios del embarazo y la lactancia, y no lo almacenamos (Anthropic conserva la solicitud por su propio límite contractual, por regla ~30 días — Sección 6.2). Los análisis automáticos/proactivos y los de historial grande no reciben ese estado — solo acompaña al análisis que usted dispara. La IA nunca escribe "embarazada", "gestante" ni "en período de lactancia" como condición, alerta, ítem de la lista de problemas ni diagnóstico en su historial (instrucción al modelo + filtrado determinista de la salida en el servidor, con prueba de regresión). No disponible en perfiles de menores ni gestionados (bloqueo en la app y en el servidor). Depende de su consentimiento específico y destacado (pregnancy-state-1.0), separado del consentimiento clínico general, que cubre la transferencia internacional a Anthropic/EE. UU. bajo el DPA/SCC vigente y es revocable en Perfil › Privacidad. Esto no es asesoramiento médico — quien acompaña su embarazo es su obstetra. Esta función usa únicamente el trimestre que usted declara y no deriva de eventuales registros de menstruación que importe de Apple Salud (tratados en el ítem anterior).
• Estado anticonceptivo (opcional, solo en su dispositivo). Si usted es una titular adulta (perfil propio, 18 años o más, sexo femenino al nacer), la app puede, de forma opcional, preguntar si usa un método anticonceptivo y de qué tipo (hormonal o no hormonal), con la opción "prefiero no decir" (que borra el registro). Al igual que el estado de embarazo, ese estado sigue exactamente el mismo diseño: queda guardado solo en su dispositivo, en el Keychain de iOS (protección WhenUnlockedThisDeviceOnly, que lo mantiene fuera del iCloud Keychain y de los backups), por perfil — nunca se graba en una tabla nuestra (Supabase), nunca entra en sus hábitos de vida (lifestyle_facts) y nunca se sincroniza; expira por sí solo (en cerca de 24 meses) y es borrable en cualquier momento, en un toque (desactivar la función borra el dato del Keychain), en Perfil › Privacidad. Solo cuando usted ejecuta un análisis (o el chat) con la función activa, ese estado se envía en ese momento, en el cuerpo de la solicitud, en memoria, a nuestro proveedor de IA (Anthropic, Estados Unidos — Secciones 6 y 9), únicamente para calibrar la lectura de sus análisis por los rangos propios del uso anticonceptivo (por ejemplo, el efecto de hormonas sobre algunos marcadores), y no lo almacenamos (Anthropic conserva la solicitud por su propio límite contractual, por regla ~30 días — Sección 6.2). Los análisis automáticos/proactivos y los de historial grande no reciben ese estado — solo acompaña al análisis que usted dispara. La IA nunca escribe el uso anticonceptivo como condición, alerta, ítem de la lista de problemas ni diagnóstico en su historial. No disponible en perfiles de menores ni gestionados (bloqueo en la app y en el servidor). Depende de su consentimiento específico y destacado (contraceptive-state-1.0), separado del consentimiento clínico general y del estado de embarazo, que cubre la transferencia internacional a Anthropic/EE. UU. bajo el DPA/SCC vigente y es revocable en Perfil › Privacidad. El estado de lactancia / posparto se trata mediante la etapa "posparto" del estado de embarazo (ítem anterior), bajo el mismo diseño on-device. Esto no es asesoramiento médico — quien acompaña su salud reproductiva es su médico.
• Hábitos de vida que usted informa — datos que usted declara, de forma opcional, en las tarjetas de la app: tabaquismo (y rango de cigarrillos por semana), consumo de alcohol (y rango de tragos por semana), nivel de actividad física y percepción de su sueño. Cuando usted autoriza el Procesamiento por IA (Sección 6), esos hábitos integran el contexto enviado a la IA.

Registros diarios de hábitos sensibles (categoría especial). Además de lo que usted envía, la app puede preguntar, de forma puntual y opcional, sobre hábitos que los dispositivos no miden: los tragos de alcohol de un día (dato de uso de sustancia) y qué marcó una noche más corta — incluidas las opciones "Estrés" (dato de salud mental) y "Alcohol". Por involucrar sustancia y estado mental, tratamos esos registros como dato personal sensible / de categoría especial. Esto es distinto del rango semanal de tabaquismo/alcohol que usted declara en el registro (ítem "Hábitos de vida que usted informa", arriba) y que integra el contexto de la IA cuando usted lo autoriza: aquí hablamos de los registros diarios y puntuales, que quedan en su dispositivo y en su historial y no se envían a la IA.

Solo los recopilamos tras SU consentimiento específico y destacado (la finalidad daily_journal, activada por usted en Perfil › Privacidad y consentimientos), separado de la aceptación de los Términos y del consentimiento clínico general. Está DESACTIVADO por defecto — nada se graba hasta que usted lo active —, es bloqueado en el servidor hasta que el consentimiento exista, y es NO DISPONIBLE en perfiles de menores y perfiles gestionados (bloqueo en la app y en el servidor). Rechazarlo no reduce ninguna otra función de la app.

Distinción del estado de ánimo/bienestar. El check-in de estado de ánimo ("cómo amaneció") se trata aparte, como dato de salud bajo el consentimiento clínico general (no integra la categoría de hábito sensible anterior) y — como el resto del historial — puede integrar el contexto enviado a la IA bajo ese mismo consentimiento clínico. La distinción: los tragos de alcohol y el estrés puntual conllevan mayor estigma y por eso reciben consentimiento propio y quedan fuera de la IA; el estado de ánimo, autorreporte agregado de baja granularidad (1–3), sigue el tratamiento clínico general.

Otros contextos diarios no sensibles. De forma puntual y opcional, la app también puede preguntar sobre contextos de estilo de vida y bienestar que los dispositivos no miden — por ejemplo café/cafeína, energía/disposición, hidratación, cómo percibió su entrenamiento (ligero/normal/intenso) y cambios de rutina en la semana (p. ej., viaje, entrenamiento nuevo, cambios de alimentación o de sueño). Como el check-in de estado de ánimo, son datos de salud bajo el consentimiento clínico general y quedan guardados en su historial. Cuando usted autoriza el Procesamiento por IA y la Transferencia Internacional (Secciones 6 y 9), estos contextos se incluyen en el contexto enviado a nuestra proveedora de IA (Anthropic, EE. UU. — Sección 9) solo de forma agregada por semana, como conteos de días — por ejemplo, "hidratación baja en 3 días de la semana" o "3+ cafés en 2 días"; en los cambios de rutina, solo la categoría que usted declaró esa semana (p. ej., "viaje") — nunca el registro diario aislado, nunca texto libre, limitado a las últimas semanas. La finalidad es exclusivamente correlacionar, de forma educativa y descriptiva, sus hábitos con sus datos de sueño, actividad y análisis — nunca diagnóstico ni conducta. Los registros del Diario de salud sensible (alcohol y estrés/contexto de la noche) no están incluidos: siguen fuera del contexto enviado a la IA y bajo su propio consentimiento separado, y cualquier uso futuro de ellos por la IA exigiría un nuevo consentimiento explícito.

Cuando esos datos se refieren a un menor bajo su guarda, se aplican las mismas protecciones (ver Sección 11).

3.3 Localidad e idioma (opcionales, en claro)

De forma opcional, para adaptar la experiencia y preparar funcionalidades futuras (como la recomendación de profesionales por ciudad), podemos guardar país, estado/provincia, ciudad y el idioma preferido. No recopilamos dirección completa, latitud/longitud ni ubicación precisa. Esos campos de localidad quedan en claro porque la granularidad "ciudad" no es, por sí sola, un dato sensible, y están protegidos por las mismas reglas de acceso de su cuenta. Cuando usted autoriza el Procesamiento por IA (Sección 6), el país de su perfil integra el contexto enviado a la IA, únicamente para regionalizar, de forma educativa, orientaciones de emergencia y de calendario de vacunación (el estado/provincia y la ciudad no se envían a la IA).

3.4 Datos de cuenta, sesión y seguridad

• Cuenta y autenticación: identificadores técnicos de la cuenta y tokens de sesión, para mantenerlo conectado con seguridad; autenticación en dos pasos (MFA/2FA vía TOTP), cuando usted la active.
• Número de cuenta (account_ref): un identificador seudónimo corto, de 8 dígitos aleatorios y no secuenciales, generado por nosotros (no recopilado de usted), mostrado en su Perfil y usado por el soporte para localizar su cuenta — incluso cuando usa "Ocultar correo" en Sign in with Apple. Se elimina al borrar la cuenta.
• Notificaciones (push): cuando usted activa las notificaciones, guardamos un token técnico que su dispositivo genera, usado solo para entregar avisos de la app (p. ej., cuando su análisis queda listo). Es un identificador de entrega — no se usa para rastreo, no entrena la IA y no se comparte con terceros (solo transita por el servicio de push de Apple). Usted lo controla en el permiso de notificaciones de iOS y en el botón Notificaciones dentro de la app, y el contenido del aviso es genérico, sin datos de salud. Un tipo de aviso — "Novedad en tus datos" (opcional, desactivado por defecto) — se activa cuando sus datos (p. ej., sueño, frecuencia cardíaca en reposo, variabilidad) registran un hallazgo nuevo; aun así el contenido sigue siendo genérico y sin ningún dato de salud (el dato nunca viaja en el push, nunca sugiere anormalidad ni urgencia), como máximo uno por día, y nunca para perfiles de menores.
• Registros de acceso y auditoría (access_log): metadato de quién accedió a qué y cuándo (acción, tabla, origen, dirección IP de origen) — solo metadato, nunca el contenido clínico. Guardamos la dirección IP del acceso para seguridad, auditoría y prevención de fraude (y, en Brasil, para atender al piso de guarda del Marco Civil de Internet, Ley 12.965/2014, Art. 15). **Registramos también el identificador técnico de su navegador/app (user-agent) en los accesos síncronos (envío de examen, chat con la IA y señal de acceso), con la misma finalidad y el mismo plazo. La IP reciente del acceso también integra el índice forense mínimo** que sobrevive a la eliminación de la cuenta (ver 12.2).
• Registros de consentimiento (consent_events): qué finalidad autorizó usted, la base legal, la versión de la Política y el momento — de forma inmutable (ver Sección 5).
• Uso y cobro de IA: registramos metadatos del uso de las funciones de IA (función, modelo, cantidad de tokens) y su saldo y consumo de cuota de uso (páginas y prompts) y de paquetes adicionales, para operar el cobro y prevenir abusos. Esos registros no contienen el contenido de salud analizado.

3.5 Datos de uso desidentificados

Recopilamos datos mínimos de estabilidad y diagnóstico (telemetría) — fallos, errores, rendimiento — de forma desidentificada y sin ningún contenido de salud, para mantener la app segura y en funcionamiento (ver Sección 13). Se trata de un tratamiento interno: no usamos SDK de analytics ni rastreo de terceros. Por autolimitación de minimización, retenemos esa telemetría por hasta cerca de 12 meses (ver Secciones 12 y 13).

3.6 Lo que NO recopilamos / NO hacemos

• No vendemos sus datos.
• No hacemos publicidad dirigida con base en su salud, ni usamos rastreadores de terceros que vean sus datos de salud.
• No recopilamos ubicación precisa, contactos del teléfono ni micrófono. La cámara y la galería solo se acceden en el momento exacto en que usted decide enviar un documento (permiso just-in-time).

4. Finalidades y bases legales

Toda actividad de tratamiento tiene una base legal. Como tratamos datos sensibles de salud, somos especialmente rigurosos: cada finalidad sensible se registra en nuestro registro de consentimiento con la base legal y la versión de la Política correspondientes.

Base legal del núcleo clínico — aclaración. La base primaria del tratamiento de su historial es su consentimiento específico y destacado (LGPD Art. 11, II, "a" / GDPR Art. 9(2)(a)), coherente con el posicionamiento de "historial soberano": usted autoriza, y puede revocar. Reservamos una base subsidiaria solo para lo que el consentimiento no cubre — seguridad de la información, integridad de los datos, cumplimiento de obligación legal y la propia operación de eliminación de la cuenta —, apoyada en la LGPD Art. 7, II y Art. 10 y en el GDPR Art. 6(1)(c) y (f). No adoptamos la hipótesis de tutela de la salud (LGPD Art. 11, II, "f" / GDPR Art. 9(2)(h)): en el GDPR, el Art. 9(3) condiciona esa hipótesis a la presencia, en el flujo, de un profesional de salud sujeto a deber de secreto, y no hay médico en el circuito de MyHealth.

Recordatorios educativos de cribado por franja de edad. Usamos su fecha de nacimiento y su sexo al nacer — datos que usted ya nos proporcionó en el registro del perfil — para mostrar, dentro de la app, recordatorios educativos sobre cribados de salud que las guías poblacionales internacionales suelen sugerir para su franja de edad (por ejemplo, mamografía o verificación periódica de la presión arterial). Estos recordatorios se generan en su propio dispositivo mediante reglas fijas de edad y sexo; no usamos sus resultados de exámenes, condiciones ni ninguna evaluación individual de riesgo para generarlos, y no se envían como notificaciones. Son contenido educativo, no una recomendación médica — la decisión sobre cualquier examen es siempre suya y de su médico. Base legal: ejecución del contrato (entrega de la funcionalidad educativa de la app) y, en cuanto al uso del dato de salud ya recogido (sexo al nacer), su consentimiento para el procesamiento clínico (LGPD art. 7(V) y art. 11(I); RGPD art. 6(1)(b) y art. 9(2)(a)). Usted puede descartar cada recordatorio o desactivar esta superficie de recordatorios en cualquier momento en sus preferencias — sin ningún perjuicio para el resto de la app.

5. Consentimiento y cómo revocarlo

Cuando usted autoriza una finalidad sensible, ese consentimiento es:

• Libre — la app funciona en lo esencial aunque usted no autorice la IA;
• Informado — explicamos la finalidad en el momento, en lenguaje claro;
• Específico y destacado — cada finalidad sensible tiene su propia solicitud (no un "acepto todo" genérico), como exige la LGPD para dato de salud;
• Revocable en cualquier momento — usted puede retirar una autorización en los ajustes, sin perder el acceso a lo que ya organizó.

Nuestro sistema solo ejecuta una operación si el consentimiento correspondiente está activo. Por ejemplo: si usted no autoriza el "Procesamiento por IA", la app no envía nada a la IA — esa verificación ocurre automáticamente, en el servidor (función has_active_consent), en cada operación.

Cómo funciona el registro: cada autorización o revocación se graba como un evento inmutable en nuestro registro de consentimiento (consent_events), con la finalidad, la base legal, el idioma y la versión de la Política vigente. Revocar no borra el historial del consentimiento — registra un nuevo evento que interrumpe el tratamiento futuro de esa finalidad.

La revocación no torna ilícito el tratamiento ya realizado lícitamente, pero interrumpe el uso futuro de esa finalidad. Usted no pierde el acceso al historial que ya había organizado.

Diario de salud sensible. La recopilación diaria sensible (alcohol, estrés/contexto de la noche) tiene consentimiento propio (daily_journal), desactivado por defecto: nada se graba hasta que usted lo active, y el servidor bloquea la escritura de esos ítems sin el consentimiento activo. Puede revocarlo en cualquier momento, con la misma facilidad, en Perfil › Privacidad y consentimientos. Al revocar: (1) dejamos de recopilar de inmediato nuevos registros; y (2) eliminamos los registros de alcohol/estrés ya recopilados de esas categorías.

6. Cómo la Inteligencia Artificial (IA) trata sus datos

La IA es pieza central de MyHealth (asistente y extracción de datos de documentos), por lo que lo explicamos con total transparencia. Nuestro proveedor de IA es Anthropic, que actúa como subencargado.

6.1 La IA recibe el contenido clínico de su historial, sin sus identificadores directos

• El contenido enviado a la IA es del propio usuario y solo se procesa mediante su consentimiento (ai_processing).
• El contenido clínico que enviamos a la IA, sin que enviemos sus identificadores directos (nombre, CPF, correo electrónico, teléfono) — sustituidos por sexo, edad y el año de nacimiento (sin día/mes) y, cuando esté disponible, por su país (únicamente para regionalizar, de forma educativa, orientaciones de emergencia y de calendario de vacunación — nunca la ciudad ni la ubicación precisa) — y sin los contactos de emergencia — puede incluir: marcadores y tendencias de análisis, mediciones y bioimpedancia, medicaciones, vacunas, alergias, síntomas, consultas y anotaciones, historia familiar, actividad física, datos de sueño y puntajes de dispositivos vestibles, eventos de dispositivo (clasificación de ECG, ritmo irregular, caída, posibles señales de hipertensión, condición cardiorrespiratoria baja), ciclo menstrual y datos reproductivos (incluida la fase de menopausa, cuando usted la informa), hábitos de vida que usted informa (tabaquismo y tiempo de uso, alcohol, actividad y sueño), los contextos diarios no sensibles agregados por semana (café/cafeína, energía/disposición, hidratación y percepción del entrenamiento, como conteos de días, y la categoría de cambio de rutina de la semana — nunca el registro diario aislado, nunca texto libre; ver §3.2), el grupo sanguíneo y las observaciones de su tarjeta de emergencia, y el propio documento (foto/PDF) cuando usted solicita la extracción por IA — antes del envío, la aplicación intenta cubrir (tachar), directamente en su dispositivo, su nombre, CPF, correo electrónico y teléfono impresos en el documento, y usted puede cubrir áreas manualmente; el archivo original permanece intacto en su historial y la versión enviada a la IA es la tachada, cuando se genera. Esta redacción automática es best-effort: puede fallar en fotos de baja calidad o manuscritos y no es garantía de eliminación completa. No enviamos los contactos de su tarjeta de emergencia (nombre, teléfono, parentesco). Las anotaciones libres hechas por usted o por profesionales pueden, eventualmente, contener nombres — por eso recomendamos no insertar datos de identificación en campos de texto. En el chat con el asistente, el contexto puede incluir adicionalmente el historial de la propia conversación y el lugar y el profesional registrados en sus consultas — elementos que no entran en el análisis longitudinal del historial.
• La búsqueda en la web existe solo en el chat asistente, para conocimiento clínico general. Instruimos al modelo para que use solo términos clínicos genéricos, sin incluir sus valores, fechas, edad, nombres o identificadores. Esa protección se aplica por instrucción al modelo y no por un filtro técnico infalible; la búsqueda es ejecutada por la infraestructura de Anthropic. Las funciones de análisis del historial y de extracción de documentos no hacen búsqueda en la web.

6.2 NO usamos sus datos para entrenar IA

• Por los términos comerciales de Anthropic, sus datos (entradas y salidas) no se usan para entrenar ni mejorar modelos y son retenidos por un período limitado y luego eliminados (por regla, en hasta 30 días), salvo retención exigida por ley o para prevención de abuso. Esta relación está amparada en un DPA + SCC (Módulos 2/3, UK IDTA, adenda suiza) en vigor a través de los Términos Comerciales de Anthropic.

6.3 Salvaguardas técnicas

• El tráfico con la IA usa conexión cifrada (TLS).
• Aplicamos salvaguardas contra inyección de prompt y minimización del contenido enviado.
• La IA no toma decisiones automatizadas sobre usted en el sentido del GDPR Art. 22 / LGPD Art. 20: ella organiza y describe, no decide, no diagnostica y no prescribe. Usted revisa y confirma las informaciones, y las lecturas vienen marcadas como contenido a confirmar con su médico.
• La IA no detecta, no monitorea y no diagnostica riesgo de suicidio, autolesión o crisis psiquiátrica, y no contacta a nadie por usted. Si está en crisis, busque ayuda inmediata (en Brasil, CVV 188, 24h, gratuito; fuera de Brasil, la línea nacional de prevención). Vea la Sección 3.5 de los Términos de Uso.

6.4 Estándares y vocabularios abiertos (LOINC® / UCUM)

Para que el mismo examen proveniente de laboratorios distintos (con nombres, siglas e idiomas diferentes) se reconozca como un único parámetro y genere una línea de tiempo coherente, MyHealth normaliza los marcadores usando el vocabulario abierto LOINC® (Logical Observation Identifiers Names and Codes) y estandariza las unidades de medida con base en UCUM. Estos estándares son contenido de referencia licenciado, incorporado en la aplicación — funcionan como un diccionario y no reciben ningún dato personal suyo (Regenstrief Institute no es subprocesador y nada de su historial se le envía).

This product includes content from LOINC® (loinc.org). LOINC is copyright © 1995–2024, Regenstrief Institute, Inc. and the LOINC Committee, and is available at no cost under the LOINC license (loinc.org/license). LOINC® is a registered trademark of Regenstrief Institute, Inc.

6.5 Organización de medicamentos y suplementos (dato derivado, asistido por IA)

Para organizar su historial, la IA puede producir, a partir de los medicamentos y suplementos que usted registra, un dato derivado de organización: los principios activos descompuestos (una fórmula magistral se separa en los ingredientes de su etiqueta) y una categoría general; la vacuna canónica, la enfermedad prevista y la dosis en la serie (consolidando la misma vacuna bajo nombres distintos); y el alérgeno normalizado y su clase. Ese dato se genera a partir de lo que usted ya proporcionó (no recopilamos nada nuevo) y sirve para relacionar, por ejemplo, un principio activo con el marcador correspondiente de su análisis. Es educativo y asistido por IA — usted puede revisarlo y corregirlo, y no es una clasificación clínica, una prescripción ni una verificación de interacciones (vea el Aviso Médico, ítem 5.2). Los detalles del tratamiento por IA siguen las Secciones 6.1–6.3.

6.6 Documento a la espera de cuota/uso disponible

Cuando el cobro esté activo y usted no tenga cuota o uso disponible suficiente al momento del envío, un documento ya tachado (tras la redacción on-device descrita en 6.1) puede quedar guardado, sin análisis, hasta que haya cuota de la suscripción o un paquete adicional disponible — y entonces se analiza automáticamente. El documento espera en su propio historial, bajo las mismas protecciones de seguridad y acceso de su cuenta; nada se envía a la IA mientras el consentimiento de Procesamiento por IA (ai_processing) no esté activo y no haya uso disponible.

6.7 Soporte asistido por IA

Cuando usted habla con nuestro soporte dentro de la app (Perfil › Soporte), un agente puede usar apoyo de IA para redactar y traducir la respuesta. En ese caso, el texto de su conversación de soporte — que puede contener dato de salud que usted escriba — puede enviarse a la IA (Anthropic (Claude), Estados Unidos) solo para preparar un borrador de respuesta o traducirla, que un agente humano revisa antes de enviar. La IA de soporte no accede a su historial clínico — el historial nunca se envía para el soporte.

Ese apoyo de IA solo se activa cuando usted concede un consentimiento nuevo, dedicado y desagregado — "Soporte asistido por IA" (support_ai_share) —, separado del consentimiento general de Procesamiento por IA (ai_processing) y rechazable por separado, desactivado por defecto: el producto de pago funciona por completo aunque usted lo rechace. Ese consentimiento opera junto con su consentimiento de Transferencia internacional (intl_transfer). Si cualquiera de los dos no está activo, el agente responde sin apoyo de IA.

Antes del envío, minimizamos el texto de soporte — un intento best-effort de cubrir identificadores (nombre, documento, contactos) —, pero, a diferencia de los documentos, esto no es una desidentificación ni garantía de eliminación completa; por eso evite incluir datos innecesarios en sus mensajes de soporte.

Ese envío ocurre bajo las mismas salvaguardas que el resto del Procesamiento por IA — el mismo DPA + SCC (UE) con Anthropic que ampara el análisis del historial, la extracción de documentos y el chat, y que rige todos los datos que enviamos a la API de Anthropic (un DPA no se limita por caso de uso): sin uso para entrenamiento (contractual) y con la retención propia de Anthropic (por regla, hasta cerca de 30 días, salvo excepciones legales o de prevención de abuso). No se agrega ningún subencargado nuevo (Anthropic ya está listada).

Personas sin cuenta MyHealth (soporte por correo). Si alguien escribe a nuestro soporte por correo sin tener una cuenta, adoptamos un modelo consent-first: esa persona recibe un correo que le pide dos consentimientos separados — (1) tratar su mensaje para preparar una respuesta y (2) transferirlo a Anthropic (Claude), en los Estados Unidos —, con un enlace a la Política de Privacidad de Datos de Salud del Consumidor. Solo después de que la persona conceda ambos consentimientos, la IA redacta o traduce ese ticket, y un agente humano lo revisa antes de enviar. Si no consiente, un humano responde sin IA. Nada se envía a la IA sin el consentimiento de la propia persona.

6.8 El Diario de salud sensible NO se envía a la IA

El Diario de salud sensible NO se envía a la inteligencia artificial. Sus registros de alcohol y de estrés/contexto de la noche quedan en su dispositivo y en su historial y no integran el contexto enviado a nuestra proveedora de IA (Anthropic, EE. UU.). Cualquier uso futuro de esos registros por la IA exigiría un consentimiento separado y explícito ("incluir mis registros diarios en el análisis de la IA"), que no existe en esta versión. Esto es diferente de los contextos diarios no sensibles (café/cafeína, energía/disposición, hidratación, percepción del entrenamiento y cambios de rutina), que integran el contexto de la IA solo de forma agregada por semana — conteos de días y categoría de cambio de rutina —, conforme al §3.2.

6.9 Relatos de evolución y decisiones de seguimiento

Cuando usted registra la evolución de un ítem en seguimiento como relato suyo (Términos, Sección 9.7), guardamos en su historial el texto del relato, la decisión (mantener o cerrar el seguimiento), la fecha y la versión del texto que usted confirmó, en un rastro inmutable (corregir = un nuevo registro). Esos relatos integran el contexto enviado a la IA explícitamente marcados como relato del paciente — la IA recibe la instrucción de tratarlos como relato ("usted relató que…"), nunca como hecho clínico documentado, y está técnicamente impedida (validación en el servidor, no solo una instrucción) de cerrar o superar un ítem con base en un relato sin su decisión expresa. Todo esto opera bajo los consentimientos ya vigentes de Procesamiento Clínico, Procesamiento por IA y Transferencia Internacional; la copia enviada a la IA sigue el mismo pipeline de redacción de identificadores que el resto del historial.

Minimización: para registrar un relato, los nombres de profesionales son opcionales — el relato funciona igualmente sin identificar a quien hizo la evaluación; recomendamos incluir solo lo necesario.

Exportación y eliminación: los relatos y las decisiones forman parte de su historial — entran en la exportación y se eliminan en la eliminación de la cuenta, por la misma doble vía de la Sección 12.

Menores: en perfiles de menores, quien registra es el responsable legal, en representación, y el registro identifica al responsable que lo hizo; los cierres relevantes se comunican a los demás responsables vinculados al perfil.

6.10 Estado de embarazo y anticonceptivo (transitorio, nunca registrado por la IA)

Cuando usted mantiene el estado de embarazo activo (§3.2) y dispara un análisis o el chat, el trimestre que usted declaró se adjunta al cuerpo de esa solicitud, en memoria, solo para que la IA pueda calibrar la lectura de sus análisis por los rangos propios del embarazo y la lactancia. No lo persistimos en ninguna tabla, y la IA está instruida — con filtrado determinista de la salida en el servidor como refuerzo (con prueba de regresión) — para nunca registrar "embarazada", "gestante" ni "en período de lactancia" como condición, alerta, ítem de la lista de problemas, resumen ni diagnóstico en su historial. Los análisis automáticos/proactivos y la vía de historial grande (lote) no reciben ese estado — solo acompaña al análisis que usted inicia. La transferencia a Anthropic (Estados Unidos) se rige por el DPA/SCC ya vigente (Sección 9), bajo el consentimiento pregnancy-state-1.0 (que cubre la transferencia internacional), y Anthropic conserva la solicitud por su propio límite contractual (por regla ~30 días — Sección 6.2); nosotros no almacenamos ese estado.

El estado anticonceptivo (§3.2), cuando usted lo mantiene activo, sigue el mismo diseño transitorio: queda solo en su dispositivo (Keychain, expira en ~24 meses) y se adjunta al cuerpo de la solicitud, en memoria, solo cuando usted dispara un análisis o el chat, bajo el consentimiento contraceptive-state-1.0 (que cubre la transferencia internacional). No lo persistimos en ninguna tabla, no va a los análisis automáticos/proactivos ni a la vía de historial grande, y la IA está instruida para nunca escribirlo como condición, alerta ni diagnóstico en su historial. El estado de lactancia / posparto es la etapa "posparto" del estado de embarazo, bajo el mismo tratamiento anterior.

6.11 Equipo de cuidado en el contexto del análisis

Si usted agrega profesionales a su Equipo de Cuidado (por ejemplo, el médico que ya lo atiende), el nombre y la especialidad de esos profesionales — y, cuando usted los indique, la institución y el motivo del seguimiento — pasan a formar parte del contexto que enviamos a la IA al analizar su historial de salud, para que la orientación educativa pueda señalar al profesional que usted ya registró (por ejemplo, "vale la pena llevar esto a su cardiólogo ya registrado") en lugar de una sugerencia genérica. Nunca enviamos a la IA los datos de contacto del profesional (teléfono, correo o dirección) ni el número de registro; esos campos permanecen solo en su historial. Es el mismo tratamiento que ya ocurre cuando usted conversa con la IA en el chat. La base legal y la transferencia internacional son las mismas que para el resto del procesamiento por IA descrito en esta sección.

6.12 Biblioteca educativa generada por IA (contenido genérico y poblacional)

Además de la lectura personalizada, la app muestra una biblioteca de contenido educativo sobre marcadores, mediciones y condiciones (por ejemplo, "qué es la ferritina" o "qué suele significar un valor por encima del rango"). Ese contenido puede ser generado por IA — por la misma proveedora (Anthropic) y con la misma procedencia de las Secciones 6.1–6.3 —, pero de forma genérica y poblacional: cada texto se produce una única vez por tema e idioma y es el mismo para todos los usuarios de ese tema. La generación no recibe ningún dato suyo: la IA recibe solo la coordenada abstracta del tema (el nombre del marcador/medición/condición de nuestro catálogo y categorías genéricas de dirección, rango y grupo poblacional) — nunca su valor, su resultado, sus fechas ni ningún identificador. La personalización ocurre solo en la selección: la app usa sus datos, en su dispositivo, únicamente para elegir, de la biblioteca, qué textos genéricos son relevantes para mostrarle. El contenido en sí no es un análisis individual de su caso — es material educativo poblacional, disponible independientemente del consentimiento de Procesamiento por IA (que rige la lectura personalizada), y con la misma regla de no-diagnóstico del resto de la app (ver el Aviso Médico).

7. Compartir en familia (opt-in, solo lectura, revocable)

MyHealth permite que usted comparta su historial con un familiar, de forma controlada:

• Es opt-in: nada se comparte sin que usted lo inicie y autorice (family_sharing).
• El acceso es solo lectura y del historial completo (todo o nada — no es posible compartir solo partes): el familiar puede ver, pero no puede editar ni borrar.
• El vínculo se crea mediante un código de invitación de un solo uso, que expira en 7 días si no se utiliza.
• Usted puede revocar el vínculo en cualquier momento, finalizando el acceso.

El familiar también necesita ser usuario de la app. Ese acceso compartido es entre usted y la persona que usted elija — no es un compartir con terceros ni con fines comerciales.

7.1 Compartir ítem por ítem de condiciones hereditarias

Además del vínculo de lectura anterior, usted puede elegir, ítem por ítem, ofrecer condiciones de salud registradas en su historial (por ejemplo, un diagnóstico y el año de inicio) a los familiares vinculados, para que ellos puedan añadirlas a su propia historia familiar. Cómo funciona:

• Doble autorización: el ítem solo se ofrece si usted lo activa, y solo se incorpora si su familiar lo acepta expresamente, ítem por ítem (nunca en bloque).
• Minimización bloqueada en código: se transmite solo la condición, el período (año de inicio) y el estado — nunca exámenes, documentos, valores, medicaciones, texto libre, adjuntos ni rutina. La base de datos rechaza cualquier contenido más allá de esos campos.
• Aviso de permanencia: en el acto de activar cada ítem, mostramos el ítem nombrado, quién puede recibirlo y el aviso de que, si usted lo desactiva después, lo que un familiar ya aceptó permanece en su registro. Registramos su consentimiento (quién, cuándo y la versión del texto mostrado).
• Regla de permanencia (revocación ex nunc): la revocación produce efectos a partir de ese momento y no afecta las incorporaciones ya aceptadas por sus familiares, que pasan a tratarse como datos de salud de sus respectivos titulares (historia familiar) — como si las hubieran anotado de memoria. La desactivación retira de inmediato la oferta para todos los vinculados, en un toque, gratuita y sin justificación.
• Eliminación por el receptor: el familiar puede eliminar el ítem incorporado en cualquier momento, y este integra la exportación y la eliminación de datos del propio familiar.
• Desidentificación al eliminarse la fuente: si la fuente solicita la eliminación de sus datos o borra su cuenta, retiramos del registro del familiar toda referencia a la identidad y a la cuenta de la fuente, permaneciendo solo el grado de parentesco, la condición y el período (LGPD art. 18, VI; GDPR art. 17).
• Menores: los perfiles de menores no participan como fuente por decisión propia; la gestión de datos de menores sigue el mecanismo de responsables legales.

Base legal: tratamiento con base en su consentimiento específico y destacado (LGPD art. 11, II, "a"; GDPR art. 9(2)(a)) y, cuando aplique, mediante autorización válida bajo el My Health My Data Act (Washington/EE. UU.). El ítem incorporado se trata como dato sensible del propio receptor en todo el pipeline (incluida la IA, la exportación y la eliminación), bajo los consentimientos vigentes del receptor.

7.2 Gestor autorizado por usted (delegación por un adulto)

Mediante su consentimiento específico y destacado (LGPD art. 7, I y art. 11, I; GDPR art. 9(2)(a); para residentes de Washington/EE. UU., el consentimiento separado exigido por el MHMDA), un adulto designado por usted (el "Gestor") puede acceder y registrar datos en su historial. Cómo funciona este tratamiento:

• Consentimiento en su dispositivo, con identidad reforzada: la autorización solo la concede usted, en su aparato, tras una confirmación reforzada de identidad; registramos quién consintió, cuándo y la versión del texto mostrado.
• Base legal: su consentimiento, revocable en cualquier momento con efecto inmediato, en un toque, gratuito y sin justificación; el Gestor solo sabe que el vínculo cambió, nunca el motivo. La revocación termina de inmediato los poderes de gestión; el vínculo de lectura permanece hasta que usted también lo elimine (ambas opciones aparecen lado a lado en la aplicación).
• Actos personalísimos técnicamente bloqueados: el Gestor no puede cambiar sus consentimientos, eliminar su cuenta, crear/cambiar/eliminar compartires o vínculos, cambiar sus credenciales, realizar compras en su nombre ni exportar su historial en masa — el bloqueo de consentimientos, eliminación de cuenta, vínculos y credenciales se aplica en el servidor (reglas de acceso a la base de datos); el de compras y exportación en masa se aplica técnicamente en la aplicación.
• Pista de auditoría: mantenemos un registro de autoría inmutable de todo lo que el Gestor crea o edita en su historial y se lo mostramos a usted, además de un resumen de su actividad, en la aplicación, que el Gestor no puede desactivar. Esos registros se conservan por el mismo plazo que el historial.
• Titularidad: lo que el Gestor registra es dato suyo y permanece en su historial tras la revocación, bajo sus consentimientos y derechos (acceso, exportación, eliminación).
• Menores: los perfiles de menores no pueden nombrar Gestor; la gestión de datos de menores sigue exclusivamente el mecanismo de responsables legales.

8. Apple Health (HealthKit)

MyHealth permite importar mediciones de Apple Health (HealthKit) — peso, altura, composición corporal, glucemia, presión, frecuencia cardíaca, saturación y temperatura, además de métricas del día a día cuando su dispositivo las ofrece, como alteraciones respiratorias del sueño, tiempo a la luz del día y sesiones de atención plena (mindfulness) — y, cuando usted las autoriza en los permisos de iOS, también datos de ciclo menstrual y salud reproductiva (flujo menstrual, sangrado intermenstrual, pruebas de ovulación, calidad del moco cervical) a su historial. No importamos registros de actividad sexual.

Glucosa de monitor continuo (CGM) — solo agregados diarios. Al importar glucosa de Apple Salud, los días con monitor continuo de glucosa (cientos de lecturas) se resumen en su propio dispositivo y se graban solo como agregados diarios — media, mínimo, máximo, variabilidad (CV) y el porcentaje del día dentro del rango de 70–180 mg/dL del estándar de visualización de la industria (AGP); las lecturas continuas brutas nunca son almacenadas por nosotros. Las mediciones puntuales (capilar/manual) continúan guardadas como mediciones normales, con fecha y hora (ver §3.2).

Patrones del ciclo (opt-in propio, desactivado por defecto). Si usted lo activa en Perfil › Privacidad, la app puede mostrar los días de ciclo registrados junto a sus gráficos (sueño, corazón) y observar patrones descriptivos locales (por ejemplo, cómo se comporta su sueño en los días de menstruación registrados). Es una composición, en su dispositivo, de datos que usted ya ve: nada de esto se convierte en notificación, nada se envía a la IA más allá de lo que usted ya autorizó, y la app nunca calcula ni predice fertilidad/ovulación. No disponible en perfiles de dependientes; revocable en cualquier momento (el patrón simplemente deja de mostrarse).

Adherencia de medicamentos (iOS 26 o posterior). Vea el resumen en §3.2 — la app puede importar, de Apple Salud, las dosis de medicamento marcadas como tomadas, emparejadas con un medicamento que usted ya registró; es un registro de memoria para usted, nunca fiscalización, y nunca genera una notificación de dosis perdida u olvidada.

Registros Clínicos (solo Estados Unidos, disponibilidad condicional). Vea el resumen en §3.2 — la importación de solo lectura de sus registros clínicos estructurados (análisis, vacunas, medicamentos, condiciones, procedimientos y alergias) vía FHIR depende de una autorización que solo Apple puede conceder y está disponible solo para cuentas en Estados Unidos; mientras esa autorización no exista, la función permanece invisible e inactiva en la app.

• La importación es opcional y ocurre solo con su autorización explícita, concedida en los permisos de iOS. El acceso es solo de lectura — MyHealth no escribe datos en Apple Health.
• Los datos provenientes de Apple Health se usan exclusivamente para enriquecer su propio historial dentro de la app.
• En conformidad con la Directriz 5.1.3 de la App Store de Apple, los datos de Apple Health NUNCA se usan para marketing/publicidad, NUNCA se comparten con terceros para fines de propaganda o data mining, y NUNCA se usan para entrenar modelos de IA.

Conexión con pulseras y anillos inteligentes (Oura y WHOOP)

Además de Apple Health, usted puede, de forma opcional y revocable, conectar dispositivos vestibles de terceros, con consentimiento específico por proveedor (wearable_sync_oura, wearable_sync_whoop):

• Oura Ring: sueño y fases del sueño, puntajes diarios (sueño, preparación, actividad, estrés, resiliencia), desviación de temperatura, pasos, calorías, distancia, tiempo sedentario, SpO2, índice de alteraciones respiratorias del sueño, VO2max, edad cardiovascular, entrenamientos y sesiones de meditación, y las anotaciones que usted registra en la app de Oura (etiquetas mejoradas): el texto libre (nombre personalizado, comentario) se descarta en la importación — no lo guardamos; guardamos solo el código de categoría estandarizado, que — agregado por semana, nunca como texto libre — puede integrar el contexto de la IA cuando usted mantiene el Diario de salud (daily_journal) activo, es visible solo para usted y se elimina al desconectar (ver Sección 3.2). Para las anotaciones, Oura exige un permiso adicional (alcance "tag"): las conexiones hechas antes de esta versión solo empezarán a sincronizarlas después de que usted reconecte Oura.
• WHOOP: puntaje de recuperación, frecuencia cardíaca de reposo, variabilidad de la FC (HRV), SpO2, temperatura de la piel, carga (strain), sueño y entrenamientos.

La autorización usa OAuth: los tokens de acceso quedan cifrados (AES-256-GCM) en nuestro servidor y no son accesibles por la aplicación. Oura opera en Finlandia (Espacio Económico Europeo) y WHOOP en los Estados Unidos; conectar esos servicios implica transferencia internacional de entrada, bajo las salvaguardas de la Sección 9.1. Oura y WHOOP actúan como fuentes de datos (controladoras independientes de las propias plataformas), no como nuestros subencargados, y no reciben datos de su historial.

Al desconectar un dispositivo vestible:

• WHOOP: para cumplir las condiciones de uso de la API de WHOOP y por estándar de privacidad que adoptamos, solicitamos la revocación del acceso en WHOOP y eliminamos definitivamente todos los datos originados de WHOOP ya sincronizados (sueño, puntajes, mediciones, actividades y eventos). Recomendamos exportar antes, si desea conservar una copia.
• Oura / Apple Health: revocamos el acceso y eliminamos los tokens cifrados que guardamos. Los datos ya sincronizados permanecen en su historial, salvo que usted solicite su eliminación. Excepción: las anotaciones de texto libre de Oura se eliminan siempre al desconectar, aunque usted elija conservar los demás datos ya sincronizados.

Los datos importados de dispositivos vestibles y de Apple Health siempre se graban en su propio historial (titular de la cuenta) y nunca en el perfil de un dependiente, aunque usted esté visualizando el perfil de un menor.

9. Subencargados y transferencias internacionales

Nosotros no vendemos sus datos. Para operar el servicio, usamos un conjunto mínimo de proveedores ("subencargados"/"encargados"), cada uno bajo contrato de tratamiento de datos (DPA) en vigor, confidencialidad y seguridad, tratando datos solo bajo nuestras instrucciones. Los tres subencargados de abajo tienen DPA/SCC vigentes: Supabase (firmado el 2026-06-18), Anthropic (vía Términos Comerciales, 2026-06-17) y Resend (vía EU-US DPF + SCC, 2026-06-17).

Oura y WHOOP no figuran en esta tabla: son fuentes de datos que usted conecta (Sección 8), actuando como controladoras independientes de las propias plataformas, y no como nuestros subencargados. Apple actúa como controladora independiente para distribución, HealthKit, push y pagos. Los DPA y las Cláusulas Contractuales Estándar (SCC) de nuestros tres subencargados (Supabase, Anthropic y Resend) están en vigor, conforme la columna "Salvaguardas". Mantenemos una página pública de subencargados actualizada en https://www.bas-ai.com/myhealth/legal/subprocessadores. Avisaremos antes de agregar un nuevo subencargado relevante.

9.1 Transferencias internacionales

Su historial queda almacenado en Brasil (São Paulo) — esa es la regla. Las transferencias hacia fuera de Brasil ocurren de forma limitada y con su autorización (intl_transfer): en el procesamiento por IA (Anthropic, Estados Unidos — Sección 6), en el cual enviamos el contenido clínico sin sus identificadores directos (en la extracción de documento, el propio archivo — tras una redacción automática on-device best-effort que intenta cubrir nombre, CPF, correo y teléfono; los identificadores no localizados pueden permanecer en el archivo); en la conexión de dispositivos vestibles (Oura, en Finlandia/EEE; WHOOP, en los Estados Unidos — Sección 8); y en la distribución por Apple (Estados Unidos). Cuando haya transferencia internacional, adoptamos las salvaguardas exigidas:

• LGPD (Art. 33): transferencia basada en consentimiento específico y/o en garantías contractuales adecuadas (cláusulas estándar), conforme regulación de la ANPD.
• GDPR (Art. 44–49): Cláusulas Contractuales Estándar (SCC) y/u otras garantías adecuadas para transferencias fuera del EEE, con evaluación de impacto de la transferencia cuando sea aplicable.

También podemos divulgar datos cuando sea exigido por ley (orden judicial o autoridad competente), siempre limitado a lo estrictamente necesario y, cuando esté legalmente permitido, notificándolo a usted.

10. Seguridad de la información

La confidencialidad de sus datos de salud es nuestro control número uno. Las principales medidas:

• Separación entre identidad y datos clínicos: quién es usted (nombre, correo electrónico, teléfono, documento) queda en una bóveda cifrada (identity_vault) con cifrado de campo autenticado (AEAD) determinista (pgsodium, AES-256), separada de las tablas clínicas, que se refieren a usted solo por un código.
• Descifrado controlado: la PII solo se descifra mediante una función segura, bajo su propia identidad, con registro de auditoría.
• Cifrado en reposo y en tránsito: base de datos y almacenamiento cifrados; comunicaciones por TLS.
• Control de acceso por fila (RLS) por verbo: la base de datos garantiza que solo usted (o un responsable/familiar autorizado) accede a sus datos — y los permisos de leer y escribir están separados.
• Autenticación en dos pasos (MFA/2FA vía TOTP): disponible para reforzar el acceso a su cuenta.
• Consentimientos versionados y registro de auditoría inmutable (solo metadato de acceso, nunca el contenido clínico).
• Salvaguardas de IA: eliminación de los identificadores directos (nombre, CPF, correo electrónico, teléfono) del contexto enviado, no envío de los contactos de la tarjeta de emergencia, minimización del contenido y protección contra inyección de prompt.

Buscamos alineación a las mejores prácticas internacionales de seguridad de la información en salud. Ningún sistema es 100% inmune; por eso mantenemos planes de respuesta a incidentes (ver Sección 14).

11. Datos de niños y adolescentes (menores)

La protección de niños y adolescentes observa el Estatuto del Niño y del Adolescente (Ley 8.069/1990), la Ley 15.211/2025 (ECA Digital), el Art. 14 de la LGPD y el Art. 8 del GDPR (EEE).

• El registro propio está destinado a mayores de 18 años (o a la mayoría de edad civil del país, si es superior).
• El menor no posee cuenta ni correo electrónico propios: existe solo como perfil gestionado dentro de la cuenta de un responsable adulto (campo managed_by), que declara esa condición.
• El perfil puede tener más de un responsable: el responsable principal invita a otro adulto mediante código de invitación con plazo de validez. Cada invitado recibe un rol: responsable (ve y edita) o acompañante (solo lectura). Toda autorización se verifica en el servidor, en cada operación.
• El consentimiento relativo al menor se registra identificando qué adulto lo concedió, observando el mejor interés del niño y del adolescente (LGPD Art. 14).
• Los recursos de pago de IA exigen rol de responsable y se cobran al responsable principal (titular pagador del perfil), independientemente de qué responsable los haya activado; el registro de uso permanece vinculado al perfil del menor para auditoría.
• Aplicamos a esos datos la misma protección máxima (bóveda de identidad, RLS, no-entrenamiento de IA). No dirigimos publicidad a menores. Los datos de dispositivos vestibles nunca siguen al perfil de un menor.
• El responsable puede, en cualquier momento, exportar los datos del dependiente y, en condición de responsable principal, eliminar de forma definitiva el perfil del dependiente y todos los datos asociados (exámenes, documentos y registros) — la eliminación es permanente.

Adoptamos, en cualquier país, el límite único de 18 años para cuenta propia. Ese requisito se refiere a la titularidad de la cuenta y no se confunde con la edad de consentimiento digital autónomo del GDPR (Art. 8, entre 13 y 16 años según el país). Por debajo de 18, el tratamiento de datos solo ocurre mediante un perfil gestionado por un responsable adulto.

Usuarios en los Estados Unidos (COPPA): MyHealth no ofrece cuentas a menores ni recopila datos directamente de niños. Cualquier dato de menor es insertado y controlado por un adulto responsable, que ejerce el consentimiento parental verificable.

Diario sensible no disponible para menores. La recopilación diaria sensible (alcohol, estrés) no se realiza en perfiles de menores ni en perfiles gestionados por un responsable — bloqueada en el cliente y en el servidor. Es un recurso exclusivo de titulares adultos (18+). No recopilamos, bajo ninguna hipótesis, registros de alcohol/estrés de menores.

12. Retención y descarte

Adoptamos el principio de minimización: guardamos cada categoría de dato solo por el tiempo necesario a su finalidad o exigido por ley. Como MyHealth se distribuye mundialmente, aplicamos el criterio más protector entre las leyes aplicables: por defecto, la eliminación borra la identidad y el historial, y la retención es la excepción, accionada únicamente cuando una ley concreta la exige o para permitir prevención de fraude y respuesta a autoridades. La única excepción que sobrevive a la eliminación para toda cuenta es un índice forense mínimo — identificadores de búsqueda en código irreversible (HMAC) + IPs recientes, sin dato de salud —, descrito en 12.2.

12.1 Plazos de retención

Cómo se protege la identidad cuando se retiene: cuando hay transacción y la ley fiscal exige guarda, mantenemos el nombre y el correo cifrados (misma protección de la bóveda de identidad), en una tabla aislada, accesible únicamente por el servicio interno (RLS, sin acceso de usuario), y la borramos automáticamente al final del plazo. No guardamos su correo en texto legible.

Retención del diario sensible. Mientras el consentimiento esté activo y la cuenta exista, los registros del Diario de salud sensible (alcohol, estrés/contexto de la noche) permanecen en su historial. Al revocar el consentimiento, se eliminan; al eliminar la cuenta, siguen la doble vía de eliminación (Sección 12). No hay retención fiscal de esos datos.

12.2 Eliminación definitiva de la cuenta (derecho al borrado — LGPD Art. 18, VI / GDPR Art. 17 / equivalentes locales)

La eliminación está disponible directamente en la app, en Perfil › Privacidad › Eliminar mi cuenta (exigencia de Apple). Al confirmar, ejecutamos la eliminación permanente en cascada — una operación inmediata — de todo su historial clínico (análisis, condiciones, medicaciones, vacunas, documentos, mediciones, historial, consultas, conversaciones con la IA, datos de dispositivos vestibles) y de los archivos en el almacenamiento, revocamos las conexiones de dispositivos vestibles y cerramos su cuenta de acceso.

Dependientes gestionados y migración de guarda. La eliminación de su cuenta también borra los datos y los archivos de los dependientes que usted gestiona (perfiles de menores bajo su guarda). Antes de concluir, si un menor tiene otro responsable ya vinculado, la app ofrece migrar la guarda de ese menor al co-responsable existente — de modo que el perfil del menor sobrevive con él, en lugar de ser borrado. Si usted opta por no migrar, el perfil del dependiente se elimina junto con su cuenta. En cualquier caso, nunca retenemos el nombre ni el correo del menor por motivo fiscal (ver abajo).

Las copias de seguridad (backups) pueden, por un corto período, todavía contener datos ya eliminados: son sobrescritas en el ciclo normal de nuestro encargado (Supabase, alrededor de 14 días — bien dentro de los 6 meses), y los contratos de tratamiento de datos (DPA) con Supabase y Anthropic rigen el descarte de cualesquiera copias residuales. (No alegamos "destrucción de claves" ni purga instantánea del backup.)

La eliminación de su identidad depende de si usted hizo, o no, una compra:

• Si usted nunca hizo ninguna compra (suscripción o paquetes): borramos también su nombre y su correo (en texto legible) en la eliminación y no creamos ningún registro fiscal de identidad. Solo sobrevive el índice forense mínimo descrito abajo (identificadores de búsqueda en código irreversible HMAC + IPs recientes, sin dato de salud), retenido para prevención de fraude y respuesta a autoridades — nunca su nombre o correo legible.
• Si usted hizo al menos una compra: la ley fiscal/contable de su país nos obliga a guardar el registro de la transacción por un plazo (en Brasil, 5 años). Para ello mantenemos un registro contable mínimo y, cuando sea indispensable vincularlo a usted, su nombre y correo cifrados — aislados, accesibles únicamente mediante solicitud judicial o de autoridad competente, y borrados automáticamente al final del plazo legal.

Recibo de eliminación (accountability — LGPD Art. 6º, X): podemos confirmar la conclusión de la eliminación mediante solicitud al DPO. La eliminación no es total — permanecen los registros mínimos descritos a continuación, por imposición legal.

Índice forense mínimo que sobrevive a la eliminación (todas las cuentas). En el acto de la eliminación, y para cualquier cuenta — incluidos perfiles de menores y eliminaciones que usted mismo realiza —, guardamos un índice forense minimizado, en una tabla aislada y blindada (sin acceso de usuario ni del personal de operación común), que contiene como máximo: (a) códigos irreversibles (HMAC) de sus identificadores de búsqueda — correo, identificador Sign in with Apple, teléfono y documento nacional — que no permiten recuperar el valor original y sirven solo para confirmar una correspondencia exacta cuando se nos presenta un identificador; (b) las direcciones IP de sus accesos recientes; y (c) el identificador seudónimo de la cuenta (account_ref) y metadatos mínimos de guarda (fechas de creación/eliminación, jurisdicción y plazo). Este índice no contiene dato de salud, nombre o correo en texto legible, ni ningún contenido de su historial. Se trata de dato seudonimizado — permanece dato personal (LGPD Art. 12 y 13), retenido con base en el Art. 16, I; no invocamos anonimización (Art. 16, IV). Finalidad: prevención de fraude y respuesta a solicitud de autoridad competente — por ejemplo, responder "qué cuentas estuvieron asociadas a este correo, Apple ID o IP" — dentro del plazo. Base legal: cumplimiento de obligación legal y ejercicio regular de derechos (LGPD Art. 16, I — obligación legal de atender orden/autoridad — como base primaria de supervivencia, Art. 7º VI — defensa en proceso — y Art. 7º IX — prevención de fraude, uso secundario bajo LIA; GDPR Art. 6(1)(f) y Art. 17(3)(e)). Plazo: el plazo prescripcional aplicable para ejercicio/defensa de derechos y respuesta a autoridad — fijado por defecto, como medida proporcional, en la misma duración del plazo de guarda fiscal (5 años Brasil/EE. UU./demás; 6 años Reino Unido/Canadá; 10 años Unión Europea) —, con purga automática al final. Acceso: restringido, del tipo "break-glass", reservado al máximo responsable (owner) de BAS AI, siempre con motivo obligatorio y registro inmutable (a prueba de alteración) de cada consulta; la clave que genera los códigos HMAC se guarda en bóveda (Vault), cifrada por una clave raíz gestionada fuera de la base de datos, y nunca se expone. Las cuentas eliminadas antes de la vigencia de esta versión no poseen este índice.

Lo que siempre permanece después de la eliminación, para cualquier usuario:

• Registro mínimo de la eliminación, sin ningún dato personal y con su identidad sustituida por un código irreversible (no permite reidentificarlo), solo para comprobar que la eliminación ocurrió.
• Índice forense mínimo (descrito arriba): identificadores de búsqueda en código irreversible (HMAC) + IPs recientes, sin dato de salud, retenido por el plazo prescripcional aplicable (fijado en la misma duración del plazo de guarda fiscal) para prevención de fraude y respuesta a autoridad, bajo acceso break-glass auditado.
• Registros de acceso por el período de guarda de 6 meses (12.1), proporcionados únicamente mediante solicitud judicial o de autoridad competente.
• Registros de consentimiento desvinculados de su perfil (sustituimos el identificador por un código seudónimo, separado por una clave que no queda en la base de datos), mantenidos solo como prueba de licitud por el plazo prescripcional. Tratamos esto como dato seudonimizado, no como dato anónimo irreversible.
• Opcional — investigación: si, y solo si, usted lo autoriza al momento de la eliminación, mantenemos sus marcadores de forma seudonimizada — sin nombre, sin identificador de perfil (profile_id), sin texto libre y sin fecha exacta, guardando solo sexo, franja etaria y el año, en cohortes aleatorias. Tratamos esto como dato seudonimizado, y no como dato anónimo irreversible: la reidentificación es improbable, pero no la declaramos imposible. Usted puede rechazarlo y aun así eliminar la cuenta.

Perfiles de dependientes (menores): al eliminar el perfil de un menor, nunca retenemos el nombre ni el correo del menor por motivo fiscal — la obligación fiscal, si la hay, pertenece al responsable pagador, y no al perfil del menor. Para el menor, el borrado de la identidad es la regla; quedan solo el registro mínimo de eliminación por código irreversible y el índice forense mínimo (identificadores de búsqueda en código irreversible HMAC + IPs recientes, sin dato de salud del menor), retenido por plazo reducido y proporcional a la finalidad de prevención de fraude (nunca el plazo fiscal, que no se aplica a un menor que no transacciona), sujeto a evaluación de proporcionalidad y al interés superior del niño, bajo el mismo acceso break-glass auditado — y sujeto a sign-off del DPO.

Usuarios en jurisdicciones con derecho de eliminación reforzado (ej.: Washington — My Health My Data Act): tratamos la solicitud como eliminación de dato de salud del consumidor — borramos la identidad y todo el dato de salud del consumidor (sin invocar plazo fiscal contra quien no transaccionó) y el descarte de las copias residuales en los encargados ocurre dentro de 6 meses, conforme a los respectivos contratos de tratamiento (DPA). El índice forense mínimo anterior no es dato de salud del consumidor: guarda solo identificadores de cuenta en código irreversible (HMAC) e IPs, para prevención de fraude y respuesta a autoridades — finalidad y categoría distintas del dato de salud, que se borra.

12.3 Fallecimiento del titular

La LGPD y el GDPR protegen a personas vivas y, por regla, no alcanzan al fallecido (ANPD, Nota Técnica n.º 3/2023; GDPR, Considerando 27). Aun así, el historial de una persona fallecida involucra derechos de la personalidad que sobreviven a la muerte (Código Civil, Art. 12, párrafo único) y cuestiones de sucesión.

• El heredero no hereda el acceso al contenido del historial. El Superior Tribunal de Justicia (REsp 2.124.424/SP) trató los registros de salud como bien existencial no transmisible — ligado a la intimidad de la persona, y no a su patrimonio.
• Por eso, no realizamos la eliminación total a pedido de terceros (permanecen, aun así, los registros de acceso por 6 meses y los fiscales por 5 años — 12.1), ni entregamos el contenido clínico a herederos como si fuera herencia.
• Los pedidos relacionados con el fallecimiento de un titular (por ejemplo, cesar el tratamiento, o medidas previstas en el Art. 12, párrafo único, del Código Civil por quien tenga legitimidad) deben dirigirse a nuestro DPO (Sección 1), mediante prueba del fallecimiento y de la legitimidad de quien solicita. Evaluamos cada pedido a la luz de la ley aplicable.

12-A. Notificaciones y recordatorios (opt-in)

MyHealth puede enviar recordatorios en su iPhone — sobre medicación, un check-in de bienestar, un check-in semanal (opcional, una vez por semana — una invitación neutra, de texto fijo, para registrar lo que la app no ve por sí sola, como actividad, síntomas o energía; nunca trae datos de salud ni inferencia; desactivable cuando quiera), su agenda (consultas/exámenes/seguimientos/vacunas), una invitación a volver a la app tras un tiempo sin usarla y algunos avisos del servidor (cuando un análisis queda listo, cuando uno de sus exámenes se actualiza, cuando se acerca una consulta de seguimiento, cuando el soporte responde a su mensaje y — opcional, desactivado por defecto — cuando sus datos, p. ej., sueño, frecuencia cardíaca en reposo, traen algo nuevo). Puntos importantes:

• Notificaciones LOCALES vs. push remoto. Muchas notificaciones son LOCALES, programadas en su propio dispositivo (medicación, check-in de bienestar, check-in semanal y compromisos de la agenda) — para esas no usamos servidor de envío. Otras se entregan por push remoto (APNs, de Apple) porque el evento ocurre en el servidor, en cinco casos: (a) un análisis quedó listo; (b) uno de sus exámenes se actualizó (un marcador que estaba fuera de rango recibió un resultado nuevo); (c) una consulta de seguimiento se aproxima; (d) el soporte respondió a su mensaje; y (e) sus datos (p. ej., sueño, frecuencia cardíaca en reposo) registraron algo nuevo (opcional, desactivado por defecto — "Novedad en tus datos"; el cuerpo nunca sugiere anormalidad ni urgencia) — un aviso genérico, de texto fijo, sin PHI ("El soporte le respondió — toque para leer"; "Hay algo nuevo en tus datos — toque para ver"), que usted puede desactivar en Perfil › Notificaciones. Para el push remoto guardamos un token técnico de entrega de su dispositivo (ver Sección 3.4) y el contenido del aviso es genérico, de texto fijo, sin datos de salud ("Uno de sus exámenes fue actualizado", "Tiene una consulta de seguimiento") — nunca el nombre del examen, marcador, valor ni médico. El token es un identificador de entrega — no es rastreo, no entrena la IA y no se comparte con terceros más allá del servicio de push de Apple. Para no molestar, lo limitamos a un aviso interruptivo por día y respetamos su franja de silencio; cada categoría puede desactivarse por separado en Perfil › Notificaciones.
• Nada se dispara sin su permiso de iOS. Ningún aviso — de cualquier tipo — se entrega hasta que usted autorice las notificaciones en el aviso del sistema del iPhone. Esa autorización de iOS es la llave maestra: usted la concede una vez, de forma afirmativa, y puede revocarla en cualquier momento en los Ajustes del iPhone.
• Cómo viene configurado cada tipo (dos grupos). Después de que usted autoriza las notificaciones en iOS, los recordatorios de SERVICIO neutros — recordatorio de medicación/dosis, check-in de bienestar, check-in semanal y la agenda de la víspera (más los subrecordatorios de reposición de stock y de control sugerido), más la invitación a volver tras un tiempo sin usar la app — vienen preactivados, para que el servicio que usted configuró (las medicaciones y los compromisos que registró) sea útil desde el inicio; cada uno puede desactivarse individualmente, en cualquier momento, en Perfil › Notificaciones. Esos recordatorios tienen cuerpo de texto fijo y neutro, sin datos de salud, y la decisión de entregarlos se apoya en la ejecución del servicio que usted pidió y en nuestro interés legítimo en una app de seguimiento de salud que usted eligió usar, siempre con desactivación fácil y granular (LGPD Art. 7, V y IX; GDPR Art. 6(1)(b) y (f)); el dato de salud subyacente (sus medicaciones, su agenda, sus respuestas en el aviso) sigue tratado bajo su consentimiento clínico ya concedido (LGPD Art. 11, I; GDPR Art. 9(2)(a)). En cambio, los avisos que derivan de una inferencia sobre sus datos de salud — el "Titular del día", el push "Novedad en tus datos" y las excepciones de detalle en la pantalla de bloqueo (nombre del medicamento, detalle de la vacuna, detalle derivado) — vienen desactivados por defecto y solo funcionan con su consentimiento específico y destacado (LGPD Art. 7, I y Art. 11, I; GDPR Art. 6(1)(a) y Art. 9(2)(a)), como se describe en los ítems a continuación. Puede desactivar todo en cualquier momento (en la app o en los Ajustes de iOS).
• Contenido minimizado en la pantalla de bloqueo. Por defecto, la notificación nunca muestra valores de examen, diagnóstico, nombre de enfermedad, nombre de medicamento, nombre de vacuna, especialidad ni el resumen de la IA. Solo indica que existe algo y dónde ("¿Tomó sus medicamentos hoy?", "Su análisis está listo. Toque para verlo en la app.", "Consulta mañana · Toca para ver la hora, el lugar y cómo llegar", "Vacuna mañana"). Las únicas excepciones son el nombre del medicamento (en los recordatorios de medicación), el nombre de la vacuna (en los recordatorios de vacuna), el detalle de la consulta — profesional, hora y dirección, en los recordatorios de agenda (ver "Detalle de la consulta en el recordatorio") — y, en los avisos opcionales derivados, un pequeño detalle de su propio dato (ver "Detalle de sus datos en el aviso") — y solo si usted activa las opciones que se describen a continuación. Todo el resto del contenido clínico queda solo dentro de la app. Los avisos opcionales derivados de sus datos (p. ej., el "titular del día") usan una lista cerrada de frases fijas que pueden nombrar el dominio del dato (p. ej., "Tu noche trajo datos nuevos", "tu meta de actividad de la semana", "preguntas nuevas a partir de tu historial", "algo nuevo en tus resultados de laboratorio", "una observación sobre tu meta de actividad", "una lectura breve a partir de tu historial") — nunca el valor, la dirección, una comparación con su habitual ni ningún juicio. El aviso de análisis listo puede además indicar cuántos exámenes se organizaron (un conteo — por ejemplo, "3 exámenes"), pero nunca el nombre, el marcador ni el valor de ninguno de ellos. La Pregunta del Día puede traer en el cuerpo la propia pregunta cuando viene de una lista cerrada de preguntas del día a día no sensibles (café, energía, hidratación, cambio de rutina y cómo respondió el cuerpo al entrenamiento, esta última de forma genérica, sin el tipo ni la duración): son frases fijas, hechas para todos, sin ningún dato, valor, dirección, comparación ni juicio suyo. Las preguntas sensibles (alcohol, contexto de la noche, estrés), las de síntoma, las que involucrarían medicación, consulta o cualquier inferencia sobre sus datos, y los días en que la pregunta acompaña una queja nunca aparecen por extenso — en esos casos el aviso mantiene su texto neutro. Recuerde que la pantalla de bloqueo puede ser vista por terceros y leída en voz alta por Siri — por eso iOS permite ocultar las vistas previas (Ajustes › Notificaciones › Mostrar vistas previas: Cuando esté desbloqueado).
• Nombre del medicamento en la pantalla de bloqueo (opcional, desactivado por defecto, por dispositivo). De forma predeterminada, los recordatorios de medicación son neutros y nunca muestran el nombre ni la dosis del elemento. Puedes optar por mostrar el nombre y la posología en las notificaciones DE ESTE dispositivo — por ejemplo, "Losartán 50 mg · desayuno". Es tu elección explícita: está desactivada por defecto, se aplica solo a TUS PROPIOS medicamentos, se configura por separado en cada uno de tus dispositivos (activarla en un iPhone no la activa en otro), y puedes desactivarla en cualquier momento, con efecto inmediato — al desactivarla, los recordatorios ya programados vuelven a ser neutros. El texto muestra solo lo que registraste — nombre, dosis y el momento/etiqueta — y NUNCA la finalidad, la clase del medicamento, la condición tratada, interacciones ni ningún juicio clínico o de urgencia. Como esta es una visualización de DATO DE SALUD en una superficie que terceros pueden ver, que Siri puede leer en voz alta y que puede reflejarse en otros dispositivos (Apple Watch, CarPlay, altavoces, historial de notificaciones), depende de un consentimiento propio y destacado, separado del consentimiento clínico, y no forma parte de "Aceptar y continuar". La encuentras en Perfil › Notificaciones y puedes, además, ocultar las vistas previas en Ajustes › Notificaciones › Mostrar vistas previas: Cuando esté desbloqueado. Base legal: consentimiento específico y explícito (LGPD Art. 11, I; GDPR Art. 9(2)(a)). Los recordatorios de perfiles de DEPENDIENTES (menores) y de perfiles GESTIONADOS NUNCA muestran el nombre ni la posología en la pantalla de bloqueo, aunque esta opción esté activada — para ellos el aviso permanece genérico ("Recordatorio de un dependiente").
• Detalle de la vacuna en el recordatorio (opcional, desactivado por defecto — solo en su perfil de adulto). En Perfil › Notificaciones puede activar la opción "Mostrar el detalle de la vacuna en el recordatorio" para que sus recordatorios de vacuna — y solo esos — muestren el nombre de la vacuna y la dosis en la pantalla de bloqueo (p. ej., "Mañana: Influenza · dosis anual"). Aun activado, el aviso sigue siendo un eco de su propio registro (el nombre y la dosis que usted guardó): nunca es una recomendación de refuerzo, un cálculo de plazo individual ("vencida", "próxima en X") ni una alerta de urgencia, y nunca muestra el médico, el lugar ni el motivo. Ningún otro aviso cambia — exámenes, análisis, medicación y consultas permanecen neutros. Como el nombre de una vacuna es dato de salud (categoría/dato sensible) y puede revelar un contexto sensible, y como la pantalla de bloqueo puede ser vista por terceros y leída en voz alta por Siri, esta opción está desactivada por defecto, depende de su consentimiento específico y destacado, separado de la aceptación de los Términos (base legal: GDPR Art. 6(1)(a) y Art. 9(2)(a); LGPD Art. 7 I y Art. 11 I), y puede desactivarse en cualquier momento, con efecto inmediato; iOS permite ocultar las vistas previas. Los perfiles de menores y gestionados quedan excluidos: el recordatorio de vacuna de un dependiente permanece siempre genérico ("Recordatorio de un dependiente") y nunca expone el nombre de la vacuna ni el nombre del menor — en el mejor interés del niño (LGPD Art. 14; GDPR Art. 8).
• Detalle de la consulta en el recordatorio (opcional, desactivado por defecto — solo en su perfil de adulto). En Perfil › Notificaciones puede activar la opción "Detalles de la consulta en los recordatorios" para que sus recordatorios de consulta y control — y solo esos — muestren, en la pantalla de bloqueo, el profesional, la hora y una dirección corta que usted mismo registró (por ejemplo, "Consulta con Dr. Silva · 14:30 · Av. Paulista, 1000"), acompañados de un mapa del destino (una imagen estática de la dirección, generada sin usar su ubicación). Aun activado, el aviso sigue siendo un eco factual de su propio registro: nunca muestra la especialidad, el motivo de la consulta ni ningún diagnóstico o juicio clínico, y arma la frase solo con las partes que usted completó. Ningún otro aviso cambia — exámenes, análisis, medicación y vacunas permanecen neutros. Como esto expone dato de salud en una superficie que terceros pueden ver y que Siri puede leer en voz alta, esta opción está desactivada por defecto, se configura por separado en cada dispositivo (preferencia local, no sincronizada), depende de su consentimiento específico y destacado, separado de la aceptación de los Términos (base legal: LGPD Art. 7 I y Art. 11 I; GDPR Art. 6(1)(a) y Art. 9(2)(a)), y puede desactivarse en cualquier momento, con efecto inmediato — los recordatorios ya programados vuelven a ser neutros; iOS permite ocultar las vistas previas. Los perfiles de menores y gestionados quedan excluidos: el recordatorio de agenda de un dependiente permanece siempre genérico y nunca expone el profesional, el lugar ni ningún dato de esa persona (LGPD Art. 14; GDPR Art. 8). Todo es 100% en su dispositivo — el profesional, la hora y la dirección nunca viajan por push remoto. Con esta opción activada, el día de la consulta ese mismo detalle también puede aparecer como una Actividad en Vivo (Live Activity) en la pantalla de bloqueo y en el Dynamic Island, con una cuenta regresiva hasta la hora — bajo el mismo consentimiento y los mismos límites; sin esta opción, no se crea ninguna Actividad en Vivo.
• Aviso "hora de salir" (opcional, desactivado por defecto — solo en su perfil de adulto; usa su ubicación). En Perfil › Notificaciones puede activar la opción "Avisarme la hora de salir" para que, el día de una consulta o control suyo que tenga hora y dirección, la app estime el tiempo de desplazamiento hasta el lugar y envíe, en su propio dispositivo (notificación LOCAL, sin servidor de envío), un aviso de "hora de salir" — por ejemplo, "Hora de salir · Consulta a las 14:30" y "Sal antes de ~13:50 para llegar a las 14:30 (tráfico actual)". Para calcular la ruta, esta es la única función de la app que usa su ubicación: pedimos el permiso de iOS ("Mientras se usa la app") solo cuando activa esta opción, y la ubicación se usa 100% en su dispositivo (con Apple Maps), únicamente para estimar el tiempo de tráfico. Su ubicación nunca se guarda (ni en el dispositivo ni en nuestros servidores), nunca se envía a nosotros y nunca se envía a la IA — existe solo en memoria, en el instante del cálculo. Como el aviso muestra la hora de la consulta en la pantalla de bloqueo — que terceros pueden ver y Siri puede leer en voz alta — la opción está desactivada por defecto, se configura por separado en cada dispositivo, depende de su consentimiento específico y destacado y del permiso de ubicación de iOS (base legal: LGPD Art. 7 I y Art. 11 I; GDPR Art. 6(1)(a) y Art. 9(2)(a)), y puede desactivarse en cualquier momento aquí en la app o revocarse en Ajustes del iPhone › MyHealth › Ubicación, con efecto inmediato. Los perfiles de menores y gestionados quedan excluidos (LGPD Art. 14; GDPR Art. 8). Nada de esto viaja por push remoto — el cálculo y el aviso son 100% en su dispositivo.
• Detalle de sus datos en el aviso (opcional, desactivado por defecto, por dispositivo). Con el "Titular del día" activo, puede optar por incluir, en los avisos derivados de SUS datos, un pequeño detalle del propio dato — por ejemplo, cuántos minutos faltan para SU meta de actividad de la semana (meta que usted mismo definió) o que durmió por encima de su habitual. Es una lista cerrada de frases: el aviso nunca trae diagnóstico, nombre de enfermedad/medicamento/examen, valor de examen, juicio ("bien/mal"), sugerencia de anormalidad ni urgencia — la variante "por debajo de su habitual" no existe. Aplica solo a sus propios datos (los perfiles de dependientes y gestionados quedan excluidos), se configura por separado en cada dispositivo (preferencia local, no sincronizada) y puede desactivarse en cualquier momento, con efecto inmediato — los avisos vuelven al texto neutro. Como la pantalla de bloqueo puede ser vista por terceros y leída en voz alta por Siri, esta opción está desactivada por defecto y depende de su consentimiento específico y destacado, separado de la aceptación de los Términos, registrado con fecha y versión (base legal: LGPD Art. 7, I y Art. 11, I; RGPD Art. 6(1)(a) y Art. 9(2)(a)).
• Responda desde la propia notificación. Puede contestar ciertos recordatorios en la notificación (p. ej., "Tomé todas" / "Más o menos"). Esas respuestas son dato de salud (adherencia a la medicación, bienestar) y se guardan en su historial con la misma protección que sus demás datos de salud; nada de eso aparece en la pantalla de bloqueo.
• Menores y perfiles gestionados: cuando el recordatorio es de un perfil de dependiente o de otra persona que usted gestiona, el aviso en su dispositivo es siempre genérico ("Recordatorio de un dependiente") y nunca expone el nombre, la posología ni ningún dato de salud de esa persona. Las opciones de mostrar el nombre del medicamento o el detalle de la vacuna en la pantalla de bloqueo se aplican solo a sus propios registros y nunca a los de dependientes o perfiles gestionados — esto vale también para los recordatorios de vacuna, que nunca muestran el nombre de la vacuna de un dependiente.
• Recordatorio de reposición de stock (recordatorio de servicio, junto con la medicación). Si registras la cantidad disponible de un elemento de tu rutina (un medicamento o suplemento), la app puede avisarte, en tu propio dispositivo (notificación LOCAL, sin servidor de envío), que un elemento de tu rutina se está acabando — para que lo repongas cuando quieras. Es organización/logística de inventario, calculada en el dispositivo a partir de un dato que ya registraste (la cantidad) y tu pauta de dosis: no recopilamos nada nuevo y no es una recomendación clínica — no afirma que quedarte sin el elemento sea un riesgo, no sugiere anormalidad ni te ordena reponer con urgencia. El cuerpo es neutro y de texto fijo ("Un elemento de tu rutina se está acabando. Toca para ver cuál y planear la reposición"): nunca el nombre del elemento, la dosis, la cantidad ni los "días restantes" — el detalle (qué elemento, cuánto queda) queda solo dentro de la app. Sigue la misma configuración que las notificaciones de medicación (preactivado cuando las recibes, desactivable en Perfil › Notificaciones) y solo se dispara mientras ellas estén activas, con el mismo tope de un aviso interruptivo por día y la misma franja de silencio. Base legal: ejecución del servicio / interés legítimo para un recordatorio logístico neutro, con opt-out fácil (LGPD Art. 7, V y IX; RGPD Art. 6(1)(b) y (f)); el dato subyacente bajo el consentimiento clínico (Art. 9(2)(a)), como los demás recordatorios de medicación. En perfiles de dependientes aplica la regla de menores: el aviso en el dispositivo del responsable es genérico ("Recordatorio de un dependiente") y nunca revela el nombre del menor, qué elemento es, ni que se trata de un medicamento/suplemento.
• Recordatorio de control sugerido (recordatorio de servicio, junto con la agenda). Cuando tu historial registra un control sugerido por un profesional (una fecha de seguimiento que tú — o la lectura de un documento tuyo — guardaste) y aún no has agendado la consulta correspondiente, la app puede enviarte, en tu propio dispositivo (notificación LOCAL, sin servidor de envío), un único aviso de que un control sugerido se está acercando — para que lo agendes cuando quieras. Es organización de agenda, calculada en el dispositivo a partir de una fecha que ya registraste: no recopilamos nada nuevo y no es una recomendación clínica — no afirma urgencia ni sugiere anormalidad. El cuerpo es neutro y de texto fijo ("Un control sugerido en una consulta se está acercando. Consulta los detalles y reserva tu horario en la app."): nunca el médico, el motivo, la especialidad, la fecha, ni el hecho de que no lo hayas agendado; el detalle (qué control, cuándo) queda solo dentro de la app. Sigue la misma configuración que las notificaciones de tu agenda (preactivado cuando las recibes, desactivable en Perfil › Notificaciones), respeta el tope de un aviso interruptivo por día y tu franja de silencio, y desaparece en cuanto agendas la consulta. Los perfiles de dependientes y gestionados quedan excluidos (vale solo para tu propio perfil). Base legal: ejecución del servicio / interés legítimo para un recordatorio de agenda neutro, con opt-out fácil (LGPD Art. 7, V y IX; RGPD Art. 6(1)(b) y (f)).
• Invitación a volver tras un tiempo sin usar la app (recordatorio de servicio). Si pasas un tiempo sin abrir la app (por ejemplo, alrededor de una y de tres semanas), esta puede enviarte, en tu propio dispositivo (notificación LOCAL, sin servidor de envío), una invitación neutra para volver cuando quieras (por ejemplo, "Tus datos te extrañan — el retrato sigue aquí, tal como lo dejaste." o "Nada se perdió: tu historial está guardado y listo para continuar donde lo dejaste."). Lo que dispara este recordatorio es solo el tiempo desde tu última apertura de la app — un dato de uso de la app (metadato de interacción), no una lectura ni inferencia sobre tu salud: el aviso nunca trae dato de salud, número, comparación, juicio ni culpa, y el cronómetro se reinicia cada vez que abres la app. Viene con los demás recordatorios de servicio (preactivado cuando autorizas las notificaciones; desactivable en Perfil › Notificaciones, junto con los recordatorios locales). Los perfiles de dependientes y gestionados quedan excluidos (vale solo para tu propio perfil). Base legal: ejecución del servicio / interés legítimo para una invitación de retorno neutra, con opt-out fácil (LGPD Art. 7, V y IX; RGPD Art. 6(1)(b) y (f)).
• Los recordatorios de reexamen y de actualización son educativos y universales. Algunos recordatorios señalan que puede ser hora de repetir un análisis de rutina, actualizar un registro (p. ej., el peso) o revisar un control/dispositivo. Se basan solo en intervalos genéricos de referencia (p. ej., los análisis de rutina suelen repetirse periódicamente) y en las fechas de sus propios registros — no recopilamos nada nuevo y la app no calcula un plazo individual a partir de su resultado. No son una recomendación clínica individual: el intervalo correcto debe confirmarse con su médico.

13. Cookies, telemetría y rastreo

MyHealth es una aplicación nativa de iPhone (no un sitio web), por lo que no usa cookies de navegación en el sentido tradicional.

• Telemetría técnica desidentificada: recopilamos datos mínimos de estabilidad y diagnóstico (fallos, errores, rendimiento), sin contenido de salud, para mantener la app segura y en funcionamiento. Ese es un tratamiento interno: no embarcamos SDK de analytics ni ningún rastreador de terceros. Por autolimitación de minimización, mantenemos esa telemetría por hasta cerca de 12 meses (ver Sección 12).
• Sin rastreadores de terceros con acceso a datos de salud y sin venta de datos. No hacemos rastreo entre apps/sitios para fines de publicidad.
• Etiquetas de privacidad de la App Store: nuestras declaraciones en la App Store reflejan lo que está descrito aquí.

Hoy no usamos ninguna herramienta de analytics o rastreo de terceros; si eso cambia, actualizaremos esta Política y la página de subencargados antes de la activación, con nuevo aviso — revisando también las etiquetas de privacidad de la App Store y la necesidad (o no) de App Tracking Transparency (ATT).

14. Incidentes de seguridad y notificación

Mantenemos planes de respuesta a incidentes. En caso de un incidente de seguridad que pueda generar riesgo relevante para usted:

• LGPD (Art. 48): comunicaremos a la Autoridad Nacional de Protección de Datos (ANPD) y a usted, en plazo razonable, indicando la naturaleza del incidente, los datos afectados, las medidas adoptadas y las recomendaciones para que usted se proteja.
• GDPR (Art. 33–34): notificaremos a la autoridad de control competente, por regla en hasta 72 horas, y lo comunicaremos a usted cuando haya alto riesgo para sus derechos y libertades.

15. Sus derechos

Usted es el titular de sus datos y tiene derechos garantizados por la LGPD (Art. 18) y por el GDPR (Capítulo III):

Cómo ejercerlos: muchos derechos se ejercen directamente en la app (revisar, exportar, eliminar, revocar consentimiento). Para los demás, o si algo no funciona, escriba a nuestro DPO (Sección 1). Respondemos en el plazo legal (por regla, hasta 15 días para confirmación de existencia o acceso, conforme la LGPD; hasta 30 días bajo el GDPR, prorrogables cuando la ley lo permita).

Reclamaciones: si usted entiende que tratamos sus datos de forma inadecuada, puede reclamar a la autoridad competente — en Brasil, la ANPD (https://www.gov.br/anpd); en Europa, la autoridad de protección de datos de su país. Le pedimos, sin embargo, que hable antes con nuestro DPO — queremos resolverlo directamente con usted.

16. MyHealth NO es un servicio médico

• MyHealth es una herramienta de organización y educación sobre su propia salud, que lo prepara para la consulta con profesionales de salud y ofrece una lectura educativa de apoyo por IA.
• NO realiza diagnósticos, NO prescribe tratamiento y NO sustituye la evaluación de un médico o profesional de salud habilitado.
• Las lecturas y las respuestas del asistente de IA sirven para llevar preguntas e informaciones a su médico — usted debe siempre confirmar con su médico antes de cualquier decisión.
• MyHealth no es un dispositivo médico (no es "SaMD") y no debe usarse como tal.
• En emergencia, busque atención médica inmediatamente — no use la app para eso.

17. Cambios en esta Política y versionado

Podemos actualizar esta Política para reflejar cambios en la app, en proveedores o en la ley. La Política tiene versión (policy_version):

• La app recoge su aceptación en el registro, vinculada a la versión vigente;
• Actualizamos la versión y la fecha en la parte superior cuando hay un cambio;
• Le avisamos en la app y/o por correo electrónico; y, cuando el cambio lo exija, pediremos una NUEVA aceptación — la app exige nueva aceptación cuando la versión cambia — registrándola de forma inmutable en nuestro registro de consentimiento.

El historial de versiones queda publicado en https://www.bas-ai.com/myhealth/legal/versoes; cada versión aceptada permanece archivada.

18. Contáctenos

Dudas, pedidos o reclamaciones sobre sus datos:

• Encargado/DPO: dpo@bas-ai.com
• Soporte en la app: Perfil › Soporte — el canal para dudas de uso, problemas técnicos y solicitudes sobre su cuenta.
• Número de cuenta: lo encuentra en Perfil; indíquelo al soporte para localizar su cuenta más rápido (incluso si usa "Ocultar correo" en Sign in with Apple).
• Responsable: BAS ARTIFICIAL INTELLIGENCE LTDA — CNPJ 64.106.409/0001-70 — www.bas-ai.com — Rua Gomes de Carvalho, 911, Vila Olímpia, São Paulo/SP, CEP 04547-003, Brasil
• Página de subencargados: https://www.bas-ai.com/myhealth/legal/subprocessadores

MyHealth — su historial, soberano y privado. Esta Política fue redactada en portugués como base para la traducción a los demás idiomas de la app (como mínimo PT/EN/ES). En caso de divergencia entre versiones, prevalece el portugués.