Política de Privacidade

Última atualização: 15 de setembro de 2026

Esta Política descreve o tratamento de dados pessoais no VOUFi: os seus, como usuário da plataforma, e os das pessoas que você atende. O uso do VOUFi é reservado a profissionais de saúde e estudantes da área, na forma da cláusula de cadastro e elegibilidade dos Termos de Uso; essa condição é declarada por você no cadastro e não é verificada pelo VOUFi, conforme a seção 6. Aplica-se ao site voufi.com, ao aplicativo, à extensão do navegador Chrome que integra o VOUFi ao e-SUS PEC e ao AGHU (EBSERH) e ao bloco de notas público criado em voufi.com. Integra os Termos de Uso. As referências legais utilizadas são a Lei nº 13.709/2018 (LGPD), a Lei nº 12.965/2014 (Marco Civil da Internet), as resoluções da Autoridade Nacional de Proteção de Dados (ANPD) e as normas do Conselho Federal de Medicina.

1. Quem somos e quem responde pelo quê

O VOUFi é operado por LUPOROS HEALTHTECH LTDA, CNPJ 65.769.842/0001-58, com endereço na Rua Juazeirinho, nº 6, QD B28 LT 6, Novo Aleixo, Manaus/AM, CEP 69098-194. A LGPD distingue o controlador, que decide sobre o tratamento e responde por ele, do operador, que trata os dados em nome do controlador (art. 5º, VI e VII). No VOUFi, o papel varia conforme o dado. Nos dados da sua conta, o VOUFi é controlador. Nos dados clínicos dos pacientes que você registra na plataforma, o VOUFi é operador, e o controlador é você ou o serviço de saúde a que você está vinculado. Nos dados importados de prontuários públicos pela extensão, o controle permanece com o órgão de origem: no e-SUS APS, em controladoria conjunta entre o Ministério da Saúde e o município ou estado; no AGHU, com a EBSERH e a unidade hospitalar. A autorização institucional é tratada na seção 9. No bloco de notas público da seção 17, o VOUFi é controlador. Como operador, o VOUFi cumpre o art. 39 da LGPD: trata os dados clínicos apenas para as finalidades previstas nesta Política, sob confidencialidade, sem uso próprio, e apoia o controlador no atendimento aos titulares. Pedidos de titular relativos a dados clínicos são respondidos pelo controlador, com suporte técnico do VOUFi.

2. Encarregado pela proteção de dados

O encarregado é o canal de comunicação entre você, os titulares dos dados e a ANPD (art. 5º, VIII, e art. 41 da LGPD, regulamentados pela Resolução CD/ANPD nº 18/2024). O contato é privacidade@voufi.com. Por esse endereço são recebidos pedidos de titular, dúvidas sobre esta Política, comunicações de incidente e reclamações, respondidos nos prazos da seção 15.

3. Dados da sua conta de profissional

São coletados nome, e-mail, telefone, profissão, formação, universidade, ano de formatura e registro profissional. São guardadas também as configurações do seu receituário (nome, registro e endereço do emissor) e as imagens que você optar por enviar: o logotipo do receituário e o logotipo ou a imagem de rodapé das folhas de orientação, esta última usada por muitos profissionais como assinatura. Na assinatura de plano pago, são guardados identificadores da assinatura (cliente e assinatura na Stripe, ciclo e status). Números de cartão não são guardados: são coletados diretamente pela Stripe e não passam pelos servidores do VOUFi.

4. Dados dos seus pacientes

Conforme o que você registra, o VOUFi guarda: identificação (nome, CPF, CNS, data de nascimento, sexo, nome da mãe, endereço e unidade de saúde); dados clínicos (anamnese e seu histórico de versões, sinais vitais e antropometria, hipóteses e códigos CID-10 e CIAP-2, prescrições com posologia, solicitações de exame, encaminhamentos, atestados e orientações); anexos que você envia (exames, laudos e imagens), incluindo o texto extraído deles por IA quando você solicita a leitura do documento; a transcrição das consultas gravadas; e as conversas mantidas com o assistente de IA sobre o caso. Todo esse conteúdo é dado pessoal sensível referente à saúde, nos termos do art. 5º, II, da LGPD, e é tratado com essa qualificação. O atendimento conduzido dentro do e-SUS PEC pela extensão segue regra própria e mais restrita: nele o VOUFi não guarda identificação do paciente. Não são armazenados nome, CPF, CNS, data de nascimento, sexo, nome da mãe, endereço nem unidade de saúde. O registro criado na sua conta contém apenas o número daquele atendimento no próprio PEC, o horário de início, o horário de conclusão e a duração — informação de controle do atendimento, não do paciente. O material de trabalho produzido durante a consulta (áudio, transcrição, conversa com o assistente de IA, rascunho do S/O/A/P e anexos) existe enquanto o atendimento está aberto e é apagado quando você o finaliza no PEC; em caso de abandono, pelas rotinas automáticas da seção 14. O que precisa durar fica no prontuário do PEC, que é onde tem valor legal. Há uma exceção: se você usar a função de chamar o paciente, o nome é gravado para ser exibido e anunciado na recepção, conforme a seção 16. E a restrição vale para o e-SUS PEC — a integração com o AGHU descrita na seção 9 continua importando nome, idade e número de prontuário. Não guardar não é o mesmo que não tratar: durante o atendimento no PEC, o nome exibido na tela e o conteúdo clínico da consulta trafegam pelos servidores do VOUFi e pelo modelo de inteligência artificial para produzir a transcrição e o S/O/A/P, nos termos das seções 7 e 8. Esse tratamento existe, é sensível e se apoia na mesma base legal do restante desta Política; o que muda é que dele não resta cópia na sua conta depois de finalizado o atendimento. No atendimento a criança ou adolescente, o tratamento observa também o art. 14 da LGPD e o melhor interesse do menor: o registro é feito por você, profissional, no contexto da tutela da saúde, e o consentimento para a gravação é dado por quem o representa legalmente. A conta de usuário do VOUFi é restrita a maiores de 18 anos.

5. Dados técnicos e registros de segurança

Para operar e proteger o serviço, o VOUFi registra eventos de autenticação (e-mail usado, endereço IP, navegador e resultado da tentativa), erros da aplicação (mensagem, rota e navegador) e o consumo dos recursos de IA (função, modelo, tokens e duração), usado para medir custo e aplicar os limites do seu plano. Os registros de acesso à aplicação são guardados sob sigilo pelo prazo mínimo de 6 meses exigido pelo art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet) e são acessíveis apenas à administração do VOUFi. Não são utilizadas ferramentas de analytics de terceiros, não há rastreadores de publicidade no aplicativo e não é feito perfilamento comportamental.

6. Com que base legal tratamos dados de saúde

Dados de saúde dependem das hipóteses do art. 11 da LGPD. O tratamento dos dados de pacientes se apoia no art. 11, II, "f" (tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde), somado ao dever legal de guarda de prontuário. Essa base cobre o atendimento e a sua documentação, e nada além disso. Ela pressupõe a sua condição de profissional de saúde ou estudante da área, exigida pelos Termos de Uso: o VOUFi não verifica inscrição em conselho de classe nem valida diploma, de modo que essa condição é uma declaração sua, prestada no cadastro, pela qual você responde. Cadastro que a viole pode ser recusado, suspenso ou cancelado. Registrar na plataforma dados de saúde de outra pessoa sem ser profissional de saúde no exercício do atendimento dela não encontra amparo nessa hipótese legal, e a responsabilidade por fazê-lo é de quem registra. Dados clínicos de pacientes não são usados para melhorar o produto, treinar modelos, gerar estatísticas comerciais ou qualquer finalidade de marketing. O art. 11, §4º, da LGPD veda o compartilhamento de dados de saúde entre controladores com o objetivo de obter vantagem econômica, e o VOUFi não o pratica. Os dados da sua conta se apoiam na execução do contrato (art. 7º, V), no cumprimento de obrigação legal (art. 7º, II, como as obrigações fiscais e a guarda de registros do Marco Civil) e, para segurança e prevenção a fraude, no legítimo interesse (art. 7º, IX), nos limites do art. 10.

7. Gravação e transcrição da consulta

A gravação da consulta tem regra própria, em duas camadas. O conteúdo de saúde produzido pela transcrição está coberto pela base do restante do prontuário: tutela da saúde por profissional de saúde (art. 11, II, "f", da LGPD). A captação da voz do paciente é, além disso, direito de personalidade: o art. 20 do Código Civil condiciona a transmissão da palavra de alguém a autorização, salvo necessidade de administração da justiça ou de ordem pública. Essa segunda camada exige consentimento próprio e específico para a gravação (art. 11, I, da LGPD, combinado com o art. 20 do Código Civil), somado ao dever de registrar esse consentimento no prontuário por força do sigilo profissional (art. 73 do Código de Ética Médica). Quem consente é o paciente: informe-o, obtenha o consentimento antes de iniciar e registre-o no prontuário. A gravação não é obrigatória e a recusa não pode prejudicar o atendimento, já que a anamnese pode ser digitada. A voz é dado biométrico, o que reforça o cuidado exigido. Quanto ao percurso do áudio: o arquivo é enviado ao armazenamento do VOUFi, transcrito e apagado imediatamente após a conclusão da transcrição. Em caso de falha, fica disponível por até 24 horas para nova tentativa e depois é apagado por rotina automática. Nas gravações feitas dentro do prontuário pela extensão, o áudio é apagado na finalização do atendimento e, em caso de abandono, em até 48 horas. No uso do celular como microfone, as fatias de áudio que trafegam entre o telefone e o computador são apagadas ao fim da gravação e, em qualquer caso, em até 6 horas. O que permanece é o texto.

8. Inteligência artificial

Os recursos de IA (transcrição, geração de anamnese, análise clínica, leitura de anexos e chat sobre o caso) são processados por modelos de inteligência artificial, acionados pelos servidores do VOUFi com chave própria. É enviado apenas o conteúdo necessário a cada pedido: o áudio, na transcrição; o arquivo, na leitura de um exame; o texto clínico e os dados do paciente, nas análises. Esse conteúdo não é usado para treinar modelos. Quanto ao percurso, vale para o anexo e para o texto clínico o mesmo que a seção 7 descreve para o áudio: o arquivo e o texto trafegam dentro do próprio pedido e voltam como resposta, sem que o VOUFi mantenha cópia deles no provedor do modelo. O que permanece fica no VOUFi: a transcrição e o texto extraído do documento são gravados no atendimento, sujeitos aos prazos da seção 14, e o anexo continua sendo parte do prontuário. O áudio segue a regra de descarte da seção 7. A IA é apoio à decisão sob supervisão humana: nenhuma sugestão se torna prontuário, receita ou documento sem a sua revisão e validação, de modo que não há decisão tomada unicamente por meio automatizado nos termos do art. 20 da LGPD. Pedidos de esclarecimento sobre os critérios de uma saída da IA podem ser feitos pelo canal da seção 19. A Resolução CFM nº 2.454/2026, em vigor desde 26 de agosto de 2026, acrescenta deveres do profissional: registrar no prontuário o uso de IA como apoio à decisão (art. 4º, V) e informar o paciente quando esse apoio for relevante (art. 5º, §1º), reafirmando que a decisão clínica é humana. Modelos de linguagem podem errar, e a revisão é sempre necessária.

9. A extensão do Chrome e a integração com o e-SUS PEC e o AGHU

A extensão opera dentro da sessão que você já autenticou no prontuário. No e-SUS PEC não há importação: nenhum cadastro de paciente é copiado para a sua conta. A extensão lê a tela — nome, CPF, CNS, data de nascimento, sexo, nome da mãe e as medições — para montar o contexto do assistente, gerar o S/O/A/P, preencher campos do próprio PEC e chamar o paciente. Na sua conta permanece o registro da seção 4 — número do atendimento, início, conclusão e duração; o material de trabalho é apagado quando você finaliza o atendimento no PEC. No AGHU há importação: a extensão lê a Lista de Pacientes do Ambulatório, importa nome, idade e número de prontuário e cria o atendimento na sua conta, um por vez, por clique seu. A extensão é instalada com permissão para páginas HTTPS em geral, porque cada município define o endereço do seu PEC e não há domínio fixo a declarar. Quem limita é ela própria: um script confirma a assinatura pública do e-SUS PEC — título e cor de tema do Ministério da Saúde, mais uma consulta sem credenciais a /api/graphql do mesmo servidor — e, fora do PEC, do AGHU e do voufi.com, descarta o que leu e não age. Nada sai do seu dispositivo nesse caminho. Em PEC de rede interna, sem HTTPS, a extensão só funciona após autorização daquele servidor, dada uma vez na janela do Chrome e revogável em chrome://extensions. Credenciais do prontuário não são solicitadas, capturadas nem armazenadas. A extensão fala apenas com os servidores do VOUFi, com uma exceção: a prévia da transcrição ao vivo usa o reconhecimento de fala do próprio navegador. A base legal é a tutela da saúde por profissional de saúde (art. 11, II, "f", da LGPD) — o acesso já era legítimo pela sua sessão no prontuário e a extensão não cria acesso novo. Na devolução ao PEC ou ao AGHU soma-se o art. 11, II, "a" (obrigação legal ou regulatória), porque documentar o atendimento no prontuário oficial é dever do profissional (Resolução CFM nº 1.638/2002; no e-SUS APS, as normas do Ministério da Saúde; no AGHU, o regulamento da EBSERH e da unidade). Por isso, conduzir e devolver ao prontuário os atendimentos que você mesmo realiza não depende de autorização da instituição. Não há importação em massa nem leitura de atendimentos conduzidos por outro profissional. O limite entre esse uso e o que dependeria de autorização institucional está na cláusula de limites de uso da extensão, nos Termos de Uso.

10. O que a extensão guarda no seu computador

Para funcionar entre uma tela e outra, a extensão guarda dados no armazenamento local do navegador (chrome.storage.local), no seu dispositivo, sem envio a terceiros: o token da sua sessão VOUFi; suas preferências; o cache dos seus modelos de exame e receita; e dados clínicos em trânsito, como os dados do último paciente importado, o texto S/O/A/P e os códigos CID/CIAP aguardando lançamento no prontuário e o vínculo entre nome do paciente e atendimento criado. Guarda também um registro técnico rotativo dos últimos eventos de rede e console das páginas do PEC, do AGHU e do VOUFi, usado para diagnóstico de erros. Como esse conteúdo fica no seu computador, o equipamento deve ser tratado como parte do prontuário: perfil de navegador pessoal, sessão não compartilhada e desinstalação da extensão nas máquinas que deixar de usar.

11. Com quem compartilhamos dados

Dados não são vendidos, não são compartilhados para publicidade e não são cedidos a quem pretenda usá-los para finalidade própria. Tudo o que você faz no VOUFi passa pelos servidores do VOUFi, que é quem guarda o seu conteúdo e quem aciona os fornecedores necessários ao funcionamento do serviço: infraestrutura de nuvem, processamento de inteligência artificial, meio de pagamento e envio dos e-mails do cadastro. Esses fornecedores atuam como suboperadores, sob contrato de confidencialidade e proteção de dados: cada um recebe apenas o dado necessário à função que executa e não pode usá-lo para finalidade própria. Ao meio de pagamento não vai dado de paciente. O painel de chamada tem a ressalva própria da seção 16. Dados também podem ser compartilhados para cumprir obrigação legal, regulatória ou ordem de autoridade competente, limitados ao estritamente exigido.

12. Segurança da informação

O VOUFi adota medidas técnicas e administrativas aptas a proteger os dados, na forma dos arts. 46 a 49 da LGPD. Todo o tráfego é criptografado em trânsito (HTTPS/TLS). O banco de dados usa políticas de segurança em nível de linha (Row Level Security): cada registro clínico é vinculado ao usuário que o criou, e a camada de dados recusa leituras de outra conta, independentemente do que a interface exiba. Os arquivos de anexo e de áudio ficam em compartimentos privados, organizados por usuário, acessíveis apenas por links temporários gerados para você. Há duas exceções, por serem elementos de identidade visual impressos nos documentos: o logotipo do receituário e as imagens das folhas de orientação (logotipo e rodapé, onde costuma ir a assinatura) ficam em compartimentos de leitura pública, acessíveis por URL sem autenticação. Quem não quiser expor essas imagens não deve cadastrá-las. Nenhum sistema é inviolável; o VOUFi aplica o princípio do menor privilégio e revisa o acesso continuamente. Esta seção descreve o produto clínico. O bloco de notas público da seção 17 é aberto a quem tem o endereço e segue regra própria.

13. Incidentes de segurança

Ocorrendo incidente que possa acarretar risco ou dano relevante, o VOUFi comunicará a ANPD e os titulares afetados no prazo de 3 dias úteis, conforme os arts. 6º e 9º da Resolução CD/ANPD nº 15/2024, informando a natureza dos dados envolvidos, os riscos e as medidas adotadas. Por envolver dados sensíveis protegidos por sigilo profissional, praticamente todo incidente relevante aciona esse dever. Quando o incidente atingir dados de pacientes, o VOUFi comunicará também você, controlador, para o cumprimento dos seus próprios deveres. O registro interno de incidentes, inclusive dos que não exigirem comunicação, é mantido pelo prazo mínimo de 5 anos.

14. Prazos de guarda

Cada dado segue o prazo que lhe cabe. O áudio da consulta é apagado assim que vira texto, ou em até 24 horas se a transcrição falhar. No atendimento conduzido dentro do e-SUS PEC, o material de trabalho — transcrição, conversa com o assistente de IA, rascunho do S/O/A/P e anexos — é apagado quando você finaliza o atendimento no prontuário; se o atendimento for abandonado, em até 48 horas. O conteúdo clínico registrado na sua conta fora desse fluxo fica enquanto a conta existir: o VOUFi não o apaga por iniciativa própria, porque a decisão sobre o prontuário não é dele. Guardar esse conteúdo pelos prazos que a legislação exigir é dever seu e do serviço de saúde a que você está vinculado. O encerramento da conta é decisão sua e produz exclusão imediata, integral, definitiva e irreversível da conta, dos dados de pacientes, dos anexos, das transcrições e do histórico de conversas com a IA, sem carência e sem recuperação posterior — exporte antes o que precisar guardar, porque o VOUFi não retém cópia. Os registros de acesso ficam no mínimo 6 meses (art. 15 do Marco Civil da Internet) e os registros de incidentes, 5 anos. Os demais dados da sua conta ficam enquanto ela existir. As notas públicas seguem a regra da seção 17. Encerrada a finalidade e vencido o prazo legal, os dados são eliminados (arts. 15 e 16 da LGPD).

15. Direitos do titular

O art. 18 da LGPD garante ao titular: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade; eliminação dos dados tratados com base no consentimento; informação sobre com quem houve uso compartilhado; informação sobre a possibilidade de não consentir e as consequências disso; e revogação do consentimento. Soma-se o direito de solicitar a revisão de decisões automatizadas (art. 20), observado que, conforme a seção 8, não há no VOUFi decisão tomada unicamente por meio automatizado. O atendimento é gratuito (art. 18, §5º). Os prazos são os do art. 19: confirmação e acesso em formato simplificado são respondidos imediatamente, e a declaração completa em até 15 dias. Os pedidos devem ser enviados para privacidade@voufi.com. O destinatário do pedido segue o desenho de papéis da seção 1: pedido de paciente é respondido pelo controlador, você ou o serviço de saúde, com suporte técnico do VOUFi; pedido relativo a nota pública é respondido pelo VOUFi. O encerramento da conta pode ser solicitado pelo mesmo endereço. A exclusão é definitiva e alcança o conteúdo clínico, os anexos e as gravações, observado o disposto na seção 14.

16. Painel de chamada de pacientes

O painel exibido na recepção é uma tela pública: mostra o nome dos pacientes chamados e é acessível por um link com token, sem login, para que qualquer computador ou TV da unidade possa exibi-lo. Disso decorrem duas consequências. A primeira diz respeito ao link: quem o tiver vê os nomes chamados, e ele deve ser tratado como informação restrita da unidade. É possível gerar um link novo a qualquer momento, o que invalida o anterior, e limpar a lista de chamadas pelo próprio painel. A segunda diz respeito à voz. Em regra, o nome é falado pelo sintetizador do próprio aparelho e não sai dele. Muitas Smart TVs, porém, expõem síntese de voz sem ter voz instalada, e nesses aparelhos a chamada sairia muda. Nessa hipótese, o texto da chamada, que inclui o nome do paciente, é enviado pelo servidor do VOUFi ao serviço público de síntese de voz do Google, que devolve o áudio a ser reproduzido na tela. Isso ocorre apenas nesse caso e apenas com a frase da chamada; nenhum outro dado do atendimento é enviado. Para evitar esse envio, exiba o painel em aparelho com voz instalada.

17. O bloco de notas público

O VOUFi hospeda um bloco de notas criado a partir de um endereço: se voufi.com/reuniao-de-terca estiver livre, a página oferece criar a nota ali, sem cadastro, sem login e sem custo. É o único recurso em que o VOUFi trata dados de pessoas que não são usuárias da plataforma, e nele o VOUFi é controlador. São guardados o texto da nota, o título, o histórico de versões com o rótulo de quem editou, contadores de visitas e edições e, havendo sessão do VOUFi na criação ou na assunção da nota, o vínculo com a sua conta. O rótulo de autoria não é identidade verificada: quem não tem sessão recebe um apelido e uma cor guardados no próprio navegador, alteráveis a qualquer momento. O endereço IP de quem cria ou edita não é guardado; guarda-se um código derivado dele, que não permite recuperar o número e serve para limitar a criação diária de notas e frear tentativas repetidas de senha. A nota não é privada: quem tem o endereço lê, e endereços curtos são adivinháveis. As páginas de nota não são indexáveis por buscadores, o que não torna secreto um endereço conhecido. A nota pode ser travada para edição exclusiva do dono ou protegida por senha — a senha define quem o servidor atende, não criptografa o conteúdo, que continua legível no banco de dados e tecnicamente acessível à administração do VOUFi, inclusive para apurar denúncia. Não registre dado de paciente nem informação sigilosa em nota pública; para conteúdo clínico existe o prontuário do VOUFi, sujeito às medidas da seção 12. O que se publica na nota é de responsabilidade de quem escreve. É vedado usá-la para ofensa, ameaça, assédio, discriminação, conteúdo ilícito, violação de direito de terceiro ou divulgação de dado pessoal alheio. O VOUFi não revisa notas antes da publicação, mas pode remover conteúdo e bloquear endereços diante de denúncia ou de ordem de autoridade competente. A nota é mantida enquanto existir, com as 50 versões automáticas mais recentes e a totalidade das versões salvas manualmente. Pedidos de exclusão devem ser enviados para privacidade@voufi.com.

18. Cookies e armazenamento local

São usados cookies e armazenamento local estritamente necessários à autenticação e ao funcionamento do serviço, dispensados de consentimento por serem essenciais, conforme o Guia Orientativo de Cookies da ANPD. Não há cookies de publicidade nem compartilhamento com anunciantes. A nota protegida por senha (seção 17) grava um cookie de sessão assinado, que dispensa a redigitação da senha a cada recarga; a troca ou a remoção da senha invalida os cookies já entregues. Se a sua unidade exibir vídeos do YouTube no painel da recepção, aquela tela carrega o reprodutor do YouTube, componente do Google, que define os próprios cookies no dispositivo que exibe o painel.

19. Alterações e contato

Esta Política pode ser atualizada. Alterações relevantes serão comunicadas pelos canais do serviço, e a versão vigente estará sempre nesta página, com a data da última revisão. Dúvidas, pedidos de titular e reclamações devem ser enviados para privacidade@voufi.com. Correspondência: LUPOROS HEALTHTECH LTDA, CNPJ 65.769.842/0001-58, Rua Juazeirinho, nº 6, QD B28 LT 6, Novo Aleixo, Manaus/AM, CEP 69098-194. O titular também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD), inclusive para reclamar contra o controlador após demonstrar a apresentação de reclamação não solucionada (art. 18, §1º, da LGPD).

Veja também os Termos de Uso.