Versão de 8 de outubro de 2026.
Nos dados da conta profissional (nome, e-mail, CRN, telefone, marca), o Citrya é o controlador.
Nos dados dos pacientes (cadastro, anamneses, medidas, exames, diário, mensagens e fotos), o nutricionista é o controlador e o Citrya atua como operador, tratando os dados exclusivamente para prestar o serviço, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018).
Dados de conta: identificação e contato, para autenticação e emissão de documentos com a identificação profissional exigida pelo CFN.
Dados de pacientes, incluindo dados pessoais sensíveis de saúde: registrados pelo nutricionista ou pelo próprio paciente no portal, com a finalidade de assistência nutricional. As bases legais típicas são a execução do contrato de prestação de serviço, a tutela da saúde (art. 11, II, f, da LGPD) e o cumprimento de obrigação regulatória de guarda do prontuário.
Dados de agendamento público: nome, telefone e e-mail informados voluntariamente para marcar um horário.
Recursos de IA: quando o nutricionista ou o paciente aciona um recurso de IA, os dados necessários para a tarefa são enviados ao provedor configurado, OpenAI com GPT-6 Luna; a transcrição de áudio usa o modelo Whisper, executado pela DeepInfra ou pela Groq. Alguns recursos encaminham o conteúdo bruto fornecido, incluindo áudio de consulta ou diário, transcrição, foto e arquivo de exame; esse conteúdo pode conter voz, nome, rosto, ambiente ou outros identificadores. A resposta é apoio e deve ser confirmada por uma pessoa antes de integrar o cuidado.
A aplicação e o banco de dados PostgreSQL executam na VPS dos aplicativos operada pelo Citrya, com autenticação própria. Os arquivos são armazenados no Cloudflare R2. Fotos do diário e exames ficam em áreas privadas, acessíveis apenas por links assinados e temporários; o acesso ao banco é isolado por usuário (row level security). Cópias de segurança do banco e dos arquivos são criptografadas e enviadas para outra VPS, separada do servidor principal.
Nos recursos de IA, os dados da solicitação passam pela OpenRouter, que os encaminha à OpenAI para geração de texto, e o áudio enviado para transcrição passa pela DeepInfra ou pela Groq. As chamadas à OpenAI usam store=false, para não guardar o estado da resposta para recuperação posterior pela API; isso não elimina os controles de retenção de monitoramento de abuso do provedor.
Não vendemos nem compartilhamos dados com terceiros para publicidade. O compartilhamento limita-se aos serviços de hospedagem das VPS, à Cloudflare para armazenamento de arquivos, à Resend para envio de e-mails transacionais, à OpenRouter, que intermedeia as chamadas de IA, e aos suboperadores de IA OpenAI, DeepInfra e Groq, quando um recurso de IA é acionado, além de hipóteses legais (ordem judicial ou requisição de autoridade competente).
Os e-mails de confirmação de conta, convites e recuperação de acesso são enviados pela Resend com o remetente Citrya <[email protected]>.
Lembretes de consulta via WhatsApp são abertos pelo nutricionista no próprio aplicativo de mensagens; o conteúdo enviado passa a ser tratado também pela política de privacidade do WhatsApp.
O prontuário (atendimentos, anamneses, avaliações, prescrições) deve ser preservado por no mínimo 20 anos após o último registro, por exigência da Resolução CFN nº 594/2017. Por isso, registros clínicos não podem ser excluídos na plataforma, e pedidos de eliminação de dados encontram essa obrigação legal como limite.
Dados sem dever de guarda (por exemplo, conta profissional sem registros clínicos) podem ser eliminados mediante solicitação.
Na OpenAI, store=false evita o armazenamento do estado da resposta para recuperação posterior. A OpenAI informa, porém, que logs de monitoramento de abuso podem conter prompts, respostas e metadados e ser retidos por até 30 dias por padrão. Controles adicionais, como Zero Data Retention, dependem da elegibilidade e da configuração da organização; as políticas de uso de dados da DeepInfra e da Groq se aplicam quando um áudio é transcrito.
O titular pode solicitar confirmação de tratamento, acesso, correção e portabilidade dos seus dados, além da eliminação quando não houver dever legal de guarda. Pacientes devem direcionar pedidos ao seu nutricionista (controlador); o Citrya dá o suporte técnico necessário para atendê-los.
Adotamos criptografia em trânsito, isolamento por usuário no banco de dados, limites de upload validados no servidor e autenticação própria com sessões revogáveis. Incidentes de segurança relevantes serão comunicados aos afetados e à ANPD nos termos da LGPD.
Dúvidas e solicitações sobre privacidade podem ser enviadas para [email protected]. Esta política pode ser atualizada; a versão vigente fica sempre publicada nesta página.
