Segurança e privacidade
Quais dados o Sallus trata, para onde a sua pergunta vai, o que fica registrado e o que você pode fazer para reduzir a exposição.
Esta página é o resumo verificável, em linguagem direta. O documento vinculante é a Política de Privacidade — é ele que você aceita no cadastro, e é ele que prevalece em caso de divergência. O que está aqui descreve o comportamento do sistema como ele é hoje, com as fronteiras à vista.
O que o Sallus coleta
No cadastro: nome, e-mail, país, especialidade e o número do registro profissional — CRM e UF no Brasil, NPI nos Estados Unidos. O acesso é exclusivo para médicos com registro profissional verificado: a validação é feita junto ao órgão competente, e um registro não encontrado ou em situação irregular impede o cadastro.
No uso: as perguntas que você faz, o histórico das conversas, o feedback enviado e os registros de consumo do seu plano.
Automaticamente: modelo do aparelho, sistema operacional, versão do aplicativo, endereço IP, data e hora de acesso e tokens de sessão. A partir das suas pesquisas anteriores o serviço também deriva inferências sobre o seu perfil profissional — especialidade, áreas de interesse clínico —, usadas para personalizar as respostas.
Consentimentos, com versão e carimbo: o aceite dos termos e o consentimento específico para o processamento por provedores de IA são gravados com a versão do texto, a data e a hora. Quando a versão vigente muda, o aceite é pedido de novo, e o registro anterior fica guardado como comprovação. O consentimento de IA pode ser revogado a qualquer momento no perfil do aplicativo; enquanto estiver revogado, o serviço deixa de processar novas pesquisas.
Sua senha não é guardada como texto. O que fica gravado é um hash bcrypt com custo 12 — a verificação do login é feita contra o hash.
O que não colocar na pergunta
O Sallus é desenhado para pesquisa científica, e não precisa de dados de paciente para responder. Por regra do sistema, o assistente é instruído a não solicitar nem registrar esses dados. Ainda assim, o campo de texto é livre — a barreira mais eficaz continua sendo a sua.
Deixe de fora: nome e iniciais, data de nascimento, CPF, número de prontuário ou de convênio, endereço, telefone, e-mail, fotos, laudos e documentos com identificação. E cuidado com a combinação que identifica sem citar o nome: cidade pequena, mais profissão, mais uma doença rara.
Reescrever a pergunta custa pouco e resolve quase tudo:
| Em vez de | Pergunte |
|---|---|
| "Maria S., 54 anos, prontuário 88421, hipertensa há 10 anos..." | "Mulher de 54 anos, hipertensa de longa data, em uso de..." |
| "Meu paciente do Hospital X fez o exame no dia 12/03 e deu..." | "Em paciente adulto com [achado laboratorial], o que a literatura descreve?" |
| Colar o laudo inteiro | Extrair só o achado de que a pergunta depende |
A idade aproximada, o sexo, as comorbidades e os achados relevantes bastam para a pesquisa. O nome e o número do prontuário não acrescentam nada à resposta.
Se escapar: apague a conversa no aplicativo — a exclusão remove as mensagens daquela sessão. Se quiser confirmação por escrito, escreva para contato@sallus.ai.
Para onde a sua pergunta vai
Responder exige enviar o texto da pergunta a um provedor de modelo de linguagem. É o ponto em que o dado sai da nossa infraestrutura, e por isso ele depende de consentimento específico, pedido antes da primeira pesquisa.
O que é enviado ao provedor de IA: o texto da pergunta, o histórico da conversa atual (como contexto), as inferências do seu perfil profissional e a terminologia médica usada na busca.
O que não é enviado: nome, e-mail, CRM, NPI, o identificador interno da sua conta, o endereço IP e os demais dados cadastrais. A pergunta chega ao provedor desacompanhada de quem a fez.
Os provedores contratados estão nomeados na seção 8.1.3 da Política de Privacidade, com o país de cada um e o endereço da política de privacidade correspondente. Hoje o Sallus opera com um provedor principal e um de reserva, acionado quando o principal falha; a escolha é automática e feita por critério técnico. Um deles está fora dos Estados Unidos — a transferência internacional e as garantias contratuais aplicáveis estão descritas na seção 9 do mesmo documento.
Segundo os contratos com esses provedores, as consultas não são usadas para treinar os modelos deles. Essa é uma garantia contratual, não uma verificação que possamos executar do nosso lado — e é assim que ela deve ser lida.
O que fica nos registros de operação
Os registros técnicos do serviço guardam identificadores, marcas temporais e métricas de desempenho — o texto da sua pergunta não entra neles. Quando um registro precisa correlacionar duas ocorrências da mesma consulta (a mesma pergunta batendo no cache, por exemplo), o que ele grava é uma impressão digital irreversível do texto: estável para o mesmo conteúdo, e sem caminho de volta ao conteúdo.
Há uma transição em curso que vale declarar. A pergunta trafegava no endereço da requisição, onde alcançaria registros de acesso de infraestrutura. O serviço passou a recebê-la no corpo da requisição, fora do endereço. O caminho antigo segue aceito durante a transição, enquanto versões mais antigas do aplicativo estiverem em uso, e será encerrado quando a atualização estiver distribuída.
Os registros de acesso — sem conteúdo de mensagem — são retidos por 6 meses, prazo do Marco Civil da Internet.
Criptografia e armazenamento
Em trânsito: todo o tráfego entre o aplicativo, a API e os provedores externos é feito sobre TLS.
Onde os dados ficam: na infraestrutura da AWS, região us-east-1 (Virgínia, Estados Unidos). Isso caracteriza transferência internacional de dados, tratada na seção 9 da Política de Privacidade.
Credenciais: senhas guardadas como hash bcrypt (custo 12); as credenciais de acesso ao banco ficam em cofre gerenciado, não no código.
O detalhamento das medidas técnicas está no documento legal. Esta página descreve o que é verificável hoje e é atualizada no mesmo release em que a infraestrutura mudar.
Quem mais trata seus dados
| Quem | Para quê |
|---|---|
| Amazon Web Services | Infraestrutura, hospedagem e envio de e-mails transacionais |
| Provedores de modelo de linguagem | Processamento da pergunta e geração da resposta |
| Conselho Federal de Medicina (Brasil) e NPPES (EUA) | Validação do registro profissional no cadastro |
| Stripe | Processamento de pagamentos — não guardamos dados de cartão |
| Apple e Google | Distribuição do aplicativo e compras dentro do app |
| Sentry | Monitor de erros técnicos, com dados pessoais desligados e redação de tokens, e-mails e registros profissionais antes do envio |
As bases científicas consultadas durante a pesquisa — PubMed, ClinicalTrials.gov, DailyMed, RxNorm, UMLS e DeCS — recebem termos de busca, não dados da sua conta. O papel de cada uma está em Fontes.
Compartilhamento
Seus dados não são vendidos. Os terceiros acima tratam dados por contrato e para a prestação do serviço, não por conta própria.
O aplicativo exibe conteúdo patrocinado em blocos rotulados como Publicidade, fora do texto da resposta. A segmentação usa apenas o que você informou no cadastro — especialidade, subespecialidade e país de registro —, e o conteúdo das suas pesquisas não entra nela. Os patrocinadores recebem relatórios agregados e anonimizados; dados nominativos de interação só são compartilhados mediante consentimento específico, que pode ser revogado.
O site sallus.ai é outra coisa: ele não tem ferramenta de analytics, não usa cookie de publicidade e não vende espaço. O que ele carrega de terceiro é o monitor de erros descrito acima. Ver Política editorial.
Retenção e exclusão da conta
A exclusão pode ser pedida pelo aplicativo, pelo site ou por e-mail — o passo a passo está em Exclusão de conta.
Pedida a exclusão, a conta entra em um período de 30 dias. Dentro dessa janela a exclusão ainda pode ser revertida por você. Passados os 30 dias, um processo automático executa a remoção permanente, e a partir daí ela deixa de ser reversível.
O que a remoção permanente faz, na prática:
- Apaga o histórico de conversas e mensagens, as pastas, as memórias e o contexto do assistente, os registros de uso, os códigos de verificação, os tokens de sessão e as notificações.
- Remove os dados que identificam você do cadastro: nome, e-mail, registro profissional, documento, endereço e identificador de pagamento saem da linha da conta, que fica anonimizada.
- Retém o que a lei exige — registros fiscais e de consentimento, pelos prazos legais aplicáveis. Eles ficam ancorados na linha já anonimizada, sem os dados que identificam você. Os prazos exatos, por tipo de dado, estão na tabela da seção 10 da Política de Privacidade.
- Guarda o endereço de e-mail em forma irreversível quando existe pedido de descadastro de mensagens, para que o descadastro continue valendo depois da exclusão.
A anonimização é permanente: a conta deixa de ter dono identificável, e o que resta serve à obrigação legal e à estatística agregada.
Seus direitos
A LGPD garante a você confirmação e acesso, correção, anonimização ou eliminação de dados desnecessários, portabilidade, informação sobre com quem compartilhamos, revogação de consentimento e revisão de decisões automatizadas — incluindo pedir explicação sobre os critérios que o sistema usa para gerar uma resposta.
Para exercer qualquer um deles, escreva para contato@sallus.ai. O prazo de resposta declarado no documento legal é de 15 dias úteis.
Se você entender que o tratamento dos seus dados viola a LGPD, pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), em https://www.gov.br/anpd.
Práticas para reduzir a exposição
- Pergunte pelo quadro, não pela pessoa. Idade aproximada, sexo, comorbidades e o achado relevante são o suficiente para a pesquisa.
- Não cole documentos inteiros. Extraia o dado de que a pergunta depende e deixe o resto de fora.
- Apague conversas que não precisa mais. A exclusão de uma sessão remove as mensagens dela.
- Revise o consentimento de IA no perfil do aplicativo se quiser interromper o envio de novas perguntas a provedores externos.
- Trate a conta como credencial clínica: senha exclusiva e saída da sessão em aparelho compartilhado.
- Achou algo errado nesta página? Escreva para contato@sallus.ai. O que acontece depois está em Correções, e os demais usos do canal — inclusive o exercício dos direitos acima — estão em Contato.