Política de Privacidade (LGPD)

Controlador e Encarregado

O Demystif é operado do Brasil e atende pessoas nos Estados Unidos. Somos o controlador dos dados na acepção do art. 5º, VI da LGPD.

Precisa da identificação formal de quem responde por este tratamento — para um pedido de titular, uma reclamação à ANPD ou uma intimação? Peça ao Encarregado no e-mail abaixo e respondemos com os dados de quem opera o Demystif.

Encarregado pelo tratamento de dados pessoais (art. 41): [email protected]. É também o canal para exercer qualquer direito desta política.

Dado sensível de saúde (art. 11)

Uma conta médica, um EOB ou uma carta de negativa contêm dado pessoal sensível referente à saúde. O tratamento desse dado se dá com base no consentimento específico e destacado do titular (art. 11, I): você escolhe colar aquele texto para receber a explicação, e esse é o único uso que fazemos dele.

Não usamos esse conteúdo para nenhuma outra finalidade — não vendemos, não compartilhamos com terceiros além dos operadores listados abaixo, não usamos para publicidade e não usamos para treinar modelo de IA.

Você não é obrigado a fornecer esse dado, e é justo saber o que acontece se não fornecer: o texto colado é a única entrada do serviço, então sem ele não há análise — e essa é a consequência inteira da recusa. Recusar os cookies de analytics não muda nada no que você recebe, e a conta de usuário continua opcional em qualquer caso.

O documento que você cola

O texto é enviado uma vez à API da Anthropic, que o interpreta e devolve a explicação. Pelo contrato comercial que temos com a Anthropic, seu texto não é usado para treinar os modelos dela.

Do nosso lado, o texto colado nunca é gravado em banco, nunca é gravado em log e nunca é enviado a analytics: ele existe apenas em memória enquanto a requisição roda. Nossas mensagens de erro são montadas só com texto fixo e números, justamente para que nenhum pedaço do documento escape para uma linha de log.

Calculamos e guardamos uma impressão digital do texto. Antes de qualquer armazenamento, ele é combinado com um segredo e transformado em hash SHA-256 — o mesmo tratamento dado ao seu IP —, que não pode ser revertido no documento. O segredo é a parte que importa: sem ele, quem tivesse leitura do banco poderia pegar um documento que já tem, aplicar os mesmos passos e conferir se ele foi analisado aqui. O segredo não fica no banco, então essa conferência não funciona.

A impressão digital serve para uma coisa: se exatamente o mesmo texto for analisado de novo em até 24 horas, reaproveitamos a análise já produzida em vez de pagar duas vezes pela chamada de IA.

Não aceitamos upload de arquivo ou de foto. Colar texto é a única entrada — e é também o motivo pelo qual não existe cópia do seu documento com a gente.

Dados tratados, finalidade e base legal

• Conteúdo do documento (sensível): execução do serviço que você pediu. Base: consentimento específico (art. 11, I). Tratamento transitório, sem persistência.
• A análise gerada — resumo, explicação de cada cobrança, itens sinalizados, perguntas a fazer e, por cobrança, um trecho curto citado daquela linha (até 500 caracteres). Finalidade: entregar o que você pediu (e o que comprou). Base: execução de contrato / consentimento (art. 7º, V; art. 11, I).
• Hash do texto e contagens (SHA-256 com sal, como descrito acima; quantas linhas, quantos alertas). Finalidade: evitar pagar duas vezes pela mesma análise e medir o serviço. Base: legítimo interesse (art. 7º, IX).
• E-mail, somente se você digitar um: entrega do relatório completo. Base: execução de contrato (art. 7º, V).
• Registros de pagamento — provedor, referência do pedido, valor, moeda, status e histórico de mudanças de status. Base: obrigação legal/fiscal e execução de contrato (art. 7º, II e V). Nunca dados de cartão.
• Registro de consentimento de cookies — data e hora, escolhas, versão desta política e hash do seu IP. Base: cumprimento de obrigação de prestação de contas (art. 6º, X). Prazo: 12 meses a partir do registro, depois a rotina noturna apaga a linha — ver a seção de retenção.
• Dados de conta, se você optar por entrar — nome, e-mail e URL da foto conforme o provedor (Google ou Facebook) nos informa, além dos tokens que mantêm a sessão. Base: execução de contrato (art. 7º, V). A lista campo a campo está na seção seguinte.

Base para os três: cumprimento de obrigação legal de atender e comprovar o atendimento do seu pedido — art. 7º, II (c/c art. 18, §3º, art. 19, II e art. 6º, X). Nenhum deles existiria se você não tivesse pedido alguma coisa, e cada um tem prazo próprio:

• Troca de e-mail aguardando a sua confirmação. Se você pedir para trocar o e-mail da conta, guardamos o endereço novo que você digitou e um digest do código de confirmação — o código em si só existe na mensagem enviada àquele endereço novo. A conta continua com o endereço antigo até você abrir o link, para que alguém logado no seu lugar não consiga apontar a sua conta para a caixa dele. Uma hora. O link deixa de valer uma hora depois do pedido. A própria linha é apagada no instante em que você a usa ou cancela e, se ninguém fizer nada, pela rotina noturna na primeira execução depois de vencida a hora.
• Pedido de exclusão de conta aguardando a sua confirmação. Quando você pede a exclusão da conta, o que guardamos é um digest do código de confirmação enviado ao endereço que já está na conta. Nada muda na sua conta até você abrir aquele link — e é a própria mensagem que avisa você caso o pedido não tenha sido seu. Uma hora. O link deixa de valer uma hora depois do pedido. A própria linha é apagada no instante em que você a usa ou cancela e, se ninguém fizer nada, pela rotina noturna na primeira execução depois de vencida a hora.
• O registro das alterações feitas no seu perfil. Uma linha a cada vez que nome, e-mail ou foto mudam — inclusive as linhas gravadas quando você confirma a exclusão e esses campos são esvaziados. Cada linha diz qual campo mudou e quando. Ela não guarda os valores: guarda um digest do valor anterior e do novo, cada um combinado com um segredo, de modo que ninguém consegue ler o seu nome ou endereço antigo a partir deste registro. Ele existe para que você possa comprovar o que mudou e quando — é a parte que joga a seu favor. Dura exatamente o que a conta durar: quando a rotina noturna remove a linha da conta, 30 dias depois da confirmação da exclusão, este histórico vai junto — inclusive as linhas gravadas pela própria exclusão.

Entrar com Google ou Facebook: o que o provedor nos manda

Conta é opcional e nunca foi pré-requisito de nada: colar a conta médica, ver a prévia e comprar o relatório funcionam deslogado. Se você escolher entrar, usamos login federado (OAuth) com Google ou Facebook — nós não criamos senha, não pedimos senha e não recebemos a sua. O que guardamos vem do provedor:

• Nome, e-mail e URL da foto de perfil. O que o provedor entrega sobre você quando você autoriza a entrada. A foto é guardada como link para o provedor, não como cópia da imagem.
• Se o provedor diz que aquele e-mail é verificado. Uma data, informada pelo provedor. Nós nunca enviamos e-mail de verificação próprio.
• Qual provedor foi, e o identificador que ele usa para você (o `sub` do OAuth). É esse par que reconhece você no login seguinte. Não existe senha aqui: não criamos, não pedimos e não recebemos a sua.
• Quando aquela entrada expirou, e o que pedimos ao provedor. Um instante, a palavra que o provedor usa para o tipo de token emitido e a lista do que pedimos a ele — normalmente seu nome e e-mail. É o registro do que foi autorizado em seu nome.
• Os tokens que o provedor emite para concluir a entrada — que não guardamos. São credenciais da sua conta no Google ou no Facebook, não da nossa. Usamos para concluir a entrada e descartamos no mesmo passo, então esses campos ficam vazios: nada aqui volta a chamar o provedor em seu nome. Nunca chegam ao seu navegador, nunca aparecem em linha de log e nunca vão para analytics.

A sessão em si é uma linha no nosso banco (identificador opaco e data de validade). O cookie no seu navegador carrega só esse identificador e é httpOnly, isto é, script de página não o lê. O que a aplicação devolve ao navegador sobre você é apenas id, nome, e-mail e foto — o identificador da sessão nunca sai do cookie.

Nada disso é ligado ao conteúdo do seu documento além do vínculo entre a sua conta e as análises que você criou logado, que serve para você reencontrá-las. Ao excluir a conta, esse vínculo é desfeito e nome, e-mail e foto são esvaziados — ver a seção de direitos.

Prazo de retenção da análise: 30 dias

Toda análise nasce com data de exclusão 30 dias à frente. Uma rotina roda todas as noites e esvazia as análises vencidas: prévia, relatório completo e e-mail de entrega são apagados, e a análise passa a constar como excluída. Como a rotina é noturna, o apagamento ocorre na primeira execução após o trigésimo dia — não no minuto exato.

O que resta é uma casca sem conteúdo: identificador, hash, contagens, datas e a marca de excluída. Sem resumo, sem linhas da conta, sem trechos citados, sem e-mail. A casca existe para que um link antigo possa dizer honestamente que a análise expirou, em vez de devolver erro seco.

A casca também não fica para sempre. 30 dias depois do esvaziamento— 60 dias depois da criação — a mesma rotina noturna apaga a própria linha, e o link antigo passa a responder "não encontrado", como qualquer link morto. Se você estava logado, o item some da sua lista de análises nesse momento.

Uma exceção, e é a única: se você pagou aquele relatório, a casca fica. O registro de pagamento aponta para ela, e precisamos manter prova de venda para fins contábeis e fiscais — um recibo cujo objeto não existe mais não é registro de coisa nenhuma. A essa altura a casca não guarda conteúdo, só identificador, hash, contagens e datas. Ela continua ligada à sua conta para que a compra siga aparecendo como sua; excluir a conta desfaz esse vínculo, como explica a seção de direitos.

Salve ou imprima o que quiser guardar antes do prazo: não é possível restaurar uma análise excluída — é exatamente esse o objetivo de excluí-la.

Registros de pagamento sobrevivem ao conteúdo da análise, pelos prazos legais e fiscais aplicáveis. Eles não contêm informação de saúde.

O registro do seu consentimento de cookies tem prazo próprio: 12 meses, e não 30 dias. O motivo é a finalidade. A análise é guardada para entregar o serviço, então some quando o serviço acabou; o registro de consentimento é guardado para provar o que foi perguntado e o que você respondeu (prestação de contas, art. 6º, X) — e uma reclamação sobre cookie quase nunca chega em um mês. Doze meses é escolha nossa, documentada e revisável, não prazo fixado em lei. Vencido o prazo, a mesma rotina noturna apaga a linha.

Quem consegue abrir sua análise

Sua análise fica em um endereço longo e não adivinhável. Quem tem o link consegue lê-la, sem precisar entrar com conta — é isso que faz o produto funcionar sem cadastro. Trate o link como o próprio documento: não publique e lembre que encaminhar o link é encaminhar a análise. Ele deixa de funcionar quando a análise é excluída.

Pagamento: quem vende é a Lemon Squeezy

A Lemon Squeezy atua como Merchant of Record: ela é a vendedora do registro perante o comprador, recebe o pagamento, calcula e recolhe o imposto sobre venda aplicável e emite o recibo. Na fatura do cartão aparece Lemon Squeezy, não Demystif.

O pagamento acontece na página de checkout dela; o número do cartão não passa pelos nossos servidores. Recebemos apenas uma notificação assinada de que o pedido foi pago — é ela que libera o relatório — e guardamos referência do pedido, valor e status.

Dúvida sobre cobrança, recibo ou reembolso: [email protected].

Seu IP

O IP puro nunca é gravado. Antes de qualquer armazenamento, ele é combinado com um segredo e transformado em hash irreversível. Usamos esse hash para contar as análises gratuitas por hora (em cache temporário que expira dentro da hora) e para datar o seu registro de consentimento.

A Cloudflare fica à frente do site e, como qualquer provedor de rede, trata o seu IP para rotear e proteger o tráfego. O Cloudflare Turnstile — a verificação anti-robô do formulário — também o recebe, junto com o token do desafio, para decidir se a requisição é automatizada. Essa verificação roda antes de chamarmos a IA.

Cookies e armazenamento no seu navegador

Por padrão, apenas o armazenamento necessário para o site funcionar. O Google Analytics só carrega se você aceitar a categoria de analytics, e com anonimização de IP. Se você recusar, nenhum script de analytics é carregado — não é carregado e desligado depois. Hoje não carregamos script de marketing ou publicidade, e precisaríamos do seu consentimento para começar.

Um detalhe que muda o que você deve esperar: a sua escolha de cookies não é guardada em cookie. Ela fica em localStorage, que não viaja em requisição nenhuma — o servidor não a enxerga. O registro auditável do seu consentimento é a linha que gravamos do nosso lado (data e hora, escolhas, versão desta política e hash do seu IP).

Tudo o que este site pode deixar no seu navegador, por categoria, finalidade e duração:

Os cookies do login só existem se você entrar; visitante anônimo não recebe nenhum deles. Para rever a sua escolha a qualquer momento, use Cookie preferences no rodapé — desligar analytics expira os cookies do Google na hora. As empresas por trás desses cookies estão na lista de subprocessadores.

Nunca enviamos o texto da conta, nem qualquer parte da análise, para ferramenta de analytics ou de publicidade.

Subprocessadores (operadores) e transferência internacional

Esta é a nossa lista pública de subprocessadores, que também tem página própria em demystif.com/subprocessadores— é o endereço para guardar ou citar: mesma lista, mais a explicação de como você fica sabendo quando ela muda. Cada nome leva à política de privacidade do próprio operador. Se entrar ou sair alguém, muda nos dois lugares de uma vez, e a mudança relevante vira nova versão desta política.

Transferência internacional (capítulo V)

O controlador está no Brasil, os servidores estão na Alemanha e a maior parte dos operadores acima está nos Estados Unidos: há transferência internacional de dados (art. 33). A tabela diz qual operador recebe o quê e onde ele fica; nada sai daqui que não esteja nela.

Hipóteses do capítulo V em que cada caminho se apoia: para o conteúdo do documento, o seu consentimento específico para a finalidade (art. 33, VIII), dado no ato de colar o texto, com a informação prévia desta página de que ele é lido pela Anthropic, nos Estados Unidos; para os servidores onde a sua conta fica hospedada, que estão na Alemanha, o art. 33, I — a ANPD reconheceu a União Europeia como destino de grau de proteção adequado na Resolução CD/ANPD nº 32, de 26 de janeiro de 2026, em vigor desde a publicação, e o reconhecimento alcança todos os Estados membros; para todo o resto — receber o pagamento, entregar o relatório, proteger o formulário —, o art. 33, IX c/c o art. 7º, V: a transferência é necessária para executar exatamente o que você pediu. Nada atravessa a fronteira por finalidade nossa.

O que esta página NÃO afirma: aceitamos os termos de serviço de cada um desses operadores na contratação, e termos assim costumam trazer adendo de proteção de dados — mas ninguém conferiu, operador por operador, qual documento se aplica a nós e desde quando. Enquanto essa conferência não for feita, esta página não afirma cláusula-padrão contratual, contrato específico nem certificação (art. 33, II). Afirmar sem conferir é a versão fácil, e é a que ninguém consegue verificar.

Se você quiser saber qual instrumento cobre um operador específico da lista, peça: você recebe o que de fato temos, inclusive a resposta de que a conferência ainda está pendente. O canal do Encarregado é [email protected].

Quem responde pelo quê (art. 9º, VI)

Nós somos o controlador: decidimos o que é tratado, para quê e por quanto tempo, e respondemos por todo o tratamento descrito nesta página — inclusive pelo que os operadores fazem por nossa conta. Qualquer pedido ou reclamação começa aqui, no Encarregado; você não precisa procurar nenhum operador primeiro.

Os operadores da tabela acima tratam dados por nossa conta e seguindo nossas instruções, cada um limitado à finalidade da própria linha. Nenhum deles está autorizado a usar para finalidade própria o que recebe de nós, e nenhum recebe mais do que a linha dele diz.

Uma exceção que precisa ficar clara: a Lemon Squeezy é a vendedora do registro e, quanto aos dados de pagamento que você informa na página de checkout dela, atua como controladora própria, sob a política de privacidade dela — não vemos o número do seu cartão e não podemos apagar o que fica com ela. Vale o mesmo para o Google e a Meta quanto à sua conta lá: recebemos os campos listados acima, mas a conta é deles e é lá que ela se gerencia.

Direitos do titular (art. 18)

Você pode pedir confirmação de que tratamos seus dados, acesso a eles, correção, anonimização, bloqueio ou eliminação, portabilidade, informação sobre com quem compartilhamos, e pode revogar o consentimento a qualquer momento. Nenhum pedido piora o seu atendimento.

• Ver e baixar seus dados. Logado, a página Your data lista tudo o que guardamos sobre você, categoria por categoria e dizendo de onde cada dado veio. Da mesma página você baixa um arquivo JSON com os mesmos registros: sua conta, os provedores de login conectados, quantos aparelhos estão logados, suas análises (identificador, status, datas), seus pagamentos e o histórico de status deles, e o histórico de consentimento de cookies. Nenhum dos dois inclui o texto das análises, que continua nas próprias páginas de análise — dá para salvar ou imprimir de lá —, nem os tokens de login e de sessão, que são credenciais.
• Eliminação da conta. Logado, você pede a exclusão. Ela não acontece nesse clique: enviamos ao e-mail da sua conta um link de confirmação, que vale uma vez só e expira em uma hora. É esse link que protege você se alguém estiver logado no seu lugar — e é assim que você fica sabendo, porque a mensagem chega mesmo quando o pedido não foi seu. Nada muda até você abri-lo. Quando abrir, de uma vez: suas análises são desvinculadas de você e o e-mail de entrega delas é apagado; nome, e-mail e foto são esvaziados; as sessões deixam de valer; e a conta é marcada como excluída. A remoção física da linha ocorre na rotina noturna 30 dias depois — janela que existe para reverter exclusão feita por engano e para cumprir obrigação de guarda de registros. Análises já criadas seguem o próprio prazo de 30 dias; excluir a conta não as apaga antes. Os registros de pagamento permanecem pelo prazo que a legislação fiscal exige, sem nada que aponte de volta para você.
• Revogação do consentimento de cookies. Use o link Cookie preferences no rodapé de qualquer página: ele reabre o banner com as suas escolhas atuais. Desligar analytics remove o script do Google da página e expira os cookies dele na hora; o que já tinha sido enviado antes disso permanece com o Google, sujeito à retenção deles. Cada mudança vira um novo registro, então o histórico mostra quando você consentiu e quando revogou.
• Qualquer pedido, inclusive sem conta. Escreva para [email protected]. Podemos precisar confirmar que você é o titular dos dados antes de atender.

Respondemos pedidos de titular em até 15 dias, na forma do art. 19, II. Você também pode reclamar à ANPD (art. 18, § 1º) ou à autoridade de proteção de dados do lugar onde mora.

Crianças e adolescentes (art. 14)

É preciso ter 18 anos ou mais para usar o Demystif. O serviço é destinado a maiores de 18 anos, e este é o mesmo critério dos Termos de Uso e da versão em inglês desta política: um critério só, nas quatro páginas legais.

O art. 14 da LGPD dá regra própria ao tratamento de dados de crianças e de adolescentes — criança é quem tem até 12 anos incompletos; adolescente, quem tem entre 12 e 18 —, e o tratamento de dados de criança depende de consentimento específico e em destaque de um dos pais ou do responsável legal. Nós não temos fluxo de consentimento parental, e não prometemos em texto um controle que o produto não executa: por isso o serviço não é oferecido a menores de 18. É o critério mais estrito disponível, e o único coerente com o material tratado aqui, que é dado sensível de saúde (art. 11).

Sendo exatos: não perguntamos nem verificamos a idade de ninguém. O parágrafo acima declara a quem o serviço se destina — não é uma checagem que rodamos. Não coletamos conscientemente dados de quem tem menos de 18 anos e, se soubermos que um menor de 18 usou o Demystif, eliminamos o que temos. Escreva para [email protected]; não é preciso ter conta.

O que esta regra não decide é de quem é o documento. Um adulto pode cuidar da papelada de outra pessoa — de um filho, do cônjuge, de quem está sob os seus cuidados — desde que esteja autorizado a tratar daquele documento, como dizem os Termos de Uso. A exigência de 18 anos é sobre quem usa o Demystif.

Segurança e incidentes

Tráfego criptografado em trânsito (TLS), acesso ao banco restrito à aplicação e ao operador, notificação de pagamento verificada por assinatura antes de liberar qualquer coisa e nenhum texto de documento em log. Nenhum sistema é perfeito: em caso de incidente de segurança com risco relevante aos titulares, comunicamos os afetados e a ANPD (art. 48), dizendo o que aconteceu, quais dados estavam envolvidos e o que você pode fazer a respeito. Encontrou uma falha? Avise em [email protected] antes de avisar qualquer outra pessoa.

Alterações desta política

Esta política tem número de versão, exibido no topo, e é essa versão que fica registrada junto com o seu consentimento de cookies. Quando mudarmos algo relevante, publicamos nova versão e voltamos a pedir consentimento onde é o consentimento que autoriza o tratamento.