Política de Privacidade

Resumo

Esta política é longa porque o assunto exige precisão. Se você tem trinta segundos, são estes os pontos:

• A CognCore é uma ferramenta de avaliação por competências usada por instituições de ensino e saúde. As contas são criadas pela instituição; não existe cadastro público.
• Não pedimos, não coletamos e não armazenamos dados identificáveis de pacientes. A avaliação é sobre o desempenho do residente, não sobre o caso clínico.
• Há dois fluxos de avaliação: o preceptor avalia o residente e o residente faz a própria autoavaliação. Os dois são identificados, e a autoavaliação também é lida pela coordenação. A seção 3 detalha.
• A geolocalização é opcional e só existe na avaliação feita pelo preceptor. Ela é lida uma única vez, no momento em que ele toca em “Enviar”, para registrar onde o ato observado foi avaliado. Recusar não impede o uso do aplicativo.
• Não há rastreamento contínuo de localização, não há coleta em segundo plano e não usamos localização para publicidade.
• Seu dado biométrico (Face ID, Touch ID, impressão digital) nunca sai do seu aparelho. O aplicativo recebe do sistema operacional apenas “autenticou” ou “não autenticou”.
• Nossa telemetria de produto não recebe seu nome, seu e-mail, o texto das suas respostas nem suas coordenadas.
• Não vendemos dados pessoais e não os usamos para publicidade ou perfilamento comercial.

1. Quem trata seus dados

Esta política é mantida por COGNCORE SOFTWARE LTDA., inscrita no CNPJ sob o nº 67.098.104/0001-51, com sede na Rua Bolívia, 148 — Quintino, Apartamento 502, Sala 2 — Timbó/SC — CEP 89092-024 — neste documento, “CognCore”.

Dois papéis diferentes, conforme o dado

A CognCore é um produto contratado por instituições (hospitais, faculdades, programas de residência). Essa estrutura muda quem responde pelo quê:

• Dados do processo avaliativo (avaliações, respostas, feedback, matrículas, vínculos, geolocalização do envio): a instituição contratante define por que e como avaliar. Ela atua como controladora; a CognCore trata esses dados como operadora, seguindo as instruções da instituição e o contrato firmado com ela.
• Dados da conta, de segurança, de suporte, de telemetria de produto e de quem visita este site: aqui as decisões são nossas — a CognCore atua como controladora.

Essa divisão é a mesma do contrato firmado com cada instituição. Na prática, ela decide o endereço do seu pedido: dado de avaliação se resolve com a instituição controladora (nós executamos), dado de conta e de segurança se resolve com a CognCore. A seção 11 explica como funciona quando você não sabe qual dos dois é o seu caso.

Encarregado pelo tratamento de dados pessoais (DPO)

Encarregado: Bernardo Couto. Contato para qualquer assunto de privacidade, inclusive exercício de direitos: support@cogncore.com.br. Endereço da sede, para correspondência: Rua Bolívia, 148 — Quintino, Apartamento 502, Sala 2 — Timbó/SC — CEP 89092-024.

2. O que esta política cobre

• Este site institucional (cogncore.com.br).
• A plataforma web da CognCore, usada por coordenação, supervisão e administração dos programas.
• O aplicativo CognCore para iOS e Android, usado por preceptores e residentes — incluindo as versões distribuídas em programa de testes (TestFlight e teste interno do Google Play).

Ela não cobre sistemas de terceiros que você acesse a partir dos nossos (por exemplo, o prontuário eletrônico da sua instituição), nem o tratamento que a sua instituição faça dos dados fora da CognCore.

3. De quem são os dados

• Preceptores e supervisores — quem realiza a avaliação à beira do leito.
• Residentes — quem é avaliado, quem registra ciência do feedback e quem preenche a própria autoavaliação.
• Coordenadores, membros de COREME e administradores — quem gerencia programas, turmas, períodos e relatórios.
• Equipe operacional da instituição e da CognCore — quem administra contas e presta suporte.
• Visitantes deste site — quem lê as páginas públicas ou usa o formulário de contato.

Quem avalia quem, hoje

São dois os fluxos de avaliação em operação, e eles tratam dados de forma diferente:

• Preceptor ou supervisor avalia o residente. É o fluxo principal, feito no aplicativo à beira do leito ou na plataforma web. A avaliação é identificada: o residente avaliado vê quem o avaliou e o que foi escrito.
• Residente faz a própria autoavaliação. Avaliador e avaliado são a mesma pessoa, e é o servidor que define isso — o aplicativo não consegue enviar uma autoavaliação em nome de outra pessoa. Vale uma autoavaliação por instrumento em cada período letivo, e ela não registra geolocalização (a seção 5 explica por quê). Ela é identificada e entra no relatório do residente, comparada com a avaliação feita pelos preceptores; a seção 7 diz quem vê.

A avaliação do preceptor ou do supervisor feita pelo residente não está disponível: não há instrumento publicado para ela e nenhuma avaliação desse tipo pode ser criada, no aplicativo ou na plataforma web. Se esse fluxo passar a existir, esta política dirá quem preenche, quem vê o resultado e em que forma — antes de ele entrar em operação, não depois. Não descrevemos aqui funcionalidade que ainda não está no ar, e não anunciamos garantia que o produto ainda não implementa.

Se a sua instituição publicar um instrumento em que o residente avalia o programa de residência, saiba de antemão: a resposta é identificada e fica visível à administração da instituição, como qualquer outro registro da plataforma. A CognCore não opera pesquisa anônima.

4. Quais dados tratamos, para quê e com qual base legal

Coletamos o mínimo necessário para que a avaliação seja rastreável e o acesso seja controlado. Abaixo, categoria por categoria.

O que NÃO coletamos

• Dados identificáveis de pacientes. Não existe campo para nome, prontuário, leito ou documento de paciente, e não solicitamos essa informação em nenhum momento.
• Seu dado biométrico. Ao ativar o desbloqueio por biometria, a leitura e a comparação acontecem inteiramente no sistema operacional do seu aparelho; o aplicativo recebe apenas o resultado (autenticou ou não). Nenhuma imagem, template ou impressão digital é transmitida ou armazenada por nós.
• Sua agenda, seus contatos, sua galeria, seu microfone ou sua câmera. O aplicativo não pede essas permissões.
• Identificadores de publicidade. A coleta de identificador de anúncio, de operadora e de endereço IP está explicitamente desativada na telemetria do aplicativo.
• Cookies de publicidade ou de rastreamento entre sites.

Campos de texto livre (feedback, pontos fortes, sugestões e comentários por item) devem descrever o desempenho do residente. Não escreva neles dados que identifiquem pacientes nem informações da vida privada ou de saúde de terceiros — a plataforma não tem como filtrar isso para você.

5. Geolocalização: exatamente como funciona

Esta seção é detalhada de propósito, porque localização é o dado mais sensível que o aplicativo pode tratar.

• Só existe na avaliação que o preceptor ou o supervisor faz sobre o residente. A finalidade é comprovar que a avaliação ocorreu no local do ato observado — finalidade que não existe em autoavaliação. Por isso o servidor descarta qualquer coordenada enviada junto com uma autoavaliação, e o campo é gravado vazio: a regra é aplicada no banco de dados, não depende da versão do aplicativo instalada no seu aparelho.
• É opcional. O pedido de permissão aparece uma única vez, depois de uma tela que explica para que serve. Se você recusar, não voltamos a pedir e nada no aplicativo deixa de funcionar — a avaliação é enviada normalmente, apenas sem a coordenada.
• A leitura é pontual. A posição é solicitada ao sistema no instante em que você toca em “Enviar”. Não há leitura periódica, não há histórico de trajeto e não há coleta enquanto o aplicativo está fechado ou em segundo plano.
• A permissão pedida é a de uso durante a utilização do aplicativo (“quando em uso”).
• Se a posição não vier em cinco segundos, o envio segue sem ela. GPS desligado, sinal indisponível ou permissão negada resultam no mesmo: o campo fica vazio e a avaliação não é bloqueada.
• Guardamos latitude, longitude, a precisão em metros informada pelo aparelho e a hora do aparelho na captura. A hora oficial da avaliação continua sendo a do servidor, não a do seu celular.
• Para que serve: evidenciar que a avaliação foi registrada no local e no momento do ato observado. É isso que sustenta a auditabilidade do registro.
• Você pode revogar a permissão a qualquer momento nas configurações do seu sistema operacional, sem falar com a gente. Avaliações já enviadas mantêm a coordenada que registraram — para removê-la, use os direitos da seção 11.

6. O que fica guardado no seu aparelho

O aplicativo é feito para funcionar sem sinal — no centro cirúrgico, no subsolo, no plantão noturno. Isso exige guardar dados localmente:

• Rascunhos de avaliação (as respostas que você já preencheu e o nome do residente avaliado) e a fila de envios aguardando conexão ficam no armazenamento local do aplicativo. Esse armazenamento não é criptografado pelo aplicativo: em um aparelho com acesso privilegiado indevido (root/jailbreak), ele pode ser lido. É por isso que recomendamos manter o bloqueio de tela do aparelho ativo.
• O último conteúdo carregado (listas de residentes, formulários, histórico) fica em cache local para que a tela abra sem espera.
• Sua sessão (os tokens de acesso) fica no cofre do sistema operacional — Keychain no iOS, Keystore no Android — nunca no armazenamento comum.

O que acontece quando você sai da conta

• Ao sair explicitamente (“Sair”), a sessão é encerrada e o cache de leitura é apagado do aparelho.
• Rascunhos e envios ainda na fila são preservados. Essa é uma decisão deliberada: uma avaliação já escrita não pode se perder porque a sessão caiu. Eles são apagados assim que outro usuário faz login no mesmo aparelho — nenhum preceptor vê o rascunho de outro.
• Se a sessão expirar sozinha, preservamos rascunhos, fila e cache para que você retome de onde parou ao entrar novamente.
• Desinstalar o aplicativo apaga todo o armazenamento local, inclusive rascunhos ainda não enviados.

7. Com quem compartilhamos

Não vendemos dados pessoais e não os cedemos para publicidade. Compartilhamos apenas o necessário, e apenas com:

A sua instituição

As avaliações e o portfólio ficam visíveis para os usuários autorizados da instituição a que você está vinculado — coordenação, supervisão e administração do programa, conforme o perfil de cada um. O acesso é restrito por organização: ninguém de outra instituição vê os seus dados.

Isso inclui a sua autoavaliação. Ela não é um registro privado: entra no seu relatório de desempenho ao lado da avaliação feita pelos preceptores, e esse relatório é aberto pela coordenação, pela administração da instituição e pelos preceptores que avaliam você. Escreva sabendo disso.

Operadores que sustentam o serviço

• Supabase — banco de dados e autenticação (armazena identificação, vínculos, avaliações, respostas e credenciais em forma de hash).
• Vercel — hospedagem da plataforma web e deste site.
• Amplitude — telemetria de produto (recebe os eventos descritos na seção 4, sem nome, e-mail, texto de resposta ou coordenada).
• Resend — envio de e-mails transacionais da plataforma (por exemplo, comunicações de conta).
• Expo / EAS — geração das versões do aplicativo e entrega de atualizações.
• Apple App Store e Google Play — distribuição do aplicativo, incluindo os programas de teste. Apple e Google tratam os dados da sua conta de loja segundo as políticas deles, às quais não temos acesso nem controle.

Esses fornecedores atuam como operadores, sob contrato, apenas para as finalidades desta política.

Autoridades

Quando houver obrigação legal, ordem judicial ou requisição de autoridade competente, e nos limites dela.

Transferência internacional

Parte da operação envolve tratamento fora do Brasil, o que caracteriza transferência internacional de dados nos termos do art. 33 da LGPD. Concretamente:

• As páginas deste site e da plataforma são entregues a você a partir da infraestrutura da Vercel na região de São Paulo, no Brasil.
• Os e-mails transacionais da plataforma são processados pela Resend em infraestrutura nos Estados Unidos (região us-east-1). O que trafega aí é o endereço de e-mail do destinatário e o conteúdo da própria mensagem de conta — nunca avaliações.
• A telemetria de produto é processada pela Amplitude, empresa dos Estados Unidos, no volume descrito na seção 4 — eventos pseudonimizados, sem nome, e-mail, texto de resposta ou coordenada.
• As demais fornecedoras — Supabase, Expo/EAS, Apple e Google — são empresas sediadas nos Estados Unidos. Mesmo quando os dados são armazenados em região determinada, o suporte e a administração desses serviços podem ser prestados de fora do Brasil.

Em todos esses casos a transferência se apoia no art. 33, II, “a”, da LGPD: cada fornecedor está vinculado por cláusulas contratuais específicas de proteção de dados (o acordo de tratamento de dados que integra o contrato de serviço), com obrigações de segurança, confidencialidade, subcontratação controlada e eliminação ao término. Onde o fornecedor disponibiliza as cláusulas-padrão contratuais aprovadas pela Autoridade Nacional de Proteção de Dados, adotamos essas cláusulas. Não contratamos fornecedor que não assuma essas obrigações por escrito.

Se você precisar saber, para um processo de contratação ou uma avaliação de risco, exatamente em que região está armazenado cada conjunto de dados da sua instituição, pedimos pelo contato da seção 15: respondemos com a informação atual do fornecedor, por escrito.

8. Por quanto tempo guardamos

O critério é este: dado de avaliação é evidência documental do processo formativo. Ele precisa sobreviver ao fim da residência, porque é exatamente aí que a instituição pode ser chamada a comprovar o que ensinou e o que avaliou.

• Dados do processo avaliativo (avaliações, respostas, feedback, ciência do residente e a geolocalização eventualmente registrada com cada envio): 10 anos contados do encerramento do programa de residência do avaliado. O prazo acompanha a prescrição decenal do art. 205 do Código Civil — é o horizonte em que a instituição, o preceptor ou o próprio residente ainda podem precisar do registro para sustentar ou contestar uma decisão. A instituição, como controladora, pode determinar prazo maior quando norma de guarda de documentação acadêmica a obrigar, ou pedir eliminação antes disso; nesse caso vale a instrução dela, formalizada no contrato.
• Dados de conta e vínculo: enquanto o acesso existir e por 12 meses após a sua revogação — margem para reingresso no programa, contestação de acesso e conclusão de pendências. Depois disso, o cadastro é eliminado. Permanece apenas a identificação mínima necessária para atribuir autoria às avaliações já registradas (nome e perfil do avaliador e do avaliado), que segue o prazo do item anterior: uma avaliação sem autor identificado deixa de ter valor documental.
• Registros de auditoria e de acesso administrativo (quem criou e alterou cada registro; e os acessos de suporte feitos no contexto de um usuário, com IP e navegador): 5 anos. É o prazo em que a CognCore pode ser chamada a prestar contas de um acesso — pela instituição, pelo titular ou pela ANPD — e é superior ao mínimo legal de 6 meses de guarda de registros de acesso a aplicações de internet (art. 15 do Marco Civil da Internet).
• Telemetria de produto: 24 meses contados de cada evento. Dois anos cobrem a comparação entre duas turmas de residência, que é o horizonte útil para decidir o que corrigir no produto. Encerrado o prazo, restam apenas números agregados que não se referem a pessoa identificável.
• Mensagens de contato comercial: 24 meses contados do seu último contato conosco, prazo compatível com o ciclo de decisão e orçamento de uma instituição. Se você pedir antes, apagamos na hora.
• Dados guardados no seu aparelho (rascunhos, fila de envio e cache): ficam sob o seu controle, conforme a seção 6 — o cache é apagado quando você sai da conta, e desinstalar o aplicativo apaga tudo.

Encerrado o prazo aplicável, os dados são eliminados ou anonimizados, ressalvadas as hipóteses de guarda permitidas pelo art. 16 da LGPD — cumprimento de obrigação legal, estudo por órgão de pesquisa com anonimização, transferência a terceiro com observância da lei e uso exclusivo do controlador, também anonimizado.

Ao término do contrato com uma instituição, os dados do processo avaliativo dela são devolvidos em formato estruturado e eliminados dos nossos sistemas, conforme a instrução que ela nos der. Enquanto essa instrução não vier, mantemos os dados bloqueados — sem uso para qualquer outra finalidade.

9. Como protegemos

• Autorização no banco de dados. O isolamento entre instituições não depende de a interface “esconder” informação: as regras de acesso são aplicadas na própria base (Row Level Security), por vínculo e por perfil.
• Tráfego criptografado. Toda comunicação entre aplicativo, plataforma e servidores usa HTTPS/TLS.
• Sessão no cofre do sistema. No aplicativo, os tokens ficam no Keychain (iOS) ou Keystore (Android), não no armazenamento comum.
• Senhas nunca em texto claro. A autenticação armazena apenas hash.
• Menor privilégio. Chaves administrativas existem somente no servidor e nunca são embarcadas no aplicativo.
• Telemetria sem PII. O catálogo de eventos é fechado e verificado na compilação: um evento não consegue carregar nome, e-mail, texto de resposta ou coordenada.
• Cortina de privacidade no aplicativo. Quando o aplicativo sai de primeiro plano, uma tela opaca cobre o conteúdo antes de o sistema capturar a miniatura — uma avaliação aberta não aparece no alternador de aplicativos.
• Acesso de suporte auditado. Quando a nossa equipe precisa acessar a plataforma no contexto de um usuário, isso fica registrado com autor, alvo, horários, IP e navegador.
• Envio idempotente e datado pelo servidor. O reenvio de uma avaliação que ficou na fila não duplica o registro, e a hora oficial é a do servidor.

Nenhuma medida técnica elimina risco. Um aparelho perdido sem bloqueio de tela, uma senha compartilhada ou um computador comprometido continuam sendo o caminho mais curto para um incidente. Se você suspeitar de acesso indevido à sua conta, escreva imediatamente para o contato da seção 15.

10. Dado pessoal sensível

A avaliação de desempenho de um residente não é, em si, dado pessoal sensível na definição da LGPD (art. 5º, II). Ainda assim, tratamos o assunto com cuidado por duas razões concretas:

• Campos de texto livre podem, involuntariamente, receber informação de saúde — do residente (um afastamento, uma limitação) ou de terceiros. Por isso orientamos expressamente contra esse uso e restringimos o acesso a essas informações aos usuários autorizados da instituição.
• Se a instituição contratante decidir usar a plataforma para registro que envolva dado de saúde, o tratamento passa a exigir uma das hipóteses do art. 11 da LGPD, sob responsabilidade dela como controladora.

Hoje nenhum fluxo do produto trata dado pessoal sensível de forma estruturada, e por isso nenhuma hipótese do art. 11 da LGPD é invocada nesta política. Se isso mudar, a nova finalidade, a base legal do art. 11 correspondente e as salvaguardas serão publicadas aqui e comunicadas antes de o fluxo entrar em operação — não depois.

11. Seus direitos e como exercê-los

A LGPD garante a você, a qualquer momento e sem custo:

• Confirmação de que tratamos dados seus e acesso a eles.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
• Portabilidade a outro fornecedor, nos termos da regulamentação.
• Eliminação dos dados tratados com base no seu consentimento, ressalvadas as hipóteses de guarda do art. 16.
• Informação sobre com quem compartilhamos seus dados.
• Informação sobre a possibilidade de não consentir e as consequências disso.
• Revogação do consentimento — no caso da geolocalização, diretamente nas configurações do seu aparelho.
• Oposição a tratamento feito com base em legítimo interesse.

Para exercer qualquer um deles, escreva para support@cogncore.com.br identificando o pedido. Responderemos nos prazos da LGPD — em até 15 dias para o pedido de acesso completo (art. 19, II). Podemos pedir informações adicionais para confirmar sua identidade antes de atender: é uma proteção contra pedidos feitos por terceiros em seu nome.

Um limite importante: quando o dado pertence ao processo avaliativo da sua instituição, ela é a controladora e a decisão sobre correção ou eliminação é dela. Nesses casos, encaminhamos o seu pedido à instituição e acompanhamos o atendimento, informando você.

Você também pode peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD), nos termos do art. 18, §1º, da LGPD.

12. Crianças e adolescentes

A CognCore é uma ferramenta de uso profissional em programas de residência médica. Os usuários são médicos, docentes e gestores, e o acesso só existe por conta criada pela instituição contratante. Não oferecemos cadastro público e não direcionamos o produto a crianças ou adolescentes, nem coletamos dados deles de forma consciente. Se identificarmos coleta indevida, eliminaremos o dado.

13. Cookies e armazenamento no navegador

Neste site

Não usamos cookies de publicidade nem rastreamento entre sites. Usamos uma ferramenta de análise de audiência (Amplitude) que guarda no seu navegador um identificador anônimo para não contar a mesma visita duas vezes. A coleta de endereço IP está desativada e a captura automática de interações com elementos da página está desligada.

Não exibimos banner de consentimento porque a configuração atual não coleta nada que dependa dele: nenhum cookie de publicidade, nenhum endereço IP, nenhum cruzamento com outros sites. Se algum dia habilitarmos coleta adicional de audiência, a escolha granular será oferecida antes dessa coleta começar.

Na plataforma

A plataforma usa cookies estritamente necessários para manter você autenticado e para proteger a sessão. Sem eles, não é possível fazer login.

No aplicativo

O aplicativo não usa cookies. O que ele guarda localmente está descrito na seção 6.

14. Alterações desta política

Podemos atualizar este documento para refletir mudanças no produto, na legislação ou nos nossos fornecedores. A data de vigência e o número de versão no topo da página indicam sempre a edição atual. Quando a mudança for relevante — nova finalidade, nova categoria de dado, novo operador —, avisaremos pelos canais da plataforma ou por e-mail antes de ela passar a valer.

15. Contato

Dúvidas, pedidos de titular, suspeitas de incidente: support@cogncore.com.br. Encarregado pelo tratamento de dados pessoais: Bernardo Couto.

COGNCORE SOFTWARE LTDA. — CNPJ 67.098.104/0001-51 — Rua Bolívia, 148 — Quintino, Apartamento 502, Sala 2 — Timbó/SC — CEP 89092-024.