Política de privacidade

Esta política descreve como o SimulaPacientes, da Escola de Pacientes (Universidade de Brasília), trata informações durante o uso do site e dos aplicativos. O projeto é coordenado por Estêvão Cubas Rolim, com contato em escoladepacientes@gmail.com.

1. Os marcos que orientam esta política

O SimulaPacientes põe estudantes de medicina para conversar com um paciente simulado por inteligência artificial. Por isso esta política se apoia em cinco referências, cada uma cobrindo um lado do problema:

• Lei Geral de Proteção de Dados (Lei nº 13.709/2018), art. 6º — a lei brasileira que rege o tratamento de dados pessoais, e — com a Resolução CNS nº 510/2016, abaixo — uma das duas normas que obrigam o projeto. Os dez princípios do artigo estão na seção 10.
• Os sete princípios fundamentais do Privacy by Design — a ideia de que a privacidade se constrói no desenho do sistema, e não se acrescenta depois. Ver a seção 11.
• A orientação da Organização Mundial da Saúde sobre modelos multimodais de grande porte — ética e governança de IA generativa em saúde, incluindo a educação médica. Ver a seção 9.
• O Regulamento Europeu de Inteligência Artificial (Regulamento (UE) 2024/1689) — o SimulaPacientes opera no Brasil e não está sujeito a ele, mas adota como referência as exigências de transparência e de supervisão humana. Ver a seção 9.
• A Resolução CNS nº 510/2016 — a norma de ética em pesquisa com seres humanos nas ciências humanas e sociais, que inclui a pesquisa em educação. Ela separa o que é atividade de ensino do que é pesquisa, e define quando a pesquisa não precisa passar pelo sistema CEP/CONEP. Ver a seção 4.

2. Finalidade do aplicativo

O SimulaPacientes oferece consultas clínicas simuladas para ensino. Ele não presta atendimento médico, não substitui avaliação profissional e não deve ser usado para diagnóstico ou tratamento de pessoas reais. Os pacientes são fictícios.

3. Informações processadas durante a consulta

A identificação não é obrigatória: dá para usar o aplicativo inteiro sem conta, e ele não solicita nome, matrícula ou documento. As perguntas digitadas e as respostas da simulação são processadas temporariamente pelos servidores do SimulaPacientes e pelo provedor de inteligência artificial selecionado — no uso pela turma, Google Gemini ou OpenAI (ChatGPT) — para gerar a fala do paciente digital e o feedback educacional.

A transcrição integral da conversa não é gravada no banco de pesquisa do SimulaPacientes, e as conversas não são usadas pelo projeto para treinar modelos de IA. Mesmo assim, não insira nomes, documentos, prontuários ou outras informações de pacientes reais.

Para conter abuso, o endereço de rede de cada requisição é usado momentaneamente para limitar o número de chamadas às rotas que usam IA. Essa contagem é feita em janelas de um minuto, vive apenas na memória do servidor e não é gravada em banco.

4. Métricas: o que é ensino e o que é pesquisa

Quando a coleta institucional estiver habilitada, poderão ser registrados: identificador aleatório da sessão, caso e área clínica, turma, momento antes ou depois da aula, provedor e modelo de IA, quantidade de turnos, duração, percentuais do feedback e resultado de cada item da rubrica. Esses registros não contêm nome, e-mail, matrícula, endereço IP nem a transcrição da consulta. O e-mail aparece apenas em quem opta por criar conta, e está descrito na seção 5.

O código de acesso identifica a unidade pedagógica — uma turma, um grupo ou uma dupla —, e não a pessoa. Em unidades pequenas, porém, o educador autorizado consegue saber de quem é o resultado: esses dados são pseudonimizados, e não anônimos. Por isso o painel que os exibe é restrito à equipe da Escola, verificado no servidor, e nada dele é publicado.

O que a Escola publica sobre as simulações é sempre agregado e protegido: recortes com menos de dez simulações não são divulgados, nem o número de simulações que os compõe, e quando esconder um recorte permitiria deduzi-lo por subtração, um segundo é escondido junto. Nenhum código de turma, grupo ou dupla atravessa essa fronteira.

Esses registros servem a duas finalidades, e elas são tratadas de formas diferentes, como pede a Resolução CNS nº 510/2016:

• Ensino. O acompanhamento pedagógico por turma, grupo ou dupla, no painel restrito da equipe, é atividade de ensino. É nele que os dados pseudonimizados descritos acima são usados, e só para isso. O acesso a ele é separado do acesso da pesquisa: quem entra por um não vê o outro.
• Pesquisa. Estudos sobre o SimulaPacientes usam apenas uma base agregada, sem possibilidade de identificação individual — a hipótese em que a Resolução CNS nº 510/2016 dispensa a apreciação pelo sistema CEP/CONEP (art. 1º, parágrafo único, inciso V). Essa base não tem linha por consulta, código ou nome de turma, instituição, identificador de sessão ou de conta, dia nem hora: só totais e percentuais por competência, caso, momento (antes ou depois da aula), IA e categoria profissional, por mês. Recortes com menos de dez consultas são suprimidos, com supressão complementar, e consultas feitas com código individual, ou com dupla ou grupo que não pertença a uma turma, ficam de fora.

Pela LGPD, dado anonimizado não é dado pessoal (art. 12), e a pesquisa por órgão de pesquisa deve anonimizar sempre que possível (arts. 7º, IV, e 11, II, c). A base de pesquisa é esse dado anonimizado; os registros do painel são dado pseudonimizado (no sentido do art. 13, §4º) e, como só o anonimizado deixa de ser dado pessoal, são tratados como dado pessoal. Os resultados da pesquisa são publicados apenas de forma agregada.

5. A conta do estudante (opcional)

O SimulaPacientes permite entrar com uma conta Google, e isso é opcional: sem conta o site funciona inteiro — a consulta, o feedback e o envio por e-mail são os mesmos. A conta serve a uma coisa: ver o histórico das próprias consultas e a evolução ao longo delas.

Ao entrar, ficam guardados o identificador da conta e o endereço de e-mail. Não pedimos nem guardamos nome, foto ou qualquer outro dado do perfil do Google — o pedido de acesso é limitado ao identificador e ao e-mail.

Ligadas a essa conta ficam as consultas conduzidas enquanto você estiver identificado: caso, data, percentuais do feedback, o resultado de cada item da rubrica e o texto do feedback narrativo. Consultas feitas sem estar identificado não são vinculadas depois.

O que não muda: os registros descritos na seção 4 continuam existindo separadamente, sem ligação com a sua conta. Entrar altera o que você vê, e não o que é registrado para fins educacionais e de pesquisa.

Para levar os seus dados, use o botão “Baixar meus dados” na sua área, que gera um arquivo com a conta e todas as consultas do seu histórico.

Para apagar a conta, use a página apagar sua conta — ela pede que você confirme sua identidade e apaga na hora, sem intermediários. Se preferir, escreva para escoladepacientes@gmail.com a partir do e-mail da conta. A exclusão remove o perfil, o histórico e o feedback narrativo associados a você. Os registros da seção 4 permanecem, porque nunca estiveram ligados à sua identidade.

6. Envio do feedback por e-mail

O envio é opcional. Quando solicitado, o endereço informado e o feedback completo — que pode conter pequenos trechos usados como evidência — são transmitidos ao serviço Resend para entrega. O endereço não é salvo no banco de pesquisa nem no armazenamento do navegador. O provedor de e-mail mantém os registros técnicos necessários à entrega.

Conforme a configuração institucional informada na própria tela de envio, uma cópia pode ser encaminhada à coordenação da Escola de Pacientes para acompanhamento pedagógico e operacional.

7. Relatos sobre respostas da IA

Cada resposta do paciente digital oferece a opção Relatar resposta inadequada. Quando o usuário envia um relato, somente a resposta marcada, o motivo, o comentário opcional, o caso e o provedor são encaminhados à Escola de Pacientes. A pergunta do estudante e o restante da conversa não acompanham o relato.

8. Voz, armazenamento local e cookies

Se o usuário ativar o ditado, o reconhecimento de voz é realizado pelo navegador ou pelo sistema operacional e pode enviar o áudio ao respectivo fornecedor. O SimulaPacientes recebe apenas o texto reconhecido depois que o usuário decide enviá-lo.

O navegador pode guardar preferências de tema, provedor, voz e código de turma. No modo de chave própria, a chave de API só é guardada no dispositivo quando o usuário escolhe a opção de lembrá-la. Ela é transmitida ao servidor apenas para executar a solicitação e não é registrada no banco do projeto. A área administrativa e a conta usam cookies de sessão seguros e restritos. Não há cookies de publicidade nem de rastreamento entre sites.

9. Inteligência artificial: transparência e limites

Esta seção segue a orientação da OMS sobre modelos multimodais de grande porte e, como referência, as exigências de transparência e supervisão humana do Regulamento Europeu de IA.

• Você sabe que está falando com uma IA. O paciente é simulado por um modelo de linguagem, e a tela mostra qual — pelo nome real, porque comparar modelos é parte do objetivo do projeto.
• A IA pode errar. Modelos de linguagem produzem, às vezes, informação incorreta ou inventada, com a mesma segurança da informação correta. O paciente digital é material de treino, e não fonte de conduta clínica.
• Quem define o que é avaliado são pessoas. A rubrica de cada caso é escrita a partir de protocolos de instituições brasileiras, e um caso só é publicado depois que a coordenação clínica o lê e o valida. A IA aplica a rubrica; ela não a escreve. Trocar de IA muda quem avalia, e não o que é avaliado.
• O feedback é formativo. Ele é apoio à reflexão, mostra ao lado de cada item o trecho da conversa que o sustenta, e não é nota final. Nenhuma decisão sobre o estudante é tomada de forma automatizada pelo SimulaPacientes. Se uma instituição usar os resultados em avaliação, recomendamos revisão humana — e a LGPD (art. 20) garante o direito de pedir revisão de decisões tomadas unicamente por tratamento automatizado.
• Contra a confiança automática. A OMS alerta para o viés de automação: a tendência de aceitar o que a máquina diz sem conferir. Confronte o feedback com a evidência mostrada, com a literatura e com o seu preceptor.
• Há um canal para o que der errado. Resposta inadequada, ofensiva ou clinicamente perigosa pode ser relatada na própria consulta (seção 7), e os relatos são lidos pela equipe.
• O que o sistema não faz. Não reconhece emoções, não usa dados biométricos, não monta perfil do estudante para terceiros e não usa as conversas para treinar modelos.

10. Os princípios da LGPD, um a um

O art. 6º da LGPD pede que todo tratamento de dados observe a boa-fé e dez princípios. Eis como cada um se cumpre aqui:

• Finalidade: os dados servem ao ensino por simulação, à melhoria do recurso e à pesquisa educacional agregada. Nenhum é vendido, usado para publicidade ou para montar perfil comercial.
• Adequação: o que se registra — caso, turnos, duração, resultado de cada item da rubrica — é exatamente o que se precisa para saber onde a turma tem dificuldade.
• Necessidade: não existe no banco de métricas coluna para nome, e-mail, matrícula, endereço IP ou transcrição. O dado que não é pedido não pode vazar.
• Livre acesso: quem tem conta vê o próprio histórico e baixa tudo o que está ligado a ela num arquivo, sem precisar pedir.
• Qualidade dos dados: a nota é calculada e gravada no servidor, e nunca aceita do navegador — o registro reflete a consulta que aconteceu.
• Transparência: esta página, com os fornecedores nomeados, e a IA de cada consulta exibida pelo nome real (Gemini, ChatGPT, e assim por diante).
• Segurança: chaves de acesso ficam só no servidor, o banco nega leitura por chave pública, a área administrativa usa cookie de sessão seguro e restrito, e as rotas que chamam IA têm limite de uso.
• Prevenção: o risco é tratado antes de existir: o sistema foi desenhado para não receber dados de pacientes reais, e a tela pede que eles não sejam digitados.
• Não discriminação: todos os estudantes são avaliados pela mesma rubrica, qualquer que seja a IA escolhida, e os dados não são usados para classificar ou excluir pessoas.
• Responsabilização e prestação de contas: as regras de proteção são verificadas automaticamente a cada mudança no código, e o que se publica sobre as simulações passa pelas travas de agregação descritas na seção 4.

11. Os sete princípios do Privacy by Design

• Proativo, e não reativo; preventivo, e não corretivo: a anonimização foi decidida antes da primeira linha gravada: ela é ausência de campo no banco, e não uma promessa de não olhar.
• Privacidade como configuração padrão: sem fazer nada, você usa o site inteiro sem conta e sem se identificar. Conta, envio por e-mail, ditado por voz e lembrar a chave de API são opções que só existem se você as ligar.
• Privacidade incorporada ao projeto: a transcrição da conversa não é gravada, a rubrica fica no servidor e o registro de pesquisa não tem ligação com a conta. Não são configurações que alguém possa esquecer de ligar: é como o sistema é montado.
• Funcionalidade total — soma positiva, e não soma zero: proteger não custou função. Sem conta, a consulta, o feedback e o envio por e-mail são os mesmos; a conta acrescenta só o histórico.
• Segurança de ponta a ponta, em todo o ciclo de vida: da conexão cifrada ao apagamento: a conta pode ser excluída pela própria pessoa, na hora, e a exclusão leva o perfil, o histórico e o feedback narrativo.
• Visibilidade e transparência: o que é tratado, por quem e onde está escrito aqui, com os fornecedores nomeados. O que se publica sobre as simulações é sempre agregado.
• Respeito pela privacidade do usuário: você decide o que acontece com o que é seu: baixar os dados, apagar a conta, ou simplesmente não criá-la.

12. Infraestrutura, fornecedores e transferência internacional

O serviço utiliza Vercel para hospedagem, Supabase para o banco de métricas e das contas, Google para o login, Google e OpenAI para as respostas de IA no uso pela turma e Resend para e-mail. No modo de chave própria, a conversa vai ao provedor que o próprio usuário escolheu e configurou, sob os termos da conta dele. Atenção: alguns provedores gratuitos, como os modelos grátis do OpenRouter, exigem que a conta autorize o uso dos dados para treinamento. O SimulaPacientes não treina modelos, mas não controla o que o provedor escolhido pelo usuário faz sob os próprios termos.

Esses fornecedores podem processar dados técnicos de rede e segurança conforme seus próprios termos, inclusive fora do Brasil. Por isso há transferência internacional de dados, e ela se limita ao necessário para o serviço funcionar.

13. Segurança e conservação

O projeto limita os dados coletados, não grava a conversa integral e protege credenciais no servidor. Registros anonimizados são conservados pelo período necessário às finalidades educacionais, operacionais e de pesquisa aplicáveis. Os dados da conta são conservados enquanto ela existir. Relatos e registros de entrega de e-mail são mantidos somente pelo tempo necessário à apuração e ao funcionamento do serviço.

14. Seus direitos e como exercê-los

A LGPD (art. 18) garante a quem tem dados tratados, entre outros, os direitos de confirmar que o tratamento existe, acessar os dados, corrigi-los, pedir a eliminação, levá-los consigo (portabilidade), saber com quem foram compartilhados e se opor ao tratamento.

Para dúvidas, correções, oposição ao tratamento ou solicitação relacionada a dados pessoais, escreva para escoladepacientes@gmail.com. Para quem tem conta, é possível localizar, exportar e apagar os dados ligados a ela sem precisar escrever — ver a seção 5. Já os registros da seção 4 não identificam o estudante, e por isso pode não ser tecnicamente possível localizar um deles em específico.

Se a resposta não resolver, você também pode recorrer à Autoridade Nacional de Proteção de Dados (ANPD).

15. Público e alterações

O aplicativo é destinado principalmente a estudantes e profissionais de saúde e não é direcionado a crianças. Esta política poderá ser atualizada quando o funcionamento ou os fornecedores mudarem; a data da versão vigente ficará indicada no início da página.

16. Referências

1. Brasil. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD), art. 6º.
2. Cavoukian A. Privacy by Design: The 7 Foundational Principles. Information and Privacy Commissioner of Ontario; 2009.
3. World Health Organization. Ethics and governance of artificial intelligence for health: guidance on large multi-modal models. Geneva: WHO; 2024.
4. Brasil. Conselho Nacional de Saúde. Resolução nº 510, de 7 de abril de 2016. Normas aplicáveis a pesquisas em Ciências Humanas e Sociais.
5. União Europeia. Regulamento (UE) 2024/1689 do Parlamento Europeu e do Conselho, de 13 de junho de 2024 (Regulamento da Inteligência Artificial).

← Voltar ao SimulaPacientes