Política de Privacidade

Velune é o nome do aplicativo. O fornecedor do aplicativo e responsável legal é RODRIGO BACILA BORGES DA SILVA CONSULTORIA EM TECNOLOGIA DA INFORMAÇÃO, CNPJ 45.517.169/0001-51, sediado em Curitiba, Paraná, Brasil ("responsável pelo Velune", "nós"). Esta política explica quais informações coletamos, como as utilizamos e quais são os seus direitos. Ao criar uma conta, você declara ter recebido e compreendido este aviso; a aceitação dos Termos de Uso é tratada separadamente.

1. Dados que coletamos

Dados de conta: nome, endereço de e-mail, identificador da conta e método de autenticação. Se você usar e-mail e senha, a senha é gerenciada pelo Google Firebase Authentication e não fica acessível a nós. Se usar o login Google, recebemos os dados básicos de identidade autorizados pelo Google, como nome, e-mail e identificador da conta. No iPhone, se usar “Iniciar sessão com a Apple”, recebemos o identificador, nome e e-mail que você autorizar; a Apple pode fornecer um endereço privado de retransmissão em vez do seu e-mail pessoal.
Dados profissionais: número de registro CRMV e UF e, quando informado, registro no MAPA/SIPEAGRO, além das configurações profissionais que você definir. Você pode, opcionalmente, informar um telefone de contato profissional e um nome de usuário do Instagram; esses dados são usados exclusivamente para exibição no seu perfil e nos cabeçalhos dos documentos PDF que você mesmo gera e compartilha, e podem ser removidos por você a qualquer momento na tela de perfil. Quando você confirma ou altera nome, CRMV ou UF, conservamos também a sua declaração de que esses dados são seus, verdadeiros e atuais, com horário do servidor, idioma, versão do aplicativo e versões legais vigentes. Essa declaração registra o que você informou; ela não significa validação do CRMV pelo Conselho.
Registros clínicos que você insere: dados de pacientes (animais), inclusive peso opcional informado diretamente em registros de cirurgia e odontologia, procedimentos, odontograma, anotações, prescrições/receituários e os valores e informações financeiras dos procedimentos que você registrar, inclusive fechamentos de cobrança, descontos e pagamentos parciais ou totais. Nos agendamentos, isso também inclui nomes de profissionais beneficiários, valores de repasses e seus estados e datas de pagamento. Isso inclui especialidades, modelos, itens de catálogo e preços padrão ou específicos por cliente/estabelecimento que você configurar, a cópia do modelo aplicada a cada prontuário, respostas, resultados de fórmulas e anexos enviados aos campos personalizados.
Tutores, contatos e endereços: nomes, telefones e endereços de tutores (responsáveis) e dados de locais/estabelecimentos que você optar por registrar. Se você usar "Importar dos Contatos", o nome, o telefone e, no cadastro de profissional, o e-mail são usados para preencher o formulário. No Android, o seletor de contatos do aparelho compartilha somente os dados que você selecionar, sem permissão para ler a agenda inteira. Nas versões anteriores ao Android 17, telefone e e-mail são selecionados separadamente. No iOS, o aplicativo solicita sua permissão para ler os contatos e apresentar uma lista local de seleção. A sua agenda de contatos não é enviada nem armazenada em nossos servidores. Os campos que você confirmar e salvar passam a integrar o cadastro e seguem os mesmos prazos de retenção e exclusão desse registro.
Busca de endereço/local: ao buscar um endereço ou estabelecimento, o texto digitado é enviado à API do Google Places para retornar sugestões; armazenamos apenas o endereço/local que você selecionar.
Sua lista de medicamentos: os medicamentos que você digita em prescrições são salvos na sua conta, com a frequência de uso por tipo de procedimento, para exibir atalhos do seu próprio histórico. Esses atalhos agilizam a digitação. Você sempre revisa e confirma; o Velune não decide dose nem conduta clínica.
Fotos, imagens e anexos: fotos de perfil e de pacientes (incluindo imagens radiográficas que você enviar) e as imagens de identidade visual que você optar por enviar (logotipo e marca d'água usados nos seus PDFs), além dos arquivos que você anexar a campos de prontuários, armazenados no Google Firebase Storage.
Foto temporária de monitor anestésico: quando você aciona a leitura assistida, a foto é reduzida e reenquadrada no aparelho, sem metadados EXIF, e enviada pelo backend protegido à OpenAI para gerar um rascunho de valores. O Velune não salva essa foto no aparelho, prontuário, outbox, Storage, logs ou analytics.
Dados locais e de sincronização: uma cópia dos registros já baixados, preferências, alterações pendentes e identificadores técnicos fica armazenada no dispositivo para permitir o funcionamento offline e a sincronização posterior. A busca geral mantém somente no aparelho um índice textual dos dados já disponíveis e até oito consultas recentes por 30 dias; essas consultas não são sincronizadas nem enviadas a logs, Sentry ou analytics. Para recuperar alterações após atualizações, a fila também conserva sua versão e conteúdo originais até o envio, descarte explícito ou limpeza da conta no aparelho. A política pública de compatibilidade tem validade de até 24 horas em cache, sem vínculo com sua conta. Pedidos clínicos compartilhados que você prepara também ficam no armazenamento privado do aparelho até a confirmação e atualização local concluídas, ou a limpeza dos dados locais da conta. Podem ser retomados em Sincronização e integram sua exportação de dados. Isso não amplia o cache de 24 horas de leitura de pacientes recebidos.
Recibos técnicos de sincronização: identificadores de operações e registros, revisão e data da gravação concluída, sem o conteúdo dos registros, são mantidos enquanto sua conta existir para impedir duplicações e a repetição de operações antigas. Integram a exportação e são removidos na exclusão da conta. Nas contribuições e correções compartilhadas, novos recibos também guardam um hash do pedido, vinculado à conta, para detectar tentativas com conteúdo diferente. Esse hash não é uma cópia do prontuário nem é tratado como dado anônimo; segue a mesma retenção e os mesmos caminhos de exportação e exclusão.
Sessões em aparelhos: para limitar cada conta a uma instalação ativa no aplicativo oficial, mantemos no servidor apenas o hash do identificador aleatório da instalação, plataforma, modelo técnico, versões do sistema e aplicativo, horários de início/última atividade e situação da sessão. O identificador bruto fica protegido no armazenamento seguro do aparelho; não coletamos o nome personalizado do dispositivo, localização ou conteúdo clínico nesse fluxo.
Dados de diagnóstico e segurança: relatórios de falhas e erros (via Sentry), modelo do dispositivo, sistema operacional, versões, códigos de erro, desempenho, eventos técnicos, e metadados operacionais estritamente necessários. O Sentry não recebe o conteúdo das alterações pendentes; falhas de sincronização incluem um identificador técnico da tentativa, a etapa e o motivo codificado para permitir a investigação junto aos logs protegidos do Firebase. O Sentry não recebe UID, usuário, e-mail, telefone, conteúdo clínico, áudio, transcrição, requisição, token ou caminho local; um filtro defensivo remove também extras não autorizados antes do envio. Também usamos o Firebase App Check/Play Integrity para receber sinais de integridade do aplicativo e do dispositivo e combater abuso.
Registros mínimos de acesso: após login verificado, abertura a frio e retorno depois de mais de 30 minutos, registramos horário do servidor, UID, IP público, user-agent, plataforma, versão/build e ID de requisição. Não registramos navegação nem conteúdo clínico. A porta de origem só será registrada se a plataforma disponibilizar um valor confiável; atualmente ela é marcada como indisponível.
Histórico de alterações clínicas: para registros salvos de atendimentos, detalhes clínicos, prescrições e histórico do paciente, conservamos a versão anterior e posterior, hashes, campos alterados, autor técnico e horário do servidor. Rascunhos locais e mudanças exclusivas de sincronização não entram nesse histórico.
Dados da assinatura do plano: o status e a variante do seu plano (Gratuito, Essential, Celestial ou Aurora, com ou sem Assistente Velune), o identificador associado, as capacidades liberadas, se o período atual é gratuito ou pago, as datas desse período e, quando a loja agenda uma mudança, a variante e o período de destino e as datas do evento e da efetivação; no Celestial, também o módulo escolhido ou agendado para a próxima renovação. A projeção inclui a data de carência de cobrança, o limite fixo de continuidade de acesso por 24 horas após o término pago e, quando aplicável, a data e o motivo técnico de estorno ou transferência. Esses dados são geridos pela RevenueCat, pela loja do seu aparelho e por uma projeção de acesso no Velune. O pagamento é processado pela App Store, no iPhone, ou pelo Google Play, no Android. Não temos acesso nem armazenamos os dados do seu cartão ou meio de pagamento. Ao comprar ou restaurar com a mesma conta da loja, a RevenueCat pode reassociar a assinatura ao identificador da conta Velune atualmente autenticada. O Velune altera somente a projeção de acesso pago; prontuários e dados clínicos das contas não são movidos nem combinados.
Dados da assinatura digital: quando você usa a assinatura A1 e-CPF, o servidor recebe o certificado público completo, inclusive provedor, nome legal, emissor, número de série, validade e fingerprint. Conforme os campos inseridos pela autoridade certificadora, esse certificado público pode conter CPF, data de nascimento e outros atributos de identificação. Também tratamos o estado do processo, digest, assinatura bruta temporária, PDF final assinado, situação da emissão e motivo opcional privado de cancelamento. O arquivo PFX/P12, a chave privada e a senha ou PIN permanecem protegidos no aparelho e não são enviados ao servidor.
Preferências: idioma e moeda, para personalizar a sua experiência. A coleção de conquistas deriva marcos dos cadastros, do preenchimento do perfil profissional e atendimentos, incluindo marcos de módulos especializados, documentação por modalidade, continuidade em dias distintos, colaboração clínica em compartilhamentos aceitos, assinaturas digitais concluídas e planos pagos existentes. Marcos financeiros anteriores permanecem como histórico técnico, sem exibição ou novas concessões. Guardamos no perfil os identificadores das conquistas, datas de reconhecimento, avisos já apresentados e escolhas de moldura, contagens e estado da apuração, até três medalhas para sua vitrine privada e a preferência de incluí-las nos relatórios. Esses dados acompanham sua conta, sua exportação e sua exclusão. Marcos históricos permanecem enquanto a conta existir, mesmo após excluir registros de origem, sem guardar identidades dos pacientes no perfil da coleção. Para apurar as contagens, o servidor mantém indicadores por paciente de origem e autor, sem copiar textos clínicos, além do estado de processamento. Essas projeções são exportáveis pelo proprietário, removidas ao excluir o paciente ou a conta e recalculadas em alterações e revogações de compartilhamento. Não usamos IA nem avaliamos a qualidade clínica para conceder medalhas. Apenas medalhas clínicas elegíveis da vitrine aparecem nos relatórios se você escolher incluí-las; cópias exportadas ficam sob controle dos destinatários.
Feedback voluntário: categoria, mensagem, versão e build do aplicativo, plataforma, idioma e ambiente técnico. Por padrão, o painel administrativo também mostra o nome e o e-mail da conta. Se você marcar a opção de ocultar a identidade, esses dados não são armazenados no feedback nem exibidos no painel, mas o UID permanece temporariamente vinculado para segurança, prevenção de abuso, exportação e exclusão. Não envie dados de pacientes, tutores, conteúdo clínico ou outras informações confidenciais por esse formulário.
Mensagens de suporte: se você escrever para o nosso canal de suporte, recebemos o seu endereço de e-mail, o conteúdo da mensagem e os anexos que você decidir enviar. Usamos esses dados apenas para analisar a solicitação e, quando cabível, responder, e os mantemos por até 24 meses após o encerramento do atendimento. Não envie dados de pacientes, tutores ou conteúdo clínico por e-mail.

O cadastro pode incluir a identificação da espécie e alertas clínicos registrados pelo veterinário. Os alertas acompanham o prontuário compartilhado e, ao usar o Assistente Velune com esse paciente selecionado ou solicitar seu resumo clínico, são enviados como contexto ao provedor de IA. Na estruturação de relatos, a IA pode sugerir Diabetes, Irascível e Medicação contínua, mostrando o trecho de origem para aceitar ou rejeitar cada sugestão. Somente as sugestões aceitas são acrescentadas, preservando os alertas existentes. Em relatórios de estabelecimento, os alertas também podem integrar a identificação do animal sem vínculo com um cadastro. Alterações de espécie e alertas integram o histórico de auditoria, a exportação e a exclusão da conta.

2. Como usamos seus dados

Utilizamos suas informações para fornecer e administrar o serviço: autenticar você, armazenar e exibir os registros que você cria, manter seus dados sincronizados entre dispositivos, processar assinaturas, prestar suporte, cumprir obrigações legais, prevenir fraude e abuso, investigar incidentes, analisar feedback voluntário, defender direitos e melhorar o aplicativo. Não vendemos seus dados pessoais e não os utilizamos para publicidade de terceiros.

Bases legais (LGPD, art. 7 e 11). Tratamos seus dados com fundamento na execução de contrato (fornecer as funcionalidades que você contrata), no legítimo interesse (segurança, prevenção a fraudes e melhoria de estabilidade), no cumprimento de obrigação legal ou regulatória (guarda de registros exigidos por lei) e, quando aplicável, no seu consentimento (que pode ser revogado a qualquer momento).

Papéis. Em relação aos seus dados de conta e de profissional, o responsável pelo Velune atua como controlador. Em relação aos dados que você insere sobre terceiros, como tutores (responsáveis) e dados clínicos dos animais, você (profissional/clínica) é o controlador desses dados e o responsável pelo Velune atua como operador, tratando-os conforme suas instruções para prestar o serviço. Você é responsável por ter base legal adequada para inserir dados de terceiros.

3. Fornecedores e controladores independentes

Utilizamos os fornecedores abaixo para prestar o serviço. Eles atuam como operadores ou controladores independentes conforme o fluxo e os termos aplicáveis:

Google Firebase (Authentication, Cloud Firestore, Cloud Storage, Cloud Functions e App Check/Play Integrity) para autenticação, armazenamento, processamento de backend, controle de acesso e proteção contra abuso. Consulte Privacidade e Segurança do Firebase.
Google Maps Platform (Places API), como controlador independente desse fluxo, para sugestões de endereço e de estabelecimentos na busca de locais. Consulte a Política de Privacidade do Google.
Sentry para monitoramento de falhas, desempenho e erros. Consulte a Política de Privacidade do Sentry.
RevenueCat e Google Play (faturamento) para gerenciar assinaturas e processar pagamentos no Android. Consulte a Política de Privacidade da RevenueCat e a Política de Privacidade do Google.
Expo/EAS para compilar, assinar e distribuir versões do aplicativo e atualizações autorizadas.
Firebase Cloud Messaging (FCM), Expo Push Service e Apple Push Notification service (APNs) para entregar avisos push genéricos de compartilhamento, conforme a plataforma e a versão do aplicativo.
Resend pode entregar os e-mails de confirmação de conta e recuperação de senha, recebendo endereço, conteúdo e link temporário de autenticação, sem dados clínicos. Não habilitamos rastreamento de abertura ou cliques. Mensagens e registros ficam nos Estados Unidos por 30 dias nos planos comuns; backups podem persistir por sete dias. O provedor e seus subprocessadores também realizam verificações de segurança e prevenção de abuso. Contadores locais de proteção contra reenvios usam identificadores derivados, sem endereço ou IP em texto aberto, e expiram em 24 horas, com eliminação automática posterior.
Google Workspace para receber diretamente as mensagens enviadas ao Canal de Privacidade e ao suporte, conservar os registros necessários e controlar prazos internos. A Cloudflare administra o DNS do domínio, mas não encaminha nem recebe o conteúdo dessas caixas. A automação operacional usa somente metadados mínimos e não copia corpo ou anexos, não decide solicitações e não promete prazo de atendimento além do que a lei exigir.
Apple (Iniciar sessão com a Apple, App Store e faturamento), para autenticação opcional, distribuição e processamento de pagamentos no iPhone. Consulte a Política de Privacidade da Apple.

Ao descartar uma estruturação, o resultado deixa de ser oferecido pelo formulário. A entrada temporária no servidor é removida quando o cancelamento é recebido. O estado de cancelamento permanece por até 30 dias para impedir entregas tardias; o aparelho conserva a solicitação pendente até conseguir enviá-la. Requisições já enviadas ao provedor continuam sujeitas às retenções descritas nesta Política.

Depois de enviada, a estruturação pode continuar no servidor enquanto você usa outro aplicativo ou bloqueia a tela. A entrada temporária do trabalho é removida ao finalizar, com limpeza de segurança em até 24 horas; o estado técnico do trabalho é conservado por até 30 dias. Se você ativar o acompanhamento nas notificações, o Velune usa Live Activities/APNs no iOS e notificações de progresso/FCM no Android; quando necessário, o aviso iOS passa pelo Expo Push. Esses serviços recebem somente token, idioma, identificadores técnicos, rota de retorno e mensagens genéricas, sem transcrição, nomes ou conteúdo clínico. Os destinos temporários expiram em até 24 horas e são removidos no logout conhecido, na desativação ou na exclusão da conta. A entrega depende das permissões, conectividade e restrições do sistema; o resultado permanece disponível para revisão no app.

3.1 Assistente Velune, narração, texto digitado e processamento em nuvem

O ditado do odontograma é iniciado pelo botão de microfone em consultas e procedimentos odontológicos e dura até um minuto por gravação. O áudio segue pelo backend à OpenAI para transcrição; a transcrição, a espécie e o catálogo de operações habilitadas, incluindo rótulos e apelidos personalizados, são usados para interpretar as alterações ditadas. Até dez gravações podem aguardar processamento na memória da sessão de edição, inclusive com o modal fechado; essa fila não é recuperada após reiniciar o aplicativo. Encerrar a sessão ou trocar de conta libera os dados locais. As alterações reconhecidas são aplicadas ao rascunho, preservando edições manuais feitas desde o início da gravação e apresentando conflitos para revisão. Desfazer um lote preserva alterações posteriores. Você revisa o resultado e salva o atendimento. O áudio não é persistido no servidor; o arquivo temporário local é apagado antes do envio. A transcrição, o resultado e os metadados de recuperação ficam acessíveis somente ao titular, com expiração em 24 horas e eliminação automática posterior, e integram a exportação e a exclusão da conta. Conteúdo clínico não entra em logs ou analytics.

A Assistente Velune é opcional. O microfone é ativado somente quando você inicia uma narração visível, por até oito minutos, e apenas enquanto o aplicativo permanece aberto na tela. Não há palavra de ativação, gravação em segundo plano ou gravação com a tela bloqueada. O áudio é dividido em trechos, criptografado no dispositivo e enviado pelo backend protegido do Velune à OpenAI e seus subprocessadores para transcrição. Se você escolher "Digitar em vez disso", o texto digitado segue diretamente para a etapa seguinte. A transcrição ou o texto fornecido por você, inclusive nomes, contatos e valores que mencionar, são processados para corrigir prováveis erros de reconhecimento e preparar campos clínicos, administrativos e rascunhos editáveis. A estruturação recebe o contexto clínico mínimo do paciente selecionado, a categoria do formulário e, quando houver, os nomes, tipos e opções dos campos do modelo personalizado. Os vínculos com cadastros são resolvidos no aplicativo; nomes ambíguos exigem sua escolha.

A OpenAI atua como operadora/suboperadora e, conforme sua política vigente para a API, não usa os dados da API para treinar modelos por padrão. O endpoint de transcrição não mantém estado de aplicação nem retenção de monitoramento de abuso; já o processamento de texto pode gerar registros de monitoramento de abuso por até 30 dias, salvo configuração contratual mais restritiva. O áudio bruto existe no backend do Velune apenas durante o processamento em memória. Cada trecho local criptografado é excluído depois que sua transcrição é armazenada; trechos abandonados são excluídos após sete dias. A transcrição de origem, o texto corrigido, as correções rastreáveis, o plano estruturado e o estado das ações podem ser mantidos na conta para revisão, recuperação, cota, segurança e prevenção de abuso. Não incluímos esse conteúdo em Sentry, logs ou analytics, não o usamos para publicidade e não o vendemos. A Assistente Velune não salva registros autonomamente: um campo só integra um registro quando você confirma o respectivo rascunho.

Quando você solicita um resumo clínico retrospectivo, o backend monta uma projeção sanitizada dos dados clínicos do paciente e a envia à OpenAI para condensar notas comportamentais documentadas e, quando necessário, descrever fielmente o último procedimento cirúrgico ou odontológico elegível. O backend seleciona deterministicamente esse procedimento e a última prescrição medicamentosa, transforma marcações estruturadas do odontograma em texto determinístico e mantém referências aos registros de origem. Essa projeção pode conter espécie, sexo, idade, estado vital, castração, pesos, notas clínicas, atendimentos passados, anestesia, vacinas, odontograma, prescrições, campos clínicos personalizados e entradas externas do histórico. As fontes elegíveis podem ter sido registradas por você ou por outro profissional que contribuiu para o prontuário por compartilhamento. A identidade profissional do autor não é enviada à OpenAI, e o resumo gerado não é compartilhado com os demais participantes. A projeção exclui dados e contatos do responsável, finanças, eventos futuros ou cancelados, URLs, arquivos, anexos e seu conteúdo. Antes do envio, o backend também substitui no texto livre nomes e contatos conhecidos do responsável e padrões previsíveis de e-mail, telefone, CPF e CNPJ; essa medida reduz inclusões incidentais sem alterar o fato clínico. A solicitação usa processamento sem armazenamento da resposta pela API e identificador de segurança pseudonimizado; prompts e projeções brutas não são persistidos pelo Velune nem incluídos em logs.

O cache do resumo clínico retrospectivo contém somente a saída estruturada, referências, cobertura e metadados técnicos. Ele é mantido enquanto as fontes clínicas permanecerem iguais e a conta existir, incluído na exportação do titular e removido assim que uma fonte clínica muda ou a conta é excluída. A geração depende de nuvem, conexão e sincronização concluída, nunca ocorre automaticamente e não produz diagnóstico, recomendação, causalidade ou nova conduta. O médico-veterinário deve conferir o conteúdo e suas fontes.

Quando você compartilha um paciente com outro profissional pelo Velune, tratamos o cadastro clínico do paciente, nome e telefone do responsável, histórico passado elegível, prescrições, anexos já existentes e vacinação histórica para disponibilizar um prontuário vivo e revogável ao destinatário escolhido. Documentos, endereço e e-mail do responsável, anotações internas, finanças, agenda futura ou cancelada, acompanhamento vacinal, auditoria bruta, exportações e resumos por IA não são compartilhados. O convite não expõe dados clínicos na página web, expira em sete dias e exige conta com e-mail verificado e identidade profissional declarada no Velune. Quando o contato possui e-mail, o aceite também exige correspondência de e-mail e, quando informados no contato, CRMV/UF. Sem e-mail cadastrado no contato, o QR code ou link funciona como convite aberto de uso único: o primeiro profissional autenticado que possuir o link pode reivindicá-lo, e os demais aceites são bloqueados. A identidade declarada não representa validação do registro junto ao conselho. Se o link for aberto antes do login, o identificador e a credencial do convite ficam protegidos no armazenamento seguro do aparelho por até 30 minutos, exclusivamente para retomar o aceite após a autenticação. Eles são apagados após a conclusão, um erro terminal ou o fim desse prazo e não são enviados à outbox nem incluídos em logs. Antes de enviar, o profissional remetente deve possuir e registrar a autorização ou outra base legal aplicável; o convite técnico do Velune não substitui o consentimento, aviso ou documentação profissional exigidos no caso concreto. O destinatário deve limitar o acesso e o uso à finalidade assistencial autorizada e não pode repassar acesso, credenciais ou dados recebidos.

O profissional destinatário pode consultar e, quando seu plano permitir, adicionar registros clínicos elegíveis com autoria e versões preservadas, sem criar vacinas ou enviar novos arquivos. O prontuário compartilhado exibe aos participantes somente a identidade profissional mínima necessária para identificar cada autoria: nome, CRMV/UF e foto de perfil opcional. Contatos, especialidade, vínculo e anotações privadas do perfil não são expostos. A foto é entregue por endereço assinado de curta duração, que não é persistido no cache local. O acesso online termina com a revogação ou saída. As contribuições já incorporadas ao prontuário permanecem com autoria e versões preservadas sob a responsabilidade do controlador do prontuário; a revogação não reescreve nem apaga automaticamente esses registros. Dados estruturados e anexos já abertos podem permanecer criptografados no dispositivo do destinatário por no máximo 24 horas após a última validação, inclusive quando uma revogação ocorre nesse intervalo. Mantemos logs mínimos de acesso por 190 dias para segurança, auditoria e defesa de direitos. Convites, vínculos, propostas de correção e autoria integram a exportação aplicável e são eliminados ou desvinculados na exclusão da conta, respeitada a preservação do prontuário e da autoria sob a responsabilidade do titular do paciente.

A central de notificações mantém no servidor por até 30 dias atividades de compartilhamento como aceite, recusa, cancelamento, expiração, revogação e desvinculação. Os lembretes locais que você habilita e os avisos de conquista e de fim confirmado da assinatura paga também podem aparecer nessa central. Esses avisos podem gerar uma notificação do aparelho na abertura ou sincronização do app quando as notificações estiverem habilitadas e o sistema permitir. Para isso, título, corpo, destino interno e estado de leitura ficam somente no armazenamento privado do aparelho, separados por conta, por até 30 dias. Lembretes futuros cancelados saem no replanejamento; você pode limpar itens antes, e o logout conhecido remove o histórico e os agendamentos locais. Esse histórico local não é enviado ao Firebase, à outbox ou a um novo fornecedor. Comunicados gerais exibidos automaticamente no aplicativo entram nessa mesma central já marcados como lidos. A cópia estruturada apresentada, inclusive referências resolvidas de imagens, permanece somente no aparelho por até 30 dias para permitir a reabertura manual; a leitura ou dispensa não gera recibo no servidor. Se você ativar as notificações gerais e a preferência de compartilhamentos, o Velune registra um token do aparelho, plataforma, idioma, preferências e identificador de instalação pseudonimizado. No Android, o aviso pode ser entregue diretamente pelo Firebase Cloud Messaging (FCM). No iOS, o Expo Push Service encaminha o token e o payload genérico ao Apple Push Notification service (APNs); versões Android compatíveis também podem usar a cadeia Expo Push Service e FCM. O aviso enviado é genérico e não contém nome do paciente, profissional, CRMV, conteúdo clínico ou identificador do convite; a caixa autenticada no aplicativo é a fonte de verdade. O token é removido quando a preferência é desligada, no logout conhecido, quando o aparelho é declarado inválido, após 90 dias sem renovação ou na exclusão da conta. Quando aplicáveis ao caminho Expo, tickets e recibos técnicos permanecem por até 24 horas.

4. Transferência internacional de dados

OpenAI, Google, Sentry, RevenueCat, Expo e Cloudflare, além de seus subprocessadores, podem processar dados fora do Brasil para prestar os serviços descritos nesta Política. O Velune limita o compartilhamento ao necessário e aplica medidas contratuais, técnicas e organizacionais compatíveis com cada fluxo.

Na leitura assistida de um monitor anestésico, a imagem é enviada sem nome ou identificação textual do paciente, com store: false e saída estruturada. O resultado é somente um rascunho: valores de baixa confiança ficam vazios, campos suspeitos são sinalizados e nenhum registro é criado até a revisão e confirmação do médico-veterinário. A foto não é retida pelo Velune; ainda pode estar sujeita ao monitoramento de abuso aplicável da OpenAI por até 30 dias, salvo controle contratual mais restritivo.

Consulte o Aviso de Transferências Internacionais, que identifica países, finalidades, categorias, duração, agentes, responsabilidades, medidas de segurança e o canal para o exercício de direitos.

5. Retenção e exclusão de dados

Os registros da conta, o histórico de alterações e o conteúdo que você mantém no serviço são conservados enquanto a conta existir ou pelo período necessário às finalidades descritas. Alterações excluídas podem permanecer como marcadores técnicos de exclusão por um curto período de sincronização, normalmente até 30 dias. Você pode excluir sua conta de forma permanente a qualquer momento dentro do aplicativo: Perfil → ⋯ → Excluir Conta. A exclusão remove dos sistemas ativos seu perfil, pacientes, procedimentos, histórico clínico/auditoria e fotos e não pode ser desfeita (ver o que pode ser retido). A exclusão cria primeiro um trabalho durável fora da árvore da conta. Falha temporária no RevenueCat não impede a limpeza do Firebase; a etapa externa permanece em fila. Contas vinculadas à Apple também têm a autorização revogada antes da exclusão. Concluída a operação, mantemos por até cinco anos somente recibo pseudonimizado, horários e estados dos processadores, sem o UID bruto. Dados do Firebase Authentication removidos podem persistir em cópias de segurança por até 180 dias. Registros estritamente necessários de aceitação legal, segurança, transações, assinaturas e exercício de direitos podem ser mantidos pelo prazo aplicável. Registros mínimos de solicitações e incidentes são mantidos por cinco anos; anexos auxiliares de solicitações são eliminados 90 dias após o encerramento, salvo disputa ou obrigação documentada. Logs mínimos de acesso são mantidos por 190 dias. Processadores como RevenueCat, Sentry, Google, Apple e OpenAI também aplicam seus próprios períodos de retenção compatíveis com a finalidade, contrato e lei. Uploads de campos personalizados que não chegam a ser vinculados a um atendimento salvo são tratados como órfãos e removidos pela rotina diária depois de 24 horas. O cache de resumo clínico por IA é removido quando qualquer fonte clínica correspondente muda e, no máximo, permanece enquanto a conta existir. Sessões pendentes de um aparelho expiram em 10 minutos; sessões revogadas ou encerradas permanecem por até 30 dias para segurança e histórico de acesso. Sessões ativas permanecem até logout, substituição ou exclusão da conta. Esses metadados integram a exportação completa.

Ao excluir um fechamento de cobrança, você também exclui todos os recebimentos vinculados, inclusive em outros aparelhos após a sincronização. Os registros clínicos e suas receitas originais são preservados; os itens ainda vinculados retornam ao saldo pendente. Os marcadores seguem o mesmo prazo técnico de exclusão.

Na assinatura digital integrada, o desafio técnico expira em até 15 minutos, a assinatura bruta e o contexto de finalização permanecem por no máximo 24 horas. O PDF intermediário permanece por até uma hora quando não há assinatura; depois da assinatura local, pode permanecer por até 24 horas para permitir a finalização retomável. O PDF assinado e seus metadados permanecem enquanto a conta existir e integram a exportação completa; a exclusão da conta remove esses arquivos do Velune. Não utilizamos autoridade externa de carimbo do tempo nesse fluxo.

Feedbacks enviados pelo aplicativo são mantidos por até 24 meses. Se você excluir a conta antes desse prazo, removemos o UID, nome, e-mail e qualquer chave técnica de limitação, mas podemos conservar a mensagem sem vínculo identificável até o fim desse período para analisar e priorizar melhorias. Enquanto ainda estiver vinculado à conta, o feedback integra a exportação completa dos seus dados.

Se você não conseguir acessar o aplicativo, pode solicitar a exclusão da sua conta e dos dados associados pelo e-mail abaixo ou pela página velune.vet/delete-account, que descreve o processo sem precisar do aplicativo instalado. Processaremos a solicitação no prazo legal aplicável após verificação proporcional de identidade. Nenhuma decisão ou entrega de dados é automática.

6. Seus direitos (LGPD)

Nos termos da Lei Geral de Proteção de Dados (Lei nº 13.709/2018), você tem direito a:

Confirmação da existência de tratamento de dados;
Acesso aos seus dados;
Correção de dados incompletos, inexatos ou desatualizados;
Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
Portabilidade dos dados;
Eliminação dos dados tratados com o seu consentimento;
Informação sobre o compartilhamento de dados com terceiros;
Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
Revogação do consentimento;
Revisão de decisões tomadas unicamente com base em tratamento automatizado, quando aplicável. A Assistente Velune não toma decisões clínicas finais nem salva registros sem sua confirmação.

Para exercer qualquer um desses direitos, use o nosso Canal de Privacidade pelo e-mail [email protected]. Esse endereço não constitui, por si só, indicação formal de encarregado. O exercício dos direitos será atendido nos termos da legislação aplicável, após verificação proporcional de identidade quando necessária.

7. Idade mínima e crianças

O Velune é destinado a profissionais de medicina veterinária e o cadastro é restrito a maiores de 18 anos. O aplicativo não é direcionado a crianças ou adolescentes e não coletamos intencionalmente dados de menores. Caso tenhamos coletado tais dados por engano, entre em contato para que sejam excluídos.

8. Segurança

Utilizamos a infraestrutura de segurança do Google Firebase, com criptografia em trânsito e regras de acesso projetadas para que cada usuário acesse apenas os próprios dados. Nenhum método de transmissão ou armazenamento é totalmente seguro, mas empregamos medidas técnicas e organizacionais razoáveis para proteger seus dados.

Se ocorrer incidente de segurança capaz de gerar risco ou dano relevante, avaliaremos o ocorrido, adotaremos medidas de contenção e realizaremos as comunicações exigidas pela legislação aplicável. Você é responsável por proteger o aparelho, manter o sistema atualizado, usar bloqueio de tela, não compartilhar credenciais e exportar cópias necessárias à sua prática.

Bloqueio biométrico (opcional). Você pode ativar o desbloqueio do aplicativo por biometria (Face ID, Touch ID ou impressão digital) ou pela senha do dispositivo. Essa verificação é feita pelo sistema operacional do seu aparelho: o Velune recebe apenas o resultado (sucesso ou falha) informado pelo dispositivo e não tem acesso aos seus dados biométricos.

Login biométrico. Se você optar por ativar o login por biometria, suas credenciais de acesso (e-mail e senha) são armazenadas de forma criptografada no armazenamento seguro do seu dispositivo (Android Keystore / iOS Keychain), liberadas somente após a verificação biométrica no próprio aparelho. Essas credenciais não são transmitidas nem armazenadas pelo Velune e são automaticamente invalidadas se a biometria do dispositivo mudar. Você pode removê-las a qualquer momento em Configurações → Segurança → Esquecer este dispositivo. Contas conectadas via Google ou Apple não armazenam senha.

9. Permissões do dispositivo

O aplicativo pode solicitar as seguintes permissões, sempre para uma função específica e somente quando você aciona o recurso:

Microfone: para as narrações da Assistente Velune que você inicia. O microfone é usado apenas durante uma sessão visível, com o aplicativo aberto na tela, e é liberado quando você pausa ou encerra.
Contatos: no iOS, para apresentar uma lista local e importar nome, telefone e, no cadastro de profissional, e-mail quando você usa "Importar dos Contatos". No Android, essa ação usa o seletor do aparelho e o acesso temporário aos dados selecionados, sem solicitar permissão para ler ou escrever na agenda inteira.
Câmera: para tirar fotos de pacientes e anexos clínicos e, somente quando você solicitar, ler um monitor anestésico em um rascunho editável. Essa leitura não solicita acesso à biblioteca de fotos.
Fotos/biblioteca de mídia: para anexar imagens já existentes a pacientes e registros clínicos ou selecionar sua identidade visual profissional.
Busca de endereço/localização: para sugerir endereços e estabelecimentos (texto digitado enviado ao Google Places). O aplicativo não rastreia a sua localização em segundo plano.
Notificações: para enviar os lembretes locais que você ativar (resumo diário da agenda, lembretes de agendamento e de vacina) e, se a preferência correspondente estiver ligada, avisos genéricos de atualização de compartilhamento pelo Firebase Cloud Messaging no Android e pela cadeia Expo Push Service e Apple Push Notification service (APNs) no iOS. Os lembretes são gerados no próprio aparelho; avisos de compartilhamento não contêm dados do paciente ou profissional. Você pode desativá-los a qualquer momento.

Você pode conceder ou revogar essas permissões a qualquer momento nas configurações do sistema operacional.

10. Documentos clínicos e exportação (PDF)

O Velune ajuda você a gerar documentos clínicos (como prescrições e relatórios) em PDF a partir dos dados que você insere. A exportação comum permanece sem assinatura. No recurso integrado, assinantes pagos dos planos Celestial ou Aurora poderão solicitar uma assinatura qualificada ICP-Brasil para prescrições em formato suportado; o teste promocional não libera esse recurso. Isso ocorre após visualizar a prévia exata, declarar o enquadramento e autorizar individualmente o uso do e-CPF. A assinatura comprova autoria e integridade criptográfica, não a correção clínica. O servidor consulta um catálogo regulatório como barreira adicional e bloqueia a assinatura interna de itens controlados, suspeitos, não resolvidos ou quando o catálogo está desatualizado; isso não substitui a revisão profissional nem garante o enquadramento de todo nome comercial, fórmula ou lançamento recente. Restrições sanitárias também bloqueiam a assinatura interna, sem atalho para assinatura externa. Fontes, motivos e composição reconhecida são exibidos para revisão; as evidências da classificação ficam vinculadas à revisão da receita no registro da emissão. Seguem a retenção, exportação e exclusão desse registro e não são enviadas aos logs operacionais. A assinatura não substitui Notificação de Receita do SIPEAGRO, SNCR, modelos da Anvisa ou outros fluxos oficiais exigidos. Quando você exporta ou compartilha um PDF, o arquivo passa a ser controlado por você e pelo aplicativo de destino (e-mail, mensagens, armazenamento etc.); o Velune não controla cópias já exportadas ou compartilhadas.

Os documentos gerados podem incluir um QR code / link de verificação. Quando aberto, esse link exibe apenas metadados básicos do documento (por exemplo, nome do profissional, CRMV, tipo e data do documento) para confirmar que ele foi gerado pelo Velune. Nos PDFs assinados, também informa se a autoria e a integridade foram validadas na emissão e a situação atual do documento (ativo, cancelado ou substituído). Nenhum dado de paciente ou clínico é exibido. Você decide se compartilha ou não esse link, e o acesso pode ser revogado ou expirar.

11. Alterações desta política

Podemos atualizar esta política periodicamente. Alterações relevantes poderão ser comunicadas pelos canais apropriados. Uma atualização desta política, por si só, não bloqueará o login nem o uso do aplicativo.

12. Contato

Se você é tutor ou outro titular externo cujo dado foi inserido ou compartilhado por um profissional, dirija primeiro o pedido ao profissional ou clínica que controla o prontuário. Se precisar identificar esse controlador ou tratar de uma operação técnica do Velune, use o Canal de Privacidade abaixo.

Para dúvidas sobre privacidade, direitos ou exclusão, use o Canal de Privacidade: [email protected].

Para dúvidas sobre conta, acesso, assinatura ou falhas do aplicativo, use o canal de suporte: [email protected]. Esse endereço é exclusivo de atendimento e não substitui o Canal de Privacidade. A página velune.vet/support reúne todas as formas de contato.

Privacy Policy

Velune is the name of the app. Its supplier and legal responsible entity is RODRIGO BACILA BORGES DA SILVA CONSULTORIA EM TECNOLOGIA DA INFORMAÇÃO, Brazilian CNPJ 45.517.169/0001-51, based in Curitiba, Paraná, Brazil ("the Velune provider", "we", "us"). This policy explains what information we collect, how we use it, and the rights you have. By creating an account, you acknowledge receipt and understanding of this notice; acceptance of the Terms of Service is handled separately.

1. Information we collect

Account information: your name, email address, account identifier and authentication method. If you use email and password, the password is handled by Google Firebase Authentication and is not accessible to us. If you use Google sign-in, we receive the basic identity data authorized by Google, such as name, email and account identifier. On iPhone, if you use Sign in with Apple, we receive the identifier, name, and email you authorize; Apple may provide a private relay address instead of your personal email.
Professional information: your CRMV registration number and state and, when provided, MAPA/SIPEAGRO registration, plus professional settings you configure. You may optionally provide a professional contact phone number and an Instagram username; they are used exclusively for display in your profile and in the headers of PDF documents you yourself generate and share, and can be removed by you at any time on the profile screen. When you confirm or change your name, CRMV, or state, we also retain your declaration that these details are yours, truthful, and current, together with server time, language, and app version, and the applicable legal versions. This records what you stated; it does not mean that Velune validated the CRMV with the Council.
Clinical records you enter: patient (animal) details, including optional weight entered directly in surgery and dental records, procedures, dental charts, notes, prescriptions, and the cost/financial information of the procedures you record, including billing closings, discounts, and partial or total payments. Appointments may also contain beneficiary professional names, transfer amounts, payment statuses, and payment dates. This includes specialties, templates, catalogue items, and default or client/establishment-specific prices you configure, the template snapshot applied to each record, answers, formula results, and files uploaded to custom fields.
Tutors, contacts and addresses: names, phone numbers and addresses of tutors (pet owners) and details of locations/establishments you choose to record. If you use "Import from Contacts", the name, phone number and, on the professional form, email address are used to fill in the form. On Android, the device's contact picker shares only the details you select, without permission to read the entire address book. On versions before Android 17, phone numbers and email addresses are selected separately. On iOS, the app requests your permission to read contacts and present a local selection list. Your contact list is not uploaded to or stored on our servers. Fields you confirm and save become part of the record and follow that record's existing retention and deletion periods.
Address/place search: when you search for an address or establishment, the text you type is sent to the Google Places API to return suggestions; we store only the address/place you select.
Your medication list: medications you type into prescriptions are saved to your account, together with how often you use them per procedure type, so we can display shortcuts from your own history. These shortcuts speed up data entry. You always review and confirm them; Velune does not decide dosage or any clinical course of action.
Photos, images and attachments: profile and patient photos you upload (including radiographic images you upload) and the branding images you choose to upload (the logo and watermark used in your PDFs), plus files you attach to record fields, stored in Google Firebase Storage.
Temporary anesthetic-monitor photo: when you start assisted reading, the photo is resized and re-encoded on the device without EXIF metadata, then sent through the protected backend to OpenAI to create a draft of values. Velune does not save this photo to the device, medical record, outbox, Storage, logs, or analytics.
Local and synchronization data: a copy of downloaded records, preferences, pending changes and technical identifiers is stored on your device to support offline use and later synchronization. Global search keeps only on the device a text index of data already available and up to eight recent queries for 30 days; those queries are not synchronized or sent to logs, Sentry, or analytics. To recover changes after app updates, the queue also retains its original version and content until delivery, explicit discard or local account cleanup. The public compatibility policy may be cached with a validity of up to 24 hours, without an account association. Shared clinical submissions you prepare are also stored privately on the device until confirmation and the local refresh finish, or local account data is cleared. They can be resumed in Synchronization and are included in your data export. This does not extend the 24-hour cache for viewing patients shared with you.
Technical synchronization receipts: operation and record identifiers, revision and completed-write date, without the records' content, are kept while your account exists to prevent duplication and replay of old operations. They are included in exports and removed when the account is deleted. For shared contributions and corrections, new receipts also keep an account-linked hash of the request to detect retries with different content. This hash is not a copy of the clinical record and is not treated as anonymous data; it follows the same retention, export and deletion paths.
Device sessions: to limit each account to one active installation in the official app, the server keeps only a hash of the installation's random identifier, platform, technical model, operating-system and app versions, sign-in/last-activity times, and session status. The raw identifier remains protected in the device secure store; this flow does not collect the device's custom name, location, or clinical content.
Diagnostics and security data: crash and error reports (via Sentry), device model, operating system, versions, error codes, performance data and strictly necessary operational metadata. Sentry does not receive the content of pending changes; synchronization failures include a technical attempt identifier, stage and coded reason so they can be investigated alongside protected Firebase logs. Sentry does not receive a UID, user, email, phone, clinical content, audio, transcript, request, token or local path; a defensive filter also removes non-allowlisted extras before transmission. We also use Firebase App Check/Play Integrity to receive app/device integrity signals and combat abuse.
Minimal application-access records: after verified login, cold start and return after more than 30 minutes, we record server time, UID, public IP, user-agent, platform, version/build and request ID. We do not record navigation or clinical content. A source port is recorded only if the platform provides a trustworthy value; it is currently marked unavailable.
Clinical change history: for saved services, clinical details, prescriptions and patient-history entries, we retain the prior and current revision, hashes, changed fields, technical actor and server time. Local drafts and sync-only changes are excluded.
Plan subscription data: your plan status and variant (Free, Essential, Celestial, or Aurora, with or without Velune Assistant), the associated identifier, enabled capabilities, and, whether the current period is trial or paid, its dates, and, when the store schedules a change, the destination variant and period and the event and effective dates; on Celestial, also the clinical module selected or scheduled for the next renewal. These data are projected with the store billing-grace date, the fixed 24-hour access-continuity deadline after a paid period ends, and, when applicable, the date and technical reason for a refund or transfer. managed by RevenueCat, your device's store, and a Velune access projection. Payment is processed by the App Store on iPhone or by Google Play on Android. We do not have access to or store your card or payment details. When you purchase or restore with the same store account, RevenueCat may reassociate the subscription with the currently authenticated Velune account identifier. Velune changes only the paid-access projection; medical records and clinical data from the accounts are neither moved nor merged.
Digital-signature data: when you use A1 e-CPF signing, the server receives the complete public certificate, including provider, legal name, issuer, serial number, validity, and fingerprint. Depending on the fields inserted by the certification authority, this public certificate may contain CPF, date of birth, and other identity attributes. We also process workflow state, digest, temporary raw signature, final signed PDF, issuance status, and an optional private cancellation reason. The PFX/P12 file, private key, and password or PIN remain protected on the device and are not sent to the server.
Achievement collection: milestones derived from existing registrations and professional-profile completion, service records, including specialized-module milestones, documentation by modality, continuity on different days and clinical collaboration in accepted patient shares, completed digital signatures and paid subscriptions. Previous financial milestones remain as technical history, without display or new awards. Your profile stores aggregate counts, processing status and achievement identifiers, recognition dates, notices already presented and frame selections, up to three medals for your private showcase and your report inclusion preference. They follow account export and deletion. Historical milestones remain while the account exists, even after source records are deleted, without retaining patient identities in the collection profile. To calculate progress, the server stores flags per source patient and author, without copying clinical text, along with processing state. Owners can export these projections; they are recalculated after changes or sharing revocation and removed when the patient or account is deleted. We do not use AI or assess clinical quality to grant medals. Only eligible clinical medals from your showcase appear in clinical reports if you choose to include them; exported copies remain under recipients' control.
Preferences: language and currency, used to personalize your experience.
Voluntary feedback: category, message, app version and build, platform, language, and technical environment. By default, the administrative dashboard also shows the account name and email. If you select the option to hide your identity, those details are not stored with the feedback or shown in the dashboard, but the UID remains temporarily linked for security, abuse prevention, export, and deletion. Do not submit patient, tutor, clinical, or other confidential information through this form.
Support messages: if you write to our support channel, we receive your email address, the content of your message, and any attachments you choose to send. We use this only to review the request and, when appropriate, respond, and we keep it for up to 24 months after the request is closed. Do not send patient or tutor data or clinical content by email.

Patient records may include species identification and clinical alerts entered by the veterinarian. Alerts accompany the shared clinical chart and, when using Velune Assistant with that patient selected or requesting its clinical summary, are sent as context to the AI provider. When structuring narratives, AI may suggest Diabetes, Irascible and Ongoing medication, showing the source passage so you can accept or reject each suggestion. Only accepted suggestions are added, preserving existing alerts. Establishment reports can also include alerts in the animal's identification without linking a patient record. Species and alert changes are included in the audit history, account export and account deletion.

2. How we use your information

We use your information to provide and administer the service: to authenticate you, store and display the records you create, keep your data synchronized across devices, process subscriptions, provide support, comply with law, prevent fraud and abuse, investigate incidents, evaluate voluntary feedback, establish or defend rights, and improve the app. We do not sell your personal data and we do not use it for third-party advertising.

Legal bases (LGPD arts. 7 and 11; GDPR Art. 6). We process your data on the basis of performance of a contract (providing the features you sign up for), legitimate interests (security, fraud prevention and stability improvements), compliance with a legal or regulatory obligation (retaining records required by law), and, where applicable, your consent (which you can withdraw at any time).

Roles. For your account and professional data, the Velune provider acts as the controller. For the data you enter about third parties, including pet owners (tutors) and animals' clinical records, you (the professional/clinic) are the controller and the Velune provider acts as the processor, handling that data on your instructions to provide the service. You are responsible for having an adequate legal basis to enter third-party data.

3. Providers and independent controllers

We use the providers below to deliver the service. They act as processors or independent controllers according to the relevant flow and terms:

Google Firebase (Authentication, Cloud Firestore, Cloud Storage, Cloud Functions and App Check/Play Integrity) for authentication, storage, backend processing, access control and abuse prevention. See Firebase Privacy and Security.
Google Maps Platform (Places API), as an independent controller for this flow, for address and establishment suggestions in place search. See the Google Privacy Policy.
Sentry for crash, performance and error monitoring. See the Sentry Privacy Policy.
RevenueCat and Google Play Billing to manage subscriptions and process payments on Android. See the RevenueCat Privacy Policy and the Google Privacy Policy.
Expo/EAS to build, sign and distribute authorized application releases and updates.
Firebase Cloud Messaging (FCM), Expo Push Service, and Apple Push Notification service (APNs) to deliver generic patient-sharing push notices according to platform and app version.
Resend may deliver account confirmation and password recovery emails, receiving the address, content, and temporary authentication link, without clinical data. We do not enable open or click tracking. Messages and logs are stored in the United States for 30 days on standard plans; backups may persist for seven days. The provider and its subprocessors also perform security and abuse prevention checks. Local resend protection counters use derived identifiers without plain-text addresses or IPs and expire after 24 hours, with subsequent automatic deletion.
Google Workspace to receive messages sent to the Privacy Channel and support directly, retain necessary records, and track internal deadlines. Cloudflare manages the domain's DNS but does not forward or receive the content of those mailboxes. The operational automation uses only minimal metadata and does not copy message bodies or attachments, decide requests, or promise a support deadline beyond what applicable law requires.
Apple (Sign in with Apple, App Store, and billing) for optional authentication, distribution, and payment processing on iPhone. See the Apple Privacy Policy.

3.1 Velune Assistant, narration, typed text and cloud processing

Odontogram dictation starts from the microphone button in dental consultations and procedures and lasts up to one minute per recording. Audio passes through the backend to OpenAI for transcription; the transcript, species and enabled operations catalog, including custom labels and aliases, are used to interpret the dictated changes. Recognized changes are applied to the draft odontogram and can be undone to restore previous markings. You review the result and save the service record. Audio is not persisted on the server; the temporary local file is deleted before upload. The transcript, result and recovery metadata are accessible only to the account owner, expire after 24 hours with subsequent automatic deletion, and are included in account export and deletion. Clinical content does not enter logs or analytics.

Velune Assistant is optional. The microphone is activated only when you start a visible narration, for up to eight minutes, and only while the app remains open on screen. There is no wake word, background recording, or recording while the screen is locked. Audio is split into chunks, encrypted on the device, and sent through Velune's protected backend to OpenAI and its subprocessors for transcription. If you choose "Type instead", typed text proceeds directly to the next step. The transcript or text you provide, including any names, contacts and amounts you mention, are processed to correct likely recognition errors and prepare editable clinical and administrative fields and drafts. Structuring receives minimal clinical context about the selected patient, the form category and, where applicable, the names, types and options of fields in the custom template. Links to existing records are resolved in the app; ambiguous names require your choice.

When structuring is discarded, the form no longer offers its result. Temporary server input is removed when cancellation is received. Cancellation status is retained for up to 30 days to prevent late delivery; the device keeps pending requests until they can be sent. Requests already sent to the provider remain subject to the retention periods described in this Policy.

After submission, structuring can continue on the server while you use another app or lock the screen. Temporary job input is removed on completion, with safety cleanup within 24 hours; technical job status is retained for up to 30 days. If you enable tracking in notification settings, Velune uses Live Activities/APNs on iOS and progress notifications/FCM on Android; the iOS completion fallback uses Expo Push when needed. These services receive only a token, language, technical identifiers, return route and generic messages, without transcripts, names or clinical content. Temporary destinations expire within 24 hours and are removed on known sign-out, disabling or account deletion. Delivery depends on permissions, connectivity and system restrictions; the result remains available for review in the app.

OpenAI acts as a processor/subprocessor and, under its current API policy, does not use API data to train models by default. The transcription endpoint has no application-state or abuse-monitoring retention; text processing may create abuse-monitoring logs for up to 30 days unless a more restrictive contractual configuration applies. Raw audio exists on Velune's backend only during in-memory processing. Each encrypted local chunk is deleted after its transcript is stored; abandoned chunks are deleted after seven days. The source transcript, corrected text, traceable corrections, structured plan, and action state may be retained in the account for review, recovery, quota, security, and abuse prevention. This content is not placed in Sentry, logs, or analytics, used for advertising, or sold. Velune Assistant cannot autonomously save records: a field enters a record only when you confirm its draft.

When you request a retrospective clinical summary, the backend builds a sanitized projection of the patient's clinical data and sends it to OpenAI to condense documented behavioral notes and, when needed, faithfully describe the latest eligible surgical or dental procedure. The backend deterministically selects that procedure and the latest medication prescription, converts structured odontogram markings into deterministic text, and keeps references to source records. This projection may contain species, sex, age, vital status, neutering status, weights, clinical notes, past services, anesthesia, vaccines, dental charting, prescriptions, custom clinical fields, and external history entries. Eligible sources may have been recorded by you or by another professional who contributed to the chart through sharing. The author's professional identity is not sent to OpenAI, and the generated summary is not shared with other participants. The projection excludes guardian data and contacts, finances, future or cancelled events, URLs, files, attachments, and attachment content. Before sending, the backend also replaces known guardian names and contacts and predictable email, phone, CPF, and CNPJ patterns found in free text; this reduces incidental inclusion without changing the clinical fact. The request uses API processing without response storage and a pseudonymous safety identifier; prompts and raw projections are not persisted by Velune or included in logs.

The retrospective clinical summary cache contains only structured output, references, coverage, and technical metadata. It is retained while the clinical sources remain unchanged and the account exists, included in the data subject export, and removed as soon as a clinical source changes or the account is deleted. Generation depends on cloud service, connectivity, and completed synchronization, never happens automatically, and does not produce a diagnosis, recommendation, causal claim, or new course of action. The veterinarian must check the content and its sources.

When you share a patient with another professional through Velune, we process the patient's clinical registration, guardian name and phone, eligible past clinical history, prescriptions, existing attachments, and historical vaccination to provide a live, revocable chart to the recipient you chose. Guardian documents, address and e-mail, internal notes, finances, future or cancelled schedule items, vaccine follow-up, raw audit data, exports, and AI summaries are not shared. The invitation web page exposes no clinical data, expires in seven days, and requires an account with a verified e-mail and a professional identity declared in Velune. When the contact has an e-mail, acceptance also requires an e-mail match and, when saved on the contact, a CRMV/state match. When no e-mail is saved for the contact, the QR code or link is an open, one-time invitation: the first authenticated professional who holds it may claim it, and later acceptance attempts are blocked. A declared identity is not a validation of council registration. If the link is opened before sign-in, its invitation identifier and credential are protected in the device secure store for up to 30 minutes solely to resume acceptance after authentication. They are deleted after completion, a terminal error, or that deadline and are not sent to the outbox or included in logs. Before sending, the professional who shares the chart must have and record the applicable authorization or other legal basis; Velune's technical invitation does not replace the consent, notice, or professional documentation required for the specific case. The recipient must limit access and use to the authorized care purpose and may not pass on access, credentials, or received data.

The recipient may review the chart and, when their plan permits, add eligible clinical records with preserved authorship and versions, without creating vaccinations or uploading new files. Online access ends on revocation or departure. Contributions already incorporated into the chart remain with preserved authorship and versions under the chart controller's responsibility; revocation does not automatically rewrite or erase those records. The shared chart exposes to its participants only the minimum professional identity needed to identify each author: name, CRMV/state, and an optional profile photo. Contact details, specialty, affiliations, and private profile notes are not exposed. The photo is delivered through a short-lived signed address that is not persisted in the local cache. Structured data and previously opened attachments may remain encrypted on the recipient's device for no more than 24 hours after the last validation, including when access is revoked during that window. Minimal access logs are kept for 190 days for security, audit, and legal defense. Invites, links, correction proposals, and authorship are included in the applicable export and deleted or unlinked on account deletion, subject to preservation of the chart and authorship under the patient owner's responsibility.

The notification center keeps sharing activities such as acceptance, decline, cancellation, expiration, revocation, and unlinking on the server for up to 30 days. Local reminders you enable, achievement notices, and confirmed paid subscription end notices may also appear in that center. These notices may trigger a device notification on app opening or synchronization when notifications are enabled and the system permits it. Their title, body, internal destination, and read state remain only in private, account-scoped device storage for up to 30 days. Cancelled future reminders are removed when the schedule is rebuilt; you may clear items earlier, and a known sign-out removes the local history and schedule. This local history is not sent to Firebase, the outbox, or a new provider. General communications shown automatically in the app enter the same center already marked as read. The structured copy that was shown, including resolved image references, remains only on the device for up to 30 days so it can be reopened manually; reading or dismissing it does not create a server receipt. If you enable general notifications and the sharing preference, Velune registers an app token, platform, language, preferences, and a pseudonymous installation identifier. On Android, delivery may occur directly through Firebase Cloud Messaging (FCM). On iOS, Expo Push Service forwards the token and generic payload to Apple Push Notification service (APNs); compatible Android versions may also use the Expo Push Service and FCM chain. The notification is generic and contains no patient or professional name, CRMV, clinical content, or invitation identifier; the authenticated in-app inbox is the source of truth. The token is removed when the preference is disabled, on a known logout, when the device is reported invalid, after 90 days without renewal, or on account deletion. Technical Expo tickets and receipts, when applicable, are kept for up to 24 hours.

4. International data transfers

OpenAI, Google, Sentry, RevenueCat, Expo and Cloudflare, and their subprocessors, may process data outside Brazil to provide the services described in this Policy. Velune limits sharing to what is necessary and applies contractual, technical, and organizational measures appropriate to each flow.

For assisted anesthetic-monitor reading, the image is sent without a patient name or textual identifier, with store: false and structured output. The result is only a draft: low-confidence values remain empty, suspicious fields are flagged, and no record is created until the veterinarian reviews and confirms it. Velune does not retain the photo; it may still be subject to OpenAI's applicable abuse monitoring for up to 30 days unless a more restrictive contractual control applies.

See the International Data Transfer Notice, which identifies countries, purposes, categories, duration, agents, responsibilities, security measures, and the channel for exercising rights.

5. Data retention and deletion

Account records, change history and content you keep in the service are retained while the account exists or for as long as needed for the purposes described. Deleted changes may remain as technical deletion markers for a short synchronization period, normally up to 30 days. You can permanently delete your account at any time from within the app: Profile → ⋯ → Delete Account. Deletion removes your profile, patients, procedures, clinical audit/change history and uploaded photos from our active systems and cannot be undone (see what may be retained). Deletion first creates a durable job outside the account tree. A temporary RevenueCat failure does not block Firebase cleanup; the external step remains queued. Accounts linked to Apple also have their authorization revoked before deletion. Once complete, we keep for up to five years only a pseudonymous receipt, timestamps and processor states, without the raw UID. Deleted Firebase Authentication data may persist in backups for up to 180 days. Records strictly needed for legal acceptance, security, transactions, subscriptions and establishment or defense of rights may be kept for the applicable period. Minimal request and incident records are kept for five years; auxiliary request attachments are deleted 90 days after closure unless a dispute or documented duty applies. Minimal application-access logs are kept for 190 days. Processors such as RevenueCat, Sentry, Google, Apple and OpenAI also apply their own retention periods consistent with purpose, contract and law. Custom-field uploads that are not linked to a saved service are treated as orphaned and removed by the daily cleanup after 24 hours. The AI clinical-summary cache is removed when any corresponding clinical source changes and is retained no longer than the account. A pending device session expires after 10 minutes; revoked or signed out sessions remain for up to 30 days for security and access history. Active sessions remain until sign-out, replacement, or account deletion. These metadata are included in the complete export.

Deleting a billing closing also deletes all linked receipts, including those on other devices after synchronization. Clinical records and their original revenue are preserved; items still linked return to the pending balance. Markers follow the same technical deletion retention period.

In integrated digital signing, the technical challenge expires within 15 minutes, the raw signature and finalization context remain for no more than 24 hours. The intermediate PDF remains for up to one hour when no signature was submitted; after the local signature, it may remain for up to 24 hours to allow resumable finalization. The signed PDF and its metadata remain while the account exists and are included in the complete export; account deletion removes those files from Velune. We do not use an external timestamp authority in this flow.

Feedback submitted through the app is retained for up to 24 months. If you delete the account before that period ends, we remove the UID, name, email, and technical rate-limit key, but may keep the message without an identifiable link until the end of the period to analyze and prioritize improvements. While it remains linked to the account, feedback is included in your complete data export.

If you cannot access the app, you may request deletion of your account and associated data by emailing us at the address below, or via velune.vet/delete-account, which describes the process without needing the app installed. We will process your request within the applicable legal period after proportionate identity verification. No decision or data delivery is automated.

6. Your rights (LGPD)

Under Brazil's General Data Protection Law (Law No. 13.709/2018), you have the right to: confirmation that your data is processed; access to your data; correction of incomplete, inaccurate or outdated data; anonymization, blocking or deletion of unnecessary or excessive data; data portability; deletion of data processed with your consent; information about data sharing with third parties; information about the option not to provide consent and the consequences; withdrawal of consent; and review of decisions based solely on automated processing, where applicable. Velune Assistant does not make final clinical decisions or save records without your confirmation. To exercise any of these rights, use our Privacy Channel at [email protected]. This address does not, by itself, represent the formal appointment of a DPO. Rights requests will be handled under applicable law, following proportionate identity verification when necessary.

7. Minimum age and children

Velune is intended for veterinary professionals and registration is restricted to those 18 or older. The app is not directed to children or adolescents and we do not knowingly collect data from minors. If we have inadvertently collected such data, contact us so we can delete it.

8. Security

We rely on Google Firebase's security infrastructure, with encryption in transit and access rules designed so that each user can access only their own data. No method of transmission or storage is completely secure, but we apply reasonable technical and organizational measures to protect your data.

If a security incident may cause relevant risk or harm, we will assess the incident, take containment measures, and provide the notices required by applicable law. You are responsible for protecting your device, keeping its system updated, using a screen lock, not sharing credentials, and exporting copies required for your practice.

Biometric lock (optional). You can enable unlocking the app with your device's biometrics (Face ID, Touch ID or fingerprint) or device passcode. This check is performed by your device's operating system: Velune receives only the success/failure result reported by your device and has no access to your biometric data.

Biometric login. If you choose to enable biometric login, your sign-in credentials (email and password) are stored encrypted in your device's secure storage (Android Keystore / iOS Keychain), released only after your on-device biometric check. These credentials are never transmitted to or stored by Velune and are automatically invalidated if your device biometrics change. You can remove them at any time via Settings → Security → Forget this device. Accounts signed in with Google or Apple store no password.

9. Device permissions

The app may request the following permissions, always for a specific feature and only when you trigger it:

Microphone: for the Velune Assistant narrations you start. The microphone is used only during a visible session while the app is open on screen, and is released when you pause or stop.
Contacts: on iOS, to present a local list and import a name, phone number and, on the professional form, email address when you use "Import from Contacts". On Android, this action uses the device picker and temporary access to selected details, without requesting permission to read or write the entire address book.
Camera: to take patient photos and clinical attachments and, only when you request it, read an anesthetic monitor into an editable draft. This reading does not request photo library access.
Photos/media library: to attach existing images to patients and clinical records or select your professional branding.
Address/location search: to suggest addresses and establishments (the text you type is sent to Google Places). The app does not track your location in the background.
Notifications: to deliver the local reminders you enable (daily agenda summary, appointment and vaccine reminders) and, when the corresponding preference is enabled, generic sharing updates through Firebase Cloud Messaging on Android and the Expo Push Service and Apple Push Notification service (APNs) chain on iOS. Reminders are generated on your device; sharing notifications contain no patient or professional data. You can turn them off at any time.

You can grant or revoke these permissions at any time in your operating system settings.

10. Clinical documents and export (PDF)

Velune helps you generate clinical documents (such as prescriptions and reports) as PDFs from the data you enter. The ordinary export remains unsigned. Paid Celestial or Aurora subscribers may request a qualified ICP-Brasil signature for prescriptions in a supported format; the promotional trial does not unlock this feature. This occurs after viewing the exact preview, making the required declaration, and individually authorizing use of the e-CPF. A signature proves cryptographic authorship and integrity, not clinical correctness. The server consults a regulatory catalog as an additional safety barrier and blocks internal signing for controlled, suspected, unresolved, or stale-catalog items; this does not replace professional review or guarantee classification of every trade name, formula, or recent release. Sanitary restrictions also block internal signing, with no shortcut to external signing. Sources, reasons and recognized composition are shown for review; classification evidence is linked to the prescription revision in the issuance record. It follows that record's retention, export and deletion rules and is not sent to operational logs. The signature does not replace a SIPEAGRO Prescription Notification, SNCR, Anvisa model, or another required official workflow. When you export or share a PDF, the file becomes controlled by you and the destination app (email, messaging, storage, etc.); Velune has no control over copies already exported or shared.

Generated documents may include a QR code / verification link. When opened, that link shows only basic document metadata (for example, the professional's name, CRMV, document type and date) to confirm the document was generated by Velune. For signed PDFs it also shows whether authorship and integrity were validated at issuance and the document's current status (active, cancelled, or superseded). No patient or clinical data is shown. You decide whether to share that link, and access can be revoked or expire.

11. Changes to this policy

We may update this policy from time to time. Material changes will be communicated through appropriate channels when needed. A policy update by itself will not block sign-in or continued use of the app.

12. Contact

If you are a tutor or another external data subject whose information was entered or shared by a professional, first direct your request to the professional or clinic that controls the chart. If you need help identifying that controller or addressing a Velune technical operation, use the Privacy Channel below.

For privacy questions, rights or deletion, use the Privacy Channel: [email protected].

For questions about your account, access, subscription, or app problems, use the support channel: [email protected]. That address is dedicated to support and does not replace the Privacy Channel. The velune.vet/support page lists every way to reach us.