Condições de uso do sistema
Termos de uso
Última atualização: 20 de agosto de 2026
Rascunho — não publicar sem revisão jurídica. Este texto descreve apenas o funcionamento real do sistema, verificado no código e na documentação. Três cláusulas seguem marcadas em amarelo e não foram redigidas: preço e vigência (item 12), limitação de responsabilidade (item 13) e propriedade intelectual (item 15). Nos itens 11 e 14, que descrevem apenas o funcionamento existente, seguem pendentes o nível de serviço, o suporte e o destino dos dados ao fim do contrato. Nenhuma cláusula desse tipo deve ser assumida a partir deste rascunho.
Estes termos regem o uso do sistema Gestão de Ambulâncias, que organiza o transporte sanitário de pacientes contratado por prefeituras. O tratamento de dados pessoais está descrito em documento próprio, a política de privacidade, que integra estes termos.
1. O que o sistema faz
O sistema recebe solicitações de transporte sanitário, organiza aprovação e alocação de frota, monta a agenda de viagens e entrega ao motorista a rota do dia. O munícipe faz o pedido pelo WhatsApp, sem instalar aplicativo; a secretaria de saúde aprova, aloca veículo e motorista e acompanha o andamento em painel próprio.
Cada prefeitura contratante opera em ambiente isolado, com seus próprios dados, usuários e configurações.
2. Quem são as partes
- Operadora: CODEWISE TECNOLOGIA E SISTEMAS LTDA, CNPJ 62.126.294/0001-50, com sede na Rua Pais Leme, 215, conj. 1713 — Pinheiros, São Paulo (SP), CEP 05424-150, que desenvolve e mantém o sistema.
- Contratante: a prefeitura ou secretaria municipal de saúde que contrata o serviço e responde pelo uso que faz dele.
- Usuários: servidores, operadores e motoristas cadastrados pela contratante, e os munícipes que utilizam o canal de WhatsApp.
A contratante é a controladora dos dados tratados no seu ambiente; a operadora atua como operadora, nos termos da LGPD e da política de privacidade.
3. O sistema não atende emergência
Emergência não passa por aqui. O sistema trata transporte sanitário agendado. Ele não despacha, não prioriza e não encaminha ocorrência de urgência ou emergência. Em situação com risco de vida, ligue para o SAMU (192) ou o Corpo de Bombeiros (193).
Essa limitação é estrutural, não configurável. O canal de WhatsApp possui uma guarda que identifica indícios de situação crítica e responde redirecionando ao serviço de emergência, retirando o atendimento automatizado do circuito. A contratante pode acrescentar termos a essa guarda, mas não pode remover os que vêm de origem nem desativá-la.
4. Cadastro e acesso
O acesso é nominal e individual. A contratante cadastra seus usuários, define o papel de cada um e é responsável por manter esse cadastro atualizado — inclusive por remover o acesso de quem deixa a função.
No painel, o login aceita e-mail ou CPF, com senha. Motoristas e outros servidores frequentemente não têm e-mail institucional; quem é cadastrado apenas com CPF entra por ele.
O motorista não usa senha. Ele abre a agenda em um aparelho autorizado nominalmente pela contratante. Para pedir a autorização, informa CPF e data de nascimento — o que, sozinho, não dá acesso a nada: o aparelho apenas exibe um código de seis dígitos e o pedido fica pendente. Um servidor da secretaria confere esse código por telefone, por voz, e só então autoriza. A identificação do motorista se apoia na posse do aparelho autorizado, não na posse de um link ou de um segredo que possa ser encaminhado.
Cada motorista tem um aparelho autorizado por vez: autorizar um novo revoga o anterior automaticamente, e a contratante pode revogar o acesso a qualquer momento, com efeito imediato.
Credenciais e aparelhos autorizados são pessoais e intransferíveis. O usuário responde pelas ações praticadas com o seu acesso.
5. Papéis e o que cada um enxerga
O sistema separa o que cada papel acessa, e essa separação é aplicada no banco de dados, linha por linha, não apenas na interface:
- Administrador: configura o ambiente da prefeitura, gerencia usuários e parâmetros, aprova solicitações.
- Operador: trabalha a fila, os agendamentos e as viagens do dia a dia.
- Motorista: vê apenas as próprias viagens, com paradas e passageiros.
Nenhum ambiente enxerga dados de outra prefeitura. Uma suíte de testes automatizada verifica esse isolamento a cada alteração do sistema.
6. Decisão sobre transporte é sempre humana
O canal de WhatsApp usa um agente automatizado para entender o pedido e organizar a informação, e casos fora do roteiro são encaminhados a um atendente humano.
Nenhuma solicitação vira viagem sem aprovação de um servidor identificado. Rejeição exige motivo registrado. Aprovações, mudanças de configuração e promoções na fila de espera ficam na trilha de auditoria, com autor, data e justificativa — e essa trilha não pode ser desligada.
A fila de espera ordena por score auditável, com pesos que a contratante configura; cada promoção fica registrada.
7. Uso do canal de WhatsApp
Mensagem ativa da secretaria para o munícipe exige conversa de entrada registrada — ou seja, o munícipe precisa ter escrito primeiro. O ritmo máximo de envio é definido pela operadora, porque o número é infraestrutura compartilhada, e não é configurável pela contratante.
O número de telefone, isoladamente, não identifica uma pessoa: quando um mesmo número está ligado a mais de um cadastro, o agente pergunta de quem se trata antes de prosseguir.
8. Obrigações da contratante
- Manter o cadastro de usuários e de munícipes correto e atualizado.
- Usar o sistema apenas para a finalidade de transporte sanitário no âmbito de sua competência.
- Definir quem aprova, quem opera e quem dirige, e responder por essas decisões.
- Instruir a operadora quanto ao tratamento de dados, na condição de controladora.
9. Obrigações da operadora
- Manter o isolamento entre ambientes de prefeituras diferentes.
- Manter a trilha de auditoria ativa e íntegra.
- Aplicar prazos de retenção não inferiores ao piso definido no sistema — a contratante pode reter por mais tempo, nunca por menos.
- Registrar na trilha de auditoria da própria contratante todo acesso de suporte ao seu ambiente, de modo que a prefeitura possa verificar quando alguém da operadora entrou e com qual usuário.
- Tratar dados pessoais conforme a política de privacidade.
10. Uso vedado
É vedado tentar acessar dados de outra prefeitura, contornar os controles de papel e de isolamento, automatizar acesso de forma não autorizada, usar o canal de WhatsApp para comunicação alheia ao transporte sanitário, ou empregar o sistema como se fosse serviço de urgência.
11. Disponibilidade e suporte
Janela de atendimento, canais de suporte, tempo de resposta, janelas de manutenção e compromisso de disponibilidade seguem [PENDENTES — decisão comercial]. O que este item descreve é o funcionamento real do sistema, verificado no código. Não é nível de serviço acordado, e nada aqui deve ser lido como SLA.
O que é monitorado. Erros do painel, do canal de WhatsApp e das rotinas automáticas são reportados a um serviço de monitoramento de erros, com os dados pessoais mascarados antes de saírem do servidor. A operadora acompanha, em painel próprio, o estado de cada conexão de WhatsApp, o volume enviado no dia contra o teto vigente, a ocupação da infraestrutura de mensageria e a última execução de cada rotina automática — com a duração e, quando houver, o erro registrado.
O estado das conexões de WhatsApp não depende de o sistema ser avisado: além de reagir aos eventos que recebe, uma rotina pergunta periodicamente ao provedor qual é o estado real de cada conexão e corrige o registro quando divergir. Isso existe porque falha de aviso é silenciosa — e silêncio, aqui, seria indistinguível de normalidade.
Rotinas automáticas. O sistema executa rotinas em horários fixos. As principais: envio das mensagens em fila, a cada minuto; oferta de vagas liberadas por cancelamento, a cada dois minutos; verificação das conexões de WhatsApp, a cada cinco minutos; lembretes de viagem e avisos ao motorista, a cada quinze minutos; e, de madrugada, a geração das séries de tratamento continuado e os expurgos de retenção. Cada execução fica registrada com início, fim, duração e resultado.
Quando um envio falha. Nenhuma mensagem é enviada direto: todas passam por uma fila.
- Se o canal estiver fora do ar, a fila segura a mensagem sem consumir tentativa — indisponibilidade do canal é estado do canal, não erro da mensagem, e tratá-la como erro faria a fila virar a causa da perda em vez da proteção contra ela.
- Erro passageiro devolve a mensagem à fila com espera crescente — 5, 15, 45 e 120 minutos. Esgotadas as tentativas, ou diante de erro definitivo, aquele envio é encerrado como falha.
- Mensagem que perde o sentido com o atraso não é entregue fora de hora: cada tipo tem prazo de validade próprio, e um aviso de viagem que já partiu, ou uma vaga já oferecida a outro candidato, é descartado em vez de entregue errado.
Nada disso vira silêncio. A viagem afetada entra na lista de contato por telefone que a secretaria já usa para quem não tem WhatsApp, e o painel da prefeitura mostra um aviso das falhas recentes de envio.
Disjuntor e alternativa entre provedores de IA. O atendimento automatizado usa uma cadeia de provedores. Três falhas consecutivas tiram um provedor de rotação por cinco minutos, e a conversa seguinte já entra pelo próximo da fila. Dentro de uma mesma conversa não há troca de provedor — trocar no meio arriscaria perder o contexto do que já foi dito, então a conversa é encaminhada a um atendente humano. Se nenhum provedor estiver disponível, o canal responde com texto fixo, informa os números de emergência e escala para atendimento humano: o sistema não adivinha.
O que o usuário percebe. Na maior parte dessas situações, nada — a mensagem sai alguns minutos depois. Quando o problema persiste, ele aparece: para a secretaria, como aviso de falha de envio e de conexão de WhatsApp fora do ar no painel; para o munícipe, como uma conversa que passa a ser conduzida por uma pessoa em vez do atendimento automatizado.
12. Preço, pagamento e vigência
[PENDENTE — não definido. Requer decisão comercial e contratual: modelo de cobrança, reajuste, prazo de vigência, renovação e condições de contratação com ente público.]13. Limitação de responsabilidade
[PENDENTE — não redigido. Requer parecer jurídico, considerando que o serviço apoia política pública de saúde e que a contratante é ente público.]14. Suspensão e encerramento
As hipóteses de suspensão, o prazo de aviso prévio e o compromisso de devolução e eliminação dos dados ao fim do contrato seguem [PENDENTES — decisão comercial e jurídica]. O que este item descreve é a capacidade técnica hoje existente, não aquilo a que a operadora se obriga.
Suspensão de acesso. O ambiente de uma prefeitura pode ser desativado, e a desativação tem efeito imediato: ninguém daquele ambiente consegue entrar, e as rotinas automáticas deixam de processá-lo. Os dados permanecem gravados — desativar não apaga.
O que a contratante extrai por conta própria, a qualquer momento. A tela de relatórios exporta em CSV o que o sistema consolida sobre a operação, no período escolhido: ocupação por tipo de lugar, demanda por bairro, por destino e por necessidade de mobilidade, tempo médio na fila de espera, aprovações e rejeições, faltas por paciente e utilização dos motoristas. Toda exportação fica registrada na trilha de auditoria, com quem exportou e quando.
Não existe hoje um botão de “exportar tudo”, nem rotina de devolução integral dos dados ao fim do contrato. O que existe é a exportação de relatórios descrita acima. Uma devolução completa é, hoje, operação manual da operadora — e o que se entrega, em que formato e em que prazo faz parte da definição contratual pendente.
Eliminação. Enquanto o ambiente existir, os prazos de retenção do item 9 continuam valendo e as rotinas diárias continuam apagando o que vence. Não há rotina de anonimização nem de eliminação do ambiente inteiro disparada pelo fim do contrato — o que acontece com os dados nesse momento depende da definição contratual pendente acima.
15. Propriedade intelectual
[PENDENTE — não redigido. Requer decisão jurídica sobre titularidade do software, licença de uso concedida à contratante e titularidade dos dados inseridos.]16. Alterações destes termos
Mudanças relevantes serão publicadas nesta página, com nova data de atualização, e comunicadas às prefeituras contratantes.
17. Legislação aplicável e foro
Estes termos são regidos pela legislação brasileira.
Fica eleito o foro da Comarca de Santo Anastácio, São Paulo, para dirimir as questões deles decorrentes.
Esta cláusula precisa de confirmação jurídica antes da publicação. Nos contratos com a administração pública, a eleição de foro é limitada — a contratação com ente municipal tende a se sujeitar ao foro da sede da própria Administração contratante, hipótese em que a eleição acima não prevaleceria contra a prefeitura. Além disso, o foro eleito não coincide com a sede da operadora, indicada no item 2.