Política de Privacidade do PsiQs Pro

Como [[PREENCHER: razão social da Nova Tech]] (“Nova Tech”) trata dados pessoais no PsiQs Pro, em cumprimento à Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD). Vigente a partir de [[PREENCHER: data de vigência]].

1. Quem somos e a quem esta política se aplica

1.1. O PsiQs Pro é fornecido por [[PREENCHER: razão social da Nova Tech]], CNPJ [[PREENCHER: CNPJ]], com sede em [[PREENCHER: endereço completo da sede]] (“Fornecedor” ou “nós”). Encarregado pelo tratamento de dados pessoais: [[PREENCHER: nome do encarregado de dados]], [[PREENCHER: e-mail do encarregado de dados]].

1.2. Esta política vale para médicos e clínicas que usam o Serviço, para as pessoas da equipe que eles cadastram e para pacientes cujos dados são registrados nele. A divisão de papéis é esta:

2. Dados do médico e da equipe que tratamos como controlador

2.1. Não usamos os seus dados para publicidade, não traçamos perfil de comportamento e não vendemos dados. Não tomamos decisões automatizadas sobre você.

2.2. A cobrança da assinatura é feita pelo Asaas, empresa de pagamentos contratada por nós, por Pix, boleto ou cartão, à escolha do médico na fatura. Dados de cartão são digitados na página do Asaas e tratados por ele, segundo as regras dele; nós não os recebemos. O Asaas envia as faturas e os avisos de cobrança ao e-mail e ao celular informados, e nos avisa quando um pagamento é confirmado, vence, é estornado ou contestado.

2.3. Suporte. O suporte é feito pela tela Ajuda do aplicativo: central de ajuda, assistente de suporte e chamados com a nossa equipe.

• Assistente de suporte. É uma função de inteligência artificial que responde com a central de ajuda e com a situação da conta listada na tabela acima. Ele não tem acesso ao conteúdo clínico nem ao prontuário dos pacientes. O que você escreve é pseudonimizado no servidor antes de ir ao provedor de IA (seção 6.7).
• Chamados. O que o assistente não resolve pode virar chamado, com a conversa junto. O chamado fica no nosso servidor, no Brasil, cifrado com a chave do servidor (e não com a chave do médico), para que a equipe de suporte consiga lê-lo e responder. O texto passa pela mesma pseudonimização antes de chegar à equipe.
• Equipe de suporte. Quem atende é pessoa autorizada por nós e obrigada por escrito ao sigilo. A equipe recebe os avisos e responde pelo Telegram, usado como ferramenta interna (seção 6.8). Ela nunca pede senha, chave de recuperação ou código da verificação em duas etapas, e confere a identidade de quem pede antes de mexer no acesso de uma conta.
• Não escreva dados de pacientes no suporte. Nome, CPF, telefone, diagnóstico ou trecho de consulta não são necessários para resolver problemas da conta, e a pseudonimização pode não reconhecer tudo. Se, mesmo assim, uma mensagem trouxer dado de paciente, ele é tratado com o mesmo sigilo, só para responder ao chamado, e pode ser apagado do chamado a pedido do médico.

3. Dados dos pacientes (nosso papel de operador)

3.1. O médico registra no Serviço dados dos pacientes que atende: identificação e contato (nome, nascimento, sexo, telefone, e-mail, responsáveis), informações de saúde mental (dado pessoal sensível, art. 5º, II, e art. 11 da LGPD), diagnósticos, escalas, áudio de consultas, transcrições, evoluções, respostas a questionários, documentos, agenda, cobranças, prescrições e consentimentos para pesquisa. Se o médico conectar o WhatsApp do consultório, passam pelo Serviço também as mensagens trocadas com os pacientes por esse número. Pode haver dados de terceiros mencionados no atendimento, como familiares.

3.2. Quem decide sobre esses dados é o médico. A base legal típica do médico é a tutela da saúde, em procedimento realizado por profissional de saúde (art. 11, II, “f”, da LGPD). A gravação de áudio e o Apoio por IA dependem, além disso, do consentimento do paciente, que o médico obtém e registra no sistema.

3.3. Nós tratamos esses dados apenas para executar as funções que o médico usa, conforme o Acordo de Tratamento de Dados. Não os usamos para finalidade própria, não os usamos para treinar modelos de IA e não os vendemos.

4. Onde os dados ficam e como os protegemos

4.1. No navegador do médico e da equipe. O prontuário fica guardado no navegador do computador em que se usa o Serviço. Essa cópia local não é cifrada; por isso os Termos de Uso pedem cuidado com o computador e “Sair e apagar” em computador compartilhado.

4.2. No nosso servidor. Quando o médico entra na conta, uma cópia cifrada do prontuário é sincronizada com o servidor, para uso em mais de um aparelho e pela equipe. O servidor é um servidor virtual contratado da Hostinger, localizado no Brasil (Campinas, SP), com banco de dados Postgres. Toda conexão usa HTTPS obrigatório.

4.3. Medidas de segurança (art. 46 da LGPD):

• conteúdo clínico (prontuário sincronizado, cadastros de pacientes, consultas, pareceres, evoluções e áudios) cifrado em repouso com AES-256-GCM, com chave protegida pela senha do médico (derivação scrypt) somada a uma chave mestra do servidor;
• chave de recuperação entregue ao médico no cadastro, sem cópia legível conosco;
• senhas fortes (o sistema recusa senhas curtas ou fáceis de adivinhar), guardadas só como resumo criptográfico (bcrypt), e limite de tentativas de entrada;
• verificação em duas etapas obrigatória para o médico titular e para todas as pessoas da equipe;
• nova confirmação da senha e do código para ações sensíveis: cadastrar ou alterar pessoas da equipe, conectar o Asaas e encerrar a assinatura;
• acesso da equipe com perfis aplicados pelo próprio servidor: quem não tem acesso ao prontuário não recebe o prontuário; só o médico titular exclui pacientes;
• certificado digital A1 de cada médico guardado cifrado com a chave dele, usado só pela conta dele;
• novo aceite obrigatório quando os documentos legais mudam;
• registro de auditoria encadeado por resumo criptográfico (quem fez o quê, quando, de onde), que denuncia alteração ou exclusão parcial;
• cópia de segurança diária do banco, com teste de restauração, guardada por 30 dias no servidor, e cópia cifrada guardada por 90 dias em computador da empresa;
• banco de dados e programa do WhatsApp sem acesso direto pela internet; servidor de retransmissão da teleconsulta impedido de alcançar a rede interna.

4.4. Para ser transparente sobre os limites dessas medidas:

1. Durante o uso. Enquanto o médico ou alguém da equipe está conectado (sessão de até 12 horas), o servidor usa a chave, em memória, para executar as funções acionadas — por exemplo, salvar o prontuário e pseudonimizar o texto antes do Apoio por IA. Quem administra o servidor teria meios técnicos de capturar essa chave de propósito; nós nos obrigamos a não fazer isso, e o acesso ao servidor é restrito a pessoas autorizadas e obrigadas ao sigilo.
2. Dados que nós conseguimos ler. Ficam cifrados com uma chave do servidor, que nós conseguimos abrir, para o sistema funcionar com o médico desconectado: a cópia da agenda dos próximos dias usada pelo WhatsApp (data, hora, situação, nome e telefone do paciente); a lista de nomes e telefones dos pacientes que têm telefone; as conversas e os avisos do robô do WhatsApp, inclusive o texto de mensagens de risco; os links de pagamento (nome, horário, valor); a chave de acesso do médico ao Asaas; a agenda do link de assinatura (só iniciais); o segredo da verificação em duas etapas; e os chamados de suporte, com a conversa com o assistente que os acompanha.
3. Dados sem cifra. As mensagens de WhatsApp guardadas pelo programa que faz a conexão (Evolution API); o cadastro do médico e da equipe; a situação da assinatura de cada conta; datas, duração e marcações das consultas (consentimento, uso de IA); o registro de auditoria; os registros técnicos do servidor (IP, data e hora das conexões; telefones nos registros do programa do WhatsApp); e as páginas de questionário publicadas. Esses dados também estão nas cópias de segurança.
4. Nenhum sistema é totalmente seguro. Se houver incidente de segurança, agiremos conforme a seção 9.

5. Com quem os dados são compartilhados

5.1. Só compartilhamos dados com os fornecedores abaixo, na medida do necessário para cada função, ou quando a lei ou uma ordem judicial obrigar.

5.2. O Asaas aparece duas vezes porque tem dois papéis separados: na cobrança da assinatura, é contratado por nós e trata os dados do médico como cliente; na cobrança de pacientes, é a conta do próprio médico. WhatsApp, o Asaas do médico, Memed, Google Agenda e Calendário da Apple são serviços que o médico contrata ou usa diretamente, com termos próprios; o PsiQs Pro se liga a eles por instrução do médico. Avisaremos o médico antes de trocar ou incluir fornecedor contratado por nós que trate dados de pacientes (Acordo de Tratamento de Dados, cláusula 9).

5.3. Pedidos de autoridades: só entregamos dados com base legal ou ordem judicial, e avisamos o médico, salvo proibição legal. Só podemos entregar o que conseguimos ler (seção 4.4, b e c); o conteúdo clínico, cifrado com chave ligada à senha do médico, não está ao nosso alcance.

6. Transferência internacional de dados

6.0. Quem envia texto à IA. Só as contas com IA mandam texto aos provedores de IA das seções 6.1, 6.2 e 6.6: as do plano Completo com IA e, durante os 7 dias de teste, as de qualquer plano. Contas de cortesia têm tudo incluído e também usam a IA. No plano Essencial, fora do teste, nenhum texto de consulta ou de mensagem de WhatsApp vai a provedor de IA. O assistente de suporte, que não trata dados de pacientes, funciona em todos os planos e segue a seção 6.7.

6.1. DeepSeek (China): Apoio por IA. Quando o médico usa o Apoio por IA, o servidor pseudonimiza o texto da consulta e o resumo da ficha — troca por marcadores o nome do paciente e dos responsáveis, outros nomes de pessoa reconhecidos, CPF, CNS, RG, telefones, e-mails, endereços, bairros, datas e instituições — e o envia à DeepSeek, empresa chinesa, com servidores na China. É uma transferência internacional de dado pessoal sensível (arts. 33 a 36 da LGPD; Resolução CD/ANPD nº 19/2024). Dado pseudonimizado continua sendo dado pessoal, porque ainda pode, em tese, ser associado a alguém. Essa transferência se apoia no consentimento específico e destacado do paciente, informado previamente do caráter internacional da operação (art. 33, VIII, da LGPD), que o médico obtém e registra antes do envio.

6.2. DeepSeek (China): WhatsApp. Quando o robô do WhatsApp não entende uma mensagem pelas regras automáticas, o texto, pseudonimizado do mesmo modo e limitado a 800 caracteres, vai à DeepSeek para identificar o pedido e sinais de risco. Nesse caso não há marcação de consentimento por paciente: o envio é parte do funcionamento do robô que o médico decidiu ligar, e o médico deve informar os pacientes (seção 3.6). Áudios não são enviados. O envio para quando a conta não tem IA (plano Essencial depois do teste), quando a assinatura não está ativa ou quando a conta atinge o limite mensal de uso da IA; aí o robô responde só pelas regras automáticas.

6.3. Medidas que reduzem o risco nas duas transferências: a pseudonimização no servidor, antes de qualquer envio; o envio só de texto, nunca de áudio; nada é enviado da consulta se a ferramenta de pseudonimização não estiver disponível; a detecção de risco no WhatsApp roda primeiro por regras, sem depender da IA; e o mapa que desfaz os marcadores fica no nosso servidor, nunca vai junto. A pseudonimização reduz, mas não elimina, o risco de reidentificação: nomes no começo de frase, cidades, empresas, cargos e detalhes clínicos raros podem passar ou identificar a pessoa. A DeepSeek trata os dados segundo os termos dela e a lei da China, que tem regras próprias de acesso por autoridades. O médico decide se usa o Apoio por IA, paciente por paciente, e se liga o robô do WhatsApp.

6.4. Outras empresas estrangeiras. Ao abrir o Serviço, o navegador busca fontes no Google Fonts e programas na Cloudflare (cdnjs), na jsDelivr e na Hugging Face, o que expõe a essas empresas o endereço IP e dados técnicos do navegador. Na teleconsulta, o navegador consulta um servidor STUN do Google. Se a transcrição ao vivo for ligada fora do Chrome ou do Edge do computador, a voz pode ir ao serviço de reconhecimento da Apple ou do Google. O Google Agenda e o Calendário da Apple recebem horários e iniciais, se o médico os ligar. Essas empresas podem tratar os dados fora do Brasil.

6.5. Hospedagem. O servidor fica no Brasil; a hospedagem não envolve transferência internacional.

6.6. Provedor de reserva (Estados Unidos). Quando a DeepSeek não responde — fora do ar, lenta demais, sobrecarregada ou com erro —, o servidor envia automaticamente a mesma requisição a [[PREENCHER: nome do provedor americano escolhido]], provedor americano de hospedagem de modelos de IA abertos, que roda o mesmo modelo DeepSeek em servidores nos Estados Unidos. Ele é usado só como reserva, só enquanto a IA principal falha, e recebe exatamente o mesmo texto já pseudonimizado, nas mesmas situações das seções 6.1 e 6.2 — nunca áudio, nunca o mapa que desfaz os marcadores. É uma transferência internacional de dado pessoal sensível (arts. 33 a 36 da LGPD), com o mesmo fundamento das seções 6.1 e 6.2, e as medidas da seção 6.3 valem igualmente. Segundo a política desse provedor para uso por API, os dados enviados não são usados para treinar modelos de IA. Ele trata os dados segundo os termos dele e a lei dos Estados Unidos, que tem regras próprias de acesso por autoridades.

6.7. Assistente de suporte (China e, na falha, Estados Unidos). Quando você ou alguém da sua equipe escreve ao assistente da tela Ajuda, o servidor pseudonimiza o texto do mesmo modo da seção 6.1 e o envia, junto com a situação da conta (plano, assinatura e faturas, verificação em duas etapas, conexão do WhatsApp, pagamentos da assinatura), à DeepSeek, na China, ou, só quando ela falha, ao provedor de reserva nos Estados Unidos (seção 6.6). São dados do médico e da equipe, de que somos controladores; não vão dados de pacientes nem conteúdo clínico, que o assistente não alcança. É transferência internacional de dados pessoais, necessária para prestar o suporte que você pede dentro do contrato (art. 33, IX, combinado com o art. 7º, V, da LGPD), com as medidas da seção 6.3. Se você não quiser esse envio, não use o assistente: escreva direto à equipe em um chamado, ou pelo e-mail de contato dos Termos de Uso.

6.8. Telegram (ferramenta interna da equipe). A nossa equipe de suporte recebe os avisos de chamado e responde pelo Telegram, aplicativo de mensagens cujos servidores ficam fora do Brasil. Por ele passam só dados de nível da conta e o texto do chamado, já pseudonimizado; o sistema não envia ao Telegram conteúdo do prontuário nem dados de pacientes. O Telegram trata esses dados segundo os termos dele e as leis dos países onde estão os servidores.

7. Cookies e armazenamento no navegador

7.1. Usamos apenas o cookie estritamente necessário para manter a entrada no aplicativo. Ele é inacessível a programas da página (HttpOnly), só trafega por conexão segura e some ao fechar o navegador ou, se você marcar “manter conectado”, dura 30 dias. A sessão de trabalho no servidor dura até 12 horas. Sem esse cookie, o Serviço não funciona; por isso não pedimos consentimento para ele.

7.2. Não usamos cookies de publicidade, de análise de audiência ou de rastreamento, nem pixels de terceiros.

7.3. O prontuário local e a identificação da sessão ficam no armazenamento do navegador (não são cookies), sem cifra. Eles são necessários para o funcionamento e só são lidos pelo próprio Serviço, mas qualquer pessoa com acesso àquele navegador consegue abri-los. “Sair e apagar” remove esses dados.

7.4. O carregamento das fontes e programas da seção 6.4 expõe o IP a essas empresas.

8. Por quanto tempo guardamos

8.1. Dados do médico e da equipe: enquanto a conta existir. Encerrada a assinatura, a conta continua existindo em modo de leitura, para o médico consultar e exportar o prontuário, e não é apagada automaticamente. Se o médico pedir a exclusão, excluímos os dados da conta, exceto:

• registros de acesso: 6 meses (art. 15 da Lei nº 12.965/2014);
• dados fiscais e de cobrança: pelo prazo da legislação tributária, em regra 5 anos;
• prova do aceite e registros necessários para defesa em eventual processo: até o fim do prazo de prescrição aplicável.

8.1-A. Chamados de suporte, com as mensagens e a conversa com o assistente que os acompanha: 2 anos depois de encerrados; depois, são excluídos. As cópias de segurança em que ainda estejam expiram no ciclo da seção 8.3. As mensagens que passaram pelo Telegram seguem o mesmo prazo, conforme as possibilidades da ferramenta.

8.2. Dados dos pacientes: seguimos as instruções do médico. O áudio de consulta tem guarda configurada em 20 anos, alinhada ao prazo mínimo de guarda do prontuário (art. 6º da Lei nº 13.787/2018). As mensagens de WhatsApp e as conversas do robô ficam enquanto a conta existir; hoje não há exclusão automática. Encerrada a assinatura, os dados não são apagados automaticamente: o médico tem pelo menos 30 dias em modo de leitura para exportar tudo (hoje esse modo continua depois desse prazo), e a exclusão ou a devolução dos dados acontece quando o médico pedir por escrito. Guardar o prontuário pelo prazo legal é dever do médico (Acordo de Tratamento de Dados, cláusula 15).

8.3. Cópias de segurança: as cópias diárias do banco ficam 30 dias no servidor (as dos arquivos de áudio, 7 dias), e a cópia cifrada em computador da empresa fica 90 dias. Um dado excluído pode continuar nessas cópias até que elas expirem, no estado em que estava no banco: o conteúdo clínico cifrado, e os demais dados como descritos na seção 4.4.

9. Incidentes de segurança

9.1. Se um incidente atingir dados do médico ou da equipe, nós, como controlador, comunicaremos a Agência Nacional de Proteção de Dados (ANPD) e os afetados quando houver risco ou dano relevante, no prazo de 3 dias úteis previsto na Resolução CD/ANPD nº 15/2024 (arts. 6º e 9º).

9.2. Se o incidente atingir dados de pacientes, avisaremos o médico em até 24 horas, para que ele, como controlador, faça as comunicações devidas. As regras estão no Acordo de Tratamento de Dados, cláusula 11.

10. Seus direitos

10.1. O titular de dados pode pedir ao controlador (art. 18 da LGPD): confirmação de que há tratamento; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; portabilidade; eliminação de dados tratados com base no consentimento, salvo as exceções do art. 16; informação sobre com quem os dados foram compartilhados; informação sobre a possibilidade de não consentir e suas consequências; e revogação do consentimento.

10.2. Médico e equipe: façam o pedido em [[PREENCHER: e-mail do encarregado de dados]]. Pedidos de confirmação e de acesso serão respondidos de imediato, em formato simplificado, ou em até 15 dias, com declaração completa (art. 19 da LGPD); os demais, no menor prazo possível. Podemos pedir confirmação de identidade.

10.3. Paciente: dirija o pedido ao seu médico (seção 3.8). O sistema dá ao médico, na ficha de cada paciente, a cópia completa dos dados e a exclusão a pedido.

10.4. Você também pode peticionar à ANPD (art. 18, § 1º, da LGPD).

10.5. Alguns dados não podem ser eliminados a pedido enquanto houver obrigação legal de guardá-los — por exemplo, o prontuário, que o médico deve preservar pelo prazo legal (art. 16, I, da LGPD). O sistema avisa o médico sobre esse prazo antes de excluir.

11. Crianças e adolescentes

11.1. O Serviço é usado por médicos. Dados de pacientes crianças ou adolescentes são registrados pelo médico, no melhor interesse do paciente (art. 14 da LGPD). Quando a função depender de consentimento (áudio, Apoio por IA), cabe ao médico obtê-lo dos pais ou do responsável legal, observadas as regras éticas sobre sigilo e autonomia do adolescente.

12. Encarregado e contato

12.1. Encarregado pelo tratamento de dados pessoais: [[PREENCHER: nome do encarregado de dados]] — [[PREENCHER: e-mail do encarregado de dados]]. Endereço para correspondência: [[PREENCHER: endereço completo da sede]].

13. Alterações desta Política

13.1. Esta Política pode mudar. Cada versão tem data. Mudanças relevantes serão avisadas aos médicos com pelo menos 30 dias de antecedência, por e-mail e no aplicativo.