Política de Privacidade

1. Introdução e escopo

Esta Política de Privacidade descreve como o PsicoSys trata dados pessoais no âmbito da plataforma de gestão para clínicas de saúde mental e bem-estar. Ela se aplica ao site institucional, ao painel de gestão utilizado pelas clínicas contratantes e aos serviços correlatos oferecidos pelo PsicoSys.

O PsicoSys é um software como serviço (SaaS) contratado por clínicas e profissionais de saúde para organizar agenda, prontuário eletrônico, financeiro e comunicação com pacientes. Em razão dessa natureza, tratamos dados pessoais em dois papéis distintos — como Controlador e como Operador — conforme detalhado na seção "Nossos papéis". Esta distinção é essencial para entender quem é responsável por cada decisão sobre os dados.

Esta Política observa a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD) e as normas aplicáveis ao exercício profissional em saúde. Recomendamos a leitura integral antes de utilizar a plataforma.

2. Definições

Titular: a pessoa natural a quem se referem os dados pessoais tratados (por exemplo, o profissional cadastrado ou o paciente da clínica).

Controlador: a quem competem as decisões referentes ao tratamento de dados pessoais — as finalidades e os meios do tratamento.

Operador: quem realiza o tratamento de dados pessoais em nome do Controlador e conforme as instruções deste.

Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.

Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, saúde ou vida sexual, dado genético ou biométrico, entre outros. Os dados de prontuário clínico são, em regra, dados sensíveis (dados de saúde).

Suboperador: terceiro contratado para tratar dados pessoais por conta e sob instrução do Operador, no apoio à prestação do serviço (por exemplo, infraestrutura de hospedagem).

3. Quem somos

A plataforma PsicoSys é operada por WS Desenvolvimento de Softwares LTDA, inscrita no CNPJ sob o nº 45.769.488/0001-54, com endereço em Rua Rio de Janeiro, 243, Sala 802, Centro, Belo Horizonte/MG, CEP 30.160-040.

Para questões relativas a esta Política e ao tratamento de dados pessoais, o contato é [email protected]. A identificação e os dados de contato do Encarregado pelo Tratamento de Dados Pessoais (DPO) constam na seção "Encarregado (DPO)".

4. Nossos papéis: Operador × Controlador

O PsicoSys atua sob dois papéis diferentes na LGPD, e é importante distingui-los porque eles definem quem toma as decisões e a quem o titular deve se dirigir.

Como OPERADOR: tratamos os dados de PACIENTES inseridos na plataforma pela clínica contratante — prontuário, evoluções clínicas, agenda de atendimentos e dados de contato do paciente. Nesse caso, a CLÍNICA contratante é a CONTROLADORA desses dados: é ela quem decide as finalidades e os meios do tratamento. O PsicoSys trata esses dados apenas conforme as instruções da clínica, para viabilizar o funcionamento do software, e não os utiliza para finalidades próprias.

Consequência prática do roteamento de direitos: o paciente, enquanto titular dos dados de prontuário, exerce seus direitos JUNTO À CLÍNICA em que é atendido, e não diretamente com o PsicoSys. Se o PsicoSys receber uma solicitação de um paciente, poderá encaminhá-la à clínica-controladora responsável ou orientar o paciente a procurá-la, salvo quando a lei determinar de outro modo.

Como CONTROLADOR: decidimos sobre o tratamento dos dados de CADASTRO dos clientes do PsicoSys (profissionais, administradores e recepção da clínica) — como nome, e-mail, CPF, credenciais de acesso e registro profissional (CRP/CRM) —, dos dados de faturamento da assinatura, dos dados de uso e logs da plataforma e dos cookies do painel. Para esses dados, o PsicoSys é o responsável e o titular exerce seus direitos diretamente conosco.

5. Dados que tratamos como Controlador

Dados de cadastro e conta: nome, e-mail, telefone, CPF, número de registro profissional (CRP/CRM ou equivalente) e credenciais de acesso dos usuários da clínica (administradores, profissionais e recepção).

Dados de faturamento da assinatura: informações necessárias à cobrança e à gestão do contrato de assinatura do PsicoSys pela clínica.

Dados de uso e logs: registros de acesso, endereços IP, ações realizadas no painel e trilha de auditoria, para fins de segurança, prevenção a fraudes e melhoria do serviço.

Cookies do painel: identificadores técnicos necessários à autenticação e ao funcionamento da sessão. Veja a seção "Cookies".

6. Dados que apenas Operamos (paciente/prontuário)

Os dados de pacientes inseridos pela clínica — prontuário, evoluções clínicas, dados de saúde, agenda de atendimentos e dados de contato do paciente — são tratados pelo PsicoSys exclusivamente na condição de Operador, por conta e ordem da clínica-controladora.

O PsicoSys não comercializa e não utiliza dados pessoais sensíveis de pacientes para fins econômicos próprios. Em conformidade com o art. 11, §4º, da LGPD, é vedada a comunicação ou o uso compartilhado de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica, e o PsicoSys observa essa vedação.

O acesso ao prontuário na plataforma é restrito: apenas o profissional responsável pelo atendimento acessa a evolução clínica correspondente, em respeito ao sigilo profissional e às regras de controle de acesso descritas na seção "Segurança".

7. Finalidades

Como Controlador, tratamos dados para: viabilizar o cadastro e a autenticação dos usuários da clínica; prestar e manter os serviços contratados; realizar a cobrança e a gestão da assinatura; garantir a segurança da plataforma, prevenir fraudes e apurar incidentes; cumprir obrigações legais e regulatórias; e melhorar continuamente o produto.

Como Operador, tratamos os dados de pacientes exclusivamente para executar as funcionalidades da plataforma conforme configuradas e instruídas pela clínica — por exemplo, registrar prontuário e evoluções, organizar a agenda e enviar lembretes de consulta. As finalidades desses dados são definidas pela clínica-controladora.

8. Bases legais

Para os dados que tratamos como Controlador, as bases legais aplicáveis são, conforme o caso: a execução de contrato e de procedimentos preliminares (art. 7º, V); o cumprimento de obrigação legal ou regulatória (art. 7º, II); o legítimo interesse, para fins de segurança, prevenção a fraudes e melhoria do serviço, sempre com avaliação de proporcionalidade e resguardo dos direitos do titular (art. 7º, IX); e o consentimento, restrito às hipóteses de cookies não essenciais e comunicações de marketing.

Para os dados de pacientes, que apenas Operamos, a base legal é definida pela clínica-controladora. Tratando-se de dados de saúde em contexto de prontuário, a hipótese típica é a tutela da saúde, em procedimento realizado por profissionais de saúde ou por entidade sanitária (art. 11, II, "f"). Em regra, o consentimento NÃO é a base do prontuário clínico. O PsicoSys apenas descreve esse enquadramento para transparência, sem se apropriar da decisão, que cabe à clínica.

9. Compartilhamento e sub-operadores

O PsicoSys não vende dados pessoais. O compartilhamento ocorre apenas com sub-operadores estritamente necessários à prestação do serviço, que tratam os dados sob instrução e por conta do PsicoSys (e, indiretamente, da clínica-controladora, no caso dos dados de pacientes).

Hospedagem e infraestrutura: os dados são hospedados em infraestrutura da Contabo Inc., localizada nos Estados Unidos da América. Trata-se de sub-operador de infraestrutura.

Mensageria (WhatsApp): quando a clínica utiliza lembretes de consulta ou o portal do paciente por WhatsApp, as mensagens trafegam pela plataforma WhatsApp, operada pela Meta Platforms. Nesse fluxo, a Meta atua como terceiro e há transferência internacional de dados (Estados Unidos).

Além desses, o PsicoSys pode compartilhar dados quando exigido por lei, ordem judicial ou requisição de autoridade competente. Não utilizamos, na presente data, gateway de pagamento de terceiros, provedor de e-mail transacional de terceiros, nem ferramentas de analytics ou telemetria de terceiros.

10. Transferência internacional de dados

Sim, há transferência internacional de dados pessoais. A hospedagem da plataforma ocorre nos Estados Unidos da América (Contabo Inc.) e, quando a clínica utiliza a comunicação por WhatsApp, as mensagens trafegam por infraestrutura da Meta Platforms, também nos Estados Unidos.

Não afirmamos que os dados permanecem exclusivamente no Brasil. Essas transferências são realizadas nos termos do art. 33 da LGPD, com adoção de salvaguardas contratuais adequadas e cláusulas de proteção de dados junto aos sub-operadores, de modo a assegurar um nível de proteção compatível com o previsto na legislação brasileira.

11. Cookies

Utilizamos cookies e tecnologias semelhantes essenciais ao funcionamento do painel, especialmente para autenticação e manutenção da sessão do usuário. Esses cookies são necessários e não dependem de consentimento.

Eventuais cookies não essenciais (por exemplo, de preferência ou de marketing) somente serão utilizados mediante consentimento, quando aplicável. Na presente data, o PsicoSys não emprega ferramentas de analytics ou telemetria de terceiros.

12. Segurança

Em atenção ao art. 46 da LGPD, o PsicoSys adota medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

Entre as medidas efetivamente adotadas estão: criptografia em trânsito (TLS); isolamento lógico dos dados por clínica (multi-tenant, com segregação por identificador de tenant); controle de acesso baseado em perfis de usuário (RBAC); restrição do acesso ao prontuário apenas ao profissional responsável pelo atendimento, em respeito ao sigilo; trilha de auditoria (registro de quem fez o quê e quando); exclusão lógica (soft delete) para preservar a integridade e a rastreabilidade dos registros; e rotinas de backup.

13. Retenção e eliminação

A definição dos prazos de guarda dos dados de prontuário é responsabilidade da clínica-controladora, que deve observar a legislação e as normas do respectivo conselho profissional. O PsicoSys viabiliza a guarda pelos prazos definidos pela clínica.

A título de referência, o prontuário psicológico deve ser guardado pelo prazo mínimo de 20 anos, nos termos da Lei nº 13.787/2018, e os registros documentais da atividade de psicologia devem ser mantidos pelo prazo mínimo de 5 anos, conforme as Resoluções CFP nº 001/2009 e nº 006/2019.

Os dados que tratamos como Controlador são mantidos pelo tempo necessário ao cumprimento das finalidades e das obrigações legais aplicáveis. Encerrada a necessidade e a relação contratual, os dados são eliminados ou anonimizados, ressalvadas as hipóteses de guarda obrigatória previstas em lei.

14. Direitos do titular

Nos termos do art. 18 da LGPD, o titular tem direito a, entre outros: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; portabilidade; informação sobre compartilhamento; informação sobre a possibilidade de não consentir e as consequências; e revogação do consentimento, quando este for a base do tratamento.

Para os dados que o PsicoSys trata como Controlador (cadastro, faturamento, uso/logs, cookies), o titular exerce esses direitos diretamente conosco, pelos canais indicados nesta Política.

Para os dados de pacientes, que o PsicoSys apenas Opera, o titular-paciente deve exercer seus direitos JUNTO À CLÍNICA em que é atendido, que é a Controladora. Solicitações recebidas diretamente pelo PsicoSys poderão ser encaminhadas à clínica responsável.

15. Encarregado (DPO)

O Encarregado pelo Tratamento de Dados Pessoais (DPO) do PsicoSys é Wesley Igor Siqueira Alencar, que pode ser contatado pelo e-mail [email protected].

O Encarregado é o canal de comunicação entre o PsicoSys, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).

16. Incidentes de segurança

Na hipótese de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o PsicoSys adotará as medidas técnicas cabíveis para conter e mitigar os efeitos do incidente.

Quando o incidente envolver dados de pacientes (tratados na condição de Operador), o PsicoSys comunicará a clínica-controladora sem demora injustificada, fornecendo as informações necessárias para que a clínica cumpra suas obrigações, inclusive eventual comunicação à ANPD e aos titulares. Para os dados que tratamos como Controlador, cabe ao PsicoSys realizar as comunicações exigidas em lei.

17. Alterações desta Política

Esta Política pode ser atualizada a qualquer tempo para refletir mudanças na plataforma, na legislação ou nas práticas de tratamento. A data da última atualização é indicada no topo deste documento.

Alterações relevantes poderão ser comunicadas pelos canais habituais de contato. Recomendamos a consulta periódica a esta página.

18. Contato e ANPD

Para dúvidas, solicitações e exercício de direitos relativos a esta Política, entre em contato pelo e-mail [email protected] ou com o Encarregado, pelo e-mail [email protected].

O titular também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), por meio dos canais oficiais disponibilizados pela autoridade.