Privacidade

Na linguagem da LGPD (Lei 13.709/2018), quem decide por que e como os dados dos seus pacientes são tratados é você: controladora. Nós tratamos esses dados a seu mando e nos limites do que você contratou: operador.

A distinção não é formalidade. Ela decide quem responde ao paciente que pede acesso ou correção — é você, porque é você quem tem o vínculo profissional e o dever de sigilo. Nós não atendemos esse pedido diretamente e nunca agimos sobre esse dado por conta própria.

Dado de saúde é dado pessoal sensível pela LGPD (art. 5º, II), e num consultório de psicologia a própria lista de quem tem hora marcada já é isso. O produto é construído nessa premissa, e não em cima dela.

Sobre você: nome, e-mail, telefone, dados do plano, histórico de cobrança e registros técnicos de erro.

Sobre os seus pacientes: o que você registra — cadastro, contato, horários, sessões, valores, e o conteúdo clínico que você escrever (prontuário, evolução, anamnese). Nada disso vem de outro lugar; tudo entra por você.

O que não guardamos: conteúdo de sessão gravado, transcrição de áudio, e o que você não digitar. O sistema não grava atendimento, e não existe função para isso.

As telas que usamos para operar o negócio e dar suporte enxergam conta, plano, cobrança e contagem: quantos pacientes, quantas sessões, quantas mensagens. Elas não enxergam nome de paciente, prontuário, evolução nem anamnese.

Isso não é uma regra de conduta que alguém precisa lembrar. As funções do painel são escritas por lista de colunas nomeadas, e há um teste automático que lê o código dessas funções e reprova a alteração se qualquer uma passar a mencionar uma tabela clínica. Outro teste planta um nome improvável na base e falha se ele aparecer em qualquer saída.

Também não existe no sistema um modo de assumir a sua sessão para “ver o que está acontecendo”. É a porta mais comum em softwares desse tipo, e ela está fechada aqui porque o sigilo é seu — você não pode nos dar acesso a ele nem se quiser (Código de Ética do Psicólogo, art. 9º).

Infraestrutura: os dados ficam em servidores da Supabase (Amazon Web Services), cifrados em repouso e em trânsito.

Mensagens: quando você usa lembrete, oferta de vaga ou aviso de cobrança, a mensagem passa pelo provedor de WhatsApp. O texto padrão é discreto: remetente neutro, sem o seu nome profissional e sem a palavra terapia na tela bloqueada do celular de quem recebe.

Google Agenda: é opcional e nasce desligada. Quando você liga, o evento sai escrito apenas “Sessão” — sem nome. Existe um modo que inclui o nome, ele exige um clique seu, e a tela mostra antes como o evento vai ficar, com um nome real da sua base, para você decidir vendo.

Contador: a pasta mensal é opcional, nasce desligada, e leva dinheiro — nunca gente. Não existe uma opção de “incluir os nomes”, porque opção assim todo mundo marca.

Não vendemos dado, não fazemos publicidade com ele, e não usamos prontuário, evolução ou anamnese para treinar modelos de inteligência artificial. Esse conteúdo também não é copiado para ambientes de teste ou demonstração.

Quando você apaga o contato de um paciente ou encerra a conta inteira, os dados saem do banco em produção no momento da confirmação. A partir dali eles não aparecem em nenhuma tela, exportação, relatório ou integração.

Documento emitido é a exceção, e é de propósito: recibo, declaração e informe não se apagam — se cancelam, com data e motivo, e o cancelamento fica no lugar. Um documento que some sem deixar rastro é um documento em que ninguém pode confiar, inclusive você, no dia em que precisar provar que emitiu.

Mantemos cópias de segurança diárias para o caso de falha ou exclusão acidental. Um dado excluído continua existindo nessas cópias por no máximo 7 dias, quando elas expiram e são destruídas automaticamente. Nesse intervalo, as cópias são cifradas, não são acessíveis por nenhuma tela do produto, e só podem ser restauradas inteiras — não é possível extrair delas o registro de uma pessoa.

Por que não prometemos exclusão instantânea e definitiva: porque isso exigiria operar sem backup, e operar sem backup significa que uma falha nossa apagaria o prontuário dos seus pacientes para sempre. Preferimos um prazo curto, escrito e verificável a uma promessa que nos obrigaria a ser menos cuidadosos.

O prontuário psicológico tem guarda mínima de cinco anos (Resolução CFP nº 001/2009). Quando o paciente é menor de idade, o prazo conta a partir da maioridade dele, e não do último atendimento — sem isso, a ficha de quem foi atendido aos nove anos ficaria elegível para descarte aos catorze, antes de a própria pessoa ter idade para pedi-la.

A guarda é uma obrigação sua como profissional, e o sistema existe para você poder cumpri-la. Por isso, antes de excluir qualquer coisa, ele diz até quando aquele registro ainda está no prazo — e a decisão de apagar continua sendo sua, porque quem responde por ela é você.

O que é apagado a qualquer momento, mesmo dentro do prazo: telefone, e-mail, contato dos responsáveis e o consentimento para receber mensagem. Existe uma função específica para isso, e ela deixa o registro clínico intacto — apagar o contato é minimização de dado; apagar o registro seria descumprir a guarda.

A exportação sai a qualquer momento, em formato aberto e legível, com tudo: pacientes, sessões, prontuários, anamneses, documentos emitidos, registros financeiros e fiscais. Ela é a sua cópia.

Sem exportar, a conta não é encerrada. A obrigação de guarda dos cinco anos continua sendo sua depois que a conta acaba, e encerrar sem exportar transfere para você um problema sem solução — o registro que o Conselho pode pedir daqui a quatro anos deixaria de existir em qualquer lugar do mundo. Por isso o sistema recusa: só encerra quem exportou nas últimas 24 horas.

As 24 horas não são burocracia. Uma exportação de duas semanas atrás não tem as duas semanas — e o que você levaria seria um arquivo com cara de completo e um buraco no fim.

Encerrar pede também o nome da conta digitado, e só a titular pode fazê-lo. É a única operação irreversível do produto, e um clique acidental não deve alcançá-la.

Em caso de incidente de segurança que possa afetar dados dos seus pacientes, avisamos você em até 24 horas — com o que aconteceu, o que foi atingido na sua conta, o que já foi feito e a hora exata em que soubemos. Essa hora é de onde começa a contar o prazo de três dias úteis que a Resolução CD/ANPD nº 15/2024 dá a você para comunicar a ANPD e os pacientes.

E o dever de comunicar é seu, nos dados dos pacientes: você é a controladora desses dados e nós somos o operador. A página do incidente explica por quê, diz o que fazemos nas primeiras horas e traz o modelo do texto que você vai precisar mandar ao paciente.

Para exercer qualquer direito, corrigir qualquer coisa desta página ou tirar dúvida: oi@sessoes.com.br. A página de segurança detalha o lado técnico.