Política de Privacidade

1. Quem somos e escopo

1.1. A plataforma Psimplifica é fornecida por GH ENGENHARIA E GESTÃO INTEGRADA DE PROCESSOS LTDA, CNPJ 68.021.316/0001-01, com sede em Rua Tobias de Macedo Júnior, 1381 – Santo Inácio, Curitiba/PR, CEP 82010-340 (“Psimplifica”, “nós”).

1.2. Esta Política explica quais dados pessoais tratamos, por que, como os protegemos e quais são os direitos dos titulares. Ela se aplica ao site público, ao cadastro e ao uso da plataforma por psicólogas e psicólogos assinantes (“Assinante”) e por seus usuários adicionais.

1.3. Esta Política complementa os Termos de Uso.

2. Papéis: controlador e operador

2.1. A LGPD distingue quem decide sobre o tratamento (controlador) de quem trata dados em nome de outro (operador). Na Psimplifica, os papéis são:

2.2. Como controlador dos dados dos pacientes, cabe ao Assinante definir a base legal do tratamento, informar os pacientes e atender aos seus pedidos. Nós apoiamos o Assinante nessas obrigações, conforme a seção 7.

3. Dados que tratamos

3.1. Do Assinante e dos usuários adicionais

• Identificação e contato: nome completo, e-mail (login), WhatsApp, CPF e número do CRP.
• Credenciais: senha, armazenada apenas na forma de hash (bcrypt), nunca em texto puro.
• Assinatura e cobrança: plano escolhido, histórico de pagamentos e faturas, status da assinatura. Dados de cartão de crédito são informados diretamente ao intermediador de pagamentos e não ficam armazenados na plataforma.
• Configurações do consultório inseridas pelo Assinante (por exemplo, dados para recibo).

3.2. Inseridos pelo Assinante sobre seus pacientes

• Cadastro: nome, contato, data de nascimento, documento, endereço, responsável financeiro e demais campos que o Assinante preencher.
• Agenda: datas, horários, recorrência, presença e faltas.
• Prontuário: registros das sessões, anotações e versões anteriores — dados de saúde.
• Financeiro: valores, pagamentos, recibos e informações para o Carnê-Leão (por exemplo, CPF do paciente ou do responsável).

3.3. Dados técnicos

• Endereço IP, data e hora de acesso, tipo de navegador e dispositivo, registrados para segurança e cumprimento do Marco Civil da Internet (Lei nº 12.965/2014).
• Trilha de auditoria: registro de quem abriu cada prontuário e quando.

4. Dados de saúde (dados sensíveis)

4.1. Informações de prontuário e demais dados sobre a saúde dos pacientes são dados pessoais sensíveis (art. 5º, II, e art. 11 da LGPD) e, além disso, estão protegidos pelo sigilo profissional do psicólogo.

4.2. Por isso, esses dados recebem proteção reforçada: o prontuário é criptografado antes de ser gravado, o acesso é restrito ao profissional responsável, usuários com perfil de secretária não têm acesso, e cada abertura é registrada em auditoria (veja a seção 8).

4.3. A Psimplifica não lê, não analisa, não vende e não usa o conteúdo dos prontuários para qualquer finalidade própria, como publicidade, estatísticas comerciais ou treinamento de sistemas de inteligência artificial.

5. Finalidades

• Criar e manter a conta, autenticar o acesso e prestar o serviço contratado.
• Armazenar e exibir ao Assinante os dados que ele registra (agenda, pacientes, prontuário, financeiro, recibos, arquivo do Carnê-Leão).
• Cobrar a assinatura, emitir notas fiscais e cumprir obrigações fiscais e contábeis.
• Enviar comunicações necessárias sobre a conta: confirmação de cadastro, avisos de cobrança, fim do teste, reajustes, mudanças nos Termos, incidentes e prazos de exclusão.
• Prestar suporte quando solicitado pelo Assinante.
• Garantir a segurança da plataforma, prevenir fraudes e investigar acessos indevidos.
• Cumprir obrigações legais e ordens de autoridades competentes.

Não enviamos publicidade de terceiros e não usamos os dados para criar perfis de comportamento.

6. Bases legais

6.1. Dados em que somos controladores

6.2. Dados dos pacientes (em que o Assinante é controlador)

A definição da base legal cabe ao Assinante. Em regra, o tratamento de dados de saúde por psicólogos se apoia na tutela da saúde, em procedimento realizado por profissionais de saúde (art. 11, II, “f”) e no cumprimento de obrigação legal ou regulatória, como a guarda do prontuário prevista pelo Conselho Federal de Psicologia (art. 11, II, “a”). Dados financeiros e fiscais dos pacientes se apoiam, em regra, na execução do contrato de prestação de serviços e no cumprimento de obrigação legal (art. 7º, II e V).

7. Compromissos como operadora

Em relação aos dados dos pacientes, a Psimplifica se compromete a (detalhes no Acordo de Tratamento de Dados Pessoais):

1. tratar os dados somente para prestar o serviço e conforme as instruções do Assinante, que se materializam no uso da plataforma;
2. garantir que as pessoas que eventualmente tenham acesso à infraestrutura estejam sujeitas a dever de confidencialidade;
3. adotar as medidas de segurança descritas na seção 8;
4. contratar suboperadores apenas quando necessário, com obrigações de proteção equivalentes (seção 9);
5. apoiar o Assinante no atendimento a pedidos de titulares, oferecendo ferramentas de consulta, correção, exportação e exclusão;
6. comunicar o Assinante sobre incidentes de segurança que possam afetar seus dados (seção 13);
7. ao término do contrato, permitir a exportação e excluir os dados nos prazos da seção 11.

8. Medidas de segurança

• Criptografia do prontuário: os registros clínicos são cifrados com o algoritmo XChaCha20-Poly1305 antes de serem gravados no banco de dados.
• Senhas protegidas: armazenadas com hash bcrypt.
• Controle de acesso por perfil: o prontuário só é acessível ao profissional responsável; o perfil de secretária não tem acesso a ele.
• Auditoria: cada abertura de prontuário é registrada com usuário, data e hora.
• Conexão cifrada: todo o tráfego entre o navegador e o servidor usa HTTPS (TLS).
• Backups diários, com acesso restrito.
• Servidor localizado no Brasil (região de São Paulo).
• Atualizações de segurança periódicas do sistema e do servidor, e acesso administrativo restrito.

Nenhum sistema é totalmente imune a riscos. Revisamos as medidas continuamente e recomendamos que o Assinante use senha forte e exclusiva, não compartilhe credenciais e mantenha seus dispositivos protegidos.

9. Compartilhamento e suboperadores

9.1. Não vendemos nem alugamos dados pessoais. Compartilhamos dados apenas com os prestadores abaixo, na medida do necessário:

9.2. Também podemos compartilhar dados quando exigido por lei, por ordem judicial ou por requisição de autoridade competente, limitando-nos ao estritamente exigido e, sempre que permitido, avisando o Assinante.

9.3. Os lembretes por WhatsApp são abertos no aplicativo do próprio Assinante, por iniciativa dele. A plataforma não envia dados de pacientes ao WhatsApp por conta própria.

10. Local de armazenamento

Os dados são armazenados em servidor localizado no Brasil. Não realizamos transferência internacional de dados de pacientes. Caso algum suboperador (como o intermediador de pagamentos, que trata apenas dados do Assinante) utilize infraestrutura fora do país, isso ocorrerá conforme o art. 33 da LGPD e será informado nesta Política.

11. Retenção e exclusão

A guarda do prontuário pelo prazo mínimo de 5 anos é obrigação do profissional (Resolução CFP nº 001/2009). Por isso, o Assinante deve exportar seus dados antes do fim do prazo de 90 dias. Avisaremos pelos contatos cadastrados e por aviso na plataforma antes da exclusão.

12. Direitos dos titulares

12.1. Nos termos do art. 18 da LGPD, o titular pode solicitar: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos; portabilidade; eliminação dos dados tratados com base no consentimento; informação sobre compartilhamento; e revisão de decisões automatizadas (a plataforma não toma decisões automatizadas sobre titulares).

12.2. Assinantes podem exercer esses direitos pela própria plataforma (edição de cadastro e exportação completa) ou pelo canal do encarregado (seção 16). Responderemos em até 15 dias.

12.3. Pacientes devem dirigir seus pedidos ao(à) psicólogo(a) responsável pelo atendimento, que é o controlador dos dados. Se recebermos o pedido diretamente, vamos encaminhá-lo ao Assinante responsável e orientar o titular, sem revelar dados a quem não for o titular.

12.4. Observação: alguns dados podem ser mantidos mesmo após um pedido de eliminação, quando houver obrigação legal ou regulatória de guarda, como no caso do prontuário psicológico.

12.5. O titular também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

13. Incidentes de segurança

13.1. Mantemos procedimento para identificar, conter e avaliar incidentes de segurança.

13.2. Se ocorrer um incidente que possa afetar dados de pacientes, comunicaremos o Assinante (controlador) sem demora injustificada, em até 48 (quarenta e oito) horas da ciência, com as informações disponíveis sobre natureza, dados afetados, riscos e medidas adotadas, para que ele possa cumprir suas obrigações.

13.3. Em relação aos dados em que somos controladores, se o incidente puder gerar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados nos prazos e na forma da regulamentação vigente (Resolução CD/ANPD nº 15/2024). Também apoiaremos o Assinante nas comunicações que caibam a ele.

14. Cookies e armazenamento local

14.1. Usamos apenas um cookie de sessão essencial, necessário para manter você conectado com segurança. Ele não é usado para rastreamento e expira ao sair ou após período de inatividade.

14.2. Não usamos cookies de publicidade, ferramentas de analytics, pixels de redes sociais ou qualquer outro mecanismo de rastreamento, nem no site público nem na plataforma.

14.3. O aplicativo instalável (PWA) pode guardar no navegador arquivos da própria interface (cache) para carregar mais rápido. Esse armazenamento não é usado para rastrear o usuário.

14.4. O site carrega fontes tipográficas do serviço Google Fonts. Ao fazê-lo, o navegador se conecta aos servidores do Google, que podem receber o endereço IP do visitante.

15. Crianças e adolescentes

15.1. A plataforma é destinada exclusivamente a profissionais adultos. Ela pode, porém, conter dados de pacientes crianças e adolescentes registrados pelo Assinante.

15.2. Nesses casos, cabe ao Assinante, como controlador, tratar os dados no melhor interesse da criança e do adolescente (art. 14 da LGPD) e obter as autorizações necessárias dos responsáveis legais, conforme as normas da profissão. A plataforma permite registrar um responsável financeiro separado do paciente.

16. Encarregado pelo tratamento de dados (DPO)

O encarregado recebe reclamações e comunicações dos titulares e da ANPD, presta esclarecimentos e orienta sobre as práticas de proteção de dados.

17. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças na plataforma, nos suboperadores ou na legislação. Alterações relevantes serão comunicadas por e-mail e/ou aviso na plataforma com antecedência mínima de 30 dias. A data da última atualização fica sempre no topo desta página.

Veja também os Termos de Uso e o Acordo de Tratamento de Dados Pessoais.