Política de privacidade

Quem trata os seus dados e em que qualidade

O MyPsico é um sistema de gestão de consultório para psicólogo autônomo que atende no Brasil. Dentro dele circula prontuário, anamnese, agenda e cobrança de pessoas em atendimento psicológico.

O psicólogo que assina o MyPsico é o controlador dos dados dos pacientes dele: é ele quem decide quem cadastrar, o que registrar, por quanto tempo guardar e quando encerrar o atendimento. O MyPsico é operador desses dados e só os trata para executar o que o psicólogo pede dentro do sistema, seguindo a Lei 13.709/2018 (LGPD).

Sobre os dados do próprio psicólogo — cadastro, e-mail, registro profissional, assinatura e uso do sistema — o MyPsico é controlador, porque é ele quem decide essas finalidades.

O MyPsico não vende dado, não cede dado a terceiro para publicidade e não usa conteúdo clínico para treinar modelo de inteligência artificial.

Base legal para tratar dado pessoal sensível de saúde

Observação clínica, resposta de anamnese e qualquer registro sobre a saúde de um paciente são dado pessoal sensível, na definição do art. 5º, II, da LGPD. Dado sensível não pode ser tratado pelas hipóteses comuns do art. 7º: ele depende de uma das hipóteses fechadas do art. 11.

A hipótese que sustenta esse tratamento aqui é o art. 11, II, alínea "f", da LGPD: tutela da saúde, exclusivamente em procedimento realizado por profissional de saúde. O psicólogo é profissional de saúde, e o registro que ele faz no MyPsico é parte do atendimento que presta. Quando o paciente consente de forma específica e destacada para uma finalidade determinada, aplica-se também o art. 11, I.

Quem se apoia nessa hipótese é o psicólogo, na condição de controlador. O MyPsico trata o dado sensível por conta e sob instrução dele, como operador, na forma do art. 11, § 4º, da LGPD, e não usa esse dado para nenhuma finalidade própria.

Já o dado cadastral do psicólogo, que não é sensível, é tratado com base na execução do contrato (art. 7º, V), no cumprimento de obrigação legal e regulatória (art. 7º, II) e no legítimo interesse (art. 7º, IX) para segurança do serviço e prevenção de fraude no cadastro.

Categorias de dado que o sistema trata

O MyPsico trata as categorias abaixo. Nenhuma outra categoria é coletada por padrão.

• Dado cadastral do psicólogo: nome, e-mail, senha em forma cifrada, nome profissional, registro no Conselho Regional de Psicologia e CPF ou CNPJ usados na emissão de recibo.
• Dado de identificação do paciente: nome completo, data de nascimento, CPF, telefone, e-mail, endereço e ocupação.
• Dado de contato de emergência e de responsável legal do paciente: nome, telefone e vínculo com o paciente.
• Conteúdo clínico: observação clínica do prontuário e resposta de anamnese, incluindo o histórico de versões da anamnese respondida.
• Dado de atendimento: sessão agendada, realizada, cancelada ou remarcada, com data, horário e motivo registrado pelo psicólogo.
• Dado financeiro: cobrança, pagamento, valor, forma de pagamento, recibo emitido e recibo cancelado.
• Dado técnico: registro de acesso e de ação no sistema, com data, usuário, consultório e recurso tocado; endereço IP e sinais de dispositivo coletados no momento do cadastro, guardados apenas como resumo criptográfico irreversível para avaliar risco de abuso do cadastro.

Por quanto tempo os dados ficam guardados

O prazo de guarda não é escolha comercial: o registro documental de atendimento psicológico tem guarda mínima de cinco anos, contados do último registro, conforme a Resolução CFP 001/2009 do Conselho Federal de Psicologia.

Para atender essa guarda, o MyPsico arquiva o paciente em vez de apagá-lo. O paciente arquivado sai das listas do dia a dia, mas o prontuário, a anamnese respondida e o histórico financeiro continuam íntegros e acessíveis ao psicólogo.

Quando o psicólogo pede a exclusão da conta, o pedido não apaga nada na hora. A conta entra em um período de retenção de 30 dias, em que a gravação fica bloqueada e a leitura e a exportação continuam liberadas, para que ele possa levar os dados embora e para que um pedido feito por engano possa ser desfeito.

Passados os 30 dias, o expurgo apaga em definitivo a conta, os usuários dela e todo o conteúdo do consultório: pacientes, prontuários, anamneses, sessões, cobranças e recibos. O que sobrevive é uma linha na trilha de auditoria registrando que a exclusão aconteceu e quando, sem o conteúdo apagado. Depois do expurgo não há como recuperar os dados, nem por pedido do psicólogo nem por pedido do paciente.

A responsabilidade de só pedir a exclusão da conta depois de cumprido o prazo de guarda do Conselho é do psicólogo, que é o controlador do prontuário.

Suboperadores e fornecedores

O MyPsico se apoia em fornecedores para funcionar. A lista abaixo é o que o produto usa hoje, com a finalidade de cada um. Fornecedor que ainda não foi contratado aparece como não definido, e não como promessa.

Nenhum desses fornecedores tem autorização para usar dado de paciente para finalidade própria. Quando um fornecedor novo entrar, esta política sobe de versão antes de ele começar a operar.

• Railway: hospedagem da aplicação e do banco de dados PostgreSQL onde todo o conteúdo do consultório fica guardado, e disparo das rotinas agendadas do sistema.
• Cloudflare: descoberta de rede e repasse de mídia do atendimento online, usados quando os dois navegadores não conseguem se conectar direto. O repasse encaminha pacotes já cifrados de ponta a ponta e não tem como ler o áudio, o vídeo nem as mensagens da sessão. Nenhum cadastro, prontuário, agenda ou dado financeiro é enviado à Cloudflare.
• Resend: envio do e-mail transacional da conta e da assinatura, como a confirmação de endereço, a redefinição de senha e os avisos de cobrança. Recebe o seu nome e o seu endereço de e-mail, e o texto dessas mensagens. Nunca recebe nome de paciente, prontuário, anamnese nem qualquer conteúdo clínico. O envio sai de servidores na região de São Paulo.
• Stripe: processamento do pagamento da assinatura. Recebe o seu nome, o seu endereço de e-mail e os dados de cobrança que você digita na página do próprio Stripe. O MyPsico não captura, não armazena e não transmite número de cartão, e nenhum dado de paciente é enviado ao Stripe.
• Sentry: registro dos erros da aplicação, para que uma falha em produção seja percebida e corrigida. Recebe o rastro técnico da exceção e os identificadores de requisição, de consultório e de usuário. O corte do conteúdo clínico acontece antes do envio, dentro do próprio produto, e é coberto por teste automatizado.
• PostHog: medição de uso do produto, para saber quais funções são realmente usadas. Recebe evento de nome fixo, vindo de uma lista fechada, e o identificador de usuário. Nunca recebe identificador de paciente nem texto digitado por você. Não há rastreador de publicidade nem cookie de propaganda nas páginas do sistema.

Cookies e o que fica guardado no seu navegador

O MyPsico separa o que o navegador precisa guardar para o sistema funcionar do que é opcional. O que é opcional só é gravado depois que você aceita, e a recusa é tão fácil quanto o aceite.

Enquanto você não responde, nada opcional é gravado e a medição de uso nem chega a ser carregada. Fechar o aviso sem escolher não vale como aceite.

• Necessário, sem escolha a fazer: o cookie de sessão, que mantém você conectado depois do login; a preferência de tema; e a defesa contra falsificação de requisição entre sites. Sem eles não há como entrar nem gravar nada, e por isso eles não dependem de consentimento.
• Opcional, só depois do seu aceite: a medição de uso do produto, feita pelo PostHog, que registra quais telas são abertas e quais passos são concluídos, a partir de uma lista fechada de eventos. Ela nunca recebe identificador de paciente, conteúdo clínico nem texto digitado por você, e não grava a sua tela.
• Não existe em nenhuma hipótese: cookie de propaganda, rastreador de publicidade ou compartilhamento de dado com rede de anúncios.

Como rever a escolha sobre cookies

A escolha fica guardada em um cookie próprio do produto, com o valor aceito ou recusado, válido por doze meses. Ele não carrega nome, e-mail nem qualquer dado sobre você.

Você pode mudar de ideia a qualquer momento na página de escolha sobre cookies, em /cookies, alcançável pelo rodapé das páginas públicas e pelo menu de conta dentro do produto. Ao recusar depois de ter aceitado, a medição para na hora e o que ela tinha gravado no navegador é apagado.

Se o seu navegador impedir a gravação do cookie de escolha, o sistema trata isso como ausência de consentimento: a medição continua desligada e o aviso volta a aparecer.

Medidas de segurança que o produto realmente aplica

As medidas abaixo estão implementadas no código, não são intenção de roadmap.

• Cifra em repouso do conteúdo clínico: observação clínica do prontuário e resposta de anamnese são gravadas cifradas com AES-256-GCM, com chave versionada que pode ser rotacionada sem reescrever o histórico.
• Isolamento entre consultórios no próprio banco: cada tabela de domínio tem Row Level Security ligada em modo forçado, e toda consulta roda amarrada ao consultório da sessão. Um consultório não consegue ler a linha de outro nem por erro de código.
• Trilha de auditoria: leitura e gravação de dado sensível gravam quem fez, o que fez, em qual recurso e quando, em uma tabela que a aplicação só pode inserir, nunca alterar nem apagar.
• Exportação integral: o psicólogo baixa a qualquer momento, por conta própria, um arquivo com todo o conteúdo do consultório, inclusive o conteúdo clínico já decifrado.
• Bloqueio de gravação por assinatura vencida ou por aceite legal pendente nunca bloqueia a leitura nem a exportação.

Direitos do titular

O art. 18 da LGPD garante a toda pessoa cujos dados são tratados o direito de confirmar que existe tratamento, acessar os dados, corrigir dado incompleto ou desatualizado, pedir anonimização, bloqueio ou eliminação de dado desnecessário ou tratado fora da lei, pedir a portabilidade, saber com quem os dados foram compartilhados, ser informada sobre a consequência de negar consentimento e revogar o consentimento.

Se você é paciente, exerça esses direitos junto ao seu psicólogo, que é o controlador do seu prontuário. É ele quem responde pelo conteúdo, quem decide sobre correção e eliminação e quem tem o dever de responder no prazo da lei. O MyPsico atende como operador: dá ao psicólogo as ferramentas para localizar, corrigir, exportar e arquivar o seu dado, e o apoia quando ele precisar de algo que a tela não resolve.

O direito de eliminação encontra um limite legal: enquanto durar a guarda mínima de cinco anos do registro documental exigida pela Resolução CFP 001/2009, o prontuário não pode ser apagado, ainda que o titular peça. Nesse caso o registro é arquivado e o pedido fica documentado.

Se você é o psicólogo assinante, exerça os seus direitos diretamente com o MyPsico, pelo canal do encarregado.

Encarregado de dados

O encarregado pelo tratamento de dados pessoais do MyPsico, o DPO previsto no art. 41 da LGPD, é Matheus Cintra.

Fale com o encarregado pelo e-mail matheus_cintra@hotmail.com. Escreva no assunto o que você quer, por exemplo acesso, correção, exportação ou exclusão, para que o pedido seja encaminhado direto. Todo pedido é respondido, mesmo quando a resposta for a recusa fundamentada em prazo legal de guarda.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados.

Mudanças nesta política

Esta política é versionada. Cada alteração de conteúdo publica uma versão nova, com data de vigência própria, e a versão em vigor aparece no alto desta página.

Quando uma versão nova entra em vigor, o psicólogo assinante precisa aceitá-la para voltar a gravar no sistema. Enquanto o aceite estiver pendente, a leitura e a exportação dos dados continuam liberadas.