Esta Política de Privacidade descreve como o NeuroNote coleta, usa, armazena, compartilha e protege dados pessoais, em conformidade com a Lei Geral de Proteção de Dados Pessoais — LGPD (Lei nº 13.709/2018). Ao utilizar a Plataforma, você declara ter lido e concordado com as práticas aqui descritas.
1. Identificação do Controlador
O NeuroNote é a plataforma de tecnologia para psicólogos responsável pelo tratamento dos dados pessoais dos Usuários descritos nesta Política. Para questões relacionadas à privacidade e ao exercício de direitos, entre em contato:
- E-mail: contato@neuronote.com.br
- Assunto: [Privacidade] ou [DPO]
- Prazo de resposta: até 15 dias úteis
Em relação aos dados pessoais dos pacientes inseridos na Plataforma pelo Psicólogo, o Psicólogo é o Controlador e o NeuroNote atua exclusivamente como Operador, nos termos do art. 5º, VI e VII, da LGPD. O NeuroNote trata esses dados estritamente conforme as instruções do Psicólogo e para a prestação do serviço contratado, sem qualquer finalidade autônoma.
2. Definições Relevantes (LGPD)
- Dado pessoal: informação relacionada a pessoa natural identificada ou identificável (art. 5º, I).
- Dado pessoal sensível: dado sobre saúde, origem racial/étnica, convicção religiosa, opinião política, filiação sindical, dado genético ou biométrico, vida sexual (art. 5º, II). Dados de saúde de pacientes são dados sensíveis.
- Tratamento: toda operação realizada com dados pessoais, como coleta, armazenamento, uso, acesso, transmissão ou exclusão (art. 5º, X).
- Controlador: quem toma as decisões sobre o tratamento dos dados.
- Operador: quem realiza o tratamento em nome do controlador.
- Titular: a pessoa natural a quem os dados se referem.
- Encarregado (DPO): pessoa responsável por comunicar a ANPD e orientar os titulares.
3. Dados Coletados e Finalidades
3.1 Dados do Psicólogo (conta)
- Nome completo, e-mail e senha — cadastro, autenticação e comunicações essenciais;
- Número de CRP — verificação de elegibilidade profissional;
- Telefone (opcional) — comunicações relacionadas ao serviço;
- Foto de perfil / avatar (opcional) — personalização da interface;
- Dados de pagamento — processados pela Stripe; o NeuroNote não armazena número de cartão, CVV nem dados bancários;
- Configurações e preferências — personalização da Plataforma (tema, agenda, notificações);
- Endereços IP e dados de dispositivo — segurança, prevenção de fraudes e autenticação em dois fatores;
- Registros de acesso (logs) — auditoria e conformidade legal (Marco Civil da Internet, art. 15).
3.2 Dados de Pacientes (inseridos pelo Psicólogo)
O NeuroNote trata estes dados como Operador, sob instrução exclusiva do Psicólogo (Controlador):
- Nome, contato (e-mail, telefone) e informações demográficas do paciente;
- Registros clínicos: evoluções, avaliações e intervenções no prontuário eletrônico;
- Anamnese clínica (dados de saúde física e mental — dado sensível);
- Documentos importados (PDF, DOCX) utilizados como contexto pelo Assistente de IA;
- Histórico de consultas na agenda;
- Saídas geradas pelo Assistente de IA sobre o paciente (registradas para auditoria).
Prontuário eletrônico: o NeuroNote opera como sistema de prontuário eletrônico em conformidade com a Resolução CFP nº 11/2012, garantindo controle de acesso individualizado, registro de todas as operações, backup automático e confidencialidade equivalente ao prontuário em papel. O Psicólogo é responsável pela guarda e pelo conteúdo dos registros.
Atenção: dados de saúde são considerados dados pessoais sensíveispela LGPD (art. 5º, II). O Psicólogo, como controlador, é responsável por obter as bases legais adequadas (art. 11, II, "f" — proteção da saúde em ambiente de sigilo profissional) e o consentimento informado dos pacientes, nos termos do Código de Ética Profissional do Psicólogo.
3.3 Dados técnicos e de uso
- Logs de uso das funcionalidades — melhoria do serviço e depuração de erros;
- Cookies essenciais de sessão — autenticação e funcionamento da Plataforma;
- Metadados de chamadas ao Assistente de IA (sem conteúdo clínico) — controle de cotas e auditoria de segurança.
Não utilizamos cookies de rastreamento, publicidade ou analytics comportamental.
4. Bases Legais para o Tratamento (LGPD)
- Execução de contrato (art. 7º, V): tratamento necessário para prestar os serviços contratados (prontuário, agenda, IA).
- Legítimo interesse (art. 7º, IX): segurança da conta, prevenção de fraudes, melhoria do serviço, comunicações operacionais — sempre com respeito aos direitos do titular.
- Cumprimento de obrigação legal (art. 7º, II): retenção de logs de acesso (Marco Civil da Internet), obrigações tributárias e fiscais.
- Consentimento (art. 7º, I / art. 11, I): para dados sensíveis de pacientes tratados pelo NeuroNote como operador, a base legal é o consentimento ou a proteção da saúde em ambiente de sigilo profissional (art. 11, II, "f"), a ser obtida pelo Psicólogo junto ao paciente.
5. Inteligência Artificial e Transferência Internacional de Dados
Ao utilizar o Assistente de IA, o conteúdo clínico relevante (inserido por você na sessão) é transmitido de forma segura (HTTPS/TLS 1.3) ao provedor do modelo de linguagem, Anthropic PBC, com sede nos Estados Unidos da América.
- A transferência internacional é realizada com base na execução do contrato e no legítimo interesse, com salvaguardas adequadas: Anthropic mantém um Acordo de Processamento de Dados (DPA) que proíbe o uso dos dados para treinar modelos e exige confidencialidade, em conformidade com o art. 33 da LGPD.
- Minimização de dados: o NeuroNote não envia dados de identificação direta do paciente (nome completo, CPF, e-mail, telefone) ao provedor de IA — apenas o conteúdo clínico textual necessário para a geração da sugestão.
- Filtros de segurança: o Assistente de IA possui filtros automáticos que bloqueiam qualquer saída contendo diagnóstico categórico ou prescrição de medicamentos, em conformidade com a Resolução CFP nº 09/2010 e com o Código de Ética Profissional do Psicólogo. Tentativas de violação são registradas para auditoria.
- Situações de crise: o Assistente de IA não substitui protocolos de atendimento a situações de emergência ou risco de vida. Em caso de risco imediato ao paciente, o Psicólogo deve acionar os serviços de emergência adequados (SAMU 192, CVV 188, CAPS).
6. Compartilhamento e Subprocessadores
O NeuroNote não vende, aluga nem comercializa dados pessoais. Compartilhamos dados apenas com os seguintes subprocessadores, para fins estritamente necessários à operação da Plataforma:
- Vercel Inc. (EUA) — hospedagem da aplicação e entrega de conteúdo;
- Neon Inc. (EUA) — banco de dados PostgreSQL criptografado;
- Stripe Inc. (EUA) — processamento de pagamentos (PCI DSS nível 1);
- Anthropic PBC (EUA) — modelo de linguagem para o Assistente de IA;
- Resend Inc. (EUA) — envio de e-mails transacionais (verificação, segurança, cobrança);
- Upstash Inc. (EUA) — controle de limites de uso e segurança (Redis);
- Vercel Blob — armazenamento de imagens de perfil (avatares).
Todos os subprocessadores estão sujeitos a acordos de tratamento de dados que exigem proteção equivalente à adotada pelo NeuroNote.
Poderemos compartilhar dados com autoridades públicas quando exigido por lei, decisão judicial ou inquérito policial, notificando o Usuário sempre que legalmente possível.
7. Segurança — Medidas Técnicas e Organizacionais
O NeuroNote adota as seguintes medidas para proteger seus dados:
- Criptografia em trânsito: toda comunicação utiliza TLS 1.2+ (HTTPS);
- Criptografia em repouso: senhas armazenadas com bcrypt (fator de custo 12); banco de dados criptografado pelo provedor (Neon);
- Autenticação em dois fatores (2FA): código por e-mail exigido ao acessar de dispositivo não reconhecido;
- Controle de acesso: cada Psicólogo acessa somente seus próprios dados e os de seus pacientes; isolamento total entre contas;
- Limitação de tentativas (rate limiting): bloqueio automático após tentativas excessivas de login (anti força-bruta), via Upstash Redis;
- Headers de segurança: HSTS, X-Frame-Options, CSP e demais cabeçalhos de segurança HTTP ativos;
- Minimização de dados em logs: registros de auditoria da IA não armazenam conteúdo clínico bruto;
- Monitoramento e alertas: logs de acesso e erros monitorados para detecção de anomalias.
Embora adotemos medidas robustas, nenhum sistema é 100% seguro. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, notificaremos a ANPD no prazo de até 72 horas após a ciência do incidente (art. 48 da LGPD) e comunicaremos os titulares afetados em prazo razoável, com informações sobre a natureza dos dados afetados, os riscos e as medidas adotadas.
8. Retenção e Exclusão de Dados
- Os dados da sua conta são mantidos enquanto a conta estiver ativa.
- Ao excluir um paciente, todos os seus dados clínicos associados (prontuário, agenda, documentos, histórico de IA) são removidos permanentemente em cascata.
- Ao encerrar a conta, os dados são excluídos ou anonimizados em até 30 dias, salvo obrigações legais de retenção (ex.: logs de acesso — 6 meses, conforme Marco Civil da Internet; dados fiscais — 5 anos).
- Dados de logs de auditoria de segurança são retidos por até 12 meses.
- Após o encerramento, você terá 30 dias para solicitar exportação dos seus dados antes da exclusão definitiva.
9. Seus Direitos como Titular (LGPD, art. 18)
Nos termos da LGPD, você tem os seguintes direitos sobre seus dados pessoais, exercíveis a qualquer momento mediante solicitação para contato@neuronote.com.br:
- Confirmação e acesso: saber se tratamos seus dados e ter acesso a eles;
- Correção: corrigir dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação: de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
- Portabilidade: receber seus dados em formato estruturado e interoperável;
- Eliminação: excluir dados tratados com base em consentimento, salvo hipóteses legais de guarda;
- Informação sobre compartilhamento: saber com quem compartilhamos seus dados;
- Revogação de consentimento: revogar o consentimento a qualquer momento, sem prejuízo do tratamento já realizado;
- Oposição: opor-se ao tratamento realizado com base em legítimo interesse, em caso de descumprimento da LGPD;
- Revisão de decisões automatizadas: solicitar revisão de decisões tomadas automaticamente que afetem seus interesses.
Responderemos às solicitações em até 15 dias úteis. Poderemos solicitar comprovação de identidade antes de atender ao pedido.
10. Encarregado pelo Tratamento de Dados (DPO)
Nos termos do art. 41 da LGPD, o NeuroNote designa como Encarregado pelo Tratamento de Dados Pessoais o responsável pelo canal:
E-mail: contato@neuronote.com.br
Assunto: [DPO] — descreva sua solicitação
O Encarregado está disponível para orientar titulares sobre o exercício de seus direitos, receber comunicações da ANPD e adotar providências necessárias.
11. Cookies e Armazenamento Local
A Plataforma utiliza apenas os seguintes mecanismos de armazenamento no navegador:
- Cookie de sessão (HttpOnly, Secure): necessário para autenticação e manutenção da sessão ativa. Sem ele, o serviço não funciona. Não pode ser desativado. Expira ao fechar o navegador ou após o período de inatividade configurado.
- localStorage / sessionStorage: armazenam configurações locais como tema (claro/escuro), dispositivos confiáveis para 2FA e preferências de interface. Esses dados ficam apenas no seu dispositivo e não são transmitidos ao servidor.
Não utilizamos cookies de rastreamento, pixels de conversão, analytics comportamentais de terceiros (Google Analytics, Meta Pixel etc.) nem qualquer mecanismo que monitore seu comportamento fora da Plataforma.
12. Crianças e Adolescentes
A Plataforma destina-se exclusivamente a psicólogos adultos. Não coletamos dados pessoais diretamente de crianças ou adolescentes. Dados de pacientes menores inseridos pelo Psicólogo são tratados como dados de saúde sujeitos a proteção reforçada, sendo o Psicólogo responsável pelo cumprimento das obrigações legais aplicáveis, incluindo o consentimento dos responsáveis.
13. Alterações a esta Política
- Podemos atualizar esta Política a qualquer tempo, publicando a nova versão com a data de atualização.
- Alterações relevantes serão comunicadas por e-mail ou notificação na Plataforma com antecedência mínima de 15 dias.
- O uso continuado da Plataforma após a entrada em vigor da nova versão representa concordância com as alterações.
14. Contato e Canal de Privacidade
Para exercer seus direitos, esclarecer dúvidas ou reportar qualquer questão relacionada à privacidade e proteção de dados:
- E-mail: contato@neuronote.com.br
- Assunto sugerido: [Privacidade] ou [DPO]
- Prazo de resposta: até 15 dias úteis
Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD): www.gov.br/anpd.
Esta Política deve ser lida em conjunto com os Termos de Uso da Plataforma. Dúvidas? contato@neuronote.com.br