Política de Privacidade

🔒 Encarregado de Dados (DPO) e Representante no Brasil: Antonio Pereira dos Santos — [email protected]

1. Quem Somos (Controlador) e Representante no Brasil

A Plataforma OfficePsy ("Plataforma", "OfficePsy", "nós") é operada por OfficePsy LLC, sociedade constituída no estado de Massachusetts, Estados Unidos da América, EIN 42-4427846, com sede em 209 West Central St, Suite 301, Natick, MA 01760, Estados Unidos, na qualidade de Controladora dos dados pessoais tratados por meio da Plataforma (art. 5º, VI, LGPD).

Por tratarmos dados de titulares localizados em território brasileiro, a LGPD aplica-se integralmente (art. 3º, I e II). Mantemos:

Representante no Brasil (art. 5º, VIII): Antonio Pereira dos Santos — Rua Cassiano dos Santos, 386, Jardim Clipper, São Paulo, SP, CEP 04827-110, Brasil — [email protected]

Encarregado pelo Tratamento de Dados (DPO): Antonio Pereira dos Santos — [email protected]

2. A Quem Esta Política se Aplica

Aplica-se aos profissionais que utilizam a Plataforma para gestão de sua prática no Brasil — psicólogos, psicanalistas, psiquiatras e correlatos, psicopedagogos e profissionais de Práticas Integrativas —, atuando individualmente ou vinculados a uma clínica, e às pessoas que eles atendem. Esta Política tem como base a LGPD e o Código de Defesa do Consumidor.

Dados de pacientes — papéis: o Profissional insere informações sobre seus pacientes. Nessa relação, o Profissional é o Controlador dos dados de seus pacientes e a OfficePsy atua como Operadora (art. 5º, VII, LGPD). O Profissional é responsável por obter o consentimento adequado e por observar a LGPD e seu Código de Ética profissional (CFP/CRP/CFM).

Categorias sem conselho de classe. Psicopedagogos e profissionais de Práticas Integrativas não têm conselho de fiscalização profissional e não realizam atendimento de saúde na Plataforma: usam agenda, cobrança, contrato, anamnese e anotações de atendimento. Como não se aplica a hipótese de tutela da saúde, o tratamento de dados que possam revelar condição de saúde nessas categorias se apoia em consentimento específico e destacado do titular (art. 11, I, LGPD), colhido no aceite do contrato ou da anamnese e revogável a qualquer tempo. Não há prontuário nem documento psicológico nessas categorias.

3. Dados Coletados

Conta: nome, e-mail, senha (hash) — para autenticação e comunicação.
Perfil profissional: especialidade, registro (CRP/CRM), telefone, estado, CPF/CNPJ (quando aplicável) — para elegibilidade, faturamento e suporte.
Dados de sessão: data, horário, duração, valor, identificador do paciente — para registro administrativo e cobranças.
Conteúdo clínico inserido (anamnese, evolução, diagnóstico, quando o Profissional optar por registrar) — núcleo do serviço; o Profissional é o controlador desses dados.
Dispositivo/navegador e uso: sistema operacional, versão do app, funcionalidades acessadas — para suporte e melhoria do produto.
Verificação de identidade do Profissional: imagem do documento de identidade e selfie com prova de vida, processadas pela Didit. A OfficePsy guarda apenas o resultado (aprovado ou não, data e identificador da verificação); as imagens ficam com a Didit por no máximo 90 dias e podem ser eliminadas antes, a pedido do titular.
Logs de autenticação: data/hora de login, IP — para segurança e prevenção a fraudes.
Pagamento (cobrança em USD): processado por Stripe, Inc. O OfficePsy não armazena o número completo do cartão — os dados de pagamento são coletados e processados diretamente pela Stripe (PCI-DSS nível 1). Armazenamos apenas identificadores da assinatura e os últimos dígitos/bandeira.
Analytics de uso do aplicativo (Profissional): eventos de uso do app por você, Profissional — primeira abertura, cadastro concluído, início e ativação de assinatura (com valor e moeda), abertura do modo demonstração e primeiro cliente criado —, identificador de instância do aplicativo, modelo/sistema operacional do dispositivo e país. Processados pelo Google Analytics for Firebase. Nenhum dado de paciente, nome, e-mail ou conteúdo clínico é enviado a essa ferramenta — apenas o evento e o contexto técnico do dispositivo.
Google Calendar (integração opcional, somente leitura): títulos, datas e horários do calendário selecionado — nunca criamos, editamos ou excluímos eventos. Tokens armazenados de forma cifrada, revogável a qualquer momento.
Sala de Sessão Online (videochamada): quando o Profissional e o cliente usam a Sala de Sessão Online, a imagem e o áudio trafegam em tempo real pela infraestrutura da LiveKit, Inc., contratada em plano self-serve pela OfficePsy LLC. Não gravamos, não armazenamos e não transcrevemos o áudio ou o vídeo da sessão: não há egress, gravação nem permissão de gravação habilitada em nenhum token de acesso, e a observabilidade de agentes de IA da LiveKit está desligada — a Plataforma não usa agentes de inteligência artificial na Sala de Sessão Online. Guardamos apenas metadados administrativos da chamada: horário de início e fim, duração, o endereço IP de quem solicitou o acesso e se o acesso foi concedido ou negado, por 6 meses, com expurgo automático.
Consentimento do atendimento online: antes da primeira sessão online com cada profissional, o cliente confirma a leitura do Termo de Consentimento do Atendimento Online, dentro do aplicativo. Registramos a data e hora do aceite, o endereço IP, um código de verificação (hash) do texto aceito, o local declarado pelo cliente e se esse local é privado, e um contato de emergência, quando informado. Esses dados ficam visíveis apenas ao profissional que atende naquela sessão — a Administração e a Supervisão da Clínica, quando houver, não têm acesso a eles.
Registro automático da sessão online: ao ser encerrada, a sessão realizada pela Sala de Sessão Online é marcada automaticamente como "realizada / online" na agenda, e uma linha indicando o atendimento mediado por tecnologia digital (TDIC) é inserida nas notas do prontuário. Nenhum conteúdo da conversa é registrado — apenas o fato de que a sessão ocorreu por essa modalidade.
Sessão online com mais de uma pessoa atendida: o Profissional pode convidar para a Sala de Sessão Online outras pessoas atendidas em conjunto — por exemplo, casal ou família, todas maiores de idade. Cada participante recebe um link pessoal, informa o próprio nome e aceita o Termo de Consentimento do Atendimento Online em conjunto antes de entrar; o Profissional admite cada pessoa e pode removê-la a qualquer momento. Registramos o nome informado, o contato usado para o convite, o horário de entrada e de saída e o endereço IP, por 6 meses, com expurgo automático; o aceite do termo segue a mesma regra de guarda do prontuário (seção 8). Quem é convidado não precisa criar conta. Ao encerrar, a sessão registra quem participou, sem nenhum conteúdo da conversa. Continuamos não gravando, não armazenando e não transcrevendo áudio ou vídeo.
Reuniões online com a escola e com empresas: (a) no atendimento psicopedagógico, o Profissional pode convidar o responsável legal e a escola do aprendente (professores, coordenação, orientação, direção); (b) na consultoria de saúde mental no trabalho (NR-1), representantes da empresa-cliente (RH, gestores, CIPA). Para cada participante registramos o nome informado, a função, o cargo ou a instituição, o contato usado para o convite, o horário de entrada e de saída e o endereço IP, por 6 meses, com expurgo automático. O convite à escola só é liberado depois que o Profissional registra a autorização do responsável legal (ou do próprio aprendente adulto), declarando tê-la colhido por escrito, com instituição, funções, finalidade e prazo; se a autorização for revogada ou vencer, os convites abertos deixam de valer e, na revogação, quem estiver na sala é removido. Escola e empresa não dão consentimento: recebem um aviso de participação, com o compromisso de não gravar nem divulgar, e o registramos (data, hora, endereço IP e versão do texto). Na reunião com a escola, o registro do atendimento traz apenas a instituição, as funções, o número de participantes e a referência da autorização; a reunião com empresa não é atendimento e não gera registro em prontuário — fica na ficha da empresa-cliente (data, duração, cargos dos participantes, sem nomes, e a ata escrita pelo Profissional). Não gravamos, não armazenamos e não transcrevemos áudio ou vídeo.
Autorização pelo próprio responsável, ciência e link de grupo: a autorização para a escola também pode ser aceita pelo próprio responsável legal (ou pelo aprendente adulto) em uma página da Plataforma, sem conta: registramos o nome que ele informa, a condição (mãe, pai, responsável legal etc.), a data, a hora, o endereço IP e o texto exatamente como foi exibido; ele pode revogá-la a qualquer momento pelo mesmo link. Em guarda compartilhada, o Profissional pode enviar ao outro responsável um link de ciência (que não é consentimento): registramos o nome, o parentesco e o contato informados pelo Profissional, a data, a hora, o endereço IP da ciência e se o outro responsável discorda. Na reunião com a empresa, o Profissional pode gerar um link de grupo: quem o abre informa seu nome e cargo e aguarda a admissão individual. A ata da reunião com a empresa pode ser exportada em PDF pelo Profissional, apenas com os cargos dos participantes e o texto que ele escreveu.
Crianças e adolescentes na Sala: quando o atendido é criança ou adolescente, o acesso dele à Sala só é gerado depois que o responsável legal autoriza, em uma página da Plataforma, sem conta, declarando ter poder familiar ou guarda e informando o parentesco; registramos o nome do responsável, o parentesco, o contato de emergência que ele quiser informar (que é dele, não do menor), a data, a hora, o endereço IP e o texto exatamente como foi exibido. O responsável pode revogar a autorização a qualquer momento, e o menor deixa de ter acesso e é removido da sala. O link do menor é enviado ao contato do responsável. Não pedimos nem guardamos telefone, e-mail ou outro contato próprio do menor. Na chamada, o menor aparece por um apelido definido pelo Profissional. O adolescente recebe um texto em linguagem acessível e registra o seu assentimento (ou o Profissional registra que o obteve verbalmente), que não substitui a autorização do responsável.
Portal do Paciente (acesso sem conta): o Profissional pode enviar ao seu cliente um convite de acesso pessoal e de uso único, válido por 72 horas e revogável a qualquer momento pelo profissional, para que ele veja suas próximas sessões, entre na Sala de Sessão Online, responda questionários pendentes, aceite o contrato e baixe recibos e faturas. O convite só é consumido com um clique explícito do destinatário, e cria, a partir daí, uma sessão local no navegador com validade de até 72 horas, sem necessidade de conta ou senha. O Portal do Paciente nunca exibe prontuário, notas de sessão ou qualquer avaliação clínica — esse conteúdo é acessível somente ao Profissional. O Portal registra os últimos acessos (login, visualização e download), visíveis ao próprio cliente, e não usa nenhuma ferramenta de analytics sobre o comportamento dele. Hoje o cadastro da Plataforma admite apenas clientes maiores de 18 anos; ainda assim, esta regra já vale para quando essa limitação for alterada: sendo o atendido criança ou adolescente, o convite é enviado ao contato do responsável legal, não ao do menor.

4. Bases Legais do Tratamento (LGPD)

Conta, perfil e dados/conteúdo de sessão: execução de contrato (art. 7º, V).
Dados de pacientes inseridos pelo Profissional: consentimento ou tutela da saúde (art. 11, I e II "f") — o controlador desses dados é o Profissional, não a OfficePsy.
Pagamento (Stripe): execução de contrato (art. 7º, V) e obrigação legal/fiscal.
Logs de segurança: legítimo interesse (art. 7º, IX).
Analytics de uso do aplicativo (Google Analytics for Firebase): legítimo interesse (art. 7º, IX), para medir ativação e uso do produto. Você pode desativar a qualquer momento em Configurações → Privacidade, sem prejuízo ao uso do app. Não usamos identificador de publicidade (IDFA/AdID) nem, nesta fase, qualquer recurso de mensuração de campanha publicitária.
Verificação de identidade (dado biométrico): prevenção à fraude e segurança do titular em processo de identificação e autenticação de cadastro em sistema eletrônico (art. 11, II, "g").
Google Calendar e comunicações de marketing: consentimento (art. 7º, I), sempre opt-in explícito.
Sala de Sessão Online (transmissão de áudio e vídeo em tempo real, sem armazenamento): execução de contrato (art. 7º, V) para o roteamento técnico do sinal pela OfficePsy e pela LiveKit. A base legal do conteúdo da própria sessão — dado sensível de saúde — é definida pelo Profissional, controlador desses dados, nos termos da seção 2 desta Política. Metadados da chamada (horário, duração): execução de contrato (art. 7º, V); endereço IP e resultado do pedido de acesso (concedido ou negado): legítimo interesse (art. 7º, IX), para segurança e registro do atendimento.
Consentimento do atendimento online (data/hora, IP, hash do texto, local declarado, contato de emergência): execução de contrato e cumprimento de dever legal/ético do Profissional (art. 7º, V e II), como evidência do consentimento informado exigido pela Resolução CFP nº 9/2024 e normas equivalentes de outras categorias.
Pessoas atendidas em conjunto na Sala de Sessão Online: as mesmas bases legais do atendimento do cliente descritas nesta seção e na seção 2; o registro de presença (entrada, saída e IP) apoia-se em legítimo interesse (art. 7º, IX), para segurança e registro do atendimento.
Participantes convidados que não são clientes (escola, empresa): execução de contrato (art. 7º, V) para a entrega da chamada e legítimo interesse (art. 7º, IX) para registro de presença e segurança. A divulgação de informação sobre o aprendente à escola depende de consentimento específico e destacado do responsável legal (arts. 11, I, e 14, §1º) ou do próprio aprendente adulto, que o Profissional registra antes do convite e que pode ser revogado a qualquer tempo. Nas reuniões de consultoria com empresas, a base é o contrato de prestação de serviços entre o Profissional e a empresa, e não o consentimento do participante; essas reuniões não são atendimento e tratam resultados de forma agregada.
A autorização para a escola pode ser colhida pela Plataforma, por link, ou declarada pelo Profissional, e é revogável a qualquer tempo. A ciência do outro responsável tem como base o legítimo interesse do Profissional e do atendido em transparência entre os responsáveis (art. 7º, IX); ela não é consentimento e não condiciona a autorização.
Crianças e adolescentes: o tratamento de dados do menor na Sala se apoia no consentimento específico e em destaque de ao menos um dos pais ou do responsável legal (art. 14, §1º), e no melhor interesse do menor; o assentimento do adolescente é registrado como boa prática e dever de escuta, não como condição de validade. Não usamos dados de crianças e adolescentes para publicidade, análise de comportamento ou criação de perfil.
Portal do Paciente: os dados exibidos mantêm a mesma base legal que já têm no registro original — execução de contrato (art. 7º, V) para agenda, contrato e fatura; consentimento ou tutela da saúde (art. 11, I e II, "f") para questionários, conforme a categoria do Profissional (seção 2). O convite de acesso e o registro de "últimos acessos" apoiam-se em execução de contrato e legítimo interesse de segurança (art. 7º, V e IX).

Como a OfficePsy atua como operadora (não controladora) dos dados de pacientes, a base legal aplicável a esses dados é definida pelo Profissional, na qualidade de controlador — a OfficePsy processa esses dados por força do contrato/instrução do controlador (art. 39, LGPD).

5. Como Usamos os Dados

Prestação do serviço; comunicações transacionais; suporte; segurança/antifraude; melhoria do produto (análise agregada/anonimizada); cumprimento de obrigações legais.

O que NÃO fazemos: não vendemos dados; não usamos conteúdo clínico para publicidade; não compartilhamos dados de pacientes com seguradoras, planos ou empregadores.

6. Suboperadores

Supabase, Inc. — banco de dados, autenticação e armazenamento. Sede nos EUA; processamento na região São Paulo, Brasil.
Stripe, Inc. — processamento de pagamento (USD). EUA.
Google LLC — login OAuth, integração com Google Calendar e Google Analytics for Firebase (analytics de uso do app pelo Profissional, sem dado de paciente). EUA. Não roda na Sala de Sessão Online nem no Portal do Paciente.
Apple Inc. / Google Play — distribuição do app e, quando aplicável, pagamento in-app. EUA.
Resend, Inc. — envio de e-mails transacionais. EUA.
RevenueCat, Inc. — gestão das assinaturas compradas nas lojas (identificador da conta e situação da assinatura). EUA.
Didit Identity, Inc. — verificação de identidade do Profissional (imagem do documento e selfie). Contratada nos EUA; processamento na União Europeia.
Asaas Gestão Financeira S.A. — emissão de cobranças do Profissional ou da clínica aos seus clientes, quando essa função é ativada. Brasil.
Anthropic, PBC — recursos opcionais de inteligência artificial para redação de atas e pautas. EUA.
LiveKit, Inc. — infraestrutura de videochamada em tempo real da Sala de Sessão Online, contratada em plano self-serve pela OfficePsy LLC. Sede nos EUA. Não recebe, não grava e não armazena o áudio ou o vídeo da sessão — apenas retransmite o sinal entre os participantes, pelo servidor de mídia mais próximo de cada um, em tempo real, sem egress nem gravação habilitada. Os dados de telemetria do projeto (não o conteúdo da chamada) ficam na região da União Europeia (Frankfurt). O Termo de Serviço da LiveKit, aceito no cadastro da conta da OfficePsy, incorpora por referência o Data Processing Addendum da LiveKit, que inclui cláusulas-padrão contratuais da União Europeia para transferência internacional. A lista oficial de subprocessadores da LiveKit, citada no DPA, está em livekit.com/legal/sub-processors.

Todos os suboperadores estão vinculados por contratos de proteção de dados (DPA).

6.1 Google Analytics for Firebase — o que enviamos e o que não enviamos

Usamos o Google Analytics for Firebase para entender como Profissionais usam o aplicativo — por exemplo, quantos completam o cadastro ou iniciam uma assinatura. Enviamos apenas: o evento (o que aconteceu), um identificador de instância do aplicativo (não vinculado ao seu nome ou e-mail para essa finalidade), modelo de dispositivo, sistema operacional e país. Não enviamos nome, e-mail, CPF, categoria profissional, dado de paciente, conteúdo clínico, nem o identificador de publicidade do seu aparelho (IDFA no iOS, AdID no Android) — por isso não exibimos o aviso de rastreamento (App Tracking Transparency) da Apple: não rastreamos você entre aplicativos ou sites de terceiros.

Os dados de analytics ficam no Google Analytics for Firebase por até 2 meses e depois são apagados automaticamente. Você pode desativar essa coleta a qualquer momento em Configurações → Privacidade → Analytics de uso, dentro do aplicativo, sem qualquer restrição às funções do OfficePsy.

Se, no futuro, passarmos a medir a eficácia de anúncios (por exemplo, com o Google Ads), essa medição terá cláusula própria nesta Política e dependerá do seu consentimento explícito e separado, desligado por padrão.

6-A. Quando o Atendimento Acontece Dentro de uma Clínica

O OfficePsy oferece um modo de uso em que profissionais atuam vinculados a uma pessoa jurídica — a Clínica. Nesse modo, quem responde pelos dados depende de qual dado é:

Dados cadastrais, de agenda, financeiros e fiscais (nome, contato, horários, valores cobrados, notas fiscais): a Clínica é a Controladora. É ela quem cadastra o atendido, indica o profissional, define o preço e fatura.
Prontuário e conteúdo clínico (notas de sessão, evolução, avaliações): a Clínica e o profissional que atende são controladores conjuntos. O profissional decide, com autonomia técnica, o que registrar, e tem dever próprio de guarda e sigilo. A Clínica responde pela guarda segura e pelas obrigações legais, sem acessar o conteúdo clínico.

O titular pode exercer seus direitos perante qualquer um dos dois, pelo profissional que o atende ou pelo canal indicado na seção 9. A OfficePsy atua como Operadora (art. 5º, VII): trata os dados por conta e ordem dos controladores e não os utiliza para finalidade própria.

O que cada função enxerga. Dentro de uma clínica o acesso é repartido pelo próprio sistema, e nenhuma função vê tudo:

Administração: dados cadastrais, de agenda e financeiros do atendimento — quem atendeu, quando e quanto foi cobrado. Não acessa prontuário, notas de sessão nem conteúdo clínico.
Supervisão: o supervisor designado lê as notas de sessão e o panorama clínico dos atendidos por quem ele supervisiona, com base no art. 11, II, "f" (tutela da saúde, em procedimento realizado por profissional de saúde). A anotação pessoal do terapeuta nunca é exibida à supervisão. Todo acesso do supervisor a um prontuário fica registrado, com quem acessou e quando.
Responsabilidade Técnica (RT): o profissional designado como RT acessa indicadores de conformidade da clínica (cobertura de prontuário, consentimentos, acessos excepcionais).
Acesso excepcional (emergência): havendo risco à vida ou à integridade do atendido, um profissional autorizado pode abrir uma janela temporária de acesso ao prontuário. Toda abertura exige justificativa, tem prazo, é registrada e é auditável pelo RT (art. 11, II, "e").
Consentimento do atendimento online e Portal do Paciente: os dados do Termo de Consentimento do Atendimento Online (seção 3) são visíveis apenas ao profissional que atende aquela sessão — nem a Administração, nem a Supervisão têm acesso a eles, mesmo quando acessam o restante do prontuário conforme as regras desta seção.

Direito de oposição. O atendido pode se opor ao compartilhamento do seu prontuário com a supervisão, pelo profissional que o atende ou pelo canal da seção 9. Registrada a oposição, o prontuário deixa de aparecer para a supervisão. O acesso excepcional em emergência prevalece sobre a oposição e, quando ocorre, fica registrado.

Quando o profissional deixa a clínica, o prontuário não é eliminado nem entregue a ele: permanece sob guarda da Clínica e responsabilidade do seu RT, porque sua conservação é obrigação legal e ética.

7. Localização e Transferência Internacional de Dados (art. 33 LGPD)

O banco de dados de produção do OfficePsy está hospedado na região São Paulo, Brasil (Supabase). Os dados de Profissionais e pacientes permanecem armazenados no Brasil.

Acesso a partir do exterior. A OfficePsy LLC é sediada nos EUA, e sua equipe pode acessar a infraestrutura a partir de lá, exclusivamente para operação, manutenção, segurança e suporte. O acesso é restrito a pessoas autorizadas e sujeitas a dever de confidencialidade. O conteúdo clínico (prontuários, notas de sessão, anamneses e respostas a instrumentos) não é consultado pela equipe da OfficePsy, salvo quando indispensável para atender a uma solicitação de suporte do próprio Profissional, com a autorização dele, ou por obrigação legal. Para fins da LGPD, esse acesso remoto é tratado como transferência internacional e segue as garantias descritas abaixo.

Como a Controladora (OfficePsy LLC) está sediada nos EUA e parte dos suboperadores processa dados fora do Brasil (Stripe, Google, Apple, Resend, RevenueCat e Anthropic nos EUA; Didit na União Europeia), há transferência internacional de determinados dados. Essas transferências observam o art. 33 da LGPD, mediante cláusulas contratuais padrão/DPAs com cada suboperador e garantias de nível de proteção adequado (certificações SOC 2, ISO 27001, PCI-DSS quando aplicável). Isso inclui o Google Analytics for Firebase: os eventos de uso do aplicativo descritos na seção 6.1 são processados pelo Google LLC nos Estados Unidos, sob os mesmos termos de proteção de dados do Google já aplicáveis ao login e ao Google Calendar.

A Sala de Sessão Online também envolve transferência internacional: a LiveKit, Inc. é empresa americana, e os dados de telemetria do seu projeto ficam na União Europeia (Frankfurt). O conteúdo de áudio e vídeo da sessão não é armazenado em nenhum lugar — o que se transfere, para fins de LGPD, é o sinal em trânsito e a telemetria técnica da chamada, cobertos pelo DPA e pelas cláusulas-padrão contratuais da União Europeia descritos na seção 6.

8. Retenção e Exclusão

Conta ativa: durante a vigência da assinatura.
Encerramento de conta pelo titular: o acesso é bloqueado de imediato e os dados de perfil do Profissional (telefone, foto, biografia e dados profissionais) são eliminados; as anotações pessoais do terapeuta são apagadas. O titular tem 15 dias para pedir a reversão pelo canal da seção 9. Nome e e-mail são mantidos para registro do encerramento. Quem tem vínculo ativo com uma clínica precisa ser desligado por ela antes.
Prontuários, notas de sessão, faturas e contratos não são eliminados no encerramento: ficam bloqueados (art. 18, IV, c/c art. 5º, XIII), porque sua guarda é obrigação legal e ética e o documento pertence ao atendido.
Categorias sem dever legal de guarda (Psicopedagogo, Práticas Integrativas): as anotações de atendimento são eliminadas no encerramento, não bloqueadas. Cabe ao profissional exportar antes o que o código de ética de sua associação mandar conservar.
Imagens da verificação de identidade: até 90 dias, na Didit.
Logs de acesso/segurança: 6 meses.
Metadados da Sala de Sessão Online (horário de início e fim, duração, endereço IP de quem solicitou o acesso e se o acesso foi concedido ou negado): 6 meses, com expurgo automático. O áudio e o vídeo da sessão não são retidos em nenhum momento.
Registros de presença de cada participante da Sala de Sessão Online (nome informado, entrada, saída, IP): 6 meses, com expurgo automático. O aceite do Termo de Consentimento em conjunto segue a mesma regra de guarda do prontuário a que se vincula.
Avisos de participação de escola e empresa: 6 meses, com expurgo automático. A autorização de participação da escola (quem autorizou, escola, funções, finalidade, prazo, data, hora, endereço IP e versão do texto da declaração): mesma regra de guarda do registro do aprendente a que se vincula. A ata de reunião de consultoria e o registro da reunião (data, duração e cargos, sem nomes) ficam na ficha da empresa-cliente por 5 anos, contados do fim da reunião, e depois são apagados automaticamente.
A autorização aceita pelo responsável por link (quem autorizou, condição, escola, funções, finalidade, prazo, data, hora, endereço IP, versão e hash do texto) e as ciências do outro responsável: mesma regra de guarda do registro do aprendente a que se vinculam.
Autorização do responsável por atendido menor (nome, parentesco, contato de emergência, data, hora, endereço IP, versão e hash do texto) e assentimento do adolescente: mesma regra de guarda do registro do atendido a que se vinculam, para provar o consentimento. O apelido do menor na chamada: 6 meses após o encerramento da sala, com exclusão automática.
Termo de Consentimento do Atendimento Online (data, hora, IP, hash do texto, local declarado, contato de emergência): mesma regra de guarda do prontuário a que se vincula, por ser evidência do consentimento informado do atendimento.
Registros de "últimos acessos" do Portal do Paciente (login, visualização, download): 6 meses, mesmo prazo dos demais logs de segurança.
Eventos de analytics de uso (Google Analytics for Firebase): 2 meses, configurado no próprio Google Analytics; após esse prazo, os dados são apagados automaticamente pelo Google.
Dados fiscais/transacionais: conforme obrigação legal aplicável.
Backups: até 90 dias após exclusão dos dados primários.

Após os prazos, os dados são excluídos definitivamente ou anonimizados. O direito de eliminação não alcança dados cuja guarda seja obrigatória por lei ou por regulamento profissional (art. 16, I); nesses casos aplicamos o bloqueio: o dado deixa de ser acessível e utilizável, mas é conservado pelo prazo devido.

9. Direitos do Titular

Nos termos da LGPD (art. 18): confirmação e acesso; correção; anonimização, bloqueio ou eliminação; portabilidade (JSON/CSV); informação sobre compartilhamento; revogação de consentimento; oposição; revisão de decisões automatizadas.

Você também pode desativar o analytics de uso do aplicativo (Google Analytics for Firebase) a qualquer momento em Configurações → Privacidade → Analytics de uso, dentro do app, com efeito imediato e sem prejuízo às funções da Plataforma.

Exercício de direitos: [email protected] — resposta em até 15 dias.

10. Segurança dos Dados

Em trânsito: TLS 1.3.
Em repouso (servidor): dados no Supabase (São Paulo) cifrados; segredos e tokens cifrados.
No dispositivo: no app nativo, sessão no Keychain/Keystore. Na web, dados sensíveis de pacientes não são persistidos no navegador — o cache opera apenas em memória durante a sessão; apenas o token de sessão fica no armazenamento local.
Controle de acesso: Row Level Security (RLS) no banco — cada Profissional acessa apenas seus próprios dados; dentro de uma clínica, cada função acessa só o que a seção 6-A descreve.
Sessão web: HTTPS obrigatório, bloqueio/logout automático por inatividade.
Incidentes: notificação à ANPD e aos titulares conforme art. 48, LGPD.

11. Cookies e Armazenamento Local

Na web, utilizamos armazenamento local essencial para manter a sessão autenticada — não usamos cookies de rastreamento publicitário. A partir da versão 3.1.0, a web também pode usar os cookies de medição do Google Analytics (seção 6.1), apenas para analytics de uso, sem finalidade publicitária e com a mesma opção de desativação. No app nativo (iOS/Android), não há cookies.

12. Menores de Idade

O OfficePsy é destinado exclusivamente a profissionais maiores de 18 anos. Não coletamos conscientemente dados de menores como usuários da Plataforma. Dados de pacientes menores são de responsabilidade do Profissional, que deve observar o ECA e as normas do CFP/CRP/CFM aplicáveis.

Atendidos crianças ou adolescentes — situação comum na psicopedagogia: o consentimento é dado por ao menos um dos pais ou pelo responsável legal, e o tratamento observa o melhor interesse do titular (art. 14, LGPD). Quando a ficha é preenchida por familiar que não é o responsável legal (por exemplo, um avô), ou por outra pessoa em nome de atendido adulto, ela fica marcada como consentimento pendente, e o profissional só a utiliza depois que o responsável legal, ou o próprio adulto, confirmar.

O OfficePsy é destinado a maiores de 18 anos que atuam como profissionais ou clientes. Crianças e adolescentes atendidos podem participar da Sala de Sessão Online somente por meio do responsável legal, que autoriza a modalidade e recebe o acesso. Não criamos conta para menores, não coletamos contato próprio de menores, não medimos o uso das páginas de acesso do menor e não usamos dados de menores para publicidade, análise de comportamento ou criação de perfil. O Profissional deve ouvir o menor na medida da sua compreensão e compartilhar com responsáveis e terceiros apenas o estritamente essencial.

13. Alterações desta Política

Alterações substanciais serão notificadas com antecedência mínima de 15 dias antes de entrarem em vigor, por e-mail e/ou notificação no aplicativo. O uso continuado da Plataforma após a notificação implica aceite da versão atualizada. A versão vigente está sempre disponível em officepsy.com/politica-de-privacidade.

Versão 3.6.2 (publicada em 04/10/2026): define em 6 meses, após o encerramento da sala, a guarda do apelido do menor usado na chamada, com exclusão automática.

Versão 3.6.1 (publicada em 04/10/2026): define em 5 anos, contados do fim da reunião, a guarda da ata e do registro das reuniões online de consultoria com empresas (NR-1), com exclusão automática após o prazo.

Versão 3.6.0 (publicada em 04/10/2026): inclui a participação de crianças e adolescentes atendidos na Sala de Sessão Online, somente com autorização prévia do responsável legal, assentimento do adolescente e apelido na chamada, sem contato próprio do menor. Para contas criadas a partir de 04/10/2026, vale desde a publicação; para as contas anteriores, a partir de 19/10/2026, após o aviso de 15 dias da cláusula 13.

Versão 3.5.0 (publicada em 04/10/2026): inclui o aceite da autorização para a escola pelo próprio responsável, por link, com revogação; a ciência ao outro responsável; o link de grupo opcional na reunião com a empresa; e a exportação da ata em PDF. Para contas criadas a partir de 04/10/2026, vale desde a publicação; para as contas anteriores, a partir de 19/10/2026, após o aviso de 15 dias da cláusula 13.

Versão 3.4.0 (publicada em 03/10/2026): inclui as reuniões online com a escola (psicopedagogia, mediante autorização registrada do responsável) e com empresas-clientes (consultoria NR-1, sem registro em prontuário), os avisos de participação, a guarda da autorização e da ata, e a participação de menores somente pelo responsável legal. Para contas criadas a partir de 03/10/2026, vale desde a publicação; para as contas anteriores, a partir de 18/10/2026, após o aviso de 15 dias da cláusula 13.

Versão 3.3.0 (publicada em 03/10/2026): inclui a sessão online com mais de uma pessoa atendida (casal ou família, maiores de idade), com link pessoal, nome informado e aceite do termo em conjunto por participante, e descreve o registro de presença (6 meses) e a guarda do aceite. Para contas criadas a partir de 03/10/2026, vale desde a publicação; para as contas anteriores, a partir de 18/10/2026, após o aviso de 15 dias da cláusula 13.

Versão 3.2.0 (publicada em 03/10/2026): inclui a Sala de Sessão Online (videochamada em tempo real, sem gravação, via LiveKit, Inc.) e o Portal do Paciente (acesso por convite pessoal de uso único, sem conta nem senha); acrescenta a LiveKit à lista de suboperadores e o parágrafo correspondente na seção 7; detalha o Termo de Consentimento do Atendimento Online e sua visibilidade restrita ao profissional que atende; descreve a retenção de metadados de chamada e dos acessos do Portal. Para contas criadas a partir de 03/10/2026, que aceitam esta versão no cadastro, vale desde a publicação. Para as contas anteriores, vale a partir de 18/10/2026, após o aviso de 15 dias da cláusula 13; até lá, a Sala de Sessão Online e o Portal do Paciente continuam operando sob a versão anterior desta Política, sem as ampliações desta versão.

Versão 3.1.0 (publicada em 28/09/2026, vigente a partir de 13/10/2026): inclui o Google Analytics for Firebase para medir o uso do aplicativo pelo Profissional (sem dado de paciente, sem conteúdo clínico, sem identificador de publicidade), com opção de desativação em Configurações → Privacidade; amplia o escopo do suboperador Google LLC e o parágrafo de transferência internacional da seção 7. Para contas criadas a partir de 28/09/2026, que aceitam esta versão no cadastro, vale desde a publicação. Para as contas anteriores, vale a partir de 13/10/2026, após o aviso de 15 dias da cláusula 13; até lá, nenhuma coleta de analytics ocorre nessas contas.

Versão 3.0.0 (26/09/2026): descreve o modo Clínica, as categorias sem conselho de classe, a verificação de identidade, o encerramento de conta como o sistema o executa e o consentimento pendente de menores. Descreve funcionalidades já em operação.

Versão 2.1.0 (26/09/2026): esclareceu o acesso a partir dos EUA e completou a lista de suboperadores já em uso.

14. Contato e DPO

Para exercício de direitos, dúvidas ou reclamações relacionadas ao tratamento de dados pessoais:

E-mail: [email protected]

DPO e Representante no Brasil: Antonio Pereira dos Santos — Rua Cassiano dos Santos, 386, Jardim Clipper, São Paulo, SP, CEP 04827-110, Brasil

Você também pode contatar a Autoridade Nacional de Proteção de Dados (ANPD): www.gov.br/anpd