Política de Privacidade

Esta política explica o que a SecretáriaPsi faz com os dados que passam pelo produto: os seus, de profissional que contrata o serviço, e os dos seus pacientes, que você cadastra para trabalhar. Ela vale para o site secretariapsi.com, para o painel em app.secretariapsi.com e para o aplicativo de celular.

Quem publica o serviço é Apex Software Ltda - ME, CNPJ 35.126.566/0001-49, com sede na Rua São Francisco, 175, Centro, Mantena/MG, CEP 35290-000. Para qualquer assunto desta página, incluindo pedidos de exclusão, o canal é privacidade@secretariapsi.com.

1. Dois papéis diferentes

A Lei Geral de Proteção de Dados (Lei 13.709/2018) separa quem decide o que fazer com um dado de quem apenas o processa a mando de alguém. No produto essa divisão cai assim:

• Sobre os dados da sua conta — nome, e-mail, senha, uso do serviço — nós somos o controlador. A decisão de coletá-los é nossa, e é sobre eles que você exerce seus direitos diretamente conosco.
• Sobre os dados dos seus pacientes — nome, contato, horários — quem decide é você. Você é o controlador, e nós somos o operador: só tratamos esses dados para fazer o serviço funcionar, seguindo o que você pede pelo produto.

Na prática, isso quer dizer que um paciente que quiser saber quais dados existem sobre ele deve procurar você, e não nós — e que nós ajudamos você a responder, no que for do nosso lado.

2. Que dados o produto guarda

Da sua conta e do consultório

• Nome completo e e-mail.
• Senha, guardada apenas como hash (scrypt) — ninguém aqui consegue lê-la.
• Consultório, locais de atendimento e profissionais que você cadastrar.
• Ajustes da secretária, como as instruções que você escreve para ela.

Dos seus pacientes

• Nome.
• WhatsApp e e-mail, quando você os preencher.
• Um código interno, gerado pelo sistema para identificar o cadastro.
• Os compromissos: data, horário, duração, local, profissional, repetição e situação.

O WhatsApp e o e-mail do paciente são cadastro, não canal de envio: o produto não manda mensagem, confirmação ou lembrete para paciente nenhum.

Do prontuário

Se você usar o prontuário, ficam guardadas as entradas que você escrever — evolução de sessão, anotação, os adendos que corrigem uma entrada já assinada e o histórico de revisões, com data e autoria de cada versão.

É a parte mais sensível do produto, e a única com controle de acesso próprio: nem quem é dono do consultório nem quem administra a conta lê um prontuário sem acesso concedido nominalmente, e cada leitura fica registrada. A secretária só alcança o prontuário se você ligar essa opção em Configurações — ela vem desligada, e o que ela lê é registrado como qualquer outra leitura.

Das conversas com a secretária

As mensagens que você escreve, as respostas dela e o registro do que foi executado ficam guardados na sua conta — é o que permite reabrir uma conversa antiga. Guardamos também o consumo de inteligência artificial (quantidade de requisições, tokens e custo), que é contabilidade do serviço, não conteúdo.

Do ditado por voz

Quando você dita um comando em vez de digitar, o áudio sai do aparelho e vai direto para a OpenAI transcrever. Ele existe só de passagem: o servidor recebe o arquivo, manda para a OpenAI, lê a frase de volta e descarta o temporário — o áudio não fica guardado, nem no aparelho nem em nossos servidores. O que permanece é a frase já escrita, no mesmo lugar das outras mensagens da conversa com a secretária.

Notificações do celular

Quando você liga o aviso de bom-dia da agenda, o aplicativo registra um identificador do aparelho — o token que o Firebase Cloud Messaging usa para saber a quem entregar a notificação. Ele não é ligado à sua conta, e sim ao aparelho, e serve só para mandar o resumo dos compromissos do dia, toda manhã.

O token fica guardado enquanto continuar válido, e some sozinho quando o Firebase avisa que ele parou de funcionar — app desinstalado, dados do sistema limpos, aparelho trocado. Também some se você desligar o aviso.

O interruptor mora em Configurações › Notificações, dentro do aplicativo. A escolha é do aparelho, não da conta: desligar num celular não desliga em outro, e entrar com a mesma conta num aparelho novo não liga sozinho o que você já tinha desligado.

Técnicos

Registros de servidor com data, hora, endereço IP e o que foi chamado na API — o mínimo para investigar erro e abuso.

Um registro de cada entrada na sua conta — login, cadastro ou conexão de um aplicativo de IA — com data, hora, endereço IP, o aparelho e o navegador ou a versão do app. Serve para o suporte entender por onde você usa o produto e para notar um acesso que não foi seu. Fica guardado por 90 dias.

3. O que o produto não pede

O prontuário é o único lugar do produto feito para conteúdo clínico, e usá-lo é opção sua — a seção 2 descreve o que ele guarda. Fora dele, pedimos que você não escreva evolução, diagnóstico ou anotação de sessão: nem nas conversas com a secretária, nem na descrição dos compromissos. Essas partes não têm o controle de acesso nem o registro de leitura que o prontuário tem.

Mesmo sem prontuário escrito, a informação de que alguém é paciente de psicologia é, por si só, dado sensível de saúde (art. 5º, II da LGPD). Por isso ela é tratada com o mesmo cuidado do resto desta página, e a base legal para o tratamento desses dados no seu consultório é sua, na condição de controladora — normalmente a tutela da saúde por profissional de saúde (art. 11, II, “f”).

4. Para que usamos, e com que base legal

Não vendemos dados, não os cedemos para publicidade e não usamos o conteúdo do seu consultório para vender nada a ninguém.

5. A inteligência artificial

A secretária funciona com um modelo de linguagem da OpenAI. Para responder, o texto da sua mensagem e o contexto necessário do consultório são enviados à API dela — é assim que o modelo funciona, e não há como usar o produto sem isso.

Sobre esse envio, três coisas importam:

• O rastreamento está desligado. A biblioteca que usamos exporta, por padrão, o conteúdo das conversas para o painel de observabilidade da OpenAI. Desligamos essa exportação no código do servidor.
• O conteúdo não é usado para treinar modelos, conforme a política da OpenAI para dados enviados pela API.
• É transferência internacional. Os servidores da OpenAI ficam nos Estados Unidos, e o envio se apoia no art. 33, VI da LGPD — a transferência é necessária para executar o contrato que você celebrou conosco.

6. Quando você conecta o ChatGPT

O consultório pode ser conectado ao ChatGPT — e a outros aplicativos de inteligência artificial que falem o mesmo protocolo. A conexão só nasce depois que você autoriza numa tela nossa, que diz qual aplicativo está pedindo, para qual consultório e se ele poderá também escrever. Enquanto ninguém clicar em Permitir, nada sai daqui.

Conectada, a conversa passa a acontecer no ChatGPT, e o nosso servidor responde ao que ela pedir:

• Agenda — dia, horário, duração, local, profissional, situação, etiquetas e a observação que você escreveu no compromisso.
• Pacientes — nome, WhatsApp e e-mail do cadastro, o código interno e desde quando a pessoa é paciente.
• Financeiro — cobranças, valores, parcelas e pagamentos, e o catálogo de serviços com os preços.
• Consultório — locais de atendimento e os profissionais cadastrados, com especialidade e registro profissional.

Vai o que a pergunta pede, e não o cadastro inteiro: quem pergunta a agenda de quinta recebe a agenda de quinta. O prontuário fica de fora, e isso não é promessa de texto — as ferramentas que leem prontuário não são oferecidas nessa conexão, e o servidor se recusa a subir se alguma delas passar a ser.

O que chega ao ChatGPT passa a valer pelas regras dele. A seção anterior fala da API que contratamos, onde desligamos o rastreamento e o conteúdo não treina modelo. Aqui é outra coisa: a conversa é sua, na sua conta do ChatGPT, e quanto tempo a OpenAI a guarda e se o conteúdo dela pode treinar modelo é a política de privacidade e os controles de dados da OpenAI que dizem, não esta página. Nome, telefone e horário de paciente passam a existir dentro dessa conversa — é por isso que conectar é uma decisão sua, tomada uma vez, e não um padrão do produto.

A conexão se desfaz quando você quiser, no painel, em Configurações › Aplicativos de IA: revogar ali derruba o acesso na hora, e o ChatGPT precisa de um “Permitir” novo para voltar a enxergar o consultório. Desconectar o aplicativo do lado do ChatGPT tem o mesmo efeito. O que já foi dito naquela conversa, porém, está na sua conta do ChatGPT — apagar aquilo é lá, não aqui.

7. Com quem compartilhamos

Só com os fornecedores que fazem o serviço existir, e cada um só recebe o que precisa para a sua parte:

Fora isso, só compartilhamos dados por ordem judicial ou requisição de autoridade competente — e, quando a lei permitir avisar, avisamos você.

8. Por quanto tempo guardamos

• Enquanto a conta existir, os dados do consultório ficam guardados: agenda antiga é histórico de trabalho, e apagá-la sozinha seria perder o que você registrou.
• Depois do encerramento, apagamos os dados do consultório em até 30 dias, salvo o que a lei mandar guardar (nota fiscal e registro de cobrança, por exemplo).
• Cópias de segurança são sobrescritas no ciclo normal, em até 30 dias.
• Registros técnicos ficam por até 6 meses.
• Registros de acesso à conta ficam por 90 dias.

Conversas com a secretária podem ser apagadas a pedido, a qualquer momento, pelo e-mail de privacidade — o produto ainda não tem um botão para isso.

Encerrar a conta é um botão dentro do aplicativo, em Configurações › Meu perfil › Encerrar a conta. O acesso acaba assim que você confirma — em todos os aparelhos —, e os dados do consultório são apagados no prazo acima. No painel esse botão ainda não existe; por lá o pedido vale pelo e-mail de privacidade, e tem o mesmo efeito.

Uma ressalva que é sua, e não nossa: se houver prontuário escrito, a guarda mínima de cinco anos da Resolução CFP 001/2009 é responsabilidade da profissional. Guarde uma cópia antes de encerrar — nós apagamos o que você pedir para apagar.

9. Segurança

• Todo o tráfego entre o seu navegador, o painel e a API é cifrado (HTTPS).
• Senhas guardadas como hash, nunca em texto.
• Acesso por token, verificado a cada chamada da API.
• Isolamento por consultório: cada requisição carrega o consultório a que pertence, e uma conta não alcança os dados de outra.
• Acesso da nossa equipe restrito ao necessário para operar e dar suporte.

Nenhum sistema é imune. Se acontecer um incidente de segurança relevante, comunicamos você e a Autoridade Nacional de Proteção de Dados, como manda o art. 48 da LGPD.

10. Cookies

Este site não usa cookie de análise, de publicidade nem de rede social — não há rastreador aqui. No painel existe um cookie essencial, que guarda o token da sua sessão para você não precisar entrar a cada página. Sem ele o produto não funciona, e por isso ele não depende de consentimento (art. 7º, V).

11. Seus direitos

O art. 18 da LGPD garante a você, sobre os seus dados:

• saber se tratamos algum dado seu, e quais;
• acessá-los e receber uma cópia;
• corrigir o que estiver errado ou incompleto;
• pedir anonimização, bloqueio ou eliminação de dado desnecessário;
• pedir a portabilidade a outro fornecedor;
• saber com quem compartilhamos;
• revogar consentimento, quando o tratamento se apoiar nele.

Escreva para privacidade@secretariapsi.com e respondemos em até 15 dias. Se o pedido for de um paciente sobre dados que estão no seu consultório, encaminhamos você — quem responde é o controlador.

12. Menores de idade

O produto é para uso profissional, por maiores de 18 anos. Pacientes menores podem estar cadastrados na agenda, e nesse caso o cadastro é feito por você, a quem cabe o consentimento dos pais ou responsáveis, no melhor interesse da criança e do adolescente (art. 14 da LGPD).

13. Mudanças nesta política

Quando ela mudar, a data de atualização no topo muda junto. Se a mudança for relevante — dado novo, finalidade nova, fornecedor novo —, avisamos por e-mail ou dentro do produto antes de passar a valer.

14. Falar com a gente

Encarregado de dados: privacidade@secretariapsi.com

Apex Software Ltda - ME — CNPJ 35.126.566/0001-49 — Rua São Francisco, 175, Centro, Mantena/MG, CEP 35290-000.