Política de Privacidade

O Dyvan é um sistema de gestão clínica para psicólogos, neuropsicólogos e outros profissionais de saúde, oferecido por [Razão social], inscrita no CNPJ [CNPJ], com sede em [Endereço completo] (“Dyvan”, “nós”).

Esta política explica como tratamos dados pessoais, nos termos da Lei Geral de Proteção de Dados (Lei nº 13.709/2018, “LGPD”). Ela se aplica aos profissionais e clínicas que usam o Dyvan (“usuários”), aos pacientes e responsáveis cujos dados são registrados por eles e a quem visita nosso site.

A LGPD distingue quem decide sobre os dados (controlador) de quem os trata em nome de outro (operador):

• Dados da conta do usuário (nome, e-mail, profissão, registro no conselho, CPF, chave Pix, uso do sistema): o Dyvan é o controlador.
• Dados de pacientes e responsáveis (cadastro, agenda, prontuário, avaliações, laudos, documentos e cobranças): o profissional ou a clínica é o controlador, responsável pelo sigilo profissional, pela base legal e pela guarda do prontuário. O Dyvan é o operador e trata esses dados apenas conforme as instruções do usuário e estes termos.

Pacientes que quiserem exercer direitos sobre seus dados devem procurar primeiro o profissional ou a clínica que os atende. Nós apoiaremos o controlador no atendimento dessas solicitações.

• Cadastro e perfil: nome, e-mail, senha (guardada de forma criptografada, que nem nós conseguimos ler), profissão, registro no conselho, CPF (opcional, para recibos) e chave Pix (opcional).
• Dados inseridos pelo usuário sobre pacientes: identificação, contato, data de nascimento, CPF, responsáveis, agendamentos, registros clínicos, resultados de avaliações, laudos, documentos e cobranças. Incluem dados pessoais sensíveis de saúde (art. 5º, II, da LGPD).
• Dados de uso e registros de acesso: endereço IP, data e hora de acesso, e a trilha de auditoria de ações no sistema (quem criou, alterou ou consultou um registro, sem copiar o conteúdo clínico).
• Consumo de IA: qual função foi usada, quando e quantos tokens foram consumidos. Não guardamos cópia do texto enviado à IA.
• Cookies necessários: veja a Política de Cookies.

Não usamos dados pessoais para publicidade, não os vendemos e não criamos perfis de pacientes.

Alguns recursos usam modelos de IA da Anthropic (Claude) como apoio à redação. A IA propõe; o profissional revisa e decide. Para proteger os pacientes:

• Antes do envio, nomes, CPF, telefones e e-mails são substituídos por marcadores (por exemplo, “[PACIENTE]”). Os nomes reais só são recolocados no nosso servidor, depois da resposta.
• O uso de IA exige que o profissional registre o consentimento do paciente ou do responsável. O consentimento pode ser revogado a qualquer momento na ficha do paciente.
• Pelos termos comerciais do provedor, os dados enviados pela API não são usados para treinar modelos e ficam retidos apenas pelo prazo limitado previsto para segurança e prevenção de abuso.
• Registro por voz: o profissional pode ditar um resumo depois da sessão ou, com a autorização do paciente (ou responsável), gravar a sessão. O áudio vai para um armazenamento privado, é transcrito pela Deepgram e apagado assim que a transcrição termina; áudios não enviados são apagados em até 3 horas. A transcrição é pseudonimizada antes de ir para a IA, e só o rascunho do registro fica no prontuário. A autorização para gravar fica registrada.
• Nenhuma decisão é tomada de forma automatizada: todo texto gerado passa pela revisão do profissional.

Compartilhamos dados apenas com fornecedores necessários para operar o serviço (suboperadores):

Também poderemos compartilhar dados quando exigido por lei ou ordem judicial, ou para proteger direitos do Dyvan e dos titulares. Se o serviço for transferido a outra empresa, ela assumirá as obrigações desta política.

O pagamento de consultas por Pix acontece diretamente entre paciente e profissional, no banco de cada um: o Dyvan não recebe nem intermedeia esses valores.

Os dados ficam armazenados no Brasil. Quando um fornecedor estiver no exterior (como a Anthropic, nos recursos de IA), a transferência segue os mecanismos do art. 33 da LGPD e a regulamentação da ANPD, como cláusulas contratuais, e envolve apenas o mínimo necessário: na IA, texto já pseudonimizado; na transcrição, só o áudio, que é apagado em seguida; nos lembretes, só nome, e-mail, data e horário.

• Criptografia em trânsito (HTTPS/TLS) e em repouso.
• Registros clínicos, laudos e observações do paciente são criptografados também pela aplicação (AES-256), com uma chave guardada fora do banco de dados.
• Isolamento dos dados de cada consultório no próprio banco de dados (Row Level Security).
• Trilha de auditoria de acessos e alterações.
• Registros clínicos assinados e documentos emitidos não podem ser alterados; pacientes não são apagados.
• Pseudonimização antes do uso de IA e acesso restrito da nossa equipe, apenas quando necessário para suporte.

Em caso de incidente de segurança que possa causar risco ou dano relevante, comunicaremos os usuários afetados e a ANPD, nos termos da lei.

• Dados da conta: enquanto a conta estiver ativa.
• Dados de pacientes: enquanto o usuário mantiver a conta. A guarda do prontuário pelo prazo exigido pelo conselho profissional é responsabilidade do profissional (por exemplo, no mínimo 5 anos para psicólogos, conforme a Resolução CFP nº 01/2009).
• Registros de acesso: por no mínimo 6 meses, conforme o Marco Civil da Internet.
• Ao encerrar a conta, o usuário pode solicitar a exportação dos seus dados. Depois do prazo informado no encerramento, os dados são excluídos, salvo quando a lei exigir a guarda.

Pela LGPD (art. 18), o titular pode solicitar:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• portabilidade dos dados;
• informação sobre com quem compartilhamos;
• revogação do consentimento, quando essa for a base legal;
• revisão de decisões automatizadas (não tomamos decisões desse tipo).

Usuários podem fazer as solicitações pelo e-mail [e-mail do encarregado]. Pacientes e responsáveis devem procurar o profissional ou a clínica (controlador), a quem daremos apoio. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

O Dyvan é usado por profissionais que atendem crianças e adolescentes. O tratamento desses dados deve ocorrer no seu melhor interesse (art. 14 da LGPD), cabendo ao profissional obter as autorizações dos pais ou responsáveis quando necessárias. O sistema permite registrar os responsáveis de cada paciente.

O Dyvan não se destina ao uso direto por menores de 18 anos.

Usamos apenas cookies necessários para autenticação, segurança e para lembrar sua escolha sobre cookies. Os detalhes estão na Política de Cookies.

Encarregado pelo tratamento de dados pessoais (DPO): [Nome do encarregado] — [e-mail do encarregado].

Suporte geral: [e-mail de suporte].

Podemos atualizar esta política para refletir mudanças no serviço ou na lei. Mudanças relevantes serão comunicadas por e-mail ou no próprio sistema com antecedência razoável. A data e a versão no topo indicam a última atualização.