Política de Privacidade

1. Controlador

Razão social: Pedro Silva Bertoluchi Desenvolvimento de Software Ltda (Bertoluchi Software). CNPJ: 66.416.999/0001-62. Endereço: Rua Pais Leme, 215, Conj. 1713, Pinheiros, São Paulo-SP, CEP 05424-150. Marca comercial: CLIOPsi.

Nome do encarregado pessoa natural (DPO): Pedro Silva Bertoluchi (dpo@cliopsi.com.br). A CLIOPsi é o controlador dos dados cadastrais do psicólogo usuário e operadora dos dados clínicos lançados pelos profissionais. Para qualquer assunto relacionado à proteção de dados, fale com nosso Encarregado (DPO):dpo@cliopsi.com.br.

2. Dados que coletamos

Dados do psicólogo (controlador): nome completo, CRP, e-mail, WhatsApp para contato da equipe (solicitado ao entrar quando ausente), foto de perfil (opcional), abordagem clínica padrão, valores e duração padrão da sessão, registros de aceite destes Termos.

Origem do cadastro: para saber de onde vem cada conta, guardamos o canal de chegada (por exemplo, instagram ou googleads) no navegador e em um cookie próprio, clio-origem, por até 90 dias, e o vinculamos à conta quando você se cadastra. Duas categorias do aviso de cookies controlam isso. Análise: só depois do seu aceite registramos a visita e guardamos o canal de chegada indicado pelo nosso servidor. Marketing: só com o seu aceite podemos guardar o identificador do clique do anúncio do Google (GCLID), por até 90 dias, e vinculá-lo à sua conta. Isso vale também quando o endereço que você abriu indica que você veio de um anúncio do Google (origem=googleads): o canal googleads só é guardado em clio-origem com o aceite de análise, e o GCLID só com o aceite de marketing. Nenhum dado clínico é incluído nessa atribuição.

Contagem de visitas: depois do aceite da categoria de análise, ao abrir a página inicial e ao clicar em Entrar ou Começar grátis, enviamos ao nosso servidor o tipo do evento, um código aleatório de visita, o domínio do site de onde você veio (ou, quando o endereço traz, o valor de utm_source, de até 40 caracteres), se você veio de um anúncio (sim ou não, sem o identificador do clique) e as marcas de acesso interno e de robô. Sem o aceite, nada disso é gravado nem enviado. O código fica no armazenamento da aba do navegador e some quando você a fecha, mas liga os eventos da mesma visita: é dado pessoal pseudonimizado, não anônimo. Não guardamos o seu endereço de IP nesse registro e não o enviamos a terceiros para medida.

Mapa de cliques nas páginas públicas: as páginas públicas de divulgação registram, sem cookie e sem identificador, uma grade agregada de cliques e rolagem, os links clicados e erros de script, enviados ao servidor da própria Bertoluchi Software. Esse registro não acontece nas telas clínicas, no agendamento nem na área do paciente.

Medição com OpenAI Ads: após um aceite que inclua esse serviço, usamos o pixel nas páginas públicas de divulgação e na confirmação do cadastro. Comunicamos a conclusão do cadastro após salvar a configuração inicial. O pixel trata identificadores de publicidade e pode realizar correspondência automática de informações disponíveis nessas páginas, quando habilitada. Informações de contato reconhecidas são transformadas em hashes no navegador. O pixel não é carregado nas telas de autenticação, de configuração inicial ou clínicas.

Dados que o psicólogo lança sobre seus pacientes (operação): nome do paciente, CPF, dados de contato, valor por sessão, anotações clínicas, transcrições de áudio das sessões e prontuários gerados. Esses dados são tratados pela CLIOPsi por conta e ordem do psicólogo controlador.

3. Bases legais (Art. 7º LGPD)

• Execução de contrato com o psicólogo usuário, para entrega das funcionalidades da plataforma (Art. 7º, V);
• Legítimo interesse da CLIOPsi e do profissional usuário na operação segura de uma plataforma clínica, sempre observados os direitos do titular (Art. 7º, IX);
• Cumprimento de obrigação legal e regulatória aplicável à atuação profissional do psicólogo (Art. 7º, II).

Para dados pessoais sensíveis de pacientes (saúde), a base legal utilizada é a tutela da saúde exercida por profissional de saúde que opera a plataforma (Art. 11, II, “f” da LGPD), com consentimento informado obtido pelo psicólogo junto ao paciente.

4. Finalidades do tratamento

• Autenticação e gestão de contas profissionais;
• Registro, transcrição e geração assistida por IA de prontuários clínicos;
• Organização de agenda, briefings e memória longitudinal;
• Suporte técnico e prevenção a fraudes;
• Cumprimento de obrigações legais e regulatórias.

5. Sub-operadores e compartilhamento

Para entregar a plataforma, contamos com os seguintes sub-operadores:

• Clerk, autenticação e gestão de identidade (Estados Unidos);
• OpenAI, inferência de modelos de linguagem sobre transcrições para geração de prontuários, briefings e relatórios (Estados Unidos);
• Deepgram, transcrição de áudio das sessões em texto (Estados Unidos);
• Hostinger, hospedagem da aplicação e do banco de dados principal (PostgreSQL em servidor próprio), que guarda dados de cadastro, pacientes, sessões e prontuários, com servidores localizados no Brasil (São Paulo);
• Locaweb, hospedagem do servidor espelho da aplicação, com servidor localizado no Brasil;
• QNAX, hospedagem do servidor de contingência da aplicação e de uma réplica contínua do banco de dados, com os mesmos dados de cadastro, pacientes, sessões e prontuários, com servidor localizado no Brasil (São Paulo);
• Asaas, processamento da cobrança da assinatura do profissional, por cartão de crédito, em página de pagamento do próprio Asaas. Recebe dados de cobrança do profissional, nunca de pacientes;
• Cloudflare, entrega e proteção do tráfego entre você e a aplicação, e guarda das cópias de segurança cifradas do banco de dados (rede global);
• Google Agenda, somente quando o profissional conecta a agenda dele: recebe o primeiro nome do paciente e o horário da sessão, sem outros dados (Estados Unidos);
• Meta Platforms (WhatsApp Business), envio de lembretes de sessão e dos códigos de acesso ao agendamento e à área do paciente, para o celular cadastrado pelo profissional (Estados Unidos);
• Sentry, monitoramento de erros com filtros LGPD ativos: sem PII, sem corpo de requisição, sem cookies (Estados Unidos);
• Google Ads, medição de campanhas nas páginas públicas de divulgação, somente após consentimento para marketing. A tag não é executada nas telas clínicas nem nas telas de cadastro que recebem dados pessoais. Não enviamos nomes, prontuários ou anotações de pacientes para essa medição.
• OpenAI Ads, medição de campanhas e cadastros concluídos, mediante consentimento específico para essa finalidade. O uso para publicidade é separado da geração de documentos clínicos.

6. Transferência internacional

A aplicação é hospedada no Brasil desde 11 de agosto de 2026, e o banco de dados principal também, desde 12 de setembro de 2026. Parte dos dados continua sendo processada fora do país, notadamente nos Estados Unidos (Clerk, OpenAI, Deepgram, Meta, Sentry, Google Agenda quando o profissional a conecta e, mediante consentimento, Google Ads e OpenAI Ads). Essas transferências são amparadas pelas hipóteses do Art. 33 da LGPD, em particular pela execução do contrato com o titular e pelo uso de cláusulas contratuais de proteção equivalentes.

7. Retenção

O pixel OpenAI Ads utiliza os cookies __oppref, com prazo de 30 dias, e __obref, com prazo de 365 dias. Esses prazos não representam a retenção total dos dados pelo provedor.

O registro documental tem guarda mínima de cinco anos, conforme a Resolução CFP nº 01/2009, Art. 4º, podendo exigir prazo maior. O sistema não exclui automaticamente o prontuário ao completar esse prazo. A transcrição fica associada ao registro clínico.

O navegador mantém o áudio em memória durante a gravação. Os trechos recebidos pelo servidor ficam criptografados no banco até a transcrição ser salva ou o profissional descartar a gravação. Uma falha de transcrição ou a falta de créditos não apaga o áudio pendente. Cópias de segurança do banco são cifradas e apagadas automaticamente: as de hora em hora em três dias, as de recuperação contínua em duas a três semanas e as diárias em 30 dias.

Registros de auditoria têm política de limpeza diária após cinco anos; códigos OTP, após sete dias. Esses prazos não determinam a retenção dos provedores externos. Consulte os destinos e limites no fluxo de segurança.

8. Direitos do titular (Art. 18 LGPD)

Você pode, a qualquer tempo, exercer seus direitos de acesso, correção, anonimização, portabilidade, eliminação de dados e revogação de consentimento. O TCLE é granular (Art. 8 §4): você pode autorizar gravação e armazenamento sem autorizar a geração de prontuário por IA. nesse caso o profissional escreve o registro manualmente. Ferramentas disponíveis:

• Exportação dos seus dados em JSON na aba de privacidade dentro de /configuracoes;
• Solicitações de eliminação de conta e dados associados pelo e-mail dpo@cliopsi.com.br.
• Paciente: através do link de consentimento recebido do(a) profissional, acessar /consent/{token}/dados para revisão de dados, portabilidade (JSON Art. 18 V) e revogação de consentimento.
• Petição à ANPD: se seus direitos não forem atendidos, você pode peticionar à Autoridade Nacional de Proteção de Dados em gov.br/anpd (Art. 18 §1 LGPD).

8.1. Decisão automatizada por IA (Art. 20 LGPD)

A plataforma usa IA (OpenAI) para gerar prontuários, briefings e resumos a partir de transcrições. Esses artefatos são sugestões automatizadas que devem ser revisadas e assinadas pelo psicólogo antes de qualquer uso clínico. O paciente tem direito à revisão humana de qualquer decisão automatizada que afete seu atendimento, e pode solicitar explicação sobre os critérios usados, escrevendo para dpo@cliopsi.com.br.

9. Segurança

Adotamos medidas técnicas e administrativas razoáveis para proteger os dados, incluindo: tráfego em TLS, autenticação por JWT via Clerk, conexão com o banco de dados por rede privada e com autenticação mútua por certificado, cifragem dos campos sensíveis pela aplicação, cópias de segurança cifradas, controle de acesso baseado em conta e registros de auditoria operacional. Apesar dos cuidados, nenhuma plataforma é absolutamente imune; em caso de incidente relevante, comunicaremos titulares e a ANPD nos termos do Art. 48 da LGPD.

10. Encarregado (DPO)

Encarregado pelo tratamento de dados pessoais: dpo@cliopsi.com.br.

11. Medida de uso das páginas públicas

Para entender quais páginas ajudam e quais atrapalham, medimos as visitas às páginas públicas de divulgação com o Umami, um programa de estatística de código aberto que a Bertoluchi Software opera em servidor próprio, no Brasil. A controladora desses dados é a Pedro Silva Bertoluchi Desenvolvimento de Software Ltda (CNPJ 66.416.999/0001-62).

Quando acontece: a medida do Umami só começa depois que você aceita a categoria de análise no aviso de cookies. O registro próprio de visitas e de origem do cadastro (seção 2) depende do mesmo aceite. Se você retirar o consentimento no aviso, o envio é interrompido sem recarregar a página; o que já foi guardado no seu navegador fica até você apagar ou expirar.

Duas categorias: análise (Umami e registro próprio de visita e de origem do cadastro) e marketing (identificador do clique do anúncio do Google, somente se você aceitar marketing).

O que medimos: as páginas que você abre, o site de onde você veio, o tipo de aparelho, o navegador e o sistema, o idioma, o tamanho da tela, o país, a região e a cidade aproximados, o título da página e os cliques nas chamadas de cadastro e de contato.

O que não fazemos: não gravamos a tela, não usamos cookies para isso, não pedimos nem guardamos seu nome ou e-mail nessa medida e não guardamos seu endereço de IP. Nada dentro da área logada (prontuário, pacientes, sessões, agenda, escalas, sala e dashboard) é medido.

Identificador: para contar visitantes distintos, o Umami gera um código a partir de dados técnicos do navegador, misturado com um valor secreto que muda todo mês. Esse código é um dado pessoal pseudonimizado: não mostra quem você é, mas não é anônimo.

Quem mais participa: o acesso ao site passa pela Cloudflare (segurança e entrega de conteúdo) antes de chegar ao nosso servidor.

Base legal: consentimento (Art. 7º, I, LGPD), dado ao aceitar a categoria de análise no aviso de cookies.

Por quanto tempo: no Umami, até 12 meses. Depois, os registros são apagados. No nosso servidor, os registros de visita (tipo do evento, código de visita, canal de chegada e as marcas de acesso interno e de robô) ficam por até 12 meses e depois são apagados automaticamente. A origem do cadastro fica no seu navegador por até 90 dias.

Seus direitos: você pode se opor a qualquer momento e pedir informação ou eliminação pelo e-mail dpo@cliopsi.com.br. Para não ser medido neste navegador, use o botão abaixo. Também respeitamos o sinal “Não rastrear” (Do Not Track) do navegador.

12. Dados da sua conta como cliente

A CLIOPsi trata, como controladora, datas, etapas de configuração e situação de cobrança da conta do profissional, como a data de criação da conta, o último acesso, a conclusão da configuração inicial, o plano e a situação do pagamento. A base legal é o legítimo interesse de melhorar o produto (Art. 7º, IX, LGPD). Usamos só datas, indicadores de sim ou não e categorias fixas: nunca nome, CRP, CPF ou e-mail, e nunca pacientes, sessões ou prontuários. Isso vale a partir de 26 de novembro de 2026. Você pode se opor a qualquer momento pelo e-mail dpo@cliopsi.com.br.