Política de Privacidad

1. Quién decide sobre cada dato

• Datos de la cuenta profesional, del consultorio, de la suscripción y de navegación en el sitio: Nheva es la responsable (controladora).
• Datos de pacientes ingresados o recogidos para la atención (registro, historia clínica, actividades, diario de ánimo, mensajes, cobros): el profesional o consultorio es el responsable, y Nheva actúa como encargada (operadora), siguiendo sus instrucciones y el Acuerdo del Profesional.
• Pagos de pacientes recibidos por Nheva: Nheva trata los datos necesarios para procesar, transferir y, si corresponde, reembolsar el pago.

2. Qué datos tratamos

• Profesionales: nombre, correo, teléfono para alertas, número de matrícula y certificado (al solicitar el descuento de inicio de carrera), datos del consultorio, precios, horarios, contenido del sitio profesional, datos para transferencias (clave PIX o cuenta bancaria, titular y CPF/CNPJ) e historial de suscripción.
• Pacientes: nombre, contactos, CPF y datos que registre el profesional; evoluciones e historia clínica; actividades, respuestas y diario de ánimo de la app; mensajes intercambiados por el WhatsApp del consultorio; sesiones y cobros.
• Pagadores: nombre y CPF para PIX; los datos de la tarjeta se ingresan directamente en Stripe y Nheva no los guarda.
• Uso: registros de acceso y seguridad, dirección IP, dispositivo y errores técnicos.

3. Para qué los usamos y con qué base legal

• Prestar el servicio contratado: ejecución de contrato.
• Tutela de la salud y atención psicológica por el profesional, para datos sensibles de pacientes, además del cumplimiento de las normas profesionales sobre historia clínica.
• Procesar pagos, transferencias y reembolsos, y cumplir obligaciones fiscales y regulatorias: ejecución de contrato y obligación legal.
• Mantener la plataforma segura, prevenir fraudes y registrar accesos: interés legítimo y obligación legal (Marco Civil de Internet de Brasil).
• Enviar avisos operativos (alertas, cobros, recordatorios): ejecución de contrato.

No vendemos datos personales, no los usamos para publicidad y no usamos datos de pacientes para entrenar modelos de inteligencia artificial.

4. Inteligencia artificial

Cuando el profesional usa funciones de IA, el texto o audio se envía a proveedores de modelos de IA solo para generar la respuesta. Antes del envío, eliminamos el nombre, CPF, teléfono y correo del paciente. Los resultados son borradores revisados por el profesional; no hay decisiones automatizadas sobre pacientes.

5. Con quién los compartimos

Compartimos datos solo con proveedores necesarios para el servicio, bajo contrato y con obligaciones de seguridad y confidencialidad:

• Clerk (inicio de sesión y autenticación);
• Supabase (base de datos y almacenamiento de archivos);
• Vercel (alojamiento y acceso a los modelos de IA) y los proveedores de modelos de IA a los que se accede a través de ella;
• Stripe (pagos con tarjeta) y MisticPay (pagos PIX);
• proveedores de correo transaccional (Brevo, Mailjet o Resend);
• WhatsApp/Meta, mediante el número conectado del consultorio, para los mensajes con pacientes;
• Google (Calendar, Meet, Drive y Gmail), solo cuando el profesional conecta su propia cuenta de Google: eventos de las sesiones sin contenido clínico, enlaces y transcripciones de Meet, copias de evoluciones firmadas en su Drive y correos que él envía;
• Sentry (monitoreo de errores, sin contenido clínico).

El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google se rigen por la Política de Datos del Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado. Estos datos no se usan para publicidad ni para entrenar modelos de inteligencia artificial.

También podemos compartir datos cuando la ley o una autoridad competente lo exija. Los datos de un paciente nunca se muestran a otro consultorio; el equipo de Nheva no tiene acceso a historias clínicas y solo ve datos financieros, sin nombres de pacientes.

6. Transferencia internacional

Algunos de estos proveedores procesan datos fuera de Brasil, principalmente en Estados Unidos. En esos casos adoptamos las salvaguardas previstas en la LGPD, como cláusulas contractuales de protección de datos.

7. Seguridad

Los datos personales de pacientes, evoluciones, documentos, actividades y respuestas, diario de ánimo, resultados de escalas, alertas de cuidado, contactos y mensajes de WhatsApp y datos para transferencias se cifran (AES-256) con claves separadas por campo y por consultorio. La base de datos niega cualquier acceso directo desde el navegador, la historia clínica solo es visible para el profesional responsable, las evoluciones firmadas no pueden modificarse y cada acceso a la historia clínica queda registrado. Ninguna medida es infalible; ante un incidente relevante, avisaremos a los afectados y a la ANPD según la ley.

Estas medidas se describen en lenguaje sencillo en la página Seguridad y privacidad de este sitio.

8. Cuánto tiempo los guardamos

• Historias clínicas: durante el plazo mínimo exigido por el Consejo Federal de Psicología, incluso después del cierre de la cuenta.
• Registros financieros y fiscales: durante el plazo de la legislación tributaria.
• Registros de acceso: durante el plazo del Marco Civil de Internet de Brasil.
• Demás datos de la cuenta: mientras exista la cuenta y el tiempo necesario para cumplir obligaciones y ejercer derechos.

Pasados esos plazos, los datos se eliminan o anonimizan.

9. Tus derechos

Puedes solicitar confirmación del tratamiento, acceso, corrección, anonimización, portabilidad, eliminación de datos tratados con consentimiento, información sobre su uso compartido y revisión de decisiones automatizadas, y presentar una reclamación ante la Autoridad Nacional de Protección de Datos (ANPD).

Profesionales: escribe a privacidade@nheva.com.br. Pacientes: las solicitudes sobre datos de la atención deben dirigirse a tu profesional, que es el responsable; Nheva le ayuda a responder. Si lo prefieres, escribe a privacidade@nheva.com.br y la reenviaremos.

Cómo eliminar la cuenta de la app o de la plataforma, y qué debe conservarse por ley, se explica en la página Eliminación de Cuenta y Datos.

10. Cookies

Usamos solo cookies esenciales: las de inicio de sesión y seguridad de la cuenta y la que guarda el idioma elegido. No usamos cookies de publicidad ni de seguimiento de terceros.

11. Niños y adolescentes

Las cuentas profesionales son solo para mayores de 18 años. Cuando el profesional atiende a niños o adolescentes, le corresponde obtener el consentimiento de los responsables y tratar los datos en el mejor interés del paciente.

12. Encargado de datos y cambios

Encargado de protección de datos (DPO): privacidade@nheva.com.br. Podemos actualizar esta Política; los cambios relevantes se avisarán en la app o por correo.