Política de Privacidade

1. Quem decide sobre cada dado

• Dados da conta profissional, do consultório, da assinatura e de navegação no site: a Nheva é a controladora.
• Dados de pacientes inseridos ou coletados para o atendimento (cadastro, prontuário, atividades, diário de humor, mensagens, cobranças): o(a) profissional ou consultório é o controlador, e a Nheva atua como operadora, seguindo as instruções dele e o Acordo do Profissional.
• Pagamentos de pacientes recebidos pela Nheva: a Nheva trata os dados necessários para processar, repassar e, se for o caso, estornar o pagamento.

2. Quais dados tratamos

• Profissionais: nome, e-mail, telefone para alertas, número de inscrição no conselho e certidão (quando pede o desconto de início de carreira), dados do consultório, preços, horários, conteúdo do site profissional, dados para repasse (chave PIX ou conta bancária, titular e CPF/CNPJ) e histórico de assinatura.
• Pacientes: nome, contatos, CPF e dados que o profissional registrar; evoluções e prontuário; atividades, respostas e diário de humor do app; mensagens trocadas pelo WhatsApp do consultório; sessões e cobranças.
• Pagadores: nome e CPF para PIX; os dados do cartão são informados diretamente ao Stripe e não ficam com a Nheva.
• Uso: registros de acesso e de segurança, endereço IP, dispositivo e erros técnicos.

3. Para que usamos e com qual base legal

• Prestar o serviço contratado: execução de contrato.
• Tutela da saúde e atendimento psicológico pelo profissional, no caso de dados sensíveis de pacientes, além do cumprimento das normas profissionais sobre prontuário.
• Processar pagamentos, repasses e estornos, e cumprir obrigações fiscais e regulatórias: execução de contrato e obrigação legal.
• Manter a plataforma segura, prevenir fraudes e registrar acessos: legítimo interesse e obrigação legal (Marco Civil da Internet).
• Enviar avisos operacionais (alertas, cobranças, lembretes): execução de contrato.

Não vendemos dados pessoais, não os usamos para publicidade e não usamos dados de pacientes para treinar modelos de inteligência artificial.

4. Inteligência artificial

Quando o profissional usa os recursos de IA, o texto ou áudio é enviado a provedores de modelos de IA apenas para gerar a resposta. Antes do envio, removemos nome, CPF, telefone e e-mail do paciente. Os resultados são rascunhos revisados pelo profissional; não há decisões automatizadas sobre pacientes.

5. Com quem compartilhamos

Compartilhamos dados apenas com fornecedores necessários para o serviço, sob contrato e com obrigações de segurança e confidencialidade:

• Clerk (login e autenticação);
• Supabase (banco de dados e armazenamento de arquivos);
• Vercel (hospedagem e acesso aos modelos de IA) e os provedores de modelos de IA acessados por ela;
• Stripe (pagamentos com cartão) e MisticPay (pagamentos PIX);
• provedores de e-mail transacional (Brevo, Mailjet ou Resend);
• WhatsApp/Meta, por meio da conexão do número do consultório, para as mensagens com pacientes;
• Google (Agenda, Meet, Drive e Gmail), somente quando o profissional conecta a própria conta Google: eventos das sessões sem conteúdo clínico, links e transcrições do Meet, cópias de evoluções assinadas no Drive dele e e-mails enviados por ele;
• Sentry (monitoramento de erros, sem conteúdo clínico).

O uso e a transferência, para qualquer outro aplicativo, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. Esses dados não são usados para publicidade nem para treinar modelos de inteligência artificial.

Também podemos compartilhar dados quando a lei ou uma autoridade competente exigir. Dados de um paciente nunca são mostrados a outro consultório; a equipe Nheva não tem acesso a prontuários e só vê dados financeiros sem nomes de pacientes.

6. Transferência internacional

Alguns desses fornecedores processam dados fora do Brasil, principalmente nos Estados Unidos. Nesses casos adotamos as salvaguardas previstas na LGPD, como cláusulas contratuais de proteção de dados.

7. Segurança

Dados pessoais de pacientes, evoluções, documentos, atividades e respostas, diário de humor, resultados de escalas, alertas de cuidado, contatos e mensagens do WhatsApp e dados para repasse são criptografados (AES-256) com chaves separadas por campo e por consultório. O banco de dados nega qualquer acesso direto pelo navegador, o prontuário é visível apenas ao profissional responsável, evoluções assinadas não podem ser alteradas e cada acesso ao prontuário é registrado. Nenhuma medida é infalível; em caso de incidente relevante, avisaremos os afetados e a ANPD conforme a lei.

As medidas estão descritas em linguagem simples na página Segurança e privacidade deste site.

8. Por quanto tempo guardamos

• Prontuários e registros clínicos: pelo prazo mínimo das normas do Conselho Federal de Psicologia, mesmo após o encerramento da conta.
• Registros financeiros e fiscais: pelo prazo da legislação tributária.
• Registros de acesso: pelo prazo do Marco Civil da Internet.
• Demais dados da conta: enquanto a conta existir e pelo tempo necessário para cumprir obrigações e exercer direitos.

Depois desses prazos, os dados são excluídos ou anonimizados.

9. Seus direitos

Você pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação de dados tratados com consentimento, informação sobre compartilhamentos e revisão de decisões automatizadas, além de reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Profissionais: escreva para privacidade@nheva.com.br. Pacientes: o pedido sobre dados do atendimento deve ser feito ao seu profissional, que é o controlador; a Nheva o ajuda a atender. Se preferir, escreva para privacidade@nheva.com.br e encaminharemos.

Como excluir a conta do app ou da plataforma, e o que precisa ser guardado por lei, está explicado na página Exclusão de Conta e Dados.

10. Cookies

Usamos apenas cookies essenciais: os de login e segurança da conta e o que guarda o idioma escolhido. Não usamos cookies de publicidade nem de rastreamento de terceiros.

11. Crianças e adolescentes

Contas profissionais são apenas para maiores de 18 anos. Quando o profissional atende crianças ou adolescentes, cabe a ele obter o consentimento dos responsáveis e tratar os dados no melhor interesse do paciente.

12. Encarregado e mudanças

Encarregado pelo tratamento de dados pessoais (DPO): privacidade@nheva.com.br. Podemos atualizar esta Política; mudanças relevantes serão avisadas pelo app ou por e-mail.