Política de Privacidade

1. Identificação do Controlador de Dados

O tratamento de dados pessoais descrito nesta política é realizado pela Nupsy Clinical Intelligence, operadora da plataforma nupsy.pro.

Canal de contato para assuntos de privacidade e dados:
privacidade@nupsy.pro

2. Quais Dados Coletamos e Por Quê

Coletamos apenas os dados estritamente necessários para a prestação do serviço (princípio da necessidade — LGPD Art. 6º, III):

• Dados de Autenticação
  Nome, e-mail e credenciais de acesso. Base legal: execução de contrato (LGPD Art. 7º, V).
• Dados de Atendimentos Clínicos (notas e registros)
  Inseridos ativamente pelo terapeuta. O texto é processado para a estruturação de prontuários (SOAP) e é criptografado e vinculado exclusivamente ao terapeuta assinante.Base legal: consentimento do titular e execução de contrato (LGPD Art. 7º, I e V; Art. 11º, II, a — dados de saúde).
• Dados de Gestão Clínica
  Registros de agenda, prontuários manuais e cadastros de pacientes inseridos pelo terapeuta. O terapeuta é o Controlador desses dados; a Nupsy atua como Operadora (LGPD Art. 39).Base legal: execução de contrato (LGPD Art. 7º, V).
• Dados de Uso e Logs de Auditoria
  Registros de acesso (IP, data, hora, ação) para segurança e cumprimento de obrigações legais.Base legal: cumprimento de obrigação legal (LGPD Art. 7º, II) e interesse legítimo (Art. 7º, IX).
• Dados Financeiros
  Processamento de pagamentos realizado diretamente pela plataforma Asaas. A Nupsy não armazena dados de cartão de crédito.Base legal: execução de contrato (LGPD Art. 7º, V).

3. Segurança e Proteção Técnica

Implementamos medidas técnicas e organizacionais adequadas ao risco do tratamento, em conformidade com o Art. 46 da LGPD:

• Criptografia de padrão AES-256-GCM para dados em repouso
• Políticas de Row Level Security (RLS) no banco de dados — cada terapeuta acessa apenas seus próprios dados
• Trilha de auditoria imutável para todos os acessos a registros sensíveis
• Autenticação segura via Supabase Auth com suporte a 2FA
• Transmissão de dados protegida por TLS 1.3
• Arquitetura Privacy by Design (LGPD Art. 46, §2º): privacidade incorporada desde a concepção

Nenhum sistema digital é invulnerável. Em caso de incidente de segurança relevante, notificaremos os titulares afetados e a ANPD nos prazos exigidos pela regulamentação vigente (LGPD Art. 48).

4. Subprocessadores e Transferência Internacional

A Nupsy utiliza os seguintes provedores de infraestrutura e serviços para operar a plataforma. Todos são selecionados por atenderem a padrões de segurança e privacidade compatíveis com a LGPD (LGPD Art. 33 — transferência internacional de dados):

• Supabase — Banco de dados, autenticação e storage
  supabase.com — infraestrutura AWS com conformidade SOC 2
• Groq (LPU Inference) — Processamento de inteligência clínica
  groq.com — contrato com cláusula de não-uso de dados para treinamento
• Vercel — Hospedagem e deploy da aplicação web
  vercel.com — infraestrutura com conformidade SOC 2 e GDPR
• Asaas — Processamento de pagamentos
  asaas.com — plataforma brasileira regulada pelo Banco Central

Os provedores internacionais (Supabase, Groq, Vercel) operam com salvaguardas contratuais que visam assegurar um nível de proteção equivalente ao exigido pela LGPD para transferência internacional de dados (LGPD Art. 33, II).

5. Sua Propriedade Intelectual e Dados Clínicos

A Nupsy não comercializa, não vende e não compartilha dados clínicos com terceiros para fins de marketing, publicidade ou qualquer finalidade alheia à prestação do serviço contratado.

Nossas integrações com provedores de IA são regidas por contratos com cláusula de não-uso de dados para treinamento de modelos ou armazenamento persistente além do necessário para a execução. A Nupsy monitora a conformidade desses contratos de forma contínua.

Todo o conteúdo clínico registrado e assinado pelo profissional é de responsabilidade e propriedade do terapeuta e do paciente, nos termos da legislação aplicável e do Código de Ética do Conselho Federal de Psicologia.

6. Encarregado de Dados (DPO)

Em cumprimento ao Artigo 41 da Lei Geral de Proteção de Dados Pessoais (LGPD), a Nupsy nomeia seu Comitê de Privacidade e Segurança como Encarregado pelo Tratamento de Dados Pessoais (DPO).

O Encarregado é o canal de comunicação oficial entre a Nupsy, os usuários da plataforma (terapeutas e pacientes) e a Autoridade Nacional de Proteção de Dados (ANPD).

Contato direto com o DPO:
privacidade@nupsy.pro

7. Seus Direitos como Titular (LGPD Art. 18)

Você tem os seguintes direitos em relação aos seus dados pessoais tratados pela Nupsy:

• Confirmação e Acesso: saber quais dados tratamos sobre você e obter uma cópia
• Correção: solicitar a atualização de dados incompletos, inexatos ou desatualizados
• Anonimização, Bloqueio ou Eliminação: de dados desnecessários ou tratados em desconformidade
• Portabilidade: receber seus dados em formato estruturado para transferência a outro fornecedor
• Eliminação: solicitar a exclusão de dados tratados com base em consentimento
• Revogação do Consentimento: a qualquer momento, sem prejuízo da licitude do tratamento anterior
• Oposição: se discordar do tratamento realizado em bases legais diversas do consentimento

Para exercer qualquer desses direitos, envie sua solicitação para privacidade@nupsy.pro. Responderemos em até 15 dias úteis, conforme previsto na LGPD.

8. Retenção e Descarte de Dados

• Dados de atendimento: mantidos apenas enquanto necessário para o processamento e estruturação do prontuário, sendo excluídos os dados intermediários após a finalização
• Prontuários e dados clínicos: mantidos enquanto a conta estiver ativa e pelo prazo legal exigido pelo CFP após encerramento
• Logs de auditoria: mantidos por no mínimo 5 anos para fins de segurança e cumprimento legal
• Dados de pagamento: retidos pelo prazo mínimo exigido pela legislação tributária brasileira

Após o encerramento da conta, os dados pessoais são eliminados ou anonimizados dentro do prazo de 90 dias, salvo obrigação legal de retenção.

9. Responsabilidade Clínica e Uso da Plataforma

A Nupsy atua como Operadora de Dados (LGPD Art. 39) em relação aos dados dos pacientes. O terapeuta assinante é o Controlador responsável pelo tratamento desses dados, incluindo a obtenção do consentimento do paciente, a guarda do Termo de Consentimento Informado e o cumprimento das normas do Conselho Federal de Psicologia (CFP).

Todo conteúdo gerado pela inteligência artificial da plataforma constitui uma proposta de rascunho para documentação clínica e deve ser revisado, validado e assinado pelo profissional de saúde responsável, único detentor de responsabilidade técnica e ética pelo prontuário.

10. Cookies e Rastreamento

Utilizamos cookies estritamente necessários para autenticação e manutenção de sessão. Não utilizamos cookies de rastreamento publicitário ou de terceiros para fins de marketing comportamental. O uso da plataforma implica o aceite dos cookies essenciais.

11. Atualizações desta Política

Esta política pode ser atualizada periodicamente para refletir mudanças na legislação, nos serviços ou nas práticas de privacidade. Alterações relevantes serão comunicadas por e-mail aos usuários ativos com antecedência mínima de 15 dias. A versão vigente estará sempre disponível nesta página com data de atualização.

Versão atual: 2.0 — Vigência a partir de Abril de 2026