Seus dados clínicos, protegidos com seriedade

Como protegemos os dados clínicos

Prontuários, anamneses e anotações de sessão são criptografados em repouso com AES-256-GCM (Advanced Encryption Standard, chave de 256 bits, modo Galois/Counter com autenticação de integridade). Cada registro usa um vetor de inicialização aleatório único e uma tag de autenticação — garantindo que nenhuma leitura fora do sistema autorizado seja possível, mesmo em caso de acesso indevido ao banco de dados.

Tokens de integração com serviços externos (por exemplo, tokens OAuth do Canva) são criptografados com o mesmo algoritmo antes de serem persistidos.

Toda comunicação entre o seu navegador e os servidores do PsyContent ocorre exclusivamente por HTTPS, com HSTS habilitado (max-age=63072000; includeSubDomains; preload), impedindo qualquer degradação para conexão não criptografada.

Nossos servidores aplicam os seguintes cabeçalhos HTTP de segurança em todas as páginas:

• X-Frame-Options: DENY — impede que páginas do PsyContent sejam embutidas em iframes (proteção contra clickjacking).
• X-Content-Type-Options: nosniff — impede que o navegador interprete arquivos com tipo MIME incorreto.
• Referrer-Policy: strict-origin-when-cross-origin — limita as informações de origem enviadas a terceiros.
• Permissions-Policy — bloqueia câmera, microfone e geolocalização por padrão.
• Content-Security-Policy — restringe as origens autorizadas para scripts, estilos e conexões.

Papéis na LGPD: controlador e operador

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) define dois papéis centrais no tratamento de dados pessoais: o controlador e o operador.

Você, psicólogo(a), é o controlador dos dados pessoais e clínicos dos seus pacientes. Isso significa que as decisões sobre quais dados coletar, com qual finalidade e por quanto tempo manter são de sua responsabilidade profissional — em conformidade com as resoluções do CFP.

O PsyContent atua como operador: tratamos os dados dos pacientes exclusivamente conforme as instruções decorrentes do uso da plataforma pelo profissional, sem finalidade própria sobre esses dados. Não vendemos, compartilhamos nem utilizamos dados clínicos para fins comerciais ou analíticos fora do escopo da ferramenta.

Essa distinção de papéis implica que você deve informar seus pacientes sobre o uso de uma plataforma de gestão (o PsyContent) no tratamento de seus dados, de preferência no termo de consentimento informado da relação terapêutica.

Inteligência artificial e dados clínicos

O PsyContent usa modelos de linguagem (via API da Anthropic) para gerar conteúdo de redes sociais, roteiros de Reels e recursos terapêuticos a partir das preferências de perfil que você configura (abordagem, tom de voz, público-alvo, referências literárias).

Dados clínicos — prontuários, anamneses e anotações de sessão — não são enviados a modelos de inteligência artificial. O fluxo de IA opera sobre o seu perfil profissional e os temas que você define, não sobre informações dos pacientes.

Quando você optar por usar funcionalidades de IA sobre o contexto do atendimento (recursos vinculados a um paciente, por exemplo), recomendamos obter consentimento explícito do paciente para o uso de informações clínicas em ferramentas de IA, deixando isso claro no termo de consentimento informado.

Os dados enviados à API da Anthropic para geração de conteúdo não são utilizados para treinar modelos, conforme a política de uso da Anthropic para clientes de API.

Conformidade com as resoluções do CFP

O PsyContent foi desenhado em alinhamento com as principais normas do Conselho Federal de Psicologia que regulam a guarda, o sigilo e o acesso a documentos psicológicos:

• Resolução CFP nº 001/2009 (e alterações) — dispõe sobre a obrigação de guarda de prontuários e o sigilo das informações neles contidas.
• Resolução CFP nº 006/2019 — institui regras para a elaboração de documentos escritos produzidos pela(o) psicóloga(o) no exercício profissional.
• Código de Ética Profissional do Psicólogo (2005) — veda a divulgação de informações sigilosas obtidas no exercício profissional.

A criptografia em repouso dos prontuários, o controle de acesso restrito ao titular da conta e a ausência de uso dos dados clínicos para fins externos são medidas técnicas que suportam o cumprimento dessas obrigações pelo profissional.

Seus direitos como titular de dados (LGPD)

A LGPD assegura a você (e, por extensão, aos seus pacientes cujos dados você controla) os seguintes direitos, que podem ser exercidos a qualquer momento:

• Acesso — saber quais dados seus estão armazenados na plataforma.
• Correção — atualizar dados incompletos, inexatos ou desatualizados (disponível diretamente em Configurações).
• Exclusão — solicitar a eliminação dos seus dados pessoais e dos dados dos seus pacientes da plataforma.
• Portabilidade — receber seus dados em formato estruturado para transferência a outro serviço.
• Revogação do consentimento — cancelar sua conta e o tratamento dos dados associados (disponível em Configurações → Zona de Perigo).

Para exercer qualquer um desses direitos, entre em contato pelo e-mail indicado abaixo. Respondemos em até 15 dias úteis.

Contato e encarregado de dados

Para dúvidas sobre privacidade, solicitações de acesso, correção ou exclusão de dados, ou para relatar uma eventual vulnerabilidade de segurança, entre em contato:

E-mail: privacidade@psy-content.com.br