Política de Privacidade

1. Quem somos e como nos contatar

O Mind simple é uma plataforma SaaS de gestão clínica voltada a profissionais de psicologia no Brasil. Em relação aos dados de pacientes, atuamos como operador (LGPD art. 39): o profissional cadastrado é o controlador dessas informações. Em relação aos dados do próprio profissional (cadastro, cobrança, medição de uso e segurança da conta) e aos dados de navegação em nossas páginas públicas, o Mind simple é o controlador.

2. Dados que coletamos

2.1. Dados do profissional (usuário titular)

• Nome, e-mail, senha (guardada só como hash bcrypt), foto de perfil
• Telefone (WhatsApp), informado por você no cadastro ou no perfil e usado para falar com você sobre sua conta, seu teste, a cobrança (inclusive avisos de cobrança recusada e de desistência) e dúvidas de suporte. Não é vendido nem usado para publicidade; os avisos que o mencionam passam pelo nosso provedor de e-mail. Fica guardado no banco sem criptografia de campo
• Profissão, número de conselho (CRP/CRM/CRPsi), cidade e UF
• Biografia, abordagem, especialidades
• Assinatura eletrônica (desenhada ou enviada)
• Dados de assinatura: plano, status, datas — via Stripe
• Aceite dos Termos: data, versão aceita e endereço IP
• Logs de uso e auditoria (IP, user-agent, ações sensíveis)
• Presença no aplicativo: data e hora do último acesso, o horário do primeiro e do último sinal de cada dia e a quantidade de sinais (uma estimativa do tempo de uso), para suporte e para entender se o produto está atendendo você

2.2. Dados de pacientes (inseridos pelo profissional)

• Identificação: nome completo, nome social, data de nascimento, gênero
• CPF — armazenado criptografado em repouso (AES-256-GCM); hash separado apenas para busca por igualdade
• Contato: e-mail, telefone, contato de emergência, responsáveis (quando aplicável)
• Dados clínicos: observações gerais, medicações, comorbidades — campos textuais livres
• Foto do paciente (opcional, upload)
• Histórico clínico: sessões, notas, prontuário, anamneses, formulários respondidos, documentos emitidos
• Áudio de sessões (apenas se profissional iniciar gravação — ver Seção 8)
• Transcrições derivadas dos áudios (ver Seção 8)
• Avaliações geradas por IA (resumos, tópicos, emoções percebidas e sinais de risco — ver Seção 8)

2.3. Dados do paciente (quando ele acessa o Portal do Paciente)

• E-mail e senha (guardada só como hash bcrypt) próprios, separados da conta do profissional
• Logs de login, downloads e assinatura de documentos (IP + user-agent + timestamp)

3. Base legal do tratamento

Tratamos dados com base nas seguintes hipóteses legais da LGPD:

• Execução de contrato (art. 7º, V) — para fornecer o serviço de gestão clínica ao profissional contratante, inclusive o contato por telefone (WhatsApp) sobre a conta, o teste e a cobrança.
• Cumprimento de obrigação legal (art. 7º, II) — guarda de prontuário psicológico (CFP Res. 001/2009 e 06/2019), a cargo do profissional; obrigações fiscais para emissão de recibo.
• Legítimo interesse (art. 7º, IX) — segurança, prevenção a fraude e suporte ao profissional, incluindo o registro de presença no aplicativo, usado para saber se o produto está atendendo e para oferecer ajuda a quem parou de usar; sempre balanceado contra os direitos do titular.
• Consentimento (art. 7º, I) — para cookies de medição e anúncios (seção 11), comunicações de marketing, uso de IA em conteúdo clínico do paciente e gravação de áudio, sempre que aplicável.

Para dados sensíveis de saúde (art. 11), o tratamento se ampara em:

• Tutela da saúde em procedimento realizado por profissional da saúde (art. 11, II, "f") — base principal para o prontuário.
• Consentimento específico e destacado (art. 11, I) — para análise por IA e gravação.

O paciente pode revogar consentimentos a qualquer momento pelo Portal do Paciente — ver Seção 10.

4. Dados sensíveis de saúde e sigilo profissional

Todos os dados clínicos (notas, prontuário, anamneses, áudios, transcrições, análises de IA) são considerados dados pessoais sensíveis (LGPD art. 5º, II) e protegidos por sigilo profissional conforme:

• Código de Ética Profissional do Psicólogo (Resolução CFP nº 010/2005)
• Resolução CFP nº 06/2019 — prontuário psicológico
• Resolução CFP nº 11/2018 — serviços psicológicos por meios de tecnologia

Estes dados não são acessados por colaboradores do Mind simple para finalidade comercial, estatística ou de treinamento de modelos. O acesso operacional é excepcional e só ocorre por necessidade técnica (suporte solicitado pelo profissional, incidente crítico).

Importante: O sigilo profissional é responsabilidade primária do psicólogo. O Mind simple oferece controles técnicos (criptografia de campos sensíveis, isolamento entre contas feito pela aplicação, registro de ações sensíveis), mas não substitui as obrigações éticas do profissional.

5. Como armazenamos e protegemos

• Criptografia em trânsito: HTTPS/TLS 1.2+ em todas as comunicações.
• Criptografia em repouso, campo a campo (AES-256-GCM): CPF, telefones de pacientes e de contatos, observações, medicações, notas clínicas, transcrições, avaliações de risco e tokens da integração Google. Não são cifrados por campo: nome, e-mail e data de nascimento do paciente, os resumos, tópicos e sinais de risco gerados por IA, anamneses e respostas de formulários. O provedor do banco informa cifrar os discos em repouso.
• Senhas: nunca armazenadas em texto puro — hash bcrypt com salt (custo 12 para profissionais e 10 para o Portal do Paciente).
• Isolamento de dados: o isolamento entre profissionais é feito pela aplicação: toda consulta é filtrada pela conta autenticada, de modo que cada profissional acessa apenas os próprios pacientes e dados. O Row-Level Security do banco está ligado como camada adicional, mas não é, hoje, a barreira efetiva.
• Trilha de auditoria: pontos do sistema registram ações sensíveis (login, download de documento, geração de IA, exportação LGPD, assinatura) com IP, user-agent e data/hora. O registro não tem trava técnica de imutabilidade e é apagado junto com a conta (seção 9).
• Backups: o banco de dados que contratamos não está, hoje, num plano com backup automático diário. Por isso a guarda de uma cópia do prontuário é, na prática, sua, e o Mind simple oferece o backup em arquivo (Configurações → Privacidade). Quando isso mudar, esta Política será atualizada.
• Rate limiting em endpoints sensíveis (login, OTP) para prevenir brute-force.

6. Operadores, terceiros e transferência internacional

Utilizamos os seguintes fornecedores, cuja infraestrutura fica fora do Brasil:

Conforme a LGPD art. 33, a transferência internacional ocorre nas hipóteses de execução do contrato e de cumprimento de obrigação legal e, no caso da transcrição e da análise por IA, com o consentimento do paciente registrado no sistema para gravação de áudio e para análise por IA (a plataforma exige esses registros antes de enviar o conteúdo).

A Resolução CD/ANPD nº 19/2024 aprovou as cláusulas-padrão contratuais para transferência internacional, com prazo de adequação até 23 de agosto de 2025. A incorporação dessas cláusulas aos contratos com os fornecedores acima ainda não foi concluída. Preferimos dizer isso a afirmar uma conformidade que não podemos comprovar.

Os fornecedores que usamos (Supabase, Vercel, OpenAI, Stripe) publicam seus próprios compromissos de proteção de dados, mas nenhum deles cobre especificamente a lei brasileira ainda — só leis de outros países.

7. Integração Google Calendar

Quando o profissional conecta sua conta Google via OAuth 2.0, o Mind simple obtém autorização para:

• Criar, editar e remover eventos no calendário principal do Google do profissional (escopo calendar.events)
• Ler o Google Agenda (escopo calendar.readonly; usamos só o calendário principal). Os eventos lidos (título e horário, dos próximos 30 dias e conforme mudarem) são copiados para a agenda do Mind simple como bloqueios de horário, para prevenir conflitos; se o título tiver nomes de terceiros, eles passam a constar no Mind simple
• Registrar um canal de notificação (webhook) no Google, renovado diariamente, para sincronizar as mudanças

O que NUNCA enviamos ao Google:

• Nome do paciente — todos os eventos criados têm título genérico "Consulta"
• Notas clínicas, observações do agendamento, prontuário, transcrições, áudios ou análises de IA
• CPF, telefone, e-mail do paciente

O evento leva o horário e, se o profissional informou, o local do atendimento. Até 10/10/2026, editar um agendamento já sincronizado podia enviar ao Google a observação do agendamento; isso foi corrigido e a edição seguinte de cada evento limpa a descrição. Quem editou agendamentos com observação antes dessa data deve conferir a descrição dos seus eventos "Consulta" no Google Agenda.

Os tokens de acesso e refresh do Google são armazenados criptografados com AES-256-GCM. O profissional pode desconectar a integração a qualquer momento em Configurações → Integrações, o que revoga os tokens no Google e apaga os bloqueios importados. Se o Google revogar o acesso, a conexão se encerra sozinha. Excluir a conta no Mind simple não revoga o acesso nem apaga os eventos "Consulta" já criados no Google Agenda: desconecte antes, ou revogue em myaccount.google.com/permissions.

Nosso uso da API Google Calendar adere à Google API Services User Data Policy, incluindo os requisitos de Limited Use.

8. Gravação de áudio, transcrição e análise por IA

8.1. Gravação de áudio das sessões

O Mind simple permite que o profissional grave o áudio da sessão a partir do microfone do seu dispositivo. A gravação:

• É iniciada manualmente pelo profissional — nunca automática
• Requer permissão explícita do navegador para acessar o microfone
• Importante: Exige consentimento expresso, livre, informado e específico do paciente antes da gravação, conforme LGPD art. 11 e Código de Ética do Psicólogo. É responsabilidade do profissional obter e documentar esse consentimento previamente. A plataforma bloqueia o envio do áudio à transcrição de alta precisão sem consentimento de gravação registrado para o paciente da sessão.

8.2. Transcrição

Áudios podem ser transcritos de alta precisão pelo serviço OpenAI Whisper (provedor americano), sob demanda do profissional. A transcrição:

• É iniciada pelo profissional, no plano IA-Master, com limite mensal de minutos
• O áudio é transmitido criptografado ao provedor para processamento
• Segundo a política publicada pela OpenAI para a sua API, o conteúdo enviado por API não é usado para treinar os modelos; a OpenAI pode reter dados da API por prazo próprio, que não controlamos
• O texto da transcrição é guardado no banco do Mind simple, criptografado, sob as mesmas proteções dos demais dados clínicos, e permanece depois que o áudio é apagado

A transcrição ao vivo (a partir do plano Essencial) usa o reconhecimento de voz do próprio navegador. Em alguns navegadores, como o Chrome, esse reconhecimento envia o áudio ao fabricante do navegador, fora do nosso controle.

8.3. Análise clínica por IA

Profissionais com plano IA-Master podem solicitar análise da sessão pelo modelo GPT-4o mini (OpenAI). A análise produz:

• Resumo da sessão
• Tópicos abordados
• Emoções percebidas
• Sinais clínicos de risco ou alerta

O conteúdo enviado à OpenAI é o das notas e da transcrição da sessão, em trechos limitados. O alerta de risco, quando ligado, envia trechos das notas enquanto o profissional digita.

Importante: O resultado da IA é um auxílio ao profissional, não substitui o julgamento clínico e não foi feito para diagnosticar. A responsabilidade pela conduta clínica é exclusiva do psicólogo. Cada análise de sessão fica registrada com data, modelo e identificação de quem a solicitou.

O paciente pode revogar o consentimento para análise por IA pelo Portal do Paciente a qualquer tempo, com efeito imediato sobre novas análises. Análises anteriores permanecem no prontuário enquanto necessário para o cuidado clínico, conforme art. 16 da LGPD.

9. Retenção e exclusão de dados

• Prontuário psicológico: guarda mínima de 5 anos após o último registro, conforme as Resoluções CFP nº 001/2009 e nº 06/2019. O prazo pode ser ampliado por determinação judicial ou previsão legal. A Lei nº 13.787/2018 permite a eliminação do prontuário decorridos 20 anos do último registro. O dever de guarda é do profissional, não da plataforma: fornecemos o armazenamento e a exportação, não impomos prazo de guarda e não mantemos uma cópia de guarda para você.
• Assinatura cancelada, encerrada ou com pagamento pendente: seus dados permanecem guardados e acessíveis enquanto a conta existir, em qualquer plano (inclusive o Free). Não eliminamos dados por falta de pagamento nem por inatividade. A eliminação ocorre a seu pedido.
• Pagamentos: os dados do cartão ficam com a Stripe, nunca conosco. Registros de cobrança (faturas) ficam na Stripe, que os retém conforme suas obrigações e as obrigações fiscais; na nossa base, os registros de assinatura e financeiros da sua conta são apagados com a conta.
• Registros de auditoria, de presença e de uso: mantidos enquanto a conta existir e apagados junto com ela.
• Áudios de sessão: apagados ao fim da transcrição. Se o processamento for interrompido, uma rotina diária apaga o que sobrar, em até cerca de 48 horas. O que fica é o texto transcrito, dentro do prontuário.
• Exclusão de conta pelo profissional: a eliminação é imediata e irreversível e alcança pacientes, prontuários, documentos (inclusive os assinados pelo paciente), agenda, dados financeiros, arquivos, backups gerados e registros de auditoria. A assinatura é cancelada no mesmo ato, sem reembolso proporcional. Baixe o backup antes: o dever de guarda do prontuário continua sendo seu. Se algum arquivo não puder ser apagado, ou o cancelamento da assinatura falhar, a conta é apagada mesmo assim e concluímos o restante manualmente: escreva-nos se perceber cobrança ou arquivo remanescente.
• O que sobrevive à exclusão: um registro de que a exclusão foi solicitada, com identificador interno e data, sem nome, sem e-mail e sem dado de paciente, para comprovar o atendimento do pedido; o cliente e as faturas na Stripe (que a exclusão não apaga); cópias que os provedores mantenham por prazo próprio (backups, registros de plataforma e de e-mail, retenção da OpenAI); e os eventos "Consulta" já criados no seu Google Agenda (seção 7).
• Anonimização: ferramenta disponível no painel por paciente: substitui dados de identificação por marcadores genéricos e esvazia o conteúdo clínico do cadastro, mas preserva os documentos já assinados pelo paciente (que seguem com seus dados) e as datas das sessões, agendamentos, lançamentos financeiros e consentimentos. É esvaziamento de conteúdo, não anonimização irreversível no sentido do art. 12 da LGPD.

9.1 Incidente de segurança

Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos os profissionais afetados (controladores dos dados de pacientes) sem demora e, quanto aos dados de que somos controlador, a ANPD e os titulares afetados em até 3 (três) dias úteis contados do conhecimento de que o incidente atingiu dados pessoais, conforme a Resolução CD/ANPD nº 15/2024.

A comunicação informará a natureza e as categorias de dados atingidos, as medidas de segurança em uso, os riscos envolvidos e — se houver atraso — o motivo dele. Quando não tivermos todas as informações no prazo, faremos a comunicação preliminar e a complementaremos em até 20 dias úteis.

10. Seus direitos (LGPD art. 18)

Como titular de dados pessoais, você tem direito a:

• Confirmação de existência de tratamento
• Acesso aos seus dados
• Correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a LGPD
• Portabilidade dos dados (formato estruturado — o profissional pode exportar os dados de cada paciente em JSON, CSV e PDF; os arquivos dos documentos e a trilha de auditoria completa ficam fora dessas exportações, e o backup do prontuário em arquivo cobre pacientes, sessões, notas, respostas de formulários, consentimentos e metadados dos documentos)
• Eliminação dos dados tratados com consentimento
• Informação sobre entidades com as quais compartilhamos dados
• Informação sobre a possibilidade de não fornecer consentimento e suas consequências
• Revogação do consentimento

Como exercer:

• Profissional: diretamente no painel do Mind simple (Configurações → Privacidade) ou enviando solicitação para mindbysimple@gmail.com
• Paciente: entre em contato com seu profissional (controlador dos dados) ou, em caso de não atendimento, envie solicitação para o e-mail acima identificando-se

Responderemos em até 15 dias, prazo da LGPD para a confirmação e o acesso; para os demais pedidos, o prazo segue a regulamentação da ANPD.

11. Cookies e tecnologias de rastreamento

Separamos o que é necessário ao funcionamento do que serve para medir campanhas e visitas. Só o segundo depende da sua escolha.

11.1. Necessários (sem consentimento)

• Sessão de autenticação (NextAuth e cookies próprios do Portal do Paciente, ambos httpOnly e secure)
• ms_app: identifica o aplicativo nativo (1 ano)
• ms_tel_adiado: lembra que você adiou o pedido do telefone (7 dias)
• No armazenamento do navegador (não são cookies): tema claro/escuro, avisos dispensados, a sua escolha sobre cookies e marcas de progresso do tutorial

11.2. Medição e anúncios (só com o seu consentimento)

Usamos Google Ads (medir quais anúncios geram cadastros e assinaturas), Google Analytics (visitas ao site) e Meta Pixel (medir visitas e conversões de campanhas). Esses serviços podem gravar cookies de medição, como _ga, _gcl_*, _fbp e _fbc, e recebem dados técnicos da navegação, como o endereço da página, IP e informações do navegador. Só carregam depois que você clica em "Aceitar" no aviso de cookies e somente nas páginas de venda e cadastro e na tela de planos (a única tela do aplicativo em que carregam, porque é onde volta o pagamento da assinatura). Nunca carregam nas demais telas do aplicativo, no Portal do Paciente, no agendamento online, na assinatura por link nem nos formulários.

Se você aceitar, usamos também o cookie próprio mindsimple_utm, por até 30 dias, para lembrar a origem da visita. Ele pode guardar parâmetros de campanha presentes no endereço da página (utm_*, gclid, fbclid, gbraid e wbraid), a página de origem e a data da captura. Quando o cadastro é concluído, enviamos essa atribuição ao Mind simple junto com a conta somente se o consentimento ainda estiver ativo no envio. Se você recusar, não lemos nem gravamos esse cookie para atribuição, não incluímos os parâmetros da URL no cadastro e apagamos o cookie de atribuição existente. Uma escolha antiga para Google Ads e Analytics não vale automaticamente para o Meta Pixel: o aviso pede uma nova escolha.

Para a Meta, enviamos o evento PageView nas páginas permitidas, Lead depois que o cadastro é concluído e Purchase depois da confirmação da assinatura. A correspondência avançada automática do Pixel está desligada: não enviamos e-mail nem telefone nos eventos, nem conteúdo de prontuário, dados de pacientes ou dados clínicos. Não há requisição alternativa de imagem do Pixel antes do consentimento. Quem recusa continua usando tudo normalmente; se você recusar depois de ter aceitado, apagamos os cookies de medição que conseguimos acessar e recarregamos a página sem as tags. Você muda de ideia a qualquer momento em Preferências de cookies, no rodapé do site.

11.3. Medição agregada sem cookies

A Vercel Analytics e o Speed Insights medem visitas e velocidade das páginas de venda e cadastro sem cookies e sem seguir você entre sites; recebem o endereço da página e eventos como "cadastro concluído" ou "início de pagamento". Não pedem consentimento e também não carregam nas áreas citadas acima.

11.4. Outros

• Fonte do site: carregada de um servidor de terceiro (Fontshare), que recebe o endereço IP do navegador
• Service worker (PWA): guarda em cache apenas arquivos públicos do site, nunca páginas logadas nem dados
• Notificações push: opcionais, só para o profissional (ligadas em Notificações); guardamos o endereço técnico do navegador para enviar, e você revoga a qualquer momento. O conteúdo é genérico, sem nome de paciente. No aplicativo nativo, o envio passa pelo Firebase Cloud Messaging, do Google
• Do Not Track: não lemos esse sinal do navegador; use a recusa de cookies acima. O registro de presença do profissional (seção 2.1) é nosso, não envolve terceiros e não segue o Do Not Track, porque serve ao suporte e à segurança da conta

12. Alterações nesta política

Esta política pode ser atualizada para refletir mudanças no produto, na legislação ou em práticas operacionais. Alterações materiais serão comunicadas por e-mail ao profissional cadastrado com pelo menos 30 dias de antecedência.

Histórico de versões:

• v1.0 — 17/05/2026 — versão inicial
• Revisão de 08/10/2026 — inclusão do telefone (WhatsApp) e do registro de último acesso na seção 2.1
• v1.1 — 10/10/2026 — passa a descrever o que o serviço de fato faz: modelo de IA (GPT-4o mini, sem diagnóstico), o que é e o que não é cifrado, o isolamento feito pela aplicação (e não por RLS), backups, regiões, a lista completa de terceiros, cookies de medição e anúncios só com consentimento e fora de app, portal e telas do paciente, o que acontece na exclusão e na assinatura encerrada, e a nova seção 14 para pacientes
• v1.2 — 26/10/2026 — inclui a Meta entre os fornecedores de medição e descreve o Pixel com consentimento prévio, as páginas permitidas, os eventos PageView, Lead e Purchase e a ausência de correspondência avançada automática. A ativação para quem já usa o serviço depende do aviso previsto nesta seção e de uma nova escolha no banner de cookies.

13. Canal de contato e Encarregado (DPO)

Para dúvidas, solicitações de direitos LGPD ou denúncias:

Você também pode dirigir queixas à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.

14. Se você é paciente

Esta seção é para quem usa o Portal do Paciente, agenda pelo link público de um profissional, assina um documento ou responde a um formulário. Em linguagem simples:

• Quem decide sobre os seus dados é o profissional que atende você (o “controlador”). O Mind simple (SIMPLE LTDA) é a ferramenta que ele contrata: guarda e processa os dados por conta dele (o “operador”), sem usá-los para publicidade.
• O que pedimos de você: ao agendar, nome, e-mail e telefone (e uma observação opcional: não precisa contar detalhes da sua situação); ao responder formulários, o que o formulário perguntar; ao assinar, data, hora, endereço IP e o dispositivo, para provar que foi você; no portal, e-mail e senha.
• Quem vê: o seu profissional. O Mind simple não acessa o conteúdo clínico para fins comerciais; o acesso operacional é excepcional (seção 4). Nenhum rastreador de publicidade carrega nas telas do paciente (seção 11).
• Inteligência artificial: só é usada sobre a sua sessão se você tiver dado consentimento específico a ele, e você pode revogar esse consentimento pelo portal, a qualquer momento.
• Seus direitos (seção 10): ver, corrigir, pedir cópia e eliminação dos seus dados, e revogar consentimentos. Peça ao seu profissional; se não for atendido, escreva para mindbysimple@gmail.com, identificando-se, e respondemos em até 15 dias. Você pode reclamar à ANPD.
• Por quanto tempo: enquanto o profissional mantiver a conta dele. Se ele a excluir, seus dados nela são apagados e os links e o acesso ao portal deixam de funcionar: peça a ele uma cópia do que precisar. A guarda do prontuário é dever do profissional.
• Menores de 18 anos: o consentimento e o acompanhamento são do responsável legal, conduzidos pelo profissional.
• Urgência: o Mind simple não é um serviço de urgência, e o profissional pode demorar a ver sua mensagem. Em crise, ligue 188 (CVV, 24 horas, gratuito) ou 192 (SAMU).