Política de Privacidade

O Sinthoma é um prontuário eletrônico para psicólogos e psicanalistas. Esta política descreve como tratamos dados pessoais em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) e com as Resoluções do Conselho Federal de Psicologia, em especial as Resoluções CFP nº 06/2019 (documentos escritos), nº 01/2009 (registro documental e prontuário), nº 09/2024 (atendimento por meios digitais) e nº 010/2005 (Código de Ética).

A identificação completa do controlador está ao final desta página.

Em relação aos dados do profissional (nome, e-mail, CRP, dados de cobrança), o Sinthoma é controlador.

Em relação aos dados dos pacientes, o psicólogo cadastrado é o controlador e o Sinthoma atua como operador (LGPD, art. 5º, VII), tratando os dados em nome e segundo as instruções do profissional. Este enquadramento é detalhado no Termo de Uso.

Em atendimento ao art. 41 da LGPD, indicamos como Encarregado:

• Nome: Rômulo Carvalho
• E-mail: dpo@sinthoma.com.br

Coletamos apenas o que é necessário para a prestação do serviço:

• Cadastro do profissional: nome, e-mail, CRP, abordagem clínica, telefone (opcional).
• Cobrança: a assinatura do profissional e as cobranças feitas aos pacientes são tratadas pelo Asaas (não armazenamos número de cartão).
• Conteúdo clínico inserido pelo profissional: prontuários, sessões, anotações, transcrições, áudio (opcional), escalas.
• Dados pessoais de pacientes cadastrados pelo profissional: nome, contato, data de nascimento, CPF (opcional para emissão de recibo).
• Assinatura eletrônica de documentos: quem assina informa o nome e, no contrato, o CPF, que guardamos só como impressão criptográfica, nunca o número. Registramos data e hora, endereço IP, navegador, o canal em que o código de confirmação foi enviado (e-mail ou WhatsApp, com o endereço mascarado) e a impressão digital (SHA-256) do documento. Esse conjunto é a prova da assinatura.
• Logs técnicos: IP, user-agent, timestamps de acesso (retidos por até 6 meses para segurança).
• Cookies e analytics de produto: cookies essenciais de sessão são sempre necessários; o PostHog só carrega após consentimento no banner de cookies.

• Execução de contrato (art. 7º, V) — para o cadastro do profissional e operação do serviço.
• Cumprimento de obrigação legal/regulatória (art. 7º, II) — guarda do prontuário (Resolução CFP nº 01/2009, mínimo 5 anos).
• Consentimento específico do titular (art. 11, I) para dados sensíveis de saúde — coletado pelo profissional perante o paciente.
• Tutela da saúde (art. 11, II, “f”) — para tratamento de dados de saúde por profissional sujeito a sigilo.
• Legítimo interesse (art. 7º, IX) — para segurança, antifraude e melhoria do serviço, sem prejuízo dos direitos do titular.
• Exercício regular de direitos em contrato (art. 11, II, “d”) e prevenção à fraude na autenticação (art. 11, II, “g”) — para a prova das assinaturas eletrônicas de documentos.

O Sinthoma utiliza modelos da Anthropic (Claude) como motor principal de IA para a geração de notas clínicas, com a DeepSeek como reserva quando o motor principal está indisponível. A transcrição de áudio, opcional, passa pela OpenRouter e pelos provedores de transcrição listados na seção 7. Antes de qualquer envio de texto, aplicamos pseudonimização: nome do paciente, CPF, RG, telefone, endereço e demais identificadores diretos são substituídos por marcadores. Fotos e documentos que o profissional anexa para leitura (escala preenchida, laudo, anotação manuscrita) seguem como imagem, sem essa substituição. Os dados enviados não são utilizados para treinar modelos (vedação contratual dos termos comerciais dos provedores) e a retenção pelos provedores é limitada e operacional, restrita a segurança e prevenção de abuso. O uso de IA depende de consentimento específico do paciente, registrado pelo profissional.

Para prestar o serviço, contratamos os seguintes sub-operadores (com cláusulas de proteção de dados):

• Hostinger — infraestrutura vps que hospeda a aplicação e o stack supabase self-hosted (Brasil (São Paulo)). Dados cadastrais, conteúdo clínico e dados técnicos necessários à execução do serviço. O banco, a autenticação e o armazenamento são operados pelo Sinthoma na própria VPS. O Supabase usado nessa camada é self-hosted, não um serviço gerenciado externo.
• Supabase — infraestrutura de contingência e rollback da operação legada, se acionada (Brasil (sa-east-1)). Dados cadastrais e clínicos necessários para uma eventual restauração de serviço. Não é o banco primário da operação em VPS; permanece documentado enquanto a retirada definitiva não foi confirmada.
• Vercel (hospedagem residual) — hospedagem de contingência e rollback, se acionada (Estados Unidos). Dados de requisições necessários à execução da aplicação durante eventual rollback. Não é a hospedagem primária da operação atual em VPS; permanece documentada enquanto a retirada definitiva não foi confirmada.
• Cloudflare R2 — armazenamento off-site de backups criptografados para continuidade e restauração (Estados Unidos). Backups criptografados de banco, storage e configuração operacional. Backups são cifrados antes do armazenamento; não é banco de dados operacional.
• Anthropic (Claude) — motor principal de ia: análise clínica assistida, redação de rascunhos, secretária automática do whatsapp e assistente de suporte (ativo desde 21/10/2026) (Estados Unidos). Trechos pseudonimizados de sessão; fotos e documentos que o profissional anexa para leitura (seguem como imagem); quando a secretária automática do WhatsApp está ligada, o texto das mensagens que o paciente ou a família envia; e as perguntas feitas ao assistente de suporte. Os termos comerciais vedam treinamento com dados de clientes. Retenção operacional limitada (30 dias por padrão); conteúdo sinalizado por violação da política de uso pode ser guardado por mais tempo, para segurança. Transferência internacional para Estados Unidos (LGPD art. 33).
• DeepSeek — reserva de ia: só entra quando o motor principal está indisponível (desde 21/10/2026; foi o motor principal de 07/09 a 21/10/2026) (China). Quando está em uso como reserva: trechos pseudonimizados de sessão, fotos e documentos anexados para leitura (seguem como imagem) e, quando a secretária automática do WhatsApp está ligada, o texto das mensagens que o paciente ou a família envia. Política contratual de não-treinamento (data_collection: deny por requisição). Retenção operacional limitada. Transferência internacional para China (LGPD art. 33).
• OpenRouter — transcrição de áudio ditado e de gravação de sessão (primeira opção da cadeia de transcrição). desde 21/10/2026 não recebe mais texto clínico para análise (Estados Unidos). Áudio da sessão e o texto transcrito. Encaminha o áudio ao modelo de transcrição da Microsoft. Transferência internacional para Estados Unidos (LGPD art. 33).
• OpenAI (Whisper) — transcrição de áudio ditado e de gravação de sessão (Estados Unidos). Áudio da sessão e o texto transcrito. Não usado para treinamento. O arquivo de áudio é apagado logo após a transcrição.
• Groq (Whisper) — transcrição de áudio da teleconsulta (Estados Unidos). Áudio da teleconsulta e o texto transcrito. Não usado para treinamento.
• Voyage AI — geração dos vetores que permitem buscar no histórico clínico (Estados Unidos). Trechos de sessão e de registros do paciente. Uso condicionado à configuração do recurso e aos termos vigentes do provedor; não presumimos retenção zero.
• Daily.co — vídeo e áudio da teleconsulta (Estados Unidos). Áudio e vídeo em trânsito durante a chamada. Criptografado em trânsito (WebRTC/DTLS-SRTP). Não há gravação automática — só com consentimento expresso.
• Resend — envio de e-mails transacionais (Estados Unidos). Nome e e-mail do destinatário e o conteúdo da mensagem.
• Gupshup e Meta (WhatsApp) — mensagens de whatsapp em nome do profissional ou da clínica: avisos de agenda, conversas com pacientes e famílias e as respostas da equipe. pela gupshup no número central e, quando a profissional conecta o próprio número, pela meta diretamente (Índia e Estados Unidos). Nome e telefone do paciente ou do responsável, o texto das mensagens trocadas e a data e hora dos compromissos. O que o paciente ou a família escreve chega como foi escrito e pode conter informação de saúde. Nenhum registro do prontuário é enviado por este canal. Os avisos automáticos dependem de consentimento registrado na ficha; o paciente sai respondendo SAIR. A clínica pode desligar a secretária automática, e então nenhuma IA lê as mensagens. No número próprio, a Meta atua diretamente como sub-operadora, sob os termos dela (WhatsApp Business Terms), e fatura a profissional.
• Asaas — cobrança da assinatura do profissional, cobranças aos pacientes e emissão de notas fiscais (Brasil). Nome, CPF ou CNPJ, endereço de faturamento e valores de cobrança. Não armazenamos número de cartão em nenhum momento.
• Stripe — cobrança da assinatura do profissional (operador anterior) (Estados Unidos e Irlanda). Dados de pagamento do profissional. Operador anterior — sem assinatura ativa desde 09/09/2026 e desligado em 14/09/2026. Mantido para histórico contratual.
• Sentry — monitoramento de erros da aplicação (Estados Unidos). Dados técnicos de execução, com identificadores pessoais removidos antes do envio.
• Better Stack — logs técnicos, monitoramento de disponibilidade e página de status (Estados Unidos). Logs de execução sem conteúdo clínico. Retenção de 3 dias.
• PostHog — analytics de produto (Estados Unidos). Eventos de uso pseudonimizados. Nunca captura conteúdo clínico. Só após consentimento no banner de cookies.

Alguns sub-operadores processam dados fora do Brasil. Nesses casos, a transferência se apoia em cláusulas contratuais padrão e/ou em nível de proteção compatível com a LGPD (art. 33). A lista completa, com finalidade e país de cada um, está em sinthoma.com.br/subprocessadores — atualizada em 21/10/2026. Novos sub-operadores são anunciados com antecedência, conforme a cláusula 13 dos Termos.

A profissional pode conectar o próprio número de WhatsApp ao Sinthoma, pela plataforma de negócios da Meta (WhatsApp Business Platform). Feito isso, os avisos de agenda — lembrete de sessão, confirmação, cancelamento, link da teleconsulta — passam a ser enviados pelo número dela, em nome dela, em vez do número compartilhado do Sinthoma. O envio continua condicionado ao consentimento registrado na ficha do paciente, e o paciente continua podendo sair da lista respondendo SAIR.

O que passa pela plataforma da Meta. O número de telefone do paciente, o texto do aviso — que identifica a profissional, o compromisso, a data e a hora — e o horário do envio. O prontuário não passa por lá: anotações da sessão, documentos e qualquer conteúdo clínico não trafegam por este canal.

Papéis. Em relação a esses avisos, a profissional é a controladora dos dados dos pacientes dela; o Sinthoma atua como operador, a mando dela; e a Meta é sub-operadora, com termos próprios para este serviço (Termos do WhatsApp Business da Meta).

Cobrança. Quando o número conectado é o da própria profissional, a Meta fatura a profissional diretamente pelas conversas enviadas pela plataforma. O Sinthoma não intermedia esse pagamento nem recebe essa fatura.

Histórico de conversas (Coexistence). Ao conectar o número, a Meta sincroniza até 6 meses do histórico de conversas dele com a conta de negócios da própria profissional, para que o aplicativo de WhatsApp dela continue mostrando as conversas como ela conhece. Essa sincronização acontece entre a Meta e a profissional: o histórico de conversas não vai para o Sinthoma.

Desconectar e apagar. A profissional desconecta o número em Configurações → Conexões → WhatsApp → Desconectar. Ao confirmar, o Sinthoma apaga o token de acesso e o vínculo com o número na hora, e os avisos deixam de sair por ele. Para pedir a exclusão dos demais dados ligados ao canal, o caminho é o mesmo canal do Encarregado já descrito nesta página (dpo@sinthoma.com.br). Responderemos em até 15 dias.

Aplicamos criptografia em trânsito (TLS 1.2+), Row Level Security no banco, hash-chain em audit log, autenticação multifator (2FA) opcional, isolamento de tenants, monitoramento contínuo, política de senha forte e rotação de chaves. Reportamos incidentes relevantes à ANPD e aos titulares afetados conforme art. 48 da LGPD.

• Prontuários e documentos clínicos: pelo menos 5 anos após o último atendimento, conforme Resolução CFP nº 01/2009 (registro documental) e Resolução CFP nº 06/2019 (documentos escritos).
• Dados cadastrais do profissional: durante a vigência da conta + 5 anos para obrigações fiscais e regulatórias.
• Prova das assinaturas eletrônicas: o mesmo prazo do documento a que se refere; não é eliminada antes dele. Se o cadastro do paciente for excluído, a prova fica sem o vínculo com ele.
• Logs técnicos: até 6 meses.
• Backups: até 30 dias após exclusão lógica.

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• Portabilidade dos dados (exportação em formato estruturado);
• Eliminação dos dados tratados com base em consentimento (ressalvadas hipóteses legais de guarda);
• Informação sobre entidades com as quais houve uso compartilhado;
• Informação sobre a possibilidade de não consentir e suas consequências;
• Revogação do consentimento.

Para exercer qualquer um desses direitos, escreva ao DPO em dpo@sinthoma.com.br. Responderemos em até 15 dias.

Você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) pelo canal oficial gov.br/anpd.

Na teleconsulta por videoconferência, o atendimento observa a Resolução CFP nº 09/2024 (atendimento psicológico por meios digitais) e, quando aplicável, a nº 04/2020 (avaliação psicológica online). A sala é criptografada ponta a ponta (WebRTC/SRTP) via Daily.co e não há gravação automática.

Cookies estritamente necessários (sessão, autenticação, balanceamento de carga) são carregados sempre — não podem ser desativados. O analytics de produto (PostHog) só carrega após o aceite no toggle “Analytics” do banner de cookies. Você pode revogar o consentimento a qualquer momento reabrindo o banner ou limpando o item sinthoma_cookie_consent do navegador.

O toggle “Marketing” controla o Pixel da Meta (Facebook e Instagram). Aceito, ele carrega um script da Meta nas páginas públicas e informa a ela que uma visita virou cadastro, para medirmos o retorno dos anúncios. Recusado ou não respondido, o script não é carregado e nada é enviado à Meta. Ele não roda dentro da área clínica nem nas páginas de paciente (portal, escalas, assinatura, pagamento) e nunca recebe dado de paciente.

Quando você chega ao site por um link de campanha nosso (por exemplo, um e-mail que enviamos), registramos o clique nos nossos próprios servidores e gravamos o cookie sinthoma_attrib por 90 dias. Ele guarda apenas o nome da campanha e um identificador aleatório que nós mesmos geramos — não contém seu IP, não é uma impressão digital do seu navegador, não é compartilhado com terceiros e não acompanha você em outros sites. Serve só para sabermos quantas pessoas o convite alcançou e não contarmos a mesma pessoa duas vezes. Base legal: legítimo interesse (art. 7º, IX, LGPD). Apagar os cookies do navegador remove o registro.

Esta política pode ser atualizada para refletir mudanças legais ou do serviço. Mudanças materiais serão notificadas por e-mail ao profissional cadastrado.

30/07/2026 — versão v3.0.0: a operação da Plataforma passou de RANIERES ROMULO GOMES CARVALHO - ME (CNPJ 51.611.792/0001-71) para KODE ON TECNOLOGIA DESENVOLVIMENTO DE SOFTWARE CUSTOMIZÁVEL LTDA, CNPJ 68.234.687/0001-63, que assumiu integralmente as obrigações anteriores. Nenhum dado pessoal foi transferido para terceiros em razão da sucessão.

05/09/2026 — versão v3.1.0: atualização operacional: o stack Supabase passou a ser self-hosted na infraestrutura própria em São Paulo; a lista de sub-operadores e os locais de processamento foram atualizados. As finalidades, bases legais e prazos de retenção permanecem os mesmos.

14/09/2026 — versão v3.2.1: a cobrança da assinatura do profissional passou a ser feita só pelo Asaas. O Stripe, que processava assinaturas contratadas até 04/08/2026, deixou de ser usado e consta na lista de sub-operadores como operador anterior.

18/10/2026 — versão v3.3.0: a assinatura eletrônica de documentos passou a pedir um código de confirmação e a gerar uma via final selada. Esta política agora descreve os dados dessa prova, a base legal e o prazo de guarda.

21/10/2026, versão v3.4.0: a Anthropic (Claude) voltou a ser o motor principal de IA, a DeepSeek passou a reserva e a OpenRouter ficou só com a transcrição de áudio. A pseudonimização antes do envio, as finalidades, as bases legais e os prazos de retenção permanecem os mesmos.