Política de Privacidade

O Nidus é uma plataforma usada por clínicas de ABA e terapias infantis para organizar a agenda, registrar sessões e lembrar as famílias dos atendimentos. Ele é oferecido por [RAZÃO SOCIAL], CNPJ [CNPJ], com sede em [ENDEREÇO].

Esta política explica quais dados pessoais passam pelo Nidus, para quê, com quem são compartilhados e como exercer seus direitos, conforme a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018).

A clínica é a controladora. É ela quem cadastra pacientes, responsáveis e equipe, e quem decide quais dados registrar e por quanto tempo.

O Nidus é o operador. Tratamos esses dados em nome da clínica, só para prestar o serviço que ela contratou, e seguindo as instruções dela, conforme contrato de tratamento de dados assinado com cada clínica.

Se você é paciente, responsável ou profissional de uma clínica, o primeiro contato para dúvidas e pedidos sobre seus dados é a própria clínica.

Pacientes (crianças e adolescentes)

• nome e data de nascimento;
• diagnósticos (CID-10), alergias e medicamentos;
• situação no atendimento (em triagem, ativo, pausado, alta);
• dias e horários disponíveis e períodos de ausência, com tipo e motivo;
• compatibilidade com outros pacientes para sessões em grupo, com justificativa escrita pela equipe;
• terapeutas e especialidades que atendem o paciente, e a frequência das sessões;
• sessões: data, horário, terapeuta, especialidade, situação, motivo de cancelamento e histórico de alterações;
• evolução clínica de cada sessão: relato, comportamentos, avanços, humor do paciente e observação interna, assinados pelo terapeuta;
• documentos anexados pela clínica (PDF, imagem ou Word).

Responsáveis

• nome e parentesco com o paciente;
• CPF, telefone e e-mail, quando informados pela clínica;
• canal preferido para receber lembretes (WhatsApp, e-mail ou ambos);
• registro de confirmação de presença ou pedido de cancelamento.

Terapeutas e equipe da clínica

• nome, e-mail e perfil de acesso (administrador, coordenador ou terapeuta);
• no caso de terapeutas: registro profissional, especialidades, tipo de contrato, carga horária semanal, disponibilidade e ausências, com tipo e motivo.

A senha de acesso nunca é guardada como foi digitada: o banco de dados do Nidus guarda só um resumo criptográfico dela, que não permite recuperá-la.

Dados técnicos

• os cookies de sessão, necessários para manter o usuário conectado, inacessíveis a scripts da página e apagados ao sair. Não usamos cookies de publicidade nem ferramentas de análise de navegação;
• registros técnicos de acesso e de erro (data, hora, tipo de operação, tela ou recurso acessado, resultado, tempo de resposta, usuário e clínica), usados para segurança e para corrigir falhas. Esses registros não guardam o conteúdo do que foi enviado ou exibido: nome de paciente, dados clínicos, evolução e contatos não aparecem neles.

• permitir que a equipe da clínica acesse o sistema conforme o seu perfil;
• sugerir a agenda semanal e remanejar sessões quando alguém falta;
• registrar as sessões realizadas e a evolução clínica;
• guardar documentos do paciente para consulta da equipe;
• enviar lembretes e avisos de sessão aos responsáveis;
• manter a plataforma segura e funcionando.

Não vendemos dados, não os usamos para publicidade e não os usamos para treinar modelos de inteligência artificial.

Cabe à clínica, como controladora, definir a base legal de cada tratamento. Para os dados de saúde dos pacientes, a base aplicável é, em regra, a tutela da saúde em procedimento realizado por profissionais de saúde (art. 11, II, “f”, da LGPD). [BASES LEGAIS POR FINALIDADE — A VALIDAR NA REVISÃO JURÍDICA.]

Os pacientes atendidos pelas clínicas que usam o Nidus são, em sua maioria, crianças e adolescentes. Os dados deles são tratados no seu melhor interesse, apenas para o atendimento terapêutico, e nunca são usados em publicidade ou para formar perfis. Quando a lei exigir o consentimento de um dos pais ou responsável legal, cabe à clínica obtê-lo.

Na véspera de cada sessão, o responsável principal recebe um lembrete pelo canal escolhido. Se não houver resposta, o lembrete é reenviado uma vez. O responsável também é avisado quando uma sessão é cancelada ou muda de terapeuta.

A mensagem traz o nome do responsável, a data e o horário da sessão, o nome do terapeuta e um link para confirmar ou pedir cancelamento. Ela não traz o nome do paciente, nem diagnóstico, nem o nome da clínica.

O link abre uma página que mostra o nome do paciente, a especialidade, a data, o horário e o terapeuta. Ele é único, deixa de funcionar ao fim do dia da sessão e não deve ser repassado.

Para funcionar, o Nidus usa fornecedores de infraestrutura que tratam dados em nosso nome, sob contrato e só para prestar o serviço:

• Neon — banco de dados[REGIÃO]
• Cloudflare R2 — armazenamento de documentos[REGIÃO]
• Railway — hospedagem do site e do servidor da aplicação, e registros técnicos[REGIÃO]
• Resend — envio de e-mailsEstados Unidos
• Z-API — envio de mensagens de WhatsApp (a mensagem trafega pelo WhatsApp)Brasil
• Sentry — monitoramento de erros, quando ativadoEstados Unidos

Fora isso, só compartilhamos dados quando a lei ou uma ordem judicial exigir.

Parte dos fornecedores acima trata dados fora do Brasil, principalmente nos Estados Unidos. Essas transferências seguem os mecanismos previstos no art. 33 da LGPD. [MECANISMO DE TRANSFERÊNCIA — A DEFINIR NA REVISÃO JURÍDICA.]

Os dados ficam guardados enquanto a clínica mantiver o contrato com o Nidus. A evolução clínica, depois de assinada, não pode ser alterada. Quando um paciente é excluído da lista, o histórico clínico é preservado, porque faz parte do prontuário.

Ao fim do contrato, a clínica pode pedir uma cópia dos seus dados em até [30] dias, e os dados são eliminados em até [90] dias, salvo obrigação legal de guarda. A guarda do prontuário pelo prazo exigido pelos conselhos profissionais é responsabilidade da clínica. [PRAZOS DE RETENÇÃO — A DEFINIR NA REVISÃO JURÍDICA.]

• os dados de cada clínica ficam isolados; uma clínica não acessa dados de outra;
• cada usuário só vê e faz o que o seu perfil permite;
• toda comunicação é criptografada (HTTPS);
• documentos ficam em armazenamento privado e só abrem por link temporário, gerado para usuário autorizado;
• a evolução clínica assinada tem verificação de integridade contra alterações;
• os registros técnicos guardam só dados de controle da requisição, nunca o seu conteúdo; o monitoramento de erros, quando ativado, também não recebe conteúdo de requisição, cookies nem dados do usuário além do seu identificador;
• as mensagens de lembrete e aviso ficam na fila de envio, no banco de dados, só o tempo de serem enviadas: o conteúdo é apagado assim que a mensagem sai ou, se o envio falhar, depois da última tentativa.

Nenhum sistema é totalmente imune a falhas. Se ocorrer um incidente de segurança que afete dados de uma clínica, nós a avisaremos para que ela tome as providências e faça as comunicações exigidas por lei.

A LGPD garante a você, entre outros, o direito de confirmar se seus dados são tratados, acessá-los, corrigi-los, pedir a eliminação de dados desnecessários, pedir a portabilidade e obter informações sobre com quem foram compartilhados.

Como a clínica é a controladora, faça o pedido diretamente a ela. Se o pedido chegar ao Nidus, nós o encaminharemos à clínica responsável e a ajudaremos a atendê-lo.

Podemos atualizar esta política. A data no topo indica a última versão. Mudanças relevantes serão avisadas às clínicas por e-mail.

Encarregado pelo tratamento de dados pessoais: [ENCARREGADO — NOME E CONTATO].

Outras dúvidas sobre privacidade: [E-MAIL DE PRIVACIDADE].

Veja também os Termos de Uso.