Como protegemos os dados dos seus pacientes

Dados de pacientes: o profissional ou a clínica que cadastra o paciente é o controlador (art. 5º, VI, da LGPD), porque decide por que e como os dados são tratados. A PontoAzul é a operadora (art. 5º, VII) e trata esses dados apenas para prestar o serviço contratado, conforme as instruções do controlador (art. 39).

Dados do profissional (cadastro, acesso e assinatura): a PontoAzul é a controladora e os trata para manter a conta, cobrar, dar suporte e cumprir obrigações legais.

Dados de cartão de crédito são digitados na tela de pagamento e repassados ao intermediador de pagamentos. A PontoAzul não armazena o número do cartão nem o código de segurança; guarda apenas um identificador (token) emitido pelo intermediador.

A PontoAzul não utiliza dados de pacientes para publicidade, perfilamento comercial, venda de bases ou treinamento de modelos de IA.

Grande parte das avaliações envolve crianças e adolescentes. Nos termos do art. 14 da LGPD, esses dados são tratados em seu melhor interesse, com finalidade exclusivamente assistencial.

• O profissional, como controlador, é responsável por informar os pais ou responsáveis legais e obter o consentimento específico quando exigido.
• A plataforma não possui área de acesso para crianças, não coleta dados diretamente delas e não exibe publicidade.
• As versões de relatório destinadas à escola são produzidas com recorte de informações, para que o conteúdo médico e de protocolo não chegue a quem não precisa dele.
• Os mesmos controles de isolamento, retenção e exclusão descritos nesta página se aplicam integralmente.

• Quando é acionada: somente quando o profissional solicita uma tarefa, como gerar um relatório, um plano de intervenção, uma análise ou ler um protocolo digitalizado. Não há processamento em segundo plano sem solicitação.
• O que é enviado: o conteúdo necessário para aquela tarefa (resultados já corrigidos, contexto clínico registrado e, na leitura de protocolos, a imagem enviada), por conexão criptografada, a partir do servidor da PontoAzul.
• Treinamento: a PontoAzul não usa esses dados para treinar, ajustar ou aprimorar modelos próprios ou de terceiros.
• Papel da IA: apoio à redação e à digitação. A correção normativa é determinística, e a IA não emite diagnóstico nem decide condutas.
• Revisão humana obrigatória: todo texto gerado é um rascunho. O documento final é elaborado, revisado, assinado e assumido pelo profissional, conforme as normas do seu conselho.
• Controles de qualidade: os relatórios passam por verificações automáticas de coerência com os resultados corrigidos, para reduzir o risco de afirmações sem respaldo nos dados.

A PontoAzul contrata apenas os fornecedores necessários para o serviço funcionar:

Dados também podem ser fornecidos a autoridades públicas mediante obrigação legal ou ordem judicial, sempre no limite do que for exigido. A relação atualizada de suboperadores pode ser solicitada ao Encarregado, e mudanças relevantes são refletidas nesta página.

Como parte da infraestrutura e do processamento por IA ocorre fora do Brasil, há transferência internacional de dados, realizada conforme o art. 33 da LGPD e a Resolução CD/ANPD nº 19/2024. As salvaguardas adotadas incluem:

• contratação de fornecedores com termos contratuais de proteção de dados e segurança;
• envio restrito à finalidade da tarefa solicitada, sem autorização para uso secundário pela PontoAzul;
• criptografia dos dados em trânsito;
• transparência sobre a transferência nesta política, para que o controlador informe seus pacientes.

Guarda documental: as normas profissionais podem exigir que você guarde documentos decorrentes da avaliação por prazo mínimo. Antes de excluir, exporte ou baixe os documentos que precisar manter. A exclusão na plataforma é irreversível.

Medidas técnicas e administrativas em vigor (art. 46 da LGPD):

• Criptografia: todo tráfego usa HTTPS/TLS, e os dados são criptografados em repouso pela infraestrutura de nuvem.
• Isolamento de dados: regras de acesso no banco de dados garantem que cada profissional leia apenas os próprios pacientes, testes e relatórios.
• Gravação somente pelo servidor: o navegador não consegue criar, alterar ou apagar dados clínicos diretamente. Toda gravação passa por rotas do servidor que validam quem está pedindo.
• Sessões protegidas: cookie de sessão inacessível a scripts (HttpOnly), enviado apenas por conexão segura e com expiração automática em 7 dias.
• Reautenticação: ações críticas, como excluir a conta, exigem confirmar a senha ou a conta Google.
• Limitação de tentativas: rotas sensíveis contam com controle de taxa de requisições contra abuso e automação.
• Envio de arquivos: protocolos digitalizados são enviados por links temporários e assinados, que expiram em 15 minutos, e o arquivo original é apagado após a leitura.
• Cabeçalhos de segurança: proteção contra incorporação da plataforma em outros sites (clickjacking) e contra interpretação indevida de conteúdo.
• Segredos protegidos: chaves de acesso a serviços ficam apenas no servidor e nunca são expostas ao navegador.
• Mínimo necessário: relatórios para públicos específicos, como a escola, recebem apenas as informações pertinentes.

• A equipe não acessa o conteúdo clínico de forma rotineira.
• O acesso técnico é restrito a um número mínimo de administradores autorizados, e somente para: (a) suporte solicitado pelo profissional; (b) investigação de falha ou incidente de segurança; (c) cumprimento de obrigação legal ou ordem de autoridade competente.
• Todas as pessoas com esse acesso estão sujeitas a dever de confidencialidade.
• O suporte comum (dúvidas de uso, cobrança, acesso) é prestado sem necessidade de abrir dados de pacientes.

Se ocorrer um incidente que possa acarretar risco ou dano relevante aos titulares, a PontoAzul comunicará os controladores afetados sem demora injustificada, informando a natureza dos dados envolvidos, os riscos, as medidas adotadas e as recomendações. O objetivo é que o controlador consiga cumprir o prazo de comunicação à ANPD e aos titulares previsto na Resolução CD/ANPD nº 15/2024 (3 dias úteis). A PontoAzul também colabora com as providências necessárias e mantém registro interno dos incidentes.

O art. 18 da LGPD garante ao titular confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade, informação sobre compartilhamentos, revogação do consentimento e revisão de decisões automatizadas.

• Pacientes e responsáveis devem procurar o profissional ou a clínica que realizou o atendimento (controlador). A PontoAzul apoia o controlador no atendimento dessas solicitações.
• Profissionais podem corrigir seus dados em Configurações e excluir a conta a qualquer momento, ou falar com o Encarregado.
• Se uma solicitação de paciente chegar diretamente à PontoAzul, ela será encaminhada ao controlador responsável.

Estas cláusulas regem o tratamento de dados de pacientes realizado pela PontoAzul (Operadora) em nome do profissional ou clínica (Controlador). Integram os Termos de Uso e valem enquanto durar o uso da plataforma.

1. Objeto. A Operadora trata dados pessoais, inclusive sensíveis e de crianças e adolescentes, exclusivamente para prestar os serviços da plataforma: armazenamento, correção de instrumentos, geração de documentos e funcionalidades relacionadas.
2. Instruções. O tratamento segue as instruções do Controlador, expressas pelo uso das funcionalidades. A Operadora não trata os dados para finalidade própria.
3. Vedação de uso secundário. A Operadora não vende nem cede os dados, não os usa para publicidade ou perfilamento e não os usa para treinar, ajustar ou aprimorar modelos de inteligência artificial.
4. Confidencialidade. Quem tiver acesso aos dados está sujeito a dever de confidencialidade, e o acesso ocorre apenas nas hipóteses da seção Acesso da equipe.
5. Suboperadores. O Controlador autoriza a contratação dos suboperadores descritos na seção Suboperadores. A Operadora exige deles obrigações de proteção compatíveis e responde por eles perante o Controlador, nos limites da lei.
6. Transferência internacional. O Controlador está ciente e autoriza a transferência internacional descrita nesta política, realizada com as salvaguardas indicadas.
7. Segurança. A Operadora mantém as medidas técnicas e administrativas descritas em Segurança da informação e as aprimora continuamente.
8. Incidentes. A Operadora comunica ao Controlador os incidentes relevantes sem demora injustificada e presta as informações necessárias para as comunicações exigidas pela ANPD.
9. Direitos dos titulares. A Operadora auxilia o Controlador a atender as solicitações dos titulares, na medida do possível e com os recursos da plataforma.
10. Término. Encerrado o uso, o Controlador pode excluir os dados a qualquer momento. A exclusão da conta elimina os dados vinculados, ressalvadas as hipóteses de guarda obrigatória do art. 16 da LGPD.
11. Responsabilidades do Controlador. Garantir base legal para o tratamento, informar os titulares sobre o uso da plataforma e de IA, obter consentimentos quando exigidos, inserir apenas dados necessários e revisar os documentos gerados.
12. Informações e verificação. A Operadora disponibiliza as informações razoavelmente necessárias para demonstrar o cumprimento destas cláusulas, mediante solicitação ao Encarregado.

1. Destinação. A plataforma destina-se a profissionais habilitados (como psicólogos e neuropsicólogos) e às equipes que eles supervisionam. Ao criar a conta, o usuário declara ter habilitação e que usará a plataforma dentro de suas atribuições profissionais.
2. Ferramenta de apoio. A plataforma apoia a correção de instrumentos e a redação de documentos. Não substitui o julgamento clínico, não emite diagnóstico e não dispensa a revisão do profissional.
3. Responsabilidade técnica. Todo relatório, laudo ou parecer emitido é de responsabilidade exclusiva do profissional que o assina, que deve revisá-lo integralmente e adequá-lo às normas do seu conselho profissional.
4. Instrumentos. O profissional é responsável por usar instrumentos com parecer favorável nos órgãos competentes, quando aplicável, e por possuir o material original exigido por cada editora. A plataforma não fornece manuais nem materiais protegidos.
5. Conta pessoal. O acesso é pessoal e intransferível. O usuário deve manter as credenciais em sigilo e comunicar imediatamente qualquer uso não autorizado.
6. Condutas proibidas. É proibido: inserir dados sem base legal, tentar acessar dados de outros usuários, burlar limites de plano, fazer engenharia reversa, automatizar acessos abusivos e usar a plataforma para fins ilícitos.
7. Planos e pagamento. Os recursos e limites de cada plano são os informados na página de planos. A assinatura é recorrente e pode ser cancelada pelo usuário, conforme as condições informadas no momento da contratação.
8. Disponibilidade. A PontoAzul busca manter a plataforma disponível e íntegra, mas pode haver interrupções para manutenção ou por fatores externos. Recomenda-se manter cópia dos documentos emitidos.
9. Privacidade. O tratamento de dados segue esta Política de Privacidade e o Acordo de Tratamento de Dados acima, que integram estes Termos.
10. Alterações. Estes documentos podem ser atualizados. Mudanças relevantes serão comunicadas pela plataforma ou por e-mail, e a versão vigente estará sempre nesta página.
11. Legislação. Aplica-se a legislação brasileira, em especial a LGPD (Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014) e, quando cabível, o Código de Defesa do Consumidor.

Para dúvidas sobre privacidade, exercício de direitos, pedido de documentos formais (incluindo uma via do Acordo de Tratamento de Dados para assinatura) ou comunicação de incidentes, fale com o Encarregado pelo Tratamento de Dados Pessoais:

O titular também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) pelo site gov.br/anpd.