1. Quem trata os dados
A Elevva Psi fornece uma plataforma de organização da prática profissional, agenda, pacientes, prontuários, formulários, documentos e financeiro.
Para dados de cadastro, segurança, suporte, contratação e operação da plataforma, a Elevva Psi poderá atuar como controladora. Para dados de pacientes inseridos pela clínica ou pelo profissional — inclusive dados pessoais sensíveis de saúde — a clínica ou o profissional é, em regra, o controlador, e a Elevva Psi atua como operadora, seguindo suas instruções e as configurações contratadas.
2. Quais dados são tratados
| Categoria | Exemplos | Origem |
|---|---|---|
| Conta profissional | Nome, e-mail, telefone, profissão, CRP quando aplicável, preferências e autenticação. | Profissional, clínica ou administrador autorizado. |
| Pacientes e responsáveis | Cadastro, contatos, responsáveis legais, consentimentos, agenda, formulários e documentos. | Clínica, profissional, paciente ou responsável. |
| Dados clínicos sensíveis | Prontuários, planos terapêuticos, anamnese, observações, anexos e histórico clínico. | Profissional autorizado e, quando habilitado, paciente. |
| Financeiro | Cobranças, pagamentos, recibos, repasses, pacotes e informações contábeis. | Clínica, profissional e integrações habilitadas. |
| Sessões transcritas | Consentimento, metadados e transcrição revisável quando o profissional ativa a captura. | Computador do profissional, após ação expressa e consentimento registrado. |
| Operação e segurança | IP, dispositivo, data, horário, ações auditáveis, falhas e registros de acesso. | Uso da plataforma e infraestrutura. |
| Lista de agendas e eventos criados pela Elevva, conforme autorização. | Conta Google conectada voluntariamente. |
3. Por que e com que fundamento usamos os dados
- prestar as funções contratadas e executar solicitações do usuário;
- autenticar acessos, aplicar 2FA, prevenir fraude e manter trilhas de auditoria;
- organizar agenda, atendimento, documentos, prontuários e rotinas financeiras;
- atender solicitações de suporte e comunicações essenciais do serviço;
- cumprir obrigações legais, regulatórias e determinações de autoridades competentes;
- exercer direitos em processos e proteger a segurança da plataforma.
Conforme o contexto, o tratamento poderá se apoiar na execução de contrato ou de procedimentos preliminares, cumprimento de obrigação legal ou regulatória, exercício regular de direitos, proteção da vida, tutela da saúde, legítimo interesse com avaliação apropriada e consentimento, quando a lei ou a natureza da função o exigirem. O profissional ou a clínica permanece responsável por definir a base legal adequada para os dados de seus pacientes.
4. Como usamos dados do Google Calendar e do Google Meet
A integração é opcional e individual. Cada profissional conecta sua própria Conta Google e escolhe a agenda que receberá seus atendimentos.
Permissões solicitadas
- Ver a lista de agendas: permite mostrar ao profissional as agendas disponíveis para seleção.
- Gerenciar eventos criados pelo aplicativo: permite criar, reagendar e remover, na agenda escolhida, os eventos que a própria Elevva criou.
- Criar link do Google Meet: quando solicitado pelo profissional, a Elevva pede ao Google um link de videoconferência vinculado ao evento.
A Elevva não usa dados do Google para publicidade, perfil comercial, venda de dados ou qualquer finalidade alheia à sincronização solicitada. Não lê prontuários, e-mails ou arquivos do Drive por meio desta integração de agenda.
O uso e a transferência, pela Elevva Psi, das informações recebidas das APIs do Google obedecem à Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.
O usuário pode pausar a sincronização ou desconectar a Conta Google nas configurações da agenda. Ao desconectar, as credenciais de acesso vinculadas são removidas da Elevva. O usuário também pode revogar o acesso diretamente nas configurações de segurança da Conta Google.
5. Compartilhamento e fornecedores
Não vendemos dados pessoais. O acesso é limitado a pessoas autorizadas e a fornecedores necessários à prestação do serviço, como infraestrutura de hospedagem, envio de e-mails transacionais e serviços Google quando o próprio usuário habilita uma integração.
Fornecedores recebem somente o necessário para executar sua função, mediante controles técnicos e obrigações de proteção. Dados também poderão ser apresentados a autoridades quando houver obrigação legal ou ordem válida. Transferências internacionais, quando necessárias ao uso de fornecedores globais, são tratadas com salvaguardas compatíveis com a legislação aplicável.
6. Segurança e confidencialidade
- autenticação em duas etapas obrigatória e opção de dispositivo confiável;
- sessões revogáveis, controle de permissões e trilhas de auditoria;
- criptografia de segredos, credenciais de integração e anexos protegidos;
- prontuários assinados preservados por registros imutáveis e adendos;
- monitoramento, backups criptografados e medidas de recuperação;
- logs operacionais desenhados para não registrar senha, token ou conteúdo clínico.
Nenhum sistema é absolutamente imune a riscos. Em caso de incidente relevante, serão adotadas medidas de contenção, investigação e comunicação conforme a legislação e a responsabilidade de cada agente de tratamento.
7. Retenção, portabilidade e exclusão
Os dados são mantidos pelo período necessário à prestação do serviço, às finalidades informadas, às regras configuradas pelo controlador e ao cumprimento de obrigações legais, regulatórias, clínicas ou de defesa de direitos.
Quando a captura de sessão é habilitada, o áudio é processado no computador do profissional e armazenado de forma criptografada no destino autorizado. A configuração padrão prevê exclusão automática do áudio após sete dias. A transcrição não se torna prontuário automaticamente: exige revisão e ação expressa do profissional.
Ao término do contrato, a clínica poderá solicitar exportação e eliminação, respeitadas retenções obrigatórias, bloqueios legais e registros mínimos de segurança. Credenciais do Google são excluídas quando a integração é desconectada ou deixa de ser necessária.
8. Direitos do titular
Nos termos da LGPD, o titular pode solicitar confirmação de tratamento, acesso, correção, anonimização, bloqueio, eliminação, portabilidade quando cabível, informação sobre compartilhamento, revisão de decisões automatizadas e informações sobre consentimento e sua revogação.
Pedidos relacionados a dados clínicos devem, em regra, ser encaminhados primeiro à clínica ou ao profissional controlador. A Elevva apoiará o controlador no atendimento seguro da solicitação. Podemos pedir informações adicionais para confirmar a identidade e proteger os dados contra acesso indevido.
9. Crianças, adolescentes e responsáveis
Quando houver atendimento de menor, a clínica ou o profissional deverá cadastrar o responsável legal, registrar as autorizações pertinentes e limitar o acesso do responsável ao que for adequado ao melhor interesse do paciente e permitido pelas normas aplicáveis.
11. Alterações desta política
Esta política poderá ser atualizada para refletir mudanças no serviço, na legislação ou nos controles de segurança. Alterações relevantes serão comunicadas no sistema ou por meio de contato cadastrado, com indicação da nova data de vigência.
12. Fale com a Elevva
Para dúvidas de privacidade, solicitações de titulares ou questões de segurança, escreva para suporte@elevvapsi.com.br. Para dados de pacientes, informe também a clínica ou o profissional responsável, sem enviar conteúdo clínico sensível no corpo do e-mail.