Política de Privacidade

1. Quem trata os seus dados

O Ally é uma plataforma de tecnologia usada por psicólogas e psicólogos para organizar agenda, prontuário e cobrança dos seus atendimentos. Para os dados de pacientes, o psicólogo ou psicóloga que utiliza a plataforma é o controlador dos dados (é quem decide coletar e como usar essas informações, no âmbito da relação terapêutica), e o Ally atua como operador: a empresa de tecnologia que processa esses dados em nome do profissional, seguindo as instruções dele e as exigências da LGPD (Lei 13.709/2018). Para os dados da conta do próprio profissional (cadastro, pagamento pela assinatura), o Ally é o controlador. O encarregado pelo tratamento de dados (DPO) pode ser contatado pelo e-mail dpo@allypsi.com.br.

2. Quais dados coletamos

• Dados do profissional: nome, e-mail, telefone, CRP, senha (protegida por hash, ver seção 8, Segurança).
• Dados de pacientes (dado sensível de saúde, conforme Art. 11 da LGPD): nome, telefone, e-mail, endereço, data de nascimento, CPF, anotações de sessão (prontuário), respostas de anamnese, documentos anexados e histórico financeiro dos atendimentos.
• Dados de uso: registros técnicos de acesso e agendamento, necessários para o funcionamento da agenda e dos lembretes.
• Gravação e transcrição de sessão (nos planos com essa funcionalidade): o áudio da sessão, mantido só até a transcrição ser gerada com sucesso, e o texto transcrito e o resumo gerados por inteligência artificial, armazenados de forma criptografada.

3. Para que usamos esses dados

Os dados de pacientes são usados exclusivamente para viabilizar o agendamento, o atendimento e o acompanhamento terapêutico prestado pelo profissional, nunca para fins publicitários ou venda a terceiros. Dados de saúde só são tratados mediante consentimento específico e destacado do paciente, coletado no momento do agendamento ou cadastro.

4. Com quem compartilhamos dados

Para funcionar, o Ally depende de alguns fornecedores de tecnologia (subprocessadores), que recebem apenas o dado estritamente necessário para o serviço que prestam:

• Railway (banco de dados): hospeda o banco PostgreSQL com todos os registros da plataforma.
• Google Calendar / Google Meet: ao conectar sua conta Google, o Ally acessa seu Google Calendar para criar, editar e excluir eventos de sessões e bloqueios de horário, e gerar o link de videochamada do Google Meet. O Ally também lê os eventos relacionados a essas sessões para detectar alterações feitas diretamente no Google Calendar (horário alterado ou evento cancelado), e obtém seu nome e e-mail da conta Google para identificar sua conta. Os eventos criados no Google Calendar não contêm o nome do paciente.
• Gupshup (provedor de WhatsApp Business): usado para enviar lembretes de sessão por WhatsApp; recebe nome, telefone e horário da sessão.
• Resend (envio de e-mail): usado para e-mails de boas-vindas, recuperação de senha e notificações; recebe nome e e-mail.

Você pode desconectar sua conta Google a qualquer momento nas configurações do Ally, ou diretamente em myaccount.google.com/permissions. Ao desconectar, o Ally remove o token de acesso armazenado. O uso de informações recebidas das APIs do Google pelo Ally adere à Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

5. Onde os dados ficam armazenados

Nossos servidores de banco de dados estão hospedados nos Estados Unidos, atualmente via Railway. Não oferecemos hospedagem no Brasil hoje porque nosso provedor de infraestrutura ainda não tem essa região disponível. Isso configura uma transferência internacional de dados, prevista na LGPD (Art. 33). O Railway mantém um Acordo de Processamento de Dados com Cláusulas-Padrão Contratuais da União Europeia.

6. Seus direitos como titular dos dados

Você (paciente ou profissional) pode solicitar a qualquer momento, através do profissional responsável pelo seu atendimento ou diretamente ao Ally:

• Confirmação de que tratamos seus dados, e acesso a eles;
• Correção de dados incompletos, inexatos ou desatualizados;
• Exclusão dos dados tratados com base no seu consentimento;
• Portabilidade dos dados para outro fornecedor;
• Revogação do consentimento, a qualquer momento;
• Informação sobre com quem compartilhamos seus dados.

7. Retenção dos dados

Mantemos os dados de prontuário pelo prazo exigido pelas normas do Conselho Federal de Psicologia sobre guarda de documentos profissionais. Dados de conta são mantidos enquanto a assinatura estiver ativa e podem ser excluídos mediante solicitação, respeitadas eventuais obrigações legais de guarda.

8. Segurança

Senhas são armazenadas com hash (Argon2id, não reversível). Conexões com o banco de dados usam criptografia em trânsito (TLS/SSL), e os dados armazenados também são criptografados em repouso pela infraestrutura do Railway. Estamos em processo contínuo de reforço de segurança, incluindo controle de acesso a documentos de pacientes e limites de tentativas de login.

9. Contato

Dúvidas sobre esta política ou solicitações relacionadas aos seus dados podem ser enviadas para o profissional que realiza seu atendimento, para suporte@allypsi.com.br, ou diretamente ao encarregado pelo tratamento de dados (DPO) pelo e-mail dpo@allypsi.com.br.