Política de privacidade

Atualizado em 25 de setembro de 2026.

Este documento está redigido em português do Brasil, que é a versão que rege.

O Abaly é um produto da Irvine5k. Esta política explica quais dados pessoais o serviço trata, por quê, com quem são compartilhados e o que você pode exigir. Ela segue a Lei Geral de Proteção de Dados (Lei nº 13.709/2018), o Código de Ética Profissional do Psicólogo, as resoluções do Conselho Federal de Psicologia e do Conselho Federal de Medicina sobre prontuário.

1. Quem é responsável pelos dados

• A clínica (ou o profissional autônomo) é a controladora dos dados dos pacientes e responsáveis. É ela quem decide quem é atendido, o que é registrado e quem da equipe tem acesso.
• A Irvine5k é operadora desses dados: trata o que a clínica determina, apenas para operar o serviço, e nunca usa dados de pacientes para finalidade própria, publicidade ou treinamento de modelos.
• Para os dados da conta de quem usa o sistema (nome, email, documento, conselho profissional) e da lista de contato, a Irvine5k é a controladora.

2. Quais dados são tratados

• Profissionais: nome, email, CPF ou outro documento, profissão, número e UF do conselho, foto de perfil (opcional).
• Pacientes: nome, nome social, data de nascimento, sexo, CPF e Cartão SUS (opcionais), convênio e carteirinha, escola, diagnósticos (CID), responsáveis e seus contatos.
• Dados de saúde: anamnese, plano terapêutico (PEI), registros de sessão e de comportamento, evoluções, relatórios e documentos anexados (laudos, exames, receitas).
• Consentimentos: tipo, versão, data, quem concedeu e, se for o caso, quando foi revogado.
• Registro de acesso: quem abriu cada prontuário e quando, e quem criou, alterou, assinou ou anulou cada registro.
• Proteção contra abuso: nos formulários públicos, o endereço IP é transformado num código irreversível antes de ser gravado, só para limitar tentativas. O endereço em si não é armazenado.

O Abaly não usa cookies de publicidade nem rastreamento de terceiros. Os cookies existentes mantêm você conectado e lembram a clínica escolhida e o idioma.

3. Bases legais

• Tutela da saúde (art. 11, II, f), exclusivamente em procedimento realizado por profissionais de saúde: o registro clínico do atendimento.
• Consentimento específico e destacado (art. 11, I, e art. 14, § 1º, dado por um dos pais ou pelo responsável legal no caso de criança): tratamento de dados de saúde quando exigido pela clínica, uso de imagem, compartilhamento com convênio. A clínica registra cada consentimento no sistema, com data e versão, e pode revogá-lo a qualquer momento.
• Cumprimento de obrigação legal ou regulatória (art. 7º, II, e art. 11, II, a): guarda do prontuário pelo prazo exigido pelos conselhos profissionais.
• Execução de contrato (art. 7º, V): conta, assinatura e cobrança da clínica.

4. Crianças e adolescentes

Muitos pacientes são crianças. Seus dados são tratados no seu melhor interesse (art. 14), com consentimento de um dos pais ou do responsável legal registrado pela clínica. Pacientes não têm login no Abaly; quem acessa é apenas a equipe autorizada pela clínica.

5. Quem vê o prontuário

• Cada clínica só enxerga os próprios dados; o isolamento é garantido no banco de dados, não apenas na tela.
• Dentro da clínica, o profissional vê só os pacientes da sua equipe, a menos que a clínica escolha abrir para todos. O administrador vê todos.
• A operação da plataforma (suporte da Irvine5k) não tem acesso ao conteúdo clínico pelo painel de operação.
• Evoluções assinadas não podem ser alteradas; correções são adendos assinados. Cada abertura de prontuário fica registrada.

6. Com quem os dados são compartilhados

• Supabase — banco de dados e armazenamento de arquivos, em São Paulo (região sa-east-1).
• Cloudflare — hospedagem da aplicação e proteção de rede.
• Stripe — cobrança da assinatura da clínica. Não recebe dados de pacientes.
• Resend — envio dos emails do sistema (convites, confirmação de conta, recuperação de senha). Não recebe dados de pacientes.
• Sentry — registro de erros técnicos, configurado para não enviar dados pessoais.
• Convênios, escolas e familiares recebem relatórios apenas quando a clínica os gera e envia.

7. Por quanto tempo guardamos

O prontuário é guardado pelo prazo definido pelos conselhos profissionais — no mínimo 5 anos para psicologia (Resolução CFP nº 1/2009) e 20 anos para medicina (Resolução CFM nº 1.821/2007) — contados do último registro. Ao encerrar a assinatura, a clínica pode exportar os dados; depois disso eles ficam guardados apenas pelo prazo legal e então são eliminados.

8. Seus direitos

Pacientes e responsáveis exercem seus direitos (confirmação, acesso, correção, portabilidade, informação sobre compartilhamento, revogação do consentimento) junto à clínica, que é a controladora. A Irvine5k apoia a clínica no atendimento. Profissionais e quem deixou contato podem escrever para privacidade@abaly.app.

9. Segurança

Tráfego sempre criptografado (HTTPS), dados criptografados em repouso, arquivos privados servidos por links que expiram em segundos, isolamento por clínica no banco, registro de auditoria e assinatura com hash do conteúdo. Nenhum sistema é inviolável; em caso de incidente com risco relevante, a clínica e a ANPD são avisadas nos prazos da lei.

10. Encarregado e contato

Encarregado pelo tratamento de dados (DPO) da Irvine5k: privacidade@abaly.app. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

11. Mudanças nesta política

Se a mudança for relevante, avisamos por email ou dentro do sistema antes de ela valer.