Política de Privacidade — eccasos.

Esta Política de Privacidade descreve como o eccasos. — operado por FLAMARION COELHO PSICANÁLISE LTDA, CNPJ 59.428.241/0001-89 — coleta, utiliza, armazena e protege os dados pessoais dos usuários, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei n.º 13.709/2018).

1. DEFINIÇÕES E POSIÇÃO JURÍDICA

1.1. Para os fins desta Política:

USUÁRIO é o profissional de saúde mental que contrata e utiliza a plataforma. É o controlador dos dados de seus pacientes.

eccasos. é o operador dos dados clínicos inseridos pelo USUÁRIO, processando-os exclusivamente para viabilizar a prestação do serviço.

eccasos. é o controlador dos dados de cadastro do próprio USUÁRIO (nome, CPF, RG, endereço, telefone, e-mail e dados de pagamento).

2. DADOS COLETADOS

2.1. Dados do USUÁRIO — controlados pelo eccasos.:

• Nome completo, CPF e RG
• Endereço completo com CEP
• Telefone e e-mail
• Dados de pagamento (processados por terceiro — Stripe)
• Data e hora de acesso
• Logs de uso da plataforma

Os dados cadastrais são utilizados, entre outras finalidades, para emissão de notas fiscais.

2.2. Dados inseridos pelo USUÁRIO — controlados pelo USUÁRIO:

• Conteúdo clínico de casos: queixas, histórico, formulações, raciocínio clínico, supervisões e demais informações relativas a pacientes.

Esses dados são considerados dados de saúde, categoria especial nos termos do art. 11 da LGPD. O eccasos. os processa exclusivamente como operador, sob instrução do USUÁRIO.

3. FINALIDADE E BASE LEGAL

4. COMPARTILHAMENTO DE DADOS

4.1. O eccasos. não vende, cede ou compartilha dados do USUÁRIO com terceiros para fins comerciais.

4.2. Dados podem ser compartilhados com:

• Processador de pagamentos (Stripe): dados de pagamento, para viabilizar a cobrança;
• Provedor de infraestrutura (Supabase, Cloudflare): armazenamento, autenticação, rede e execução em ambiente seguro;
• Autoridades competentes: quando exigido por lei, ordem judicial ou requisição formal de autoridade.

4.3. Uso de Inteligência Artificial. A plataforma não utiliza inteligência artificial generativa para processar, analisar ou sugerir conteúdo clínico inserido pelo USUÁRIO. Nenhum dado clínico de pacientes (queixas, histórico, formulações, supervisões ou qualquer texto registrado nos casos) é enviado a provedores de modelos de IA. Ferramentas de IA eventualmente presentes na interface administrativa interna do eccasos. (uso restrito da equipe da empresa) operam exclusivamente sobre dados operacionais — métricas agregadas, suporte, infraestrutura — sem acesso ao conteúdo clínico dos casos.

5. RETENÇÃO E EXCLUSÃO DE DADOS

5.1. Dados de cadastro do USUÁRIO: mantidos enquanto a conta estiver ativa. Após o encerramento, observam-se prazos distintos conforme a natureza do dado: (a) dados fiscais e contábeis (notas fiscais, faturas e registros tributários correlatos) — retidos pelo prazo de até 5 (cinco) anos, em razão da decadência tributária (art. 173, I, do CTN) e da prescrição da pretensão fiscal (art. 174 do CTN); (b) dados contratuais e de identificação (cadastro, logs de aceite e registros de execução do contrato) — retidos pelo prazo de até 10 (dez) anos, em razão do prazo prescricional civil ordinário (art. 205 do Código Civil).

5.2. Conteúdo clínico: mantido enquanto a assinatura estiver ativa. Em caso de cancelamento, permanece disponível para exportação por 30 (trinta) dias a contar da data do cancelamento, após os quais poderá ser excluído dos servidores ativos mediante solicitação do USUÁRIO ou rotina interna de purge. O USUÁRIO pode, a qualquer tempo durante esse período, exportar PDFs ou solicitar exclusão imediata via Conta → Segurança.

5.3. Exclusão definitiva pelo titular (LGPD art. 18, VI). O USUÁRIO pode, a qualquer momento, em Conta → Segurança → Excluir minha conta, solicitar exclusão definitiva e irreversível. A operação, após reautenticação por senha:

• (a) imediatamente cancela assinaturas Stripe ativas e apaga, da base ativa, todos os casos, supervisões, registros de auditoria clínica (case_audit), perfil, dados de uso e usuário de autenticação;
• (b) registra, em tabela segregada de eventos de conta (account_events), um marcador pseudonimizado da exclusão — contendo apenas hash SHA-256 do identificador interno e do e-mail, data/hora e contagens, sem qualquer conteúdo clínico — para fins de prova de cumprimento da própria solicitação de exclusão, nos termos do art. 16 da LGPD;
• (c) preserva, em sistemas separados, apenas (i) os registros fiscais e contábeis exigidos por obrigação legal (notas fiscais emitidas, faturas no processador de pagamentos), pelo prazo legal aplicável, e (ii) o registro pseudonimizado descrito em (b). Nenhum desses preserva conteúdo clínico de pacientes.

5.4. Backups técnicos. A exclusão remove os dados da base ativa imediatamente. Por exigência operacional de continuidade do serviço, o provedor de infraestrutura mantém backups técnicos rotativos com retenção máxima de 7 (sete) dias. Dados apagados podem, portanto, permanecer cifrados nessas janelas de backup até a expiração automática, após a qual são definitivamente sobrescritos. Restaurações de backup só ocorrem em caso de incidente de continuidade, jamais para reverter exclusões solicitadas pelo titular.

5.5. Não há período de "lixeira" na interface — recomendamos exportar PDFs antes da exclusão.

5.6. O USUÁRIO é o único responsável pela guarda dos prontuários de seus pacientes perante os conselhos de classe. O eccasos. recomenda exportações periódicas.

6. SEGURANÇA

6.1. O eccasos. adota medidas técnicas de segurança incluindo: criptografia em trânsito (HTTPS/TLS) e em repouso; isolamento de dados por Row-Level Security em nível de banco (cada usuário só consegue ler suas próprias linhas, validado por testes automatizados); autenticação JWT validada server-side em toda requisição; verificação em duas etapas (TOTP) opcional disponível em Segurança da conta; webhooks de pagamento validados com comparação cripto-segura (timing-safe); redirects de pagamento restritos a allowlist; chave de serviço (service role) isolada do navegador.

6.2. Registro de atividade (audit log). A plataforma registra automaticamente metadados de eventos sensíveis — criação, atualização e exclusão de casos; exportação de PDF; login e ativação/remoção de MFA — em tabela append-only acessível ao próprio usuário em Segurança da conta. O registro guarda apenas metadados (quais chaves mudaram, contagens, formato), nunca conteúdo clínico (nomes, relatos, texto dos casos).

6.3. Limites operacionais. Para proteção contra abuso, vigoram limites por usuário: criação de casos (60/hora) e exportação de PDF (30/hora). Payloads de casos limitados a 500 KB por campo (dados e supervisões) para evitar degradação. Mensagens de erro claras são exibidas ao atingir qualquer limite.

6.4. O acesso ao conteúdo clínico por equipe interna do eccasos. somente ocorrerá nas hipóteses de: suporte solicitado pelo USUÁRIO; investigação de incidente de segurança; manutenção técnica indispensável; ou cumprimento de obrigação legal.

6.5. Backups. O banco de dados é replicado em backups técnicos rotativos pelo provedor de infraestrutura, com retenção máxima de 7 (sete) dias. Após a exclusão definitiva (cláusula 5.3), os dados são removidos imediatamente da base ativa; cópias residuais cifradas em backup expiram automaticamente em até 7 dias e não são restauradas para reverter exclusões solicitadas pelo titular. Solicitações de restauração em caso de incidente de continuidade devem ser dirigidas ao DPO.

7. DIREITOS DO TITULAR

O USUÁRIO, na qualidade de titular de seus dados de cadastro, pode a qualquer tempo:

• Confirmar a existência de tratamento;
• Acessar seus dados;
• Corrigir dados incompletos ou desatualizados;
• Solicitar a portabilidade ou exclusão de seus dados;
• Revogar consentimento.

Solicitações devem ser enviadas para contato@eccasos.com.br.

8. COOKIES

8.1. A plataforma pode utilizar cookies técnicos essenciais para funcionamento do sistema de autenticação e sessão. Não são utilizados cookies de rastreamento para fins publicitários.

9. ENCARREGADO DE DADOS (DPO)

Em cumprimento ao art. 41 da LGPD, fica indicada como Encarregada pelo Tratamento de Dados Pessoais:

Marianna Flamarion
E-mail do Encarregado: dpo@eccasos.com.br
Contato geral de privacidade: contato@eccasos.com.br

Solicitações de titulares (acesso, correção, exclusão, portabilidade, revogação) serão respondidas em até 15 (quinze) dias.

10. INCIDENTES DE SEGURANÇA

10.1. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o eccasos. comunicará a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável, observando a orientação da ANPD de comunicação preferencialmente em até 3 (três) dias úteis, nos termos do art. 48 da LGPD.

10.2. A comunicação conterá, no mínimo: descrição da natureza dos dados afetados; informações sobre os titulares envolvidos; medidas técnicas e de segurança utilizadas; riscos relacionados; e medidas adotadas para reverter ou mitigar efeitos.

11. TRANSFERÊNCIA INTERNACIONAL DE DADOS

11.1. Parte dos subprocessadores (notadamente provedores de infraestrutura) pode armazenar ou processar dados fora do território nacional. Tais transferências observam o art. 33 da LGPD, mediante cláusulas contratuais específicas, certificações ou garantias equivalentes.

12. DADOS DE CRIANÇAS E ADOLESCENTES

12.1. O eccasos. não é destinado ao tratamento direto de dados de menores. Caso o USUÁRIO, no exercício clínico, registre informações de paciente menor de idade, declara possuir o consentimento específico e em destaque de ao menos um dos pais ou responsável legal, conforme art. 14 da LGPD.

13. SUBPROCESSADORES

13.1. Para a prestação do serviço, o eccasos. utiliza, entre outros: Stripe (pagamentos), Supabase (banco de dados e autenticação), Cloudflare (CDN, segurança e execução serverless) e Resend (envio de e-mails transacionais — confirmação de cadastro, recuperação de senha, notificações de conta e cobrança; recebe nome e e-mail do USUÁRIO). Alterações materiais relativas a categorias especiais de dados serão comunicadas previamente.

14. DIREITOS DOS TITULARES-PACIENTES

14.1. Os direitos previstos no art. 18 da LGPD relativos a dados de pacientes devem ser exercidos perante o USUÁRIO-controlador. O eccasos., como operador, prestará suporte técnico razoável para atendimento dessas solicitações, observando suas obrigações de sigilo.