Política de privacidad.

1. Quiénes somos

Theravus es una plataforma SaaS dirigida a profesionales de la salud mental (psicólogos, psiquiatras y clínicas). Esta política describe cómo tratamos los datos personales de los usuarios de la plataforma (profesionales) y de los pacientes registrados por ellos, de conformidad con la Ley General de Protección de Datos de Brasil (LGPD — Ley 13.709/2018).

2. Datos que recopilamos

Del profesional: nombre, correo electrónico, teléfono, CRP/CRM, datos de facturación (para la suscripción), registros de uso y acceso.

Del paciente (proporcionados por el profesional): datos de identificación (nombre, CPF, fecha de nacimiento), contacto, datos clínicos (historias clínicas, diagnósticos, prescripciones, sesiones de video, transcripciones, respuestas a cuestionarios). Los datos sensibles de salud mental se tratan con base en el consentimiento del titular y en los fundamentos legales del art. 11 de la LGPD.

3. Cómo usamos sus datos

Utilizamos los datos únicamente para prestar el servicio contratado: programar citas, almacenar historias clínicas, procesar pagos, enviar recordatorios, generar resúmenes/análisis mediante IA (solo con anonimización previa de los identificadores directos) y cumplir obligaciones legales. No vendemos datos a terceros.

4. Con quién compartimos

Solo con encargados del tratamiento necesarios para la prestación del servicio: alojamiento y base de datos (Google Cloud, región de São Paulo), pasarela de pago (Stripe / Mercado Pago / Asaas), envío de correo electrónico (Brevo), WhatsApp (Meta) e IA (Google Gemini en Vertex AI, con anonimización previa). Todos bajo contrato de encargado del tratamiento (art. 39 LGPD) y en cumplimiento de la LGPD.

4.1. Datos de Google (Google Calendar y Google Perfil de Empresa)

Si usted conecta su cuenta de Google, Theravus utiliza la API de Google Calendar únicamente para (a) leer sus horarios ocupados y evitar conflictos entre citas y (b) crear, actualizar y eliminar en su calendario los eventos de las citas programadas en la plataforma; y la API de Google Perfil de Empresa únicamente para mostrar y responder las reseñas de su perfil, cuando usted active esa integración. No leemos el contenido de otros eventos más allá de la fecha, la hora y el estado de disponibilidad.

El uso y la transferencia por parte de Theravus de la información recibida de las API de Google se rigen por la Política de Datos del Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado: estos datos no se venden, no se utilizan con fines publicitarios y no son leídos por personas, salvo con su consentimiento, por motivos de seguridad o por exigencia legal. Usted puede desconectar la cuenta de Google en cualquier momento en Preferencias > Agenda; al desconectarla, los tokens de acceso se eliminan.

5. Conservación

Las historias clínicas, recetas y documentos clínicos se conservan durante el plazo legal de conservación del responsable del tratamiento (profesional o clínica): hasta 20 años después del último registro (Res. CFM 1.821/2007; Res. CFP 001/2009; Ley 13.787/2018). Los datos de suscripción y facturación se conservan durante el plazo tributario (5 años). Los registros de acceso se conservan durante 6 meses (Marco Civil, art. 15) y la pista de auditoría durante 5 años. La tabla completa está en la Política de conservación (en portugués).

5.1. Eliminación de cuenta y custodia

Eliminar la cuenta no es lo mismo que borrarlo todo. Al solicitar la eliminación (en la app, en el panel o en theravus.app/excluir-conta, sin necesidad de la app), usted lee un término que indica exactamente qué sucede con cada tipo de dato, confirma su identidad y programa la eliminación. Esta se ejecuta 7 días después; hasta entonces puede cancelarla mediante el enlace enviado por correo electrónico.

• Paciente: se elimina la cuenta de acceso (inicio de sesión, contraseña, biometría, sesiones). Los registros clínicos permanecen con el profesional o la clínica que lo atiende, que está obligado por ley a conservarlos; la solicitud de eliminación de esos datos se remite a su encargado de protección de datos (DPO), que responde en un plazo de hasta 15 días.
• Profesional: se eliminan el contacto, el CPF, la foto, las credenciales y las sesiones. El nombre y el registro profesional (CRP/CRM) permanecen únicamente como autoría de los registros clínicos que usted firmó. Si usted está vinculado a una clínica, esta decide la desvinculación en un plazo de hasta 15 días (es la responsable del tratamiento de los datos y la responsable de su registro); sin respuesta, la solicitud se remite a nuestro DPO.
• Responsable de clínica o consultorio: cierra la cuenta completa. Se emite una factura final proporcional; las historias clínicas y los documentos fiscales pasan a la Bóveda de Custodia, cifrados, durante el plazo legal, con acceso a través del Portal de Custodia durante 90 días (después, a través del DPO) y con reactivación posible en un plazo de hasta 30 días.

Cada etapa (solicitud, verificación de identidad, aceptación, cancelación, ejecución, acceso a la bóveda) queda registrada en una pista de auditoría inmutable durante 5 años (LGPD art. 37).

6. Sus derechos (art. 18 LGPD)

Usted tiene derecho a: confirmación, acceso, rectificación, anonimización, portabilidad, eliminación, información sobre el intercambio de datos y revocación del consentimiento.

Cómo ejercerlos: en la app o en el panel, en Privacidad → "Exportar mis datos" o "Eliminar mi cuenta"; sin la app, en theravus.app/excluir-conta. O hable con nosotros por WhatsApp o por el canal de contacto del sitio. Responderemos en un plazo de hasta 15 días.

7. Seguridad

Cifrado en tránsito (HTTPS/TLS 1.3), hashes de contraseñas (bcrypt 12 rounds), rotación de tokens de sesión, autenticación de dos factores opcional, pista de auditoría de todas las acciones sensibles, copia de seguridad diaria de la base de datos.

8. Cookies

Utilizamos cookies estrictamente necesarias para mantener su sesión iniciada. No utilizamos cookies publicitarias ni de rastreo de terceros en el panel del profesional. En el sitio público, utilizamos cookies de medición de audiencia (Google Analytics), que solo se cargan si usted acepta esa categoría. Usted puede gestionar sus preferencias en el banner que aparece en su primera visita.

9. Encargado de protección de datos (DPO)

De conformidad con el art. 41 LGPD, nuestro encargado de protección de datos es Julio Cesar Amorim. Contacto: WhatsApp o por el canal de contacto del sitio.

10. Modificaciones

Podemos actualizar esta política. Las modificaciones sustanciales se notifican por correo electrónico con 30 días de antelación.