Confiança

Segurança, sigilo e LGPD

Você vai colocar prontuário aqui dentro. Esta página existe para você saber exatamente o que acontece com esse dado — em português, sem parágrafo institucional.

Quem responde pelo quê

Prontuário psicológico é dado pessoal sensível de saúde (art. 5º, II, c/c art. 11). Isso não é um detalhe de rodapé: é a categoria de proteção mais alta da lei, e molda como o sistema foi construído.

O que fazemos

Criptografia

Tudo trafega por TLS e é armazenado criptografado. Os tokens de acesso à sua Conta do Google ficam criptografados em campo dedicado, nunca em texto legível.

Isolamento por conta

Os dados de um profissional não alcançam outro. A separação é garantida na aplicação e também na camada do banco de dados, com regras de linha — de modo que uma falha de código não seja suficiente para vazar dado entre contas.

Registro de acesso

Abrir uma evolução ou uma anamnese fica registrado, com quem abriu e quando. Isso serve para auditoria e para responder pedidos de titulares previstos na LGPD.

E listar não conta como ler. A linha do tempo do paciente mostra a data e o resumo de uma linha que você mesma escreveu; abrir a ficha não abre o prontuário. Se listar contasse, o registro encheria de acessos que não aconteceram — e deixaria de servir para encontrar os que aconteceram.

Separação entre administrativo e clínico

Dado administrativo (contato, valor, presença) e conteúdo clínico (evolução, hipóteses) vivem separados no sistema. Relatórios, exportações administrativas e mensagens ao paciente enxergam apenas o primeiro.

Sigilo nas mensagens

O que já funciona: a oferta de horário vago. Quando você cancela uma sessão, a Lenia mostra quem da lista de espera cabe naquele horário e escreve a mensagem. Ela nunca menciona que houve cancelamento, nem qualquer dado de outro paciente — quem desmarcou também é paciente, e o horário dele é dado sobre ele. O texto aparece na tela, inteiro, antes de você copiar: não existe envio automático.

O que ainda não existe: confirmação, lembrete de véspera e de duas horas antes em construção. Quando existirem, valerão as mesmas regras — nenhum modelo com conteúdo de sessão, e uma tela de conferência com o texto final antes de qualquer envio.

A distinção está aqui de propósito. Uma página que promete transparência não pode descrever no presente o que ainda não foi escrito.

Um link por sessão, e por que isso é sigilo

Quem atende online sem um sistema costuma gerar o link à mão — abrir o Meet, criar uma sala, copiar, colar na conversa. Numa agenda cheia isso vira uma sequência repetida várias vezes por dia, sempre igual, sempre correndo.

E é dali que sai o link errado. Não por descuido: porque um link avulso não tem dono. Ele fica na conversa antiga, encaminhável, e num dia apertado é mais rápido reaproveitar o de ontem do que gerar outro. Quando isso dá errado, o resultado não é um contratempo de agenda — é alguém entrando na sala de outra pessoa.

Na Lenia o link nasce da sessão: cada sessão marcada gera a sua sala, e a mensagem que você envia é montada a partir daquela sessão — o nome, o horário e o link vêm juntos, da mesma linha. Não existe link avulso para escolher errado, e não há passo em que o link de uma pessoa possa acabar na conversa de outra.

Onde os seus dados ficam

No Brasil. O banco de dados fica em São Paulo, e desde 2 de setembro de 2026 a aplicação também executa em São Paulo — antes ela rodava nos Estados Unidos e consultava o banco daqui, o que fazia o dado clínico atravessar a fronteira a cada requisição.

A diferença entre armazenar e processar no Brasil é sutil no texto e concreta no caminho do dado. Corrigimos porque o contrato promete território brasileiro para dado clínico, e promessa que depende de configuração precisa ser conferida, não suposta.

A lista de convites do site é a exceção declarada: ela usa um serviço de e-mail sediado fora do Brasil, guarda apenas endereços de e-mail de quem pediu convite, enão tem acesso a nenhum dado de paciente. Está descrito naPolítica de Privacidade.

Sigilo no seu Google Calendar

O evento criado na sua agenda leva, por padrão, apenas o primeiro nome ou as iniciais do paciente — configurável por você. A agenda do Google não é um ambiente sob nosso controle, e conteúdo clínico não vai para lá em nenhuma hipótese.

O que não fazemos

• Não vendemos dados, nem os cedemos para publicidade ou perfilamento.
• Não usamos prontuário para treinar modelos de IA, próprios ou de terceiros.
• Não lemos sua agenda do Google. Criamos e atualizamos os eventos das sessões marcadas na Lenia; eventos criados por você fora do sistema não são lidos nem copiados.
• Não bloqueamos seu acesso aos seus dados se você cancelar.
• Não acessamos conteúdo clínico a não ser que você peça suporte sobre um registro específico — e, quando isso acontece, fica registrado.

Seus dados saem com você

Quando a cobrança existir, o cancelamento manterá 90 dias de acesso somente-leitura para você exportar o que precisar. Isso não é cortesia: a portabilidade é direito do titular (LGPD, art. 18), e a guarda do registro documental pelo prazo da Resolução CFP nº 001/2009 — no mínimo cinco anos, e mais quando a lei ou um juiz mandar (art. 4º, § 1º) — é obrigação sua. Obstruir esse acesso seria, além de má-fé, ilegal.

Escrito no futuro porque ainda não existe cobrança nem cancelamento: a Lenia está em beta fechado e ninguém paga. A exportação, essa sim, já funciona hoje e a qualquer momento, sem depender de nada disso.

Conexão com o Google

A autorização usa OAuth, o padrão oficial do Google. A Lenia nunca vê nem armazena sua senha. Você revoga o acesso quando quiser emmyaccount.google.com/permissions, e a Lenia continua funcionando sem ele — apenas deixa de criar eventos e links do Meet.

O detalhamento de cada permissão está naPolítica de Privacidade.

Normas que seguimos

Se algo der errado

Em caso de incidente de segurança com risco relevante aos titulares, avisamos você e a ANPD nos prazos da LGPD, com o que aconteceu, quais dados foram afetados e o que estamos fazendo. Sem eufemismo e sem demora.

Falar sobre segurança

Dúvidas, pedidos de titular ou relato de vulnerabilidade:contato@lenia.com.br. Pesquisadores de segurança são bem-vindos e não serão importunados por reportar de boa-fé.