Esta Política descreve como a BespokeTech trata os dados pessoais relacionados ao uso da plataforma EloSessão, em conformidade com a Lei nº 13.709/2018 (LGPD).
O EloSessão é uma plataforma de gestão de consultório para profissionais de saúde mental, desenvolvida e operada pela BespokeTech ("BespokeTech", "nós"), sediada no Brasil. Para questões relativas a privacidade e proteção de dados, mantemos canal de comunicação dedicado, conforme indicado ao final desta Política.
A LGPD diferencia três figuras relevantes: o titular dos dados (a pessoa natural a quem os dados se referem), o controlador (quem decide as finalidades e meios essenciais do tratamento) e o operador (quem trata os dados em nome do controlador, conforme suas instruções).
Quando uma profissional (psicóloga ou outro profissional de saúde mental, doravante "Profissional") utiliza o EloSessão para tratar dados pessoais de seus pacientes (cadastro, histórico clínico, anotações, dados financeiros e operacionais relacionados ao atendimento), a Profissional atua como controladora desses dados e a BespokeTech atua como operadora, processando-os em nome dela e de acordo com a relação contratual estabelecida.
Independente da relação acima, a BespokeTech é controladora autônoma de dados pessoais tratados para fins próprios da operação da plataforma, tais como:
Para esses tratamentos, a BespokeTech determina as finalidades e meios, observados os direitos do titular e as bases legais aplicáveis.
Os dados de paciente são inseridos exclusivamente pela Profissional, que é a controladora destes dados. Podem incluir:
O tratamento de dados pessoais ocorre com fundamento nas seguintes bases legais previstas na LGPD:
| Finalidade | Base legal (LGPD) |
|---|---|
| Execução do contrato com a Profissional (acesso à plataforma, suporte, billing) | Art. 7º, V — execução de contrato |
| Cumprimento de obrigações legais e fiscais aplicáveis à BespokeTech | Art. 7º, II — obrigação legal ou regulatória |
| Prevenção a fraudes, segurança da informação e integridade do serviço | Art. 7º, IX — legítimo interesse |
| Comunicações sobre o serviço (transacionais e operacionais) | Art. 7º, V — execução de contrato |
| Comunicações de marketing e novidades (opcionais) | Art. 7º, I — consentimento |
| Tratamento de dados de saúde de pacientes (em nome da Profissional) | Art. 11, II, "a" ou "f" — conforme aplicável à atividade da Profissional |
A BespokeTech não comercializa dados pessoais. O compartilhamento ocorre apenas quando necessário à prestação do serviço, ao cumprimento de obrigações legais ou mediante consentimento, sempre com terceiros que ofereçam garantias adequadas de proteção de dados.
Utilizamos os seguintes parceiros operacionais (subprocessadores) na prestação do serviço. A lista pode ser atualizada conforme necessário, mantida atualizada nesta página.
| Parceiro | Finalidade | Tratamento |
|---|---|---|
| Oracle Cloud / Coolify | Hospedagem da aplicação e banco de dados | Armazenamento criptografado em repouso, infraestrutura no Brasil |
| Asaas | Processamento de cobranças e pagamentos | Dados financeiros da Profissional |
| Resend (e-mail transacional) | Envio de e-mails operacionais e notificações | E-mail da Profissional e mensagens transacionais |
| Meta (WhatsApp Cloud API) / Evolution API | Envio de lembretes e notificações via WhatsApp | Telefone do paciente (em nome da Profissional), mensagens |
| Telegram (opcional, configurável) | Notificações ao profissional | Apenas quando a Profissional habilita o canal |
| Google (Calendar API, opcional) | Sincronização da agenda com o Google Calendar, quando ativada pela Profissional | Data e horário do atendimento; o nome do paciente apenas se a Profissional optar expressamente por incluí-lo no título do evento |
Podemos compartilhar dados com autoridades competentes mediante requisição legal válida, ordem judicial ou para defesa de direitos em processos administrativos ou judiciais.
A infraestrutura principal está hospedada em território nacional. Eventuais transferências internacionais (por exemplo, para serviços auxiliares de e-mail ou comunicação) ocorrem apenas para países que ofereçam grau de proteção adequado ou mediante salvaguardas previstas no Art. 33 da LGPD. Detalhamos os subprocessadores no item anterior.
Adotamos medidas técnicas e organizacionais para proteger dados pessoais contra acesso não autorizado, perda, alteração ou divulgação indevida. Entre elas:
Nenhum sistema é absolutamente imune a riscos. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável, na forma do Art. 48 da LGPD.
Os dados são mantidos pelo tempo necessário ao cumprimento das finalidades para as quais foram coletados. Após o término da relação contratual, ou mediante solicitação válida da Profissional ou do titular, os dados são eliminados ou anonimizados, exceto quando a manutenção for exigida por obrigação legal, regulatória ou para o exercício regular de direitos em processo administrativo ou judicial.
Para conta encerrada ou expirada após o período de teste, mantemos os dados por janela limitada para permitir reativação ou exportação, conforme detalhado nos Termos de Uso.
O titular dos dados pode exercer os direitos abaixo a qualquer tempo, mediante solicitação ao canal de privacidade indicado nesta Política. Para os dados tratados pela Profissional (controladora), o titular deve dirigir-se primeiramente a ela; quando o pedido envolver tratamento próprio da BespokeTech, atenderemos diretamente.
Atenderemos as solicitações em prazo razoável, conforme exigência legal. Em situações excepcionais, prazos adicionais podem ser necessários para conferência de identidade ou complexidade do pedido.
Utilizamos cookies estritamente necessários ao funcionamento da plataforma (autenticação, sessão, segurança). Esses cookies não exigem consentimento porque sua finalidade é técnica e essencial.
Eventuais cookies analíticos ou de funcionalidades opcionais, quando aplicáveis, são acionados apenas mediante consentimento prévio do usuário.
O EloSessão é destinado a profissionais maiores de 18 anos. Quando a Profissional, na condição de controladora, registrar dados de pacientes menores de idade, é sua responsabilidade obter o consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal, conforme Art. 14 da LGPD e demais normas aplicáveis.
O Encarregado pelo Tratamento de Dados Pessoais da BespokeTech, designado nos termos do art. 41 da LGPD e da Resolução CD/ANPD nº 18/2024, é Joabh de Queiroz Souza e Souza. Titulares de dados e a ANPD podem contatá-lo pelo endereço privacidade@elosessao.com.br para exercer direitos, esclarecer dúvidas sobre o tratamento de dados pessoais ou comunicar incidentes. Solicitações de titulares são respondidas nos prazos previstos na LGPD.
Tratamos dados pessoais sensíveis (áudio e transcrição de sessões de saúde mental) exclusivamente para fins de apoio ao registro clínico, mediante consentimento específico do titular.
Os dados processados pela funcionalidade Sessão IA são transferidos para os Estados Unidos da América. Esta transferência é fundamentada no Art. 33 da LGPD, amparada por Cláusulas-Padrão Contratuais e Data Processing Addendum (DPA) que garantem nível de proteção adequado aos dados pessoais brasileiros.
Garantimos contratualmente junto ao sub-operador que os dados trafegados via API não são utilizados para treinamento de modelos de inteligência artificial generativa públicos.
Esta Política pode ser atualizada periodicamente. Alterações materiais serão comunicadas com antecedência mínima de 15 (quinze) dias por e-mail ou pela própria plataforma, podendo, conforme o caso, exigir novo aceite. O histórico de versões é mantido e a versão vigente é sempre identificada no topo da Política.