Política de Privacidade

1. Quem é responsável pelo tratamento

Para os seus dados de conta (se você é profissional ou centro com conta na Nerela — nome, email, dados de faturamento da sua assinatura), o responsável pelo tratamento é a LAGASTROEMIA VENTURES OÜ, com sede em Sakala tn 7-2, Kesklinna linnaosa, 10141 Tallinn, Estônia, número de identificação para fins de IVA EE102418024. Você pode entrar em contato conosco para qualquer questão de proteção de dados pelo email ola@nerela.eu.

Para os dados dos pacientes que um profissional insere no Aplicativo (ficha do paciente, anotações de sessão, agendamentos), o responsável pelo tratamento é o próprio profissional ou centro — é ele quem decide quais dados coleta e para quê. A Nerela atua aqui como subcontratante (encarregado do tratamento), processando esses dados só para prestar o serviço e seguindo as instruções do profissional, nunca para fins próprios.

2. Quais dados tratamos

• Dados de conta do profissional: nome, email, telefone, tipo de conta (independente/centro), idioma preferido.
• Dados de faturamento da assinatura: NIF, endereço fiscal, IBAN (para o seu próprio plano Nerela).
• Dados de pacientes inseridos pelo profissional: nome, contato (email/telefone), endereço, dados de agendamentos e — na categoria mais sensível — anotações clínicas de sessão.
• Dados técnicos mínimos: registros de acesso e erros do servidor, com o scrubbing descrito na seção 9.

3. Dados de saúde: base legal e cuidado especial

As anotações de sessão e qualquer informação clínica são "categorias especiais de dados" nos termos do artigo 9.º do RGPD. O profissional (responsável pelo tratamento perante o seu paciente) é quem precisa assegurar uma base legal válida — tipicamente o consentimento explícito do paciente ou a necessidade do próprio acompanhamento terapêutico (artigo 9.º, n.º 2, alíneas a) ou h)).

Do nosso lado, protegemos esses dados com isolamento técnico por profissional (Row Level Security no Supabase — cada profissional só consegue acessar, no nível do banco de dados, os seus próprios pacientes) e com a política de scrubbing no monitoramento de erros descrita na seção 9.

4. Finalidades e base legal do tratamento

• Prestar o serviço (agenda, fichas, anotações, faturamento, agendamento online) — execução do contrato com você.
• Processar a sua assinatura e o seu faturamento — execução do contrato e cumprimento de obrigações legais fiscais.
• Enviar lembretes de consulta por email/WhatsApp aos pacientes, a pedido do profissional — execução do contrato entre o profissional e o paciente, por meio da Nerela como subcontratante.
• Segurança e detecção de erros — interesse legítimo em manter o serviço funcionando de forma confiável e segura, com scrubbing de dados pessoais (seção 9).

5. Por quanto tempo conservamos os dados

Enquanto a sua conta estiver ativa, conservamos os dados necessários para prestar o serviço. Depois que você cancelar, nós os excluímos ou anonimizamos em um prazo razoável, exceto quando exista uma obrigação legal de conservá-los por mais tempo (por exemplo, a documentação fiscal da sua assinatura).

Os registros clínicos dos seus pacientes têm prazos de conservação próprios, fixados pela lei e pelas regras da sua ordem profissional. Como responsável pelo tratamento desses dados, é você quem precisa cumprir esses prazos: se precisar conservar informações além da vigência da conta, fale conosco antes de cancelar (ola@nerela.eu).

6. Com quem compartilhamos dados (subencarregados)

Não vendemos dados a ninguém. Compartilhamos dados apenas com os prestadores necessários para operar o serviço, todos com o seu próprio compromisso de proteção de dados — veja a tabela no final desta página.

7. Transferências internacionais

Os seus dados clínicos — pacientes, consultas e anotações de sessão — são armazenados e processados dentro do Espaço Econômico Europeu: o Supabase (banco de dados, autenticação e arquivos) está hospedado na região UE de Paris, e a Vercel, a Resend e a Twilio processam dentro da UE/EEE para este serviço, com base nos respectivos compromissos contratuais de proteção de dados.

Existem, sim, duas transferências para os Estados Unidos, e preferimos dizer isso com clareza em vez de afirmar que não há nenhuma. A primeira é a Stripe, que cobra a sua assinatura e, se você ativar, os pagamentos por cartão dos seus pacientes. A segunda só acontece se você ativar a Secretária Virtual: o modelo de IA que escreve as respostas de WhatsApp precisa ler as mensagens dessa conversa. Ambas estão amparadas pelas Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia. Nenhuma delas toca as suas anotações de sessão.

Se você não ativar a Secretária Virtual, a única transferência fora do EEE é a da cobrança da sua própria assinatura.

8. Seus direitos

Se você é profissional com conta na Nerela, ou paciente de um profissional que a usa, você tem direito a acessar, retificar, apagar, limitar o tratamento, se opor, e à portabilidade dos seus dados pessoais. Se você é paciente, a solicitação normalmente deve ser dirigida primeiro ao seu profissional (o responsável pelo tratamento dos seus dados clínicos); nós apoiamos tecnicamente essa solicitação.

Para exercer esses direitos diretamente sobre os dados da sua conta profissional, escreva para ola@nerela.eu. Hoje o Aplicativo ainda não tem um mecanismo de autoatendimento para exportar ou apagar dados — é um item identificado e pendente de construção; até lá, tratamos cada solicitação manualmente por email.

9. Segurança e monitoramento de erros

Os dados em trânsito viajam sempre criptografados (HTTPS/TLS). O isolamento entre profissionais é feito no nível do banco de dados (Row Level Security no Supabase), não só no aplicativo.

Se ativarmos o Sentry (monitoramento de erros), ele está configurado com uma política de privacidade estrita: não enviamos o corpo das requisições, parâmetros de query, cookies de sessão, nem o conteúdo de anotações de sessão. Não usamos gravação de sessão ("session replay") nem qualquer captura visual da tela. Mensagens de erro passam por um filtro que tenta remover automaticamente emails, telefones e números de identificação fiscal antes de saírem do nosso servidor.

10. Menores

A Nerela é uma ferramenta para profissionais, não para uso direto por pacientes menores de idade. Dados de pacientes menores podem ser tratados pelo profissional responsável pelo seu acompanhamento, sob a mesma base legal aplicável à relação terapêutica.

11. Alterações nesta política

Podemos atualizar esta política para refletir mudanças no serviço ou na lei aplicável. Alterações relevantes são comunicadas por email ou por um aviso no Aplicativo.

12. Autoridade de controle

Você tem o direito de apresentar reclamação à autoridade de controle competente — em Portugal, a Comissão Nacional de Proteção de Dados (CNPD); na Espanha, a Agencia Española de Protección de Datos (AEPD) — sem prejuízo de qualquer outra via administrativa ou judicial.

13. Contato

Para qualquer dúvida sobre esta política ou sobre o tratamento dos seus dados, escreva para ola@nerela.eu. Respondemos pelo mesmo endereço indicado na seção 1.