Política de Privacidade

1. Quem é responsável pelo tratamento

Para os seus dados de conta (se você é profissional ou centro com conta na Nerela — nome, email, dados de faturamento da sua assinatura) e para os dados de quem visita os nossos sites (nerela.eu e nerela.lat), o responsável pelo tratamento é a LAGASTROEMIA VENTURES OÜ, com sede em Sakala tn 7-2, Kesklinna linnaosa, 10141 Tallinn, Estônia, número de identificação para fins de IVA EE102418024. Você pode entrar em contato conosco para qualquer questão de proteção de dados pelo email admin@nerela.eu.

Para os dados dos pacientes que um profissional insere no Aplicativo (ficha do paciente, anotações de sessão, agendamentos), o responsável pelo tratamento é o próprio profissional ou centro — é ele quem decide quais dados coleta e para quê. A Nerela atua aqui como subcontratante (encarregado do tratamento), processando esses dados só para prestar o serviço e seguindo as instruções do profissional, nunca para fins próprios.

2. Quais dados tratamos

• Dados de conta do profissional: nome, email, telefone, tipo de conta (independente/centro), idioma preferido.
• Dados de faturamento da assinatura: NIF, endereço fiscal, IBAN (para o seu próprio plano Nerela).
• Dados de pacientes inseridos pelo profissional: nome, contato (email/telefone), endereço, dados de agendamentos e — na categoria mais sensível — anotações clínicas de sessão.
• Dados técnicos mínimos: registros de acesso e erros do servidor, com o scrubbing descrito na seção 9.
• Dados de quem visita os nossos sites (nerela.eu e nerela.lat): a campanha ou o link de onde você chega e, só se você aceitar a publicidade, identificadores do navegador e eventos da visita (ver a página, clicar no botão de cadastro ou no do WhatsApp), conforme a seção 11.
• Somente se você aceitou os cookies de marketing no nosso site público: os dados que enviamos à Meta quando você cria sua conta (seu email e seu telefone convertidos em uma impressão irreversível — um hash SHA-256 —, seu endereço IP, o agente de usuário do seu navegador e os identificadores da Meta do seu navegador e do seu clique). Eles não incluem nenhum dado de pacientes.

3. Dados de saúde: base legal e cuidado especial

As anotações de sessão e qualquer informação clínica são "categorias especiais de dados" nos termos do artigo 9.º do RGPD. O profissional (responsável pelo tratamento perante o seu paciente) é quem precisa assegurar uma base legal válida — tipicamente o consentimento explícito do paciente ou a necessidade do próprio acompanhamento terapêutico (artigo 9.º, n.º 2, alíneas a) ou h)).

Do nosso lado, protegemos esses dados com isolamento técnico por profissional (Row Level Security no Supabase — cada profissional só consegue acessar, no nível do banco de dados, os seus próprios pacientes) e com a política de scrubbing no monitoramento de erros descrita na seção 9.

4. Finalidades e base legal do tratamento

• Prestar o serviço (agenda, fichas, anotações, faturamento, agendamento online) — execução do contrato com você.
• Processar a sua assinatura e o seu faturamento — execução do contrato e cumprimento de obrigações legais fiscais.
• Enviar lembretes de consulta por email/WhatsApp aos pacientes, a pedido do profissional — execução do contrato entre o profissional e o paciente, por meio da Nerela como subcontratante.
• Segurança e detecção de erros — interesse legítimo em manter o serviço funcionando de forma confiável e segura, com scrubbing de dados pessoais (seção 9).
• Medir e otimizar os nossos anúncios no Google e na Meta — o seu consentimento (artigo 6.º, n.º 1, alínea a) do RGPD e, quanto aos cookies, as regras de ePrivacy), que você pode retirar a qualquer momento no link «Cookies» do rodapé do site.
• Saber de qual campanha ou link vem cada cadastro, com os cookies de medição própria descritos na Política de Cookies — interesse legítimo em medir a eficácia da nossa própria publicidade sem compartilhar esses dados com terceiros.

5. Por quanto tempo conservamos os dados

Enquanto a sua conta estiver ativa, conservamos os dados necessários para prestar o serviço. Depois que você cancelar, nós os excluímos ou anonimizamos em um prazo razoável, exceto quando exista uma obrigação legal de conservá-los por mais tempo (por exemplo, a documentação fiscal da sua assinatura).

Os registros clínicos dos seus pacientes têm prazos de conservação próprios, fixados pela lei e pelas regras da sua ordem profissional. Como responsável pelo tratamento desses dados, é você quem precisa cumprir esses prazos: se precisar conservar informações além da vigência da conta, fale conosco antes de cancelar (admin@nerela.eu).

6. Com quem compartilhamos dados (subencarregados)

Não vendemos dados a ninguém. Compartilhamos dados apenas com os prestadores necessários para operar o serviço, todos com o seu próprio compromisso de proteção de dados — veja a tabela no final desta página. A Meta não é subcontratante e por isso não consta da tabela: se você aceitar a publicidade no site, ela recebe os dados do pixel como responsável pelo tratamento (seção 11).

7. Transferências internacionais

Os dados clínicos que você registra na Nerela — fichas dos pacientes, consultas, anotações de sessão e imagens anexadas — ficam no Supabase (banco de dados, autenticação e arquivos), na região da UE de Paris, França (eu-west-3). O código do servidor do Aplicativo roda na Vercel, também em Paris (região cdg1); os recursos estáticos e o roteamento das requisições passam pela rede global da Vercel.

Alguns prestadores tratam dados nos Estados Unidos, e preferimos dizer isso com clareza em vez de afirmar que não há nenhum. A Resend envia os emails do Aplicativo (lembretes e convites de consulta, faturas, relatórios para o seu contador e avisos para você) e trata esses dados nos Estados Unidos. A Twilio só participa se você usar o WhatsApp (lembretes por WhatsApp ou Secretária Virtual) e trata as mensagens nos Estados Unidos, a sua região padrão. A Stripe cobra a sua assinatura e, se você ativar, os pagamentos por cartão dos seus pacientes, a partir da Irlanda e com transferências para os Estados Unidos. A Anthropic só participa se você ativar a Secretária Virtual: o modelo de IA que escreve as respostas de WhatsApp precisa ler as mensagens dessa conversa. Nenhum desses prestadores recebe as suas anotações de sessão.

Se ativarmos o monitoramento de erros (Sentry), os relatórios de erro, filtrados antes de saírem do nosso servidor (seção 9), podem ser tratados nos Estados Unidos, conforme a região do projeto. Cada transferência para fora do EEE se apoia em uma garantia do capítulo V do RGPD — o Quadro de Privacidade de Dados UE-EUA ou as Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia —, indicada na tabela no final desta página.

Se você aceitar a publicidade no site, a Meta Platforms Ireland Limited (Irlanda) recebe os dados do pixel da Meta (seção 11) e pode transferi-los para os Estados Unidos, com uma garantia do capítulo V do RGPD: o Quadro de Privacidade de Dados UE-EUA ou as Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia.

8. Seus direitos

Se você é profissional com conta na Nerela, ou paciente de um profissional que a usa, você tem direito a acessar, retificar, apagar, limitar o tratamento, se opor, e à portabilidade dos seus dados pessoais. Se você é paciente, a solicitação normalmente deve ser dirigida primeiro ao seu profissional (o responsável pelo tratamento dos seus dados clínicos); nós apoiamos tecnicamente essa solicitação.

Para exercer esses direitos sobre os dados da sua conta profissional, escreva para admin@nerela.eu. Os dados dos seus pacientes você pode consultar, corrigir e excluir diretamente no Aplicativo. Para a portabilidade, você pode exportar os dados em Configurações, na seção de privacidade e dados, quando essa opção estiver disponível na sua conta, ou nos pedir uma cópia pelo admin@nerela.eu, que enviamos em até 30 dias, em um formato estruturado e de uso corrente.

9. Segurança e monitoramento de erros

Os dados em trânsito viajam sempre criptografados (HTTPS/TLS). O isolamento entre profissionais é feito no nível do banco de dados (Row Level Security no Supabase), não só no aplicativo.

Se ativarmos o Sentry (monitoramento de erros), ele está configurado com uma política de privacidade estrita: não enviamos o corpo das requisições, parâmetros de query, cookies de sessão, nem o conteúdo de anotações de sessão. Não usamos gravação de sessão ("session replay") nem qualquer captura visual da tela. Mensagens de erro passam por um filtro que tenta remover automaticamente emails, telefones e números de identificação fiscal antes de saírem do nosso servidor.

10. Menores

A Nerela é uma ferramenta para profissionais, não para uso direto por pacientes menores de idade. Dados de pacientes menores podem ser tratados pelo profissional responsável pelo seu acompanhamento, sob a mesma base legal aplicável à relação terapêutica.

11. Visitantes dos nossos sites: publicidade e medição

Em nerela.eu e nerela.lat — o site público; o aplicativo app.nerela.eu não leva publicidade — o responsável pelo tratamento é a sociedade da seção 1. Sem a sua autorização só guardamos de qual campanha ou link você chega (cookies nerela_attrib e nerela_utm, descritos na Política de Cookies), para saber o que traz cada cadastro.

Se você aceitar a publicidade no aviso de cookies, medimos e otimizamos os nossos anúncios com o Google Ads e com o pixel da Meta (Facebook e Instagram). O pixel da Meta só é carregado depois que você aceita a publicidade e envia à Meta os identificadores do navegador (os cookies _fbp e _fbc e, se você chega por um anúncio, o identificador de clique do Facebook), o endereço IP, o navegador, a página que você visita e os eventos da visita: ver a página, clicar no botão de cadastro ou clicar no botão do WhatsApp. Não enviamos à Meta nada do Aplicativo nem dados de pacientes. A base legal é o seu consentimento (artigo 6.º, n.º 1, alínea a) do RGPD), que você pode retirar quando quiser no link «Cookies» do rodapé do site, sem que isso afete o que foi tratado antes.

Se você aceitou a publicidade e depois cria uma conta, o nosso servidor pode informar à Meta que você se cadastrou, sem nenhum dado clínico, para podermos medir qual anúncio gerou o cadastro: usa os identificadores do navegador acima e dados de contato da conta criptografados com hash antes de saírem do nosso servidor. Se você não aceitou a publicidade, nada é enviado.

A Meta não é nossa subcontratante: quanto aos dados do pixel, atua como responsável pelo tratamento, de forma independente ou em conjunto conosco conforme a fase do tratamento, e trata esses dados conforme as suas próprias condições e a sua política de privacidade. Para exercer os seus direitos sobre os dados desta seção, escreva para admin@nerela.eu.

12. Alterações nesta política

Podemos atualizar esta política para refletir mudanças no serviço ou na lei aplicável. Alterações relevantes são comunicadas por email ou por um aviso no Aplicativo.

13. Autoridade de controle

Você tem o direito de apresentar reclamação à autoridade de controle competente — em Portugal, a Comissão Nacional de Proteção de Dados (CNPD); na Espanha, a Agencia Española de Protección de Datos (AEPD) — sem prejuízo de qualquer outra via administrativa ou judicial.

14. Contato

Para qualquer dúvida sobre esta política ou sobre o tratamento dos seus dados, escreva para admin@nerela.eu. Respondemos pelo mesmo endereço indicado na seção 1.