Conformidade

O que você precisa provar ao seu conselho, e onde isso está.

Usamos o Manual Orientativo do CFP (2025) como régua porque é a mais exigente que existe para este tipo de registro: se o seu conselho pede menos, esta página já respondeu. Ela diz também o que não fazemos, que é a parte que costuma aparecer depois da assinatura.

Atualizada em 21 de setembro de 2026

As três perguntas da auditoria, em uma linha cada

A estrutura mínima do prontuário está contemplada?: Sim — identificação, avaliação de demanda e objetivos, evolução do trabalho e registro de encerramento, com os documentos de avaliação em pasta de acesso só seu (Res. CFP 001/2009, art. 2º).
O conteúdo está seguro e é autêntico?: Os campos clínicos são cifrados no banco, o tráfego é TLS, cada registro carrega data e autoria, e o isolamento por profissional é testado registro a registro. A lista exata está abaixo.
Existe cláusula de descarte?: Existe, e tem duas partes que não se confundem. O prazo legal é seu — prontuário 20 anos, registro documental 5 anos, contados do último registro — e o produto não deixa apagar nada dentro dele. A guarda é nossa enquanto o Psilogos existir; se ele for descontinuado, você é avisada com antecedência, exporta tudo e então apagamos tudo. Está escrito abaixo, em português.

Quem regula você — e o que muda

O produto é o mesmo para todo mundo. O que muda é a norma que obriga VOCÊ, e ela depende do conselho em que você é inscrita. Está escrito aqui em vez de omitido porque é a parte que decide se este software serve para você.

Com CRP — psicóloga e psicólogo: A estrutura mínima do registro e a guarda de 5 anos vêm da Res. CFP 001/2009; o exercício por tecnologias digitais, da Res. CFP 09/2024; e os 20 anos do prontuário em saúde, da Lei 13.787/2018 na leitura do Manual CFP 2025. O recibo de profissional de saúde é obrigatório desde 2025, e a sua ocupação no Carnê-Leão é a 255. É o caso para o qual esta página inteira foi escrita.
Com CRM — psiquiatra: Quem regula é o CFM. A Res. CFM 1.821/2007 trata do prontuário eletrônico em termos mais severos que os nossos: para arquivamento eletrônico ela fala em guarda permanente, e não em 20 anos. O produto não deixa apagar prontuário dentro de 20 anos do último registro e guarda tudo enquanto existir — mas a guarda é sua: se o seu conselho exige mais que isso, é a sua exportação que cumpre o prazo, e preferimos dizer isso a deixar você supor que já está resolvido. A sua ocupação no Carnê-Leão é a 225.
Com outro conselho de saúde: Fonoaudiologia (230), Fisioterapia (231) e Terapia Ocupacional (232) estão na lista do recibo de profissional de saúde, junto com Odontologia (226). O produto funciona igual; a norma de registro é a do seu próprio conselho, e nós não a transcrevemos aqui porque não a lemos — dizer isso é mais útil que resumir de ouvido.
Sem conselho — psicanálise e afins: A psicanálise não é profissão regulamentada no Brasil: não há conselho, não há norma de prontuário e não há prazo legal de guarda. O que vale é a LGPD e o combinado com o seu paciente. Duas consequências concretas, e nenhuma delas é confortável de ler: você não emite recibo de profissional de saúde (a lista da IN RFB 2.240/2024 tem seis profissões e a sua não está nela — a sua ocupação no Carnê-Leão é a 254, e o arquivo do lote não a aceita); e a trava que impede apagar o prontuário por 20 anos continua no produto, mas é só uma proteção dele, não uma obrigação legal sua. Ninguém fiscaliza o seu registro: por quanto tempo guardá-lo é decisão sua, com a LGPD e o combinado com o seu paciente.

O Psilogos não escolhe por você e não valida inscrição em conselho nenhum. O campo do registro na sua conta é livre, e fica em branco quando não há conselho: o recibo sai com o seu nome e o seu CPF.

Sigilo — o que a plataforma faz, tecnicamente

Cifrado em repouso

Com criptografia da própria aplicação (AES-GCM, chaves nossas), decidida coluna a coluna na migration que cria a coluna. Estes são todos os campos cifrados hoje:

Evolução e anotações da sessão — o texto clínico inteiro.
Observações clínicas do cadastro do paciente, motivo de encerramento e encaminhamento.
E-mail, telefone, endereço, contato de emergência e CPF do paciente.
Observações do acordo terapêutico, da equipe de referência e dos documentos da pasta.
Nome e CPF do pagador, quando não é o próprio paciente.
Descrição dos lançamentos financeiros.
Título e descrição da sessão, título e categoria de cada registro do prontuário.
O texto de cada item do Espaço de Representação.
Nome e CPF do pagador e do beneficiário guardados em cada recibo emitido.
Seu CPF ou CNPJ e o seu endereço fiscal.

Em claro, e por quê

Nome e sigla do paciente, datas, durações, valores e estados ficam legíveis no banco. É o que a busca lê e o que o relatório soma — cifrar custaria a capacidade de buscar e de ordenar por inteiro, e não protegeria nada que o isolamento por profissional já não proteja. Dizer isso é mais honesto do que um selo que diz "tudo criptografado".

A chave é nossa, e o que isso significa

A chave de criptografia é da plataforma, não sua. Isso protege um despejo de banco de dados, um backup extraviado e um disco descartado. Isso não protege contra um acesso válido à sua conta, nem contra uma ordem judicial dirigida a nós. Não usamos criptografia ponta a ponta e não escrevemos que usamos.

Em trânsito

Todo o tráfego é HTTPS, com redirecionamento forçado e HSTS. Não existe porta em texto puro.

Na sessão por vídeo

A imagem e o som vão de um navegador ao outro, cifrados com DTLS-SRTP, que é obrigatório em toda chamada WebRTC. As chaves são negociadas pelos dois navegadores no começo da chamada. Quando as duas redes não permitem a conexão direta, um retransmissor da Cloudflare repassa os pacotes já cifrados, sem ter como abri-los. Nosso servidor não recebe imagem nem som: ele só apresenta um navegador ao outro e avisa quando a sessão começa e termina. Não gravamos a chamada. Se você escolher o Google Meet para as sessões online, a chamada acontece no Meet, com os recursos de sigilo que o Google descreve dele — e o termo abaixo pede que você diga isso ao paciente.

O link do paciente

Cada sessão tem o seu link, com 256 bits aleatórios. Guardamos o resumo dele para achar a sessão e uma cópia cifrada para você poder copiá-lo de novo. Ele deixa de funcionar duas horas depois do fim previsto, quando você gera outro ou quando você o revoga. O paciente entra sem conta e a página dele mostra só o primeiro nome dele e o seu nome — nenhum e-mail, telefone ou dado clínico. No Espaço de Representação, o que você oculta não sai do servidor para o navegador do paciente: ele recebe só um círculo cinza.

Isolamento por profissional

Toda tabela do domínio carrega o dono, e nenhuma leitura traz um registro sem esse filtro. Um registro de outro profissional responde 404 — não 403, porque a existência dele também é informação. Há um teste automatizado por recurso que falha se esse caminho aparecer.

Quem da nossa equipe vê o quê

Ninguém vê conteúdo clínico. O painel interno lista conta, e-mail, registro profissional, quantidade de pacientes e estado da assinatura, e nenhum campo clínico — os filtros e a exportação do painel têm lista fechada de colunas, e nenhuma coluna cifrada está nela. Existe um teste que quebra a entrega se um campo clínico aparecer ali.

Registros técnicos

Os parâmetros sensíveis são filtrados antes de chegar ao log, e conteúdo clínico não é registrado em log nenhum. Quando o monitoramento de erro está ligado, o corpo da requisição e os cookies são removidos antes do envio.

Acesso à sua conta

Senha guardada como hash bcrypt, nunca em texto. A sessão tem prazo absoluto e prazo de inatividade, e o cookie é assinado e httponly. Entrar pelo Google é opcional e não guarda nenhum token do Google. Conectar o Google Agenda é outra escolha: aí o token fica guardado cifrado, e desconectar o revoga.

O que o Psilogos não faz

Nesta ordem porque é nesta ordem que as perguntas chegam.

Não gravamos sessão: Não há captura de áudio, de vídeo nem transcrição em lugar nenhum do produto, e não está no plano.
Não usamos conteúdo clínico em inteligência artificial: Nenhuma função do produto lê evolução, anotação ou observação clínica para gerar texto, resumir, classificar ou treinar qualquer modelo. Não é uma configuração que você desliga: não existe esse caminho no código, na v1 e na v1.1.
Não emitimos o seu Receita Saúde: Não existe API pública para isso. Nós montamos o arquivo CSV do mês no layout do Carnê-Leão, e você importa e emite no e-CAC ou no app da Receita Federal.
Não emitimos nota fiscal: NFS-e não está no produto. Se você é ME ou EPP, a nota continua saindo de onde já sai.
Não vendemos e não compartilhamos: Os dados não são vendidos, não alimentam publicidade e não são compartilhados com ninguém além dos subprocessadores listados abaixo, cada um com uma função e nenhum deles com conteúdo clínico.
Não exibimos selo: Não há carimbo de "adequado à LGPD" nesta página, e não haverá enquanto o pacote jurídico não existir. O antídoto para um selo sem lastro não é um selo melhor — é esta lista.
Não ranqueamos o diretório: A lista em /profissionais é opcional, sem cobrança e sem destaque pago. A ordem muda todo dia por um critério neutro, e nenhuma nota, avaliação ou comparação entre profissionais é publicada — nem existe coluna para isso.

Papéis na LGPD

Quem é o quê

Nos dados dos seus pacientes, você é o controlador e o Psilogos é o operador, agindo sob as suas instruções. Nos seus próprios dados de conta — nome, e-mail, registro profissional, dados fiscais e cobrança — o controlador somos nós.

Base legal

As bases do conteúdo clínico são suas, porque você é a controladora: art. 11, II, "f" — tutela da saúde em procedimento realizado por profissional de saúde — e, para a guarda que a lei impõe a você, art. 11, II, "a" — cumprimento de obrigação legal e regulatória. Nós tratamos esses dados como operador, em seu nome, enquanto você usar o Psilogos.

Consentimento não é a base, e isso é deliberado: consentimento é revogável, e um consentimento revogado não derruba um prontuário que a lei manda VOCÊ guardar por 20 anos. Os 20 anos são o seu prazo legal, não o nosso prazo de guarda — o nosso está em Guarda e descarte, abaixo.

Somos tratamento de alto risco, e assumimos isso

Concentrar prontuário de muitos profissionais é tratamento de dados sensíveis em escala. Pela Res. CD/ANPD 2/2022, art. 3º, I, isso nos tira do regime de agente de pequeno porte: não temos prazo dobrado, não temos dispensa de encarregado e não temos registro simplificado. As nossas obrigações são maiores que as suas, e não as menores.

O que ainda está em preparação

O contrato de operador assinável (DPA) e o registro das operações de tratamento publicado ainda não existem — estão em preparação com assessoria jurídica, e entram nesta página com data quando existirem. Dizemos isso em vez de omitir porque você vai perguntar por eles, e porque descobrir depois é pior.

Guarda e descarte

Dois prazos que não se confundem. O primeiro é o que a lei impõe a você, e o produto o calcula em cada registro, no momento em que ele é escrito, para não deixar apagar nada dentro dele. O segundo é o nosso: guardamos enquanto o Psilogos existir, e não prometemos mais que isso.

Evolução (prontuário): O seu prazo legal é de 20 anos a partir do último registro — Lei 13.787/2018, na leitura do Manual CFP 2025. Se o paciente era menor de idade, a contagem começa na maioridade dele.
Anotações e observações clínicas (registro documental): O seu prazo legal é de 5 anos — Res. CFP 001/2009, art. 4º, §1º.
Documentos da pasta: Pelo prazo do registro a que pertencem, contado da data do documento.
Por quanto tempo o Psilogos guarda: Enquanto o serviço existir. Se o Psilogos for descontinuado, você é avisada com antecedência, por e-mail e dentro do produto; a exportação completa continua disponível durante todo o aviso; e, ao fim dele, apagamos tudo — conta, prontuários, pasta e as cópias de segurança, no ciclo delas. Daí em diante, o prazo legal é cumprido por você, com a exportação.
Dados de conta e cobrança: Enquanto a conta existir, e depois dela só o que a lei fiscal obriga a manter.

As regras que seguem daí

Não existe botão que apague prontuário dentro do prazo. Não é um recurso que faltou — apagar criaria responsabilidade disciplinar para você, que é quem responde pela guarda.
Encerrar processo é o estado normal do paciente que saiu, e o único. Não existe excluir paciente.
Um pedido de exclusão do paciente é atendido anonimizando o contato — e-mail, telefone, endereço, contato de emergência — e mantendo o clínico, com base no art. 16, I da LGPD.
Uma anotação pode ser apagada nas primeiras 24 horas, porque uma anotação digitada no paciente errado não tem outro remédio. Uma evolução, nunca.
Excluir a conta exige uma exportação completa feita nas últimas 24 horas, e é recusada enquanto houver prontuário dentro do prazo — a recusa diz qual é o ano.
A exportação completa em ZIP nunca fica atrás da cobrança, em estado nenhum da assinatura. É o que torna o acesso somente-leitura defensável em vez de um refém — e é a sua cópia do prazo legal se o Psilogos deixar de existir.

Incidentes

Se um incidente de segurança afetar dados pessoais sob a sua responsabilidade, avisamos você por e-mail, no endereço da conta, em até 24 horas contadas do momento em que soubermos que dados pessoais foram afetados.

O prazo é nosso e é curto de propósito. O seu relógio começa quando nós avisamos: pela Res. CD/ANPD 15/2024 você tem 3 dias úteis para comunicar a ANPD e os titulares. Se levássemos cinco dias para avisar, teríamos feito você descumprir a lei.

O aviso diz o que aconteceu, quando aconteceu, quando descobrimos, quais dados foram afetados, o que já fizemos e o que recomendamos que você faça. Ele sai para todos os profissionais afetados de uma vez, por um canal que existe no painel interno — não por uma planilha.

Subprocessadores

Cada um destes trata dados por nossa conta, e você tem o direito de saber quem são. Uma troca entra nesta página, com data.

Quem	Para quê	O que recebe
Upuai Cloud	Hospedagem da aplicação, banco de dados, fila e armazenamento dos documentos da pasta	Tudo o que o produto guarda, na forma em que guarda — os campos clínicos chegam lá já cifrados
Amazon Web Services (SES)	Envio de e-mail transacional	Seu nome, seu e-mail e o texto dos e-mails que mandamos para você. Nenhum conteúdo clínico e nenhum dado de paciente
Cloudflare (Realtime TURN)	Retransmitir a chamada de vídeo quando as duas redes não permitem a conexão direta	Os pacotes de imagem e som já cifrados, sem as chaves, e os endereços IP dos dois navegadores durante a chamada
Giphy	Busca de GIFs para o Espaço de Representação, quando você usa essa busca	As palavras que você digita na busca de GIF, enviadas pelo nosso servidor. Nenhum dado de paciente e nenhum dado seu
Stripe	Cobrança da assinatura	Seu nome, seu e-mail e os dados do seu meio de pagamento. Nenhum dado de paciente
Sentry	Monitoramento de erro da aplicação, quando ligado	Mensagem de erro, rota e identificador numérico da conta. O corpo da requisição e os cookies são removidos antes do envio
OpenRouter	Acesso a modelos de linguagem, disponível na infraestrutura e sem uso clínico	Nada hoje. Nenhuma função do produto o aciona, e nenhum conteúdo clínico passaria por ele
PostHog	Análise de uso do produto, ligada até você recusar, e monitoramento de erro da aplicação	Identificador da conta, nome, e-mail, idioma, as telas e ações usadas e as mensagens de erro, com os links de acesso do paciente mascarados. Nenhum conteúdo clínico e nenhum dado de paciente
Google (Agenda e Meet), só se você conectar	Deixar de oferecer os horários ocupados na sua agenda do Google, copiar as suas sessões para uma agenda sua chamada Psilogos e, se você escolher o Meet, hospedar a chamada de vídeo	Os blocos de horário ocupado da sua agenda principal, sem título e sem convidado; a sigla do paciente e a hora de cada sessão; e, no Meet, a imagem e o som da chamada. Nenhum nome, e-mail ou telefone de paciente. Desconectar apaga a agenda Psilogos do seu Google
Google (Tag Manager, Analytics e Ads) e Meta	Medir se um anúncio nosso trouxe você, até você recusar o marketing	Dados de navegação de quem não recusou, pelos cookies das próprias ferramentas; o seu e-mail em hash, quando o período de teste começa; e o valor da primeira mensalidade paga. Nenhum dado de paciente

Todos os dados do produto ficam no Brasil, no provedor de hospedagem. Stripe, SES, Giphy, PostHog, Google e Meta tratam fora do país os dados listados acima, e nenhum deles é dado de paciente — com uma exceção que só existe se você escolher: conectado o Google Agenda, a sigla e a hora das sessões vão para a sua agenda, e escolhido o Meet, a chamada passa pelo Google. Para medir anúncios, PostHog, Google e Meta deixam de receber o que você recusa no aviso de cookies. O retransmissor da Cloudflare usa o ponto de presença mais próximo dos dois navegadores e só repassa pacotes cifrados.

Encarregado de dados

O encarregado pelo tratamento de dados pessoais é Gabriel Hamdan, e o canal é o endereço abaixo. Não é um formulário e não é um robô — é a caixa de quem escreve o software.

encarregado@psilogos.app

Um trecho pronto para o seu termo de consentimento

A Res. CFP 09/2024, art. 2º, §2º, obriga você a especificar quais recursos tecnológicos garantem o sigilo e a esclarecer o paciente sobre isso. Este parágrafo descreve com verdade o que a plataforma faz — copie, ajuste ao seu texto e preencha o trecho entre colchetes.

Os registros da sua psicoterapia são mantidos em prontuário eletrônico na plataforma Psilogos, usada exclusivamente por mim. Os campos de conteúdo clínico — evolução das sessões, anotações e observações clínicas —, os seus dados de contato e o seu CPF são armazenados cifrados no banco de dados, e todo o tráfego entre o meu dispositivo e o servidor é protegido por TLS (HTTPS). O acesso aos seus registros é restrito à minha conta, e a equipe da plataforma não tem acesso a conteúdo clínico. Nas sessões online feitas na própria plataforma, a imagem e o som vão cifrados (DTLS-SRTP) diretamente entre o meu navegador e o seu, sem passar pelos servidores da plataforma, e o link de cada sessão é único e expira. A plataforma não grava áudio nem vídeo e não utiliza conteúdo clínico em sistemas de inteligência artificial. Na Lei Geral de Proteção de Dados eu sou o controlador dos seus dados e a plataforma é operadora, agindo sob as minhas instruções; o tratamento tem base no art. 11, II, "f" (tutela da saúde) e no art. 11, II, "a" (cumprimento de obrigação legal). Eu guardo o prontuário por 20 anos a partir do último registro (Lei 13.787/2018) e o registro documental por 5 anos (Res. CFP 001/2009), e você pode pedir acesso integral ao seu prontuário a qualquer momento (Res. CFP 001/2009, art. 5º, II). [Se alguma sessão por vídeo acontecer em outra ferramenta, nomeie-a aqui e descreva os recursos de sigilo dela — ou apague este trecho.]

O trecho entre colchetes existe porque só respondemos pela sala de vídeo do Psilogos. Se você também atende por outra ferramenta, a descrição dela é sua — e quem assina esse termo é você.

A sua página pública

O Psilogos dá a você um endereço próprio, com os seus horários. Tudo o que está nele é divulgação sua, e é o seu registro que responde por ela — então estas são as regras que o produto segue, escritas antes de você precisar perguntar.

Nome, profissão e registro: A página não publica sem o seu nome e, se você declarou um conselho, sem o número do registro. Não é um aviso que dá para pular: é a condição para a página ir ao ar.
Sem estrela, nota ou depoimento: Não existe avaliação de nenhuma forma no produto. Não é uma função desligada: a coluna não existe no banco, e nenhuma tela pode inventar uma.
Sem comparação e sem destaque pago: Nada no Psilogos ordena profissionais por mérito, por popularidade ou por pagamento, e não existe anúncio dentro do produto.
O valor aparece se você quiser, e discreto: Quem contrata um serviço pela internet tem direito de saber quanto custa. No Psilogos isso sai como uma linha de texto ao lado da duração, nunca como manchete, e você decide se aparece.
Você decide sobre o Google: Dá para tirar a página das buscas a qualquer momento. E uma página sem a sua apresentação escrita não é enviada ao Google de jeito nenhum.
A marca da página é a sua: O nome do Psilogos aparece uma vez, pequeno, no rodapé. Quem abre o endereço está vendo você, não a gente.
A divulgação é sua, e a medição também: Se você impulsiona a página, pode colocar nela o seu Pixel da Meta e o seu Google Tag Manager, colando os identificadores no editor. Os scripts são seus e medem a sua divulgação, inclusive quem confirmou um pedido de horário. Nada é ligado por padrão.

De onde vem cada afirmação

Res. CFP nº 09/2024 — exercício profissional mediado por tecnologias digitais; art. 2º, §2º, o dever de especificar os recursos de sigilo ao paciente.
Res. CFP nº 001/2009 — registro documental e prontuário; art. 2º (estrutura mínima), art. 4º, §1º (guarda de 5 anos), art. 5º, II (acesso integral do paciente).
Manual Orientativo de Registro e Elaboração de Documentos Psicológicos, CFP, 2025 — os 20 anos do prontuário em saúde e a auditoria da plataforma antes de contratar.
Lei nº 13.787/2018 — guarda do prontuário em saúde.
Lei nº 13.709/2018 (LGPD) — art. 11, II, "a" e "f"; art. 16, I; art. 18; art. 41.
Res. CD/ANPD nº 2/2022, art. 3º, I — agentes de pequeno porte e a exclusão do tratamento de alto risco.
Res. CD/ANPD nº 15/2024 — comunicação de incidente de segurança em 3 dias úteis pelo controlador.
IN RFB nº 2.240/2024 e Receita Saúde — Perguntas e Respostas v2.1 (out/2025) — o recibo digital e a importação de escrituração em lote.

Experimente por 14 dias, sem cobrança.

Depois, R$ 79 por mês. Quem entra agora fica nesse preço.

Começar o teste de 14 dias