As três perguntas do CFP, em uma linha cada

A estrutura mínima do prontuário está contemplada?: Sim — identificação, avaliação de demanda e objetivos, evolução do trabalho e registro de encerramento, com os documentos de avaliação em pasta de acesso só seu (Res. CFP 001/2009, art. 2º).
O conteúdo está seguro e é autêntico?: Os campos clínicos são cifrados no banco, o tráfego é TLS, cada registro carrega data e autoria, e o isolamento por profissional é testado registro a registro. A lista exata está abaixo.
Existe cláusula de descarte?: Existe, e ela é o contrário de um botão de apagar — prontuário 20 anos, registro documental 5 anos, contados do último registro. Está escrita abaixo, em português.

Sigilo — o que a plataforma faz, tecnicamente

Cifrado em repouso

Com criptografia da própria aplicação (AES-GCM, chaves nossas), decidida coluna a coluna na migration que cria a coluna. Estes são todos os campos cifrados hoje:

Evolução e anotações da sessão — o texto clínico inteiro.
Observações clínicas do cadastro do paciente, motivo de encerramento e encaminhamento.
E-mail, telefone, endereço, contato de emergência e CPF do paciente.
Observações do acordo terapêutico, da equipe de referência e dos documentos da pasta.
Nome e CPF do pagador, quando não é o próprio paciente.
Descrição dos lançamentos financeiros.
Título e descrição da sessão, título e categoria de cada registro do prontuário.
O texto de cada item do Espaço de Representação.
Nome e CPF do pagador e do beneficiário guardados em cada recibo emitido.
Seu CPF ou CNPJ e o seu endereço fiscal.

Em claro, e por quê

Nome e sigla do paciente, datas, durações, valores e estados ficam legíveis no banco. É o que a busca lê e o que o relatório soma — cifrar custaria a capacidade de buscar e de ordenar por inteiro, e não protegeria nada que o isolamento por profissional já não proteja. Dizer isso é mais honesto do que um selo que diz "tudo criptografado".

A chave é nossa, e o que isso significa

A chave de criptografia é da plataforma, não sua. Isso protege um despejo de banco de dados, um backup extraviado e um disco descartado. Isso não protege contra um acesso válido à sua conta, nem contra uma ordem judicial dirigida a nós. Não usamos criptografia ponta a ponta e não escrevemos que usamos.

Em trânsito

Todo o tráfego é HTTPS, com redirecionamento forçado e HSTS. Não existe porta em texto puro.

Na sessão por vídeo

A imagem e o som vão de um navegador ao outro, cifrados com DTLS-SRTP, que é obrigatório em toda chamada WebRTC. As chaves são negociadas pelos dois navegadores no começo da chamada. Quando as duas redes não permitem a conexão direta, um retransmissor da Cloudflare repassa os pacotes já cifrados, sem ter como abri-los. Nosso servidor não recebe imagem nem som: ele só apresenta um navegador ao outro e avisa quando a sessão começa e termina. Não gravamos a chamada.

O link do paciente

Cada sessão tem o seu link, com 256 bits aleatórios. Guardamos o resumo dele para achar a sessão e uma cópia cifrada para você poder copiá-lo de novo. Ele deixa de funcionar duas horas depois do fim previsto, quando você gera outro ou quando você o revoga. O paciente entra sem conta e a página dele mostra só o primeiro nome dele e o seu nome — nenhum e-mail, telefone ou dado clínico. No Espaço de Representação, o que você oculta não sai do servidor para o navegador do paciente: ele recebe só um círculo cinza.

Isolamento por profissional

Toda tabela do domínio carrega o dono, e nenhuma leitura traz um registro sem esse filtro. Um registro de outro profissional responde 404 — não 403, porque a existência dele também é informação. Há um teste automatizado por recurso que falha se esse caminho aparecer.

Quem da nossa equipe vê o quê

Ninguém vê conteúdo clínico. O painel interno lista conta, e-mail, CRP, quantidade de pacientes e estado da assinatura, e nenhum campo clínico — os filtros e a exportação do painel têm lista fechada de colunas, e nenhuma coluna cifrada está nela. Existe um teste que quebra a entrega se um campo clínico aparecer ali.

Registros técnicos

Os parâmetros sensíveis são filtrados antes de chegar ao log, e conteúdo clínico não é registrado em log nenhum. Quando o monitoramento de erro está ligado, o corpo da requisição e os cookies são removidos antes do envio.

Acesso à sua conta

Senha guardada como hash bcrypt, nunca em texto. A sessão tem prazo absoluto e prazo de inatividade, e o cookie é assinado e httponly. Entrar pelo Google é opcional e não guarda nenhum token do Google.

O que o Psilogos não faz

Nesta ordem porque é nesta ordem que as perguntas chegam.

Não gravamos sessão

Não há captura de áudio, de vídeo nem transcrição em lugar nenhum do produto, e não está no plano.
Não usamos conteúdo clínico em inteligência artificial

Nenhuma função do produto lê evolução, anotação ou observação clínica para gerar texto, resumir, classificar ou treinar qualquer modelo. Não é uma configuração que você desliga: não existe esse caminho no código, na v1 e na v1.1.
Não emitimos o seu Receita Saúde

Não existe API pública para isso. Nós montamos o arquivo CSV do mês no layout do Carnê-Leão, e você importa e emite no e-CAC ou no app da Receita Federal.
Não emitimos nota fiscal

NFS-e não está no produto. Se você é ME ou EPP, a nota continua saindo de onde já sai.
Não vendemos e não compartilhamos

Os dados não são vendidos, não alimentam publicidade e não são compartilhados com ninguém além dos subprocessadores listados abaixo, cada um com uma função e nenhum deles com conteúdo clínico.
Não exibimos selo

Não há carimbo de "adequado à LGPD" nesta página, e não haverá enquanto o pacote jurídico não existir. O antídoto para um selo sem lastro não é um selo melhor — é esta lista.

Papéis na LGPD

Quem é o quê

Nos dados dos seus pacientes, você é o controlador e o Psilogos é o operador, agindo sob as suas instruções. Nos seus próprios dados de conta — nome, e-mail, CRP, dados fiscais e cobrança — o controlador somos nós.

Base legal

Para o conteúdo clínico, art. 11, II, "f" — tutela da saúde em procedimento realizado por profissional de saúde. Para a guarda obrigatória, art. 11, II, "a" — cumprimento de obrigação legal e regulatória.

Consentimento não é a base, e isso é deliberado: consentimento é revogável, e um consentimento revogado não derruba um prontuário que a lei manda guardar por 20 anos. Um produto que tratasse o prontuário por consentimento criaria um pedido de exclusão que você não pode atender.

Somos tratamento de alto risco, e assumimos isso

Concentrar prontuário de muitos profissionais é tratamento de dados sensíveis em escala. Pela Res. CD/ANPD 2/2022, art. 3º, I, isso nos tira do regime de agente de pequeno porte: não temos prazo dobrado, não temos dispensa de encarregado e não temos registro simplificado. As nossas obrigações são maiores que as suas, e não as menores.

O que ainda está em preparação

O contrato de operador assinável (DPA) e o registro das operações de tratamento publicado ainda não existem — estão em preparação com assessoria jurídica, e entram nesta página com data quando existirem. Dizemos isso em vez de omitir porque você vai perguntar por eles, e porque descobrir depois é pior.

Guarda e descarte

O prazo é calculado em cada registro, no momento em que ele é escrito, e não por uma regra geral aplicada depois. É a diferença entre uma política e uma migração de dados.

Evolução (prontuário): 20 anos a partir do último registro — Lei 13.787/2018, na leitura do Manual CFP 2025. Se o paciente era menor de idade, a contagem começa na maioridade dele.
Anotações e observações clínicas (registro documental): 5 anos — Res. CFP 001/2009, art. 4º, §1º.
Documentos da pasta: Pelo prazo do registro a que pertencem, contado da data do documento.
Dados de conta e cobrança: Enquanto a conta existir, e pelo prazo que a lei fiscal e civil exigir depois disso.

As regras que seguem daí

Não existe botão que apague prontuário dentro do prazo. Não é um recurso que faltou — apagar criaria responsabilidade disciplinar para você, que é quem responde pela guarda.
Encerrar processo é o estado normal do paciente que saiu, e o único. Não existe excluir paciente.
Um pedido de exclusão do paciente é atendido anonimizando o contato — e-mail, telefone, endereço, contato de emergência — e mantendo o clínico, com base no art. 16, I da LGPD.
Uma anotação pode ser apagada nas primeiras 24 horas, porque uma anotação digitada no paciente errado não tem outro remédio. Uma evolução, nunca.
Excluir a conta exige uma exportação completa feita nas últimas 24 horas, e é recusada enquanto houver prontuário dentro do prazo — a recusa diz qual é o ano.
A exportação completa em ZIP nunca fica atrás da cobrança, em estado nenhum da assinatura. É o que torna o acesso somente-leitura defensável em vez de um refém.

Incidentes

Se um incidente de segurança afetar dados pessoais sob a sua responsabilidade, avisamos você por e-mail, no endereço da conta, em até 24 horas contadas do momento em que soubermos que dados pessoais foram afetados.

O prazo é nosso e é curto de propósito. O seu relógio começa quando nós avisamos: pela Res. CD/ANPD 15/2024 você tem 3 dias úteis para comunicar a ANPD e os titulares. Se levássemos cinco dias para avisar, teríamos feito você descumprir a lei.

O aviso diz o que aconteceu, quando aconteceu, quando descobrimos, quais dados foram afetados, o que já fizemos e o que recomendamos que você faça. Ele sai para todos os profissionais afetados de uma vez, por um canal que existe no painel interno — não por uma planilha.

Subprocessadores

Cada um destes trata dados por nossa conta, e você tem o direito de saber quem são. Uma troca entra nesta página, com data.

Quem	Para quê	O que recebe
Upuai Cloud	Hospedagem da aplicação, banco de dados, fila e armazenamento dos documentos da pasta	Tudo o que o produto guarda, na forma em que guarda — os campos clínicos chegam lá já cifrados
Amazon Web Services (SES)	Envio de e-mail transacional	Seu nome, seu e-mail e o texto dos e-mails que mandamos para você. Nenhum conteúdo clínico e nenhum dado de paciente
Cloudflare (Realtime TURN)	Retransmitir a chamada de vídeo quando as duas redes não permitem a conexão direta	Os pacotes de imagem e som já cifrados, sem as chaves, e os endereços IP dos dois navegadores durante a chamada
Giphy	Busca de GIFs para o Espaço de Representação, quando você usa essa busca	As palavras que você digita na busca de GIF, enviadas pelo nosso servidor. Nenhum dado de paciente e nenhum dado seu
Stripe	Cobrança da assinatura	Seu nome, seu e-mail e os dados do seu meio de pagamento. Nenhum dado de paciente
Sentry	Monitoramento de erro da aplicação, quando ligado	Mensagem de erro, rota e identificador numérico da conta. O corpo da requisição e os cookies são removidos antes do envio
OpenRouter	Acesso a modelos de linguagem, disponível na infraestrutura e sem uso clínico	Nada hoje. Nenhuma função do produto o aciona, e nenhum conteúdo clínico passaria por ele

Todos os dados do produto ficam no Brasil, no provedor de hospedagem. Stripe, SES e Giphy tratam fora do país os dados listados acima, e nenhum deles é dado de paciente. O retransmissor da Cloudflare usa o ponto de presença mais próximo dos dois navegadores e só repassa pacotes cifrados.

Encarregado de dados

O encarregado pelo tratamento de dados pessoais é Gabriel Hamdan, e o canal é o endereço abaixo. Não é um formulário e não é um robô — é a caixa de quem escreve o software.

encarregado@psilogos.app

Um trecho pronto para o seu termo de consentimento

A Res. CFP 09/2024, art. 2º, §2º, obriga você a especificar quais recursos tecnológicos garantem o sigilo e a esclarecer o paciente sobre isso. Este parágrafo descreve com verdade o que a plataforma faz — copie, ajuste ao seu texto e preencha o trecho entre colchetes.

Os registros da sua psicoterapia são mantidos em prontuário eletrônico na plataforma Psilogos, usada exclusivamente por mim. Os campos de conteúdo clínico — evolução das sessões, anotações e observações clínicas —, os seus dados de contato e o seu CPF são armazenados cifrados no banco de dados, e todo o tráfego entre o meu dispositivo e o servidor é protegido por TLS (HTTPS). O acesso aos seus registros é restrito à minha conta, e a equipe da plataforma não tem acesso a conteúdo clínico. Nas sessões online feitas na própria plataforma, a imagem e o som vão cifrados (DTLS-SRTP) diretamente entre o meu navegador e o seu, sem passar pelos servidores da plataforma, e o link de cada sessão é único e expira. A plataforma não grava áudio nem vídeo e não utiliza conteúdo clínico em sistemas de inteligência artificial. Na Lei Geral de Proteção de Dados eu sou o controlador dos seus dados e a plataforma é operadora, agindo sob as minhas instruções; o tratamento tem base no art. 11, II, "f" (tutela da saúde) e no art. 11, II, "a" (cumprimento de obrigação legal). O prontuário é guardado por 20 anos a partir do último registro (Lei 13.787/2018) e o registro documental por 5 anos (Res. CFP 001/2009), e você pode pedir acesso integral ao seu prontuário a qualquer momento (Res. CFP 001/2009, art. 5º, II). [Se alguma sessão por vídeo acontecer em outra ferramenta, nomeie-a aqui e descreva os recursos de sigilo dela — ou apague este trecho.]

O trecho entre colchetes existe porque só respondemos pela sala de vídeo do Psilogos. Se você também atende por outra ferramenta, a descrição dela é sua — e quem assina esse termo é você.

De onde vem cada afirmação

Res. CFP nº 09/2024 — exercício profissional mediado por tecnologias digitais; art. 2º, §2º, o dever de especificar os recursos de sigilo ao paciente.
Res. CFP nº 001/2009 — registro documental e prontuário; art. 2º (estrutura mínima), art. 4º, §1º (guarda de 5 anos), art. 5º, II (acesso integral do paciente).
Manual Orientativo de Registro e Elaboração de Documentos Psicológicos, CFP, 2025 — os 20 anos do prontuário em saúde e a auditoria da plataforma antes de contratar.
Lei nº 13.787/2018 — guarda do prontuário em saúde.
Lei nº 13.709/2018 (LGPD) — art. 11, II, "a" e "f"; art. 16, I; art. 18; art. 41.
Res. CD/ANPD nº 2/2022, art. 3º, I — agentes de pequeno porte e a exclusão do tratamento de alto risco.
Res. CD/ANPD nº 15/2024 — comunicação de incidente de segurança em 3 dias úteis pelo controlador.
IN RFB nº 2.240/2024 e Receita Saúde — Perguntas e Respostas v2.1 (out/2025) — o recibo digital e a importação de escrituração em lote.

Conformidade