Política de Privacidade

1. Quem somos

A plataforma Kryvia Clinic ("Sistema") é operada por Henrique Duarte Rodrigues Pontes, pessoa física, enquanto a Kryvia ainda não tem CNPJ próprio — a LGPD permite que o controlador seja pessoa natural, não só empresa (assim que a pessoa jurídica for formalizada, esta seção e o resto do documento são atualizados com razão social e CNPJ). Esta Política cobre os 3 planos: Acadêmico (instituições de ensino/estágio), Individual (fisioterapeutas autônomos) e Clínica (vários profissionais).

2. Dados que coletamos

2.1 Usuários do Sistema (profissionais, admins, alunos, supervisores): nome, email (login), perfil de acesso, vínculo institucional; CPF e número do conselho profissional (CREFITO) — obrigatórios no cadastro do plano Individual, cifrados no caso do CPF.

2.2 Pacientes (dado sensível de saúde, Art. 5º II): nome, data de nascimento, telefone, número de prontuário, diagnóstico, evolução clínica, fichas de avaliação estruturadas, agendamento/comparecimento/alta.

2.3 Termo de consentimento por WhatsApp: link de token único enviado pelo profissional; paciente aceita/recusa sem login, resposta com data/hora fica registrada. Esta Política não substitui o texto de cada termo específico.

2.4 Dados de uso: IP/data de acesso podem ser processados pela infraestrutura por segurança (inclusive para limitar tentativas em excesso). Nas páginas públicas, contamos visitas guardando só a página, o site de origem do link e a data — sem cookie, sem IP e sem identificar quem visitou. Não usamos ferramentas de analytics de terceiros nem rastreamento — se isso mudar, esta Política é atualizada antes de ativar.

3. Finalidade e base legal

Dado	Finalidade	Base legal
Cadastro de usuário	Autenticação, controle de acesso	Art. 7º V (contrato) / IX (legítimo interesse)
Dados clínicos do paciente	Prestação do serviço de prontuário	Art. 11 II "f" — tutela da saúde
Resposta a termo de consentimento	Formalizar consentimento específico	Art. 7º I / Art. 11 I
Dados técnicos de acesso	Segurança, prevenção a fraude	Art. 7º IX

A Kryvia não usa dado de paciente pra marketing, publicidade ou venda a terceiros.

4. Retenção

Dados clínicos: mínimo de 5 anos a partir do último registro, conforme Resolução COFFITO nº 414/2012, Art. 6º, I — pode ser ampliado por determinação judicial. Na prática, o Kryvia não apaga prontuário automaticamente, então o prazo mínimo já é respeitado com folga. Cadastro de usuário: enquanto durar o vínculo + prazo legal adicional (Art. 16). Encerrado o vínculo, dados podem ser anonimizados/eliminados, ressalvadas as hipóteses do Art. 16.

5. Com quem compartilhamos

Operador	Finalidade
Supabase (banco, auth, hospedagem)	Todo o armazenamento/processamento do Sistema
WhatsApp (Meta)	Canal usado pelo profissional pra mandar o link de termo — não é integração automática
Asaas (plataforma de pagamentos)	Cobrança da assinatura do plano Individual — recebe nome, CPF, email e telefone de quem assina. Nunca recebe dado de paciente.
Resend	Envio dos emails do Sistema (confirmação de cadastro, convite e recuperação de senha) — recebe nome e email do usuário. Nunca recebe dado de paciente.
Netlify	Hospedagem das páginas do site e da tela do Sistema — processa dados técnicos de acesso (como IP). Não armazena prontuário.
Microsoft (OneDrive)	Guarda da cópia de segurança diária do banco, criptografada (AES-256) antes de sair do nosso controle; a chave fica fora do OneDrive, então o conteúdo é ilegível para o provedor.

Nunca vendemos dado pessoal.

6. Transferência internacional

O banco de dados — onde ficam os prontuários e os cadastros — está hospedado no Brasil, em São Paulo (região sa-east-1 da infraestrutura Supabase/AWS). O processamento das requisições pode passar por servidores da Supabase em outras regiões.

Alguns fornecedores da Seção 5 são empresas com sede ou servidores fora do Brasil, principalmente nos Estados Unidos: Supabase (o banco em si fica em São Paulo), Netlify (dados técnicos de acesso), Resend (nome e email do usuário, para envio de emails) e Microsoft (cópia de segurança criptografada e ilegível sem a nossa chave).

7. Seus direitos

Confirmação de tratamento, acesso, correção, anonimização/eliminação, portabilidade, informação sobre compartilhamento, revogação de consentimento, revisão de decisão automatizada (o Sistema não toma decisão clínica automatizada). Pra dado de paciente, o canal mais direto costuma ser o próprio profissional/clínica que atende (ver Seção 8). O profissional pode baixar todo o prontuário a qualquer momento pelo botão “Exportar prontuário” do Sistema, o que facilita atender pedidos de acesso e portabilidade. Solicitações: kryviahub@gmail.com (canal temporário, até sair o email institucional).

8. Controlador vs. Operadora

O profissional/clínica/instituição que insere dado do paciente é, em regra, controlador desse dado — decide o quê/pra quê, responde perante paciente e ANPD. A Kryvia atua como operadora nesse contexto (fornece a infraestrutura, processa conforme instrução do profissional) — não valida clinicamente o conteúdo nem garante a base legal de cada registro. Pra dado de cadastro dos próprios usuários, a Kryvia é controladora.

9. Segurança da informação

Cada conta só acessa os próprios dados (isolamento aplicado no servidor); autorização por perfil verificada em toda operação sensível; autenticação via Supabase Auth (a Kryvia nunca guarda senha em texto legível), com confirmação de email e limite de tentativas; links de convite/recuperação de uso único; conexão sempre criptografada (HTTPS); criptografia dos campos clínicos sensíveis (diagnóstico, evolução, fichas e CPF) com padrão AES-256; registro de quem abriu cada prontuário; e cópia de segurança diária criptografada, com restauração testada.

Em caso de incidente de segurança que possa causar risco ou dano relevante, a Kryvia segue um plano interno de resposta: contém o problema, avalia o risco e, quando a Kryvia é a controladora (dados de cadastro dos usuários), comunica a ANPD e os titulares no prazo regulamentar de 3 dias úteis (LGPD, art. 48; Resolução CD/ANPD nº 15/2024). Quando o incidente envolve dados de pacientes, a Kryvia avisa sem demora o profissional/clínica controlador, com as informações disponíveis, para que ele faça a comunicação que lhe cabe.

10. Encarregado (DPO)

Henrique Duarte Rodrigues Pontes (controlador) atua como contato interino do Art. 41 enquanto a empresa não tem um encarregado dedicado — prática comum em empresa pequena. Contato: kryviahub@gmail.com (temporário — atualizado assim que houver email institucional).

11. Dados de criança/adolescente

Profissionais e instituições podem atender crianças e adolescentes e registrar seus dados no Sistema. Nesses casos, cabe ao profissional/instituição (controlador) tratar os dados no melhor interesse da criança ou do adolescente e obter o consentimento específico de pelo menos um dos pais ou do responsável legal quando a lei exigir (LGPD, art. 14). Os termos de consentimento enviados pelo Sistema podem ser respondidos pelo responsável.

12. Alterações desta Política

Mudanças materiais avisadas com antecedência. Uso continuado após a mudança = aceite. Contato: kryviahub@gmail.com (canal temporário, até sair o email institucional).