Política de Privacidade do Usuário

Política de Privacidade do Usuário — Namandu

Versão 1.18.1 — vigente a partir de 21/10/2026.

1. Introdução

Esta Política de Privacidade explica, em linguagem clara, como a plataforma Namandu — operada pela controladora identificada na Seção 23 ("Namandu", "nós") — coleta, utiliza, armazena, compartilha e protege os dados pessoais de seus usuários, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — "LGPD") e com as demais normas aplicáveis.

Ela se aplica ao aplicativo móvel, aos aplicativos web e ao site da Namandu, inclusive o blog (www.namandu.org/blog e /noticias) e a newsletter dele. A versão vigente está sempre disponível na URL canônica deste documento: https://www.namandu.org/privacidade-usuario.

O aceite formal desta Política é solicitado no primeiro acesso autenticado à plataforma e registrado com versão, data e evidências técnicas (endereço IP e identificação do dispositivo). O aceite desta Política não substitui os consentimentos específicos e destacados exigidos pela LGPD para o tratamento de dados sensíveis, que são colhidos separadamente, nos momentos indicados nesta Política.

2. O que a Namandu é — e o que ela não é

A Namandu é uma plataforma de psicoeducação em saúde mental. Ela oferece conteúdo educativo com apoio de inteligência artificial, instrumentos de triagem reconhecidos (como PHQ-9, GAD-7 e WHO-5), autoacompanhamento de humor e conexão com psicólogos verificados.

A Namandu não é um serviço de emergência e não substitui atendimento profissional:

• A plataforma não realiza diagnóstico de transtornos mentais.
• A plataforma não substitui psicoterapia nem qualquer tratamento de saúde.
• A plataforma não intervém em situações de crise. Se for identificado risco à vida, a Namandu apenas orienta e referencia canais adequados: CVV — 188 (Centro de Valorização da Vida, 24h, gratuito), SAMU — 192 ou o serviço de emergência mais próximo.

3. Categorias de dados que tratamos

Tratamos apenas os dados necessários às finalidades descritas nesta Política:

• Cadastro e identificação: e-mail, nome, status de verificação, perfil de acesso e data do último acesso.
• Login social (Google/Apple): identificadores técnicos fornecidos pelo provedor, e-mail e nome — detalhados nas Seções 6 e 7.
• Credenciais e sessões: senha (armazenada apenas como hash criptográfico bcrypt — nunca em texto claro), tokens de sessão, identificação do navegador/dispositivo e endereço IP (armazenado de forma cifrada) para segurança e prevenção de fraude.
• Uso anônimo: a plataforma pode ser usada sem identificação, com um identificador técnico de dispositivo. Contas anônimas inativas por 30 dias têm a conta excluída automaticamente; para a eliminação imediata e completa de todos os dados vinculados, utilize a exclusão disponível no próprio aplicativo, a qualquer momento.
• Autoacompanhamento e triagem: registros de humor (avaliação, anotações, emoções, gatilhos, atividades, energia, sono e nutrição) e respostas a questionários de triagem (respostas, pontuações, severidade e interpretações).
• Dados de saúde do dispositivo (opcional, mediante permissão): métricas do Apple Health/HealthKit ou do Google Health Connect — detalhadas na Seção 8.
• Conversas com o assistente de IA: mensagens, títulos de sessão e resumos de memória entre sessões — detalhadas na Seção 9.
• Comunicações com psicólogos: mensagens diretas, anexos, metadados de chamadas, transcrições, resumos e gravações de sessão (quando esses recursos forem utilizados e consentidos).
• Registros clínicos: quando você é atendido por um psicólogo na plataforma, o psicólogo mantém registros profissionais (prontuário) sob as obrigações éticas e legais dele próprio (Conselho Federal de Psicologia).
• Agenda e calendário: horários de sessões e, se você ativar a integração, dados do Google Calendar — detalhados na Seção 6.
• Pagamentos e assinaturas: plano, status, identificadores de transação e, quando aplicável, os quatro últimos dígitos do cartão. A Namandu nunca tem acesso ao número completo do cartão (Seção 14).
• Indicações (programa de convites): código de indicação e vínculo entre quem indica e quem é indicado, com exibição anonimizada (ver Seções 5 e 19).
• Suporte: mensagens trocadas pelos canais oficiais, incluindo WhatsApp (número de telefone, mensagens e mídias enviadas por você).
• Relatos de problemas (feedback): título, descrição e capturas de tela que você enviar voluntariamente (ver a Seção 12, linha GitHub, sobre a publicidade desses relatos).
• Métricas de uso e registros de segurança: eventos de navegação de primeira parte — versão do aplicativo, sistema operacional e um resumo do navegador (por exemplo "Chrome 126 · Android · celular", nunca o modelo exato do seu aparelho), e o endereço IP protegido por hash e cifra, que muda todo dia e não pode ser revertido ao endereço original —, trilhas de auditoria e registros de acesso a dados — inclusive para que você possa saber quem acessou suas informações. Em telas específicas de cadastro, login e assinatura, também registramos em qual PONTO da tela um toque ou clique aconteceu (para entendermos onde a navegação trava) — sem ligar esse registro à sua conta, mesmo que você esteja com a sessão aberta: essa medição é sempre anônima e nunca inclui texto da tela. Você pode se opor a toda essa medição (Seção 19).
• Métricas do site público: no site www.namandu.org, a Ahrefs Web Analytics conta visitas sem cookies e sem identificador persistente; com base em legítimo interesse, e mediante aviso no site, o Google Analytics registra a sua navegação associada a um identificador pseudônimo guardado em cookie, e uma ferramenta de mapa de calor e gravação de sessão com o texto da página mascarado — hospedada em infraestrutura própria da Namandu, sem envio a nenhum terceiro — registra em quais pontos você clica e o percurso da sua visita, apenas nas páginas do site que não tratam de saúde mental (a página inicial, "Para psicólogos", preços e a de baixar o aplicativo — nunca as de triagem, os temas de saúde mental nem os perfis de profissionais). Nenhuma das três é usada por nós para publicidade, e você pode se opor a qualquer uma delas (Seção 16).
• Canal de origem (atribuição de campanha): quando você chega à plataforma por um link de divulgação nosso, esse link já traz rótulos de campanha no próprio endereço (utm_source, utm_medium, utm_campaign, utm_content e utm_term); na ausência deles, registramos apenas o domínio de origem da visita (por exemplo, que você veio de um mecanismo de busca ou de uma conversa com um assistente de IA), quando o navegador o informa. Guardamos esses rótulos junto ao início da visita e à criação da conta, e mantemos na sua conta o primeiro canal registrado, para sabermos por onde as pessoas nos encontram. Quando o link carrega um identificador de clique de uma plataforma de anúncio (como o gclid do Google ou o fbclid da Meta), guardamos esse identificador por até 90 dias junto ao primeiro toque — ele nunca é devolvido ao Google, à Meta ou a qualquer anunciante, e serve só ao nosso registro interno de qual campanha trouxe a visita. São rótulos da nossa própria divulgação — não são identificadores seus, não vêm de rastreadores de terceiros e não são usados para publicidade direcionada (Seções 4 e 16).
• "Como você conheceu a Namandu?": no cadastro, perguntamos, de forma opcional, como você chegou até nós (por exemplo: indicação de amigo, rede social, busca ou uma conversa com um assistente de IA). Sua resposta fica na conta e é usada só para entendermos quais canais funcionam — nunca para segmentação de anúncio, e você pode não responder.
• Ligação entre o clique e a instalação do aplicativo (somente iPhone): quando você toca em um link nosso de divulgação e é levado à App Store, o aplicativo recém-instalado não recebe do sistema nenhuma informação sobre o link que trouxe você. Para não perder o canal nesse intervalo, guardamos por no máximo 1 hora um registro técnico do clique contendo apenas os rótulos de campanha acima e o seu endereço IP protegido por hash — não guardamos o endereço em si, nem informação sobre o seu navegador. Na primeira vez que o aplicativo é aberto, ele pergunta se houve um clique recente vindo da mesma conexão; havendo exatamente um, o canal é registrado na sua conta e esse registro técnico é apagado no mesmo instante. Passada a hora, ele é apagado de qualquer forma. Como a ligação é feita apenas pela conexão de rede, ela é aproximada: em redes compartilhadas costuma não haver correspondência, e nesse caso simplesmente não registramos canal nenhum. No Android essa ligação é feita pela própria Google Play, e nada disso é guardado por nós.
• Consentimentos e aceites: os consentimentos e aceites registrados na plataforma (como os consentimentos de compartilhamento com psicólogos e os aceites de documentos legais) são guardados com texto exato, versão, data, IP (cifrado) e dispositivo, como evidência. O opt-in de dados de saúde do dispositivo (Seção 8) é registrado nas permissões do próprio aparelho e do sistema operacional, sem registro adicional em nossos servidores — estamos trabalhando para estender a ele o mesmo registro de evidência.

Não coletamos dados de usuários além dos descritos nesta Política (ver a Seção 3.1 sobre dados de pessoas que não são usuárias). O aplicativo e os aplicativos web não utilizam rastreadores de publicidade nem ferramentas de analytics de terceiros; no site público, as únicas ferramentas de medição de terceiros são as duas descritas na Seção 16. O único conteúdo de terceiro que o aplicativo e os aplicativos web carregam é o reprodutor do YouTube, e só quando você toca para assistir a um vídeo (Seção 16.1).

3.1 Dados de pessoas que não são usuárias

A plataforma também trata dados pessoais de pessoas que não possuem conta:

• Pacientes externos cadastrados por psicólogos: nome, e-mail e telefone (armazenados cifrados), inseridos pelo próprio psicólogo para organização de agenda, prontuário e cobrança. Nesse tratamento, a Namandu atua como operadora, a serviço do psicólogo, que é o controlador desses dados.
• Contatos profissionais para comunicação com psicólogos (aquisição): dados de contato profissional utilizados para convites de adesão à plataforma, sempre com opção de descadastro em 1 clique nas comunicações.
• Quem usa o conector público "Namandu Evidências", em assistentes de IA como o Claude e o ChatGPT, sem conta na Namandu: o texto de cada busca que o assistente envia (até 200 caracteres), usado só para responder e não gravado, com e-mails e telefones trocados por marcadores antes da busca; o nome e a versão do aplicativo que chama; e dados técnicos da conexão, como o endereço IP. Para os limites de uso e para contar quantas origens diferentes usam o conector, a origem de cada chamada (o IP ou o identificador pseudônimo enviado pelo assistente) vira um código calculado com uma chave que troca todo dia (e outra, toda semana), que não é ligado a nenhuma conta. O texto de cada busca é verificado quanto a sinais de crise por um provedor de IA (Google Gemini, com o OpenRouter como reserva — Seção 12), para que a resposta traga o encaminhamento ao CVV (188) e ao SAMU (192) a quem precisa; isso não cria alerta, não notifica ninguém e não grava nada (Seção 10). Na busca da literatura científica, o texto da busca também vai ao Google para gerar a representação numérica que encontra os trechos (Seção 12). Prazos, limites e licenças estão na página do conector, em www.namandu.org/conector-evidencias.
• Quem assina a newsletter do blog, sem conta na Namandu: o e-mail digitado no formulário do blog (guardado cifrado), de qual parte do blog veio a inscrição, as datas da inscrição e do descadastro e qual edição semanal já foi enviada. A inscrição vale na hora, sem e-mail de confirmação; todo e-mail da newsletter traz o descadastro em 1 clique, então quem foi inscrito por outra pessoa pode sair pelo primeiro e-mail que receber. O endereço só é usado para a newsletter: não é ligado a uma conta, não recebe outras comunicações de marketing e não é compartilhado para publicidade. Um endereço que está na lista de supressão de envios (devolução, reclamação de spam ou pedido de não receber) não é inscrito.
• Resultados de buscas de profissionais externos: quando um usuário utiliza o recurso de busca de profissionais fora da plataforma, dados profissionais de fontes públicas (nome, registro profissional, telefone, e-mail e endereço) podem ser processados; esses resultados são retidos por 90 dias (Seção 18).

Bases legais: legítimo interesse (art. 7º, IX) — no conector público, para responder às buscas, proteger o serviço com limites de uso e medir o uso agregado —; consentimento (art. 7º, I) — na newsletter do blog, dado ao enviar o formulário e revogável a qualquer momento pelo descadastro —; e, no caso do prontuário e do financeiro de pacientes externos, as bases legais do próprio psicólogo controlador. Titulares desses dados podem exercer seus direitos pelos canais da Seção 23.

4. Dados sensíveis de saúde mental

Registros de humor, respostas a questionários de triagem, conversas sobre saúde mental, transcrições de sessões, registros clínicos e métricas de saúde do dispositivo são dados pessoais sensíveis nos termos do art. 5º, II, da LGPD, e recebem tratamento reforçado:

• São tratados, em regra, com base no seu consentimento específico e destacado (art. 11, II, "a", da LGPD), colhido no momento adequado e revogável a qualquer tempo.
• Criptografia: os conteúdos sensíveis principais — mensagens de conversas, anotações e campos descritivos dos registros de humor (emoções, gatilhos, atividades), respostas e interpretações de questionários, transcrições e resumos de sessão, registros clínicos e resumos de saúde do dispositivo — são cifrados em repouso com AES-256-GCM, com chaves gerenciadas em serviço dedicado de gerenciamento de chaves (AWS KMS), e todos os dados trafegam por conexões cifradas (TLS). Alguns metadados operacionais (como prévias de mensagens exibidas em listas de conversas, resultados de ferramentas exibidos no chat e determinados registros técnicos e de auditoria) e escalas numéricas simples (como as avaliações de 1 a 5 de energia, sono e nutrição) podem não receber cifra de campo individual; eles permanecem protegidos pelos demais controles desta Política (TLS, controle de acesso por perfil e trilhas de auditoria), e estamos ampliando progressivamente a cobertura da cifra de campo.
• Nunca são vendidos. A Namandu não comercializa dados pessoais de nenhuma natureza.
• Nunca são usados para publicidade, marketing direcionado ou perfilamento comercial.
• Nunca são comunicados ou compartilhados com o objetivo de obter vantagem econômica, conforme veda o art. 11, § 4º, da LGPD — em especial, jamais para decisões de crédito, seguro ou emprego.
• O acesso interno é restrito por perfil e registrado em trilhas de auditoria.

5. Finalidades e bases legais (LGPD)

No programa de indicações, o tratamento envolve dois titulares (quem indica e quem é indicado): registramos o vínculo entre ambos para atribuir a recompensa, com exibição anonimizada para quem indicou. A pessoa indicada pode se opor à manutenção desse vínculo nos termos da Seção 19 (item 11).

Quando o tratamento se basear em legítimo interesse, adotamos medidas de minimização e nos comprometemos a avaliar e documentar o equilíbrio entre esse interesse e os seus direitos e liberdades fundamentais; você pode se opor a esses tratamentos nos termos da Seção 19.

6. Dados de usuário Google (Sign in with Google e Google Calendar)

Esta seção descreve, de forma específica, o tratamento de dados recebidos de APIs do Google.

6.1 Compromisso de Uso Limitado (Limited Use)

Namandu's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Tradução: o uso, pela Namandu, das informações recebidas das APIs do Google — e a transferência dessas informações a qualquer outro aplicativo — aderirão à Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado (Limited Use).

6.2 Sign in with Google (login)

6.3 Google Calendar (integração opcional de agenda)

A integração com o Google Calendar é totalmente opcional e exige sua autorização expressa, em fluxo separado do login.

• Escopos solicitados: identificação básica (openid, email) e gestão de eventos (calendar.events) para criar/atualizar no seu calendário os eventos das suas sessões na Namandu. Para psicólogos que ativarem a importação de disponibilidade, é solicitado adicionalmente o escopo de leitura (calendar.readonly).
• O que escrevemos: eventos das sessões agendadas na plataforma, por padrão com título genérico ("Sessão Namandu"); a exibição de detalhes adicionais é opcional e controlada por você.
• O que lemos (apenas psicólogos, desativado por padrão): consultamos os eventos de uma janela de 60 dias somente para identificar horários ocupados. Persistimos apenas início, fim e o identificador do evento — títulos, descrições e participantes dos seus eventos pessoais são descartados e nunca armazenados.
• E-mail da conta conectada: guardamos o e-mail da conta Google conectada para exibir "Conectado como…" nas suas configurações.
• Tokens de acesso: os tokens do Google são cifrados (AES-256-GCM/KMS), usados exclusivamente pelos nossos servidores para a sincronização e nunca são expostos pela API nem transferidos a terceiros.
• Desconexão: com um clique, revogamos a autorização junto ao Google e excluímos os tokens, os eventos criados pela plataforma e os registros de disponibilidade importados. Você também pode revogar o acesso diretamente em myaccount.google.com/permissions. Se você pretende excluir sua conta Namandu, recomendamos desconectar a integração de calendário antes, para que a revogação e a exclusão dos tokens ocorram imediatamente (ver Seção 18).

6.4 O que nunca fazemos com dados recebidos do Google

• Não vendemos dados recebidos de APIs do Google.
• Não os utilizamos para publicidade de nenhuma forma.
• Não os utilizamos para desenvolver, aprimorar ou treinar modelos de inteligência artificial ou aprendizado de máquina. Os dados de login e de calendário são processados em fluxos separados e não entram nos recursos de IA da plataforma.
• Não permitimos leitura humana desses dados, exceto: (i) com seu consentimento explícito; (ii) quando necessário por razões de segurança (como investigação de abuso); (iii) para cumprir obrigação legal; ou (iv) sobre dados agregados e anonimizados para operação interna.
• Só transferimos esses dados a terceiros quando necessário e permitido pela política do Google (por exemplo, provedores de infraestrutura sob contrato), por exigência legal ou em eventual reorganização societária com aviso prévio.

Comunicaremos com antecedência, com atualização desta Política e novo pedido de consentimento quando exigido, qualquer mudança na forma como usamos dados recebidos do Google.

7. Sign in with Apple

Ao entrar com sua conta Apple, recebemos apenas: o identificador técnico da sua conta (um código opaco), seu e-mail, o indicador de e-mail verificado e — somente na primeira autorização — o nome que você escolher compartilhar.

• Ocultar Meu E-mail (Hide My Email) é suportado: se você optar pelo e-mail de retransmissão privado da Apple, ele é tratado como seu e-mail de contato e sua identidade permanece vinculada ao identificador técnico, não ao e-mail.
• O token de login é verificado criptograficamente e descartado; não obtemos acesso a nenhum outro dado da sua conta Apple.
• Não coletamos dados de interação com a Apple para fins publicitários.
• Você pode desvincular sua conta Apple a qualquer momento nas configurações da plataforma.

8. Dados de saúde do dispositivo (Apple HealthKit e Google Health Connect)

Este recurso é opcional, desativado por padrão e só funciona com a sua permissão explícita, concedida em fluxo destacado e nas permissões do próprio sistema operacional.

8.1 Quais dados lemos (somente leitura) e para qual funcionalidade

Lemos exclusivamente as métricas abaixo — nunca escrevemos nada de volta no Apple Health ou no Health Connect. Cada tipo de dado é solicitado apenas para a funcionalidade visível que o utiliza:

8.2 Para que usamos

Exclusivamente para funcionalidades de saúde e bem-estar visíveis para você: exibir as métricas do dia no aplicativo, anexar um resumo diário ("snapshot") aos seus registros de humor e gerar correlações entre suas métricas objetivas e seu humor autorrelatado (insights pessoais).

8.3 Armazenamento, compartilhamento e limites

• Somente o resumo diário anexado a um registro de humor é enviado aos nossos servidores, onde é armazenado cifrado (AES-256-GCM/KMS). O tráfego ocorre sempre por conexão cifrada (TLS).
• Compartilhamento com psicólogos: no fluxo de compartilhamento mediante seu consentimento granular (Seção 11), os resumos de saúde do dispositivo são excluídos do que o psicólogo recebe. Contudo, existem hoje caminhos técnicos de acesso por perfis profissionais e administrativos autorizados que podem alcançar registros de humor com o resumo de saúde incluído, sem passar pelo consentimento granular; estamos trabalhando para submeter todos os caminhos de acesso ao mesmo modelo de consentimento (ver Seção 11).
• Processamento por IA de terceiros: se você utilizar o recurso de insights de saúde no assistente de IA, os valores das suas métricas poderão ser processados pelos provedores de IA nomeados na Seção 12 (Google Gemini e, como contingência, modelos acessados por meio da OpenRouter) exclusivamente para gerar a resposta solicitada por você.
• Seus dados de saúde nunca são usados para publicidade, marketing ou mineração de dados, nunca são vendidos e nunca são usados para decisões de crédito, seguro ou emprego. Qualquer novo uso dependerá de novo consentimento específico.

8.4 Controle e exclusão

Você pode revogar a permissão a qualquer momento no aplicativo e nas configurações do sistema (Apple Health ou Health Connect), o que interrompe imediatamente novas coletas. A revogação não apaga automaticamente os resumos já enviados. Ao excluir um registro de humor, o resumo de saúde anexado a ele é excluído junto; você também pode solicitar a eliminação dos resumos de saúde já enviados pelos canais da Seção 19.

9. Assistente de inteligência artificial

O assistente de IA da Namandu é uma ferramenta de psicoeducação — ele não diagnostica nem substitui atendimento profissional.

• Provedores: as conversas são processadas por provedores de IA contratados como operadores — principalmente Google (Gemini), com contingência em modelos acessados por meio da OpenRouter — que só encaminha o pedido a provedores que não retêm nem usam os dados (retenção zero) — e, para resumos, Anthropic (Seção 12).
• Minimização (texto do chat): antes do envio ao provedor, aplicamos remoção automatizada de identificadores pessoais detectáveis (como e-mail, CPF, telefone e RG) no histórico textual da conversa. O conteúdo emocional necessário à resposta é preservado. Essa remoção aplica-se ao texto do chat e ao trecho analisado na triagem de crise (Seção 10) — ela não se aplica ao áudio (abaixo) nem às transcrições integrais de sessão.
• Recursos de voz e áudio: se você usar recursos de voz — mensagens de áudio, conversa por voz em tempo real, legendas de chamadas, áudios enviados pelo canal de suporte no WhatsApp e transcrição/identificação de falantes (inclusive o áudio integral de uma sessão, quando a transcrição em nuvem é utilizada) — o áudio bruto é enviado ao provedor de IA (Google) para conversão em texto e identificação de falantes. A remoção de identificadores aplica-se ao texto resultante, não ao áudio.
• Transcrições de sessões com psicólogo: quando esses recursos são utilizados (Seção 11), a transcrição é processada integralmente (sem remoção prévia de identificadores) pelos provedores da Seção 12 para gerar resumos. Os regimes de autorização são distintos: sessões presenciais só são gravadas/transcritas mediante termo de consentimento registrado; em chamadas online, a gravação/transcrição é sinalizada visualmente a todos os participantes durante a chamada, sem termo específico registrado nesse fluxo.
• Documentos anexados pelo profissional: o psicólogo pode anexar um documento ao copiloto clínico dele — por exemplo, um laudo, um encaminhamento ou um relatório escolar a seu respeito. Nesse caso, o texto do documento é enviado ao provedor de IA junto do restante do contexto da conversa, e a remoção automática de identificadores não se aplica a esse conteúdo. Quando o documento não tem texto selecionável — um laudo digitalizado, uma foto de uma página manuscrita —, é o próprio arquivo que é enviado ao provedor de IA (Google) para que o texto seja transcrito; nesse caso a imagem do documento, e não apenas o texto dele, sai da nossa infraestrutura. O arquivo não é armazenado por nós em nenhum dos dois casos: ele é lido em memória e descartado ao fim da requisição; o texto extraído fica cifrado em cache por até 2 horas, e esse prazo corre sozinho — ele não é encurtado pelo fim da conversa. Se o profissional decidir arquivar o documento no seu caso, ele passa a ser um anexo do prontuário, com a retenção da Seção 18. A decisão de anexar, e a base legal para isso, são do profissional, no exercício da responsabilidade dele sobre o seu prontuário.
• Outros fluxos de IA: para sugerir psicólogos compatíveis, um perfil de triagem (pontuações de questionários como PHQ-9/GAD-7/WHO-5 e traços de perfil) pode ser processado pelo provedor de IA; consultas do recurso de pesquisa aprofundada podem ser processadas pelo provedor com uso de busca Google.
• Memória entre sessões: para dar continuidade às conversas, mantemos resumos cifrados e com identificadores removidos. Você pode visualizar e apagar essa memória, desativá-la por conversa e limpar seu histórico de sessões de chat.
• Retenção: as conversas com o assistente estão sujeitas a expiração automática, atualmente configurada para até 12 meses. Enquanto validamos a aplicação uniforme desse prazo a todas as mensagens, conversas eventualmente não alcançadas pela expiração automática seguem a regra geral de retenção da Seção 18.
• Sem treinamento pela Namandu: a Namandu não utiliza suas conversas para treinar modelos próprios e envia o conteúdo aos provedores exclusivamente para gerar a resposta que você solicitou. O tratamento posterior pelo provedor observa os termos de uso de dados da respectiva API; estamos consolidando a verificação formal desses termos junto a cada provedor e refletiremos o resultado nesta Política.
• Chave própria do profissional (BYOK): o psicólogo pode usar a própria chave de API do Google no copiloto clínico dele. Nesse caso, o que o copiloto processa do seu acompanhamento é tratado sob a conta dele e sob os termos que ele mantém com o Google — inclusive quanto a eventual uso do conteúdo para melhoria de modelos, conforme o nível/plano da conta dele. Quem é atendido não configura chave própria.

10. Detecção automatizada de situações de crise

Para proteger a vida (art. 11, II, "e", da LGPD), a plataforma realiza triagem automatizada de indicadores de risco em conteúdos como conversas com o assistente e respostas de triagem. A triagem ocorre apenas quando você interage com a plataforma — não há monitoramento contínuo.

• Quando indicadores de risco são detectados, o trecho relevante pode ser analisado por provedor de IA (Seção 12) para classificação do nível e da natureza do risco — se é risco à sua própria vida ou violência sofrida por você. Antes do envio, o trecho passa pela mesma remoção automatizada de identificadores descrita na Seção 9; nomes e outros detalhes escritos em texto livre seguem como foram escritos. A versão que armazenamos em nossos registros também é a versão com identificadores removidos.
• No conector público "Namandu Evidências", a triagem também lê o texto de cada busca que o assistente envia — mesmo sem conta na Namandu. Ela só decide se a resposta leva o encaminhamento ao CVV (188) e ao SAMU (192): não cria alerta, não notifica ninguém e não grava o texto nem o resultado (Seção 3.1). O texto vai ao provedor de IA (Seção 12) com e-mails e telefones trocados por marcadores; se a IA não responder, a triagem por palavra-chave decide sozinha.
• A plataforma não presta socorro nem garante que um profissional verá um alerta em tempo hábil: ela exibe orientações e referencia os canais públicos correspondentes à natureza do risco — CVV (188), SAMU (192) e serviços de emergência; ou, em situações de violência, a Central de Atendimento à Mulher (180), a Polícia Militar (190) e o Disque Direitos Humanos (100). Em risco imediato, ligue para esses canais. Profissionais de saúde vinculados a você na plataforma podem ser notificados do alerta, como apoio à continuidade do cuidado — não como resposta de emergência.
• Em alertas classificados como violência, não enviamos notificação push ao seu aparelho, apenas aviso dentro do aplicativo. É uma medida de segurança: uma notificação visível na tela de bloqueio pode expor a terceiros que você buscou ajuda.
• Registramos alertas de crise (nível, natureza, indicadores e contexto, este cifrado) para segurança e continuidade do cuidado. Seu histórico de crise só é compartilhado com um psicólogo mediante seu consentimento específico dessa categoria, e alertas que a própria plataforma classifica posteriormente como alarme falso não são compartilhados.
• Trata-se de decisão automatizada relevante: nos termos do art. 20 da LGPD, você pode solicitar revisão e informações sobre os critérios utilizados pelos canais da Seção 19.

11. Compartilhamento com psicólogos (consentimento granular)

O compartilhamento do seu conteúdo com psicólogos é controlado, em regra, por consentimentos por categoria (por exemplo: histórico de humor, questionários, histórico de crise), com registro do texto exato consentido, data e evidências técnicas.

• Você pode aprovar, negar ou revogar cada consentimento a qualquer momento.
• A revogação bloqueia novos acessos pelo fluxo de compartilhamento, mas não apaga automaticamente registros de auditoria, evidências de consentimento e registros clínicos cuja guarda seja exigida por lei ou por normas profissionais.
• Os acessos realizados pelo fluxo de compartilhamento consentido são registrados, e você pode consultar esses registros de acesso na plataforma.
• Transparência sobre caminhos de acesso: além do fluxo de compartilhamento consentido, existem hoje caminhos técnicos de acesso, restritos a perfis profissionais e administrativos autorizados, que não passam pelo consentimento granular e podem alcançar determinados registros (como o histórico de humor, incluindo o resumo de saúde do dispositivo — Seção 8.3). Estamos trabalhando para submeter todos os caminhos de acesso ao mesmo modelo de consentimento e de registro de acesso.
• Registros clínicos (prontuário) elaborados pelo psicólogo seguem as normas do Conselho Federal de Psicologia, incluindo prazo mínimo de guarda de 5 anos, e há mecanismo de anonimização irreversível quando cabível.
• Gravações: sessões presenciais só são gravadas mediante termo de consentimento específico, registrado e revogável, que descreve o escopo do tratamento. Em chamadas online, a gravação é sinalizada visualmente a todos os participantes durante a chamada; não há, nesse fluxo, termo de consentimento registrado (ver Seção 9).
• Equipes administrativas de clínicas não têm acesso ao conteúdo clínico dos pacientes.

11.1 Avaliações que você escreve sobre profissionais

Este é o único conteúdo escrito por você que pode sair da plataforma para a web aberta. Vale ler com atenção.

• O que é publicado: a nota e o texto da avaliação, na página pública do profissional avaliado — acessível sem cadastro e indexável por mecanismos de busca.
• O que NUNCA é publicado: qualquer coisa que identifique você. Nome, nome de usuário, foto e identificador de conta são removidos no servidor, antes de a avaliação sair da plataforma — a página não recebe esses campos, e não é o site que decide escondê-los.
• Base legal: para avaliações escritas a partir da vigência desta versão, consentimento específico (art. 7º, I, da LGPD), coletado na própria tela, com a opção desmarcada por padrão. Para as anteriores, a exibição ocorre sem identificação e você pode excluir a sua a qualquer momento no aplicativo; a exclusão vale na reconstrução seguinte do site.
• Limite conhecido, e ele é seu para avaliar: a remoção de identificadores alcança os campos da sua conta, e não o texto livre. Se você escrever algo que permita reconhecê-lo — uma data, um lugar, um detalhe raro —, esse texto vai publicado como você o escreveu. Evite incluir dados pessoais, de terceiros ou de saúde no corpo da avaliação.
• Cache de terceiros: uma página já visitada por buscadores pode permanecer em cache por algum tempo depois da remoção. Isso está fora do controle da Namandu, e nenhuma retirada é garantida quanto a cópias feitas por terceiros.

11.2 O assistente de IA escolhido pelo seu psicólogo

O seu psicólogo pode analisar dados do seu acompanhamento — o que ele registra (como notas e registros de sessão) e o que você compartilhou com ele (como humor, respostas a questionários e histórico de crise) — num assistente de inteligência artificial de escolha dele, como o ChatGPT ou o Claude, por meio do conector de IA da Namandu.

• A escolha e a responsabilidade pelo uso são dele, inclusive a escolha do fornecedor e do plano contratado com ele. Isso não afasta os deveres próprios da Namandu: segurança e sigilo dos dados que guarda e envia, seguir apenas instruções lícitas do profissional, registrar cada envio e comunicar incidentes ao profissional, à ANPD e aos titulares quando couber.
• O que é enviado: só o que o assistente pede, e só nos casos que o profissional liberou, um a um. Campos de nome, contato, CPF, endereço e data de nascimento não são enviados. No texto livre, nomes, lugares, datas e contatos são removidos por processo automático de melhor esforço, que pode deixar passar identificadores (nomes incomuns, apelidos, terceiros citados, cidades pequenas, profissões ou eventos raros, combinações de detalhes). O que sai continua sendo dado pessoal, protegido pela LGPD e pelo sigilo profissional.
• Cada envio aparece no seu histórico de acessos, em "Gerenciar consentimentos": o dia, o assistente, o tipo de registro e quantas respostas foram enviadas. O histórico mostra o que a Namandu enviou — não o que o profissional escreveu diretamente na conversa com o assistente.
• Retirar um compartilhamento (Seção 11) impede novos envios do que você compartilhou. A Namandu não consegue apagar cópias que já estão no assistente: o profissional é avisado e deve pedir ao fornecedor que as apague, e você pode pedir isso a ele.
• Se você não tem conta na Namandu (paciente registrado só pelo profissional), quem informa você sobre esse uso é o seu psicólogo.

12. Suboperadores e terceiros nomeados

A Namandu utiliza os seguintes provedores, contratados como operadores sob instrução contratual e com acesso limitado ao necessário:

É requisito da Namandu que todo terceiro que receba dados de usuários ofereça proteção igual ou equivalente à descrita nesta Política; a verificação formal dos termos e dos acordos de tratamento de dados (DPAs) de cada provedor está em consolidação e será refletida nesta Política (ver Seção 13).

Os bancos de dados principais da plataforma rodam em infraestrutura sob gestão direta da Namandu. Arquivos — como gravações de chamadas e sessões, anexos e mídias, inclusive de conteúdo clínico — são armazenados de forma cifrada na AWS (S3, EUA), conforme esta Seção e a Seção 13. Não há venda de dados nem publicidade comportamental. O aplicativo e os aplicativos web não usam rastreadores de analytics de terceiros — o reprodutor do YouTube, carregado só quando você toca para assistir a um vídeo, é tratado na Seção 16.1; no site público, as ferramentas de medição são as da Seção 16 — a ferramenta de mapa de calor e gravação de sessão citada ali roda em servidor próprio da Namandu, e não é um suboperador: nenhum dado dela é enviado a terceiro.

O assistente de IA do seu psicólogo (Seção 11.2) não é suboperador da Namandu: o fornecedor dele — por exemplo, a OpenAI ou a Anthropic, que também aparece acima em outro papel — é escolhido e contratado pelo profissional, e o que ele faz com o que recebe segue o plano que o profissional contratou.

Se você usa legendas automáticas em chamadas, o reconhecimento de fala do seu próprio navegador pode processar o áudio local conforme a política do fabricante do navegador.

13. Transferências internacionais de dados (art. 33 da LGPD)

Parte do tratamento descrito nesta Política ocorre fora do Brasil, nos Estados Unidos, pelos provedores nomeados na Seção 12 (Google, OpenRouter e os provedores de modelo para os quais ela encaminha os pedidos, Anthropic, AWS, Stripe, RevenueCat, Apple, Meta, GitHub, Expo, Cloudflare e Ahrefs).

Para os fluxos que dependem do seu consentimento (como IA, integração de calendário e dados de saúde do dispositivo), essas transferências se amparam no consentimento específico e em destaque, com informação prévia sobre o caráter internacional da operação (art. 33, VIII) — esta seção constitui essa informação prévia. Para os fluxos tratados sob legítimo interesse — incluindo o Google Analytics e o mapa de calor e gravação de sessão do site público (Seção 16) —, e adicionalmente para os demais fluxos acima, buscamos amparar as transferências em cláusulas contratuais e acordos de tratamento de dados (DPAs) dos provedores (art. 33, II); a verificação formal dos DPAs de cada provedor nomeado está em consolidação e será refletida em atualização desta Política.

O envio ao assistente de IA escolhido pelo seu psicólogo (Seção 11.2) acontece por instrução dele, ao fornecedor que ele escolheu, e o país do tratamento é o desse fornecedor.

14. Pagamentos e assinaturas

• Na web, os pagamentos são processados pela Stripe, que coleta seu e-mail e os dados do cartão diretamente, em ambiente próprio certificado (PCI DSS). A Namandu nunca acessa o número completo do cartão; armazenamos apenas dados de assinatura (plano, status, identificadores de transação) e, quando aplicável, os quatro últimos dígitos do cartão.
• No aplicativo, as compras são feitas pelas lojas (App Store/Google Play), e a gestão de assinaturas usa a RevenueCat. O instrumento de pagamento fica com a loja.
• Registros de transação são mantidos enquanto necessários ao cumprimento de obrigações fiscais e à defesa de direitos.
• Você pode cancelar ou alterar sua assinatura a qualquer momento pelo portal de assinatura (web) ou pela loja de aplicativos (mobile), e consultar seu uso na plataforma.

15. Comunicações (e-mail, notificações push e WhatsApp)

• E-mails: enviamos e-mails transacionais (conta, segurança, agendamentos, cobrança) e, opcionalmente, de engajamento. Alguns e-mails opcionais podem incluir resumos do seu autoacompanhamento. Você pode desativar comunicações não essenciais nas preferências ou pelo link de descadastro presente nos e-mails.
• Newsletter do blog: uma vez por semana, os textos novos do blog a quem se inscreveu pelo formulário — com ou sem conta. O descadastro em 1 clique (pelo link do e-mail ou pelo botão de descadastro do próprio provedor de e-mail) vale na hora.
• Notificações push: podem incluir prévia do conteúdo de mensagens recebidas e o nome de quem está chamando. Você controla as notificações nas configurações do aplicativo e do sistema, e pode remover o registro do dispositivo.
• WhatsApp (suporte): canal opcional, iniciado por você. As mensagens trafegam pela infraestrutura da Meta (WhatsApp) e podem ser respondidas por assistente automatizado com transferência para atendimento humano. Para parar de receber mensagens, basta responder com palavras como "parar", "stop" ou "sair" — a supressão é registrada de forma permanente.
• Diagnóstico de falhas (Android): o aplicativo Android envia relatórios de falha (dados técnicos do dispositivo e do erro) ao serviço Firebase Crashlytics, do Google, para correção de defeitos. Esse recurso não existe na versão iOS. Atualmente não há opção de desativar esse envio dentro do aplicativo; você pode registrar oposição pelos canais da Seção 19.

16. Cookies e tecnologias semelhantes

• Utilizamos cookies e armazenamento local estritamente necessários ao funcionamento da plataforma (autenticação, sessão, preferências e roteamento técnico). No site, isso inclui guardar que você já viu o aviso descrito abaixo.
• Coletamos métricas de uso de primeira parte (páginas acessadas, dispositivo/navegador e IP protegido por hash e cifra) para entender e melhorar o serviço.
• No aplicativo e nos aplicativos web, não utilizamos cookies de publicidade, rastreadores de terceiros nem ferramentas externas de analytics — com uma única exceção, iniciada por você: o reprodutor do YouTube, carregado somente quando você toca para assistir a um vídeo (Seção 16.1).
• No site público (www.namandu.org), usamos duas ferramentas de medição de terceiros e uma ferramenta própria, com regras diferentes, descritas nos itens a seguir.
• O aviso no site. Na primeira visita, o site mostra um aviso resumido citando essas ferramentas, com um botão "Entendi". Diferente de um pedido de consentimento, esse aviso não oferece escolha entre aceitar e recusar: é uma notificação — as ferramentas tratadas sob legítimo interesse (abaixo) já operam desde a primeira visita, sujeitas ao seu direito de oposição (último item desta Seção). Fechar o aviso só registra que você o viu, para ele não aparecer de novo; a Política de Privacidade está linkada nele.
• Ahrefs Web Analytics — sem cookies. Conta as visitas ao site sem gravar nada no seu aparelho e sem identificador persistente: a contagem de visitantes usa um código que muda todo dia, calculado com um valor descartado a cada 24 horas, então visitas em dias ou aparelhos diferentes não são ligadas entre si. Recebe o endereço da página, a página de origem, o navegador e o dispositivo, o idioma, as interações com a página (como cliques em links) e a localização aproximada — no máximo a cidade — estimada a partir do IP, que a Ahrefs informa descartar sem armazenar. Base legal: legítimo interesse (art. 7º, IX).
• Google Analytics — com cookies, com base em legítimo interesse. Carregado no site desde a primeira visita, sinalizado pelo aviso descrito acima. Ele grava os cookies _ga e _ga_* (um identificador pseudônimo e o estado da sessão, com validade de até 2 anos, renovada a cada visita) e registra as páginas visitadas — endereço e título, inclusive de páginas sobre saúde mental, como as de triagem —, a origem da visita (inclusive os rótulos de campanha que estiverem no endereço), as interações com o site, o dispositivo, o navegador e a localização aproximada que o Google estima a partir do IP. Os sinais de publicidade do Google ficam negados: não autorizamos o uso desses dados para anúncios nem para personalização de anúncios. Os eventos associados ao identificador ficam no Google Analytics por até 14 meses; relatórios agregados, que não identificam visitantes, podem ser mantidos por mais tempo. Base legal: legítimo interesse (art. 7º, IX). Como se opor: item "Direito de oposição" abaixo.
• No blog (www.namandu.org/blog e /noticias), valem as regras deste site, com três diferenças, porque todo texto do blog trata de saúde mental: a Ahrefs não é carregada; o mapa de calor e a gravação de sessão também não; e o Google Analytics recebe só o tipo da página (por exemplo, "um artigo do blog"), nunca o endereço nem o título do texto lido. A contagem de leituras por texto fica só nas métricas de primeira parte, em servidor próprio da Namandu.
• Os rótulos de campanha da Seção 3 chegam no próprio endereço que você clicou e são lidos ali, uma única vez. No navegador eles ficam apenas no armazenamento da aba (sessionStorage), descartado quando você a fecha; se você criar uma conta, o primeiro canal registrado é guardado na conta, e visitas posteriores não o substituem. Nenhum cookie de terceiro, pixel de anunciante ou identificador de publicidade participa desse registro, e esses rótulos não são cruzados com dados de saúde (Seção 4). À parte dele, o Google Analytics também lê os rótulos presentes no endereço, como parte da origem da visita (item acima).
• No iPhone existe uma exceção a esse "lidos ali, uma única vez", descrita na Seção 3: para ligar o clique à instalação do aplicativo, o registro técnico do clique (rótulos de campanha e IP protegido por hash) fica no nosso servidor por no máximo 1 hora e é apagado assim que usado. Não é um cookie, não fica no seu aparelho e não identifica você; é a única forma de saber por qual link o aplicativo foi instalado sem recorrer a serviços de rastreamento de terceiros, que optamos por não usar para isso.
• Mapa de calor e gravação de sessão (ferramenta própria) — com base em legítimo interesse. Carregado desde a primeira visita, sinalizado pelo aviso descrito acima, e apenas nas páginas do site que não tratam de saúde mental (a página inicial, "Para psicólogos", preços e a de baixar o aplicativo). Registra os pontos onde você clica na página e reproduz o percurso da sua visita com todo o texto da página mascarado — nenhuma palavra que você lê ou digita nessas páginas é gravada. Roda em servidor próprio da Namandu: nenhum dado dela sai para um terceiro. Os registros ficam por 30 dias e depois são apagados automaticamente. Base legal: legítimo interesse (art. 7º, IX).
• Direito de oposição, com controle automatizado. Você pode se opor a TODA a medição de uso e de marketing tratada sob legítimo interesse nesta Seção e na Seção 3 (métricas de primeira parte, mapa de toque, canais de aquisição, Ahrefs Web Analytics, Google Analytics e o mapa de calor e gravação de sessão) de duas formas: (1) a chave "Registrar meu uso do app", nas preferências de privacidade do aplicativo e dos aplicativos web — desligá-la impede novos registros a partir daquele momento, em qualquer aparelho onde você esteja com a mesma conta; e (2) o sinal "Não me rastreie" (Global Privacy Control) do seu navegador, que vale mesmo sem conta, para qualquer visitante do site. No site público (www.namandu.org), que não tem login, o controle é o sinal do navegador — a chave da conta não chega até ele. Onde cada um vale, o efeito é o mesmo: nenhuma medição nova é gravada enquanto o pedido estiver ativo, e histórico já registrado antes do pedido não é apagado retroativamente por ele — para isso, use a exclusão de dados (Seção 18).

16.1 Vídeos exibidos pelo YouTube

Alguns conteúdos do aplicativo e dos aplicativos web são vídeos hospedados no YouTube (Google LLC). Os vídeos de psicoeducação, os exercícios guiados de respiração e meditação e o tutorial de boas-vindas são da própria Namandu; os exercícios de ioga e alongamento usam vídeos de outros canais do YouTube, escolhidos pela Namandu. Para o tratamento dos seus dados, isso não faz diferença: em todos, o reprodutor é o mesmo e as regras abaixo são as mesmas.

• O YouTube só é acionado quando você toca em "Assistir". Antes disso, a tela mostra uma capa servida pela própria Namandu e um aviso de que o vídeo é carregado pelo YouTube. Listas, feed e carrosséis não fazem nenhuma requisição ao YouTube, nem de miniatura, e os conteúdos de leitura podem ser lidos sem carregar o vídeo.
• A partir desse toque, o reprodutor é fornecido diretamente pelo YouTube, em modo de privacidade aprimorada (youtube-nocookie.com), e o YouTube recebe dados técnicos da sua conexão e da reprodução — como endereço IP, modelo do aparelho, navegador, idioma, o vídeo assistido e a informação de que ele foi aberto dentro da Namandu —, tratados pelo Google conforme a Política de Privacidade do Google (https://policies.google.com/privacy) e os Termos de Serviço do YouTube (https://www.youtube.com/t/terms), que também se aplicam enquanto você assiste. No aplicativo de celular, o reprodutor roda num navegador interno isolado, que não guarda dados depois de fechado e não navega para fora do vídeo.
• Não enviamos ao YouTube seu nome, e-mail, registros de humor, respostas de questionários nem qualquer outro dado da sua conta, e o YouTube não nos envia dados sobre você.
• Para contar o tempo de um exercício guiado em vídeo, o aplicativo lê do reprodutor, no seu próprio aparelho, apenas o estado da reprodução (tocando, pausado ou encerrado) e a posição do vídeo. Com isso, a prática é registrada como qualquer outra prática feita no aplicativo — qual foi, quando e quanto tempo de vídeo foi de fato assistido —, e nada disso é enviado ao YouTube.
• O servidor da Namandu consulta os Serviços de API do YouTube apenas para obter informações públicas dos próprios vídeos (como título, duração, formato e disponibilidade); nenhum dado de usuário é enviado a eles.
• A Namandu não exibe anúncios nem envia dados seus a anunciantes. O reprodutor pertence ao YouTube, e eventuais anúncios exibidos nele são de responsabilidade do YouTube.

17. Segurança da informação

• Criptografia em trânsito (TLS) em todas as comunicações e criptografia em repouso (AES-256-GCM) para os principais conteúdos sensíveis, nos termos da Seção 4, com chaves gerenciadas em serviço dedicado (AWS KMS) e nunca armazenadas junto aos dados.
• Senhas armazenadas exclusivamente como hash bcrypt.
• Controle de acesso por perfil e por autorização granular, com muros de separação (por exemplo, equipes administrativas não acessam conteúdo clínico).
• Trilhas de auditoria e registros de acesso a dados, que você pode consultar.
• Gestão de sessões: você pode visualizar as sessões ativas da sua conta e encerrar todas remotamente.
• Monitoramento, resposta a incidentes e comunicação à ANPD e aos titulares nas hipóteses do art. 48 da LGPD.
• Vulnerabilidades de segurança podem ser reportadas pelos canais oficiais da Seção 23.

Nenhum sistema é absolutamente seguro; adotamos medidas proporcionais ao risco do tratamento e as aprimoramos continuamente. Importante: a criptografia descrita protege os dados em trânsito e em repouso nos nossos sistemas — não se trata de criptografia de ponta a ponta.

18. Retenção e eliminação de dados

Mantemos dados pessoais apenas pelo tempo necessário às finalidades desta Política, a obrigações legais e à defesa de direitos. Prazos específicos já definidos:

Demais dados — como cadastro, registros de humor, respostas de questionários, registros de sessão, registros de transação e mensagens — são mantidos enquanto sua conta existir ou até que você solicite a eliminação, observadas as exceções legais (evidências de consentimento, auditoria, obrigações fiscais e guarda de prontuário). Estamos definindo e implementando prazos automáticos adicionais para outras categorias, que serão publicados nesta tabela.

Exclusão de conta e métricas de uso: ao excluir sua conta, os eventos de medição de uso vinculados a ela (Seção 3) são apagados junto com os demais dados — essa cobertura foi estendida a partir desta versão; exclusões concluídas antes dela não são reprocessadas automaticamente.

Eliminação: você pode excluir registros individuais diretamente na plataforma (por exemplo, registros de humor, memória do assistente e histórico de chat) e solicitar a exclusão da sua conta pelos canais da Seção 23. A exclusão de conta registrada é atendida por processo interno conduzido pela nossa equipe e abrange os principais conjuntos de dados da conta; estamos ampliando a cobertura desse processo para todos os sistemas de armazenamento (incluindo arquivos, integrações e registros derivados) — enquanto essa ampliação não é concluída, dados residuais podem permanecer em sistemas auxiliares, protegidos pelos controles desta Política, e você pode solicitar a eliminação complementar pelos mesmos canais. Se você utiliza a integração de calendário, recomendamos desconectá-la antes de solicitar a exclusão da conta (Seção 6.3), para revogação e exclusão imediatas dos tokens. Usuários anônimos podem excluir todos os seus dados imediatamente, no próprio aplicativo. A anonimização de registros clínicos, quando cabível, é irreversível.

19. Seus direitos como titular (art. 18 da LGPD)

Você pode exercer, gratuitamente e a qualquer momento:

1. Confirmação da existência de tratamento;
2. Acesso aos seus dados;
3. Correção de dados incompletos, inexatos ou desatualizados;
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
5. Portabilidade dos dados, mediante solicitação expressa — atendida atualmente por processo manual conduzido pela nossa equipe —, observados os segredos comercial e industrial;
6. Eliminação dos dados tratados com consentimento, ressalvadas as hipóteses legais de guarda (ver Seção 18);
7. Informação sobre com quem compartilhamos seus dados;
8. Informação sobre a possibilidade de não consentir e as consequências da negativa;
9. Revogação do consentimento;
10. Revisão de decisões automatizadas que afetem seus interesses (art. 20), incluindo a triagem de crise da Seção 10;
11. Oposição a tratamentos baseados em legítimo interesse (incluindo métricas de uso, o mapa de toque, medição de canais de aquisição, a Ahrefs Web Analytics, o Google Analytics e o mapa de calor e gravação de sessão no site, diagnóstico de falhas e o vínculo do programa de indicações) — com controle automatizado pela chave "Registrar meu uso do app", nas preferências de privacidade, ou pelo sinal "Não me rastreie" (Global Privacy Control) do seu navegador (Seção 16).

Como exercer: parte dos controles está disponível na própria plataforma (área de privacidade e consentimentos — onde você gerencia consentimentos, desliga o registro de uso, exclui registros individuais e consulta os registros de acesso aos seus dados). Solicitações de acesso, portabilidade e eliminação de conta devem ser feitas pelos canais oficiais da Seção 23 e são atendidas por processo conduzido pela nossa equipe, nos prazos da LGPD e da regulamentação da ANPD. A oposição ao Google Analytics e ao mapa de calor é feita pelos mesmos dois controles automatizados acima (Seção 16), não mais por um link separado de preferências de cookies. A revogação de consentimento (para os fluxos que ainda dependem dele) vale para o futuro e não apaga automaticamente registros cuja guarda seja exigida por lei.

Sobre o assistente de IA do seu psicólogo (Seção 11.2): o histórico de acessos mostra cada envio; a retirada de um compartilhamento impede novos envios do que você compartilhou; e a oposição ao uso do que ele registra é dirigida a ele, que é o responsável (controlador) pelo prontuário — a Namandu apoia o atendimento do seu pedido.

Caso considere que seus direitos não foram atendidos, você pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD) — www.gov.br/anpd.

20. Encarregado pelo tratamento de dados pessoais (DPO)

• Encarregado: Cassio Batista.
• Contato direto do Encarregado: privacidade@namandu.org.

O Encarregado pelo Tratamento de Dados Pessoais (art. 41 da LGPD) é responsável por receber comunicações de titulares e da ANPD, prestar esclarecimentos e adotar providências.

21. Crianças e adolescentes

A Namandu destina-se a maiores de 18 anos. No fluxo de contratação de atendimento via web, a plataforma oferece a possibilidade de aceite de contrato pelo responsável legal, quando o atendimento envolver adolescente sob responsabilidade de um adulto. O regime completo de uso por adolescentes — incluindo o consentimento específico e em destaque do responsável legal, nos termos do art. 14 da LGPD — está em definição e será refletido em atualização desta Política antes de qualquer abertura formal da plataforma a menores de 18 anos. Contas criadas em desacordo com esta Política estão sujeitas a encerramento, observadas as regras de retenção e eliminação da Seção 18.

O caso de uma criança ou de um adolescente só pode ser liberado pelo profissional para o assistente de IA dele (Seção 11.2) depois que ele confirma, naquele caso, ter o consentimento do responsável legal.

22. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças no serviço ou na legislação. Cada versão possui número, data de vigência e resumo de alterações. Mudanças relevantes — em especial qualquer alteração na forma como usamos dados recebidos do Google ou dados sensíveis de saúde — serão comunicadas com antecedência na plataforma e, quando exigido, dependerão de novo aceite antes da continuidade do uso.

23. Contato

• Controladora: BATISTA TECNOLOGIA LTDA ("Namandu"), CNPJ 61.011.378/0001-85, com sede na Rua Pais Leme, 215, conj. 1713, Pinheiros, São Paulo/SP, CEP 05424-150.
• E-mail de contato da controladora e de privacidade: privacidade@namandu.org.
• Reporte de vulnerabilidades de segurança: privacidade@namandu.org, além da área de suporte da plataforma.
• Canais na plataforma: área de suporte e privacidade da plataforma.
• Encarregado (DPO): Seção 20.
• Emergência: a Namandu não é canal de emergência. Em risco imediato, ligue CVV 188 ou SAMU 192.