# Política de Privacidade — Calm Mind **Versão**: 2.0 (Enterprise-ready) **Última atualização**: 16 de maio de 2026 **Vigência**: a partir da publicação > ⚠️ **AVISO INTERNO (REMOVER ANTES DE PUBLICAR)**: Este documento é um template adaptado para uso B2C + B2B Enterprise. Antes da publicação real, submeter à revisão de advogado especializado em LGPD. Pontos que exigem atenção especial: (1) limites de responsabilidade, (2) lista de subprocessadores atualizada, (3) base legal para tratamento de dados sensíveis em cada cenário, (4) prazo de retenção pós-encerramento de contrato Enterprise. --- ## 1. Quem somos **Calm Mind** é uma plataforma de gestão de saúde mental e prevenção de risco humano operada por **[RAZÃO SOCIAL COMPLETA LTDA]**, CNPJ **[XX.XXX.XXX/0001-XX]**, com sede em **[ENDEREÇO COMPLETO]**. Esta política descreve como tratamos dados pessoais, em conformidade com a **Lei nº 13.709/2018 (LGPD)** e regulamentação da **Autoridade Nacional de Proteção de Dados (ANPD)**. --- ## 2. Encarregado de Dados (DPO) **Encarregado pelo Tratamento de Dados Pessoais**: Calm Mind / Zez Technology DPO Team **E-mail**: dpo@calm-mind-app.com **Endereço para correspondência**: [ENDEREÇO] Você pode contatar nosso DPO para exercer qualquer direito previsto na LGPD, esclarecer dúvidas sobre tratamento de dados ou reportar incidentes. --- ## 3. Em quais papéis tratamos seus dados Operamos em dois cenários distintos, com responsabilidades diferentes em cada um: ### 3.1. Quando você usa Calm Mind diretamente (assinatura individual) Somos o **Controlador** dos seus dados pessoais. Decidimos quais dados coletamos, para quais finalidades, e respondemos diretamente pelas práticas descritas nesta política. ### 3.2. Quando você usa Calm Mind via sua empresa (plano Enterprise) Sua empresa empregadora é o **Controlador** dos seus dados pessoais. **Calm Mind atua como Operador**, tratando os dados sob instruções contratualmente definidas (DPA — Acordo de Tratamento de Dados). Nessa situação: - Sua empresa decidiu contratar Calm Mind e define para quais finalidades os dados são usados - **Sua empresa NUNCA tem acesso aos seus dados individuais** (mood, diário, conversas com IA, conteúdo de consultas) - Sua empresa só tem acesso a métricas agregadas anonimizadas (mínimo 10 pessoas por agrupamento) - Suas perguntas sobre seus dados podem ser direcionadas tanto a nós (como Operador) quanto à sua empresa (como Controlador) --- ## 4. Dados que coletamos ### 4.1. Dados de identificação - Nome completo - E-mail (corporativo no plano Enterprise; pessoal no individual) - CPF (apenas quando obrigatório por exigência fiscal ou legal) - Data de nascimento - Foto de perfil (opcional, fornecida pelo titular) - Telefone (opcional) ### 4.2. Dados sensíveis de saúde (Art. 5º, II e Art. 11 da LGPD) - Registros de humor (mood tracking) - Entradas de diário emocional (texto livre) - Indicadores de ansiedade autorrelatados - Padrões de sono (quando habilitado) - Conversas com agente de IA conversacional - Histórico de consultas com psicólogos credenciados - Diagnósticos eventualmente compartilhados pelo titular ### 4.3. Dados de uso da plataforma - Frequência de acesso, dispositivo, sistema operacional - IP de acesso - Cookies essenciais e de preferências - Logs de erros e desempenho (Sentry) ### 4.4. Dados de integrações (somente plano Enterprise, com seu consentimento) - Metadados do Slack/Microsoft Teams (horário e volume de mensagens — **nunca conteúdo**) - Metadados do Google/Outlook Calendar (volume de reuniões, distribuição horária) - Dados básicos do HRIS corporativo (cargo, time, gestor direto) ### 4.5. Dados de pagamento (apenas assinatura individual) Processados diretamente pela **Stripe Inc.** A Calm Mind não armazena dados completos de cartão de crédito. Recebemos apenas confirmação de transação e últimos 4 dígitos. --- ## 5. Bases legais para tratamento | Categoria | Base legal LGPD | |---|---| | Cadastro, login, suporte | Execução de contrato (Art. 7º, V) | | Pagamentos (B2C) | Execução de contrato (Art. 7º, V) | | Cookies essenciais | Legítimo interesse (Art. 7º, IX) | | Cookies de preferência | Consentimento (Art. 7º, I) | | **Dados sensíveis de saúde** | **Consentimento explícito (Art. 11, I)** | | Integrações Slack/Teams/Calendar (Enterprise) | Consentimento granular por funcionário (Art. 11, I) | | Métricas agregadas anônimas para empregador | Execução de contrato + tutela da saúde (Art. 11, II, "f") | | Atendimento profissional de saúde mental | Tutela da saúde por profissional (Art. 11, II, "f") | | Cumprimento de obrigações legais (fiscal, trabalhista) | Obrigação legal (Art. 7º, II) | --- ## 6. Finalidades do tratamento ### Tratamos seus dados para: 1. Fornecer funcionalidades da plataforma (rastreamento de humor, diário, exercícios, meditação) 2. Fornecer atendimento psicológico via profissionais credenciados 3. Personalizar conteúdo e recomendações de bem-estar 4. Detectar sinais precoces de risco psicossocial **agregado** (apenas plano Enterprise) 5. Cobrança e processamento de pagamentos 6. Comunicação operacional (notificações, alertas, suporte) 7. Cumprimento de obrigações legais e regulatórias (LGPD, NR-1, CRP) 8. Segurança da plataforma, prevenção de fraude e abuso 9. Análise estatística agregada para melhoria contínua do produto ### NÃO usamos seus dados para: - Vender ou alugar a terceiros sob qualquer hipótese - Publicidade direcionada de terceiros - Treinamento de modelos de IA de terceiros (OpenAI, Anthropic, Google) — usamos APIs com retenção zero ou contratos de não-treinamento - Compartilhar com sua empresa empregadora (plano Enterprise) em formato individual identificável --- ## 7. Compartilhamento e subprocessadores Para operar a plataforma, contratamos os seguintes subprocessadores, todos com contratos de proteção de dados compatíveis com a LGPD: | Subprocessador | Finalidade | Localização | Garantias | |---|---|---|---| | **Supabase Inc.** | Banco de dados, autenticação, armazenamento | EUA (com região AWS sa-east-1 quando aplicável) | DPA assinado, SOC 2 Type II, HIPAA-ready | | **Railway Corp** | Hospedagem do backend | EUA | DPA, encryption at rest | | **Cloudflare Inc.** | CDN, DNS, segurança | Edge global (Brasil incluído) | DPA, ISO 27001, SOC 2 | | **Sentry (Functional Software Inc.)** | Monitoramento de erros | EUA | DPA, SOC 2 | | **Stripe Inc.** | Processamento de pagamentos | EUA | PCI-DSS Level 1, DPA | | **Anthropic / OpenAI** | Agente conversacional de IA | EUA | Contratos de não-treinamento, retenção zero | | **Slack Technologies / Microsoft / Google** | Integrações opcionais Enterprise | EUA | Apenas se ativadas pelo cliente | A lista atualizada está sempre disponível em **calm-mind-app.com/subprocessors**. Clientes Enterprise são notificados por e-mail antes de qualquer alteração material. ### Transferência internacional de dados Alguns subprocessadores tratam dados em jurisdição internacional (EUA). Garantimos isso por meio de cláusulas contratuais específicas (DPA), conforme Art. 33 da LGPD. Você pode solicitar cópia dessas cláusulas ao DPO. --- ## 8. Retenção de dados | Tipo de dado | Retenção | |---|---| | Cadastro ativo | Enquanto a conta existir | | Dados de saúde mental (mood, diário) | Enquanto a conta existir + 30 dias após exclusão (período de recuperação) | | Histórico de consultas | 5 anos após última consulta (exigência do Conselho Federal de Psicologia) | | Logs de acesso | 6 meses | | Dados de pagamento | 5 anos após última transação (obrigação fiscal) | | Dados anonimizados (agregados) | Indefinidamente, sem identificação possível | | **Plano Enterprise — dados de colaborador após saída da empresa** | **30 dias para extração + anonimização permanente após** | Após os prazos, dados são **eliminados** ou **anonimizados** de forma irreversível, exceto quando houver obrigação legal de retenção. --- ## 9. Seus direitos (Art. 18 da LGPD) Você pode, a qualquer tempo: 1. **Confirmar** a existência de tratamento dos seus dados 2. **Acessar** seus dados (incluindo download em formato estruturado JSON+CSV) 3. **Corrigir** dados incompletos, inexatos ou desatualizados 4. **Anonimizar, bloquear ou eliminar** dados desnecessários 5. **Portar** seus dados a outro fornecedor 6. **Eliminar** dados tratados com base no consentimento 7. **Revogar** o consentimento a qualquer momento 8. **Ser informado** sobre compartilhamentos 9. **Opor-se** a tratamentos realizados com base em hipótese diversa do consentimento 10. **Reclamar** à ANPD ### Como exercer seus direitos - Através do seu painel pessoal em **Configurações → Privacidade e Dados** - Por e-mail ao DPO: **dpo@calm-mind-app.com** - Resposta em até **15 dias úteis**, conforme Art. 19 da LGPD --- ## 10. Segurança da informação Aplicamos medidas técnicas e organizacionais para proteger seus dados, incluindo: - **Criptografia em trânsito**: TLS 1.3 obrigatório - **Criptografia em repouso**: AES-256 (Supabase) - **Controle de acesso**: autenticação multifator obrigatória para acesso administrativo - **Segregação por tenant**: Row Level Security (RLS) no banco de dados garante isolamento entre clientes Enterprise - **K-anonimato ≥ 10**: nenhum agregado disponibilizado para empregadores contém menos de 10 pessoas - **Auditoria contínua**: todo acesso administrativo é registrado em log imutável - **Backup**: point-in-time recovery de até 14 dias - **Monitoramento**: alertas automáticos para anomalias e tentativas de acesso indevido Apesar de todas as medidas, nenhum sistema é absolutamente imune. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, **notificaremos a ANPD e os titulares afetados em prazo razoável**, conforme Art. 48 da LGPD. --- ## 11. Cookies e tecnologias similares Utilizamos: - **Cookies essenciais** (login, segurança): sem necessidade de consentimento - **Cookies de preferência** (idioma, tema): com base em consentimento - **Cookies analíticos** (estatísticas agregadas): com base em consentimento Você pode gerenciar suas preferências em **Configurações → Cookies** ou no banner exibido no primeiro acesso. **Não utilizamos** cookies de publicidade de terceiros. --- ## 12. Crianças e adolescentes A Calm Mind é destinada a maiores de **18 anos**. Para usuários entre 16 e 18 anos, o uso depende de **consentimento dos pais ou responsáveis legais**. Não tratamos intencionalmente dados de menores de 16 anos. Se identificarmos esse tratamento, eliminamos imediatamente. --- ## 13. Alterações nesta política Esta política pode ser atualizada periodicamente. Mudanças substantivas serão comunicadas por e-mail e exibidas no app com **15 dias de antecedência** antes de entrar em vigor. O histórico de versões está disponível mediante solicitação ao DPO. --- ## 14. Disposições finais **Lei aplicável**: legislação brasileira, com destaque para a Lei nº 13.709/2018 (LGPD). **Foro**: comarca da sede da Calm Mind, com renúncia a qualquer outro, salvo legislação consumerista que assegure foro do domicílio do titular. --- **Última revisão**: 16 de maio de 2026 **Próxima revisão programada**: 16 de novembro de 2026