Segurança, LGPD e os dados dos seus pacientes

Prontuário de nutrição é dado sensível: peso, dobra cutânea, foto corporal, queixa alimentar, diagnóstico, anotação de consulta. A LGPD não trata isso como cadastro de loja, e a caderneta que ficava na gaveta trancada não deixou de existir — ela virou uma conta com senha.

Este artigo é sobre duas coisas: o que o SimpleNutri faz para proteger esses dados e, principalmente, o que continua sendo responsabilidade sua. A segunda parte é a que mais gera surpresa.

Você é o controlador. Não é detalhe jurídico

A LGPD separa dois papéis. O controlador decide por que e como os dados são tratados. O operador trata os dados conforme as instruções do controlador.

Na Política de Privacidade do SimpleNutri, a divisão está escrita sem rodeio: quem atende é o controlador dos dados dos próprios pacientes; o SimpleNutri é o operador. Três consequências práticas disso:

• O consentimento é seu trabalho. Informar o paciente de que os dados dele ficarão num sistema digital e registrar essa concordância é responsabilidade exclusiva de quem atende.
• O pedido do paciente chega em você primeiro. Quem quiser acesso, correção ou exclusão deve procurar o profissional que o cadastrou. O SimpleNutri só pode ser acionado depois, como operador.
• Paciente menor de idade exige responsável legal. O consentimento tem que vir de quem responde por ele, e conferir isso é sua função.

O que o SimpleNutri protege e como

A política lista as medidas técnicas. Em português direto:

Medida	O que significa na prática
HTTPS (TLS)	O que sai do seu navegador viaja criptografado
Criptografia em repouso	Banco e arquivos ficam cifrados no armazenamento
Row Level Security	Cada conta só alcança os próprios dados, no banco
Backups periódicos	Cópias regulares para não perder histórico

A linha do meio é a mais importante e a menos visível. Row Level Security é uma regra aplicada dentro do banco de dados, não na tela: a consulta já sai filtrada pela sua conta. Um erro de interface não teria como mostrar o paciente de outra pessoa, porque os dados dela nunca chegam até o seu navegador.

Além disso, os arquivos que você envia — fotos de evolução, logo, documentos — ficam em armazenamento privado, e os links de download são assinados e temporários, não endereços públicos que alguém possa adivinhar.

Quem mais encosta nos dados

Três fornecedores, com funções separadas:

• Stripe processa pagamentos e assinaturas. Os dados de cartão são transmitidos e armazenados pelo Stripe, sob o padrão PCI-DSS, e não ficam nos servidores do SimpleNutri.
• Resend entrega os e-mails transacionais — confirmação de cadastro, recuperação de senha, avisos de cobrança, notificações. Recebe o endereço e o conteúdo da mensagem, e nada além disso.
• AWS guarda os arquivos, em buckets privados com acesso restrito.

A política afirma que nenhum outro terceiro tem acesso a dados de usuários ou de pacientes, e que a plataforma não integra redes de publicidade, analytics de terceiros com dados identificáveis nem rastreamento comportamental. Os cookies e o armazenamento local usados são os necessários para manter a sessão, guardar preferências de interface e proteger o acesso.

O que a IA recebe quando você gera uma refeição

Vale saber exatamente o que sai da sua conta quando você usa a geração de cardápio com IA, porque a suposição intuitiva está errada.

A solicitação leva a meta de calorias, os percentuais de carboidrato, proteína e gordura, as restrições e preferências que você digitou naquele formulário, o tipo e o horário da refeição e a lista de alimentos da base com os valores nutricionais. Nome, telefone, e-mail, histórico clínico, antropometria e anotações do paciente não entram na solicitação.

Isso muda uma decisão prática: se você escrever “paciente Maria, gestante, com hipotireoidismo” no campo de restrições, aí sim está enviando informação identificável. O campo espera itens como “lactose, glúten, amendoim”.

O que é público, o que o paciente vê e o que é só seu

Três camadas, e confundi-las é a origem de quase todo susto:

Público para qualquer pessoa. Sua página de links e sua página de agendamento — foto, nome, CRN, os números de experiência que você preencheu e os horários livres. Nada de paciente aparece aí.

Visível para o paciente autenticado. O portal de acompanhamento, com a evolução, os cardápios e as consultas dele.

Só seu. As anotações internas. O campo Observações do cadastro do paciente, por exemplo, não aparece no portal nem em nenhum PDF gerado pelo sistema — é anotação sua, dentro do SimpleNutri.

Como o paciente entra no portal

O portal não usa senha, e o desenho do acesso importa para a sua conformidade:

1. O paciente informa o e-mail cadastrado na ficha dele.
2. O sistema envia um código de 4 dígitos para esse endereço, válido por 15 minutos.
3. Verificado o código, a sessão dura 7 dias — depois disso, novo código.

Três proteções embutidas: a tela nunca revela se um e-mail existe na base (a resposta é sempre a mesma, Se o email estiver cadastrado, você receberá um código de verificação.), há limite de pedidos de código por hora, e códigos expirados ou com tentativas demais são recusados com Código expirado. Solicite um novo código. e Número máximo de tentativas excedido. Solicite um novo código.

Consequência direta: o e-mail da ficha é a chave do portal. Cadastrar o e-mail errado dá acesso ao histórico de saúde de uma pessoa para outra. Confira o endereço antes de liberar o acesso ao portal, e paciente arquivado ou sem e-mail simplesmente não recebe código.

Quando o paciente pede os dados, ou pede para apagar

Pedido de acesso ou portabilidade. O SimpleNutri não tem um botão que exporte a ficha inteira num arquivo só. O que existe são três documentos em PDF — relatório de checkpoints, plano alimentar e guia de exames —, cada um na sua tela. O artigo sobre exportar dados do paciente em PDF mostra onde fica cada botão e o que não é exportável hoje.

Pedido de exclusão. No topo da ficha do paciente há um botão de excluir; ele abre a janela Excluir paciente, com a confirmação Esta ação não pode ser desfeita. Se o objetivo for apenas tirar alguém da lista ativa sem perder o histórico — e sem ocupar vaga do plano gratuito —, o caminho é arquivar, trocando o Status na edição do paciente. Antes de excluir de verdade, avalie o que você precisa manter por obrigação profissional; apagar é definitivo.

Se você cancelar a assinatura

A política define o prazo: os dados continuam acessíveis e exportáveis por 30 dias a contar do cancelamento. Depois disso, são excluídos em definitivo dos sistemas ativos e dos backups, respeitado o tempo técnico de propagação. Registros financeiros e de faturamento podem ser guardados por mais tempo, por obrigação contábil e fiscal.

Trinta dias parece muito e não é, se você descobrir no dia 28. Se o cancelamento estiver no seu horizonte, exporte antes.

Não existe, hoje, um botão dentro do aplicativo que apague a sua conta inteira. Esse pedido, como os de acesso, correção e portabilidade dos seus próprios dados, é feito pelos canais indicados na Política de Privacidade — que fica no rodapé da página inicial, das telas de login e cadastro e das páginas públicas —, com prazo de resposta de 15 dias úteis. Se o SimpleNutri sofrer um incidente que afete dados pessoais, a política prevê notificação aos usuários afetados e à ANPD, nos prazos da LGPD.

Se você tem meia hora esta semana, faça três coisas nesta ordem: inclua a cláusula de dados no seu termo de primeira consulta, confira se os e-mails cadastrados nas fichas estão corretos e arquive quem você não atende mais. As três reduzem risco real, e nenhuma delas depende de contratar ninguém. A parte de formalizar o consultório — CNPJ, contrato, nota — está em CNPJ para nutricionista.