Política de Privacidade

A NexisX é controladora dos dados pessoais dos usuários finais (responsáveis, profissionais, gestores) e operadora dos dados clínicos das crianças, quando o tratamento ocorrer por conta de uma organização contratante (escola, clínica, prefeitura).

Encarregado (DPO): canal LGPD disponível em dpo@nexisx.com.br.

• Dados da criança (sensíveis, LGPD art. 11 §1º e art. 14): consentimento específico e destacado fornecido pelo responsável legal, registrado em trilha auditável (`consent_records`) com finalidade, versão do documento e data.
• Dados do responsável e do profissional: execução de contrato e legítimo interesse para autenticação, segurança e comunicação.
• Dados agregados anonimizados (KPIs de rede para prefeituras): não são dados pessoais (LGPD art. 12).

• Cadastrais: nome, e-mail, telefone, CPF, cidade, organização vinculada, foto (para verificação biométrica presencial de vínculo — ADR-0010).
• Clínicos: respostas ao M-CHAT-R/F, follow-up e resultado da triagem (imutáveis por ADR-0009).
• Comportamentais (avaliação digital): vídeo curto (~1 min) capturado pela câmera do dispositivo e eventos agregados (atenção, gaze, blinks, movimento, toque). O vídeo bruto é eliminado após 90 dias; os eventos agregados permanecem.
• Técnicos: IP, user-agent, logs de acesso e auditoria de eventos clínicos.

Não coletamos: dados de geolocalização precisa, dados de terceiros externos ao contexto clínico, dados de perfil de redes sociais.

Os dados são tratados exclusivamente para:

• Executar as funcionalidades contratadas.
• Permitir triagem M-CHAT-R/F e observação instrumentada do desenvolvimento infantil.
• Comunicação clínica com o profissional vinculado.
• Cumprimento de obrigação legal e regulatória.
• Auditoria de segurança e integridade da plataforma.

Não vendemos dados. Não usamos dados para publicidade. Não treinamos modelos de IA de terceiros com dados de crianças.

• Profissional vinculado: acessa dados clínicos enquanto o vínculo estiver ativo. Toda visualização é registrada.
• Escola / Clínica: acessa dados enquanto a matrícula estiver ativa; ao término, acesso é revogado automaticamente.
• Prefeitura: recebe apenas indicadores agregados (view `org_network_kpis`) — nunca dados individuais.
• Operadores subcontratados: hospedagem em nuvem (Cloudflare, Supabase/AWS) com acordos de tratamento de dados (DPA) e criptografia em trânsito e em repouso.
• Autoridades: apenas mediante ordem judicial ou requisição formal legalmente exigível.

• Vídeo bruto da avaliação: até 90 dias após a sessão, então eliminado automaticamente. Pode ser apagado antes pelo responsável titular a qualquer momento.
• Eventos agregados e resultado da avaliação: mantidos enquanto durar o vínculo clínico ou pelo prazo legal aplicável.
• Triagens M-CHAT concluídas: imutáveis (ADR-0009), retidas pelo prazo legal.
• Dados cadastrais: mantidos enquanto a conta estiver ativa; eliminados em até 30 dias após solicitação de exclusão, respeitadas obrigações legais de retenção.

Você pode, a qualquer momento, solicitar por dpo@nexisx.com.br:

• Confirmação da existência de tratamento.
• Acesso aos seus dados.
• Correção de dados incompletos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários.
• Portabilidade dos dados.
• Revogação do consentimento.

Solicitações são atendidas em até 15 dias corridos, contados do recebimento da requisição válida.

Detalhes técnicos das medidas de segurança em nossa página de Segurança. Em caso de incidente de segurança com risco a titulares, notificaremos a ANPD e os titulares afetados nos prazos previstos pela LGPD.

O tratamento de dados de crianças ocorre no melhor interesse da criança (LGPD art. 14), sempre com consentimento específico e destacado do responsável legal. O responsável pode revogar o consentimento e solicitar eliminação a qualquer momento.

Dúvidas, solicitações ou reclamações: dpo@nexisx.com.br. Você também pode reclamar diretamente à ANPD (gov.br/anpd).