Política de Privacidade

Esta Política explica como a plataforma PRISE trata dados pessoais, incluindo dados pessoais sensíveis de saúde, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD).

1. Quem é controlador e quem é operador

Esta distinção define quem responde por quê e é a base de toda esta Política:

• A clínica (ou o profissional autônomo) é a CONTROLADORA dos dados dos seus pacientes. É ela quem decide quais dados coletar, para qual finalidade e por quanto tempo mantê-los, e é ela quem mantém a relação assistencial com o paciente.
• O PRISE é OPERADOR: trata os dados em nome da clínica, seguindo suas instruções e os limites desta Política e dos Termos de Uso. O PRISE não usa dados de pacientes para finalidade própria.

Em relação aos dados cadastrais dos profissionais e clínicas contratantes (nome, e-mail, registro no conselho, dados de cobrança), o PRISE atua como controlador, pois é quem decide sobre esse tratamento para viabilizar o contrato.

2. Dados tratados

2.1 Dados do profissional e da clínica

• Identificação: nome, e-mail, telefone;
• Registro profissional: conselho, número, UF e especialidade;
• Dados da clínica: razão social, CNPJ, endereço;
• Dados de cobrança necessários à assinatura;
• Registros de acesso: data, hora, endereço IP e agente de navegação.

2.2 Dados de pacientes (dados sensíveis de saúde)

• Identificação e contato: nome, CPF, data de nascimento, telefone, endereço;
• Dados clínicos: anamnese, evoluções, hipóteses e diagnósticos, prescrições, atestados, requisições e resultados de exames;
• Dados de acompanhamento clínico: questionários clínicos validados aplicados pelo profissional, métricas laboratoriais e antropométricas;
• Áudio de consultas e respectivas transcrições, quando o recurso de gravação for utilizado com consentimento do paciente;
• Documentos e imagens enviados pelo paciente ou pelo profissional.

3. Bases legais

• Tutela da saúde (art. 11, II, “f”) — tratamento de dados de saúde do paciente por profissional de saúde ou serviço de saúde, para fins assistenciais. É a base principal do prontuário;
• Cumprimento de obrigação legal ou regulatória (arts. 7º, II e 11, II, “a”) — guarda do prontuário por 20 anos (Lei nº 13.787/2018 e normas do CFM);
• Execução de contrato (art. 7º, V) — dados cadastrais e de cobrança do profissional e da clínica;
• Consentimento (arts. 7º, I e 11, I) — gravação de consultas e outras finalidades específicas informadas ao titular no momento da coleta. O consentimento pode ser revogado a qualquer tempo.

4. Subprocessadores

Para operar a Plataforma, o PRISE utiliza os terceiros abaixo, que tratam dados sob instrução do PRISE e obrigação contratual de confidencialidade e segurança:

A extração clínica por IA envolve transferência internacional de trechos de texto clínico para processamento. O PRISE seleciona fornecedores que ofereçam garantias contratuais de proteção compatíveis com a LGPD e não autoriza o uso desses dados para treinamento de modelos.

Esta lista é atualizada sempre que um novo subprocessador passa a ser utilizado. Alterações relevantes são comunicadas às clínicas contratantes.

5. Retenção e eliminação

• Prontuário e dados clínicos: mantidos pelo prazo legal mínimo de 20 anos a contar do último registro, sob a guarda da clínica controladora;
• Áudio de consultas: eliminado automaticamente após o prazo de retenção configurado (padrão de 30 dias), preservando-se a transcrição e o registro clínico dela derivado;
• Dados cadastrais e de cobrança: mantidos durante a vigência do contrato e pelos prazos legais aplicáveis após seu término;
• Registros de acesso: mantidos pelo prazo previsto na legislação aplicável, para fins de auditoria e segurança.

6. Segurança

O PRISE adota, entre outras medidas técnicas e organizacionais:

• criptografia em trânsito (HTTPS/TLS);
• isolamento lógico entre clínicas (multi-tenancy), de modo que uma clínica não acesse dados de outra;
• controle de acesso por papel e por escopo de permissão;
• registro de auditoria dos acessos a dados de pacientes;
• autenticação por credenciais individuais e intransferíveis.

Nenhuma medida elimina integralmente riscos. Em caso de incidente de segurança com risco relevante aos titulares, o PRISE comunicará a clínica controladora, a quem cabe a comunicação à ANPD e aos titulares, prestando o apoio técnico necessário.

7. Direitos do titular

Nos termos do art. 18 da LGPD, o titular pode solicitar:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• portabilidade dos dados;
• informação sobre compartilhamento com terceiros;
• revogação do consentimento, quando essa for a base legal aplicável.

A Plataforma disponibiliza exportação dos dados do titular e solicitação de exclusão da conta diretamente na área do usuário. A eliminação observa os limites da guarda obrigatória do prontuário: dados sob prazo legal de retenção são preservados, e os dados de identificação são anonimizados quando cabível.

Como a clínica é a controladora, pedidos relativos ao prontuário devem ser dirigidos preferencialmente a ela. O PRISE presta o apoio técnico necessário ao atendimento no prazo legal.

8. Cookies

O site institucional não utiliza cookies de publicidade nem de rastreamento entre sites. A aplicação utiliza armazenamento local apenas para manter a sessão autenticada e preferências de uso — sem esses recursos, o acesso não funciona.

9. Encarregado pelo tratamento de dados (DPO)

Encarregado: [NOME DO ENCARREGADO A DEFINIR]
Contato: dpo@prise.med.br

Solicitações relativas a dados pessoais podem ser encaminhadas a esse contato e serão respondidas nos prazos previstos na LGPD.

10. Alterações desta Política

Esta Política pode ser atualizada. Cada versão recebe número próprio e data de vigência, exibidos no topo desta página. Alterações relevantes são comunicadas às clínicas contratantes.