Privacidade, LGPD e segurança

Tratamento, finalidades, compartilhamento, retenção e direitos Dados tratados Podemos tratar dados cadastrais e de contato, informações necessárias para agendamento e atendimento, dados financeiros relacionados a cobranças e pagamentos, registros administrativos e, quando necessário para a prestação dos serviços, dados pessoais sensíveis relacionados à saúde e ao acompanhamento psicológico. Os dados efetivamente coletados dependerão da relação do titular com a clínica e dos serviços utilizados. Finalidades do tratamento Os dados pessoais poderão ser utilizados para identificação e cadastro; agendamento e gerenciamento de consultas; comunicação entre a clínica, profissionais, pacientes e responsáveis; realização e acompanhamento dos atendimentos; organização de documentos e registros profissionais; processamento de cobranças e pagamentos; emissão de documentos fiscais; cumprimento de obrigações legais, regulatórias e profissionais; segurança e prevenção de fraudes; atendimento de solicitações dos titulares; e funcionamento dos serviços contratados pela clínica. As bases legais utilizadas dependerão da natureza do dado e da finalidade do tratamento. Para dados pessoais sensíveis, serão observadas as hipóteses específicas previstas na LGPD. Compartilhamento Os dados pessoais não são comercializados. Quando necessário, algumas informações poderão ser compartilhadas com profissionais autorizados da clínica e com fornecedores responsáveis por serviços essenciais à operação, como hospedagem, infraestrutura tecnológica, comunicação, armazenamento, processamento de pagamentos e sistemas utilizados pela clínica. A clínica utiliza a plataforma MNEVA para apoiar a gestão de seus serviços. Quando tratar dados pessoais em nome e de acordo com as orientações da clínica, a MNEVA poderá atuar como operadora de dados pessoais. Também poderão ocorrer compartilhamentos quando necessários para cumprimento de obrigação legal ou regulatória, exercício regular de direitos ou atendimento a determinações de autoridades competentes. Retenção e exclusão Os dados serão armazenados somente pelo período necessário para atender às finalidades para as quais foram coletados, cumprir obrigações legais, regulatórias ou profissionais, resguardar direitos da clínica ou atender aos prazos de guarda aplicáveis. Após o encerramento do período de retenção, os dados poderão ser eliminados ou anonimizados, salvo quando sua conservação for permitida ou exigida pela legislação. Direitos do titular Nos termos da LGPD, o titular poderá solicitar, quando aplicável, confirmação da existência de tratamento, acesso aos seus dados, correção de informações incompletas ou desatualizadas, anonimização, bloqueio ou eliminação de dados tratados em desconformidade, portabilidade, informações sobre compartilhamentos, revogação do consentimento e demais direitos previstos na legislação. Determinadas solicitações poderão não resultar na exclusão imediata das informações quando existir obrigação legal, regulatória, profissional ou outra hipótese que autorize sua conservação. Para exercer seus direitos ou esclarecer dúvidas relacionadas à privacidade, entre em contato pelo canal disponibilizado pela Orion Labs. A distinção entre controlador e operador depende das atividades e decisões efetivamente exercidas por cada parte, por isso essa redação é deliberadamente “quando atuar em nome da clínica”, em vez de declarar que a MNEVA será operadora em qualquer situação.

A Orion Labs adota medidas técnicas e administrativas destinadas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado. As medidas de segurança são definidas de acordo com os riscos envolvidos e podem incluir controles de acesso, autenticação de usuários, definição de permissões conforme funções e responsabilidades, registro de atividades, proteção das comunicações, cópias de segurança, atualização dos sistemas e procedimentos internos de segurança da informação. O acesso às informações deve ser restrito às pessoas que necessitem dos dados para o exercício de suas atividades profissionais, respeitando os deveres de confidencialidade aplicáveis. Os fornecedores e sistemas utilizados no tratamento de dados são selecionados considerando requisitos de segurança e proteção de dados compatíveis com os serviços prestados. Apesar da adoção de medidas de proteção, nenhum ambiente tecnológico pode ser considerado absolutamente imune a incidentes. Por isso, os controles de segurança são continuamente avaliados e aprimorados de acordo com a evolução dos riscos, da tecnologia e das necessidades da organização. Em caso de incidente de segurança envolvendo dados pessoais, serão adotadas as medidas de resposta e comunicação previstas na legislação e nas regulamentações aplicáveis. A LGPD exige medidas técnicas e administrativas aptas a proteger os dados, e a própria ANPD recomenda controles proporcionais ao risco; por isso eu evitaria frases como “garantimos segurança total” ou prometer criptografia, MFA, backup imutável etc. se você não souber se aquela clínica realmente usa esses controles.