Tratamento de Dados e LGPD

01

Escopo deste documento

Esta página apresenta o modelo geral de proteção de dados da plataforma VitaVox. Ela é destinada a hospitais, Secretarias de Saúde e demais instituições que avaliam ou utilizam a solução.

O tratamento de dados dos visitantes do site institucional está descrito na Política de Privacidade.

02

Papéis e responsabilidades

Os papéis são definidos para cada operação, de acordo com quem toma as decisões essenciais sobre o tratamento.

• A instituição contratante atua, em regra, como controladora dos dados de pacientes, profissionais, fornecedores, demandas e processos registrados para suas finalidades assistenciais, administrativas ou de gestão.
• A VitaVox atua, em regra, como operadora quando hospeda, organiza, processa ou disponibiliza esses dados em nome da instituição e segundo suas instruções.
• A VitaVox atua como controladora dos dados necessários à gestão do contrato, faturamento, relacionamento, autenticação, suporte, segurança e prevenção de fraude.

A instituição permanece responsável por assegurar a base legal, a qualidade dos dados, a informação aos titulares e a autorização dos usuários. A VitaVox deve observar as instruções, manter confidencialidade, aplicar salvaguardas e comunicar situações relevantes.

03

Categorias de dados que podem existir na plataforma

As categorias dependem dos módulos contratados e da configuração definida pela instituição.

A configuração deve seguir os princípios de necessidade e minimização: a plataforma não deve receber dados que não sejam adequados à finalidade definida pela controladora.

04

Princípios e bases legais

A instituição controladora define e documenta a hipótese legal aplicável a cada finalidade. Em contextos de saúde pública, assistência farmacêutica e cumprimento de obrigações, o consentimento não é a única base possível e nem sempre é a mais adequada.

Conforme o caso, podem ser aplicáveis hipóteses dos artigos 7º e 11 da LGPD, como cumprimento de obrigação legal ou regulatória, execução de políticas públicas, tutela da saúde, exercício regular de direitos, execução contratual e consentimento.

05

Ciclo de vida dos dados

1. 1

   Definição

   A instituição documenta finalidade, base legal, usuários autorizados e dados necessários.

2. 2

   Coleta e uso

   Os dados entram pelos fluxos autorizados e são utilizados apenas para as finalidades configuradas.

3. 3

   Armazenamento e acesso

   Permissões, registros e medidas técnicas são aplicados conforme o perfil e o ambiente contratado.

4. 4

   Retenção e encerramento

   Ao fim da finalidade ou do contrato, os dados seguem as regras de devolução, eliminação, anonimização ou conservação legal.

06

Segurança e governança

As medidas são definidas de forma proporcional à criticidade dos dados, aos riscos da implantação e às obrigações da instituição. O programa pode incluir:

• controle de acesso por perfil, autenticação e revisão de permissões;
• proteção das comunicações e segregação lógica entre instituições;
• registro de eventos relevantes para auditoria e investigação;
• rotinas de backup, recuperação e continuidade, conforme o ambiente contratado;
• gestão de vulnerabilidades, atualizações e resposta a incidentes;
• compromissos de confidencialidade e orientação das pessoas autorizadas;
• avaliação de fornecedores que possam processar dados em nome da VitaVox.

Detalhes que poderiam facilitar ataques não são publicados nesta página. Evidências técnicas podem ser apresentadas à instituição em processo apropriado de contratação, auditoria ou diligência.

07

Infraestrutura e suboperadores

A VitaVox pode utilizar provedores especializados de hospedagem, banco de dados, monitoramento, comunicação e suporte para executar o serviço. Quando esses fornecedores tratam dados pessoais em nome da VitaVox, atuam como suboperadores.

A relação aplicável à implantação, incluindo finalidade, localização relevante e mecanismo de transferência internacional, deve ser apresentada à instituição e mantida compatível com o contrato.

O acesso de suporte a dados de produção deve ser limitado ao necessário, autorizado, rastreável e protegido por dever de confidencialidade.

08

Retenção, devolução e eliminação

A instituição define os prazos de retenção dos dados sob seu controle, considerando legislação sanitária, administrativa, contratual, arquivística e processual.

No encerramento do contrato, os dados seguem o procedimento acordado de exportação, devolução, eliminação ou anonimização, ressalvadas cópias cuja conservação seja exigida por lei, necessária ao exercício de direitos ou temporariamente presente em ciclos seguros de backup.

09

Direitos dos titulares

A instituição controladora é o canal principal para pedidos relacionados aos dados inseridos na plataforma. A VitaVox coopera tecnicamente para localizar, acessar, corrigir, exportar, bloquear ou eliminar dados, de acordo com as instruções da controladora e os limites legais.

Se um pedido chegar diretamente à VitaVox e envolver dados tratados em nome de uma instituição, ele poderá ser encaminhado ao controlador competente, preservando-se o registro e a segurança do atendimento.

10

Incidentes de segurança

Suspeitas de acesso indevido, perda, alteração, indisponibilidade ou divulgação não autorizada devem ser comunicadas imediatamente pelo canal indicado abaixo.

A VitaVox mantém procedimento de triagem, contenção, preservação de evidências e avaliação de impacto. Quando atuar como operadora, comunicará a instituição controladora conforme o contrato, para que sejam avaliadas as notificações aos titulares e à ANPD exigidas pela regulamentação.

11

Documentação e prestação de contas

A governança deve ser demonstrável. Conforme o risco e o contrato, podem ser mantidos registros de operações, matriz de responsabilidades, avaliação de fornecedores, evidências de segurança, plano de resposta a incidentes e relatório de impacto à proteção de dados.