Aditivo de Tratamento de Dados Pessoais

1. Identificação das Partes

3. Categorias de Dados Tratados

3.1 Dados cadastrais de pacientes

• Nome completo, data de nascimento e sexo.
• Número de telefone/WhatsApp e e-mail, quando fornecidos pela clínica.
• Documento de identificação (CPF, RG ou equivalente), conforme o cadastro mantido pela clínica.

3.2 Dados sensíveis de saúde — art. 11 da LGPD

As categorias abaixo são classificadas como dados pessoais sensíveis e recebem proteção reforçada, exigindo base legal específica conforme o art. 11 da LGPD:

• Registros de prontuário eletrônico: anamnese, histórico clínico, diagnósticos e hipóteses diagnósticas.
• Notas de consulta (formato SOAP e texto livre), incluindo achados objetivos e subjetivos.
• Áudio de consulta: gravado pela funcionalidade Scribe somente quando ativada pela clínica. O áudio bruto é retido por 14 dias por padrão, após os quais é purgado automaticamente. A transcrição derivada integra o prontuário e segue o prazo de guarda definido pela clínica, conforme regulamentação do CFM.
• Transcrições de consultas geradas por modelos de IA (Scribe/Copilot).
• Codificações CID e outros dados de classificação diagnóstica.
• Prescrições e encaminhamentos, quando gerenciados pela plataforma.

Sugestões da IA (Copilot) são sempre apresentadas como rascunho e submetidas à revisão do médico responsável antes de qualquer incorporação ao prontuário. O Operador garante que a IA não toma decisões clínicas de forma autônoma. Todas as interações ficam registradas em copilot_interactions.

3.3 Dados operacionais e de comunicação

• Agendamentos, status de confirmação e histórico de consultas.
• Mensagens de WhatsApp trocadas com pacientes via integração autorizada pela clínica.
• Metadados de uso da plataforma (logs de acesso, ações executadas pelos usuários da clínica).

5. Instruções Documentadas da Controladora

O Operador trata os dados pessoais de pacientes somente conforme instrução documentada da Controladora — seja por configuração explícita na plataforma (por exemplo, ativação da gravação de áudio, integrações de agenda), seja pelas ações dos usuários autorizados da clínica no sistema.

• O Operador não processa dados de pacientes para fins próprios, publicidade ou pesquisa sem autorização expressa da Controladora.
• Funcionalidades que implicam tratamento adicional — como a ativação do Scribe ou a integração com calendário externo — requerem ação afirmativa da clínica na plataforma.
• Caso alguma instrução conflite com a LGPD ou outra norma aplicável, o Operador notificará a Controladora antes de executá-la.

7. Medidas de Segurança

O Operador adota medidas técnicas e organizacionais proporcionais ao risco do tratamento. As medidas abaixo estão efetivamente implementadas na plataforma:

• Isolamento por tenant (Row Level Security): o banco de dados PostgreSQL aplica RLS no nível do banco — dados de uma clínica são tecnicamente inacessíveis a outra, independentemente da camada de aplicação.
• Criptografia em trânsito: todas as comunicações entre cliente e servidor são protegidas por TLS/HTTPS.
• Credenciais com hash seguro: senhas de usuário são armazenadas com algoritmo de hash adequado — nunca em texto claro.
• Trilha de auditoria clínica imutável: o registro clinical_audit_log é protegido contra UPDATE diretamente no Postgres — alterações retroativas são impossíveis pela arquitetura do banco.
• Controle de acesso com privilégio mínimo: permissões internas de banco de dados exigem tenant_id explícito; a permissão service_role nunca é usada sem filtro de tenant.
• Retenção limitada de áudio: arquivos de áudio bruto de consultas são purgados automaticamente após 14 dias, reduzindo a janela de exposição de dados sensíveis.
• Guardrails de IA: sugestões do Copilot são sempre rascunho; há juiz determinístico e rastreabilidade completa das interações em copilot_interactions.

9. Apoio a Solicitações de Titulares (art. 18 da LGPD)

Quando um paciente exercer direitos previstos no art. 18 da LGPD junto à Controladora, o Operador prestará o apoio técnico necessário para o atendimento da solicitação:

• Confirmação de existência e acesso — fornecimento de extrato dos dados do paciente em formato estruturado.
• Correção — suporte à edição de dados cadastrais incorretos ou incompletos.
• Portabilidade — exportação do prontuário e dados de agenda em formato interoperável (JSON/PDF), conforme solicitação da clínica.
• Eliminação — exclusão dos dados do paciente, observados os prazos mínimos de guarda previstos em lei (ex.: prontuário com prazo CFM).
• Bloqueio — suspensão temporária do tratamento enquanto pendente revisão ou impugnação.

Solicitações de titulares recebidas diretamente pelo Operador serão encaminhadas à Controladora responsável. O Operador não responderá individualmente a pacientes sobre dados cujo controle pertence à clínica, salvo instrução expressa da Controladora.

11. Transferências Internacionais de Dados

Parte dos suboperadores listados na Seção 6 opera infraestrutura fora do território brasileiro. Dessa forma, pode haver transferência internacional de dados pessoais no curso da prestação dos serviços.

Essas transferências se apoiam nas hipóteses permitidas pelo art. 33 da LGPD. As garantias contratuais e técnicas aplicáveis a cada suboperador estão disponíveis mediante solicitação em contato@rankiumsystems.com.br.

O Operador exige dos suboperadores que realizem transferências internacionais que adotem medidas de segurança equivalentes às exigidas pela LGPD e pelas leis locais aplicáveis.