Conformidade LGPD

Sob a LGPD, os papéis são claramente definidos:

• Controlador: Você (sua clínica). Define por que e como os dados são processados.
• Operador: All4Clinic. Processa dados conforme suas instruções, sob contrato DPA (Data Processing Agreement).
• Titular do Dado: O paciente. Tem direito a acesso, correção, exclusão de seus dados.

Você mantém pleno controle. O All4Clinic apenas executa conforme suas instruções e respeitando direitos dos titulares.

Processamos dados apenas com bases legais válidas:

• Consentimento: Paciente consente explicitamente em armazenar dados no sistema.
• Contrato: Dados necessários para fornecer o serviço de atendimento.
• Obrigação Legal: Leis de saúde, fiscais, auditoria (CFM, CRM, RFB).
• Interesse Legítimo: Segurança, prevenção de fraude, manutenção do serviço.
• Proteção da Vida: Emergências médicas onde o acesso a dados salva vidas.

Sob LGPD, o paciente tem direito a:

• Acesso (Art. 18): Saber que dados você tem sobre ele.
• Correção (Art. 19): Corrigir dados imprecisos ou incompletos.
• Exclusão (Art. 17): "Direito ao esquecimento" quando já não há base legal.
• Portabilidade (Art. 20): Receber dados em formato estruturado (ex: CSV/JSON).
• Objection (Art. 21): Objetar ao processamento em certos casos.
• Revisão de Decisões Automatizadas (Art. 22): Revisar decisões baseadas só em algoritmos.

O All4Clinic facilita esses direitos através de ferramentas no painel de controle.

Você é responsável por obter consentimento informado do paciente antes de armazenar dados no All4Clinic. O consentimento deve:

• Ser específico: descrever exatamente o que vai ser coletado e processado.
• Ser informado: o paciente entende os riscos e benefícios.
• Ser não-coercitivo: voluntário, sem pressão.
• Ser registrado: documentar que consentimento foi dado.
• Ser revogável: o paciente pode retirar consentimento a qualquer hora.

Recomendamos manter um formulário de consentimento LGPD junto ao termo de consentimento médico existente.

Todos os dados são armazenados no Brasil, em data centers em conformidade com LGPD:

• Provedor: AWS/Google Cloud (Brasil — sa-east-1).
• Criptografia: AES-256 em repouso, TLS 1.3 em trânsito.
• Backups: Replicado em múltiplas regiões brasileiras.

Não há transferências internacionais de dados. Exceção: processadores de pagamento (Stripe, Mercado Pago) que têm adendos LGPD.

Se uma violação de dados ocorrer (acesso não autorizado, criptografia quebrada, etc.):

• Notificação (Art. 33): Notificamos você em até 24 horas.
• Investigação: Análise completa da causa e impacto.
• Notificação ANPD (Art. 34): Se risco ao direito dos titulares, notificamos ANPD.
• Notificação Titulares (Art. 34): Se risco muito alto, você notifica pacientes.

Mantemos seguro de ciberrisco para cobrir custos de incidente.

Quanto tempo mantemos dados? Depende da base legal:

• Dados de Paciente Ativo: Enquanto ele estiver em tratamento + 2 anos pós-atendimento (Conselho Federal de Medicina).
• Dados de Clínica/Administração: Enquanto assinatura ativa + 90 dias pós-cancelamento.
• Registros Fiscais: Conforme Lei de Responsabilidade Fiscal (6 anos).
• Logs de Segurança: 12 meses.

Após os prazos, dados são irreversivelmente deletados.

O All4Clinic designou um Encarregado de Proteção de Dados (DPO/DPD) responsável por conformidade LGPD:

Você pode fazer solicitações de direitos de titulares através do DPO.

Dados de saúde (art. 11 LGPD) recebem proteção especial:

• Criptografia end-to-end em campos sensíveis.
• Acesso restrito por profissional de saúde licenciado.
• Trilha de auditoria completa de acessos.
• Conformidade com Resolução CFM 1638/2002 (prontuário eletrônico).
• Conformidade com HIPAA (para clínicas com pacientes internacionais).

Caso você tenha reclamação sobre como o All4Clinic processa dados, pode denunciar à Autoridade Nacional de Proteção de Dados:

Também nos contacte primeiro para tentar resolver o assunto:

Email: privacidade@all4clinic.com.br