Segurança e LGPD

1. Modelo de responsabilidade

A contratante é responsável por definir a finalidade do tratamento, cadastrar usuários, controlar permissões, orientar sua equipe, atender titulares e cumprir normas aplicáveis à atividade de saúde.

O Mymedic é responsável por manter controles técnicos e administrativos proporcionais ao risco da plataforma, processando dados de pacientes conforme as instruções da contratante e tratando dados próprios de conta, suporte, segurança e faturamento conforme suas finalidades.

2. Controles de segurança

• Credenciais individuais para usuários do sistema.
• Perfis de acesso e segregação por empresa contratante.
• Registros de acesso, eventos técnicos e logs de segurança.
• Rotinas de backup e recuperação conforme configuração operacional.
• Medidas de manutenção, correção de falhas e evolução contínua da plataforma.
• Restrição de acesso administrativo a pessoas autorizadas e conforme necessidade operacional.

3. Deveres da contratante

• Usar contas individuais e remover acessos de usuários desligados ou sem necessidade.
• Manter dispositivos, redes, e-mails e senhas protegidos.
• Definir quem pode acessar dados clínicos, financeiros, fiscais e administrativos.
• Orientar colaboradores sobre sigilo profissional, LGPD e confidencialidade.
• Comunicar rapidamente suspeitas de incidente, vazamento, perda de credenciais ou acesso indevido.

4. Dados sensíveis de saúde

Dados referentes a saúde, vida sexual, dados genéticos ou biométricos vinculados a pessoa natural são dados pessoais sensíveis pela LGPD. O tratamento desses dados exige finalidade legítima, necessidade, controle de acesso e cuidados proporcionais ao risco.

A contratante deve limitar o cadastro e o compartilhamento de dados ao necessário para a prestação do serviço de saúde, administração da clínica, cumprimento de obrigações legais e exercício regular de direitos.

5. Incidentes de segurança

Incidente de segurança envolve evento confirmado que comprometa confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais. Exemplos incluem acesso não autorizado, perda, alteração indevida, divulgação indevida ou indisponibilidade relevante.

Quando o Mymedic identificar incidente que possa afetar dados processados em nome da contratante, comunicará a contratante sem demora injustificada e fornecerá informações técnicas disponíveis para avaliação de risco e medidas de mitigação. A comunicação a titulares e a ANPD caberá ao controlador, salvo ajuste contratual específico.

6. Backups, suporte e manutenção

Backups, manutenções e acessos de suporte podem envolver dados pessoais. Esses acessos devem ocorrer quando necessários para operação, correção, segurança, suporte ou cumprimento contratual, observando confidencialidade e necessidade.

A contratante deve manter procedimentos próprios para exportação, guarda documental, continuidade operacional e validação de informações críticas.

7. Atendimento a titulares

Solicitações de titulares sobre dados de pacientes devem ser avaliadas pela contratante, que é o controlador desses dados. O Mymedic prestará apoio tecnicamente possível e razoável para localização, exportação, correção, bloqueio ou eliminação, quando solicitado pela contratante e quando juridicamente aplicável.