Proteção de Dados Pessoais

1. Nosso Compromisso com a LGPD

A UDI El Kadri — Diagnósticos Médicos está comprometida com a conformidade plena à Lei Geral de Proteção de Dados Pessoais — Lei nº 13.709/2018 (LGPD), às normativas da Autoridade Nacional de Proteção de Dados (ANPD), às diretrizes do Conselho Federal de Medicina (CFM) sobre sigilo médico e proteção de prontuários, e às demais legislações aplicáveis à saúde e aos dados pessoais no Brasil.

Reconhecemos que dados de saúde são dados pessoais sensíveis — categoria que recebe o mais alto nível de proteção previsto em lei — e tratamos cada informação de nossos pacientes com o rigor técnico, ético e jurídico que esse compromisso exige.

2. Dados Sensíveis de Saúde: Proteção Especial

Nos termos do art. 5º, II e art. 11 da LGPD, dados relativos à saúde são classificados como dados pessoais sensíveis. Na UDI El Kadri, essa categoria inclui:

• Laudos médicos, imagens de exames (RM, TC, Ultrassom, Raio-X) e relatórios diagnósticos;
• Histórico clínico e informações médicas fornecidas no momento do atendimento;
• Condições de saúde pré-existentes, alergias, uso de medicamentos e dispositivos implantados;
• Dados biométricos eventualmente coletados para identificação segura do paciente.

Esses dados não são tratados para finalidades além das estritamente necessárias à prestação do serviço de diagnóstico, em rigorosa observância ao princípio da finalidade e da necessidade (art. 6º, I e III, LGPD). O acesso interno é restrito a profissionais autorizados, mediante controles de autenticação e segregação de funções.

Conforme as Resoluções do CFM (especialmente a Res. CFM nº 1.821/2007 e o Código de Ética Médica), laudos e imagens integram o prontuário médico do paciente e estão protegidos pelo sigilo médico, sendo mantidos em arquivo pelo prazo mínimo de 20 anos.

3. Bases Legais do Tratamento

Todo tratamento de dados realizado pela UDI El Kadri tem uma base legal específica. Abaixo, as principais hipóteses aplicadas em nossa operação:

• Tutela da saúde (art. 11, II, "f"): realização dos exames, emissão de laudos e comunicação ao médico solicitante;
• Execução de contrato (art. 7º, V): agendamento, faturamento, entrega de resultados e atendimento ao paciente;
• Obrigação legal (art. 7º, II): retenção de prontuário pelo prazo determinado pelo CFM, obrigações fiscais, tributárias e regulatórias;
• Consentimento (art. 7º, I / art. 11, I): comunicações de marketing, campanhas educativas e uso de cookies não essenciais — sempre revogável;
• Legítimo interesse (art. 7º, IX): segurança dos sistemas, prevenção de fraudes e melhoria dos serviços, garantindo que os interesses do titular não sejam desproporcionalmente afetados.

4. Medidas de Segurança Implementadas

A UDI El Kadri implementa controles de segurança da informação em múltiplas camadas, conforme recomendado pelo Guia de Segurança da Informação para Agentes de Tratamento da ANPD:

Segurança Técnica

• HTTPS obrigatório com certificado SSL/TLS em todo o site e portal de laudos;
• Criptografia de dados sensíveis em repouso e em trânsito;
• Autenticação individual com login e senha para acesso ao portal de laudos (Pixeon);
• Firewall e sistemas de detecção de intrusão (IDS/IPS);
• Backups periódicos e automatizados, com armazenamento em ambiente seguro e segregado;
• Logs de acesso com monitoramento de eventos nos sistemas críticos.

Segurança Organizacional

• Controle de acesso baseado em perfis e necessidade (princípio do menor privilégio);
• Segregação de funções — apenas colaboradores autorizados acessam dados de pacientes;
• Cláusulas de sigilo e LGPD em contratos com todos os prestadores de serviço que tratem dados pessoais;
• Treinamento periódico da equipe sobre sigilo médico, proteção de dados e boas práticas de segurança;
• Política interna de acesso a prontuários alinhada às resoluções do CFM.

5. Seus Direitos como Titular — Como Exercê-los

A LGPD garante a você, como titular de dados, os seguintes direitos (art. 18):

• Confirmação — saber se tratamos seus dados pessoais;
• Acesso — obter cópia dos dados que possuímos sobre você;
• Correção — atualizar dados incompletos, inexatos ou desatualizados;
• Eliminação — solicitar a exclusão de dados tratados com base em consentimento (ressalvadas as retenções legais obrigatórias);
• Portabilidade — receber seus dados em formato estruturado para uso por outro fornecedor;
• Revogação do consentimento — retirar a autorização para tratamentos baseados em consentimento;
• Informação sobre compartilhamento — saber com quais terceiros seus dados são compartilhados;
• Oposição — contestar tratamentos realizados em desconformidade com a lei.

Como enviar sua solicitação:

Para exercer seus direitos, compareça pessoalmente em qualquer unidade, apresentando documento de identificação original.

Responderemos no prazo de até 15 dias úteis. Em casos complexos, o prazo poderá ser prorrogado, com comunicação prévia ao titular. Não há cobrança para o exercício desses direitos.

6. Comunicação de Incidentes de Segurança (Data Breach)

A UDI El Kadri mantém procedimentos internos para identificação, contenção e resposta a incidentes de segurança. Em caso de violação de dados pessoais que possa acarretar risco ou dano relevante aos titulares, nos comprometemos a:

• Notificar a ANPD no prazo previsto no art. 48 da LGPD e nas regulamentações vigentes;
• Comunicar os titulares afetados sobre a natureza do incidente, os dados envolvidos e as medidas adotadas para mitigação;
• Documentar o incidente no Registro de Atividades de Tratamento, conforme exigido pela ANPD;
• Implementar medidas corretivas imediatas para conter o incidente e prevenir recorrências.

Para reportar suspeita de incidente ou uso indevido dos seus dados, compareça pessoalmente em qualquer unidade.

7. Encarregado de Dados (DPO)

Conforme o art. 41 da LGPD e as orientações da ANPD, a UDI El Kadri designou um Encarregado pelo Tratamento de Dados Pessoais (DPO — Data Protection Officer), responsável por:

• Receber e responder às solicitações dos titulares de dados;
• Orientar colaboradores sobre boas práticas de proteção de dados;
• Atuar como canal de comunicação com a ANPD;
• Zelar pelo cumprimento desta política e da LGPD na organização.

Horário de atendimento: Segunda a sexta-feira, das 8h às 18h (horário de Brasília)
Prazo de resposta: até 15 dias úteis

8. Conformidade com Normas Específicas da Saúde

Além da LGPD, a UDI El Kadri observa as seguintes normas específicas para medicina diagnóstica:

• Resolução CFM nº 1.821/2007 — Guarda e manuseio dos prontuários de pacientes;
• Código de Ética Médica (Resolução CFM nº 2.217/2018) — Sigilo profissional e proteção de informações do paciente;
• RDC Anvisa nº 657/2022 — Boas Práticas em Serviços de Radiologia;
• Lei nº 13.787/2018 — Digitalização e utilização de sistemas informatizados para guarda de prontuários;
• Normas da ANS — Para tratamento de dados em serviços contratados por operadoras de saúde.

9. Erros Que Nunca Cometemos

A UDI El Kadri está atenta às vulnerabilidades mais comuns em clínicas de diagnóstico por imagem e adota postura preventiva ativa para evitar:

• Compartilhamento de resultados sem autenticação segura (URL pública de exames);
• Envio de laudos por WhatsApp sem controle de destinatário e sem consentimento documentado;
• Coleta excessiva de dados além do necessário para a prestação do serviço;
• Armazenamento de dados de saúde em dispositivos pessoais de colaboradores;
• Ausência de registro de consentimento para comunicações de marketing.

10. Links Úteis — Legislação e Órgãos Reguladores

• Lei Geral de Proteção de Dados — Lei nº 13.709/2018 (Planalto)
• Portal Oficial da ANPD — Autoridade Nacional de Proteção de Dados
• Conselho Federal de Medicina (CFM)
• Marco Civil da Internet — Lei nº 12.965/2014

11. Atualizações desta Política

Esta Política de Proteção de Dados será revisada sempre que necessário para acompanhar alterações legais, regulatórias ou operacionais, sendo a data de atualização sempre indicada no topo desta página. Para dúvidas, sugestões ou solicitações, utilize o canal do DPO indicado na Seção 7.