Política de Privacidade
Dúvidas ou pedidos sobre os seus dados: ti@saine.com.br
1. Da finalidade, abrangência e diretrizes gerais
1.1 Esta Política de Privacidade e Proteção de Dados Pessoais estabelece os princípios, diretrizes, responsabilidades e parâmetros internos aplicáveis às atividades de tratamento de dados pessoais realizadas pela SAINE HEALTH COMPLEX HOSPITALAR LTDA., no exercício de suas atividades assistenciais, administrativas, operacionais, contratuais, trabalhistas, institucionais e correlatas.
1.2 A presente Política aplica-se a todos os tratamentos de dados pessoais realizados pela SAINE, em meio físico ou digital, inclusive aqueles relacionados a pacientes, acompanhantes, familiares, colaboradores, candidatos a vagas, integrantes do corpo clínico, prestadores de serviços, fornecedores, parceiros, visitantes, representantes de pessoas jurídicas e demais titulares com os quais a instituição mantenha qualquer forma de relação.
1.3 Esta Política vincula os administradores, diretores, gestores, empregados, prestadores, integrantes do corpo clínico, terceiros contratados, parceiros e quaisquer pessoas que, de qualquer forma, realizem tratamento de dados pessoais em nome da SAINE ou tenham acesso a tais dados em razão de suas funções.
1.4 A interpretação e a aplicação desta Política observarão, especialmente, a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), a legislação civil, consumerista, trabalhista e sanitária aplicável, bem como as normas éticas e regulatórias próprias do setor de saúde.
1.5 A SAINE adota, como diretrizes gerais de sua governança em privacidade e proteção de dados, a boa-fé, a finalidade legítima, a adequação, a necessidade, a livre transparência informacional, a qualidade dos dados, a segurança, a prevenção, a não discriminação, a responsabilização e a prestação de contas.
2. Dos conceitos e definições
2.1 Para os fins desta Política, aplicam-se os conceitos previstos na LGPD, especialmente os de dado pessoal, dado pessoal sensível, tratamento, controlador, operador, encarregado, titular, anonimização, consentimento, incidente de segurança e uso compartilhado de dados.
- I – dado pessoal: informação relacionada a pessoa natural identificada ou identificável;
- II – dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a pessoa natural;
- III – tratamento: toda operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração;
- IV – controlador: a quem competem as decisões referentes ao tratamento de dados pessoais;
- V – operador: a pessoa natural ou jurídica que realiza o tratamento em nome do controlador;
- VI – encarregado: a pessoa indicada para atuar como canal de comunicação entre o controlador, os titulares e a Autoridade Nacional de Proteção de Dados.
2.3 No contexto desta Política, os dados relacionados à saúde, aos prontuários, aos registros clínicos, aos exames, às prescrições, aos laudos, às informações de triagem, aos dados biométricos e a outras informações médico-assistenciais são tratados com especial cautela, por se enquadrarem, em regra, como dados pessoais sensíveis e por envolverem sigilo profissional, deveres éticos e continuidade assistencial.
3. Dos papéis e responsabilidades
3.1 A SAINE, quando definir as finalidades e os meios essenciais do tratamento de dados pessoais, atuará na qualidade de controladora, sem prejuízo de também poder atuar como operadora em hipóteses específicas, conforme a natureza da relação jurídica e contratual estabelecida.
3.2 Compete à Administração da SAINE aprovar e apoiar a estrutura de governança em privacidade, assegurar recursos compatíveis com o porte e os riscos da operação, deliberar sobre temas estratégicos e promover ambiente institucional favorável à proteção de dados pessoais.
3.3 Compete ao Comitê de Compliance, Integridade e Proteção de Dados Pessoais acompanhar a implementação desta Política, recomendar aprimoramentos, monitorar riscos relevantes de privacidade e apoiar a Administração no desenvolvimento da governança de proteção de dados.
3.4 O Encarregado pelo Tratamento de Dados Pessoais, quando formalmente designado, atuará como canal de comunicação com os titulares e com a Autoridade Nacional de Proteção de Dados, sem prejuízo das demais atribuições que lhe forem definidas em ato interno específico.
3.5 Os gestores de áreas, empregados, integrantes do corpo clínico, prestadores e terceiros autorizados deverão tratar dados pessoais apenas na medida necessária ao exercício regular de suas funções, observando esta Política, os normativos internos, o dever de confidencialidade e as instruções da SAINE.
3.6 Os operadores e fornecedores que realizarem tratamento de dados pessoais em nome da SAINE deverão observar as diretrizes desta Política, as obrigações contratuais de confidencialidade, segurança, cooperação, governança e resposta a incidentes, bem como as demais instruções formalmente estabelecidas pela instituição.
4. Das bases legais e das finalidades do tratamento
4.1 O tratamento de dados pessoais realizado pela SAINE deverá sempre estar vinculado a finalidade legítima, específica, explícita e informada, compatível com a atividade desempenhada e com as hipóteses legais autorizadoras previstas na legislação aplicável.
4.2 A SAINE poderá tratar dados pessoais, conforme o caso concreto, com fundamento, entre outras hipóteses legais, no cumprimento de obrigação legal ou regulatória, na execução de contrato ou de procedimentos preliminares relacionados a contrato, no exercício regular de direitos em processo judicial, administrativo ou arbitral, na proteção da vida ou da incolumidade física do titular ou de terceiro, na tutela da saúde, na proteção do crédito, no legítimo interesse, quando cabível, e no consentimento do titular, quando juridicamente exigido ou estrategicamente adotado.
4.3 O tratamento de dados pessoais sensíveis observará as hipóteses legais específicas da LGPD, com especial atenção às atividades de assistência à saúde, procedimentos realizados por profissionais de saúde, serviços de saúde, segurança do paciente, regulação interna, faturamento, auditoria, defesa institucional, medicina ocupacional e obrigações legais correlatas.
4.4 O consentimento não será utilizado como base legal padrão quando houver outra hipótese legal mais adequada, suficiente e juridicamente compatível com a finalidade do tratamento, de modo a evitar fragilização indevida da base de legitimidade das operações da SAINE.
4.5 É vedado o tratamento de dados pessoais para finalidades incompatíveis com aquelas que justificaram sua coleta, salvo nova base legal idônea, informação adequada ao titular e observância dos princípios da LGPD.
5. Das categorias de dados tratados
5.1 A SAINE poderá tratar, conforme a finalidade e a necessidade da operação, dados cadastrais, de identificação, contato, dados financeiros, bancários, contratuais, trabalhistas, previdenciários, acadêmicos, profissionais, biométricos, de geolocalização, de imagens, de acesso a sistemas, registros de atendimento, dados clínicos, diagnósticos, terapêuticos e demais dados pertinentes às suas atividades.
5.2 No contexto assistencial e hospitalar, a SAINE poderá tratar dados de saúde de pacientes e informações correlatas indispensáveis ao atendimento, à segurança do paciente, à continuidade assistencial, ao relacionamento com operadoras e parceiros, ao faturamento, à auditoria, à regulação interna, à guarda de prontuários e à defesa de direitos.
5.3 A SAINE adotará critério de minimização no tratamento de dados, evitando coleta, armazenamento, acesso ou compartilhamento de informações excessivas, irrelevantes ou desnecessárias à finalidade informada e juridicamente amparada.
6. Do tratamento de dados de pacientes e de prontuários
6.1 O tratamento de dados pessoais de pacientes e de seus respectivos registros assistenciais observará os deveres legais, éticos e institucionais de sigilo, rastreabilidade, integridade, disponibilidade, continuidade assistencial e segurança da informação.
6.2 O acesso a prontuários, exames, laudos, prescrições e demais registros clínicos será restrito aos profissionais e áreas legitimamente autorizados, na medida da necessidade assistencial, administrativa, regulatória, de auditoria, faturamento, segurança do paciente, exercício regular de direitos ou outra hipótese legalmente admitida.
6.3 A SAINE adotará controles internos para registro de acessos, perfis de usuário, segregação de funções, autenticação compatível com o risco da operação, trilhas de auditoria, monitoramento de uso indevido e demais medidas voltadas à proteção dos dados clínicos e assistenciais.
6.4 O compartilhamento de informações de saúde observará a legislação aplicável, o sigilo profissional, as bases legais pertinentes, a necessidade do caso concreto e os fluxos internos de autorização e segurança.
6.5 A guarda, a digitalização, a organização, a conservação e o descarte de prontuários e demais documentos assistenciais observarão os prazos legais, regulatórios e éticos aplicáveis, bem como os procedimentos internos de gestão documental e segurança da informação.
7. Do tratamento de dados de colaboradores, candidatos, corpo clínico e terceiros
7.1 A SAINE poderá tratar dados pessoais de colaboradores, candidatos a vagas, estagiários, prestadores, integrantes do corpo clínico, parceiros e representantes de fornecedores para fins de recrutamento, seleção, contratação, credenciamento, gestão contratual, folha de pagamento, benefícios, medicina e segurança do trabalho, controle de acesso, treinamentos, gestão de desempenho, cumprimento de obrigações legais e exercício regular de direitos.
7.2 Os dados tratados no contexto trabalhista, contratual e ocupacional deverão observar o princípio da necessidade e os fluxos internos de confidencialidade, especialmente quando envolverem dados de saúde, biometria, dados disciplinares ou informações sensíveis.
7.3 Sempre que houver coleta de dados pessoais de terceiros para fins de cadastro, qualificação, due diligence, auditoria, formalização contratual ou controle de acesso, a SAINE deverá assegurar compatibilidade entre a finalidade pretendida, a base legal adotada e o nível de exposição dos dados.
8. Dos direitos dos titulares
8.1 A SAINE assegurará aos titulares de dados pessoais, quando aplicável e observados os limites legais, regulatórios, éticos, assistenciais e de segredo profissional, o exercício dos direitos previstos na LGPD, incluindo confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação, portabilidade, informação sobre compartilhamentos, revogação do consentimento, oposição e revisão de decisões automatizadas, quando pertinente.
8.2 As solicitações dos titulares deverão ser recebidas por canal adequado, registradas, avaliadas e respondidas em prazo razoável, mediante verificação de identidade e observadas as hipóteses legais de restrição, retenção obrigatória, sigilo profissional, proteção de terceiros, continuidade assistencial e exercício regular de direitos da SAINE.
8.3 O atendimento a direitos de titulares não implicará exclusão automática de dados cuja manutenção seja necessária ao cumprimento de obrigação legal ou regulatória, à tutela da saúde, à preservação de prontuário, à segurança do paciente, à prevenção à fraude, ao exercício regular de direitos ou a outras hipóteses legais autorizadoras.
9. Do uso compartilhado, das transferências e dos operadores
9.1 A SAINE poderá compartilhar dados pessoais com operadoras de planos de saúde, laboratórios, clínicas, médicos, prestadores, fornecedores de tecnologia, auditores, consultores, autoridades públicas, instituições financeiras, escritórios de advocacia, empresas de medicina do trabalho e outros terceiros, desde que o compartilhamento seja necessário, proporcional, juridicamente amparado e compatível com a finalidade da operação.
9.2 Todo compartilhamento deverá observar, conforme o caso, contratos ou instrumentos equivalentes com cláusulas de confidencialidade, segurança, limitação de finalidade, responsabilidade, cooperação em incidentes e atendimento a direitos de titulares.
9.3 Eventual transferência internacional de dados pessoais deverá observar os requisitos legais aplicáveis, incluindo mecanismos contratuais, avaliação de risco, necessidade operacional e nível adequado de salvaguardas.
10. Da segurança da informação e das medidas de proteção
10.1 A SAINE adotará medidas técnicas, administrativas e organizacionais aptas a proteger os dados pessoais contra acessos não autorizados, destruição, perda, alteração, comunicação indevida ou qualquer forma de tratamento inadequado ou ilícito.
10.2 As medidas de segurança serão definidas conforme a natureza dos dados tratados, o contexto da operação, a sensibilidade das informações, o volume de dados, os riscos aos titulares, o estado da técnica e a viabilidade de implementação, observando-se, entre outros, mecanismos de controle de acesso, gestão de credenciais, registro de logs, segmentação de perfis, criptografia quando aplicável, backup, continuidade operacional, proteção de endpoints, monitoramento e resposta a incidentes.
10.3 A SAINE poderá estabelecer políticas, procedimentos e padrões específicos de segurança da informação, uso de sistemas, uso de e-mail, acesso remoto, dispositivos móveis, senhas, backup, retenção e descarte, os quais complementarão esta Política e deverão ser observados por todos os usuários autorizados.
11. Dos incidentes de segurança com dados pessoais
11.1 Todo incidente de segurança que envolva ou possa envolver dados pessoais deverá ser imediatamente comunicado pelos canais internos definidos pela SAINE, com acionamento das áreas competentes para contenção, avaliação, registro, resposta e preservação de evidências.
11.2 A SAINE manterá fluxo interno para tratamento de incidentes, com participação das áreas de Tecnologia da Informação, Segurança da Informação, Jurídico, Compliance, áreas afetadas e, quando designado, do Encarregado pelo Tratamento de Dados Pessoais.
11.3 A avaliação sobre a necessidade de comunicação do incidente à Autoridade Nacional de Proteção de Dados e aos titulares observará a legislação aplicável, a regulamentação vigente, a natureza dos dados afetados, o risco ou dano relevante aos titulares e os critérios técnicos e jurídicos do caso concreto.
11.4 A gestão de incidentes deverá contemplar, sempre que possível, identificação da causa, contenção, remediação, análise de impacto, documentação do ocorrido, adoção de medidas corretivas e prevenção de recorrência.
12. Da retenção, guarda, eliminação e descarte
12.1 Os dados pessoais tratados pela SAINE serão mantidos apenas pelo período necessário ao atendimento da finalidade que justificou o tratamento, sem prejuízo de prazos mais extensos decorrentes de obrigação legal, regulatória, ética, contratual, assistencial, prescricional, probatória ou de legítimo exercício de direitos.
12.2 A eliminação ou o descarte de dados pessoais observará critérios de segurança, irreversibilidade adequada, rastreabilidade, gestão documental e preservação das informações cuja manutenção seja obrigatória ou necessária à tutela da saúde, à continuidade assistencial e à defesa institucional.
12.3 Sempre que possível e juridicamente adequado, a SAINE poderá proceder à anonimização, bloqueio, segregação, arquivamento restrito ou outras técnicas de redução de risco antes da eliminação definitiva dos dados.
13. Da transparência e dos canais de contato
13.1 A SAINE manterá, em nível compatível com sua operação e com a legislação aplicável, canais aptos ao recebimento de solicitações relacionadas à privacidade e à proteção de dados, inclusive para exercício de direitos, esclarecimentos, incidentes e comunicações institucionais pertinentes.
13.2 As informações essenciais sobre o tratamento de dados pessoais, inclusive identificação do controlador, finalidades gerais, canais de contato e, quando aplicável, identificação do encarregado, poderão ser divulgadas em aviso ou política externa de privacidade, complementar a este normativo interno.
14. Do treinamento, monitoramento e responsabilização
14.1 A SAINE promoverá ações de conscientização, treinamento e orientação sobre privacidade, confidencialidade, segurança da informação e proteção de dados, de forma compatível com a função exercida e com o risco inerente às atividades de cada área.
14.2 O descumprimento desta Política, dos procedimentos correlatos ou das obrigações legais e contratuais relacionadas à proteção de dados poderá ensejar medidas administrativas, disciplinares, contratuais, civis e outras cabíveis, sem prejuízo da apuração de responsabilidade individual e institucional.
14.3 A SAINE poderá realizar monitoramento, auditorias, revisões de acesso, testes de aderência, avaliações de risco e outras medidas de verificação para assegurar a efetividade desta Política e da governança de privacidade.
15. Da interpretação sistemática e das disposições finais
15.1 Esta Política deverá ser interpretada em conjunto com a ata de instituição dos comitês, com o regimento do Comitê de Compliance, Integridade e Proteção de Dados Pessoais, com a política de compliance e integridade, com a política de gestão de crises e continuidade operacional, com os normativos de segurança da informação e com os demais instrumentos internos correlatos da SAINE.
15.2 Os casos omissos e as situações excepcionais serão avaliados pela Administração da SAINE, ouvidas, quando necessário, as áreas técnicas competentes, o Jurídico, o Comitê de Compliance, Integridade e Proteção de Dados Pessoais e o Encarregado pelo Tratamento de Dados Pessoais.
15.3 Esta Política entra em vigor na data de sua aprovação pela Administração da SAINE, podendo ser revisada periodicamente ou sempre que houver alteração relevante na legislação, no perfil de risco institucional, na estrutura organizacional ou nas operações de tratamento de dados pessoais da instituição.