Política de Privacidade do DM Gestão

Quem é responsável pelos dados

• Dados dos pacientes: cada clínica (empresa) que usa o DM Gestão é a controladora dos dados dos seus pacientes, e decide o que cadastra e para quê. A BomLabs é a operadora: ela armazena e trata esses dados apenas para fornecer o sistema à clínica, seguindo as instruções dela.
• Dados dos usuários e das clínicas: para as contas das pessoas que usam o sistema, o cadastro das clínicas e suas assinaturas, a BomLabs é a controladora.

Dados que o sistema trata

• Contas: e-mail (o login), senha (guardada apenas como hash PBKDF2), segundo fator do login (segredo do aplicativo autenticador, criptografado, ou chaves de acesso) e os dispositivos confiáveis que dispensam o segundo fator.
• Membros da equipe de uma clínica: nome, profissão, conselho e registro profissional, CPF (para as assinaturas digitais) e permissões.
• Clínicas: nome, CNPJ, endereço, telefone, WhatsApp e logos.
• Pacientes: identificação (nome, nome social, CPF, RG ou passaporte), contato, endereço, data de nascimento, gênero, dependentes e responsáveis.
• Dados de saúde dos pacientes (dados sensíveis): anamnese e alertas clínicos, prontuários, receitas, achados do mapa corporal, fotos e anexos, atendimentos, documentos e as solicitações feitas com base na LGPD.
• Financeiro da clínica: pagamentos de cada atendimento e o estoque de materiais.
• Trilha de auditoria: quem acessou ou alterou o quê, quando, a partir de qual endereço IP, país e navegador.

Para que os dados são tratados

Os dados nunca são usados para publicidade, nunca são vendidos e nunca são usados para criar perfis dos pacientes.

• Para fornecer o sistema às clínicas: agenda, atendimentos, prontuários, receitas, documentos, financeiro e estoque.
• Para enviar os e-mails do sistema: convites, redefinição de senha e de segundo fator, a confirmação de um atendimento agendado e o lembrete na véspera.
• Para manter o sistema seguro: login, sessões, acesso por perfil, a trilha de auditoria e a prevenção de abusos.
• Para cobrar a assinatura das clínicas.
• Para cumprir obrigações legais, como a guarda dos prontuários.

Como os dados são protegidos

• Dados pessoais e de saúde dos pacientes são criptografados em repouso (AES-256-GCM) no banco de dados.
• Cada clínica acessa apenas os próprios dados; dados de pacientes são reservados aos profissionais de saúde da clínica, e administradores acessam apenas as configurações.
• Todo acesso a dados de pacientes é registrado na trilha de auditoria, que os administradores da clínica podem consultar.
• A clínica pode exigir um segundo fator (aplicativo autenticador ou chave de acesso) em todo login da sua equipe.
• Prontuários e receitas finalizados são travados contra alterações, e podem ser assinados com o certificado ICP-Brasil do profissional.
• Todo o tráfego usa HTTPS.

Fornecedores do serviço

A BomLabs usa estes fornecedores para operar o DM Gestão. Eles tratam apenas os dados necessários para a sua parte do serviço:

• Cloudflare: hospedagem do sistema, banco de dados, armazenamento de arquivos, sessões, envio dos e-mails, geração de PDFs e os registros técnicos das requisições (política de privacidade).
• Stripe: pagamento das assinaturas das clínicas. Os dados do cartão são informados na Stripe e nunca chegam ao DM Gestão (política de privacidade).
• Lacuna Software (RestPKI): assinatura digital dos prontuários e receitas com certificados ICP-Brasil, apenas quando o profissional assina um documento.
• IBGE: as listas de países, estados e cidades dos formulários de endereço vêm do serviço público do IBGE; nenhum dado pessoal é enviado a ele.

Transferência internacional

A Cloudflare e a Stripe podem tratar dados em servidores fora do Brasil. Essas transferências seguem o artigo 33 da LGPD, com fornecedores que oferecem garantias adequadas de proteção dos dados.

Por quanto tempo os dados são guardados

• Prontuários, receitas, anexos, anamnese e mapa corporal são guardados por 20 anos a partir do último registro de cada paciente, como exige a Lei nº 13.787/2018. Eles não são apagados antes disso.
• Os demais dados de uma clínica são guardados enquanto ela usa o sistema, e podem ser exportados pela clínica a qualquer momento.
• A trilha de auditoria é guardada para comprovar quem acessou os dados, inclusive após o fim do uso.
• As sessões duram até 30 dias, assim como um dispositivo confiável que dispensa o segundo fator.

Cookies e armazenamento do navegador

O DM Gestão usa apenas os cookies de que precisa para funcionar: a sessão (criptografada, até 30 dias) e, quando você escolhe, o dispositivo confiável do segundo fator. Ele não tem cookies de publicidade nem de analytics.

Para mostrar a agenda quando a rede falha, o aplicativo guarda no navegador os atendimentos em aberto dos próximos 7 dias (horário, nome do paciente, tratamento, local e profissional, nunca dados clínicos). Eles são apagados ao sair e ao trocar de clínica.

Direitos dos titulares

A LGPD garante aos titulares o direito de confirmar e acessar seus dados, corrigi-los, saber com quem são compartilhados, e os demais direitos do seu artigo 18.

• Pacientes exercem seus direitos com a clínica onde foram atendidos, que é a controladora dos seus dados. O sistema tem um fluxo completo para essas solicitações, com a exportação de todos os dados do paciente.
• Usuários podem atualizar sua conta e sair de uma clínica no seu perfil, e podem falar com a BomLabs sobre os dados da sua conta.

Incidentes de segurança

Se um incidente de segurança puder trazer risco ou dano relevante aos titulares, a BomLabs informa as clínicas afetadas, para que elas comuniquem os pacientes e a ANPD como a LGPD exige.

Mudanças nesta política

Quando esta política mudar, a nova versão é publicada nesta página com uma nova data de atualização, e as mudanças relevantes são informadas aos administradores das clínicas.

Contato

Você também pode escrever para contact@bomlabs.com.br.