Política de privacidade e proteção de dados

A Portimed observa, em todas as operações de tratamento de dados pessoais, os princípios estabelecidos no art. 6º da Lei nº 13.709/2018:

• Finalidade: tratamento para propósitos legítimos, específicos, explícitos e informados ao titular.
• Adequação: compatibilidade entre o tratamento e as finalidades informadas.
• Necessidade: limitação ao mínimo necessário para o cumprimento das finalidades.
• Livre acesso: garantia de consulta facilitada e gratuita aos dados tratados.
• Qualidade dos dados: exatidão, clareza, relevância e atualização.
• Transparência: informações claras, precisas e acessíveis sobre o tratamento.
• Segurança: medidas técnicas e administrativas aptas a proteger os dados.
• Prevenção: adoção de medidas para evitar danos em virtude do tratamento.
• Não discriminação: impossibilidade de tratamento para fins discriminatórios, ilícitos ou abusivos.
• Responsabilização e prestação de contas: demonstração da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas.

A Portimed é exclusivamente uma ferramenta tecnológica.

• Não fornecemos atendimento médico, consultas, diagnósticos ou prescrições.
• Não somos responsáveis pela veracidade ou qualidade técnica dos dados inseridos por médicos, enfermeiros ou gestores do Controlador.
• A responsabilidade técnica e legal pelos atos médicos e pela guarda do prontuário (nos termos das resoluções do CFM) permanece com o profissional de saúde e com o Controlador.

A Portimed processa as seguintes categorias de dados, inseridos pelo Controlador ou pelo próprio titular:

• Dados de identificação: nome completo, CPF, RG, data de nascimento, matrícula funcional.
• Dados de contato: e-mail, telefone, endereço.
• Dados profissionais: cargo, setor, empresa empregadora, CBO, data de admissão.
• Dados pessoais sensíveis de saúde (art. 5º, II e art. 11 da LGPD): atestados médicos com diagnóstico em CID-10, restrições laborais, exames ocupacionais (ASO), histórico clínico ocupacional, dados de afastamentos, dados informados em consultas e perícias.
• Dados de credenciais e segurança: hash de senha, fator de autenticação multifator (MFA) cifrado, tokens de sessão.
• Dados de registro e auditoria: endereço IP, data e hora de acesso, identificador do dispositivo, logs de ações executadas na plataforma.

Atenção: atestados médicos contendo códigos CID-10 e qualquer informação clínica são dados pessoais sensíveis de saúde e recebem proteções adicionais previstas no art. 11 da LGPD.

Cada operação de tratamento é amparada por uma base legal específica:

A Portimed oferece um sistema de controle de acesso baseado em funções (RBAC) combinado a atributos (ABAC) por colaborador.

• Administrador principal: o Controlador nomeará um administrador que terá o poder exclusivo de definir quais usuários (RH, Médicos do Trabalho, Gestores) poderão visualizar dados específicos.
• Blindagem de dados sensíveis: a plataforma permite que dados médicos sensíveis fiquem restritos apenas a usuários com perfil "Médico", garantindo o sigilo profissional.
• Responsabilidade: a Portimed não se responsabiliza por acessos indevidos decorrentes de má gestão de senhas ou configuração de permissões inadequadas realizadas pelo Administrador Principal do Controlador.

A Portimed não comercializa dados pessoais. O compartilhamento ocorre apenas:

1. Por ordem do Controlador: para envio de eventos ao eSocial ou integração com outros sistemas autorizados pelo cliente.
2. Por obrigação legal: cumprimento de ordens judiciais ou requisições de autoridades competentes.
3. Com operadores (sub-processadores): fornecedores contratados para viabilizar a prestação do serviço, sujeitos a obrigações contratuais de confidencialidade e segurança equivalentes às assumidas pela Portimed.

Operadores em uso atualmente:

A lista é atualizada conforme novos operadores são integrados. O Controlador pode solicitar a relação vigente a qualquer momento pelo canal indicado na Seção 12.

O processamento principal e o armazenamento dos dados ocorrem na região southamerica-east1 (São Paulo, Brasil) da Google Cloud Platform.

Quando há transferência internacional a operadores localizados no exterior (vide tabela na Seção 7), a transferência é amparada por uma das hipóteses do art. 33 da LGPD, em especial: (i) execução de contrato do qual o titular é parte; (ii) cumprimento de obrigação legal; e (iii) cláusulas contratuais específicas com garantias de proteção de dados equivalentes à legislação brasileira, conforme orientações da ANPD.

O titular pode solicitar informações detalhadas sobre as salvaguardas adotadas em cada transferência internacional pelo canal indicado na Seção 12.

Empregamos medidas técnicas e administrativas para proteger o sistema:

• Criptografia: dados em trânsito (TLS) e em repouso. CPF, CNPJ, segredos de MFA e credenciais de integração são cifrados na camada de banco com chaves gerenciadas pela GCP (KMS).
• Isolamento por tenant: Row-Level Security (RLS) no PostgreSQL impede acesso cruzado entre organizações mesmo em caso de falha de aplicação.
• Logs de auditoria: registro de quem acessou, editou ou visualizou dados de saúde, com rastreabilidade por requisição.
• Backups periódicos: snapshots automáticos do banco de dados e armazenamento versionado de documentos.
• Autenticação: senhas com política mínima de 12 caracteres, hash Argon2id, suporte a autenticação multifator (TOTP).
• Resposta a incidentes: em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Portimed comunicará o Controlador e a ANPD em prazo razoável, nos termos do art. 48 da LGPD.

Os prazos de retenção observam a finalidade do tratamento, o ciclo de vida do contrato com o Controlador e as obrigações legais e regulatórias aplicáveis:

Após o término do contrato, os dados serão devolvidos ao Controlador ou eliminados, salvo se a manutenção for necessária para cumprimento de obrigação legal ou regulatória.

Você, titular dos dados, pode exercer a qualquer momento os seguintes direitos garantidos pelo art. 18 da Lei nº 13.709/2018:

1. Confirmação da existência de tratamento dos seus dados pessoais.
2. Acesso aos dados pessoais tratados.
3. Correção de dados incompletos, inexatos ou desatualizados.
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
5. Portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa.
6. Eliminação dos dados pessoais tratados com base no consentimento (ressalvadas as hipóteses do art. 16 da LGPD, em especial a guarda obrigatória do atestado por 7 anos pela legislação do CFM).
7. Informação sobre as entidades públicas e privadas com as quais a Portimed realizou uso compartilhado de dados.
8. Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
9. Revogação do consentimento, nos termos do § 5º do art. 8º da LGPD.

Como exercer: envie sua solicitação para contato@portimed.com.br identificando-se e descrevendo o direito que deseja exercer. Responderemos em até 15 (quinze) dias, conforme orientação da ANPD. Quando atuamos como Operadora, encaminharemos a solicitação ao Controlador (empregador) quando este for o destinatário adequado, mantendo o titular informado.

A Portimed pode utilizar inteligência artificial para auxiliar a triagem de atestados (leitura assistida de documento e sugestão de CID). Essas funcionalidades são ferramentas de apoio à decisão humana e não substituem a análise de um profissional autorizado pelo Controlador.

Nenhuma decisão automatizada tomada exclusivamente por algoritmo afeta interesses do titular (aprovação ou rejeição de atestado, encaminhamento ao INSS, decisões de RH). Todas essas decisões são sempre revisadas e tomadas por um responsável humano da empresa Controladora.

Caso, no futuro, a Portimed adote decisões automatizadas com efeito sobre o titular, esta política será atualizada e o titular terá direito de solicitar revisão por pessoa natural, nos termos do art. 20 da LGPD.

A Portimed utiliza atualmente apenas cookies essenciais de sessão e segurança (autenticação, CSRF, preferência de tema), necessários ao funcionamento da plataforma. Esses cookies não dependem de consentimento prévio nos termos do art. 7º, V da LGPD.

Para questões sobre privacidade, exercício de direitos ou para falar com nosso Encarregado pelo Tratamento de Dados Pessoais (DPO), utilize:

• Encarregado (DPO): Eduardo Nassar Stephanes
• E-mail: gestao@portimed.com.br
• Endereço: Curitiba, PR — Brasil

Caso entenda que sua solicitação não foi adequadamente respondida, é direito do titular peticionar perante a Autoridade Nacional de Proteção de Dados (ANPD): www.gov.br/anpd.