1. Identificação do Controlador

A ProntoMed24h é uma plataforma digital destinada à prestação de serviços de telemedicina e telessaúde, atuando como controladora dos dados pessoais tratados na Plataforma.

Para questões de proteção de dados, o Encarregado (DPO) poderá ser contatado pelo e-mail: privacidade@prontomed24h.com.br.

2. Legislação Aplicável

Esta Política é regida principalmente por:

• Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD);
• Lei nº 14.510/2022 (Telessaúde e Telemedicina);
• Resolução CFM nº 2.314/2022;
• Código de Ética Médica;
• Demais normas aplicáveis do Conselho Federal de Medicina e Conselhos Regionais de Medicina.

3. Dados Coletados

Dados de identificação:

• Nome completo;
• CPF;
• Data de nascimento;
• Telefone;
• E-mail.

Dados de saúde (dados sensíveis — Art. 11 da LGPD):

• Queixa principal e início dos sintomas;
• Histórico médico e doenças prévias;
• Alergias;
• Medicamentos em uso;
• Fotos e imagens enviadas durante a triagem;
• Triagem clínica;
• Evolução médica, diagnóstico (CID-10), conduta;
• Prescrições e atestados médicos;
• Encaminhamentos;
• Relatórios de consulta;
• Mensagens trocadas no chat de atendimento.

Dados financeiros:

• CPF (para processamento de pagamento);
• Informações de transação processadas pelo Asaas (PIX ou cartão de crédito).

Dados técnicos:

• Endereço IP (registrado no aceite de consentimento e em eventos críticos);
• Data e hora de acesso;
• Logs de auditoria (ações realizadas na Plataforma);
• Informações de dispositivo e navegador.

Dados de médicos (credenciamento):

• CRM, RQE, UF, especialidade;
• Documentos: identidade, CPF, carteira do CRM, certidão de regularidade, comprovante bancário, comprovante de endereço;
• Dados bancários e chave Pix (para repasse de valores).

4. Base Legal do Tratamento

O tratamento de dados pessoais na ProntoMed24h fundamenta-se nas seguintes bases legais:

• Consentimento (Art. 7º, I e Art. 11, I, "c"): Coleta e tratamento de dados de saúde para realização de teleconsultas, emissão de documentos médicos e formação de prontuário eletrônico. O paciente concede consentimento específico, livre, informado e inequívoco, podendo revogá-lo a qualquer momento;
• Tutela da saúde (Art. 11, II, "f"): Tratamento de dados de saúde para proteção da saúde e bem-estar do próprio titular;
• Execução de contrato (Art. 7º, V): Dados necessários para prestação do serviço contratado (consulta médica);
• Obrigação legal (Art. 7º, II): Cumprimento de obrigações regulatórias (CFM, ANVISA), retenção de prontuários, auditoria;
• Legítimo interesse (Art. 7º, IX): Prevenção a fraudes, segurança da informação e melhoria da Plataforma.

5. Finalidade do Tratamento

Os dados poderão ser utilizados para:

• Prestação de serviços médicos por telemedicina;
• Identificação e autenticação do paciente e do médico;
• Triagem clínica e formação do prontuário eletrônico;
• Emissão de receitas, atestados, encaminhamentos e relatórios médicos;
• Processamento de pagamentos via Asaas;
• Repasse de valores aos médicos credenciados;
• Cumprimento de obrigações legais e regulatórias;
• Auditoria interna e segurança da informação;
• Prevenção a fraudes;
• Atendimento de solicitações do titular dos dados;
• Melhoria contínua da Plataforma.

6. Compartilhamento de Dados

Os dados poderão ser compartilhados apenas quando necessário, com os seguintes terceiros:

6.1. Asaas (Gateway de Pagamentos)

• Dados compartilhados: Nome, CPF, e-mail, telefone e dados de pagamento (cartão de crédito quando aplicável);
• Finalidade: Processamento de pagamentos (PIX e cartão de crédito);
• Base legal: Execução de contrato e obrigação legal.

6.2. Mevo (Plataforma de Prescrição Eletrônica)

• Dados compartilhados: Nome do paciente, dados da prescrição e dados do médico prescritor;
• Finalidade: Emissão e assinatura digital de prescrições eletrônicas, conforme exigência legal;
• Base legal: Execução de contrato e tutela da saúde.

6.3. Médicos Credenciados

• Dados compartilhados: Dados de saúde do paciente necessários para o atendimento (triagem, histórico, prontuário);
• Finalidade: Realização da teleconsulta;
• Base legal: Consentimento e tutela da saúde.

6.4. Autoridades e Órgãos Reguladores

• Dados compartilhados: Dados necessários para cumprimento de ordem judicial, requisição de autoridade competente ou obrigação legal;
• Finalidade: Cumprimento de obrigação legal;
• Base legal: Obrigação legal.

A ProntoMed24h não vende, aluga ou comercializa dados pessoais de seus usuários a terceiros para fins de marketing.

7. Segurança das Informações

A ProntoMed24h adota medidas técnicas e organizacionais para proteger os dados pessoais, em especial os dados sensíveis de saúde, contra acessos não autorizados, perda, alteração ou divulgação indevida. As medidas implementadas incluem:

7.1. Armazenamento Privado de Documentos

• Todos os documentos médicos (receitas, atestados, relatórios, fotos de triagem) são armazenados em armazenamento privado, não acessível publicamente;
• O acesso a arquivos é protegido por URLs temporárias assinadas, com prazo de validade limitado, que expiram automaticamente.

7.2. Controle de Acesso por Perfil (RBAC)

• Acesso baseado em perfis: Paciente, Médico e Administrador;
• Row-Level Security (RLS): Cada usuário só consegue acessar seus próprios dados. Pacientes não acessam dados de outros pacientes; médicos só acessam prontuários de pacientes que atenderam;
• Médicos só podem acessar dados de pacientes com quem tiveram consulta ativa;
• Operações sensíveis (criação de mensagens, aprovação de pagamentos, liberação de ganhos, acesso a prontuários) são executadas exclusivamente em funções de backend com validação de propriedade e autenticação;
• Campos sensíveis (dados bancários de médicos, documentos de credenciamento) possuem Field-Level Security, visíveis apenas para o próprio médico ou administradores.

7.3. Logs de Auditoria

• Todas as ações críticas são registradas em log de auditoria imutável, incluindo: aceite e revogação de consentimento, login, registro, atualização de perfil, criação/conclusão/cancelamento de consulta, emissão de receitas e atestados, aprovação de pagamentos, solicitação e aprovação de saques, solicitação de exclusão de conta, e tentativas de acesso negado;
• Cada registro de auditoria contém: tipo do evento, ID e nome do ator, papel (paciente/médico/administrador/sistema), entidade afetada, descrição, endereço IP e timestamp.

7.4. Criptografia

• Comunicação protegida por HTTPS/TLS em toda a Plataforma;
• Dados de cartão de crédito não são armazenados pela ProntoMed24h, sendo processados diretamente pelo Asaas.

8. Direitos do Titular

Nos termos da LGPD (Art. 18), o titular dos dados poderá solicitar a qualquer momento:

• Confirmação da existência de tratamento de seus dados;
• Acesso aos seus dados pessoais;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• Portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa;
• Eliminação dos dados pessoais tratados com base no consentimento (observadas as obrigações de retenção legal de prontuários médicos);
• Informação sobre o compartilhamento de dados com terceiros;
• Informação sobre a possibilidade de não consentir e as consequências da recusa;
• Revogação do consentimento, que pode ser exercida diretamente na Plataforma ou por contato com o Encarregado.

As solicitações serão atendidas no prazo legal de até 15 (quinze) dias úteis, podendo ser estendido em casos justificados.

9. Revogação de Consentimento

9.1. O paciente pode revogar seu consentimento para tratamento de dados a qualquer momento, diretamente na Plataforma ou por contato com o Encarregado.

9.2. A revogação do consentimento bloqueia imediatamente novos atendimentos e tratamentos de dados até que o paciente aceite novamente os termos.

9.3. A revogação não afeta dados já processados em atendimentos anteriores, que serão retidos conforme obrigação legal do CFM.

9.4. A revogação é registrada em log de auditoria com data, hora e IP.

10. Exclusão de Conta

10.1. O paciente pode solicitar a exclusão de sua conta a qualquer momento, diretamente na Plataforma ou por contato com o Encarregado.

10.2. Mediante solicitação de exclusão:

• Os dados de contato (telefone, e-mail) são imediamente anonimizados;
• O ID do cliente no Asaas é removido do perfil;
• A conta é marcada como "exclusão solicitada", impedindo novos acessos;
• Os prontuários médicos são retidos pelo prazo legal exigido pelo CFM (mínimo de 10 anos), em conformidade com o Art. 16 da LGPD (obrigação legal de retenção).

10.3. A solicitação é registrada em log de auditoria com base legal no Art. 18, VI da LGPD.

11. Retenção dos Dados

11.1. Os dados pessoais são retidos pelo tempo necessário para cumprir as finalidades descritas nesta Política, observadas as obrigações legais:

• Prontuários eletrônicos e registros médicos: Mínimo de 10 (dez) anos, conforme normas do CFM, contados a partir do último atendimento;
• Dados de consentimento: Retidos por toda a vigência da relação + 5 anos para comprovação;
• Logs de auditoria: Retidos por no mínimo 5 (cinco) anos;
• Dados de pagamento: Conforme exigência fiscal (5 anos);
• Dados de médicos (credenciamento): Retidos durante a vigência do credenciamento + prazo legal;
• Dados de contato de pacientes excluídos: Anonimizados imediatamente.

11.2. Após o prazo de retenção, os dados são definitivamente eliminados ou anonimizados.

12. Transferência Internacional de Dados

12.1. A ProntoMed24h utiliza provedores de infraestrutura em nuvem que podem processar dados em servidores localizados fora do Brasil.

12.2. Em caso de transferência internacional, a ProntoMed24h garante que o destino oferece nível adequado de proteção de dados, conforme exigido pela LGPD (Art. 33), utilizando cláusulas contratuais padrão ou demais mecanismos legais aplicáveis.

13. Cookies e Tecnologias Similares

13.1. A Plataforma utiliza cookies e tecnologias similares essenciais para seu funcionamento (autenticação, sessão e segurança), dispensando consentimento individual nos termos da LGPD.

13.2. O usuário pode gerenciar cookies através das configurações do navegador.

14. Crianças e Adolescentes

14.1. A Plataforma não é destinada ao uso por menores de 18 (dezoito) anos sem o consentimento dos responsáveis legais.

14.2. Atendimentos a menores podem ser realizados mediante consentimento e presença do responsável legal, que deverá fornecer seus dados para tal finalidade.

15. Contato

Solicitações relacionadas à privacidade e proteção de dados poderão ser encaminhadas para o Encarregado (DPO):

E-mail: privacidade@prontomed24h.com.br

Reclamações à Autoridade Nacional de Proteção de Dados (ANPD): www.gov.br/anpd