Política de Privacidade e Proteção de Dados

CAPÍTULO I — DISPOSIÇÕES GERAIS

Art. 1º — Finalidade

A presente Política estabelece diretrizes institucionais, jurídicas, técnicas e organizacionais aplicáveis ao tratamento de dados pessoais realizado pela Nova Imagem Radiologia e Ultrassonografia Ltda., em conformidade com a Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD), regulamentações da Agência Nacional de Proteção de Dados (ANPD), normas setoriais aplicáveis e boas práticas de governança em privacidade e segurança da informação.

Art. 2º — Abrangência

Esta Política aplica-se às operações de tratamento de dados pessoais relacionadas às atividades da instituição e abrange, conforme aplicável:

I — pacientes, incluindo crianças e adolescentes;
II — pais e responsáveis legais;
III — colaboradores;
IV — candidatos a vagas;
V — profissionais de saúde;
VI — prestadores de serviços;
VII — parceiros;
VIII — fornecedores;
IX — visitantes;
X — usuários de sistemas e ambientes digitais;
XI — demais titulares cujos dados pessoais sejam tratados pela instituição.

Art. 3º — Princípios Aplicáveis

O tratamento de dados pessoais observará os princípios previstos na LGPD, incluindo:

I — finalidade;
II — adequação;
III — necessidade;
IV — livre acesso;
V — qualidade dos dados;
VI — transparência;
VII — segurança;
VIII — prevenção;
IX — não discriminação;
X — responsabilização e prestação de contas.

---

CAPÍTULO II — GOVERNANÇA E BASE NORMATIVA

Art. 4º — Estrutura de Governança

A Nova Imagem mantém estrutura de governança em privacidade e segurança da informação composta por:

I — Programa de Privacidade e Segurança da Informação (PPSI);
II — Sistema de Gestão de Segurança da Informação (SGSI);
III — Programa de Governança em Privacidade (PGP).

Parágrafo único. Os componentes da estrutura de governança atuam de forma integrada, respeitadas suas finalidades específicas, com abordagem baseada em riscos e melhoria contínua.

Art. 5º — Base Técnica e Normativa

Esta Política considera, entre outras referências aplicáveis:

I — Lei Geral de Proteção de Dados Pessoais — LGPD;
II — regulamentações, orientações e guias da ANPD;
III — Estatuto da Criança e do Adolescente — ECA;
IV — Estatuto Digital da Criança e do Adolescente — ECA Digital, quando aplicável;
V — normas sanitárias e regulatórias relacionadas às atividades de saúde;
VI — referências técnicas da família ISO/IEC 27000, incluindo ISO/IEC 27001 e ISO/IEC 27701, quando aplicáveis;
VII — NIST Privacy Framework e demais referenciais de segurança e privacidade aplicáveis;
VIII — CIS Controls.

Parágrafo único. A adoção dessas referências não implica certificação da instituição, sendo utilizadas como apoio técnico para estruturação, avaliação e aprimoramento dos controles.

Art. 6º — Abordagem Baseada em Riscos

A definição, implementação e revisão das medidas de privacidade e segurança observarão abordagem baseada em riscos, considerando, entre outros fatores:

I — natureza dos dados tratados;
II — sensibilidade e criticidade das informações;
III — finalidade das operações;
IV — volume e contexto do tratamento;
V — impacto potencial aos titulares;
VI — riscos tecnológicos, operacionais e organizacionais envolvidos.

---

CAPÍTULO III — PAPÉIS E AGENTES DE TRATAMENTO

Art. 7º — Papéis da Instituição

A Nova Imagem poderá atuar, conforme a operação de tratamento, como:

I — controladora, quando determinar as finalidades e os meios essenciais do tratamento;
II — operadora, quando tratar dados pessoais em nome e segundo as instruções de outro controlador.

Parágrafo único. A utilização de sistemas de terceiros, a atuação em instalações de outra instituição ou a condição de fonte geradora de informações clínicas constituem situações operacionais que, isoladamente, não determinam o papel jurídico exercido pela Nova Imagem nos termos da LGPD.

Art. 8º — Definição dos Papéis e Responsabilidades

Os papéis e responsabilidades dos agentes envolvidos serão determinados conforme:

I — as atividades efetivamente desempenhadas em cada operação de tratamento;
II — as decisões exercidas sobre finalidades e meios;
III — as instruções recebidas ou emitidas;
IV — os instrumentos jurídicos aplicáveis;
V — as disposições da LGPD e demais normas pertinentes.

Art. 9º — Responsabilidade dos Agentes

As responsabilidades de cada agente serão determinadas conforme o papel efetivamente desempenhado na operação de tratamento e as hipóteses previstas na legislação aplicável.

---

CAPÍTULO IV — OPERAÇÕES DE TRATAMENTO

Art. 10 — Finalidades do Tratamento

Os dados pessoais poderão ser tratados para finalidades legítimas relacionadas, entre outras, a:

I — prestação de serviços de saúde;
II — identificação, cadastro e atendimento de pacientes;
III — agendamento e realização de exames;
IV — elaboração, disponibilização e guarda de exames, imagens e laudos;
V — continuidade e integração da assistência à saúde;
VI — faturamento e cobrança;
VII — relacionamento com operadoras de planos de saúde;
VIII — gestão administrativa e contratual;
IX — gestão de colaboradores e candidatos;
X — cumprimento de obrigações trabalhistas, previdenciárias, fiscais, sanitárias e regulatórias;
XI — gestão de prestadores, fornecedores e parceiros;
XII — segurança física e da informação;
XIII — prevenção, detecção e apuração de incidentes;
XIV — auditoria e conformidade;
XV — exercício regular de direitos;
XVI — comunicações institucionais e atendimento de solicitações.

Art. 11 — Categorias de Dados

Poderão ser tratados, conforme a finalidade e a relação mantida com o titular:

I — dados de identificação;
II — dados cadastrais e de contato;
III — dados de pais e responsáveis legais;
IV — dados financeiros e de faturamento;
V — dados de convênio;
VI — dados profissionais, funcionais e ocupacionais;
VII — dados clínicos e informações de saúde;
VIII — imagens diagnósticas;
IX — histórico médico;
X — dados de autenticação, acesso e utilização de sistemas;
XI — registros técnicos e logs;
XII — imagens e registros de sistemas de segurança e CFTV, quando aplicável;
XIII — dados relacionados a comunicações, solicitações e interações;
XIV — outros dados necessários às finalidades legítimas e legalmente autorizadas da instituição.

Parágrafo único. O tratamento deverá ser limitado aos dados adequados, pertinentes e necessários à finalidade de cada operação.

Art. 12 — Bases Legais para Dados Pessoais

O tratamento de dados pessoais observará as hipóteses previstas no art. 7º da LGPD, podendo envolver, conforme o caso:

I — cumprimento de obrigação legal ou regulatória;
II — execução de contrato ou de procedimentos preliminares relacionados a contrato;
III — exercício regular de direitos;
IV — proteção da vida ou da incolumidade física;
V — legítimo interesse, quando aplicável;
VI — consentimento, quando necessário;
VII — outras hipóteses legalmente previstas.

Art. 13 — Bases Legais para Dados Pessoais Sensíveis

O tratamento de dados pessoais sensíveis, especialmente dados de saúde, observará as hipóteses específicas previstas no art. 11 da LGPD, podendo envolver:

I — cumprimento de obrigação legal ou regulatória;
II — exercício regular de direitos;
III — proteção da vida ou da incolumidade física;
IV — tutela da saúde, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
V — consentimento específico e destacado, quando aplicável;
VI — demais hipóteses legalmente previstas.

§1º. O consentimento não constitui base legal universal para as operações de tratamento realizadas pela instituição.

§2º. A realização de exames, elaboração de laudos e demais procedimentos assistenciais poderá ocorrer independentemente de consentimento para fins da LGPD quando o tratamento estiver amparado por outra hipótese legal aplicável.

§3º. Nas relações trabalhistas, administrativas e contratuais, o consentimento será utilizado somente quando juridicamente adequado à finalidade envolvida.

---

CAPÍTULO V — TRATAMENTO DE DADOS DE CRIANÇAS E ADOLESCENTES

Art. 14 — Melhor Interesse

O tratamento de dados pessoais de crianças e adolescentes será realizado considerando seu melhor interesse, bem como:

I — a finalidade da operação;
II — a necessidade do tratamento;
III — a natureza e sensibilidade dos dados;
IV — a proporcionalidade das medidas adotadas;
V — os riscos envolvidos para o titular.

A ANPD consolidou que o tratamento de dados de crianças e adolescentes pode se fundamentar nas hipóteses dos arts. 7º ou 11 da LGPD, desde que observado e prevalecente o melhor interesse.

Art. 15 — Bases Legais e Consentimento

Os dados de crianças e adolescentes poderão ser tratados com fundamento nas hipóteses legais aplicáveis previstas na LGPD, observada a natureza dos dados, a finalidade da operação e o melhor interesse do titular.

§1º. Quando o consentimento for utilizado como hipótese legal para o tratamento de dados de crianças, será observado o consentimento específico e em destaque dado por pelo menos um dos pais ou responsável legal.

§2º. Quando aplicável, serão adotadas medidas razoáveis para verificar a identidade e a legitimidade da manifestação do responsável.

Art. 16 — Transparência e Ambientes Digitais

A instituição adotará medidas destinadas a assegurar que informações relacionadas ao tratamento de dados de crianças e adolescentes sejam apresentadas de forma compatível com a faixa etária, capacidade de compreensão e contexto da operação.

Parágrafo único. Quando aplicáveis aos ambientes, produtos ou serviços digitais utilizados ou disponibilizados pela instituição, serão observadas as disposições do ECA Digital e sua regulamentação.

---

CAPÍTULO VI — CENÁRIOS ASSISTENCIAIS E OPERACIONAIS

Art. 17 — Unidade Própria

Nas operações realizadas em unidade própria, a Nova Imagem atuará como controladora quando determinar as finalidades e os meios essenciais do tratamento, permanecendo responsável pelas operações realizadas sob sua governança.

Art. 18 — Unidade Instalada na Unimed

Nas atividades realizadas em unidade instalada nas dependências da Unimed, a Nova Imagem poderá utilizar sistemas, infraestrutura, redes, aplicações ou recursos tecnológicos disponibilizados ou administrados pela própria Unimed.

§1º. A Nova Imagem permanecerá responsável pelas operações de tratamento realizadas sob sua atuação e governança.

§2º. Sistemas, infraestrutura e recursos tecnológicos poderão estar sujeitos à administração e aos controles de segurança da Unimed, conforme o ambiente utilizado.

§3º. Os papéis e responsabilidades das instituições serão definidos de acordo com as atividades efetivamente realizadas, as decisões exercidas sobre cada operação e os instrumentos estabelecidos entre as partes.

§4º. A localização física da unidade ou a propriedade da infraestrutura tecnológica não determina, isoladamente, a condição de controladora ou operadora de qualquer das instituições.

Art. 19 — Registro Eletrônico de Saúde — RES

Quando houver compartilhamento de informações com Registro Eletrônico de Saúde ou repositório integrado, os papéis e responsabilidades serão definidos conforme a estrutura de governança do respectivo ambiente.

§1º. Quando a Unimed atuar como controladora do RES, caberá a ela definir as finalidades e os meios essenciais dos tratamentos realizados no âmbito do respectivo repositório.

§2º. A Nova Imagem permanecerá responsável pelas operações realizadas sob sua governança e pelas informações clínicas geradas no contexto de seus atendimentos, observadas as responsabilidades definidas entre as instituições.

---

CAPÍTULO VII — COMPARTILHAMENTO DE DADOS

Art. 20 — Hipóteses de Compartilhamento

O compartilhamento de dados pessoais poderá ocorrer quando necessário e juridicamente autorizado, inclusive para:

I — continuidade e integração do cuidado;
II — prestação de serviços assistenciais;
III — auditoria assistencial;
IV — faturamento e cobrança;
V — relacionamento com operadoras de planos de saúde;
VI — cumprimento de obrigações legais ou regulatórias;
VII — exercício regular de direitos;
VIII — gestão de fornecedores e prestadores;
IX — segurança e prevenção de incidentes;
X — auditoria e conformidade;
XI — prestação de serviços tecnológicos e operacionais.

Art. 21 — Critérios para Compartilhamento

O compartilhamento deverá observar:

I — finalidade legítima;
II — necessidade;
III — minimização dos dados;
IV — base legal aplicável;
V — medidas de segurança adequadas;
VI — definição dos papéis e responsabilidades dos agentes envolvidos.

Art. 22 — Responsabilidade após o Compartilhamento

Após o compartilhamento, as responsabilidades serão determinadas conforme o papel efetivamente desempenhado por cada agente, os instrumentos aplicáveis e as disposições da legislação vigente.

Parágrafo único. O recebimento de dados não transforma automaticamente o destinatário em controlador independente, devendo sua atuação ser analisada conforme a operação concreta.

---

CAPÍTULO VIII — SEGURANÇA DA INFORMAÇÃO

Art. 23 — Medidas de Segurança

A Nova Imagem adotará medidas técnicas, administrativas e organizacionais proporcionais à natureza das informações e aos riscos das operações, incluindo, entre outras:

I — controles de acesso;
II — gestão de usuários e permissões;
III — mecanismos de autenticação;
IV — criptografia, quando aplicável;
V — backups;
VI — monitoramento e registro de eventos;
VII — gestão de vulnerabilidades;
VIII — proteção de redes e comunicações;
IX — gestão de incidentes;
X — segurança de terceiros;
XI — conscientização e treinamento.

§1º. Os controles serão definidos e revisados considerando risco, sensibilidade dos dados, criticidade dos ativos e impacto potencial de incidentes.

§2º. Registros de logs e trilhas de auditoria serão mantidos de acordo com critérios legais, regulatórios, técnicos e institucionais aplicáveis, visando à rastreabilidade das operações relevantes.

Art. 24 — SGSI

As medidas de segurança serão integradas ao Sistema de Gestão de Segurança da Informação — SGSI, observando abordagem de melhoria contínua e gestão de riscos.

---

CAPÍTULO IX — DIREITOS DOS TITULARES

Art. 25 — Exercício de Direitos

Os titulares poderão exercer, conforme aplicável, os direitos previstos na LGPD, incluindo:

I — confirmação da existência de tratamento;
II — acesso aos dados;
III — correção de dados incompletos, inexatos ou desatualizados;
IV — anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
V — portabilidade, observada a regulamentação aplicável;
VI — informação sobre entidades públicas e privadas com as quais houve uso compartilhado de dados;
VII — informação sobre a possibilidade de não fornecer consentimento e suas consequências;
VIII — revogação do consentimento, quando aplicável;
IX — eliminação dos dados tratados com consentimento, observadas as hipóteses legais de conservação;
X — oposição ao tratamento realizado em desconformidade com a LGPD;
XI — peticionamento perante a ANPD;
XII — demais direitos previstos na legislação aplicável.

Art. 26 — Crianças e Adolescentes

Quando o titular for criança ou adolescente, o exercício de direitos observará sua condição jurídica, a natureza da solicitação, a atuação dos pais ou responsáveis legais quando aplicável e o melhor interesse do próprio titular.

Art. 27 — Validação da Identidade

A instituição poderá exigir medidas proporcionais de confirmação da identidade do titular ou de seu representante antes do atendimento da solicitação, especialmente quando houver risco de acesso indevido a dados pessoais ou dados sensíveis.

Art. 28 — Limitações Legalmente Aplicáveis

O atendimento a determinada solicitação poderá sofrer restrição quando houver fundamento legal ou regulatório aplicável, devendo eventual limitação ser devidamente justificada.

---

CAPÍTULO X — RETENÇÃO, CONSERVAÇÃO E DESCARTE

Art. 29 — Critérios de Retenção

Os dados pessoais serão mantidos pelo período necessário às finalidades que justificaram seu tratamento, considerando, conforme aplicável:

I — obrigações legais e regulatórias;
II — normas sanitárias e profissionais;
III — preservação de prontuários e documentos assistenciais;
IV — requisitos contratuais legítimos;
V — prazos prescricionais;
VI — exercício regular de direitos;
VII — demais hipóteses legais de conservação.

Art. 30 — Conservação Após o Término da Finalidade

Os dados pessoais poderão ser conservados após o término da finalidade original nas hipóteses autorizadas pela LGPD e demais normas aplicáveis.

Art. 31 — Eliminação e Destinação

A eliminação, anonimização ou outra destinação adequada dos dados ocorrerá quando cabível, observadas:

I — as hipóteses legais de conservação;
II — as obrigações regulatórias;
III — as características dos ambientes tecnológicos;
IV — os requisitos de segurança da informação.

---

CAPÍTULO XI — TRANSFERÊNCIA INTERNACIONAL DE DADOS

Art. 32 — Condições para Transferência

Transferências internacionais de dados pessoais, quando existentes, observarão os arts. 33 e seguintes da LGPD e a regulamentação da ANPD.

A Resolução CD/ANPD nº 19/2024 regulamenta os mecanismos de transferência internacional e as cláusulas-padrão contratuais.

§1º. Será adotado mecanismo juridicamente válido para a transferência, além de medidas de segurança e transparência compatíveis com a operação.

§2º. Conforme o caso, poderão ser utilizados:

I — decisões de adequação;
II — cláusulas-padrão contratuais;
III — cláusulas contratuais específicas;
IV — normas corporativas globais;
V — outros mecanismos admitidos pela legislação e regulamentação aplicáveis.

---

CAPÍTULO XII — TERCEIROS E FORNECEDORES

Art. 33 — Requisitos de Privacidade e Segurança

Prestadores, fornecedores e parceiros que tratem dados pessoais no contexto das atividades da Nova Imagem deverão observar requisitos de privacidade e segurança compatíveis com:

I — a natureza dos dados tratados;
II — o risco da atividade;
III — a finalidade da contratação;
IV — as obrigações atribuídas a cada parte.

Art. 34 — Avaliação e Contratação

Sempre que aplicável e proporcional ao risco, a contratação e gestão de terceiros poderá envolver:

I — avaliação prévia de privacidade e segurança;
II — definição contratual de papéis e responsabilidades;
III — cláusulas de confidencialidade e proteção de dados;
IV — requisitos mínimos de segurança;
V — regras para comunicação de incidentes;
VI — condições para utilização de suboperadores;
VII — regras para devolução, eliminação ou conservação de dados;
VIII — avaliação de eventual transferência internacional;
IX — monitoramento periódico dos riscos da contratação.

---

CAPÍTULO XIII — INCIDENTES DE SEGURANÇA

Art. 35 — Gestão de Incidentes

Incidentes de segurança envolvendo dados pessoais serão tratados conforme procedimento interno formal, abrangendo, conforme o caso:

I — identificação;
II — registro;
III — contenção;
IV — avaliação de impacto e risco;
V — resposta;
VI — recuperação;
VII — comunicação;
VIII — mitigação;
IX — análise de causa e lições aprendidas.

Art. 36 — Comunicação

Quando um incidente puder acarretar risco ou dano relevante aos titulares, serão avaliadas e realizadas as comunicações à ANPD e aos titulares conforme os critérios, prazos e procedimentos previstos na legislação e regulamentação aplicáveis.

A Resolução CD/ANPD nº 15/2024 permanece vigente e disciplina especificamente a comunicação de incidentes de segurança.

---

CAPÍTULO XIV — AUDITORIA, MONITORAMENTO E CONFORMIDADE

Art. 37 — Monitoramento

A conformidade com esta Política será monitorada periodicamente e de forma proporcional aos riscos da instituição, mediante:

I — auditorias internas;
II — avaliações de risco;
III — revisão de políticas e procedimentos;
IV — verificação de controles;
V — acompanhamento de planos de ação;
VI — avaliação de incidentes e não conformidades.

Art. 38 — Melhoria Contínua

As medidas de governança, privacidade e segurança serão objeto de aperfeiçoamento contínuo, considerando mudanças legais, regulatórias, tecnológicas e operacionais, resultados de auditorias, avaliações de risco e eventos relevantes.

---

CAPÍTULO XV — ENCARREGADO PELO TRATAMENTO DE DADOS PESSOAIS

Art. 39 — Designação

A Nova Imagem manterá encarregado pelo tratamento de dados pessoais formalmente designado, nos termos da legislação e regulamentação aplicáveis.

A Resolução CD/ANPD nº 18/2024 regulamenta a atuação do encarregado e admite sua designação como pessoa natural ou jurídica.

Art. 40 — Atribuições

Compete ao Encarregado, observadas as disposições legais e regulamentares:

I — aceitar reclamações e comunicações dos titulares e prestar esclarecimentos;
II — receber comunicações da ANPD e adotar as providências cabíveis;
III — orientar colaboradores, prestadores e demais envolvidos sobre práticas de proteção de dados;
IV — apoiar a estrutura de governança em privacidade;
V — auxiliar na orientação relativa a registros de tratamento, avaliações de risco, relatórios de impacto, incidentes, contratos e políticas;
VI — desempenhar as demais atribuições previstas na legislação e regulamentação aplicáveis.

Art. 41 — Autonomia e Conflito de Interesses

O Encarregado deverá atuar com autonomia técnica compatível com suas atribuições, ética, integridade e observância de situações que possam caracterizar conflito de interesses.

A ANPD trata expressamente o conflito de interesses como situação capaz de comprometer a objetividade ou o julgamento técnico do encarregado.

Art. 42 — Canal de Privacidade

A identidade e as informações de contato do Encarregado serão divulgadas de forma clara e acessível nos canais institucionais aplicáveis.

Encarregado pelo Tratamento de Dados Pessoais: Paliares e Sanchotene Advogados Associados
Pessoa natural responsável pela atuação: Adv. Antônio Sanchotene
Canal de Privacidade: dpo@novaimagemsaojoao.privasec.com.br
Formulário de Solicitações: Clique aqui

---

CAPÍTULO XVI — DISPOSIÇÕES FINAIS

Art. 43 — Cumprimento da Política

Colaboradores, prestadores e demais usuários sujeitos às normas internas da instituição deverão observar esta Política e os procedimentos relacionados à privacidade, proteção de dados e segurança da informação aplicáveis às suas atividades.

Art. 44 — Não Conformidades

O descumprimento desta Política poderá resultar na adoção de medidas administrativas, contratuais ou disciplinares cabíveis, sem prejuízo de outras responsabilidades previstas na legislação.

Art. 45 — Atualizações

Esta Política será submetida a revisão periódica anual, sem prejuízo de atualizações extraordinárias sempre que alterações legais, regulatórias, tecnológicas, operacionais ou institucionais justificarem sua revisão antecipada.

Art. 46 — Vigência

Esta Política entra em vigor na data de sua aprovação pela Alta Gestão e permanecerá vigente até sua substituição por versão posterior regularmente aprovada.

---

Alta Gestão Clínica Nova Imagem

Encarregado pelo Tratamento de Dados Pessoais

Gestão de Segurança da Informação