Compliance Pack
Sumário Descritivo de Segurança e Conformidade — as salvaguardas técnicas, bases legais e medidas de mitigação de risco que sustentam a operação da Axé Saúde e de seus Parceiros Especializados.
Escopo institucional e finalidade do documento
O presente Sumário Descritivo de Segurança e Conformidade constitui um instrumento técnico-jurídico destinado a facilitar o processo de governança e accountability da Contratante. Este documento foi estruturado para atuar como um substituto funcional à elaboração de um Relatório de Impacto à Proteção de Dados (RIPD) individualizado por parte da Contratante, detalhando as salvaguardas técnicas, as bases legais e as medidas de mitigação de risco adotadas pela Axé Saúde e seus Parceiros Especializados.
A operação aqui descrita fundamenta-se nos princípios da transparência e da segurança desde a concepção (Privacy by Design), garantindo a conformidade com a Lei Geral de Proteção de Dados (LGPD) e as resoluções do Conselho Federal de Medicina (CFM).
Matriz de responsabilidades e agentes de tratamento
Em estrita observância à LGPD e aos instrumentos contratuais, a segregação de papéis no tratamento de dados pessoais é definida conforme a seguinte matriz:
Axé Saúde
Operadora (dados cadastrais) e Controladora (Adm/Financeiro)
Gestão tecnológica da Plataforma, controle de acesso, suporte e faturamento dos serviços B2B.
Parceiros Especializados
Controladores independentes
Responsabilidade técnica integral pelos atos clínicos, diagnósticos e guarda perene dos prontuários médicos.
Contratante
Controladora
Titularidade da base de dados dos beneficiários enviada para ativação e gestão de vidas na Plataforma.
A Axé Saúde e a Contratante permanecem isentos de responsabilidade técnica por atos médicos, a qual recai exclusivamente sobre os profissionais de saúde e Parceiros Especializados.
Fluxo operacional e ciclo de vida dos dados
O tratamento de dados na Axé Saúde é processado através de duas frentes tecnológicas e jurídicas estanques:
Frente Administrativa (Painel de Gestão)
- Finalidade: Gestão de Beneficiários (ativação/inativação) e monitoramento de métricas operacionais pelo RH/Gestores.
- Privacidade e segurança: O acesso por parte do Usuário Administrativo (profissional da Contratante) é restrito a dados cadastrais e relatórios gerenciais submetidos a processo de anonimização irreversível, conforme os critérios do Art. 12 da LGPD, impedindo que o RH identifique patologias ou CID dos colaboradores.
Frente Clínica (ecossistema de Telessaúde)
- Tratamento de dados sensíveis: Coleta de informações de saúde para consultas, diagnósticos e emissão de documentos.
- Guarda e retenção: Os prontuários eletrônicos são mantidos em caráter perene por no mínimo 20 anos, em conformidade com a Lei nº 13.787/2018.
- Limitações regulatórias: A emissão de documentos eletrônicos com assinatura eletrônica qualificada possui plena validade nacional, excetuando-se as Notificações de Receita A (NRA), B, B2 e retinoides especiais, que exigem talonários físicos e retenção física obrigatória, conforme normas vigentes da Anvisa.
Padrões técnicos e rigor de segurança
No ecossistema de Telessaúde a infraestrutura tecnológica dos Parceiros Especializados é regida por padrões de conformidade de alto nível, integrando exigências éticas e digitais:
Criptografia de ponta a ponta
Utilização de protocolos seguros para a transmissão síncrona de áudio, vídeo e dados textuais.
Integração NGS2 e ICP-Brasil
O sistema de telemedicina adere ao Nível de Garantia de Segurança 2 (NGS2), que, conforme a Resolução CFM nº 2.314/2022 (Art. 3º, §2º), requer obrigatoriamente o uso de certificados digitais no padrão da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil).
Assinatura eletrônica qualificada
Todos os documentos médicos (receitas e atestados) são emitidos com assinaturas qualificadas, garantindo autenticidade, integridade e irrefutabilidade perante órgãos fiscalizadores e estabelecimentos farmacêuticos.
Governança e medidas de mitigação de risco
Para assegurar a proteção dos direitos dos titulares, a Axé Saúde implementa as seguintes estratégias de governança:
Segregação lógica e técnica
Implementação de barreiras tecnológicas e lógicas (silos de dados e VLANs) que garantem a separação total entre os dados administrativos e os prontuários médicos sensíveis, impossibilitando tecnicamente o acesso da Contratante ao histórico clínico.
Controle de acesso e rastreabilidade
Implementação de credenciais exclusivas com logs de auditoria contínuos, permitindo o monitoramento de qualquer interação com a base de dados.
Gestão proativa de incidentes
Em caso de violação de dados, a Axé Saúde compromete-se a comunicar o incidente às partes envolvidas em até 72 horas, alinhando-se às melhores diretrizes de governança da ANPD.
Anonimização gerencial
Relatórios de sinistralidade e presença são entregues à Contratante de forma agregada, garantindo que o RH possa realizar a gestão de custos sem violar o sigilo médico dos beneficiários.
Fundamentação legal e bases normativas
A operação de Telessaúde dos Parceiros Especializados está enquadrada no seguinte arcabouço jurídico:
Glossário técnico-terminológico
Beneficiário
Colaborador (Titular) ou dependente cadastrado e habilitado para utilizar os serviços clínicos da plataforma.
Usuário Administrativo
Profissional designado pela Contratante (geralmente RH) para gestão administrativa no painel de controle. Possui nível zero de acesso à Frente Clínica.
Telessaúde
Prestação de serviços de saúde à distância, respeitada a autonomia profissional do médico para decidir pela modalidade remota ou indicar o atendimento presencial conforme a necessidade clínica.
Parceiro Especializado
Empresa intermediadora de serviços de Telessaúde, assim consideradas as pessoas jurídicas que contratam, de forma direta ou indireta, profissionais da saúde.
NGS2
Nível de Garantia de Segurança 2 — requisito técnico obrigatório para Sistemas de Registro Eletrônico de Saúde (SRES), integrando certificados digitais ICP-Brasil para garantir o sigilo profissional e a integridade dos dados de saúde.
Precisa de detalhes adicionais para o seu Jurídico ou DPO?
Nosso time de compliance pode fornecer este material assinado digitalmente ou esclarecer pontos específicos da sua operação.