LGPD / Segurança

A LGPD classifica dados de saúde como dados pessoais sensíveis, sujeitos a proteção especial. A Octor trata esses dados com o mais alto nível de cuidado, adotando medidas técnicas e organizacionais proporcionais à sua sensibilidade.

No contexto da plataforma Octor, dados sensíveis de saúde incluem:

• Anamnese e história clínica dos pacientes;
• Diagnósticos, condições de saúde e evoluções de atendimento;
• Registros de prontuário eletrônico, prescrições e integrações (ex.: Memed);
• Documentos clínicos (atestados, relatórios, laudos e anexos);
• Exames, imagens e arquivos vinculados ao prontuário (Octor Cloud).

Octor como operadora:

Em relação aos dados dos pacientes inseridos na plataforma, a Octor frequentemente atua como operadora — processa os dados em nome da clínica ou profissional contratante (controlador), seguindo instruções contratuais e os limites da Política de Privacidade e do DPA.

Clínica ou profissional como controlador:

A clínica ou profissional que utiliza a Octor é o controlador dos dados dos seus pacientes, leads e equipe. É de sua responsabilidade:

• Possuir base legal adequada para o tratamento clínico e comercial;
• Informar titulares sobre o tratamento, quando aplicável;
• Garantir que os dados inseridos sejam corretos e necessários;
• Atender às solicitações dos titulares (pacientes) quanto aos seus dados;
• Gerenciar perfis de acesso e credenciais da equipe.

Adotamos controles técnicos e organizacionais para proteger dados pessoais e sensíveis, incluindo:

• Criptografia TLS (HTTPS) para todos os dados em trânsito;
• Criptografia em repouso para campos clínicos sensíveis (AES-256);
• Isolamento multi-tenant — cada conta possui ambiente lógico separado, sem acesso cruzado entre clínicas;
• Autenticação segura com sessões e tokens de acesso controlados;
• Controle de acesso por função (RBAC) — perfis como administrador, profissional, recepcionista e demais papéis configuráveis;
• Backups automatizados com política de retenção definida;
• Infraestrutura de hospedagem Hostoo (Brasil), com alta disponibilidade e redundância;
• Logs de auditoria para rastreabilidade de acessos e alterações em prontuário;
• Políticas internas de segurança, confidencialidade e treinamento de equipe.

Conforme o Art. 18 da LGPD, os pacientes (titulares dos dados) têm direito a:

• Confirmação da existência de tratamento;
• Acesso aos seus dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários;
• Portabilidade dos dados a outro fornecedor, quando aplicável;
• Revogação do consentimento, quando o tratamento tiver essa base legal;
• Informação sobre compartilhamentos e possibilidade de não consentir.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Octor se compromete a:

• Notificar o controlador contratante e, quando aplicável, a ANPD no prazo de até 72 horas após a ciência do incidente;
• Comunicar os usuários afetados de forma clara e tempestiva, quando couber;
• Adotar medidas imediatas de contenção, mitigação e investigação.

O encarregado de proteção de dados da Octor é responsável por:

• Orientar colaboradores e parceiros sobre a LGPD;
• Atender solicitações de titulares e da ANPD;
• Coordenar auditorias e revisões de conformidade.