1. Objetivo
Esta Política estabelece os princípios, as diretrizes e as responsabilidades que orientam a proteção das informações tratadas pela Bios Health, em especial os dados pessoais de pacientes tratados na condição de operadora, por conta e ordem das instituições de saúde contratantes.
2. Escopo
Esta Política aplica-se a todos os sistemas, ambientes e informações sob responsabilidade da Bios Health, e a todas as pessoas e fornecedores que tenham acesso a eles.
3. Referências
- Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais (LGPD).
- Resolução CD/ANPD nº 15/2024, que aprova o Regulamento de Comunicação de Incidente de Segurança.
- ABNT NBR ISO/IEC 27001:2022 e 27002:2022, adotadas como referência de boas práticas.
4. Definições
- Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
- Dado pessoal sensível: dado pessoal referente à saúde, entre outras categorias do art. 5º, II, da LGPD.
- Controlador: a instituição de saúde contratante, a quem competem as decisões sobre o tratamento.
- Operadora: a Bios Health, que realiza o tratamento em nome do controlador.
- Suboperador: fornecedor contratado pela Bios Health que trata dados pessoais para a prestação do serviço.
- Incidente de segurança: evento adverso confirmado relacionado à violação da confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais (Res. CD/ANPD nº 15/2024, art. 3º, XII).
5. Princípios
- Confidencialidade, integridade, disponibilidade e autenticidade das informações.
- Necessidade de conhecer e menor privilégio: cada pessoa acessa apenas o necessário para sua função.
- Proporcionalidade: as medidas de segurança são proporcionais à criticidade das informações e ao potencial de dano aos titulares.
- Privacidade desde a concepção e por padrão: a proteção de dados é considerada desde o projeto de cada funcionalidade.
- Proteção em todo o ciclo de vida: da coleta à eliminação.
6. Diretrizes
6.1 Classificação da informação
As informações são classificadas como públicas, internas ou confidenciais. Dados pessoais de pacientes são sempre confidenciais e recebem o maior nível de proteção.
6.2 Controle de acesso
O acesso é concedido por perfil, conforme a necessidade de conhecer e o menor privilégio, com identificação individual. Contas compartilhadas não são permitidas. As tentativas de autenticação são limitadas, as sessões expiram por tempo e os acessos são revistos periodicamente e revogados no desligamento.
6.3 Segregação entre contratantes
Os dados de cada instituição contratante são logicamente segregados, e todo acesso é validado contra a instituição do usuário. Informações de diferentes contratantes só são combinadas de forma agregada e anonimizada, quando autorizado em contrato.
6.4 Criptografia
Os dados em trânsito entre os usuários e a plataforma são protegidos por criptografia. Senhas são armazenadas de forma não reversível, e as cópias de segurança são armazenadas criptografadas.
6.5 Desenvolvimento seguro e gestão de mudanças
As alterações na plataforma são versionadas e revisadas antes da publicação, e cada versão implantada é rastreável ao código de origem. Ambientes de desenvolvimento e de teste não utilizam dados reais de pacientes.
6.6 Gestão de vulnerabilidades
As vulnerabilidades identificadas são classificadas por severidade e corrigidas em prazos proporcionais a ela. A plataforma é submetida a avaliações de segurança periódicas.
6.7 Registro de eventos
Os acessos à plataforma são registrados com identificação do usuário, data, hora e endereço IP, assim como as consultas a telas que contêm dados de pacientes e as ações que alteram dados, com o respectivo resultado. Os registros são mantidos por 6 meses e acessíveis apenas à equipe autorizada.
6.8 Cópias de segurança e continuidade
Os dados são copiados diariamente para armazenamento separado do ambiente de produção, com retenção de 30 dias. A restauração das cópias é testada periodicamente.
6.9 Eliminação de dados
Mediante solicitação da instituição controladora, ou ao término do contrato, os dados são eliminados de forma definitiva do ambiente de produção, conforme procedimento documentado. As cópias de segurança que ainda os contenham expiram em até 30 dias.
6.10 Gestão de incidentes
A Bios Health mantém Plano de Resposta a Incidentes e comunica ao controlador, sem demora injustificada e no prazo previsto em contrato, incidente que afete dados pessoais sob sua responsabilidade.
6.11 Fornecedores e suboperadores
Suboperadores são avaliados antes da contratação e se obrigam contratualmente a requisitos de segurança equivalentes aos desta Política. A relação de suboperadores é informada aos contratantes, que são avisados previamente de alterações.
6.12 Uso de inteligência artificial
Serviços de inteligência artificial são utilizados somente nas finalidades contratadas. Os documentos enviados para leitura automatizada não são armazenados pela Bios Health, e todo resultado gerado por IA é revisado por um usuário antes de originar qualquer registro.
6.13 Conscientização
As pessoas com acesso a informações confidenciais recebem orientação sobre esta Política e firmam compromisso de confidencialidade.
6.14 Proteção de dados pessoais
O tratamento de dados pessoais observa a LGPD e as instruções do controlador. A Bios Health mantém registro das operações de tratamento e encarregado nomeado, e apoia o controlador no atendimento aos titulares.
7. Papéis e responsabilidades
| Função | Responsabilidade |
|---|---|
| Direção | Aprovar esta Política, prover recursos e decidir sobre riscos e exceções |
| Responsável pela segurança da informação | Coordenar a implementação, manter normas e procedimentos, avaliar riscos e conduzir a resposta a incidentes |
| Encarregado | Atuar como canal de comunicação com titulares, controladores e ANPD |
| Colaboradores e prestadores | Cumprir esta Política e comunicar imediatamente qualquer suspeita de incidente |
| Fornecedores e suboperadores | Cumprir os requisitos contratuais de segurança e comunicar incidentes |
Uma mesma pessoa pode acumular funções, desde que as responsabilidades estejam definidas. Quando necessário, a Bios Health conta com apoio técnico especializado externo.
8. Exceções
Exceções a esta Política são registradas, justificadas, aprovadas pela Direção e têm prazo de validade.
9. Sanções
O descumprimento desta Política sujeita o infrator às sanções contratuais, trabalhistas, civis e penais cabíveis.
10. Revisão e vigência
Esta Política entra em vigor na data de sua aprovação. Ela é revisada ao menos anualmente e sempre que houver mudança significativa no negócio, na tecnologia ou na legislação.
11. Documentos complementares
Os documentos abaixo são disponibilizados aos contratantes mediante acordo de confidencialidade:
- Plano de Resposta a Incidentes de Segurança;
- Registro das Operações de Tratamento de Dados Pessoais;
- Relatório de Autoavaliação de Segurança.
A Lista de Suboperadores integra o contrato de prestação de serviços.