TERMO DE CIÊNCIA SOBRE PRIVACIDADE E TRATAMENTO DE DADOS PESSOAIS — PACIENTE

1. OBJETO E FINALIDADE DO TERMO

O presente Termo tem por finalidade informar, de maneira clara, transparente e acessível, como os dados pessoais e os dados pessoais sensíveis do paciente poderão ser tratados no âmbito da Plataforma EchoHead, bem como registrar sua ciência acerca das condições aplicáveis a esse tratamento.

A EchoHead reconhece que informações relacionadas à saúde física, saúde mental, acompanhamento clínico, terapêutico e assistencial possuem elevado grau de sensibilidade e, por essa razão, deverão receber proteção compatível com sua natureza, nos termos da legislação aplicável e das políticas de governança e segurança da Plataforma.

Este Termo não constitui autorização genérica para toda e qualquer operação de tratamento de dados e não substitui consentimentos, autorizações ou manifestações específicas que possam ser exigidos para determinadas funcionalidades da Plataforma.

Sempre que uma operação depender juridicamente de consentimento específico do paciente, a EchoHead deverá solicitar manifestação própria, destacada e vinculada à respectiva finalidade.

2. DOS AGENTES ENVOLVIDOS NO TRATAMENTO

Para fins da legislação de proteção de dados, o paciente é o titular dos dados pessoais relacionados à sua pessoa.

A definição dos papéis exercidos pela EchoHead, pelo profissional responsável pelo acompanhamento e por eventuais terceiros dependerá da finalidade e das características de cada operação de tratamento.

A EchoHead poderá atuar como Controladora quando lhe competir determinar as finalidades e os elementos essenciais de determinada operação de tratamento.

Em outras situações, especialmente quando realizar operações em nome ou segundo instruções legítimas de profissional ou instituição que determine a finalidade do tratamento, a EchoHead poderá atuar como Operadora.

Os profissionais que utilizam a Plataforma permanecem responsáveis pelos tratamentos realizados no âmbito de sua atuação profissional, observadas suas atribuições legais, éticas e regulatórias.

A utilização da infraestrutura tecnológica da EchoHead não transfere à Plataforma a responsabilidade técnica, clínica, diagnóstica, terapêutica ou profissional inerente à atuação do profissional legalmente habilitado.

3. CATEGORIAS DE DADOS QUE PODERÃO SER TRATADAS

De acordo com as funcionalidades utilizadas e com as necessidades relacionadas ao acompanhamento do paciente, a EchoHead poderá tratar, entre outras, as seguintes categorias de informações:

• I – dados cadastrais e de identificação, como nome, documento de identificação, data de nascimento, endereço, e-mail e telefone;
• II – dados necessários à criação, autenticação e segurança da conta;
• III – registros de acesso, endereço IP, identificadores de sessão, dispositivo utilizado e outros registros técnicos necessários à segurança e rastreabilidade;
• IV – dados pessoais sensíveis relacionados à saúde física e mental;
• V – informações fornecidas em anamneses;
• VI – respostas a formulários, escalas, inventários, instrumentos e atividades;
• VII – informações relacionadas ao acompanhamento realizado pelo profissional;
• VIII – registros e documentos relacionados à jornada do paciente;
• IX – documentos técnicos e documentos anexados à Plataforma;
• X – mensagens e comunicações realizadas por meio dos recursos disponibilizados pela EchoHead;
• XI – informações administrativas necessárias à prestação dos serviços;
• XII – metadados e registros sistêmicos necessários à segurança, auditoria, funcionamento e integridade da Plataforma.

Determinadas funcionalidades poderão envolver categorias adicionais de dados ou formas específicas de processamento. Quando essas operações exigirem informação, autorização ou consentimento próprio, serão apresentadas ao paciente separadamente na área “Autorizações e Consentimentos”.

4. FINALIDADES DO TRATAMENTO

Os dados poderão ser tratados, conforme a natureza da operação, para as seguintes finalidades:

• I – criar, identificar e administrar a conta do paciente;
• II – autenticar o acesso à Plataforma;
• III – viabilizar o vínculo entre paciente e profissional;
• IV – permitir a utilização das funcionalidades contratadas ou disponibilizadas;
• V – viabilizar atendimentos e teleconsultas;
• VI – permitir o preenchimento de anamneses, formulários, escalas, atividades e demais instrumentos;
• VII – organizar informações e documentos relacionados à jornada do paciente;
• VIII – possibilitar a comunicação entre usuários devidamente autorizados;
• IX – apoiar a produção e gestão de documentos no ambiente da Plataforma;
• X – preservar a integridade e a continuidade operacional dos serviços;
• XI – prestar suporte técnico;
• XII – prevenir fraudes e acessos indevidos;
• XIII – manter registros de segurança e auditoria;
• XIV – cumprir obrigações legais, regulatórias, administrativas ou judiciais;
• XV – permitir o exercício regular de direitos em processos judiciais, administrativos ou arbitrais;
• XVI – preservar a segurança da informação e dos usuários;
• XVII – executar outras operações compatíveis com as finalidades legítimas da Plataforma e com a legislação aplicável.

A EchoHead observará os princípios da finalidade, adequação, necessidade e minimização, evitando o tratamento de informações incompatíveis ou excessivas em relação às finalidades que justificam sua utilização.

5. BASES LEGAIS DO TRATAMENTO

O tratamento de dados pessoais realizado no âmbito da EchoHead não se fundamentará de maneira genérica ou indistinta no consentimento do paciente.

Cada operação deverá possuir fundamento jurídico compatível com sua finalidade, com a categoria dos dados envolvidos e com a legislação aplicável.

Conforme o caso, poderão ser utilizadas as bases legais previstas na Lei Geral de Proteção de Dados Pessoais, incluindo:

• I – consentimento do titular, quando juridicamente aplicável;
• II – cumprimento de obrigação legal ou regulatória;
• III – execução de contrato ou de procedimentos preliminares relacionados ao contrato;
• IV – exercício regular de direitos;
• V – proteção da vida ou da incolumidade física do titular ou de terceiro;
• VI – tutela da saúde, nas hipóteses legalmente admitidas;
• VII – legítimo interesse, exclusivamente quando juridicamente cabível e respeitados os direitos e liberdades fundamentais do titular;
• VIII – outras bases previstas na legislação aplicável.

O legítimo interesse não será utilizado como fundamento para tratamento de dados pessoais sensíveis quando a legislação não o admitir.

Quando o consentimento constituir a base legal aplicável, ele deverá ser livre, informado, inequívoco e relacionado a finalidade determinada, observadas as condições legais para sua eventual revogação.

6. COMPARTILHAMENTO E ACESSO AOS DADOS

Os dados pessoais do paciente somente poderão ser acessados ou compartilhados quando houver finalidade legítima e fundamento jurídico adequado.

Conforme a natureza da operação, poderão ter acesso às informações:

• I – profissionais legitimamente vinculados ao acompanhamento do paciente, dentro dos limites de suas atribuições e permissões;
• II – usuários ou membros de equipe especificamente autorizados, respeitados os limites definidos pela Plataforma;
• III – operadores tecnológicos contratados para execução de serviços necessários ao funcionamento da EchoHead;
• IV – fornecedores responsáveis por infraestrutura, autenticação, comunicação, segurança, monitoramento, suporte e outras funções necessárias;
• V – assessores jurídicos, contábeis, auditores ou prestadores sujeitos a obrigações de confidencialidade, quando necessário;
• VI – autoridades administrativas, regulatórias ou judiciais, quando houver obrigação legal ou determinação válida;
• VII – terceiros autorizados pelo titular ou legitimados por outra hipótese prevista em lei.

Todo compartilhamento deverá observar os princípios da finalidade, necessidade, proporcionalidade, segurança e minimização da exposição informacional.

A EchoHead não comercializa dados pessoais, dados de saúde, prontuários ou documentos técnicos de pacientes.

7. OPERADORES TECNOLÓGICOS E PRESTADORES DE SERVIÇOS

Para viabilizar suas funcionalidades, a EchoHead poderá contratar empresas especializadas responsáveis por serviços tecnológicos necessários à operação da Plataforma.

Esses serviços poderão incluir, entre outros:

• I – infraestrutura em nuvem;
• II – armazenamento e banco de dados;
• III – backup;
• IV – autenticação;
• V – comunicação;
• VI – monitoramento;
• VII – segurança da informação;
• VIII – suporte tecnológico;
• IX – processamento computacional;
• X – outras funções necessárias à operação da Plataforma.

Os operadores deverão atuar dentro das finalidades contratadas e estarão sujeitos às obrigações legais, contratuais e de segurança aplicáveis.

A EchoHead poderá substituir, incluir ou descontinuar operadores tecnológicos em razão da evolução de sua arquitetura, desde que sejam preservados os requisitos jurídicos, técnicos e de segurança aplicáveis.

As funcionalidades que envolvam tratamentos específicos, como transcrição ou processamento por Inteligência Artificial, serão objeto de instrumentos próprios quando exigida manifestação específica do paciente.

8. TRANSFERÊNCIA E PROCESSAMENTO INTERNACIONAL DE DADOS

Determinadas operações tecnológicas poderão envolver processamento ou transferência internacional de dados pessoais.

Quando isso ocorrer, a EchoHead deverá observar os mecanismos juridicamente admitidos pela legislação brasileira e pela regulamentação da Autoridade Nacional de Proteção de Dados – ANPD aplicável às transferências internacionais.

Serão adotadas, conforme a operação realizada, medidas destinadas a:

• I – limitar os dados transferidos ao necessário para a finalidade correspondente;
• II – adotar medidas técnicas e administrativas adequadas;
• III – exigir obrigações de confidencialidade e segurança dos operadores envolvidos;
• IV – utilizar mecanismos jurídicos adequados à transferência internacional;
• V – preservar os direitos do titular previstos na legislação brasileira.

A realização de processamento internacional não altera a titularidade dos dados nem afasta os direitos assegurados ao paciente pela legislação aplicável.

9. ARMAZENAMENTO, RETENÇÃO, ARQUIVAMENTO E ELIMINAÇÃO

Os dados pessoais serão armazenados durante o período necessário ao cumprimento das finalidades que justificaram seu tratamento e pelo período adicional necessário quando houver fundamento jurídico para sua conservação.

A retenção poderá ocorrer, entre outras hipóteses, para:

• I – cumprimento de obrigação legal ou regulatória;
• II – preservação de prontuários e documentos cuja guarda seja obrigatória;
• III – cumprimento de normas aplicáveis aos profissionais de saúde;
• IV – exercício regular de direitos;
• V – atendimento a determinações judiciais ou administrativas;
• VI – proteção dos direitos do paciente, dos profissionais, da EchoHead ou de terceiros;
• VII – segurança e integridade da Plataforma;
• VIII – demais hipóteses legalmente admitidas.

O encerramento da conta do paciente não implica necessariamente a eliminação imediata de todos os dados existentes.

Encerradas as finalidades e inexistindo fundamento jurídico para conservação, os dados poderão, conforme sua natureza e a legislação aplicável, ser eliminados, bloqueados ou anonimizados.

A EchoHead manterá critérios de governança destinados à adequada gestão do ciclo de vida das informações.

10. SEGURANÇA, CONFIDENCIALIDADE E RASTREABILIDADE

Considerando a sensibilidade das informações tratadas, a EchoHead adotará medidas técnicas, administrativas e organizacionais destinadas à proteção dos dados contra acessos não autorizados, destruição, perda, alteração, comunicação ou tratamento inadequado ou ilícito.

Conforme aplicável à arquitetura e ao nível de risco das operações, essas medidas poderão incluir:

• I – controle de acesso baseado em perfis e permissões;
• II – mecanismos de autenticação;
• III – princípio do menor privilégio;
• IV – criptografia em trânsito e em repouso;
• V – registros de auditoria;
• VI – rastreabilidade das operações;
• VII – monitoramento de eventos de segurança;
• VIII – mecanismos de backup e recuperação;
• IX – gestão de vulnerabilidades;
• X – procedimentos de resposta a incidentes;
• XI – revisão de permissões e controles de segurança.

Nenhuma tecnologia é capaz de eliminar integralmente os riscos inerentes ao ambiente digital. A EchoHead compromete-se, contudo, a manter medidas proporcionais à natureza e à criticidade das informações tratadas.

11. DIREITOS DO PACIENTE COMO TITULAR DOS DADOS

Nos termos da legislação aplicável, o paciente poderá exercer, conforme cabível, os direitos relacionados ao tratamento de seus dados pessoais, incluindo:

• I – confirmação da existência de tratamento;
• II – acesso aos dados pessoais;
• III – correção de dados incompletos, inexatos ou desatualizados;
• IV – anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a legislação;
• V – portabilidade dos dados, observadas as condições legais e regulatórias aplicáveis;
• VI – eliminação dos dados tratados com fundamento em consentimento, ressalvadas as hipóteses legais de conservação;
• VII – informação sobre entidades públicas e privadas com as quais seus dados tenham sido compartilhados, quando aplicável;
• VIII – informação sobre a possibilidade de não fornecer consentimento e sobre as consequências dessa decisão;
• IX – revogação do consentimento quando esta for a base legal do tratamento;
• X – oposição ao tratamento realizado em desconformidade com a legislação;
• XI – solicitação de revisão de decisões tomadas unicamente com base em tratamento automatizado, quando juridicamente aplicável;
• XII – peticionamento perante a Autoridade Nacional de Proteção de Dados, observados os requisitos legais.

A EchoHead disponibilizará canal apropriado para o exercício desses direitos e poderá adotar procedimentos destinados à confirmação da identidade do solicitante antes do fornecimento ou alteração de informações.

12. LIMITES AO EXERCÍCIO DOS DIREITOS E À ELIMINAÇÃO DOS DADOS

Os direitos previstos na legislação de proteção de dados não implicam direito irrestrito à alteração ou eliminação de toda informação existente na Plataforma.

Determinadas solicitações poderão ser total ou parcialmente limitadas quando a conservação ou restrição de acesso for necessária para:

• I – cumprimento de obrigação legal ou regulatória;
• II – preservação de prontuários e registros cuja guarda seja obrigatória;
• III – observância de normas éticas ou profissionais aplicáveis;
• IV – preservação do sigilo profissional;
• V – proteção dos direitos e liberdades de terceiros;
• VI – exercício regular de direitos;
• VII – cumprimento de determinação judicial ou administrativa;
• VIII – manutenção da integridade e autenticidade documental;
• IX – outras hipóteses previstas na legislação.

Quando uma solicitação não puder ser integralmente atendida, a EchoHead adotará os procedimentos de resposta e fundamentação previstos na legislação aplicável.

13. INCIDENTES DE SEGURANÇA

A EchoHead manterá procedimentos destinados à identificação, contenção, investigação, mitigação, documentação e tratamento de incidentes de segurança relacionados aos dados pessoais tratados pela Plataforma.

Quando um incidente preencher os critérios legais ou regulatórios de comunicação, a EchoHead adotará as providências aplicáveis, incluindo, quando cabível, comunicação à Autoridade Nacional de Proteção de Dados – ANPD e aos titulares afetados.

As medidas adotadas considerarão a natureza dos dados envolvidos, a extensão do incidente, os riscos ou danos potenciais aos titulares e os demais critérios estabelecidos pela regulamentação aplicável.

14. RESPONSABILIDADES DO PACIENTE

Para contribuir com a proteção de seus próprios dados e com a segurança da Plataforma, o paciente compromete-se a:

• I – fornecer informações verdadeiras e atualizadas;
• II – manter seus dados cadastrais atualizados;
• III – preservar a confidencialidade de suas credenciais de acesso;
• IV – não compartilhar sua conta ou senha com terceiros;
• V – utilizar a Plataforma de forma lícita e compatível com suas finalidades;
• VI – comunicar à EchoHead suspeitas de acesso indevido ou comprometimento de suas credenciais;
• VII – respeitar os direitos, a privacidade e a confidencialidade das informações de terceiros eventualmente acessadas por meio da Plataforma.

A EchoHead nunca solicitará ao paciente o compartilhamento de sua senha pessoal para realização de atividades ordinárias de suporte.

15. CONSENTIMENTOS, AUTORIZAÇÕES E MANIFESTAÇÕES ESPECÍFICAS

O presente Termo disciplina a ciência geral do paciente acerca da privacidade e do tratamento de dados pessoais no âmbito da EchoHead.

Ele não substitui consentimentos ou autorizações específicas relacionados a funcionalidades ou operações que, em razão de sua natureza, finalidade ou fundamento jurídico, demandem manifestação própria do paciente.

Essas manifestações serão apresentadas separadamente na área “Autorizações e Consentimentos” da Plataforma e poderão compreender, conforme as funcionalidades disponíveis e aplicáveis ao paciente:

• I – utilização de dados anonimizados para pesquisa, quando aplicável;
• II – utilização de ferramentas de transcrição;
• III – utilização de recursos de Inteligência Artificial assistiva;
• IV – utilização e acionamento do recurso SOS;
• V – compartilhamento destinado à continuidade do cuidado;
• VI – acesso por assistente ou membro autorizado da equipe do profissional, quando aplicável;
• VII – outras funcionalidades que venham a exigir manifestação específica.

A aceitação deste Termo não deverá ser interpretada como autorização automática para funcionalidades submetidas a manifestação específica.

16. REGISTRO ELETRÔNICO, VERSIONAMENTO E ALTERAÇÕES

A manifestação eletrônica realizada pelo paciente será registrada pela Plataforma para fins de comprovação, segurança, auditoria e rastreabilidade.

Sempre que tecnicamente aplicável, o registro deverá permitir a identificação de:

• I – usuário que realizou a manifestação;
• II – data e horário;
• III – versão do documento apresentada;
• IV – finalidade da manifestação;
• V – identificadores técnicos necessários à comprovação do evento;
• VI – histórico de alterações ou novas manifestações, quando aplicável.

A EchoHead poderá atualizar este Termo em razão de alterações legislativas, regulatórias, tecnológicas, operacionais ou institucionais.

Versões anteriores deverão permanecer preservadas pelo período necessário à demonstração das condições aplicáveis no momento da respectiva manifestação.

Quando uma alteração exigir juridicamente nova ciência, autorização ou consentimento, a Plataforma solicitará nova manifestação do paciente antes da aplicação da operação correspondente, quando necessário.

17. MANIFESTAÇÃO ELETRÔNICA DE CIÊNCIA

Ao realizar a manifestação eletrônica correspondente a este Termo, o paciente declara que:

• I – teve acesso ao presente Termo de Ciência sobre Privacidade e Tratamento de Dados Pessoais;
• II – leu e compreendeu as informações nele apresentadas;
• III – está ciente das categorias de dados pessoais e dados pessoais sensíveis que poderão ser tratadas no âmbito da Plataforma EchoHead;
• IV – está ciente das finalidades, bases legais, hipóteses de compartilhamento, critérios de armazenamento, retenção e eliminação, medidas de segurança e demais condições gerais aplicáveis ao tratamento de seus dados;
• V – foi informado sobre seus direitos como titular de dados pessoais e sobre os canais disponibilizados para exercê-los;
• VI – compreende que determinados tratamentos de dados realizados pela EchoHead poderão estar fundamentados em bases legais distintas do consentimento, nos termos da legislação aplicável;
• VII – compreende que esta manifestação de ciência não constitui autorização genérica, irrestrita ou indeterminada para o tratamento de seus dados pessoais;
• VIII – compreende que funcionalidades ou operações que exijam consentimento, autorização ou manifestação específica serão apresentadas separadamente na área “Autorizações e Consentimentos” da Plataforma;
• IX – está ciente de que, quando o consentimento constituir a base legal aplicável a determinada operação, poderá exercer os direitos relativos a esse consentimento nos termos da legislação vigente;
• X – declara que teve oportunidade de consultar as informações disponibilizadas pela EchoHead e de utilizar os canais oficiais para esclarecimento de dúvidas relacionadas à privacidade e à proteção de seus dados pessoais.

A manifestação será registrada eletronicamente pela Plataforma e vinculada à versão deste Termo apresentada ao paciente, preservando-se os elementos necessários à comprovação, integridade, rastreabilidade e auditoria do aceite eletrônico.

O registro eletrônico poderá conter, conforme aplicável, a identificação do usuário, data e horário da manifestação, versão do documento, identificadores técnicos relacionados ao evento e demais elementos necessários à preservação da evidência eletrônica.