A fisioware trata a proteção de dados pessoais como um valor fundamental, não apenas uma obrigação legal. Por operar em contexto de saúde — gerenciando dados clínicos de pacientes — adotamos padrões rigorosos alinhados à Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018) e às diretrizes da Autoridade Nacional de Proteção de Dados (ANPD).
Este documento complementa nossa Política de Privacidade com foco nos aspectos técnicos e jurídicos da conformidade com a LGPD.
1. Âmbito de aplicação da LGPD
A LGPD se aplica a qualquer operação de tratamento de dados pessoais realizada no Brasil ou que tenha por objetivo a oferta de bens ou serviços a indivíduos no território nacional, independentemente da localização da sede da empresa (art. 3º, LGPD). A fisioware está sujeita à LGPD em todas as suas operações.
2. Categorias de dados tratados
2.1 Dados Pessoais
Qualquer informação que identifique ou possa identificar uma pessoa natural (art. 5º, I, LGPD): nome, e-mail, CPF, telefone, endereço IP, dados de pagamento, logs de acesso, identificadores de dispositivo.
2.2 Dados Pessoais Sensíveis
Categoria que exige proteção reforçada por seu potencial de causar danos graves ou discriminação (art. 5º, II, LGPD):
- Dados referentes à saúde — a principal categoria presente na plataforma.
- Dados genéticos ou biométricos, quando vinculados a uma pessoa natural.
- Origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, vida sexual.
O tratamento de dados sensíveis exige base legal específica do art. 11 da LGPD e é realizado com salvaguardas adicionais de segurança, acesso restrito e minimização de dados.
2.3 Anonimização
Dados devidamente anonimizados — dos quais não é possível identificar o titular por meios técnicos razoáveis — deixam de ser considerados dados pessoais para fins da LGPD (art. 5º, III e XI). A fisioware pode anonimizar dados para fins estatísticos e de melhoria da plataforma, sem que isso configure tratamento de dados pessoais.
3. Princípios que orientam o tratamento
O tratamento de dados na fisioware observa os 10 princípios do art. 6º da LGPD:
- Finalidade: tratamento apenas para fins legítimos, específicos, explícitos e informados ao titular. Sem reaproveitamento incompatível com a finalidade original.
- Adequação: compatibilidade do tratamento com a finalidade declarada.
- Necessidade: coleta limitada ao mínimo necessário (minimização de dados).
- Livre acesso: garantia de consulta gratuita e facilitada aos dados e ao tratamento realizado.
- Qualidade dos dados: exatidão, clareza, relevância e atualização dos dados.
- Transparência: informações claras, precisas e acessíveis sobre o tratamento e os agentes responsáveis.
- Segurança: medidas técnicas e administrativas para proteger os dados de acessos não autorizados e situações acidentais.
- Prevenção: adoção de medidas para prevenir a ocorrência de danos.
- Não discriminação: proibição de tratamento para fins discriminatórios, ilícitos ou abusivos.
- Responsabilização e prestação de contas: capacidade de demonstrar a adoção de medidas eficazes de conformidade (accountability).
4. Bases legais para o tratamento
Todo tratamento de dados pessoais realizado pela fisioware fundamenta-se em ao menos uma das hipóteses legais previstas nos arts. 7º e 11 da LGPD:
4.1 Para dados do profissional usuário (dados pessoais comuns)
- Execução de contrato (art. 7º, V): autenticação, operação dos serviços, gestão financeira da assinatura.
- Cumprimento de obrigação legal (art. 7º, II): retenção de registros fiscais e contábeis; comunicação à ANPD em casos de incidente.
- Legítimo interesse (art. 7º, IX): segurança da plataforma, prevenção de fraudes, melhoria contínua — respeitando o balanceamento de interesses e os direitos dos titulares.
- Consentimento específico (art. 7º, I): comunicações de marketing e funcionalidades opcionais. O consentimento é granular, registrado com timestamp e revogável a qualquer tempo. Autorizações genéricas são consideradas nulas (art. 8º, § 4º).
- Proteção ao crédito (art. 7º, X): verificação de adimplência na contratação.
4.2 Para dados sensíveis de saúde dos pacientes
- Consentimento específico e destacado (art. 11, I): obtido pelo profissional Controlador junto ao paciente, de forma livre, informada e inequívoca, para finalidade determinada.
- Tutela da saúde (art. 11, II, "f"): tratamento realizado exclusivamente por profissional da saúde habilitado (fisioterapeuta com CREFITO ativo), para prestação de serviços de saúde ao titular.
5. Agentes de tratamento
5.1 Controlador
O Controlador é quem toma as decisões referentes ao tratamento de dados pessoais — define finalidades, meios e prazos.
- fisioware como Controlador: para os dados cadastrais do profissional usuário (nome, e-mail, telefone, CREFITO, dados de pagamento, logs de acesso).
- Profissional usuário como Controlador: para os dados pessoais e clínicos dos seus pacientes inseridos na plataforma. O profissional decide o que coletar, para qual finalidade e por quanto tempo manter os dados.
5.2 Operador
O Operador realiza o tratamento em nome do Controlador, sem autonomia para definir finalidades.
- fisioware como Operadora: para os dados dos pacientes inseridos pelo profissional. A plataforma processa esses dados apenas para viabilizar as funcionalidades contratadas, sem utilizá-los para finalidades próprias.
- Fornecedores de tecnologia como Operadores: Supabase (banco de dados), Vercel (infraestrutura), Stripe (pagamentos) — todos com contratos de confidencialidade e proteção de dados.
5.3 Encarregado de Dados (DPO)
O Encarregado de Dados (Data Protection Officer — DPO) é o canal oficial de comunicação entre a fisioware, os titulares dos dados e a ANPD. Suas funções incluem:
- Receber reclamações e comunicações dos titulares sobre o tratamento de dados.
- Orientar funcionários e prestadores de serviços sobre práticas de proteção de dados.
- Executar as demais atribuições determinadas pelo Controlador ou pela ANPD.
- Atuar como ponto de contato com a ANPD em fiscalizações e notificações de incidentes.
Contato do DPO: [email protected] — assunto: "LGPD — [seu assunto]"
6. Direitos dos titulares (arts. 17 a 22, LGPD)
O titular dos dados pode exercer os seguintes direitos a qualquer momento, de forma gratuita, mediante solicitação ao DPO:
- Confirmação de existência de tratamento: saber se seus dados são tratados pela plataforma.
- Acesso aos dados: obter cópia completa dos dados mantidos sobre você.
- Correção: retificar dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação: de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
- Portabilidade dos dados: receber seus dados em formato estruturado e interoperável para uso em outro serviço, após regulamentação específica da ANPD.
- Eliminação de dados tratados com consentimento: excluir dados cujo tratamento se baseou em seu consentimento — observadas as hipóteses de retenção legal.
- Informação sobre compartilhamento: saber com quais entidades públicas e privadas seus dados foram compartilhados.
- Informação sobre a possibilidade de não consentir: conhecer as consequências da negativa de consentimento.
- Revogação do consentimento: retirar o consentimento a qualquer momento, sem prejuízo da licitude dos tratamentos anteriores.
- Oposição ao tratamento: contestar o tratamento realizado em desconformidade com a LGPD.
- Revisão de decisões automatizadas: solicitar revisão humana de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais.
Prazo de resposta: até 15 dias corridos a partir do recebimento da solicitação. Para exercer seus direitos, envie e-mail para [email protected] com o assunto "LGPD — Direitos do Titular" e uma descrição clara do seu pedido.
7. Cookies e tecnologias de rastreamento
Adotamos o modelo opt-in para cookies não essenciais:
- Cookies essenciais: necessários para autenticação e funcionamento. Não requerem consentimento prévio e não podem ser recusados sem impactar o uso da plataforma.
- Cookies de análise (ex.: Google Analytics): o script de rastreamento só é carregado após o clique em "Aceitar" no banner de cookies. Enquanto não houver aceite, nenhum dado analítico é coletado. A recusa não afeta o funcionamento da plataforma.
As preferências de cookies são armazenadas localmente e podem ser alteradas a qualquer momento pelo Usuário. O consentimento para cookies é independente de qualquer outro consentimento exigido pela LGPD.
8. Medidas técnicas e organizacionais de segurança
- Criptografia em trânsito (HTTPS/TLS 1.3) em todas as comunicações.
- Senhas armazenadas exclusivamente com hash seguro (bcrypt / Argon2).
- Row Level Security (RLS) no banco de dados — isolamento completo entre contas.
- Autenticação com tokens de vida útil limitada e renovação segura.
- Controle de acesso por princípio do menor privilégio: colaboradores internos acessam apenas o necessário para suas funções.
- Monitoramento contínuo de vulnerabilidades e atualização de dependências.
- Registro de auditoria de eventos críticos.
- Plano de resposta a incidentes documentado e testado periodicamente.
9. Incidentes de segurança
Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, a fisioware adotará os seguintes procedimentos:
- Conter o incidente e identificar a extensão do impacto.
- Comunicar à ANPD no prazo de 2 dias úteis após o conhecimento (art. 48, LGPD e Resolução ANPD nº 15/2024).
- Notificar os titulares afetados de forma clara, indicando a natureza dos dados, os riscos e as medidas adotadas.
- Documentar o incidente no Registro de Incidentes interno.
10. Retenção e eliminação de dados
Os dados são mantidos apenas pelo tempo necessário à finalidade que motivou sua coleta:
- Dados do profissional ativo: durante a vigência do contrato.
- Dados financeiros e fiscais: até 5 anos após o cancelamento (exigência legal).
- Dados de pacientes: excluídos em até 90 dias após o cancelamento da conta, salvo retenção determinada por obrigação legal.
- Logs de acesso: 6 meses (Marco Civil da Internet, art. 15).
Após o prazo, os dados são excluídos de forma segura e irreversível ou anonimizados para fins estatísticos.
11. Fiscalização da ANPD e sanções administrativas
A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão federal com competência para fiscalizar, orientar e aplicar sanções pelo descumprimento da LGPD (arts. 55-A a 55-L e 52 a 54). As sanções podem incluir:
- Advertência, com prazo para correção.
- Multa simples de até 2% do faturamento da pessoa jurídica no último exercício fiscal, de seu grupo ou conglomerado no Brasil, limitada a R$ 50.000.000,00 por infração.
- Multa diária, observado o limite acima.
- Publicização da infração após devidamente apurada e confirmada.
- Bloqueio dos dados pessoais referentes à infração até a regularização.
- Eliminação dos dados pessoais referentes à infração.
- Suspensão parcial ou total do funcionamento do banco de dados por até 6 meses, prorrogável pelo mesmo período.
- Proibição parcial ou total do exercício de atividades de tratamento de dados.
A fisioware está comprometida com a conformidade plena e contínua, mantendo registros de atividades de tratamento, documentação de consentimento e medidas técnicas auditadas. Caso identifique qualquer não conformidade em nossas práticas, entre em contato com o DPO — atuamos para corrigir prontamente.
O titular que se sentir prejudicado pode registrar reclamações diretamente no portal da ANPD: gov.br/anpd.
12. Responsabilidade do profissional usuário como Controlador
Na qualidade de Controlador dos dados de seus pacientes, o profissional usuário assume integralmente a responsabilidade por:
- Obter consentimento específico (não genérico — autorização genérica é nula) einformado dos pacientes para coleta e tratamento de dados de saúde.
- Informar os pacientes sobre: quais dados são coletados, para qual finalidade, por quanto tempo e com quem são compartilhados.
- Atender tempestivamente as solicitações de direitos dos pacientes titulares.
- Adotar medidas de segurança adequadas no uso da plataforma (senhas seguras, logout em dispositivos compartilhados, não compartilhar credenciais).
- Manter o sigilo profissional exigido pelo Código de Ética da Fisioterapia e pelas normas do CREFITO.
- Não inserir dados além do necessário para a prestação do serviço de saúde.
A fisioware disponibiliza a infraestrutura técnica, mas não pode ser responsabilizada por violações de privacidade decorrentes de conduta inadequada do profissional Controlador.
13. Canal do Encarregado de Dados (DPO)
Para qualquer assunto relacionado à LGPD, privacidade ou proteção de dados:
- E-mail do DPO: [email protected]
- Assunto: "LGPD — [seu assunto]"
- Prazo de resposta: até 15 dias corridos.
Reclamações também podem ser encaminhadas diretamente à ANPD pelo portal gov.br/anpd.