Política de Privacidade

Esta política explica como o Instituto Verde Esperança trata dados pessoais no site e na plataforma usada por famílias, profissionais e equipe, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, LGPD).

1. Quem é o responsável pelos dados

O controlador dos dados é o Instituto Verde Esperança (identificação completa no quadro ao final desta página). Algumas atividades são feitas por empresas contratadas, chamadas operadores, listadas na seção 6.

2. Quais dados tratamos

No site

• Doações: nome, e-mail e valor informados no formulário. O pagamento é processado pela instituição financeira; não guardamos dados bancários de quem doa.
• Contato e ouvidoria: nome, e-mail, telefone e a mensagem enviada.
• Navegação: registros técnicos de acesso (endereço IP, data e hora) mantidos pelos provedores de hospedagem para segurança. O site não usa cookies de publicidade nem de análise.

Na plataforma de atendimento

• Pessoas atendidas: nome, CPF, RG, data de nascimento, sexo, cartão SUS, NIS, telefone, e-mail, endereço, escola (nome, série e turno), data de admissão e documentos anexados.
• Dados de saúde, que a lei considera sensíveis: prontuário, evoluções das sessões, diagnósticos e CID, relatórios e documentos clínicos, agenda e presença nos atendimentos.
• Familiares e responsáveis: nome, parentesco, telefone, e-mail, CPF e documentos, quando informados.
• Profissionais e equipe: nome, CPF, contato, endereço, registro no conselho profissional, documentos (como diploma e contrato), chave Pix para repasses e escala de atendimento.
• Contas de acesso: e-mail, senha (guardada só de forma cifrada), perfil e permissões, e registros de uso (data, hora, endereço IP e navegador) para auditoria e segurança.

3. Para que usamos os dados e com qual base legal

• Prestar o atendimento terapêutico e manter o prontuário: tutela da saúde (art. 11, II, “f”) e cumprimento de obrigação legal ou regulatória (art. 7º, II, e art. 11, II, “a”).
• Cadastro, agenda, lembretes de consulta e comunicação com a família: execução do serviço pedido pelo titular ou responsável (art. 7º, V) e, para dados de saúde, tutela da saúde.
• Doações e prestação de contas: execução da doação (art. 7º, V) e obrigações legais, fiscais e de transparência (art. 7º, II).
• Gestão da equipe, escalas e repasses: execução de contrato (art. 7º, V) e obrigações legais (art. 7º, II).
• Segurança da plataforma, registros de acesso e auditoria: legítimo interesse (art. 7º, IX) e prevenção à fraude e segurança do titular (art. 11, II, “g”).
• Ouvidoria e pedidos de informação: obrigação legal (art. 7º, II) e exercício regular de direitos (art. 7º, VI).

Não vendemos dados nem os usamos para publicidade. [Jurídico: confirmar as bases legais de cada finalidade.]

4. Crianças e adolescentes

Grande parte das pessoas atendidas são crianças e adolescentes. Tratamos esses dados no seu melhor interesse (art. 14 da LGPD), a partir das informações dadas pelos pais ou responsáveis legais, que podem exercer os direitos desta política em nome deles.

O acesso da família pela plataforma segue regras definidas pela equipe clínica: documentos liberados pelos profissionais e o plano terapêutico. O registro clínico completo fica restrito aos profissionais que acompanham a pessoa.

5. Leitura automática de fichas (inteligência artificial)

Para agilizar o cadastro, a recepção pode fotografar a ficha de papel e usar a leitura automática, feita com inteligência artificial pela Anthropic (EUA). As imagens são enviadas só para extrair os campos da ficha, a plataforma não as guarda nessa etapa e uma pessoa da equipe confere todos os dados antes de salvar. Nenhuma decisão sobre a pessoa é tomada pela leitura automática.

Pelos termos comerciais da Anthropic, os dados enviados por esse serviço não são usados para treinar modelos. Quem preferir pode pedir que o cadastro seja feito só à mão. [Jurídico: confirmar o prazo de retenção e as cláusulas de transferência internacional no contrato com a Anthropic.]

6. Com quem compartilhamos

• Vercel Inc. (EUA): hospedagem do site e da plataforma.
• Hostinger: servidor da plataforma (banco de dados e arquivos). [Confirmar o país do servidor.]
• Anthropic PBC (EUA): leitura automática de fichas (seção 5).
• Provedor de e-mail [nome a confirmar]: convites, redefinição de senha, avisos e lembretes.
• Sanity Inc. (EUA): gestão do conteúdo público do site; não recebe dados das pessoas atendidas.
• Instituição financeira (Banco do Brasil): processamento das doações via Pix, quando disponível.
• Órgãos públicos e autoridades, quando houver obrigação legal ou ordem judicial.

Os operadores só tratam os dados para prestar o serviço contratado e conforme as nossas instruções.

7. Transferência internacional

Alguns operadores ficam fora do Brasil, principalmente nos Estados Unidos. Essas transferências seguem o art. 33 da LGPD, com garantias contratuais de proteção dos dados. [Jurídico: indicar o mecanismo adotado, por exemplo as cláusulas-padrão aprovadas pela ANPD.]

8. Por quanto tempo guardamos

• Prontuário e registros clínicos: pelo prazo mínimo da legislação e dos conselhos profissionais, por exemplo 20 anos a partir do último registro (Lei nº 13.787/2018). [Equipe clínica e jurídico: confirmar os prazos de cada profissão.]
• Doações e documentos contábeis: pelos prazos fiscais e de prestação de contas.
• Registros de acesso e auditoria: [prazo a definir, por exemplo 6 meses].
• Demais dados: enquanto durar o atendimento ou o vínculo e, depois, pelo tempo necessário para cumprir obrigações legais. Passado esse prazo, os dados são eliminados ou anonimizados.

9. Cookies

Usamos só cookies necessários: os de sessão da plataforma, que mantêm você conectado com segurança e pedem a troca de senha quando preciso. Eles não podem ser lidos por scripts da página e não rastreiam a navegação. O site não usa cookies de publicidade nem de análise.

10. Como protegemos os dados

• Conexão sempre criptografada (HTTPS).
• Senhas guardadas só de forma cifrada: ninguém da equipe vê a sua senha.
• Acesso por perfil e permissões: cada pessoa da equipe vê só o necessário para a sua função.
• Registro de auditoria das ações sensíveis.
• Contas desativadas perdem o acesso na hora.
• [Equipe técnica: descrever backups e o plano de resposta a incidentes.]

11. Seus direitos

Pela LGPD (art. 18), você pode pedir: confirmação de que tratamos seus dados; acesso a eles; correção de dados incompletos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados fora da lei; portabilidade; informação sobre com quem compartilhamos; e revogação do consentimento, quando ele for a base legal. Também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Para fazer um pedido, fale com o encarregado (quadro abaixo) ou use o canal “Solicitar meus dados” da página de Transparência. Respondemos em até 15 dias. Alguns dados não podem ser eliminados enquanto houver obrigação legal de guardá-los, como o prontuário.

12. Encarregado pelo tratamento de dados

O encarregado (DPO) é o canal entre você, o instituto e a ANPD. O nome e o e-mail estão no quadro ao final desta página.

13. Alterações desta política

Podemos atualizar esta política. A data da última atualização fica no topo da página, e mudanças importantes são avisadas na plataforma.