Política de Privacidade

Versão 2026-10 • Controlador: GRS SERVICOS DE SAUDE LTDA • CNPJ 65.074.991/0001-00

Esta Política explica como GRS SERVICOS DE SAUDE LTDA ("clínica") trata dados pessoais de pacientes, de empresas atendidas e dos profissionais que usam o sistema, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD).

1. Quem é responsável

• Controlador: a clínica, que decide sobre o tratamento dos dados.
• Operador: Covre Tecnologia LTDA, fornecedora do sistema Covre RIS / Opal-Rad PACS, que trata dados apenas conforme as instruções da clínica (suporte, manutenção e, quando contratado, hospedagem).
• Encarregado (DPO): contato informado pela clínica.

2. Quais dados tratamos

• Identificação e contato: nome, nome social, CPF, data de nascimento, sexo, telefone, e-mail, endereço e foto.
• Dados de saúde (sensíveis): pedidos médicos, exames, imagens DICOM, laudos, prontuário, prescrições, atestados e sinais vitais.
• Convênio e empresa: plano, carteirinha, autorização e, em medicina do trabalho, a empresa contratante e os códigos do pedido.
• Profissionais usuários: nome, login, nível de acesso, registro profissional (CRM e similares), assinatura digitalizada e foto.
• Registros técnicos: endereço IP, navegador, data e hora de acesso e trilha de auditoria das ações no sistema.

3. Para que usamos e com qual base legal

Finalidade	Base legal (LGPD)
Realizar exames, emitir laudos e manter o prontuário	Tutela da saúde por profissionais de saúde (art. 11, II, "f") e obrigação legal/regulatória (art. 11, II, "a")
Exames ocupacionais (PCMSO/NR-7) e envio de resultados à empresa contratante	Obrigação legal/regulatória (art. 11, II, "a")
Faturamento com convênios e cobrança	Execução de contrato (art. 7º, V) e exercício regular de direitos (art. 11, II, "d")
Portal do paciente (acesso a exames e laudos)	Tutela da saúde e execução do serviço contratado
Segurança, prevenção a fraudes e auditoria de acessos	Legítimo interesse (art. 7º, IX) e garantia de prevenção à fraude (art. 11, II, "g")
Comunicações opcionais (ex.: lembretes por WhatsApp/e-mail)	Consentimento (art. 7º, I e art. 11, I), que pode ser revogado

4. Com quem compartilhamos

• Médicos e serviços de laudo a distância contratados pela clínica (envio das imagens por DICOM).
• Empresa contratante, em exames ocupacionais, apenas o que a legislação exige (ex.: aptidão), e sistemas de gestão ocupacional integrados (ex.: SOC), quando a integração estiver ativa.
• Operadoras de planos de saúde, para autorização e faturamento.
• Covre Tecnologia LTDA (operador) e provedores de infraestrutura, sob contrato e dever de sigilo.
• Autoridades públicas, quando houver obrigação legal ou ordem judicial.

O sistema consulta serviços públicos apenas com dados não sensíveis: ViaCEP (somente o CEP digitado, para preencher o endereço) e BrasilAPI / Minha Receita (somente o CNPJ de empresas). Componentes visuais (bibliotecas de tela) são carregados de redes de distribuição públicas (jsDelivr, unpkg, cdnjs), que recebem apenas o endereço IP e o navegador de quem acessa — nenhum dado de paciente. Não usamos ferramentas de publicidade, rastreamento ou análise de navegação.

5. Por quanto tempo guardamos

• Prontuário, exames, imagens e laudos: no mínimo 20 anos a partir do último registro (Lei nº 13.787/2018, art. 6º; normas do CFM).
• Documentos de saúde ocupacional: pelo prazo exigido na NR-7 (no mínimo 20 anos após o desligamento do trabalhador).
• Dados financeiros: pelos prazos fiscais e contábeis aplicáveis.
• Registros de acesso: pelo menos 6 meses (Marco Civil da Internet, art. 15).

Encerrado o prazo, os dados são eliminados ou anonimizados.

6. Seus direitos

Você pode, a qualquer momento e gratuitamente (LGPD, art. 18): confirmar se tratamos seus dados e acessá-los; corrigir dados incompletos ou desatualizados; pedir anonimização, bloqueio ou eliminação de dados desnecessários; pedir a portabilidade; saber com quem compartilhamos; revogar consentimentos; e reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Pedido de exclusão e encerramento do cadastro: como prontuário e exames têm guarda obrigatória por lei, eles não podem ser apagados antes do prazo. Nesse caso a clínica encerra o seu cadastro e anonimiza seus dados pessoais (nome, CPF, contatos, endereço, foto, convênio e acesso ao portal). O histórico clínico permanece guardado de forma desvinculada da sua identificação, apenas para cumprir a lei e para atender você, se solicitar, mediante comprovação de identidade. Faça seu pedido pelo formulário de solicitação do titular; você recebe um número de protocolo e a resposta em até 15 dias.

7. Como protegemos

• Dados pessoais criptografados no banco (AES-256-GCM) e CPF armazenado como índice irreversível.
• Acesso por login individual, níveis de permissão e trilha de auditoria encadeada.
• Imagens e laudos só abrem para usuários autorizados ou para o próprio paciente no portal.
• Cópias de segurança e acesso restrito ao servidor.

Em caso de incidente de segurança que possa causar risco ou dano relevante, a clínica comunicará a ANPD e os titulares afetados (LGPD, art. 48).

8. Alterações

Esta Política pode ser atualizada. A versão vigente fica sempre disponível nesta página, com a data da versão no topo.

---

Dúvidas ou pedidos sobre seus dados: formulário de solicitação do titular.