Aviso de Privacidade

I. APRESENTAÇÃO

A CLÍNICA DE DIAGNÓSTICO POR IMAGEM SÃO JOÃO LTDA. – CDI, pessoa jurídica de direito privado, inscrita no CNPJ sob o nº 03.000.565/0001-67, com sede na Av. Durval Nicolau, nº 708, Jardim Santa Clara, São João da Boa Vista/SP (“CDI” ou “Clínica”), reafirma seu compromisso com a transparência, a segurança da informação e a proteção de dados pessoais.

O presente Aviso de Privacidade tem por finalidade informar, de forma clara, objetiva e acessível, como os dados pessoais e dados pessoais sensíveis, especialmente dados de saúde, são tratados no contexto da prestação de serviços de diagnóstico por imagem e das demais atividades administrativas, operacionais e institucionais da CDI, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD) e demais normas aplicáveis.

Este documento aplica-se aos pacientes, incluindo crianças e adolescentes, pais e responsáveis legais, colaboradores, candidatos a vagas, profissionais de saúde, prestadores de serviços, fornecedores, parceiros, visitantes e demais titulares cujos dados pessoais sejam tratados pela Clínica.

Informações complementares sobre as práticas de privacidade e proteção de dados da CDI poderão ser disponibilizadas em documentos institucionais específicos.

II. QUAIS DADOS PESSOAIS PODEMOS TRATAR

No contexto da prestação dos serviços assistenciais e diagnósticos e das demais atividades administrativas, operacionais e institucionais da CDI, poderão ser tratados, conforme a relação mantida com o titular e na medida necessária:

• Dados de identificação, como nome, CPF, RG e data de nascimento;
• Dados cadastrais e de contato, como endereço, telefone e e-mail;
• Dados de identificação e contato dos pais ou responsáveis legais, quando aplicável;
• Dados clínicos e informações de saúde;
• Imagens diagnósticas;
• Histórico médico;
• Dados de convênio e faturamento;
• Dados financeiros relacionados ao pagamento;
• Dados profissionais, funcionais e ocupacionais relacionados a colaboradores, candidatos, prestadores, profissionais de saúde ou parceiros, quando aplicável;
• Dados necessários ao cumprimento de obrigações trabalhistas, previdenciárias, fiscais e regulatórias, quando aplicável;
• Dados de autenticação, acesso e utilização de sistemas e ambientes digitais, incluindo registros técnicos e logs, quando aplicável;
• Imagens e registros obtidos por sistemas de segurança e controle de acesso, inclusive CFTV, quando aplicável;
• Dados relacionados a comunicações, solicitações e interações mantidas com a CDI;
• Outros dados necessários ao atendimento, à execução das atividades institucionais ou ao cumprimento de obrigações legais ou regulatórias.

Nem todas essas categorias são tratadas em relação a todos os titulares. Os dados efetivamente utilizados dependem da relação mantida com a CDI, da finalidade da operação e da necessidade do tratamento.

O tratamento observará os princípios da finalidade, adequação e necessidade previstos na LGPD.

III. PRINCIPAIS CONTEXTOS E FINALIDADES DE TRATAMENTO

Os dados pessoais poderão ser tratados em diferentes contextos, de acordo com a relação do titular com a CDI.

1. Pacientes e serviços assistenciais

Os dados poderão ser utilizados para:

• Identificação e cadastro do paciente;
• Agendamento e realização de exames;
• Atendimento assistencial;
• Elaboração, disponibilização e guarda de exames, imagens e laudos;
• Comunicação com pacientes e responsáveis;
• Faturamento e cobrança;
• Relacionamento com operadoras de planos de saúde;
• Continuidade e integração da assistência à saúde;
• Atendimento de obrigações médicas, sanitárias, legais e regulatórias.

2. Crianças, adolescentes e responsáveis legais

Quando o paciente for criança ou adolescente, poderão ser tratados seus dados pessoais e dados de saúde, bem como dados necessários à identificação e ao relacionamento com seus pais ou responsáveis legais.

O tratamento será realizado considerando o melhor interesse da criança ou do adolescente e as salvaguardas previstas na legislação aplicável.

3. Colaboradores, candidatos e profissionais vinculados à CDI

Poderão ser tratados dados necessários à:

• Recrutamento e seleção;
• Gestão contratual e funcional;
• Folha de pagamento, benefícios e obrigações trabalhistas, previdenciárias e fiscais;
• Saúde e segurança ocupacional;
• Controle de acesso físico e lógico;
• Segurança da informação;
• Capacitação e gestão administrativa;
• Exercício regular de direitos e cumprimento de obrigações legais ou regulatórias.

4. Prestadores, fornecedores e parceiros

Poderão ser tratados dados necessários ao cadastro, contratação, execução e acompanhamento da relação contratual, controle de acessos, faturamento, comunicação, segurança, auditoria, cumprimento de obrigações legais e exercício regular de direitos.

5. Visitantes e segurança das instalações

Dados de identificação, acesso e imagens poderão ser tratados para controle de entrada e circulação, proteção de pessoas, instalações e ativos, prevenção e apuração de incidentes e exercício regular de direitos, quando aplicável.

6. Ambientes digitais e canais de comunicação

Nos websites, portais, sistemas, formulários eletrônicos e demais ambientes digitais utilizados pela CDI poderão ser tratados dados cadastrais, informações fornecidas pelo próprio usuário, registros técnicos e dados necessários à autenticação, segurança, funcionamento dos serviços e atendimento das solicitações realizadas.

Informações específicas sobre cookies e tecnologias semelhantes serão apresentadas nos respectivos ambientes digitais e, quando disponível, em Política de Cookies específica.

IV. BASES LEGAIS DE TRATAMENTO

O tratamento de dados pessoais observará as hipóteses legais aplicáveis previstas no art. 7º da LGPD, podendo envolver, conforme a finalidade da operação:

• Cumprimento de obrigação legal ou regulatória;
• Execução de contrato ou de procedimentos preliminares relacionados a contrato;
• Exercício regular de direitos em processo judicial, administrativo ou arbitral;
• Proteção da vida ou da incolumidade física;
• Legítimo interesse, quando aplicável;
• Consentimento, quando necessário;
• Outras hipóteses previstas na legislação, conforme o caso.

O tratamento de dados pessoais sensíveis, especialmente dados de saúde, observará as hipóteses específicas previstas no art. 11 da LGPD, podendo envolver:

• Cumprimento de obrigação legal ou regulatória;
• Exercício regular de direitos;
• Proteção da vida ou da incolumidade física;
• Tutela da saúde, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
• Consentimento específico e destacado, quando aplicável;
• Outras hipóteses legalmente previstas, conforme a finalidade do tratamento.

O consentimento não é necessariamente a base legal utilizada para a realização de exames, elaboração de laudos ou demais procedimentos assistenciais. Quando o tratamento estiver amparado por outra hipótese legal aplicável, sua realização não dependerá de consentimento para fins da LGPD.

Da mesma forma, nas relações trabalhistas, administrativas e contratuais, o consentimento será utilizado somente quando juridicamente adequado à finalidade envolvida, não substituindo outras bases legais aplicáveis.

V. TRATAMENTO DE DADOS DE CRIANÇAS E ADOLESCENTES

A CDI realiza atendimento de crianças e adolescentes e, por essa razão, poderá tratar seus dados pessoais e dados pessoais sensíveis, especialmente dados de saúde, quando necessários à prestação dos serviços assistenciais e às demais finalidades legítimas relacionadas ao atendimento.

O tratamento será realizado considerando o melhor interesse da criança ou do adolescente, bem como a finalidade, necessidade, proporcionalidade, natureza dos dados e riscos envolvidos na respectiva operação, em observância à legislação aplicável.

Os dados de crianças e adolescentes poderão ser tratados com fundamento nas hipóteses legais aplicáveis previstas na LGPD, conforme a natureza dos dados e a finalidade da operação, desde que observado seu melhor interesse.

Quando o consentimento for utilizado como hipótese legal para tratamento de dados de crianças, será observado o consentimento específico e em destaque dado por pelo menos um dos pais ou responsável legal, bem como as demais exigências legais aplicáveis.

A CDI poderá adotar procedimentos para identificação ou verificação do responsável legal quando necessários à segurança do atendimento, ao exercício de direitos ou à proteção do próprio titular.

A CDI observará, quando aplicáveis aos ambientes, produtos ou serviços digitais por ela disponibilizados ou utilizados, as disposições da Lei nº 15.211/2025 – Estatuto Digital da Criança e do Adolescente (ECA Digital) e sua regulamentação. O ECA Digital estabelece regras específicas para a proteção de crianças e adolescentes em ambientes digitais e adota abordagem de prevenção e mitigação de riscos.

As informações destinadas a crianças, adolescentes, pais e responsáveis serão apresentadas, quando pertinente ao contexto, de maneira compatível com a faixa etária, a capacidade de compreensão e a finalidade do tratamento.

VI. CENÁRIOS ASSISTENCIAIS DE TRATAMENTO

O tratamento de dados pode ocorrer em diferentes ambientes assistenciais.

1. Unidade Própria (Centro)

Quando o atendimento ocorre na unidade própria da CDI, a Clínica atua como controladora dos dados pessoais e dados de saúde relacionados às operações sob sua responsabilidade, definindo as finalidades e os meios essenciais do tratamento, bem como gerindo os sistemas, armazenamento e medidas de segurança sob sua governança.

2. Registro Eletrônico de Saúde – RES

Quando aplicável, dados clínicos poderão ser compartilhados com o Registro Eletrônico de Saúde (RES) da UNIMED Leste Paulista Cooperativa de Trabalho Médico, que atua como controladora desse repositório.

Nesse ambiente:

• A Unimed define as finalidades e os meios essenciais dos tratamentos realizados no âmbito do RES;
• A CDI atua como fonte geradora das informações clínicas decorrentes do atendimento e realiza os tratamentos sob sua responsabilidade até o compartilhamento com o RES;
• A governança, segurança, retenção e demais tratamentos realizados no âmbito do RES são exercidos pela respectiva controladora, observadas as responsabilidades definidas entre as instituições.

Independentemente do cenário, o tratamento observará as bases legais aplicáveis e medidas técnicas e administrativas adequadas.

VII. COMPARTILHAMENTO DOS DADOS

Os dados poderão ser compartilhados, quando necessário e dentro dos limites legais, com:

• Profissionais de saúde envolvidos no atendimento;
• Hospitais e instituições assistenciais;
• Operadoras de planos de saúde;
• Sistemas e serviços de prontuário ou registro eletrônico de saúde;
• Laboratórios, serviços assistenciais ou profissionais envolvidos na continuidade do atendimento, quando aplicável;
• Prestadores, fornecedores e parceiros necessários à execução das atividades da CDI;
• Provedores de sistemas, infraestrutura tecnológica, armazenamento, suporte ou outros serviços contratados;
• Instituições financeiras e meios de pagamento, quando necessário;
• Autoridades públicas, órgãos reguladores ou entidades competentes, quando exigido ou autorizado pela legislação.

O compartilhamento observará:

• A finalidade e a necessidade da operação;
• A limitação dos dados ao necessário;
• As bases legais aplicáveis;
• Medidas de segurança compatíveis com os riscos;
• Os papéis e responsabilidades de cada agente envolvido.

Após o compartilhamento, as responsabilidades de cada instituição dependerão do papel desempenhado na respectiva operação de tratamento, podendo atuar como controladora, operadora ou em outra configuração juridicamente aplicável, nos termos da LGPD e dos instrumentos estabelecidos entre as partes.

VIII. TRANSFERÊNCIA INTERNACIONAL DE DADOS

Em determinadas operações, dados pessoais poderão ser armazenados, processados ou acessados a partir de outros países, especialmente em razão da utilização de provedores de tecnologia, infraestrutura ou serviços em nuvem.

Caso ocorra transferência internacional de dados pessoais, a CDI observará os requisitos da LGPD e os mecanismos previstos na regulamentação da ANPD, adotando as medidas aplicáveis para assegurar nível adequado de proteção aos dados pessoais.

IX. RESPONSABILIDADE PELO TRATAMENTO

O tratamento pode envolver diferentes papéis jurídicos, conforme a operação e o cenário envolvidos.

A CDI poderá atuar, conforme a operação de tratamento, como:

• Controladora, quando determinar as finalidades e os meios essenciais do tratamento;
• Operadora, quando realizar tratamento de dados pessoais em nome e segundo as instruções de outro controlador.

Em determinados ambientes, a CDI poderá ainda utilizar sistemas de terceiros ou atuar como fonte geradora de informações clínicas. Essas circunstâncias operacionais, por si só, não definem o papel jurídico previsto na LGPD.

As responsabilidades de cada instituição serão determinadas conforme sua efetiva participação nas operações de tratamento, os papéis desempenhados, os instrumentos estabelecidos entre as partes e as disposições da legislação aplicável.

No âmbito assistencial, a CDI é responsável pela correta execução dos serviços sob sua responsabilidade, pela fidelidade técnica dos laudos por ela emitidos e pela integridade das informações clínicas no momento de sua geração e enquanto permanecerem sob sua governança.

Tratamentos realizados posteriormente por terceiros, de forma independente e sob sua própria governança, serão de responsabilidade desses agentes, sem prejuízo das responsabilidades que a legislação eventualmente atribua à CDI em relação às operações sob sua atuação.

X. ARMAZENAMENTO E PRAZO DE CONSERVAÇÃO

Os dados pessoais serão mantidos pelo período necessário ao cumprimento das finalidades que justificaram seu tratamento, considerando, conforme aplicável:

• Normas do Conselho Federal de Medicina;
• Regulamentações sanitárias;
• Obrigações trabalhistas, previdenciárias, fiscais e regulatórias;
• Requisitos contratuais legítimos;
• Prazos prescricionais;
• Necessidade de exercício regular de direitos;
• Outras hipóteses legais de conservação.

Os prazos de conservação poderão variar de acordo com a natureza dos dados, a categoria do titular, a finalidade do tratamento e a obrigação aplicável.

Os dados pessoais poderão ser conservados após o término da finalidade original do tratamento nas hipóteses autorizadas pela LGPD e demais normas aplicáveis, inclusive para cumprimento de obrigação legal ou regulatória e exercício regular de direitos.

A eliminação, anonimização ou outra destinação adequada será realizada quando cabível, observadas as hipóteses legais de conservação e as características dos ambientes tecnológicos envolvidos, nos limites das operações e ambientes sob responsabilidade da CDI.

XI. DIREITOS DOS TITULARES

O titular poderá exercer, conforme aplicável, os direitos previstos na LGPD, incluindo:

• Confirmação da existência de tratamento;
• Acesso aos dados pessoais;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade, quando aplicável;
• Informação sobre entidades públicas e privadas com as quais houve uso compartilhado de dados;
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa, quando aplicável;
• Revogação do consentimento, quando aplicável;
• Eliminação dos dados tratados com consentimento, observadas as hipóteses legais de conservação;
• Oposição ao tratamento realizado em desconformidade com a LGPD, quando aplicável;
• Portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa e observada a regulamentação aplicável, quando cabível;
• Peticionar perante a Agência Nacional de Proteção de Dados – ANPD.

No caso de crianças e adolescentes, os direitos poderão ser exercidos por seus pais ou responsáveis legais, observadas a legislação aplicável, a natureza da solicitação e, quando pertinente, a participação do próprio titular de acordo com sua idade e capacidade de compreensão.

Pedidos relacionados a tratamentos realizados sob responsabilidade de terceiros poderão ser direcionados ao respectivo controlador, sem prejuízo da orientação ou encaminhamento adequado pela CDI, quando cabível.

O atendimento das solicitações poderá exigir a confirmação da identidade do titular ou de seu representante, de forma proporcional à natureza do pedido e aos riscos envolvidos.

XII. SEGURANÇA DA INFORMAÇÃO

A CDI adota medidas técnicas, administrativas e organizacionais compatíveis com a natureza das informações tratadas e com os riscos envolvidos, incluindo, entre outras:

• Controles de acesso;
• Gestão de usuários e permissões;
• Monitoramento e registro de eventos de segurança, quando aplicável;
• Medidas destinadas à proteção contra perda, destruição, alteração, acesso ou divulgação indevida;
• Procedimentos de prevenção e resposta a incidentes;
• Conscientização e treinamento;
• Controles administrativos e tecnológicos definidos de acordo com os riscos dos respectivos ambientes.

A Clínica mantém estrutura formal de governança composta por:

• Sistema de Gestão de Segurança da Informação (SGSI);
• Programa de Governança em Privacidade (PGP);

Esses programas são estruturados com base em boas práticas reconhecidas, gestão de riscos e diretrizes regulatórias aplicáveis.

XIII. INCIDENTES DE SEGURANÇA

A CDI mantém procedimentos destinados à identificação, avaliação, tratamento e registro de incidentes de segurança envolvendo dados pessoais.

Quando um incidente puder acarretar risco ou dano relevante aos titulares, serão avaliadas e adotadas as medidas de comunicação e mitigação previstas na legislação e na regulamentação aplicáveis.

XIV. CANAL DE PRIVACIDADE E ENCARREGADO

O titular poderá exercer seus direitos e encaminhar solicitações relacionadas à proteção de dados por meio do canal disponibilizado pela CDI:

Formulário Online: Clique Aqui.

Canal de Privacidade: dpo@cdisaojoao.privasec.com.br

Encarregado pelo Tratamento de Dados Pessoais: Paliares e Sanchotene Advogados Associados

Responsável técnico e ponto focal: Adv. Antônio Sanchotene

Para proteção do titular e dos próprios dados envolvidos, poderá ser solicitada confirmação de identidade ou da representação, mediante procedimento proporcional à natureza da solicitação.

XV. ATUALIZAÇÕES DESTE AVISO

Este Aviso será submetido a revisão periódica anual, sem prejuízo de atualizações extraordinárias sempre que alterações regulatórias, tecnológicas, operacionais ou institucionais justificarem sua revisão antecipada.

A versão vigente estará disponível nos ambientes digitais aplicáveis da CDI.

Alterações relevantes nas práticas de tratamento poderão ser objeto de comunicação específica aos titulares, quando necessário em razão da natureza da alteração ou da legislação aplicável.

Alta Gestão CDI

Encarregado pelo Tratamento de Dados Pessoais