Política de Privacidade e Proteção de Dados

CAPÍTULO I — DISPOSIÇÕES GERAIS

Art. 1º — Finalidade

A presente Política estabelece diretrizes institucionais, jurídicas, técnicas e organizacionais aplicáveis ao tratamento de dados pessoais realizado pela Clínica de Diagnóstico por Imagem São João Ltda. — CDI, em conformidade com a Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD), regulamentações da Agência Nacional de Proteção de Dados (ANPD), normas setoriais aplicáveis e boas práticas de governança em privacidade e segurança da informação.

Art. 2º — Abrangência

Esta Política aplica-se às operações de tratamento de dados pessoais relacionadas às atividades da instituição e abrange, conforme aplicável:

I — pacientes, incluindo crianças e adolescentes;
II — pais e responsáveis legais;
III — colaboradores;
IV — candidatos a vagas;
V — profissionais de saúde;
VI — médicos, prestadores e empresas responsáveis pela realização de exames e elaboração de laudos;
VII — prestadores de serviços;
VIII — parceiros;
IX — fornecedores;
X — visitantes;
XI — usuários de sistemas e ambientes digitais;
XII — demais titulares cujos dados pessoais sejam tratados pela instituição.

Art. 3º — Princípios Aplicáveis

O tratamento de dados pessoais observará os princípios previstos na LGPD, incluindo:

I — finalidade;
II — adequação;
III — necessidade;
IV — livre acesso;
V — qualidade dos dados;
VI — transparência;
VII — segurança;
VIII — prevenção;
IX — não discriminação;
X — responsabilização e prestação de contas.

---

CAPÍTULO II — GOVERNANÇA E BASE NORMATIVA

Art. 4º — Estrutura de Governança

A CDI mantém estrutura de governança em privacidade e segurança da informação composta por:

• Programa de Privacidade e Segurança da Informação — PPSI;
  
• Sistema de Gestão de Segurança da Informação — SGSI;
  
• Programa de Governança em Privacidade — PGP.

Parágrafo único. Os componentes da estrutura de governança atuam de forma integrada, respeitadas suas finalidades específicas, com abordagem baseada em riscos, responsabilização, prestação de contas e melhoria contínua.

Art. 5º — Base Técnica e Normativa

Esta Política considera, entre outras referências aplicáveis:

I — Lei Geral de Proteção de Dados Pessoais — LGPD;
II — regulamentações, orientações e guias da ANPD;
III — Estatuto da Criança e do Adolescente — ECA;
IV — Estatuto Digital da Criança e do Adolescente — ECA Digital, quando aplicável;
V — normas sanitárias, profissionais e regulatórias relacionadas às atividades de saúde;
VI — referências técnicas da família ISO/IEC 27000, incluindo ISO/IEC 27001 e ISO/IEC 27701, quando aplicáveis;
VII — NIST Privacy Framework e demais referenciais de segurança e privacidade aplicáveis;
VIII — CIS Controls.

Parágrafo único. A adoção dessas referências não implica certificação da instituição, sendo utilizadas como apoio técnico para estruturação, avaliação e aprimoramento dos controles.

Art. 6º — Abordagem Baseada em Riscos

A definição, implementação e revisão das medidas de privacidade e segurança observarão abordagem baseada em riscos, considerando, entre outros fatores:

I — natureza dos dados tratados;
II — sensibilidade e criticidade das informações;
III — finalidade das operações;
IV — volume e contexto do tratamento;
V — impacto potencial aos titulares;
VI — riscos tecnológicos, operacionais e organizacionais envolvidos;
VII — características dos sistemas, ambientes e terceiros envolvidos.

---

CAPÍTULO III — PAPÉIS E AGENTES DE TRATAMENTO

Art. 7º — Papéis da Instituição

A CDI poderá atuar, conforme a operação de tratamento, como:

• controladora, quando determinar as finalidades e os meios essenciais do tratamento;
  
• operadora, quando tratar dados pessoais em nome e segundo as instruções de outro controlador.

Parágrafo único. A utilização de sistemas de terceiros, a integração com ambientes administrados por outras instituições, o uso de infraestrutura externa ou a condição de fonte geradora de informações clínicas constituem situações operacionais que, isoladamente, não determinam o papel jurídico exercido pela CDI nos termos da LGPD.

Art. 8º — Definição dos Papéis e Responsabilidades

Os papéis e responsabilidades dos agentes envolvidos serão determinados conforme:

I — as atividades efetivamente desempenhadas em cada operação de tratamento;
II — as decisões exercidas sobre finalidades e meios;
III — as instruções recebidas ou emitidas;
IV — os instrumentos jurídicos aplicáveis;
V — as disposições da LGPD e demais normas pertinentes.

Art. 9º — Responsabilidade dos Agentes

As responsabilidades de cada agente serão determinadas conforme o papel efetivamente desempenhado na operação de tratamento e as hipóteses previstas na legislação aplicável.

---

CAPÍTULO IV — OPERAÇÕES DE TRATAMENTO

Art. 10 — Finalidades do Tratamento

Os dados pessoais poderão ser tratados para finalidades legítimas relacionadas, entre outras, a:

I — prestação de serviços de saúde;
II — identificação, cadastro e atendimento de pacientes;
III — agendamento, confirmação e realização de exames;
IV — recepção, validação e utilização de documentos relacionados ao atendimento;
V — produção, análise, processamento e armazenamento de imagens diagnósticas;
VI — elaboração, disponibilização e guarda de laudos médicos;
VII — continuidade e integração da assistência à saúde;
VIII — faturamento e cobrança;
IX — relacionamento com convênios e operadoras de planos de saúde;
X — auditoria e comprovação de procedimentos;
XI — gestão administrativa e contratual;
XII — gestão de colaboradores e candidatos;
XIII — cumprimento de obrigações trabalhistas, previdenciárias, fiscais, sanitárias e regulatórias;
XIV — gestão de profissionais de saúde, prestadores, fornecedores e parceiros;
XV — segurança física e da informação;
XVI — prevenção, detecção e apuração de incidentes;
XVII — auditoria e conformidade;
XVIII — exercício regular de direitos;
XIX — comunicações institucionais e atendimento de solicitações.

Art. 11 — Categorias de Dados

Poderão ser tratados, conforme a finalidade e a relação mantida com o titular:

I — dados de identificação;
II — dados cadastrais e de contato;
III — dados de pais e responsáveis legais;
IV — dados financeiros e de faturamento;
V — dados de convênio ou plano de saúde;
VI — dados profissionais, funcionais e ocupacionais;
VII — dados clínicos e informações de saúde;
VIII — pedidos médicos, guias, autorizações e informações relacionadas ao procedimento;
IX — imagens diagnósticas;
X — laudos e demais registros assistenciais;
XI — histórico médico e informações clínicas relacionadas à realização e interpretação dos exames;
XII — dados de autenticação, acesso e utilização de sistemas;
XIII — registros técnicos e logs;
XIV — imagens e registros de sistemas de segurança e CFTV, quando aplicável;
XV — dados relacionados a comunicações, solicitações e interações;
XVI — outros dados necessários às finalidades legítimas e legalmente autorizadas da instituição.

Parágrafo único. O tratamento deverá ser limitado aos dados adequados, pertinentes e necessários à finalidade de cada operação.

Art. 12 — Bases Legais para Dados Pessoais

O tratamento de dados pessoais observará as hipóteses previstas no art. 7º da LGPD, podendo envolver, conforme o caso:

I — cumprimento de obrigação legal ou regulatória;
II — execução de contrato ou de procedimentos preliminares relacionados a contrato;
III — exercício regular de direitos;
IV — proteção da vida ou da incolumidade física;
V — legítimo interesse, quando aplicável;
VI — consentimento, quando necessário;
VII — outras hipóteses legalmente previstas.

Art. 13 — Bases Legais para Dados Pessoais Sensíveis

O tratamento de dados pessoais sensíveis, especialmente dados de saúde, observará as hipóteses específicas previstas no art. 11 da LGPD, podendo envolver:

I — cumprimento de obrigação legal ou regulatória;
II — exercício regular de direitos;
III — proteção da vida ou da incolumidade física;
IV — tutela da saúde, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
V — consentimento específico e destacado, quando aplicável;
VI — demais hipóteses legalmente previstas.

§1º. O consentimento não constitui base legal universal para as operações de tratamento realizadas pela instituição.

§2º. A realização de exames, elaboração de laudos e demais procedimentos assistenciais poderá ocorrer independentemente de consentimento para fins da LGPD quando o tratamento estiver amparado por outra hipótese legal aplicável.

§3º. Nas relações trabalhistas, administrativas e contratuais, o consentimento será utilizado somente quando juridicamente adequado à finalidade envolvida.

---

CAPÍTULO V — TRATAMENTO DE DADOS DE CRIANÇAS E ADOLESCENTES

Art. 14 — Melhor Interesse

O tratamento de dados pessoais de crianças e adolescentes será realizado considerando seu melhor interesse, bem como:

I — a finalidade da operação;
II — a necessidade do tratamento;
III — a natureza e sensibilidade dos dados;
IV — a proporcionalidade das medidas adotadas;
V — os riscos envolvidos para o titular;
VI — a participação de pais ou responsáveis legais, quando aplicável.

Art. 15 — Bases Legais e Consentimento

Os dados de crianças e adolescentes poderão ser tratados com fundamento nas hipóteses legais aplicáveis previstas na LGPD, observada a natureza dos dados, a finalidade da operação e o melhor interesse do titular.

§1º. Quando o consentimento for utilizado como hipótese legal para o tratamento de dados de crianças, será observado o consentimento específico e em destaque dado por pelo menos um dos pais ou responsável legal.

§2º. Quando aplicável, serão adotadas medidas razoáveis para verificar a identidade e a legitimidade da manifestação do responsável.

Art. 16 — Transparência e Ambientes Digitais

A instituição adotará medidas destinadas a assegurar que informações relacionadas ao tratamento de dados de crianças e adolescentes sejam apresentadas de forma compatível com a faixa etária, capacidade de compreensão e contexto da operação.

Parágrafo único. Quando aplicáveis aos ambientes, produtos ou serviços digitais utilizados ou disponibilizados pela instituição, serão observadas as disposições do ECA Digital e sua regulamentação.

---

CAPÍTULO VI — CENÁRIOS ASSISTENCIAIS E OPERACIONAIS

Art. 17 — Unidade Própria da CDI

Nas operações realizadas em sua unidade própria, a CDI atuará como controladora quando determinar as finalidades e os meios essenciais do tratamento, permanecendo responsável pelas operações realizadas sob sua governança.

§1º. As atividades poderão envolver, conforme o fluxo assistencial:

I — agendamento por telefone, WhatsApp ou atendimento presencial;
II — identificação e cadastro do paciente;
III — conferência de documentos;
IV — realização de exames;
V — produção e processamento de imagens;
VI — análise médica e elaboração de laudos;
VII — armazenamento das informações e imagens;
VIII — disponibilização eletrônica de resultados;
IX — faturamento, auditoria e relacionamento com convênios;
X — conservação e descarte de documentos físicos e digitais.

§2º. As operações serão realizadas conforme os controles, procedimentos e regras de acesso aplicáveis a cada função e ambiente.

Art. 18 — Sistemas RIS/PACS e Pixeon

A CDI utiliza sistemas RIS e PACS fornecidos pela Pixeon para gerenciamento de informações, imagens, fluxo de exames e demais operações relacionadas à atividade assistencial.

§1º. Os dados pessoais e dados de saúde poderão ser armazenados ou processados nesses sistemas, conforme a arquitetura tecnológica e os serviços contratados.

§2º. O fornecedor poderá possuir acesso técnico ou operacional quando necessário para prestação de suporte, manutenção, atualização ou execução dos serviços contratados.

§3º. Os papéis e responsabilidades da CDI e da Pixeon serão definidos de acordo com a operação efetivamente realizada e os instrumentos contratuais aplicáveis.

§4º. O acesso por fornecedores deverá observar requisitos proporcionais de segurança, controle de acesso, confidencialidade e rastreabilidade, quando tecnicamente aplicáveis.

Art. 19 — Empresas Terceirizadas de Laudo

A CDI poderá contratar empresas ou profissionais externos para elaboração de laudos e prestação de serviços médicos relacionados à interpretação de exames.

§1º. Para a execução dessas atividades, poderão ser disponibilizados dados cadastrais, informações clínicas, pedidos médicos, imagens diagnósticas e demais informações necessárias ao serviço.

§2º. O acesso deverá observar a necessidade da operação, o princípio do menor privilégio, as obrigações de confidencialidade e os requisitos de segurança aplicáveis.

§3º. Os papéis jurídicos e as responsabilidades dos agentes envolvidos serão definidos conforme as atividades efetivamente desempenhadas e os instrumentos contratuais aplicáveis.

Art. 20 — Disponibilização Eletrônica de Resultados

Os laudos e imagens poderão ser disponibilizados ao paciente por meio de ambiente digital, mediante credenciais individuais de acesso ou outros mecanismos de autenticação adotados pela instituição.

§1º. A instituição adotará medidas compatíveis com o risco para proteção contra acesso indevido.

§2º. O titular deverá preservar a confidencialidade das credenciais disponibilizadas para acesso aos seus resultados.

Art. 21 — Integração com o Registro Eletrônico de Saúde — RES da Unimed

Quando houver integração, consulta, inserção, compartilhamento ou disponibilização de informações no Registro Eletrônico de Saúde — RES da Unimed, os papéis e responsabilidades das instituições serão definidos conforme a estrutura de governança do respectivo ambiente e as operações efetivamente realizadas.

§1º. Quando a Unimed atuar como controladora do RES, caberá a ela definir as finalidades e os meios essenciais dos tratamentos realizados no âmbito do respectivo repositório.

§2º. A CDI permanecerá responsável pelas operações realizadas sob sua governança e pelas informações clínicas geradas no contexto de seus atendimentos, observadas as responsabilidades definidas entre as instituições.

§3º. O acesso ao RES deverá observar os mecanismos de autenticação, perfis de acesso e controles definidos para o ambiente.

§4º. A propriedade, administração ou localização da infraestrutura tecnológica não determina, isoladamente, a condição de controladora ou operadora das instituições envolvidas.

---

CAPÍTULO VII — COMPARTILHAMENTO DE DADOS

Art. 22 — Hipóteses de Compartilhamento

O compartilhamento de dados pessoais poderá ocorrer quando necessário e juridicamente autorizado, inclusive para:

I — continuidade e integração do cuidado;
II — prestação de serviços assistenciais;
III — elaboração de laudos médicos;
IV — auditoria assistencial;
V — faturamento e cobrança;
VI — relacionamento com convênios e operadoras de planos de saúde;
VII — cumprimento de obrigações legais ou regulatórias;
VIII — exercício regular de direitos;
IX — gestão de fornecedores e prestadores;
X — segurança e prevenção de incidentes;
XI — auditoria e conformidade;
XII — prestação de serviços tecnológicos e operacionais;
XIII — integração com sistemas e repositórios assistenciais, quando aplicável.

Art. 23 — Critérios para Compartilhamento

O compartilhamento deverá observar:

I — finalidade legítima;
II — necessidade;
III — minimização dos dados;
IV — base legal aplicável;
V — medidas de segurança adequadas;
VI — definição dos papéis e responsabilidades dos agentes envolvidos;
VII — limitações compatíveis com o contexto e a finalidade da operação.

Art. 24 — Compartilhamento com Convênios e Operadoras de Saúde

A CDI poderá compartilhar dados de pacientes, informações sobre procedimentos e, quando necessário, laudos ou outros documentos com convênios e operadoras de saúde para finalidades relacionadas a:

I — autorização de procedimentos;
II — comprovação da realização do exame;
III — auditoria assistencial;
IV — faturamento e cobrança;
V — cumprimento de exigências contratuais, legais ou regulatórias aplicáveis.

Parágrafo único. O compartilhamento deverá ser limitado às informações necessárias para a finalidade envolvida.

Art. 25 — Responsabilidade após o Compartilhamento

Após o compartilhamento, as responsabilidades serão determinadas conforme o papel efetivamente desempenhado por cada agente, os instrumentos aplicáveis e as disposições da legislação vigente.

Parágrafo único. O recebimento de dados não transforma automaticamente o destinatário em controlador independente, devendo sua atuação ser analisada conforme a operação concreta.

---

CAPÍTULO VIII — SEGURANÇA DA INFORMAÇÃO

Art. 26 — Medidas de Segurança

A CDI adotará medidas técnicas, administrativas e organizacionais apropriadas e proporcionais à natureza das informações, aos riscos das operações e ao estágio de maturidade de sua estrutura de segurança, incluindo, conforme aplicável:

I — controles de acesso;
II — gestão de usuários e permissões;
III — mecanismos de autenticação;
IV — proteção de credenciais;
V — criptografia;
VI — rotinas de backup e recuperação;
VII — registro e monitoramento de eventos;
VIII — gestão de vulnerabilidades;
IX — proteção de redes e comunicações;
X — proteção de dispositivos e estações de trabalho;
XI — gestão de incidentes;
XII — segurança de terceiros;
XIII — conscientização e treinamento.

§1º. Os controles serão definidos, implementados e revisados considerando risco, sensibilidade dos dados, criticidade dos ativos, características tecnológicas e impacto potencial de incidentes.

§2º. Registros de logs e trilhas de auditoria serão mantidos de acordo com critérios legais, regulatórios, técnicos e institucionais aplicáveis, quando disponíveis e pertinentes à operação.

Art. 27 — SGSI

As medidas de segurança serão integradas ao Sistema de Gestão de Segurança da Informação — SGSI, observando abordagem de melhoria contínua, gestão de riscos e proporcionalidade.

---

CAPÍTULO IX — DIREITOS DOS TITULARES

Art. 28 — Exercício de Direitos

Os titulares poderão exercer, conforme aplicável, os direitos previstos na LGPD, incluindo:

I — confirmação da existência de tratamento;
II — acesso aos dados;
III — correção de dados incompletos, inexatos ou desatualizados;
IV — anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
V — portabilidade, observada a regulamentação aplicável;
VI — informação sobre entidades públicas e privadas com as quais houve uso compartilhado de dados;
VII — informação sobre a possibilidade de não fornecer consentimento e suas consequências;
VIII — revogação do consentimento, quando aplicável;
IX — eliminação dos dados tratados com consentimento, observadas as hipóteses legais de conservação;
X — oposição ao tratamento realizado em desconformidade com a LGPD;
XI — peticionamento perante a ANPD;
XII — demais direitos previstos na legislação aplicável.

Art. 29 — Crianças e Adolescentes

Quando o titular for criança ou adolescente, o exercício de direitos observará sua condição jurídica, a natureza da solicitação, a atuação dos pais ou responsáveis legais quando aplicável e o melhor interesse do próprio titular.

Art. 30 — Validação da Identidade

A instituição poderá exigir medidas proporcionais de confirmação da identidade do titular ou de seu representante antes do atendimento da solicitação, especialmente quando houver risco de acesso indevido a dados pessoais ou dados sensíveis.

Art. 31 — Limitações Legalmente Aplicáveis

O atendimento a determinada solicitação poderá sofrer restrição quando houver fundamento legal ou regulatório aplicável, devendo eventual limitação ser devidamente justificada.

---

CAPÍTULO X — RETENÇÃO, CONSERVAÇÃO E DESCARTE

Art. 32 — Critérios de Retenção

Os dados pessoais serão mantidos pelo período necessário às finalidades que justificaram seu tratamento, considerando, conforme aplicável:

I — obrigações legais e regulatórias;
II — normas sanitárias e profissionais;
III — preservação de prontuários, exames, imagens, laudos e documentos assistenciais;
IV — requisitos contratuais legítimos;
V — prazos prescricionais;
VI — exercício regular de direitos;
VII — necessidades legítimas de auditoria, comprovação e rastreabilidade;
VIII — demais hipóteses legais de conservação.

Art. 33 — Documentos Físicos

Documentos físicos utilizados no atendimento poderão ser mantidos pelo período necessário à finalidade correspondente e, quando cabível, descartados de forma segura.

§1º. O descarte deverá observar a natureza do documento, obrigações legais ou regulatórias e a necessidade de sua conservação.

§2º. A eliminação física será realizada por método capaz de impedir a recuperação ou identificação das informações, inclusive mediante fragmentação, quando aplicável.

Art. 34 — Conservação Após o Término da Finalidade

Os dados pessoais poderão ser conservados após o término da finalidade original nas hipóteses autorizadas pela LGPD e demais normas aplicáveis.

Art. 35 — Eliminação e Destinação

A eliminação, anonimização ou outra destinação adequada dos dados ocorrerá quando cabível, observadas:

I — as hipóteses legais de conservação;
II — as obrigações regulatórias;
III — as características dos ambientes tecnológicos;
IV — os requisitos de segurança da informação;
V — a existência de cópias de segurança ou sistemas distribuídos.

---

CAPÍTULO XI — TRANSFERÊNCIA INTERNACIONAL DE DADOS

Art. 36 — Condições para Transferência

Transferências internacionais de dados pessoais, quando existentes, observarão os arts. 33 e seguintes da LGPD e a regulamentação da ANPD.

§1º. Será adotado mecanismo juridicamente válido para a transferência, além de medidas de segurança e transparência compatíveis com a operação.

§2º. Conforme o caso, poderão ser utilizados:

I — decisões de adequação;
II — cláusulas-padrão contratuais;
III — cláusulas contratuais específicas;
IV — normas corporativas globais;
V — outros mecanismos admitidos pela legislação e regulamentação aplicáveis.

§3º. A existência de transferência internacional será avaliada considerando serviços em nuvem, fornecedores, sistemas, suporte remoto, hospedagem e demais operações que possam envolver acesso ou armazenamento fora do território nacional.

---

CAPÍTULO XII — TERCEIROS E FORNECEDORES

Art. 37 — Requisitos de Privacidade e Segurança

Prestadores, fornecedores e parceiros que tratem dados pessoais no contexto das atividades da CDI deverão observar requisitos de privacidade e segurança compatíveis com:

I — a natureza dos dados tratados;
II — o risco da atividade;
III — a finalidade da contratação;
IV — as obrigações atribuídas a cada parte.

Art. 38 — Avaliação e Contratação

Sempre que aplicável e proporcional ao risco, a contratação e gestão de terceiros poderá envolver:

I — avaliação prévia de privacidade e segurança;
II — definição contratual de papéis e responsabilidades;
III — cláusulas de confidencialidade e proteção de dados;
IV — requisitos mínimos de segurança;
V — regras para comunicação de incidentes;
VI — condições para utilização de suboperadores;
VII — regras para devolução, eliminação ou conservação de dados;
VIII — avaliação de eventual transferência internacional;
IX — monitoramento periódico dos riscos da contratação.

---

CAPÍTULO XIII — INCIDENTES DE SEGURANÇA

Art. 39 — Gestão de Incidentes

Incidentes de segurança envolvendo dados pessoais serão tratados conforme procedimento interno formal, abrangendo, conforme o caso:

I — identificação;
II — registro;
III — contenção;
IV — avaliação de impacto e risco;
V — resposta;
VI — recuperação;
VII — comunicação;
VIII — mitigação;
IX — análise de causa;
X — registro das providências adotadas e lições aprendidas.

Art. 40 — Comunicação

Quando um incidente puder acarretar risco ou dano relevante aos titulares, serão avaliadas e realizadas as comunicações à ANPD e aos titulares conforme os critérios, prazos e procedimentos previstos na legislação e regulamentação aplicáveis.

---

CAPÍTULO XIV — AUDITORIA, MONITORAMENTO E CONFORMIDADE

Art. 41 — Monitoramento

A conformidade com esta Política será monitorada periodicamente e de forma proporcional aos riscos e ao estágio de maturidade da instituição, mediante, conforme aplicável:

I — avaliações internas;
II — avaliações de risco;
III — revisão de políticas e procedimentos;
IV — verificação de controles;
V — acompanhamento de planos de ação;
VI — avaliação de incidentes e não conformidades;
VII — auditorias, quando aplicáveis.

Art. 42 — Melhoria Contínua

As medidas de governança, privacidade e segurança serão objeto de aperfeiçoamento contínuo, considerando mudanças legais, regulatórias, tecnológicas e operacionais, resultados de avaliações, riscos identificados e eventos relevantes.

---

CAPÍTULO XV — ENCARREGADO PELO TRATAMENTO DE DADOS PESSOAIS

Art. 43 — Designação

A CDI manterá encarregado pelo tratamento de dados pessoais formalmente designado, nos termos da legislação e regulamentação aplicáveis.

Art. 44 — Atribuições

Compete ao Encarregado, observadas as disposições legais e regulamentares:

I — aceitar reclamações e comunicações dos titulares e prestar esclarecimentos;
II — receber comunicações da ANPD e adotar as providências cabíveis;
III — orientar colaboradores, prestadores e demais envolvidos sobre práticas de proteção de dados;
IV — apoiar a estrutura de governança em privacidade;
V — auxiliar na orientação relativa a registros de tratamento, avaliações de risco, relatórios de impacto, incidentes, contratos e políticas;
VI — desempenhar as demais atribuições previstas na legislação e regulamentação aplicáveis.

Art. 45 — Autonomia e Conflito de Interesses

O Encarregado deverá atuar com autonomia técnica compatível com suas atribuições, ética, integridade e observância de situações que possam caracterizar conflito de interesses.

Art. 46 — Canal de Privacidade

A identidade e as informações de contato do Encarregado serão divulgadas de forma clara e acessível nos canais institucionais aplicáveis.

Encarregado pelo Tratamento de Dados Pessoais: Paliares e Sanchotene Advogados Associados
Pessoa natural responsável pela atuação: Adv. Antônio Sanchotene
Canal de Privacidade: dpo@cdisaojoao.privasec.com.br
Formulário de Solicitações: Clique aqui

---

CAPÍTULO XVI — DISPOSIÇÕES FINAIS

Art. 47 — Cumprimento da Política

Colaboradores, profissionais de saúde, prestadores e demais usuários sujeitos às normas internas da instituição deverão observar esta Política e os procedimentos relacionados à privacidade, proteção de dados e segurança da informação aplicáveis às suas atividades.

Art. 48 — Não Conformidades

O descumprimento desta Política poderá resultar na adoção de medidas administrativas, contratuais ou disciplinares cabíveis, sem prejuízo de outras responsabilidades previstas na legislação.

Art. 49 — Atualizações

Esta Política será submetida a revisão periódica anual, sem prejuízo de atualizações extraordinárias sempre que alterações legais, regulatórias, tecnológicas, operacionais ou institucionais justificarem sua revisão antecipada.

Art. 50 — Vigência

Esta Política entra em vigor na data de sua aprovação pela Alta Gestão e permanecerá vigente até sua substituição por versão posterior regularmente aprovada.

---

Alta Gestão — Clínica de Diagnóstico por Imagem São João Ltda. — CDI

Encarregado pelo Tratamento de Dados Pessoais

Gestão de Segurança da Informação