Política de Privacidade

1. Quem é o Controlador

Engemedical Connect - Saúde Ocupacional é o controlador dos dados pessoais tratados nesta plataforma, conforme definido pelo Art. 5º, VI da LGPD.

O sistema é operado por profissionais de saúde ocupacional habilitados, sob responsabilidade técnica do médico do trabalho coordenador do PCMSO.

2. Dados Coletados e Finalidade

Coletamos os seguintes dados pessoais:

• Dados Cadastrais: nome, CPF, RG, data de nascimento, filiação, telefone, e-mail, endereço
• Dados Profissionais: cargo, função, setor, empresa empregadora, número de registro profissional (conselho)
• Dados de Saúde: histórico ocupacional, exames admissionais/periódicos/demissionais, atestados de saúde ocupacional (ASO), resultados de exames clínicos e complementares
• Dados Biométricos: impressão digital (template criptografado AES-256-GCM) para autenticação em atendimento
• Dados Faciais: fotografia para validação de identidade em atendimento
• Dados de Acesso: logs de autenticação, endereço IP, user-agent, data/hora de acesso

Finalidades:

• Cumprimento de obrigação legal e regulatória (NR-7, CLT Art. 168, CFM Resolução 1.821/2007)
• Execução de contrato de trabalho (gestão de saúde ocupacional)
• Exercício regular de direitos (proteção à saúde do trabalhador)
• Registro de prontuário ocupacional com guarda legal de 20 anos

3. Base Legal para Tratamento

O tratamento de dados ocorre com base nos seguintes fundamentos legais (LGPD Art. 7º e 11):

• Cumprimento de obrigação legal ou regulatória (Art. 7º, II e Art. 11, II, a): para atendimento às normas regulamentadoras do Ministério do Trabalho
• Execução de contrato (Art. 7º, V): gestão de exames ocupacionais no vínculo empregatício
• Proteção da saúde (Art. 11, II, f): procedimentos realizados por profissionais de saúde
• Cumprimento de obrigação legal / proteção da saúde (Art. 11, II, "a" e "c"): dados biométricos e faciais para autenticação e rastreabilidade do atendimento ocupacional, registrados em termo de ciência e aceite operacional
• Exercício regular de direitos em processo judicial ou administrativo (Art. 7º, VI)

4. Compartilhamento de Dados

Seus dados podem ser compartilhados com:

• SOC (Sistema On-line Corporativo): sistema legado de gestão ocupacional para integração de dados cadastrais e de exames
• Supabase (Provedor de Banco de Dados): plataforma de banco de dados PostgreSQL com criptografia em repouso e em trânsito
• Cloudflare: armazenamento de documentos PDF (ASOs, exames, termos) e filas de processamento assíncrono
• BRy / PSC: provedor de assinatura digital com certificado ICP-Brasil para validação de ASOs
• Autoridades competentes: mediante requisição legal ou judicial

Todos os operadores contratados possuem cláusulas contratuais de proteção de dados e estão sujeitos às instruções do controlador.

5. Direitos do Titular (LGPD Art. 18)

Você possui os seguintes direitos, exercíveis a qualquer momento:

• Confirmação e Acesso (incisos I e II): saber se tratamos seus dados e acessá-los
• Correção (inciso III): retificar dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação (inciso IV): solicitar anonimização de dados desnecessários ou tratados em desconformidade
• Portabilidade (inciso V): solicitar cópia dos dados em formato estruturado (mediante viabilidade técnica)
• Eliminação (inciso VI): solicitar exclusão de dados pessoais tratados com base no consentimento, respeitadas as hipóteses de guarda legal
• Informação sobre compartilhamento (inciso VII): saber com quais entidades seus dados foram compartilhados
• Revogação do consentimento (inciso VIII): retirar o consentimento a qualquer tempo, sem prejuízo da legalidade do tratamento anterior
• Oposição (Art. 18, §2º): opor-se ao tratamento realizado com base em outras hipóteses legais

6. Medidas de Segurança

• Criptografia em repouso (AES-256) para dados sensíveis e templates biométricos
• Criptografia em trânsito (TLS 1.2+) para todas as comunicações
• Autenticação multifator e controle de acesso baseado em perfil (RBAC)
• Registro de auditoria (logs de acesso imutáveis e anexos)
• Anonimização de dados pessoais sem prejuízo de integridade referencial
• Política de senhas fortes com hash bcrypt
• Snapshots sanitizados antes de exclusão física

7. Encarregado (DPO)

O encarregado pelo tratamento de dados pessoais (Data Protection Officer), conforme Art. 41 da LGPD, pode ser contatado: