Política de Proteção de Dados — LGPD

1. Apresentação

A CompletePay opera no setor de saúde, um dos mais regulados sob a perspectiva da proteção de dados pessoais. Esta Política detalha como cumprimos integralmente a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018), com atenção especial ao tratamento de dados sensíveis de saúde (Art. 11 da LGPD).

Esta Política deve ser lida em conjunto com nossa Política de Privacidade e Termos de Uso.

2. Identificação das Partes

2.1 Controlador de Dados (Plataforma)

2.2 Encarregado pelo Tratamento de Dados (DPO)

O Encarregado (DPO) é o canal oficial de comunicação com a Autoridade Nacional de Proteção de Dados (ANPD) e com os titulares de dados.

2.3 Organizações Clientes como Controladoras

As Organizações clientes (clínicas, consultórios) são Controladoras dos dados de seus próprios pacientes. Nesses casos, a CompletePay atua como Operadora, conforme Art. 37 da LGPD, formalizado no Acordo de Processamento de Dados (DPA) anexo ao contrato de serviço.

3. Princípios que Governam o Tratamento

Baseamo-nos nos 10 princípios do Art. 6º da LGPD:

4. Mapeamento do Tratamento de Dados (ROPA)

4.1 Dados de Conta e Autenticação

4.2 Dados Sensíveis de Saúde (Art. 11 LGPD)

Atenção Regulatória: Dados de saúde são classificados como dados sensíveis pelo Art. 11 da LGPD, exigindo bases legais específicas e proteções adicionais.

4.3 Consentimentos de Pacientes

Todos os consentimentos são registrados com: tipo, data de aceite, versão do termo, IP, data de revogação e motivo. O histórico é imutável — a revogação cria novo registro sem apagar o anterior.

5. Bases Legais por Contexto

5.1 Para Dados Sensíveis de Saúde (Art. 11 LGPD)

6. Direitos dos Titulares — Procedimento

E-mail: dpo@completepay.com.br · Prazo: 15 dias úteis (Art. 23 LGPD) · Gratuito: Sim, conforme Art. 18, §5º LGPD

Para dados de pacientes gerenciados por clínicas/consultórios, o paciente deve contatar diretamente a Organização responsável (sua clínica/consultório), que é a Controladora desses dados.

7. Segurança Técnica e Organizacional (Art. 46 LGPD)

7.1 Medidas Técnicas

• Senhas: Algoritmo bcrypt com salt aleatório — nunca armazenadas em texto plano
• Sessões: JWT HS256 com expiração + blacklist de tokens revogados (JTI)
• RBAC: 6 papéis com permissões granulares por módulo e classificação de dado
• Multi-tenant: Isolamento completo por organization_id em todas as queries
• HTTPS/TLS: Todas as comunicações criptografadas em trânsito
• Rate limiting: 100 requisições/minuto por IP (configurável)
• Audit logs append-only: Impossível apagar ou modificar registros de auditoria
• CPF: Mascarado na UI — não exibido em listagens

7.2 Privacy by Design

8. Transferência Internacional de Dados (Art. 33 LGPD)

9. Incidentes de Segurança (Art. 48 LGPD)

10. Menores de Idade (Art. 14 LGPD)

• O tratamento requer consentimento específico de pelo menos um dos pais ou responsável legal
• Dados de responsáveis legais são coletados e vinculados ao cadastro do paciente menor
• A Plataforma verifica a data de nascimento para sinalizar menoridade
• Dados de menores recebem classificação de proteção máxima
• O responsável legal pode exercer todos os direitos do titular em nome do menor

11. Decisões Automatizadas (Art. 20 LGPD)

• Nenhuma decisão clínica é tomada exclusivamente por algoritmos — toda decisão médica requer supervisão humana
• Agentes de IA são ferramentas de apoio, não substitutos de profissionais de saúde
• Sugestões automatizadas (confirmação de agendamento, lembretes) não afetam direitos fundamentais
• Direito de revisão: O titular pode solicitar revisão de qualquer decisão automatizada via DPO

12. Análise de Impacto (DPIA)

13. Contato e Canal de Denúncias

14. Histórico de Versões

CompletePay — Gestão Clínica Inteligente
Política LGPD Versão 1.0 · Vigente a partir de 03/03/2026
Em conformidade com a Lei Federal nº 13.709/2018 (LGPD)