3.4) Classificação como Agente de Tratamento

A Pleno Saúde, no âmbito dos tratamentos de dados pessoais que realiza, a depender da situação, poderá ser considerada como Controladora ou Operadora de Dados Pessoais.

Portanto, somente será considerada como Controladora quando tomar decisões referentes às atividades de tratamento, com poder de decisão sobre as finalidades e os elementos essenciais do tratamento. Isto é, quando a empresa coletar dados pessoais dos titulares e identificar as finalidades, os propósitos e os meios para o tratamento de tais dados pessoais, neste caso a empresa será considerada controladora. Nesse sentido, a Pleno Saúde é controladora dos dados pessoais de seus colaboradores.

Por outro lado, a Pleno Saúde poderá ser considerada como Operadora de dados pessoais quando seguir instruções de uma outra parte sobre as atividades de tratamento de dados pessoais ou quando receber dados pessoais de outro agente que a coletou e determinou as finalidades do tratamento. É o que ocorre quando a Pleno Saúde realiza tratamento de dados pessoais de pacientes. As operadoras de planos de saúde clientes da Pleno Saúde, na qualidade
de Controladoras, compartilham os dados pessoais dos pacientes, seus clientes, e conferem à Pleno Saúde instruções acerca do tratamento a ser conferido a tais dados pessoais.

3.4.1) Atividades do Controlador

• Determinar as finalidades e tomar decisões referentes ao Tratamento de Dados Pessoais;
• Indicar DPO – Encarregado;
• Obter o consentimento válido, quando este for a base legal para o Tratamento de Dados Pessoais, por escrito ou por outro meio que demonstre a manifestação de vontade do Titular;
• Fornecer informações relativas ao Tratamento e informar ao Titular dos Dados sobre alteração em relação à finalidade, forma e duração do Tratamento, identificação do Controlador ou sobre o uso compartilhado dos Dados Pessoais;
• Realizar o Legitimate Interest Assessment para garantir, de forma transparente, que o Tratamento de Dados Pessoais é realizado com base nas disposições legais;
• Fornecer orientações ao Operador com relação ao Tratamento e proteção dos Dados Pessoais compartilhados, e verificar a observância de suas próprias instruções e das normas de proteção de dados;
• Garantir o direito dos Titulares dos Dados;
• Comprovar perante o Titular o cumprimento das normas legais pertinentes à proteção de dados quando estes forem transferidos para terceiros;
• Comunicar, em prazo razoável, à ANPD e ao Titular dos Dados a ocorrência de incidente de segurança que possa lhe acarretar risco ou dano relevante.
  
  

3.4.2) Atividades do Operador

• Realizar o Tratamento segundo instruções fornecidas pelo Controlador;
  
  
• Comunicar ao Controlador, em prazo razoável, sobre a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
  
  

3.4.3) Atividades comuns ao Controlador e ao Operador

• Manter registro das operações de Tratamento e das atividades que envolvem Dados Pessoais;
  
  
• Adotar medidas de segurança, técnicas e administrativas aptas a proteger os Dados Pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de Tratamento inadequado ou ilícito.
  
  

3.5) Responsabilidade dos Agentes de Tratamento

O Controlador ou o Operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.

O Operador responde solidariamente pelos danos causados pelo tratamento quando  descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador se equipara ao controlador. Os Controladores que estiverem diretamente envolvidos no tratamento do qual decorreram danos ao titular respondem solidariamente.

Os agentes de tratamento só não serão responsabilizados quando provarem:

I. Que realizaram o tratamento de dados pessoais que lhes é atribuído;

II. Que, embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou

III. Que o dano é decorrente de culpa exclusiva do titular ou de terceiros.

Dessa forma, todos os contratos em que haja tratamento de dados pessoais devem dispor, de forma clara e específica, acerca o rol de obrigações de cada parte, indicando as práticas a serem executadas de forma a garantir o correto tratamento de dados pessoais e a segurança das informações, e estabelecer os limites e responsabilidades a serem observados. Os colaboradores da Pleno Saúde devem prestar especial atenção aos contratos celebrados com seus clientes, em geral contratos de adesão, e documentar os procedimentos adotados de forma a gerar evidências de sua governança de dados pessoais.

3.6) Direito dos Titulares dos Dados Pessoais

A Pleno Saúde tem como valor garantir ao titular de dados pessoais a preservação dos seus direitos, elencados na LGPD.

O titular de dados pessoais poderá requerer, expressamente e sem custo, os seguintes direitos:

• Confirmação da existência do tratamento – Confirmar se a Pleno Saúde trata ou não seus Dados Pessoais;

• Acesso aos Dados Pessoais – Uma vez confirmado o Tratamento, o Titular pode solicitar acesso aos Dados Pessoais e receber cópia de todos coletados e armazenados;

• Correção dos Dados Pessoais incompletos, inexatos ou desatualizados – Respeitando as limitações por exigência legal, os Dados poderão ser corrigidos;

• Anonimização, bloqueio ou eliminação dos Dados Pessoais desnecessários, excessivos ou tradados ilicitamente.

• Anonimização – Descaracterização da informação de forma que garanta a não identificação do Titular, quando viável;

• Bloqueio – Solicitar o bloqueio da Empresa aos Dados Pessoais tratados desde que não haja limitação legal;

• Eliminação dos Dados Pessoais desnecessários ou tratados ilicitamente – Quando existirem Dados Pessoais desnecessários à finalidade original do Tratamento ou tratados de forma ilícita (obtidos sem a autorização ou conhecimento do respectivo titular), ele pode solicitar sua eliminação desde que não haja limitação legal;

• Portabilidade dos Dados Pessoais a outro fornecedor de serviço ou produto – Ainda depende de regulamentação da ANPD acerca de como executar a portabilidade;

• Eliminação dos Dados Pessoais tratados com o consentimento do Titular – desde que não haja limitação legal;

• Informação das entidades com as quais o Controlador compartilhou seus Dados Pessoais – Ser informado quando existir o compartilhamento dos Dados Pessoais com terceiros;

• Não Consentimento – Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;

• Revogação do consentimento – O Titular dos Dados Pessoais pode informar a qualquer momento o não consentimento anteriormente conferido ao Tratamento.
  
  

3.7) Atendimento ao Direitos dos Titulares dos Dados 

O DPO – Encarregado será responsável pelo atendimento que se referem aos direitos assegurados na LGPD e nesta Política. Sendo assim, os titulares devem comunicar ao DPO – encarregado por escrito, suas dúvidas ou solicitações.

Essa comunicação pode ser feita ao e-mail privacidade@plenosaude.com.br

3.8) Tipos de Dados Pessoais

De acordo com os requisitos da LGPD, todo dado pessoal deve ser tratado de forma adequada à finalidade para o qual foi coletado, dessa forma, se faz necessário que todos os colaboradores saibam identificar os dados pessoais e determinar sua classificação e importância para os negócios da empresa. Segue abaixo uma explicação sobre os tipos de dados relacionados na LGPD:

De uma maneira geral, a Pleno Saúde realiza tratamento de dados sensíveis, os quais representam a maioria dos tratamentos de sua operação de negócios. Dessa forma, os colaboradores, fornecedores e terceiros, observando os princípios da finalidade, adequação e necessidade, devem adotar as práticas mais restritivas com relação ao tratamento dos dados pessoais e dados pessoais sensíveis dos pacientes, utilizando-os apenas para a finalidade para o qual foi coletado, de forma adequada ao contexto das atividades da Pleno Saúde, e limitados ao mínimo necessário para o desenvolvimento destas atividades.

É expressamente vedado acesso não autorizado e o compartilhamento dos dados pessoais e dados pessoais sensíveis dos pacientes sem autorização expressa do gestor ou da direção executiva, ouvido o DPO – encarregado.

Além dessas duas categorias de dados pessoais, a LGPD confere um tratamento especial aos dados de crianças e adolescentes, assim considerados os dados pessoais e dados sensíveis relacionados à crianças de até doze anos de idade incompletos, e adolescente entre doze e dezoito anos de idade, conforme Art. 2° da Lei nº 8.069, de 13 de julho de 1990.

Em nossos processos de departamento pessoal, tratamos dados pessoais e dados pessoais sensíveis de nossos colaboradores, e eventualmente tratamos informações de crianças e adolescentes. Os dados coletados para tal fim devem se limitar tão somente àqueles necessários para a finalidade de fornecer aos colaboradores, seus filhos e familiares elegíveis benefícios de seguro saúde. Para efetuar a coleta de informações relacionadas à criança e adolescente, sempre devemos obter a autorização formal de pelo menos um dos pais ou responsável legal através do consentimento informado e documentado. Esses dados podem eventualmente ser compartilhados com empresas terceiras para atender às finalidades descritas.

Adicionalmente a Pleno Saúde pode compartilhar dados pessoais de seus colaboradores, de colaboradores de fornecedores e de terceiros que prestam serviços a clientes, em razão de contratos celebrados com a empresa.

Fora dessas finalidades estes dados pessoais não devem ser tratados em nossa empresa.

Caso exista a necessidade de tratamento desses dados pessoais para uma nova finalidade, a empresa deve ser consultada e aprovada pelo DPO – encarregado, que providenciará sua descrição nessa política.

A Pleno Saúde orienta seus colaboradores a tratar os dados pessoais mínimos necessários para a prestação de serviços de qualidade e eficiência a nossos clientes, sem deixar de considerar os direitos e liberdades dos Titulares.

3.9) Tipos de Dados Pessoais

A Pleno Saúde mantém uma lista de registro sobre todos os tipos de Dados Pessoais tratados pela Empresa, contendo as seguintes informações:

• Área de Empresa – Área onde é executado o Tratamento;

• Processo – Nome do processo da área;

• Subprocesso – Processo secundário ao Processo;

• Descrição do Processo – Descrever com detalhes o processo e subprocesso;

• Tipo de Dado – Identificar se é Dado Pessoal ou Sensível, e, ainda, se é pertinente à criança ou adolescente;

• Categoria de Dados Pessoais –  Descrição  dos  tipos de dados, p. ex.: nome, CPF, endereço;

• Finalidade do Tratamento – Por qual motivo é feito o tratamento;
  

• Ações de Tratamento – Descrever a ação praticadas, p. ex.: coleta, armazenamento etc.;

• Meio – Identificar se o dado é digital, físico ou híbrido;

• Estado do Dado Pessoal– p. ex. anonimizado, criptografado, arquivo em texto claro, sem criptografia, indefinido ou não aplicável.

• Sistemas envolvidos – Descrever os sistemas utilizados no Tratamento;

• Infraestrutura– Identificar o local de armazenamento físico e digital dos Dados Pessoais;

• Pessoa responsável pelo processo – Identificação do responsável pelo processo;

• Compartilhamento com áreas ou pessoas internas – Identificação das pessoas ou área com as quais os dados são compartilhados;

• Compartilhamento externo (outro Controlador) – Identificar a entidade externa com a qual são compartilhados os Dados Pessoais;

• Agente de Tratamento – Identificar se o Tratamento é realizado pelo Controlador ou Operador;

• Base Legal – Informar a base legal usada para o Tratamento;

• Detalhe da Base Legal – Motivar a escolha da base legal;

• Categoria do Titular – Qual tipo de Titular no processo, p. ex. Colaborador, cliente etc.;

• Período de Retenção – Informar o período recomendado para a retenção dos dados pessoais;

• Justificativa da Retenção – O porquê do período de retenção;

• Recomendações – Qualquer recomendação focando a melhoria ou eliminação de qualquer risco identificado sobre o Tratamento.

Esse documento deverá ser mantido atualizado, com todos os tratamentos de dados pessoais, bem como, deve refletir qualquer alteração nos processos internos que tratam dados pessoais da empresa, na busca de garantir o atendimento aos requisitos legais da LGPD.

É responsabilidade de todos na empresa adequar esse mapa aos processos atualizados sobre cada tratamento executado, visando o fornecimento de uma gestão completa com todos os riscos atribuídos a esses tratamentos.

3.10) Treinamentos

A Pleno Saúde determina que todos os colaboradores sejam periodicamente treinados e capacitados para conhecer o programa de privacidade e de proteção de dados pessoais, alinhados as boas práticas de segurança da informação e privacidade.

Faz-se necessário que todos tenham conhecimento sobre as regras e controles definidos e aplicados para garantir a privacidade e proteção de dados pessoais, mas especificamente, e no mínimo, sobre:

• Conceitos gerais de privacidade e proteção de dados;
  
  
• A apresentação desta Política e de materiais de estudo prático sobre os princípios da LGPD;
  
  
• Conceitos específicos de Privacidade e Proteção de Dados, aplicados às atividades de cada área.
  
  

O Processo de integração de novos colaboradores deve garantir que eles recebam o treinamento necessário sobre os itens acima descritos para exercer suas funções na empresa.

Os colaboradores devem se comprometer a participar dos treinamentos, workshops, encontros e capacitações propostos pela empresa, para a ampliação da cultura de proteção de dados pessoais na empresa;

Os colaboradores cujas funções exigem o tratamento regular a dados pessoais, bem como, os responsáveis pela implementação desta política, têm o dever de participar de treinamentos adicionais para ajudá-los a entender suas obrigações e responsabilidades.

3.11) Privacy By Design e Privacy By Default

Todos os sistemas da Pleno Saúde devem ter como premissa a privacidade como requisito obrigatório; dessa forma, todo o processo de aquisição dos sistemas e produtos deve determinar e adotar controles e medidas para prevenir a ocorrência de danos aos titulares dos dados pessoais e deve estar focado na proteção dos dados pessoais e nos tratamentos que lhe são conferidos.

É mandatório que todos os projetos de novos sistemas e produtos na sua concepção até o momento de sua entrega, considerem e assegurem a privacidade e proteção dos dados pessoais.

A seguir, a Pleno Saúde informa os princípios relacionados a Privacy by Design que deverão ser considerados:

• Proativo, e não reativo e não corretivo – Deve antecipar e prevenir situações que comprometam a privacidade antes que ela aconteça e nunca depois do ocorrido;

• Privacidade como padrão – Todas as iniciativas devem utilizar o nível mais alto de proteção à privacidade como princípio padrão;

• Privacidade incorporada ao design – Deve ser incorporado na arquitetura de sistemas de TI, práticas de negócio e produtos e serviços, fazendo parte dos projetos como disciplina a ser avaliada e aprovados por todos;

• Funcionalidade total – Garantia da privacidade dos Dados Pessoais, sem comprometer as funcionalidades ou objetivos do produto ou serviço;

• Segurança de ponta a ponta – Proteção durante todo o ciclo de vida dos Dados Pessoais;

• Visibilidade e transparência – Garantia de transparência nos Tratamentos de Dados Pessoais, com geração de avisos adequados à finalidade dos Tratamentos;

• Respeito pela privacidade do usuário – Foco nos interesses dos Titulares, visando a garantia da privacidade dos Titulares e a proteção de seus Dados Pessoais.

Estas práticas envolvem, mas não se limitam, as seguintes medidas:

• Realizar uma Análise de Impacto de Privacidade, sempre que necessário;

• Assegurar as práticas de Segurança da Informação, em especial em escopos que incluam dados pessoais;

• Empreender os melhores esforços para adequar seus processos para proteção de Dados Pessoais;

• Alertar sobre situações de riscos em produtos e serviços que possam propiciar incidentes de violação de Dados Pessoais;

• Considerar adoção de indicadores, métricas e demais recursos para monitoramento;

• Implementar registros de processamento de Dados Pessoais, como trilhas de auditoria, em especial para os casos de: inclusão, alteração e exclusão destes Dados Pessoais, para fins de fiscalização ou apuração de responsabilidades em investigações sobre violação de Dados Pessoais;
  

• Adotar práticas de desenvolvimento seguro e análises de vulnerabilidades, quando se tratar de sistemas e demais soluções tecnológicas.
  
  

3.12) Retenção e Descarte

A LGPD determina a exclusão dos Dados Pessoais nas seguintes hipóteses:

• Verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada;
  
  
• Fim do período determinado para o Tratamento dos dados;
  
  
• Solicitação do Titular, inclusive no exercício de seu direito de revogação do consentimento; ou
  
  
• Determinação da ANPD, quando houver violação ao disposto na LGPD.

Dessa forma, todos os responsáveis pelos processos que envolvam tratamentos de dados pessoais devem mantê-los armazenados pelo menor período possível necessário, em observância ao princípio da necessidade, e somente pelo período necessário ao tratamento de acordo com suas finalidades estipuladas.

A Pleno Saúde por meio do mapa de dados, item 3.9 Mapeamento de Dados Pessoais deste documento, apresenta para cada processo e subprocesso as recomendações acerca do período legal durante o qual os dados pessoais devem ser mantidos, conforme descrito no campo “Período de retenção”. Cada gestor de área da empresa deverá verificar os prazos de retenção dos dados pessoais sob sua gestão e informar ao DPO – encarregado se está de acordo ou se precisa manter os dados pessoais por prazo adicional, justificando tal necessidade. O DPO – Encarregado deverá se manifestar pela validação, ou não, do prazo de retenção adicional, podendo para tanto consultar o jurídico.

Quando do vencimento do período de retenção, a recomendação da empresa é que seja efetuado o descarte, sendo certo que haverá situações de exceção, por exemplo, devido a legislações especificas a serem validadas no decorrer do processo. Como regra, entretanto, uma vez alcançado o prazo máximo de retenção, o gestor da área deve eliminar os dados pessoais, podendo contar com o apoio do DPO – Encarregado e de TI para tanto.

3.13) Incidentes de Privacidade

Todo ou qualquer evento que possa estar em desacordo com os pontos apresentados nesta Política pode ser considerado incidente de privacidade. Esses incidentes podem causar danos aos titulares dos dados pessoais ou violação da privacidade.

Todas as ações necessárias para a condução do tratamento desses incidentes estão descritas de forma organizada no documento “Procedimento de Tratamento de Incidentes de Privacidade e Segurança da Informação”, com indicações das ações necessárias para minimizar os impactos e danos desses incidentes.

De qualquer forma, qualquer falha identificada por nossos colaboradores, devem ser imediatamente comunicadas ao DPO – Encarregado por meio do e-mail privacidade@plenosaude.com.br relatando a ocorrência com o máximo possível de informações, permitindo que o plano seja ativado e os responsáveis pelo tratamento do incidente sejam acionados imediatamente e ações de comunicação sejam feitas de acordo com as definições do plano.

3.14) Fornecedores

Para garantir boas práticas na gestão da privacidade e proteção de dados, os fornecedores também necessitam executar todos os requisitos apresentados nesta Política.

Nenhum serviço oferecido à Pleno Saúde pode ser iniciado sem que os contratos sejam assinados, devendo estes conter as cláusulas de proteção de dados e privacidade, estabelecendo deveres e obrigações envolvendo a temática de privacidade e segurança dos dados, e atestando o compromisso dos terceiros com a LGPD e demais leis aplicáveis.

Os contratos que envolvam tratamento de dados pessoais deverão ser revisados e submetidos à aprovação do jurídico e do DPO – encarregado antes de serem firmados com terceiros.

No processo de avaliação dos fornecedores é recomendado que sejam apresentadas evidências sobre quais ações foram tomadas pelos fornecedores para se adequarem aos requisitos exigidos pela LGPD.

Deve existir um processo de validação contínua dos Fornecedores que irão operar Dados Pessoais em nome da Pleno Saúde, para garantir que todos os requisitos de proteção de dados e privacidade descritos nesta Política estejam adequados aos serviços ou produtos contratados.

3.15) Segurança da Informação e Monitoramento

Tendo em vista o compromisso da Pleno Saúde em zelar pelo tratamento adequado de dados pessoais para fins legítimos que possam ser objeto de suas atividades, a empresa realiza monitoramento de suas instalações e recursos corporativos, assim entendidos as contas de e- mails, o acesso à internet, à sistemas, softwares, aplicativos, equipamentos, entre outros recursos disponibilizados para que o colaborador possa desempenhar suas funções.

O e-mail corporativo é sua ferramenta de trabalho e, portanto, poderá ser rastreado, monitorado, gravado e/ou inspecionado, com objetivo de evitar riscos decorrentes de ataques externos e do mau uso da ferramenta.

Os colaboradores deverão utilizar os recursos de acesso à internet apenas para assuntos corporativos, sendo vedada a utilização para fins particulares, inclusive o acesso às redes sociais.

Para preservar esses recursos, a Pleno Saúde se reserva o direito de controlar e monitorar seus conteúdos e formas de utilização.

3.16) Sanções

O Colaborador que tomar conhecimento do descumprimento de alguma das regras desta política tem o dever de informar tal infração ao DPO – encarregado ou a seu superior direto.

Ademais, o descumprimento das regras e diretrizes impostas neste documento poderá ser considerado falta grave, passível de aplicação de sanções disciplinares.

3.17) Atualização da Política

Tendo em vista o compromisso da Pleno Saúde em zelar pelo tratamento adequado de dados pessoais para fins legítimos que possam ser objeto de suas atividades, a empresa realiza monitoramento de suas instalações e recursos corporativos, assim entendidos as contas de e- mails, o acesso à internet, à sistemas, softwares, aplicativos, equipamentos, entre outros recursos disponibilizados para que o colaborador possa desempenhar suas funções.