Política de Privacidade e Proteção de Dados

1.1 Controlador Principal

1.2 Encarregado de Proteção de Dados (DPO)

1.3 Papel Dual: Controlador e Operador

A Symmetra atua em papel dual conforme LGPD:

• CONTROLADOR: Para dados de usuários/clínicas (cadastro, assinatura, pagamento);
• OPERADOR: Para dados de pacientes processados por clínicas usuárias.

2.1 Dados Pessoais de Usuários/Clínicas

2.2 Dados Pessoais Sensíveis de Pacientes

2.3 Dados Derivados e Processados

• • Análises Computacionais: Métricas de simetria e proporções
• • Relatórios Técnicos: Documentos gerados automaticamente
• • Simulações de IA: Comparativos antes/depois gerados
• • Metadados: Informações técnicas sobre processamento
• • Dados Agregados: Estatísticas anonimizadas para pesquisa

3.1 Finalidades Principais

3.2 Finalidades Secundárias

• • Melhoria de Algoritmos: Aperfeiçoamento de IA com dados anonimizados
• • Pesquisa e Desenvolvimento: Inovação em análise facial computacional
• • Marketing Direcionado: Comunicações relevantes (com opt-in)
• • Análise de Mercado: Inteligência comercial agregada
• • Auditoria e Compliance: Verificação de conformidade regulatória

3.3 Documentação de Bases Legais

Todas as bases legais são documentadas em Registro de Atividades de Tratamento detalhado, disponível para consulta pela ANPD e titulares mediante solicitação formal.

4.1 Compartilhamento Interno

Dados são compartilhados internamente apenas com colaboradores autorizados mediante:

• • Need-to-Know Basis: Acesso restrito ao mínimo necessário
• • Controles de Acesso: Autenticação multifator obrigatória
• • Treinamento LGPD: Capacitação anual em proteção de dados
• • Acordos de Confidencialidade: NDAs específicos para cada função
• • Auditoria de Acesso: Logs detalhados de todas as operações

4.2 Compartilhamento com Terceiros

Garantias: Todos os terceiros possuem DPAs (Data Processing Agreements) específicos e certificações de segurança adequadas.

4.3 Transferências Internacionais

4.4 Compartilhamento por Determinação Legal

Dados podem ser compartilhados com autoridades mediante:

• • Ordem judicial com fundamentação específica
• • Requisição de autoridades sanitárias competentes
• • Investigações criminais formalmente instauradas
• • Processos administrativos de conselhos profissionais
• • Notificação prévia ao titular sempre que legalmente possível

5.1 Criptografia e Proteção de Dados

5.2 Controles de Acesso e Autenticação

• • Autenticação Multifator (MFA): Obrigatória para todos os usuários
• • Single Sign-On (SSO): Integração com provedores corporativos
• • RBAC (Role-Based Access Control): Permissões granulares por função
• • Zero Trust Architecture: Verificação contínua de identidade
• • Session Management: Timeout automático e controle de sessões concorrentes
• • Biometria: Autenticação facial opcional para acesso móvel

5.3 Monitoramento e Detecção

5.4 Backup e Recuperação

• • Backup Incremental: A cada 4 horas com criptografia
• • Replicação Geográfica: 3 datacenters com sincronização
• • RPO (Recovery Point Objective): 4 horas máximo
• • RTO (Recovery Time Objective): 2 horas máximo
• • Testes de Recuperação: Mensais com documentação completa
• • Backup Imutável: Proteção contra ransomware

5.5 Testes e Validações de Segurança

• • Penetration Testing: Trimestral por empresas especializadas
• • Vulnerability Assessment: Scans automatizados semanais
• • Red Team Exercises: Simulações anuais de ataques
• • Code Review: Análise estática e dinâmica de código
• • Compliance Audits: Auditorias anuais por terceiros independentes

6.1 Política de Retenção por Categoria

6.2 Processo de Eliminação Segura

6.3 Automatização e Governança

• • Data Lifecycle Management: Políticas automatizadas por categoria
• • Alertas de Vencimento: Notificações 30 dias antes da eliminação
• • Workflow de Aprovação: Processo formal para extensões
• • Relatórios de Conformidade: Dashboards executivos mensais
• • Revisão Anual: Atualização de políticas conforme evolução legal

7.1 Direitos Fundamentais Garantidos (LGPD Art. 18)

7.2 Canal de Exercício de Direitos

7.3 Processo de Atendimento

• 1. Recebimento: Solicitação registrada com protocolo único
• 2. Validação: Verificação de identidade em 24 horas
• 3. Análise: Avaliação técnica e jurídica da solicitação
• 4. Execução: Implementação da solicitação procedente
• 5. Comunicação: Resposta formal ao titular
• 6. Acompanhamento: Verificação de satisfação

7.4 Prazos e Limitações

• • Prazo Padrão: 15 dias corridos conforme LGPD Art. 19
• • Prorrogação: Até 15 dias adicionais em casos complexos
• • Limitações Legais: Segredo comercial, proteção de terceiros
• • Custos: Gratuito; taxas apenas para solicitações manifestamente infundadas
• • Recurso: Escalação para DPO em caso de discordância

8.1 Tipos de Cookies Utilizados

8.2 Gestão de Consentimento

Implementamos Consent Management Platform (CMP) certificada IAB TCF v2.0:

• • Granularidade: Consentimento específico por finalidade
• • Withdraw: Revogação simples a qualquer momento
• • Demonstração: Proof of consent com timestamp
• • Atualização: Re-consent automático para mudanças materiais
• • Integração: API com todos os sistemas de marketing

8.3 Tecnologias Alternativas

• • Local Storage: Armazenamento local para dados não sensíveis
• • Session Storage: Dados temporários da sessão atual
• • Web Beacons: Pixels 1x1 para tracking de emails
• • Fingerprinting: NÃO utilizado em conformidade com LGPD
• • Server-side Tracking: Alternativa privacy-first implementada

8.4 Controles do Usuário

9.1 Definição de Incidente de Segurança

Considera-se incidente qualquer evento que comprometa:

• • Confidencialidade: Acesso não autorizado a dados pessoais
• • Integridade: Modificação indevida de informações
• • Disponibilidade: Impedimento de acesso legítimo aos dados
• • Autenticidade: Comprometimento de identidades ou certificados

9.2 Processo de Resposta a Incidentes

9.3 Notificação à ANPD

Conforme LGPD Art. 48, notificaremos a ANPD em até 72 horas quando:

• • Incidente apresentar risco relevante aos direitos dos titulares
• • Dados sensíveis estiverem envolvidos
• • Volume significativo de dados for comprometido (>1000 titulares)
• • Houver possibilidade de danos materiais ou morais

9.4 Comunicação aos Titulares

9.5 Lições Aprendidas e Melhoria Contínua

• • Post-Mortem: Análise detalhada de cada incidente
• • Documentação: Registro completo para auditoria
• • Treinamento: Capacitação baseada em casos reais
• • Atualizações: Melhoria de controles e processos
• • Testes: Simulações regulares de incidentes

10.1 Certificações de Segurança

10.2 Auditorias e Avaliações

• • Auditoria LGPD: Anual por escritório especializado
• • DPIA (Data Protection Impact Assessment): Para novos processamentos
• • Privacy by Design Assessment: Avaliação em desenvolvimento
• • Vendor Risk Assessment: Avaliação de fornecedores
• • Compliance Monitoring: Monitoramento contínuo automatizado

10.3 Treinamento e Conscientização

10.4 Governança de Privacidade

• • Comitê de Privacidade: Reuniões mensais executivas
• • Data Protection Officer (DPO): Dedicação exclusiva
• • Privacy Champions: Representantes por área
• • Políticas Internas: 15 políticas específicas
• • Métricas e KPIs: Dashboard executivo em tempo real

11.1 Processo de Atualização

Esta Política de Privacidade pode ser atualizada mediante:

• • Mudanças Legais: Novas regulamentações ou decisões judiciais
• • Evolução Tecnológica: Implementação de novas funcionalidades
• • Melhores Práticas: Adoção de padrões mais rigorosos
• • Feedback de Usuários: Sugestões de melhoria
• • Auditorias: Recomendações de conformidade

11.2 Notificação de Mudanças

11.3 Versionamento e Histórico

• • Controle de Versão: Numeração semântica (Major.Minor.Patch)
• • Changelog: Registro detalhado de todas as mudanças
• • Arquivo Histórico: Versões anteriores disponíveis por 5 anos
• • Comparativo Visual: Diff tool para visualizar alterações
• • Data de Vigência: Implementação gradual com período de transição

11.4 Aceite e Consentimento

• • Mudanças Menores: Continuidade de uso implica aceite
• • Mudanças Materiais: Consentimento explícito obrigatório
• • Opt-out: Cancelamento sem ônus para mudanças substanciais
• • Granularidade: Aceite específico por funcionalidade
• • Documentação: Registro de todos os consentimentos