Política de privacidade
Última atualização: 28/10/2026
Esta política explica como o MHS — Moreira Health Systems trata dados pessoais, em conformidade com a Lei nº 13.709/2018 (LGPD). O MHS trata dados de saúde, classificados como dados pessoais sensíveis, e adota medidas compatíveis com esse grau de proteção.
1. Papéis no tratamento
| Situação | Controladora | Operadora |
|---|---|---|
| Dados de pacientes da clínica | A clínica contratante | MHS |
| Dados cadastrais da contratante e faturamento | MHS | — |
| Dados de visitantes do site | MHS | — |
2. Dados tratados
2.1 Da clínica contratante
- Identificação: razão social, CNPJ, endereço, telefone, e-mail.
- Dados dos usuários do sistema: nome, e-mail, telefone, perfil de acesso e registros de acesso (data, hora e IP).
- Dados de pagamento: valor, data e identificador da transação PIX. Não armazenamos dados de cartão.
2.2 De pacientes (inseridos pela clínica)
- Identificação e contato, incluindo responsáveis legais.
- Dados de saúde: anamnese, evolução clínica, diagnósticos, prescrições, exames e anexos.
- Dados de convênio, financeiros e fiscais relativos aos atendimentos.
- Histórico de comunicação (confirmações, lembretes e mensagens).
3. Bases legais
- Tutela da saúde (art. 11, II, "f"): tratamento de dados de saúde realizado por profissionais de saúde ou serviços de saúde.
- Execução de contrato (art. 7º, V): prestação do serviço à clínica contratante.
- Cumprimento de obrigação legal (art. 7º, II): guarda de prontuário, obrigações fiscais e contábeis.
- Consentimento (art. 7º, I e art. 11, I): comunicações de marketing, uso de imagem e transcrição por IA — sempre específicos e revogáveis.
- Legítimo interesse (art. 7º, IX): segurança da plataforma e prevenção a fraudes.
4. Compartilhamento
Dados são compartilhados apenas quando necessário à prestação do serviço:
- Supabase — infraestrutura de banco de dados e armazenamento.
- Banco Inter — processamento de cobranças PIX.
- Provedores de NFS-e e prefeituras — emissão de notas fiscais de serviço.
- Receita Federal — Receita Saúde e DMED, quando aplicável.
- Operadoras de saúde — faturamento TISS, conforme autorização da clínica.
- Provedores de mensageria — envio de confirmações e lembretes.
Não vendemos, alugamos nem cedemos dados pessoais para fins publicitários de terceiros.
5. Segurança da informação
- Criptografia em trânsito (TLS) e em repouso.
- Isolamento por clínica aplicado no próprio banco de dados (Row Level Security): um usuário não alcança dados de outra clínica mesmo em caso de falha na aplicação.
- Controle de acesso por perfil e permissões granulares.
- Autenticação em dois fatores disponível para todos os usuários.
- Registro de todo acesso a prontuário, com usuário, data, hora, ação e IP.
- Trilha de auditoria completa das operações do sistema.
- Backups automáticos com retenção e testes periódicos de restauração.
6. Retenção
| Dado | Prazo | Fundamento |
|---|---|---|
| Prontuário do paciente | 20 anos a contar do último registro | Res. CFM nº 1.821/2007 |
| Documentos fiscais | 5 anos | Legislação tributária |
| Logs de acesso | 6 meses (mínimo legal), até 12 meses | Marco Civil da Internet |
| Dados de marketing | Até a revogação do consentimento | LGPD, art. 8º, §5º |
7. Direitos do titular
O titular pode, a qualquer momento, solicitar:
- confirmação da existência de tratamento e acesso aos dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
- portabilidade a outro fornecedor;
- informação sobre compartilhamentos realizados;
- revogação do consentimento.
Solicitações relativas a dados de pacientes devem ser dirigidas à clínica responsável, que é a controladora desses dados; o MHS oferece as ferramentas para atendê-las dentro do prazo legal de 15 dias. Para dados sob controle da MHS, escreva para privacidade@mhs.lenitech.com.br.
8. Apoio de inteligência artificial
Recursos de transcrição de consulta e rascunho de evolução clínica só são ativados mediante consentimento específico e registrado do paciente. O conteúdo gerado é sempre um rascunho, sujeito à revisão e assinatura do profissional responsável. O consentimento pode ser revogado a qualquer momento.
9. Cookies
O site institucional usa apenas cookies essenciais: sessão de navegação, proteção contra CSRF e preferência de tema (claro/escuro). Não utilizamos cookies de rastreamento publicitário.
10. Incidentes de segurança
Incidentes que possam acarretar risco relevante aos titulares são comunicados à ANPD e aos titulares afetados em prazo razoável, com descrição dos dados envolvidos, riscos e medidas adotadas. Todo incidente é registrado no sistema com plano de contenção e responsável.
11. Encarregado (DPO)
Contato do encarregado pelo tratamento de dados: dpo@mhs.lenitech.com.br.