Política de Privacidade e Proteção de Dados
Versão 2.1 • Atualizada em 29 de setembro de 2026 • Em conformidade com a LGPD (Lei nº 13.709/2018), Lei do Prontuário Eletrônico (Lei nº 13.787/2018) e Resoluções CFM nº 1.821/2007 e 2.314/2022.
A GERCIA estabelece em cláusula pétrea que jamais comercializa, licencia, aluga ou compartilha prontuários médicos, prescrições terapêuticas, fórmulas magistrais ou dados de pacientes com a indústria farmacêutica, seguradoras, operadoras de planos de saúde ou corretores de publicidade. Os dados clínicos pertencem exclusivamente ao paciente, sob custódia legal do profissional ou clínica responsável.
1.Identificação Institucional e Escopo
Esta Política de Privacidade regulamenta o tratamento de dados pessoais realizado pela GERCIA ENGENHARIA DE SOFTWARE LTDA., sociedade empresária limitada devidamente inscrita no CNPJ sob o nº 67.539.717/0001-87, com sede na Av. Cristóvão Colombo, 2144, Sala 408, Floresta, Porto Alegre/RS, CEP: 90560-001.
O presente instrumento aplica-se a todos os domínios, plataformas, agentes e ecossistemas operados pela GERCIA, incluindo:
- O website institucional público (gercia.com.br);
- O portal SaaS para clínicas, policlínicas, consultórios e farmácias magistrais (app.gercia.com.br);
- O aplicativo móvel para acompanhamento do cuidado e assinatura digital biométrica (GERCIA Care™ / care.gercia.com.br);
- O agente local de automação de bancadas, balanças e rotulagem térmica (GERCIA Hub™).
2.Diferenciação de Papéis na LGPD (Controlador vs. Operador)
Para fins da Lei Geral de Proteção de Dados Pessoais (Lei Federal nº 13.709/2018), a GERCIA opera sob duas naturezas jurídicas estritamente delineadas:
No processamento e na custódia digital de prontuários eletrônicos, prescrições médicas, evoluções clínicas e dados de pacientes inseridos na plataforma pelos profissionais credenciados. Neste contexto, os médicos, clínicas e farmácias magistrais atuam como Controladores soberanos dos dados de seus pacientes.
Estritamente em relação aos dados cadastrais, financeiros e de autenticação dos próprios profissionais e pessoas jurídicas contratantes da plataforma (para emissão de notas fiscais, faturamento, controle de assinaturas, autenticação segura e suporte técnico).
3.Categorias de Dados e Bases Legais de Tratamento
A GERCIA realiza o tratamento de dados estritamente respaldado nas hipóteses dos Artigos 7º e 11 da LGPD:
- Dados Cadastrais de Profissionais Credenciados: Nome civil completo, CPF, e-mail profissional, número de telefone celular, número de registro profissional competente (CRM, CRO, CREFITO, CRN ou CRF) e UF de exercício. (Base legal: Execução de contrato — Art. 7º, V; e cumprimento de obrigação legal e regulatória sanitária — Art. 7º, II).
- Dados de Certificação Digital ICP-Brasil: Certificados digitais de padrão ICP-Brasil (PAdES padrão DOC-ICP-15) utilizados para assinatura qualificada de prontuários, prescrições e laudos. A GERCIA não armazena senhas (PIN/PUK) nem chaves privadas A3 sob custódia de hardware externo. (Base legal: Cumprimento de obrigação legal — MP 2.200-2/2001 e CFM Res. 1.821/2007).
- Dados Sensíveis de Saúde de Pacientes: Histórico clínico, diagnósticos (CID/CIAP), prescrições terapêuticas, registros de fórmulas magistrais manipuladas, exames laboratoriais, consentimentos para telemedicina (TCLE) e evoluções clínicas. (Base legal: Tutela da saúde em procedimento realizado por profissionais e serviços de saúde — Art. 11, II, "f"; e obrigação legal de guarda de prontuário — Art. 11, II, "a").
- Dados de Conexão e Auditoria Técnica: Endereço IP, data e hora de cada requisição, identificador de dispositivo e trilha de auditoria digital imutável de cada visualização de prontuário e ato de dispensação. (Base legal: Cumprimento do Marco Civil da Internet — Art. 15 da Lei nº 12.965/2014).
4.Política Zero Rastreadores Invasivos (Cookies Éticos)
Diferente de plataformas convencionais que monetizam o tráfego de usuários, a GERCIA adota uma política restrita de Zero Rastreamento Invasivo:
Não instalamos pixels de rastreamento publicitário (como Meta Pixel, TikTok Ads ou Google Remarketing invasivo) em nossas páginas. A sua navegação e as páginas institucionais ou especialidades médicas que você visita jamais são compartilhadas com redes de leilão de mídia em tempo real.
Utilizamos exclusivamente cookies estritamente necessários para autenticação de sessão, preferências locais de tema visual e métricas agregadas anônimas (Cloudflare Web Analytics, operando sem coleta de IP ou perfil individual de navegação).
5.Prazos de Retenção e Guarda Regulatória Sanitária
O armazenamento de informações no ecossistema GERCIA observa estritamente os prazos fixados pela legislação sanitária e regulatória brasileira:
| Categoria de Registro | Prazo de Retenção | Fundamento Legal / Sanitário |
|---|---|---|
| Prontuários Médicos e Odontológicos (PEP) | Mínimo de 20 anos | Lei Federal nº 13.787/2018 e Res. CFM nº 1.821/2007 |
| Livros e Balanços de Medicamentos Controlados | Mínimo de 5 anos | Portaria SVS/MS nº 344/98 e RDC ANVISA nº 67/2007 |
| Logs de Conexão a Aplicações Web/API | 6 meses | Marco Civil da Internet (Lei nº 12.965/2014, Art. 15) |
| Documentos Fiscais e Contratuais SaaS | 5 anos | Código Tributário Nacional e Código Civil Brasileiro |
Ao término do prazo regulatório ou mediante requerimento legal cabível, os dados são descartados de forma irreversível por meio de métodos de sobrescrita e sanitização criptográfica segura.
6.Arquitetura de Segurança, Isolamento e Criptografia
A infraestrutura da GERCIA foi projetada sob o princípio de Security and Privacy by Design, empregando salvaguardas tecnológicas avançadas:
- Isolamento Multitenant no Banco de Dados: Aplicação rigorosa de Row-Level Security (RLS) no PostgreSQL, garantindo que nenhum tenant ou clínica consiga acessar registros pertencentes a outra instituição, mesmo em nível de banco de dados.
- Criptografia Ponta a Ponta: Todas as comunicações utilizam TLS 1.3 de última geração e certificados com validação bilateral mTLS (Mutual TLS) entre microsserviços internos. Dados em repouso são protegidos por criptografia de nível militar AES-256.
- Topologia Zero-Trust: Nenhum servidor ou banco de dados possui portas expostas diretamente para a internet pública. O tráfego externo é canalizado exclusivamente por Cloudflare Tunnels sob proteção WAF e mitigação de DDoS.
- Soberania Geográfica dos Servidores: Hospedagem primária localizada em datacenters Tier III no Brasil (Google Cloud Platform - São Paulo/SP), em total conformidade com a soberania nacional de dados de saúde e a LGPD.
- Trilha de Auditoria Imutável (Audit Trail): Cada consulta, alteração ou emissão de documento clínico gera um registro criptográfico assinado contendo timestamp oficial UTC, identificação do operador e IP de origem.
7.Direitos dos Titulares de Dados Pessoais
Em conformidade com o Artigo 18 da LGPD, os titulares de dados pessoais podem exercer perante a GERCIA (ou por intermédio dos respectivos controladores clínicos):
- Confirmação da existência de tratamento e acesso aos dados pessoais;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
- Portabilidade dos dados em formatos estruturados e interoperáveis (CSV, JSON, PDF);
- Informações sobre entidades públicas e privadas com as quais houve compartilhamento legal.
Nota regulatória sobre exclusão de prontuários: Em estrita consonância com o Artigo 16, inciso I da LGPD, o direito de eliminação de dados de saúde de pacientes é limitado pelos prazos legais imperativos de custódia sanitária estabelecidos pelo CFM (20 anos) e ANVISA (5 anos), prevalecendo a obrigação legal de guarda sobre o pedido de exclusão prematura.
8.Encarregado pelo Tratamento de Dados (DPO) e Canal Oficial
Para exercer qualquer dos seus direitos ou esclarecer dúvidas a respeito do tratamento de dados pessoais, o titular ou seu representante legal pode entrar em contato diretamente com o nosso Encarregado de Proteção de Dados (DPO):
E-mail exclusivo para solicitações regulatórias, requisições de titulares e notificações da ANPD:
Prazo de resposta formal: em até 15 (quinze) dias, contados da data do requerimento devidamente instruído, conforme regulamentação da ANPD.
9.Legislação Aplicável e Foro de Eleição
Esta Política de Privacidade é regida e interpretada em estrita conformidade com as leis da República Federativa do Brasil, em especial a Lei Federal nº 13.709/2018 (LGPD), a Lei Federal nº 12.965/2014 (Marco Civil da Internet) e as normas regulamentares dos conselhos profissionais de saúde.
Para dirimir quaisquer controvérsias oriundas deste instrumento que não possam ser solucionadas amigavelmente pelo canal do DPO, fica expressamente eleito o Foro da Comarca de Porto Alegre, Estado do Rio Grande do Sul, com exclusão e renúncia a qualquer outro, por mais privilegiado que seja.