MB Spine

Política de Privacidade

Versão 2026-09-02

1. Papéis no tratamento de dados (LGPD)

A instituição de saúde (consultório ou clínica) que utiliza o MB Spine é a controladora dos dados de seus pacientes: é ela quem decide as finalidades do tratamento no contexto do cuidado. O MB Spine atua como operador: trata os dados em nome da instituição, exclusivamente para prestar o serviço de prontuário eletrônico e gestão.

2. Dados tratados

De usuários (profissionais e equipe): nome, e-mail, telefone, CPF, registro em conselho de classe (CRM/RQE), especialidades e registros de uso do sistema (trilha de auditoria).

De pacientes: dados cadastrais (nome, CPF, RG, nascimento, sexo, contato, endereço, convênio) e dados de saúde — evoluções clínicas, diagnósticos (CID), documentos emitidos (receitas, atestados, laudos, encaminhamentos), agendamentos e anexos de exames. Dados de saúde são dados pessoais sensíveis (art. 5º, II, da LGPD).

3. Finalidades e bases legais

• Registro clínico e cuidado do paciente — tutela da saúde, em procedimento realizado por profissional de saúde (art. 11, II, “f”).
• Guarda do prontuário — cumprimento de obrigação legal e regulatória (art. 11, II, “a”; normas do CFM).
• Gestão administrativa e financeira do consultório — legítimo interesse e execução de contrato.
• Conta de usuário e segurança do sistema — execução de contrato e prevenção à fraude.

Não vendemos dados. Não usamos dados de pacientes para publicidade.

4. Como protegemos

• Isolamento por instituição: cada clínica só acessa os próprios dados, garantido em nível de banco de dados, não apenas de tela.
• Controle por papéis: equipe administrativa não acessa dados clínicos.
• Prontuário íntegro: registros finalizados são imutáveis (para corrigir, a evolução é cancelada com motivo — continua legível — e uma nova é escrita); nada é excluído fisicamente.
• Trilha de auditoria: criações, alterações e acessos a prontuário são registrados (autor e data/hora), sem conteúdo clínico na trilha.
• Criptografia em trânsito (HTTPS), senhas com hash forte e barreira contra senhas já expostas em vazamentos, sessões encerradas por inatividade e cópias de segurança diárias criptografadas.

5. Compartilhamento e suboperadores

Os dados são armazenados em infraestrutura de nuvem contratada (Supabase — banco de dados, autenticação e armazenamento de anexos), que atua como suboperadora, podendo haver transferência internacional de dados nos termos do art. 33 da LGPD. Não há compartilhamento com terceiros para fins comerciais. Dados podem ser fornecidos quando exigido por obrigação legal ou ordem de autoridade competente.

6. Retenção

Prontuários são conservados pelo prazo exigido pela regulamentação do CFM e pela legislação aplicável (referência: 20 anos a contar do último registro). Dados de conta de usuário são mantidos enquanto a conta existir e pelo prazo necessário à responsabilização legal.

7. Direitos dos titulares

Pacientes podem solicitar à instituição de saúde (controladora): confirmação de tratamento, acesso, cópia do prontuário, correção de dados cadastrais e os demais direitos do art. 18 da LGPD — observado que o prontuário, por sua natureza e por obrigação legal, não é passível de exclusão. As solicitações devem ser feitas diretamente ao consultório, pelos seus canais de atendimento.

8. Incidentes

Incidentes de segurança com risco relevante aos titulares serão comunicados à instituição controladora e, quando exigido, à ANPD e aos titulares, nos termos do art. 48 da LGPD.

9. Alterações

Alterações relevantes desta Política exigem novo aceite dos usuários no próximo acesso ao sistema. A versão vigente é identificada pela data no topo desta página. Dúvidas sobre esta Política podem ser tratadas pelos canais de atendimento da instituição de saúde. Ver também os Termos de Uso.