Conformidade com a LGPD

A Nutri.AI está comprometida com a conformidade integral à Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018 — LGPD). Reconhecemos a importância de proteger dados pessoais e, especialmente, dados sensíveis de saúde tratados em nossa plataforma.

Por atuar no setor de saúde, adotamos padrões elevados de proteção que vão além dos requisitos mínimos legais, garantindo que nutricionistas e seus pacientes possam confiar na segurança e na transparência do tratamento de dados realizado por meio de nossa plataforma.

A LGPD define papéis específicos para quem participa do tratamento de dados. No contexto da Nutri.AI, esses papéis estão distribuídos da seguinte forma:

A Nutri.AI reconhece que dados de saúde são classificados como Dados Pessoais Sensíveis pelo art. 5º, II da LGPD e, portanto, merecem proteção reforçada. Isso inclui:

• Dados de anamnese e histórico alimentar
• Medidas antropométricas e composição corporal
• Alergias, intolerâncias e patologias
• Planos alimentares e prescrições nutricionais
• Registros de evolução clínica

Bases legais utilizadas (art. 11):

• Consentimento específico e destacado (art. 11, I) — obtido pelo Nutricionista junto ao paciente.
• Tutela da saúde (art. 11, II, "f") — exclusivamente em procedimento realizado por profissional de saúde habilitado.

A Nutri.AI aplica os 10 princípios previstos no art. 6º da LGPD em todas as suas operações de tratamento de dados:

Implementamos um conjunto robusto de medidas técnicas para proteger os dados pessoais tratados em nossa plataforma:

• Criptografia: dados em trânsito protegidos por TLS/SSL e dados em repouso com criptografia AES-256.
• Controle de acesso: modelo RBAC (Role-Based Access Control) com princípio de menor privilégio.
• Autenticação segura: hashing de senhas com algoritmos robustos e suporte a autenticação por e-mail verificado.
• Monitoramento: logs de auditoria e monitoramento contínuo de acessos e operações.
• Testes de segurança: avaliações periódicas de vulnerabilidades e testes de penetração.
• Backups: cópias de segurança automatizadas com redundância geográfica e testes regulares de restauração.
• Resposta a incidentes: plano documentado e testado de resposta a incidentes de segurança.

Além das medidas técnicas, adotamos práticas organizacionais para garantir a proteção contínua dos dados:

• Treinamento periódico da equipe sobre proteção de dados e segurança da informação.
• Acordos de confidencialidade (NDA) com todos os colaboradores e prestadores de serviço.
• Política interna de segurança da informação documentada e revisada periodicamente.
• Revisão trimestral de acessos e permissões de todos os sistemas.
• Designação de Encarregado de Proteção de Dados (DPO) dedicado.

Conforme o art. 38 da LGPD, a Nutri.AI elabora e mantém atualizado o Relatório de Impacto à Proteção de Dados Pessoais (RIPD), especialmente por tratar dados sensíveis de saúde em escala.

O RIPD contempla:

• Descrição dos processos de tratamento de dados que podem gerar riscos aos titulares.
• Avaliação da necessidade e proporcionalidade do tratamento.
• Identificação e avaliação dos riscos às liberdades civis e direitos fundamentais.
• Medidas, salvaguardas e mecanismos de mitigação dos riscos identificados.

O RIPD está disponível para consulta da Autoridade Nacional de Proteção de Dados (ANPD) quando solicitado.

A Nutri.AI utiliza subprocessadores para viabilizar a prestação dos serviços. Todos os subprocessadores são selecionados com base em critérios rigorosos de segurança e proteção de dados, e estão vinculados por cláusulas contratuais que garantem:

• Tratamento de dados exclusivamente conforme as instruções da Nutri.AI.
• Implementação de medidas de segurança técnicas e administrativas adequadas.
• Notificação imediata em caso de incidentes de segurança.
• Eliminação ou devolução dos dados ao término da prestação do serviço.

A lista de categorias de subprocessadores inclui: provedores de infraestrutura em nuvem, serviços de IA, gateway de pagamento e ferramentas de comunicação.

Quando necessária, a transferência internacional de dados é realizada em conformidade com os arts. 33 a 36 da LGPD, adotando:

• Cláusulas contratuais padrão que asseguram proteção adequada.
• Preferência por provedores em países com nível de proteção reconhecido pela ANPD.
• Medidas técnicas complementares (criptografia, pseudonimização) para reforçar a proteção dos dados transferidos.

Conforme o art. 18 da LGPD, todo titular de dados pessoais pode exercer os seguintes direitos:

1. Confirmação da existência de tratamento de dados pessoais
2. Acesso aos dados pessoais tratados
3. Correção de dados incompletos, inexatos ou desatualizados
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade
5. Portabilidade dos dados a outro fornecedor de serviço ou produto
6. Eliminação dos dados pessoais tratados com consentimento do titular
7. Informação sobre entidades públicas e privadas com as quais houve compartilhamento
8. Informação sobre a possibilidade de não fornecer consentimento e suas consequências
9. Revogação do consentimento a qualquer momento

Em conformidade com o art. 48 da LGPD, em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Nutri.AI se compromete a:

• Notificar a ANPD em prazo razoável, informando a natureza dos dados afetados, os titulares envolvidos, as medidas técnicas de segurança utilizadas e as medidas adotadas para reverter ou mitigar os efeitos.
• Comunicar os titulares afetados diretamente, informando a natureza do incidente, os riscos envolvidos e as providências adotadas.
• Notificar os Nutricionistas (Controladores) cujos pacientes foram afetados, para que possam tomar as medidas cabíveis junto a seus titulares.
• Documentar integralmente o incidente, incluindo análise de causa raiz e plano de ação corretivo.

Em consonância com o art. 50 da LGPD, a Nutri.AI implementa um programa de governança em privacidade que inclui:

• Políticas e procedimentos internos documentados sobre proteção de dados.
• Auditorias internas periódicas de conformidade com a LGPD.
• Atualização contínua de medidas de segurança acompanhando o estado da arte tecnológico.
• Canal de comunicação dedicado para questões de privacidade.
• Registro das operações de tratamento de dados (art. 37).

Como Controlador dos dados de seus pacientes, o Nutricionista possui responsabilidades específicas perante a LGPD:

• Consentimento: obter consentimento específico e destacado de seus pacientes para o tratamento de dados sensíveis de saúde na plataforma, conforme art. 11, I.
• Informação: informar seus pacientes sobre as finalidades do tratamento, os dados coletados e os direitos que possuem como titulares.
• Licitude: assegurar que o tratamento de dados realizado por meio da plataforma está em conformidade com a legislação vigente.
• Menores: para pacientes menores de 18 anos, obter consentimento de pelo menos um dos pais ou responsável legal (art. 14).

Para dúvidas, solicitações ou comunicações relacionadas à proteção de dados:

Para reclamações não resolvidas, o titular pode apresentar petição à Autoridade Nacional de Proteção de Dados (ANPD).