01Nosso compromisso
A Orelu, marca da EXD - Experiência e Desfecho Clínico Ltda, inscrita no CNPJ sob o nº 58.477.623/0001-30, com sede na Avenida Professor Chotei Kotinda, 799, Pena, Cafelândia – SP, CEP 16503-032, trata dados pessoais de saúde para ajudar instituições a coordenar o cuidado. Esta política descreve como cumprimos a Lei nº 13.709/2018 (LGPD) e a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD) em tudo o que fazemos — na plataforma, no site e na relação com clientes e fornecedores.
02Papéis: quem decide e quem executa
| Situação | Controlador | Papel da Orelu |
|---|---|---|
| Dados de pacientes e profissionais na plataforma contratada por um hospital | A instituição de saúde | Operadora (art. 39): trata os dados conforme as instruções da instituição |
| Contatos comerciais, visitantes do site e representantes de clientes | Orelu | Controladora (ver a Política de Privacidade) |
| Colaboradores e candidatos da Orelu | Orelu | Controladora |
Como operadora, a Orelu não usa dados de pacientes para finalidades próprias, não os vende e não os compartilha com terceiros fora do que o contrato com a instituição autoriza.
03Dados tratados na plataforma
O conjunto exato é definido com cada instituição, no escopo da integração. Tipicamente inclui:
- Identificação do paciente: nome, nome da mãe, data de nascimento e identificadores do sistema de origem.
- Dados de saúde (dados sensíveis, art. 5º, II): atendimentos, altas, diagnósticos, exames, laudos, agendamentos, alergias, medicamentos e etapas da jornada de cuidado.
- Profissionais da instituição: nome, e-mail institucional, perfil de acesso e registro das ações realizadas.
Seguimos o princípio da necessidade (art. 6º, III): só entram na Orelu os dados que servem para coordenar a próxima ação do cuidado.
04Bases legais
A definição da base legal cabe à instituição controladora. Para a coordenação do cuidado, a hipótese mais comum é a tutela da saúde, em procedimento realizado por profissionais de saúde ou serviços de saúde (art. 11, II, “f”). Podem se aplicar ainda o cumprimento de obrigação legal ou regulatória (art. 11, II, “a”) e a proteção da vida ou da incolumidade física (art. 11, II, “e”).
A Orelu não usa dados de saúde para seleção de riscos na contratação de planos ou para qualquer finalidade vedada pelo art. 11, §§ 4º e 5º, da LGPD.
05Como aplicamos os princípios da LGPD
- Finalidade e adequação: os dados servem à coordenação do cuidado definida pela instituição.
- Necessidade: avisos fora da plataforma levam apenas o código do paciente e um link; a IA recebe só o que a regra avaliada precisa.
- Qualidade: a plataforma sinaliza dados desatualizados e cadastros duplicados para revisão.
- Transparência: toda sugestão do Copiloto mostra a regra e os eventos de origem.
- Segurança e prevenção: cifragem com chave por paciente, controle de acesso por perfil e trilha de auditoria imutável (ver a Política de Segurança).
- Não discriminação: regras e agentes de IA passam por avaliação antes de entrar em uso.
- Responsabilização: registros de operações e evidências de conformidade mantidos e disponíveis à instituição.
06Direitos dos titulares
Pacientes e demais titulares têm os direitos previstos no art. 18 da LGPD: confirmação e acesso, correção, anonimização, bloqueio ou eliminação, portabilidade, informação sobre compartilhamento, revogação do consentimento quando ele for a base legal, e oposição.
Se você é paciente
Procure primeiro o hospital onde é atendido: ele é o controlador dos seus dados e decide sobre o pedido. A plataforma Orelu oferece à instituição um fluxo próprio para registrar, acompanhar e cumprir pedidos de titulares, com prazo de resposta de 15 dias e eliminação em duas etapas.
Se o pedido chegar diretamente à Orelu, nós o encaminhamos à instituição responsável em até 2 dias úteis e informamos você.
Demais titulares
Para dados em que a Orelu é controladora, escreva para privacidade@orelu.com.br.
07Retenção e eliminação
- Os prazos de retenção são definidos pela instituição, considerando as obrigações legais e regulatórias da área da saúde.
- A plataforma aplica a retenção configurada de forma automática e controlada, com lista de supressão para impedir que dados eliminados voltem por nova carga.
- A eliminação de dados identificáveis destrói a chave criptográfica do paciente, tornando os dados cifrados irrecuperáveis — inclusive em cópias de segurança.
- A trilha de auditoria guarda apenas o código do paciente, de modo que a prestação de contas continua possível sem manter dados identificáveis.
- Ao fim do contrato, os dados são devolvidos à instituição e eliminados dos ambientes da Orelu, conforme o art. 16 da LGPD e o que estiver acordado.
08Suboperadores
A Orelu conta com fornecedores para hospedagem em nuvem, envio de avisos e serviços de inteligência artificial. Cada um é avaliado quanto à segurança e à privacidade e assina obrigações equivalentes às nossas, incluindo a proibição de usar os dados para finalidade própria ou para treinar modelos.
A lista atualizada de suboperadores é parte do contrato com cada instituição, que é avisada antes da inclusão de um novo fornecedor.
09Transferência internacional
Damos preferência ao armazenamento de dados de pacientes em território nacional. Quando algum tratamento ocorrer fora do Brasil, ele só acontece com autorização da instituição controladora e com um dos mecanismos do art. 33 da LGPD, como as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024).
10Incidentes de segurança
Se ocorrer um incidente que possa acarretar risco ou dano relevante aos titulares, a Orelu comunica a instituição controladora sem demora injustificada, com a natureza dos dados afetados, os titulares envolvidos, as medidas tomadas e os riscos identificados. Isso permite que a instituição faça a comunicação à ANPD e aos titulares no prazo de 3 dias úteis previsto na Resolução CD/ANPD nº 15/2024. Quando a Orelu for a controladora, ela mesma faz essas comunicações.
11Apoio à instituição controladora
- Informações para o Relatório de Impacto à Proteção de Dados Pessoais (RIPD).
- Registro das operações de tratamento realizadas em nome da instituição (art. 37).
- Perfis de encarregado e de auditoria interna dentro da plataforma, com acesso à trilha e aos pedidos de titulares.
- Relatórios periódicos de acessos e revisões.
- Cooperação em auditorias e fiscalizações, nos termos do contrato.
12Encarregado pelo tratamento de dados
O encarregado pelo tratamento de dados pessoais da Orelu é [Nome do encarregado pelo tratamento de dados]. Contato: dpo@orelu.com.br. Ele recebe comunicações de titulares e da ANPD, orienta colaboradores e acompanha o cumprimento desta política.
Correspondência:
EXD - Experiência e Desfecho Clínico Ltda
Avenida Professor Chotei Kotinda, 799
Pena · Cafelândia – SP
CEP 16503-032
13Atualizações
Esta política é revisada ao menos uma vez por ano e sempre que houver mudança relevante no produto ou na regulamentação. A versão e a data de vigência estão no topo da página.