Política de Segurança da Informação

01Objetivo e alcance

Esta política estabelece os princípios e controles que a EXD - Experiência e Desfecho Clínico Ltda, inscrita no CNPJ sob o nº 58.477.623/0001-30, com sede na Avenida Professor Chotei Kotinda, 799, Pena, Cafelândia – SP, CEP 16503-032 (“Orelu”), adota para proteger a confidencialidade, a integridade e a disponibilidade das informações que trata — em especial dados de saúde de pacientes das instituições que contratam a plataforma.

Ela se aplica a sócios, colaboradores, prestadores de serviço e fornecedores com acesso a informações ou sistemas da Orelu, e a todos os ambientes: desenvolvimento, homologação e produção.

Nossa referência são as boas práticas das normas ABNT NBR ISO/IEC 27001 e 27701, a LGPD e as orientações da ANPD.

02Princípios

• Segurança desde o primeiro dado. Controles de acesso, auditoria e minimização valem desde o início de cada projeto, não como etapa final.
• Menor privilégio. Cada pessoa e cada sistema acessa apenas o necessário para a sua função.
• Ninguém amplia acesso sozinho. Decisões que aumentam acesso a dados exigem uma segunda aprovação.
• Tudo deixa rastro. Ações sobre dados geram registros imutáveis e verificáveis.
• A IA recomenda, não executa. Nenhuma ação sugerida por inteligência artificial acontece sem confirmação humana.

03Governança e responsabilidades

A direção da Orelu aprova esta política e garante os recursos para cumpri-la. Um responsável por segurança da informação coordena sua aplicação, a gestão de riscos e a resposta a incidentes, em conjunto com o encarregado pelo tratamento de dados.

Todo colaborador e prestador assina termo de confidencialidade, recebe orientação de segurança e privacidade ao ingressar e periodicamente, e deve comunicar imediatamente qualquer suspeita de incidente.

04Identidade e controle de acesso

• Entrada na plataforma pelo provedor de identidade da instituição (acesso único), com autenticação em múltiplos fatores.
• Perfis de acesso por função, definidos com cada instituição, com segregação de funções.
• Concessões que ampliam acesso exigem segunda aprovação; perfis de supervisão não são retirados por decisão de uma só pessoa.
• Revisão periódica dos acessos concedidos, com registro de quem revisou e do resultado.
• Bloqueio de emergência com duração limitada, rastreado e sem renovação sucessiva pelo mesmo autor.
• Acessos revogados no desligamento ou na mudança de função.

05Criptografia e proteção dos dados

• Dados em trânsito protegidos por TLS em todas as conexões externas.
• Dados identificáveis de pacientes — como nome, nome da mãe, diagnóstico e texto livre — cifrados com uma chave própria por paciente. Eliminar os dados de um paciente significa destruir a sua chave.
• Buscas feitas sobre resumos criptográficos, sem expor o dado original.
• Chaves mantidas em serviço gerenciado de chaves, separadas dos dados que protegem.
• Ambientes de desenvolvimento e teste usam apenas dados sintéticos — nunca dados reais de pacientes.

06Registro e auditoria

Toda ação de usuário sobre a jornada de um paciente gera um evento imutável. A trilha de auditoria é encadeada e protegida por assinatura criptográfica, o que permite detectar qualquer alteração ou remoção.

• Registros identificam o paciente apenas por código, nunca por nome.
• Consultas a listas de pacientes também são registradas.
• Exportações de dados têm limite e ficam registradas.
• A instituição tem acesso à sua trilha por perfil de auditoria próprio.

07Desenvolvimento seguro

• Requisitos de segurança e privacidade definidos junto com os requisitos funcionais.
• Revisão de código e testes automatizados que cobrem os controles de segurança.
• Monitoramento de vulnerabilidades em dependências e atualização em prazo proporcional à gravidade.
• Configuração que recusa iniciar em produção sem os requisitos mínimos de segurança (como HTTPS, chaves distintas e provedor de identidade).
• Ambientes segregados e implantação controlada, com registro de cada versão publicada.
• Teste de invasão por terceiro independente antes da entrada em produção e periodicamente.

08Uso de inteligência artificial

• O Copiloto sugere ações; um profissional confirma, ajusta ou descarta.
• O modelo devolve apenas categoria, regra e eventos de origem; o texto exibido é montado pela plataforma, o que reduz o risco de conteúdo indevido.
• O modelo recebe o mínimo de dados necessário para a regra avaliada.
• Novos agentes de IA passam por avaliação com conjunto de testes, exigem segunda aprovação para entrar em uso e podem ser desligados a qualquer momento.
• Fornecedores de IA são contratados com proibição de usar os dados para treinar modelos próprios.

09Fornecedores e infraestrutura

Fornecedores com acesso a dados (como nuvem, e-mail e IA) passam por avaliação de segurança e privacidade e assinam obrigações contratuais equivalentes às desta política. A infraestrutura de produção usa provedores de nuvem com certificações reconhecidas de segurança, cópias de segurança cifradas e testes periódicos de recuperação.

10Gestão de incidentes

Mantemos um processo de resposta a incidentes com etapas de detecção, contenção, análise, correção e aprendizado.

Quando um incidente envolver dados pessoais tratados em nome de uma instituição de saúde, a Orelu comunica a instituição sem demora injustificada, com as informações disponíveis, para que ela possa avaliar a comunicação à ANPD e aos titulares nos prazos da regulamentação (Resolução CD/ANPD nº 15/2024). Quando a Orelu for a controladora, ela própria faz essas comunicações.

11Divulgação responsável de vulnerabilidades

Se você encontrou uma possível vulnerabilidade na Orelu, escreva para seguranca@orelu.com.br com a descrição e os passos para reproduzi-la. Respondemos o recebimento em até 3 dias úteis.

Pedimos que você:

• não acesse, altere ou guarde dados de terceiros além do mínimo para demonstrar o problema;
• não execute testes que degradem o serviço, nem engenharia social com nossa equipe ou clientes;
• nos dê prazo razoável para corrigir antes de divulgar publicamente.

Não tomaremos medidas legais contra quem agir de boa-fé dentro dessas condições.

12Descumprimento e revisão

O descumprimento desta política sujeita o responsável às medidas disciplinares e contratuais cabíveis. A política é revisada ao menos uma vez por ano, ou antes, se houver mudança relevante no produto, nos riscos ou na legislação.