Privacidade

1. Quem somos e o que é a eliz

A V-LIFE LTDA, inscrita no CNPJ sob o nº 60.074.289/0001-15, com sede em Florianópolis, Santa Catarina, desenvolve e opera a eliz (eliz.health), plataforma de jornada digital do paciente e de gestão do fluxo de exames, licenciada a instituições de saúde como clínicas de diagnóstico por imagem e hospitais.

A eliz é contratada pela instituição de saúde, e não pelo paciente. O paciente interage com a plataforma por canais da própria instituição, principalmente WhatsApp e o portal de resultados, sob a identidade visual e as regras da instituição que o atende.

A plataforma atua em duas etapas do fluxo de exames:

• Antes do exame: agendamento, confirmação de agenda, envio de orientações de preparo, reagendamento e cancelamento, atendimento a dúvidas operacionais e coleta de cadastro, convênio e documentos para o check-in.
• Depois do exame: revisão automatizada do laudo emitido pelo médico com apontamento de inconsistências, sinalização de achados que exigem comunicação urgente à equipe da instituição, disponibilização de laudo e imagens ao paciente e aferição de satisfação.

A eliz não presta serviço médico e não se dirige ao paciente com explicação, interpretação ou orientação clínica sobre exames, sintomas ou condições de saúde.

2. A quem esta Política se aplica

Esta Política descreve como a V-Life trata dados pessoais na operação da eliz. Ela se soma, e não substitui, ao aviso de privacidade da instituição de saúde contratante, que é quem mantém a relação direta com o titular dos dados.

3. Papéis no tratamento

Controladora: a instituição de saúde contratante. Define as finalidades e as bases legais do tratamento, quais dados entram na plataforma e por quanto tempo permanecem.

Operadora: a V-Life. Trata os dados exclusivamente sob instruções documentadas da instituição, nos limites do contrato firmado entre as partes.

A V-Life atua como Controladora apenas quanto aos dados de seus próprios contatos comerciais e dos usuários administrativos que acessam os painéis da plataforma.

4. Dados tratados

A composição exata depende dos módulos contratados e do que a instituição decide enviar à plataforma. Em um contrato completo, as categorias são:

5. Finalidades do tratamento

• Executar as funcionalidades contratadas pela instituição de saúde, listadas na seção 1.
• Comunicar o paciente sobre seu agendamento, preparo, resultado e satisfação, em nome da instituição.
• Apoiar a equipe da instituição na revisão de laudos e na comunicação de achados que exigem conduta imediata.
• Gerar indicadores operacionais e de qualidade para a instituição.
• Garantir a segurança da plataforma, investigar incidentes e prevenir fraude e uso indevido.
• Cumprir obrigações legais, regulatórias e ordens de autoridade competente.

Os dados de pacientes não são utilizados para publicidade, para formação de perfis comerciais nem são comercializados sob qualquer forma.

6. Bases legais

A definição da base legal cabe à instituição controladora. Em regra, aplicam-se:

• Dados pessoais comuns: execução de contrato e procedimentos preliminares, cumprimento de obrigação legal ou regulatória e legítimo interesse, nos termos do art. 7º da LGPD.
• Dados pessoais sensíveis de saúde: tutela da saúde em procedimento realizado por profissionais de saúde ou serviços de saúde, nos termos do art. 11, inciso II, alínea "f" da LGPD, que é a hipótese típica quando o tratamento ocorre dentro do fluxo assistencial da instituição.

O tratamento de dado de saúde estritamente indispensável à tutela da saúde do paciente, no âmbito do fluxo assistencial descrito nesta Política, dispensa consentimento específico e destacado, nos termos do art. 11, II, "f", da LGPD, por se tratar de hipótese em que o consentimento não pode ser exigido como condição do atendimento. Para o tratamento de dado de saúde que não seja indispensável a essa finalidade específica, incluindo eventual compartilhamento para finalidade diversa do fluxo assistencial, a Instituição, como Controladora, assegura e se responsabiliza pela obtenção do consentimento dos respectivos titulares, cabendo-lhe demonstrar, perante a V-Life e as autoridades competentes, qual base legal ampara cada operação específica de tratamento.

7. Inteligência artificial

A eliz emprega modelos de inteligência artificial nas seguintes funções:

• Extração de dados de documentos enviados pelo paciente, como carteirinha de convênio e pedido médico.
• Transcrição de mensagens de áudio recebidas no canal de atendimento.
• Condução do atendimento conversacional, dentro das regras definidas pela instituição.
• Revisão do laudo emitido, com apontamento de inconsistências antes da entrega.
• Identificação de achados que exigem comunicação urgente à equipe.

Aplicam-se as seguintes garantias:

• Nenhuma funcionalidade da plataforma produz efeito por conta própria. Toda saída de um modelo de inteligência artificial depende de intervenção humana para se tornar ação: o apontamento é apresentado a uma pessoa, que decide aceitar, corrigir ou descartar.
• Em especial, nenhum apontamento da revisão altera o laudo. O médico responsável mantém integralmente a decisão sobre o conteúdo que assina.
• Não há decisão exclusivamente automatizada que produza efeitos jurídicos ou impacto significativo sobre o titular, nos termos do art. 20 da LGPD.
• A sinalização de achado crítico é dirigida à equipe da instituição, com prazo e trilha de auditoria, e nunca diretamente ao paciente.
• A saída de um modelo pode conter imprecisões, e por isso a plataforma a apresenta sempre como apontamento sujeito a validação humana, nunca como conclusão.

A V-Life não possui registro na Agência Nacional de Vigilância Sanitária para a eliz, por não se enquadrar no conceito de software como dispositivo médico (SamD), já que suas funcionalidades dependem de validação humana obrigatória, sem produzir juízo diagnóstico autônomo.

8. Compartilhamento e subprocessadores

A V-Life não comercializa dados pessoais. Para operar a Plataforma, recorre a subprocessadores, todos contratualmente obrigados à confidencialidade e à proteção dos dados, nas seguintes categorias:

• Provedores de infraestrutura em nuvem e de datacenter: hospedagem da aplicação, banco de dados, armazenamento de arquivos e interfaces web.
• Provedores de modelos de inteligência artificial: processamento de texto, áudio e imagem nas funcionalidades descritas na seção 7.
• Provedores de canais de comunicação: mensageria instantânea, como o WhatsApp, e envio de notificações.

A relação nominal e atualizada dos subprocessadores é fornecida à instituição controladora mediante solicitação e integra o contrato de tratamento de dados. Alterações relevantes são comunicadas previamente à instituição.

A V-Life compromete-se a contratar e manter provedores de modelos de inteligência artificial sob condições contratuais que vedem a utilização dos dados processados por meio da Plataforma para o treinamento de seus próprios modelos ou de modelos de terceiros, ressalvada expressa autorização da instituição controladora, cabendo à V-Life confirmar e manter essa condição junto a cada provedor contratado.

Dados pessoais também podem ser compartilhados com autoridades públicas mediante obrigação legal ou determinação judicial.

9. Transferência internacional

A maior parte da infraestrutura da Plataforma opera em região brasileira do provedor de nuvem, incluindo a aplicação e o banco de dados de produção.

Há transferência internacional em dois pontos:

• Parte da mídia trocada no canal de atendimento é armazenada em região fora do Brasil.
• O processamento pelos modelos de inteligência artificial ocorre em infraestrutura do provedor fora do Brasil.

Nesses casos são adotadas as salvaguardas dos arts. 33 a 36 da LGPD, por meio das cláusulas contratuais oferecidas pelos provedores, que mantêm programas de conformidade e certificações internacionais de segurança da informação. A identificação dos provedores e das regiões envolvidas é fornecida à instituição controladora mediante solicitação.

10. Segurança da informação

A V-Life adota as seguintes medidas técnicas e administrativas:

• Criptografia em trânsito, por TLS, e em repouso, pelos mecanismos padrão do provedor de nuvem.
• Identificação individual por usuário, sem credencial compartilhada entre pessoas.
• Perfis de acesso com escopo por instituição, de modo que um usuário alcança apenas os dados da instituição a que pertence.
• Registro de auditoria das operações relevantes, incluindo acessos ao portal do paciente e emissão e revogação de compartilhamento de resultado.
• Segregação entre os ambientes de desenvolvimento, homologação e produção.
• Alterações de código passam por revisão em pull request antes do deploy, com histórico preservado em versionamento e possibilidade de retorno a versão anterior.
• Verificação automatizada de build, testes e varredura de dependências a cada alteração.
• Backup automático diário do banco de dados de produção.
• Remoção automática de identificadores presentes em texto livre antes que o conteúdo seja gravado em registros de erro ou enviado a serviços de observabilidade.
• Infraestrutura hospedada em provedor certificado nas normas ISO/IEC 27001, 27017 e 27018 e auditado em SOC 2.

11. Retenção e descarte

Os prazos de retenção durante a vigência do contrato são definidos pela instituição controladora, observadas as obrigações legais aplicáveis à guarda de documentos e registros em saúde.

Encerrado o contrato, a V-Life devolve ou elimina os dados conforme instrução da instituição no prazo de 30 (trinta) dias contados do término, ressalvada a retenção estritamente necessária ao cumprimento de obrigação legal ou à defesa em processo.

12. Direitos dos titulares

O titular exerce seus direitos junto à instituição de saúde, que é a Controladora da relação. A V-Life, na condição de Operadora, auxilia a instituição a atender às solicitações dentro dos prazos legais, fornecendo as informações e executando as operações necessárias.

Nos termos do art. 18 da LGPD, o titular pode requerer confirmação da existência de tratamento, acesso aos dados, correção de dados incompletos, inexatos ou desatualizados, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, portabilidade, informação sobre compartilhamento, informação sobre a possibilidade de negar consentimento e suas consequências, revogação do consentimento e revisão de decisões automatizadas quando aplicável.

O titular também pode apresentar reclamação diretamente à Autoridade Nacional de Proteção de Dados, pelo endereço gov.br/anpd.

13. Crianças e adolescentes

A eliz é utilizada por instituições que atendem pacientes de todas as idades, e o tratamento de dados de crianças e adolescentes não é excluído do escopo da plataforma. Nesses casos o tratamento ocorre sempre no melhor interesse do menor e sob a base legal e as autorizações obtidas pela instituição controladora, a quem cabe a relação com os pais ou responsáveis.

Aplicam-se, no que couber, as disposições do art. 14 da LGPD, cujo cumprimento perante os pais ou responsáveis é conduzido pela instituição controladora.

14. Incidentes de segurança

A V-Life comunica a instituição controladora sobre incidente de segurança que possa acarretar risco ou dano relevante aos titulares no prazo máximo de 48 (quarenta e oito) horas contadas da ciência do incidente, com as informações previstas no art. 48 da LGPD, cabendo à Controladora a comunicação à Autoridade Nacional de Proteção de Dados e aos titulares.

Para sustentar esse prazo, a V-Life compromete-se a manter canal de acionamento para incidentes de segurança fora do horário comercial de suporte, com responsável de sobreaviso, cuja implantação constitui prioridade operacional imediata.

15. Cookies e tecnologias similares

O portal de resultados utiliza cookies estritamente necessários ao seu funcionamento, com duas finalidades: manter a sessão autenticada do paciente durante o acesso e guardar preferências de interface.

A eliz não utiliza cookies de publicidade, de perfilamento comportamental ou de redes de anúncios. As interfaces do produto empregam análise de uso própria, hospedada em infraestrutura da V-Life, que mede volume de acessos e navegação de forma agregada, sem cookies e sem identificar o paciente.

16. Encarregado pelo tratamento de dados

Nos termos do art. 41 da LGPD, a V-Life indica como encarregado pelo tratamento de dados pessoais:

Encarregado: José Venson. Contato: dados@vlife.com.br.

O encarregado é responsável por receber comunicações de titulares e da Autoridade Nacional de Proteção de Dados, prestar esclarecimentos e adotar as providências cabíveis, bem como orientar os colaboradores e prestadores da V-Life quanto às práticas de proteção de dados.

17. Atualizações desta Política

Esta Política pode ser atualizada periodicamente. A versão vigente fica disponível em eliz.health, acompanhada da data da última atualização. Alterações relevantes são comunicadas às instituições contratantes previamente à sua entrada em vigor.