Política de Cibersegurança

INTRODUÇÃO

O uso de tecnologias para tornar as atividades do dia a dia mais ágeis é essencial para a prestação de serviços de telemedicina pela Vital Medcare. Entretanto, todos os avanços tecnológicos também geram riscos de ataques cibernéticos, que podem ameaçar a confidencialidade, a integridade e a disponibilidade dos dados e dos sistemas utilizados, com especial gravidade quando envolvem dados pessoais sensíveis de saúde de pacientes. Dentre os princípios que norteiam a conduta da Vital Medcare perante pacientes, médicos parceiros, parceiros comerciais, autoridades e público em geral, destacam-se ações concretas, éticas e transparentes, pautadas por diligência, cuidado e integridade com a tecnologia da informação e com os dados de saúde tratados direta ou indiretamente em suas atividades.

A presente Política de Segurança Cibernética (“Política”), elaborada em conformidade com a Lei n. 13.709/2018 (Lei Geral de Proteção de Dados – LGPD), com as Resoluções CD/ANPD nº 15/2024, nº 18/2024 e nº 19/2024, com a Resolução CFM nº 2.314/2022 (Prontuário Eletrônico) e com a Resolução CFM nº 2.454/2026 (Inteligência Artificial em Saúde), tem por objetivo estabelecer regras e procedimentos para assegurar a confidencialidade, a integridade e a disponibilidade dos dados, em especial dos dados pessoais sensíveis de saúde, e dos sistemas de informação utilizados para o funcionamento e desenvolvimento das atividades da VITAL MEDCARE LTDA. (a “Vital Medcare”), incluindo os ambientes de nuvem, bancos de dados e plataformas de terceiros que compõem a infraestrutura crítica da operação.

Estão sujeitos aos procedimentos aqui descritos todos os diretores, sócios, funcionários, fornecedores em tecnologia da informação, terceirizados, trainees, estagiários e demais pessoas, física e/ou jurídica, que tenham acesso a dados eletrônicos da Vital Medcare ou que lhe prestem serviços em tecnologia da informação (em conjunto “Colaboradores” e em separado “Colaborador”), os quais devem conhecer integralmente as disposições desta Política, devendo zelar pelo seu fiel cumprimento, naquilo que lhes couber. Os médicos parceiros da plataforma, contratados como pessoa jurídica autônoma e sem subordinação à Vital Medcare, observarão as obrigações de confidencialidade, sigilo profissional e segurança da informação aplicáveis ao tratamento de dados de saúde, sem prejuízo de sua autonomia técnica e sem se sujeitarem às regras de monitoramento de comunicações previstas nesta Política para Colaboradores em relação de subordinação.

Qualquer violação às disposições desta Política será considerada um descumprimento das regras internas da Vital Medcare, e sujeitará o Colaborador às sanções disciplinares, tais como suspensão, advertência, desligamento, rescisão de contrato e /ou exclusão, de acordo com a deliberação do órgão designado pela Diretoria Executiva da Vital Medcare.

IDENTIFICAÇÃO DE RISCO CIBERNÉTICO

O uso de recursos da tecnologia da informação potencializa os riscos de ataques cibernéticos realizados por diferentes agentes (organizações criminosas ou hackers individuais, organismos de Estado, terroristas, colaboradores, competidores etc.), por diferentes motivações como, exemplificadamente, roubo, furto, adulteração ou manipulação de informações; prática de fraude, sabotagem ou exposição da Vital Medcare e/ou de empresas parceiras para obter vantagens competitivas e informações confidenciais; e/ou promover a prática de terror e disseminação do pânico e caos.

O Colaborador deve conhecer e identificar os diferentes métodos de ataques cibernéticos utilizados por invasores, em especial:

Em razão da natureza da atividade da Vital Medcare, merecem atenção redobrada os riscos cibernéticos que afetam o denominado perímetro de dados de saúde, isto é, os ambientes de nuvem, o banco de dados de pacientes, os sistemas de teleconsulta e prontuário eletrônico e as ferramentas de inteligência artificial utilizadas na triagem clínica, e não apenas os equipamentos de trabalho (estações de trabalho, e-mail corporativo e dispositivos móveis). A gestão de risco cibernético da Vital Medcare abrange, portanto, tanto o ambiente corporativo interno quanto o ambiente de produção onde os dados de saúde são efetivamente tratados e armazenados, incluindo os fornecedores de hospedagem, banco de dados, inteligência artificial e videochamada localizados no exterior.

Malware — softwares desenvolvidos para corromper computadores e redes

Vírus — software que causa danos a máquina, rede, softwares e banco de dados

Cavalo de Troia — aparece dentro de outro software e cria uma porta para a invasão do computador

Spyware — software malicioso para coletar e monitorar o uso de informações

Ransomware — software malicioso que bloqueia o acesso a sistemas e bases de dados, solicitando um resgate para que o acesso seja reestabelecido

Engenharia social — métodos de manipulação para obter informações confidenciais, como senhas, dados pessoais e número de cartão de crédito

Pharming — direciona o usuário para um site fraudulento, sem o seu conhecimento

Phishing — links transmitidos por e-mails, simulando ser uma pessoa ou empresa confiável que envia comunicação eletrônica oficial para obter informações confidenciais

Vishing — simula ser uma pessoa ou empresa confiável e, por meio de ligações telefônicas, tenta obter informações confidenciais

Smishing — simula ser uma pessoa ou empresa confiável e, por meio de mensagens de texto, tenta obter informações confidenciais

Acesso pessoal — pessoas localizadas em lugares públicos como bares, cafés e restaurantes que captam qualquer tipo de informação que possa ser utilizada posteriormente para um ataque

Ataques de DDoS (distributed denial of services) e botnets

ataques visando negar ou atrasar o acesso aos serviços ou sistemas da instituição; no caso dos botnets, o ataque vem de muitos computadores infectados utilizados para criar e mandar spam ou vírus, ou inundar uma rede com mensagens resultando na negação de serviços

Invasões (advanced persistent threats)

ataques realizados por invasores sofisticados, utilizando conhecimentos e ferramentas para detectar e explorar fragilidades específicas em um ambiente tecnológico

ENCARREGADO DE PROTEÇÃO DE DADOS

Nos termos do artigo 41 da LGPD e da Resolução CD/ANPD nº 18/2024, a Vital Medcare indicará formalmente um Encarregado de Proteção de Dados (“Encarregado”), responsável por atuar como canal de comunicação entre a Vital Medcare, os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD), por orientar os Colaboradores quanto às práticas de proteção de dados e por conduzir, em conjunto com a Diretoria Executiva e a área de Tecnologia da Informação da Vital Medcare empresa de T.I. contratada, a comunicação de incidentes de segurança prevista no Plano de Resposta desta Política.

Nome e contato do Encarregado: [a definir]. Enquanto não formalizada a indicação, a Diretoria Executiva acumulará as atribuições do Encarregado para fins desta Política, devendo a indicação definitiva ser publicada e comunicada aos titulares de dados assim que concluída.

programa de segurança cibernética

A Vital Medcare, por meio da presente Política, tem como objetivo mitigar os riscos de uma ameaça cibernética com a implementação de um programa de segurança cibernética que contempla os seguintes aspectos:

identificação e avaliação dos riscos aos quais a Vital Medcare está sujeita;

estabelecimento de ações de prevenção e proteção;

monitoramento e testes; e

criação de um plano de resposta.

cumprimento das obrigações legais e regulatórias específicas do setor de saúde e de proteção de dados pessoais, incluindo a LGPD, as resoluções da ANPD e as resoluções do Conselho Federal de Medicina (CFM) aplicáveis à telemedicina, ao prontuário eletrônico e ao uso de inteligência artificial.

A Diretoria Executiva da Vital Medcare, por meio do órgão ou comitê por ela designado, em conjunto com o Encarregado de Proteção de Dados, será responsável por tratar e responder questões relacionadas à segurança cibernética e à proteção de dados pessoais.

Adicionalmente, para monitoramento e operacionalização de possíveis assuntos relacionados à segurança cibernética, a Vital Medcare mantém área própria de tecnologia da informação (“área de T.I.”), integrada por Colaboradores da própria Vital Medcare e sob responsabilidade direta do sócio ou diretor com atribuição técnica, que assessora e dá suporte aos demais Colaboradores na proteção das informações de software e hardware utilizados pela Vital Medcare. A plataforma de telemedicina da Vital Medcare é desenvolvida, operada e mantida internamente, não havendo empresa de tecnologia da informação terceirizada responsável por seu desenvolvimento ou por sua administração.Adicionalmente, para monitoramento e operacionalização de possíveis assuntos relacionados à segurança cibernética, a Vital Medcare possui um contrato de prestação de serviços com uma empresa terceirizada de tecnologia da informação (“T.I”), que assessora e dá suporte aos Colaboradores na proteção das informações de software e hardware utilizados pela Vital Medcare.

A contratação de fornecedores de tecnologia e de quaisquer prestadores de serviços com acesso ao Quadro de Inteligência da Vital Medcare passa por processo de diligência descrito conforme política de contratação constante no Código de Ética e Conduta e, uma vez contratados, firmam acordo de confidencialidade em razão da sensibilidade dos dados (pessoais e sensíveis) aos quais poderão ter acesso, sejam eles todos aqueles equipamentos, sistemas, processos ou informações utilizadas para o correto funcionamento das atividades da Vital Medcare. Esses instrumentos conterão, ainda, cláusula expressa de cessão total, definitiva, irrevogável e irretratável à Vital Medcare dos direitos patrimoniais sobre programas de computador, códigos-fonte e código-objeto, scripts, bancos de dados, interfaces, documentação técnica, customizações e integrações eventualmente criados, adaptados ou aprimorados em razão da prestação dos serviços, nos termos do artigo 4º da Lei nº 9.609/1998 e dos artigos 49 e 111 da Lei nº 9.610/1998, sem limitação de tempo, território ou modalidade de uso e sem contraprestação adicional ao preço ajustado.A contratação de uma empresa de T.I pela Vital Medcare passa por um processo de diligência descrito conforme política de contratação constante no Código de Ética e Conduta e, uma vez contratada, assina acordo de confidencialidade em razão da sensibilidade dos dados (pessoais e sensíveis) dos quais poderá ter acesso, sejam eles todos aqueles equipamentos, sistemas, processos ou informações utilizadas para o correto funcionamento das atividades da Vital Medcare.

No âmbito de suas atividades, a Vital Medcare atua diretamente com os chamados “Ativos Relevantes”, ou seja, aqueles equipamentos, sistemas, documentos, bancos de dados, ambientes de nuvem e processos próprios ou operados por terceiros contratados, que diante de suas eventuais vulnerabilidades podem figurar como alvos em possíveis cenários de ameaças cibernéticas. Constituem Ativos Relevantes, em particular, o banco de dados de pacientes, os ambientes de hospedagem em nuvem, os sistemas de teleconsulta, prontuário eletrônico e prescrição digital, e as ferramentas de inteligência artificial utilizadas na triagem clínica, uma vez que, diariamente, são tratados dados e informações a respeito de pacientes, clientes, empresas parceiras e Colaboradores, de forma que, no caso de uma eventual ameaça cibernética, o vazamento e uso indevido desses poderia causar imensuráveis danos à Vital Medcare ou a terceiros.

A Vital Medcare utiliza, ainda, softwares licenciados e plataformas de terceiros para hospedagem, processamento de dados, inteligência artificial, meios de pagamento, videochamada e prescrição digital, que em conjunto com os Ativos Relevantes e outras tecnologias desenvolvidas internamente, integram o Quadro de Inteligência da Vital Medcare. A plataforma de telemedicina da Vital Medcare, incluindo o sistema de teleconsulta, o prontuário eletrônico, os fluxos de triagem e as demais tecnologias desenvolvidas internamente, é de titularidade exclusiva e integral da Vital Medcare, que detém a totalidade dos direitos patrimoniais sobre os respectivos códigos-fonte e código-objeto, algoritmos, bases de dados estruturadas e documentação técnica, nos termos da Lei nº 9.609/1998 e da Lei nº 9.610/1998. Os softwares de terceiros permanecem regidos pelas respectivas licenças, sendo vedada a incorporação, aos desenvolvimentos próprios da Vital Medcare, de componentes de terceiros ou de código aberto cujas condições de licenciamento restrinjam, condicionem ou comprometam essa titularidade, salvo autorização prévia e por escrito da Diretoria Executiva.

A utilização dos componentes e recursos do Quadro de Inteligência da Vital Medcare em computadores, telefones, internet, e-mail e demais dispositivos eletrônicos ou plataforma digital, se destina exclusiva e prioritariamente aos fins profissionais, devendo os Colaboradores evitarem o uso indiscriminado para fins pessoais. Em consonância com as disposições de Segurança e Sigilo de Informações do Código de Ética e Conduta, todos os Colaboradores devem se abster de utilizar pen-drives, HDs externos, ou quaisquer outros meios que não tenham por finalidade a utilização exclusiva para o desempenho de suas atividades na Vital Medcare, sendo expressamente proibido a conexão em servidores físicos ou em nuvem da Vital Medcare por quaisquer pessoas não autorizadas pela Diretoria Executiva.

TRANSFERÊNCIA INTERNACIONAL DE DADOS

A Vital Medcare reconhece que parte de seus Ativos Relevantes é operada por fornecedores localizados fora do Brasil, incluindo, exemplificativamente, provedores de inteligência artificial utilizados na triagem clínica, hospedagem em nuvem e videochamada. Toda transferência internacional de dados pessoais, em especial de dados sensíveis de saúde, será formalizada por meio de Cláusulas-Padrão Contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024) ou de outro instrumento admitido pelo artigo 33 da LGPD, cabendo à Diretoria Executiva, com apoio do Encarregado e da Assessoria Jurídica, priorizar a formalização desses instrumentos com os fornecedores internacionais já em operação, tendo em vista o encerramento, em 23 de agosto de 2025, do período de adequação previsto na referida Resolução.

Nenhum novo fornecedor internacional será contratado ou integrado aos Ativos Relevantes sem a prévia formalização do instrumento de transferência internacional cabível, sob supervisão do Encarregado.

Ações de prevenção e proteção

Diante criteriosa análise de possíveis riscos ao Quadro de Inteligência da Vital Medcare e a potencialidade de um ataque cibernético, a Vital Medcare e seus Colaboradores devem adotar as ações de prevenção e proteção desta Política e vigilância contínua para a mitigação ou eliminação dos riscos cibernéticos e, na ocorrência de um ataque cibernético ou falha sistêmica decorrente de um ataque, devem acompanhar e realizar as ações necessárias do Plano de Resposta até a retomada da normalidade das atividades e reestabelecimento da segurança devida.

Para tanto, a Vital Medcare estabelece como primeira Ação de Prevenção aos riscos cibernéticos, a adoção de softwares de proteção atualizada contra malware e de antivírus projetado para detectar, evitar e, quando possível, limpar programas conhecidos que afetem de forma maliciosa o Quadro de Inteligência da Vital Medcare.

Todos os dispositivos eletrônicos do Quadro de Inteligência da Vital Medcare possuem software e/ou hardware, conforme cada tipo de dispositivo, firewall projetado para evitar e detectar conexões não autorizadas e incursões maliciosas. Além disso, a Vital Medcare assume o compromisso de manter os sistemas operacionais e softwares de aplicação sempre licenciados e originais, instalando as atualizações sempre que forem disponibilizadas, bem como de instruir os Colaboradores que utilizam dispositivos pessoais para desempenho das atividades a adotarem as melhores práticas de segurança cibernética.

Excepcionalmente e individualmente, conforme o caso concreto, a Vital Medcare poderá autorizar os Colaboradores a utilizarem dispositivos pessoais para o desempenho de suas atividades, que deverão atender e respeitar as regras e os procedimentos estabelecidos nesta Política e no disposto em Segurança e Sigilo de Informações do Código de Ética e Conduta, que são aplicáveis, também, a todos os Colaboradores que desenvolvam atividades em trabalho remoto.

Para todos os Colaboradores que exerçam essa modalidade de trabalho, é obrigatória a adoção das seguintes medidas:

manter softwares de proteção contra malware/antivírus nos dispositivos remotos;

relatar para a Diretoria Executiva qualquer violação ou ameaça de segurança cibernética ou outro incidente que possa afetar informações da Vital Medcare e que ocorram durante o trabalho remoto;

não armazenar informações confidenciais ou sensíveis em dispositivos pessoais;

comunicar a Diretoria Executiva a ocorrência de furto ou perda do equipamento.

A Vital Medcare manterá diferentes níveis de acesso às pastas e aos arquivos eletrônicos de acordo com as devidas segregações funções e responsabilidades de cada setor da empresa, bem como estabelecerá acesso escalonado aos sistemas do Quadro de Inteligência conforme o cargo e função de cada Colaborador, a fim de se limitar o acesso de informações confidenciais e a dados sensíveis, bem como para impedir alterações ou modificações de segurança não autorizadas que possam causar vulnerabilidade em caso de violação.

Cada Colaborador deverá possuir e manter, sob sua única e exclusiva responsabilidade, as credenciais de acesso (login e senha próprios) e autorização para acessarem os dados contidos em computadores, e-mails ou outras tecnologias e ativos fornecidos pela Vital Medcare. As credenciais de acesso são de uso personalíssimo de cada Colaborador e são classificadas como Informação Confidencial, sendo expressamente vedada a sua divulgação para quaisquer terceiros, inclusive outros Colaboradores, anotada em papel ou em sistema visível ou de acesso não protegido.

Os Colaboradores afastados ou desligados da Vital Medcare ou que tenham mudado de função, se for o caso, terão a alteração ou exclusão imediata de suas credenciais de acesso e/ou autorizações concedidas, que serão periodicamente revisados a exclusivo critério da Vital Medcare.

Os programas, aplicativos, sistemas básicos (sistema operacional e ferramentas) e componentes físicos dos dispositivos corporativos devem ser implantados e configurados pela área de T.I. da Vital Medcarepela empresa de T.I. qualificada e devidamente contratada pela Vital Medcare, ou, no caso dos Ativos Relevantes operados em nuvem e por fornecedores de tecnologia contratados para a prestação do serviço de saúde (incluindo hospedagem, banco de dados, inteligência artificial e videochamada), pelos respectivos fornecedores, sob supervisão da Diretoria Executiva e do Encarregado, e nos termos dos instrumentos contratuais e de proteção de dados firmados com cada um deles. A A área de T.I. deverá realizar monitoramento empresa de T.I. contratada poderá realizar monitoramento de mudanças e acessos aos Ativos Relevantes sob sua responsabilidade. É vedada a possibilidade de os Colaboradores implantarem novos programas ou alterarem configurações, ou implantarem ou alterarem componentes físicos nos dispositivos do Quadro de Inteligência sem a permissão expressa da Diretoria Executiva. Caso haja a autorização de qualquer inclusão de novos equipamentos, sistemas ou fornecedores, a Vital Medcare garantirá a segurança de uso destes por meio de vistoria de conformidade e, quando aplicável, de instrumento de transferência internacional de dados e de contrato de operador (DPA) firmado com o fornecedor. Cabe à área de T.I. da Vital Medcare, sob coordenação da Diretoria Executiva e com ciência do Encarregado: (i) implantar, configurar, atualizar e manter os dispositivos, sistemas e controles de segurança descritos nesta Política; (ii) operacionalizar a concessão, a revisão periódica e a revogação imediata de credenciais e níveis de acesso; (iii) executar e monitorar as rotinas de backup, contingência e registro de logs; (iv) reportar imediatamente à Diretoria Executiva e ao Encarregado qualquer vulnerabilidade, acesso não autorizado ou incidente de segurança de que tome conhecimento; e (v) manter documentação técnica atualizada da infraestrutura e de todos os desenvolvimentos realizados. O desenvolvimento, a alteração e a implantação de código na plataforma da Vital Medcare são realizadas exclusivamente por sua área de T.I., sendo vedada a delegação dessas atividades a terceiros sem autorização prévia e por escrito da Diretoria Executiva.

Os Colaboradores deverão, em conjunto à todos os controles previstos acima, desconfiar de e-mails com assuntos não usuais em relação ao seu desempenho de funções ou não condizentes com um ambiente idôneo de trabalho, bem como a desconfiar de e-mails solicitando dados pessoais e privados e/ou e-mails estranhos com links, hyperlinks ou anexos com as extensões .cmd; .bat; .scr; .exe; ou .ws, mesmo vindos de pessoas conhecidas uma vez que esses são alguns dos principais vetores de ataques cibernéticos.

MONITORAMENTO E TESTES

Visando o monitoramento e detecção de possíveis ameaças em tempo hábil, a Vital Medcare emprega esforços para monitorar e testar as ações de prevenção à ataques cibernéticos, a fim de reforçar os controles, caso necessário, e identificar possíveis anomalias no ambiente tecnológico, incluindo a presença de usuários, componentes ou dispositivos não autorizados.

Desse modo, para garantir um pleno funcionamento de todos os ativos da Vital Medcare, a Diretoria Executiva, diretamente ou por meio de Colaborador ou área que venha a designar para tanto, deve manter inventários atualizados de hardware e software, bem como, junto da área de T.I. e dos fornecedores junto da empresa de TI contratada e dos fornecedores de nuvem, banco de dados e demais Ativos Relevantes, identificar elementos estranhos às atividades, inclusive o acesso e/ou trabalho remoto prolongado em computadores não autorizados, software não licenciado ou acesso não autorizado ao ambiente de produção onde residem os dados de saúde dos pacientes.

A Vital Medcare realizará o monitoramento das rotinas de backup e contingência, conforme estabelecido em política própria, além de monitorar por amostragem, de forma periódica e sempre que necessário, o histórico de acesso dos Colaboradores em relação de subordinação a sites, redes sociais, blogs, webmails, entre outros, e e-mails corporativos enviados e recebidos, podendo verificar, também por amostragem, as informações de acesso físico à sede ou virtual a áreas de trabalho (desktops), pastas e sistemas, que devem ser documentados pela área ou Colaborador designado pela Diretoria Executiva, de forma a avaliar sua aderência às regras de restrição de acesso e escalonamento. Esse monitoramento não se aplica aos médicos parceiros contratados como pessoa jurídica autônoma, cujas comunicações e prontuários são protegidos pelo sigilo profissional médico, ressalvado o acesso estritamente necessário para fins de segurança da informação e cumprimento de obrigação legal.

Ainda, serão realizados, periodicamente, testes de planos de respostas a incidentes, para que cenários de ameaça antes previstos possam ser devidamente examinados e cada vulnerabilidades seja detectada com a devida antecedência para que a Vital Medcare consiga empregar um plano de resposta imediato e efetivo, na hipótese de ocorrência um ataque cibernético.

PLANO DE RESPOSTA

Diante da ocorrência de algum incidente de segurança ou ataque cibernético, a Vital Medcare executará um plano de resposta, visando o tratamento e a recuperação do incidente, incluindo a comunicação interna e, sempre que exigido por lei, a comunicação externa à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares de dados afetados, nos termos desta seção.

Nos casos de suspeita de violação, comprometimento da rede ou de qualquer outro dispositivo ou sistema da Vital Medcare, em acesso não autorizado, a Diretoria Executiva deverá ser acionada imediatamente, juntamente com a área de T.I.,com a empresa de T.I. contratada, o Encarregado de Proteção de Dados e a Assessoria Jurídica, para adoção de todas as medidas necessárias e aplicáveis ao caso concreto, incluindo a avaliação, em conjunto com o Encarregado, sobre a necessidade de comunicação à ANPD e aos titulares de dados afetados.

Na ocorrência concreta de um ataque cibernético amplo ao Quadro de Inteligência, a área de T.I. da Vital Medcare empresa de TI contratada e/ou outra empresa especializada a ser contratada, deverão atuar em conjunto, ou isoladamente, para resolver o incidente no menor tempo possível. Neste cenário, os Colaboradores deverão seguir as determinações da área de T.I. da Vital Medcare empresa de T.I até a normalização das atividades. Em se tratando de um ataque individual a um determinado Colaborador, serão disponibilizados novos equipamentos para a continuidade da prestação dos serviços por parte daquele Colaborador. Em qualquer hipótese, a Vital Medcare manterá posse permanente e autônoma dos códigos-fonte, das credenciais administrativas, das chaves de acesso e das cópias de segurança de sua plataforma, em repositório sob seu controle direto e com cópia adicional em ambiente segregado, de modo a assegurar a continuidade das atividades independentemente de qualquer Colaborador, prestador ou fornecedor. A empresa especializada eventualmente acionada em caráter emergencial não adquire, pela prestação do serviço, qualquer direito sobre a plataforma, os códigos ou os dados da Vital Medcare, devendo devolver ou eliminar, ao término do atendimento, todo o material a que tenha tido acesso, mediante declaração formal.

Definido o procedimento a ser realizado no caso de ocorrência de incidente ou ataque cibernético, a Vital Medcare designará o Encarregado de Proteção de Dados ou outro Colaborador para documentar o ocorrido e realizar o reporte, do qual deverão constar, no mínimo:

Descrição do incidente ocorrido, sua natureza, as informações acessadas e mensurar a respectiva perda;

Identificação das áreas e os sistemas afetados, bem como desconectar ou desabilitar os devidos sistemas;

Determinação os responsáveis apropriados e suas funções no cumprimento do plano de resposta;

Avaliação da recuperação e/ou restauração dos sistemas afetados;

A ocorrência ou não de notificação de todas as partes internas e externas apropriadas; e

Resultado total ou parcial de investigações e avaliações das circunstâncias do incidente.

Sempre que o incidente de segurança envolver risco ou dano relevante aos titulares de dados — o que se presume ocorrer, como regra, nos incidentes que envolvam dados de saúde, dados de autenticação, dados financeiros ou informações protegidas por sigilo profissional, tratados pela Vital Medcare —, o Encarregado comunicará a ocorrência à ANPD em até 3 (três) dias úteis contados do conhecimento do incidente, com as 12 (doze) informações mínimas exigidas pelo artigo 6º da Resolução CD/ANPD nº 15/2024, e aos titulares afetados, também em até 3 (três) dias úteis, em linguagem simples e individualizada, nos termos do artigo 9º da referida Resolução.

A Vital Medcare manterá registro de todo incidente de segurança ocorrido, inclusive daqueles não comunicados à ANPD ou aos titulares, pelo prazo mínimo de 5 (cinco) anos, conforme o artigo 10 da Resolução CD/ANPD nº 15/2024. Nos casos em que se decidir pela não comunicação, o Encarregado registrará por escrito, no mesmo prazo, a justificativa técnica e jurídica para essa decisão.

Todas as informações e relatórios gerados no âmbito do plano de resposta, incluindo os registros de incidentes não comunicados e as respectivas justificativas, serão arquivados em diretórios próprios da Vital Medcare para fins de evidência em eventuais questionamentos ou demandas de terceiros e de fiscalização pela ANPD.

INTELIGÊNCIA ARTIFICIAL EM SAÚDE

O uso de inteligência artificial na triagem clínica e demais etapas do atendimento realizado pela Vital Medcare observará a Resolução CFM nº 2.454/2026, com vigência a partir de 26 de agosto de 2026, aplicável também aos sistemas já em uso (art. 21). A Vital Medcare realizará avaliação preliminar de risco da ferramenta de inteligência artificial utilizada na triagem, registrará o uso de inteligência artificial no prontuário eletrônico do paciente e constituirá Comissão de Inteligência Artificial e Telemedicina sob a supervisão do Responsável Técnico, nos termos dos artigos 4º, V, 12 e 14, parágrafo único, da referida Resolução.

Sempre que a triagem por inteligência artificial for etapa obrigatória do fluxo de atendimento, será oferecido ao paciente caminho alternativo sem uso de inteligência artificial, e o termo de consentimento do paciente informará, em linguagem simples, o uso de inteligência artificial, a possibilidade de recusa e o fluxo alternativo disponível, nos termos do artigo 5º, §3º, da Resolução CFM nº 2.454/2026.

A segurança dos ambientes e fornecedores de inteligência artificial utilizados no atendimento a dados de saúde observará, adicionalmente, o disposto nas seções desta Política sobre Transferência Internacional de Dados e sobre Operadores e Fornecedores, nos termos do artigo 6º, §3º, da Resolução CFM nº 2.454/2026.

PRONTUÁRIO ELETRÔNICO E GUARDA DE DADOS

O sistema de registro eletrônico de saúde utilizado pela Vital Medcare deve atender ao Nível de Garantia de Segurança 2 (NGS2), nos termos do artigo 3º, §2º, da Resolução CFM nº 2.314/2022 e do Manual de Certificação SBIS-CFM, o que inclui, entre outros requisitos, auditoria contínua não desativável, criptografia dos dados e controle de acesso por perfil de usuário. A Vital Medcare realizará gap analysis jurídico-técnico do atendimento ao NGS2 e avaliará a certificação SBIS do sistema, priorizando este item em razão de sua complexidade técnica e estrutural.

O prontuário eletrônico do paciente será conservado pelo prazo mínimo de 20 (vinte) anos, contado do último registro, nos termos do artigo 6º da Lei nº 13.787/2018. Em razão desse prazo legal de guarda, pedidos de exclusão de dados formulados pelo titular não alcançam o prontuário, cuja base legal de tratamento é a tutela da saúde do paciente (art. 11, II, “f”, da LGPD) e não o consentimento (art. 16, I, da LGPD), o que será refletido na política de privacidade e no fluxo de atendimento a pedidos de titulares.

Havendo terceiro contratado para o arquivamento ou a guarda do prontuário eletrônico, a responsabilidade por sua guarda e integridade será compartilhada contratualmente entre a Vital Medcare e esse terceiro, cabendo à Diretoria Executiva, com apoio da Assessoria Jurídica, definir se a controladoria do prontuário é exercida pelo médico, pela Vital Medcare ou em regime de controladoria conjunta, nos termos do artigo 3º, §4º e §8º, da Resolução CFM nº 2.314/2022 e dos incisos VI e IX do artigo 5º da LGPD.

OPERADORES E FORNECEDORES

Todo fornecedor que receba, processe ou armazene dados pessoais de pacientes por conta e ordem da Vital Medcare, incluindo, exemplificativamente, os fornecedores de banco de dados, hospedagem, inteligência artificial, meio de pagamento, videochamada e prescrição digital, firmará contrato de operador de dados (DPA) ou aditivo de proteção de dados pessoais com a Vital Medcare, nos termos dos artigos 39 e 42, §1º, da LGPD, cabendo à Diretoria Executiva, com apoio do Encarregado e da Assessoria Jurídica, conduzir essas contratações e manter atualizada a lista de subprocessadores. Os registros de acesso à aplicação serão mantidos nos termos do artigo 15 da Lei nº 12.965/2014 (Marco Civil da Internet). Os contratos firmados com fornecedores e prestadores de serviços, bem como os contratos de trabalho, de estágio e de prestação de serviços autônomos, conterão cláusula de titularidade exclusiva da Vital Medcare sobre os programas de computador, códigos e demais desenvolvimentos produzidos no âmbito da relação, nos termos do artigo 4º da Lei nº 9.609/1998, aplicando-se aos Colaboradores a presunção legal de pertencimento à empregadora dos programas desenvolvidos durante a vigência do vínculo e decorrentes de sua natureza, sem prejuízo da formalização expressa dessa titularidade nos respectivos instrumentos. Nenhum fornecedor de infraestrutura, hospedagem, banco de dados ou inteligência artificial adquire, pela prestação dos serviços, direito sobre a plataforma, os códigos ou os dados da Vital Medcare, sendo-lhe vedado utilizá-los para treinamento de modelos ou para qualquer finalidade diversa da contratada.

É vedado o compartilhamento de dado pessoal sensível de saúde com fornecedores ou parceiros de marketing e de aquisição de tráfego para fins de obtenção de vantagem econômica, ressalvadas as hipóteses do artigo 11, §4º e §5º, da LGPD relacionadas à prestação do próprio serviço de saúde. Qualquer envio de dados a essas ferramentas observará prévia avaliação do Encarregado quanto à natureza do dado enviado e à base legal aplicável.

TREINAMENTOS

Visando garantir que todos os Colaboradores exercerão suas atividades atuando nos termos e limites de todo o exposto nessa Política e o previsto na legislação aplicável, a Vital Medcare promoverá campanhas de disseminação a cultura de segurança cibernética, para conscientizar sobre os riscos envolvidos, bem como realizará treinamentos periódicos com todos seus setores, repassando, sempre que necessário, novas orientações e diretrizes.

Todos os novos Colaboradores admitidos pela Vital Medcare receberão treinamento específico no processo de on boarding. A todos os demais colaboradores, os treinamentos serão realizados sempre que necessário e intensificados os Colaboradores que trabalham remotamente e para os Colaboradores que forem vítimas de incidente cibernético.

Os treinamentos poderão estar sujeitos à aplicação de avaliação para reforço do conteúdo, para todos os Colaboradores, podendo ser exigido aproveitamento de pelo menos 70% (setenta por cento) nos testes aplicados. A não obtenção do aproveitamento pelo Colaborador na avaliação aplicada pela Vital Medcare ou a ausência deste nos treinamentos aplicados no mesmo período poderá implicar no afastamento de suas funções e no encaminhamento para a área de Recursos Humanos ou, na ausência desta, para a Diretoria Executiva, para as devidas providências.

DISPOSIÇÕES FINAIS

A presente Política entra em vigor na data de sua publicação e vigerá por prazo indeterminado ou até ser atualizada pela Vital Medcare conforme necessidade ou alterações na legislação aplicável que demande modificações, podendo ser revista a qualquer momento, independente de comunicação ou anuência do Colaborador, sempre que a Vital Medcare entender relevante.

Todos os Colaboradores recebem uma cópia desta Política, conjuntamente às demais Políticas Internas, quando de seu ingresso na Vital Medcare, que se colocará à disposição para sanar quaisquer dúvidas referentes a esta Política.

Esta Política será publicada e estará disponível em [inserir]