Conformidade LGPD & HIPAA
O ASIPT adota os mais altos padrões de proteção de dados, alinhando-se simultaneamente à Lei Geral de Proteção de Dados (LGPD) e ao Health Insurance Portability and Accountability Act (HIPAA).
LGPD
Lei nº 13.709/2018
HIPAA
Public Law 104-191
289+
Políticas RLS
AES-256
Criptografia ePHI
MFA/TOTP
Segundo Fator
15 min
Timeout Sessão
Criptografia e Proteção de Dados
Dados protegidos em trânsito e em repouso com criptografia de nível hospitalar.
- AES-256 para criptografia de tokens sensíveis e dados em repousoLGPDHIPAA
- TLS 1.3 para todas as comunicações entre cliente e servidorLGPDHIPAA
- Chaves de criptografia gerenciadas por serviço dedicado (Supabase Vault)LGPDHIPAA
- Hashing seguro (bcrypt) para credenciais de autenticaçãoLGPDHIPAA
- Isolamento de dados por ambiente (produção, staging, desenvolvimento)HIPAA
Controle de Acesso Baseado em Funções (RBAC)
Sistema granular de permissões que garante o princípio do menor privilégio.
- 5 perfis distintos: paciente, profissional, estagiário, gestão, administradorLGPDHIPAA
- Row Level Security (RLS) com 289+ políticas no banco de dadosHIPAA
- Aprovação obrigatória para profissionais antes do acesso ao prontuárioLGPDHIPAA
- Sessões com expiração automática e invalidação de cache em tempo realLGPDHIPAA
- Separação completa entre dados de pacientes — sem acesso cruzadoLGPD
Trilha de Auditoria Imutável
Registro completo de todas as operações sobre dados sensíveis para conformidade legal.
- Logs de auditoria imutáveis para todas as ações em prontuários eletrônicosLGPDHIPAA
- Registro de quem acessou, quando e quais dados foram visualizados ou alteradosHIPAA
- Rastreamento de consentimentos obtidos e revogados (Art. 37, LGPD)LGPD
- Retenção de logs por período superior ao exigido (mínimo 6 anos — HIPAA)HIPAA
- Conformidade com Resolução CFM nº 1.821/2007 para prontuários (20 anos)LGPD
Consentimento Informado e Transparente
Gestão de consentimento conforme LGPD Art. 7–11 e HIPAA Privacy Rule.
- Consentimento explícito e granular antes da coleta de dados pessoaisLGPD
- Consentimento específico para dados sensíveis de saúde (Art. 11, LGPD)LGPD
- Possibilidade de revogação do consentimento a qualquer momentoLGPD
- Notice of Privacy Practices (NPP) equivalente para todas as pessoas usuáriasHIPAA
- Registro digital de todos os termos aceitos com data, hora e IPLGPDHIPAA
Direitos do Titular dos Dados
Garantia plena dos direitos previstos na LGPD (Art. 18) e HIPAA Privacy Rule.
- Direito de acesso: exportação completa dos dados da pessoa usuária em formato JSONLGPDHIPAA
- Direito de correção: sistema de solicitação de emendas com revisão profissionalLGPDHIPAA
- Direito de eliminação: exclusão de dados coletados com base no consentimentoLGPD
- Direito de portabilidade: endpoint dedicado para download dos dados (LGPD Art. 18)LGPDHIPAA
- Direito de anonimização de dados desnecessários ou excessivosLGPD
- Direito de informação sobre compartilhamento com terceirosLGPD
Minimização e Finalidade dos Dados
Coleta limitada ao estritamente necessário, com finalidade definida e transparente.
- Coleta limitada aos dados necessários para prestação do cuidado em saúdeLGPD
- Finalidades claramente definidas: assistência, agendamento, pesquisa anonimizadaLGPD
- Proibição de uso comercial ou compartilhamento não autorizado de dadosLGPDHIPAA
- Dados de pesquisa sempre anonimizados antes do processamentoLGPDHIPAA
- Política de retenção com prazos definidos por categoria de dadoLGPDHIPAA
Notificação de Incidentes
Procedimentos estruturados para resposta a incidentes de segurança.
- Notificação à ANPD em prazo razoável em caso de incidente (Art. 48, LGPD)LGPD
- Notificação ao titular dos dados afetados conforme exigido por leiLGPD
- Plano de resposta a incidentes documentado e testado periodicamenteLGPDHIPAA
- Breach Notification Rule: notificação em até 60 dias (HIPAA)HIPAA
- Registro de todos os incidentes, mesmo os que não exigem notificaçãoLGPDHIPAA
Autenticação e Gestão de Sessões
Mecanismos robustos de autenticação para proteger o acesso ao sistema.
- Autenticação multifator (MFA/TOTP) disponível para todos os perfis — RFC 6238HIPAA
- Timeout automático de sessão por inatividade de 15 minutos (HIPAA §164.312)HIPAA
- Bloqueio progressivo de conta após 5 tentativas falhas de login (server-side)LGPDHIPAA
- Validação JWT manual em todas as Edge Functions sensíveisHIPAA
- Rate limiting em dupla camada: por IP e por recursoLGPDHIPAA
- CORS com whitelist estrita — sem wildcardsLGPDHIPAA
- HSTS habilitado (max-age 2 anos, includeSubDomains, preload)LGPDHIPAA
Bases Legais para Tratamento de Dados
Fundamento legal para cada tipo de processamento de dados pessoais.
- Tutela da saúde: procedimentos por profissionais de saúde (Art. 7, VIII, LGPD)LGPD
- Consentimento: para coleta de dados durante cadastro e uso do sistemaLGPD
- Obrigação legal: cumprimento de normas sanitárias e regulatóriasLGPD
- Proteção da vida: situações de emergência médicaLGPD
- Treatment, Payment, and Healthcare Operations (TPO) — HIPAAHIPAA
Governança e Boas Práticas
Estrutura organizacional de proteção de dados alinhada às melhores práticas.
- Capacitação contínua da equipe sobre proteção de dados e segurançaLGPDHIPAA
- Backups regulares e seguros com redundância geográficaLGPDHIPAA
- Validação de entrada com schemas Zod em todos os formuláriosLGPDHIPAA
- Segregação de ambientes (desenvolvimento, staging, produção)HIPAA
- Revisão periódica de políticas e procedimentos de segurançaLGPDHIPAA
- Business Associate Agreements (BAAs) com fornecedores de infraestruturaHIPAA
Referências Legais
Artigos e regulamentos específicos atendidos pelo ASIPT.
LGPD — Lei nº 13.709/2018
- Art. 6º — Princípios (finalidade, adequação, necessidade)
- Art. 7º — Hipóteses de tratamento de dados pessoais
- Art. 11 — Tratamento de dados sensíveis (saúde)
- Art. 18 — Direitos do titular dos dados
- Art. 37 — Registro de operações de tratamento
- Art. 46 — Medidas de segurança técnicas e administrativas
- Art. 48 — Comunicação de incidentes de segurança
- Art. 50 — Boas práticas e governança
HIPAA — Public Law 104-191
- Privacy Rule — Proteção de Protected Health Information (PHI)
- Security Rule — Salvaguardas técnicas, administrativas e físicas
- Breach Notification — Notificação de violações de dados
- Minimum Necessary — Acesso mínimo necessário aos dados
- Access Controls — Controles de acesso (§ 164.312)
- Audit Controls — Trilha de auditoria (§ 164.312(b))
- Integrity Controls — Integridade dos dados (§ 164.312(c))
- Transmission Security — Segurança na transmissão (§ 164.312(e))
Regulamentações Complementares
Além da LGPD e HIPAA, o ASIPT atende a normas setoriais brasileiras.
- Resolução CFM nº 1.821/2007 — Normas técnicas para prontuário eletrônico
- Resolução CFM nº 2.314/2022 — Telemedicina e atendimento remoto
- Portaria MS nº 2.836/2011 — Política Nacional de Saúde Integral LGBT
- Decreto nº 8.727/2016 — Uso do nome social na administração pública
- Lei nº 12.527/2011 — Lei de Acesso à Informação (LAI)
- Marco Civil da Internet (Lei nº 12.965/2014) — Proteção de registros e dados pessoais
Para mais informações sobre nossos termos e política de privacidade:
Ver Termos e Políticas de PrivacidadeAmbulatório para Saúde Integral de Pessoas Trans (ASIPT)
Centro de Saúde Escola Barra Funda • Faculdade de Ciências Médicas da Santa Casa de São Paulo
Última atualização: Março de 2026