Política de Privacidade e Proteção de Dados Pessoais
Documento OP-PRIV-001 | Versão 1.0 | Vigência: 25/08/2026 | Revisão: anual
1. Identificação e abrangência
Esta Política de Privacidade descreve como a OncoPlan Tecnologia em Saúde Ltda. ("OncoPlan"), inscrita no CNPJ sob o n.º 61.964.868/0001-04, com sede na Rua Dr. Neto de Araújo, 320, Sala 1304, Vila Mariana, São Paulo/SP, CEP 04.111-001, trata dados pessoais no exercício de suas atividades, em conformidade com a Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD).
A OncoPlan é uma consultoria especializada em oncologia, atuando em estudo de viabilidade, planejamento assistencial, gestão de processos, ciclo da receita, implantação e melhoria de recursos em sistemas de gestão hospitalar e integração de dados em hospitais, clínicas, centros de infusão e centrais de manipulação.
Esta Política aplica-se a todos os sócios, colaboradores, consultores associados e prestadores de serviço da OncoPlan, e está publicada em canal de acesso público no endereço www.oncoplan.tech.
2. Papéis da OncoPlan no tratamento de dados
A OncoPlan atua em dois papéis distintos, conforme o contexto:
Controladora: quando decide sobre o tratamento de dados próprios — contatos comerciais, representantes de clientes e fornecedores, candidatos a vagas, visitantes do site e dados de seus próprios colaboradores.
Operadora: quando trata dados pessoais em nome de instituições contratantes, no âmbito de projetos de consultoria. Nesses casos, a instituição contratante é a controladora e define as finalidades do tratamento; a OncoPlan atua exclusivamente conforme instruções documentadas do contratante e nos limites do contrato.
Na condição de operadora, a OncoPlan não utiliza os dados pessoais do contratante para finalidades próprias, não os comercializa e não os compartilha com terceiros sem autorização expressa do controlador.
3. Dados pessoais tratados
Como controladora, a OncoPlan trata dados cadastrais e de contato profissional, tais como nome, cargo, empresa, e-mail corporativo, telefone e registros de navegação no site.
Como operadora, no âmbito de projetos em instituições de saúde, a OncoPlan pode ter acesso a:
Dados cadastrais de pacientes: nome, data de nascimento, CPF, número de carteirinha, matrícula, contato e endereço.
Dados pessoais sensíveis de saúde: diagnósticos, protocolos terapêuticos, procedimentos realizados, medicamentos e registros assistenciais, na medida necessária à análise contratada.
Dados financeiros e administrativos vinculados ao atendimento: contas, guias, autorizações, faturamento, glosas e recursos de glosa.
Dados de profissionais de saúde: nome, registro em conselho de classe e matrícula funcional, quando constantes dos registros analisados.
O acesso observa o princípio da necessidade: são acessados apenas os dados indispensáveis à execução do objeto contratado.
4. Finalidades e bases legais
Como controladora, a OncoPlan trata dados pessoais para: gestão do relacionamento comercial e contratual (execução de contrato e legítimo interesse); cumprimento de obrigações legais, fiscais e trabalhistas (obrigação legal); processos seletivos (procedimentos preliminares relacionados a contrato); e comunicação institucional (legítimo interesse, com direito de oposição).
Como operadora, o tratamento ocorre exclusivamente para execução dos serviços de consultoria contratados, sob a base legal e as instruções definidas pela instituição controladora, observado o art. 39 da LGPD.
5. Como a OncoPlan trata dados em projetos de consultoria
Nos projetos executados em instituições de saúde, a OncoPlan adota o seguinte modelo operacional:
Acesso nomeado e individual: os acessos são concedidos pelo contratante a consultores previamente identificados, sem uso de credenciais compartilhadas ou genéricas.
Perfil mínimo necessário: solicita-se ao contratante o perfil de acesso restrito ao necessário para a execução do escopo, preferencialmente somente leitura.
Prioridade ao ambiente do contratante: sempre que possível, as análises são realizadas diretamente no ambiente e nos sistemas do contratante, sem extração de dados.
Extrações controladas: quando a análise exigir extração de relatórios, planilhas ou bases para tratamento fora do ambiente do contratante, a extração observa o mínimo necessário, é realizada com autorização do contratante e permanece restrita ao ambiente corporativo da OncoPlan, com acesso limitado à equipe do projeto.
Ferramentas de apoio: a OncoPlan pode utilizar ferramentas próprias de análise, organização e visualização de dados na execução dos projetos. A utilização de qualquer ferramenta que envolva tratamento de dados pessoais do contratante é previamente comunicada e submetida à aprovação do controlador, na forma prevista em contrato.
Vedação de uso secundário: é vedado a colaboradores e consultores copiar, transferir, divulgar ou utilizar dados do contratante para qualquer finalidade estranha ao projeto, inclusive após o término do contrato.
6. Compartilhamento e subcontratação
A OncoPlan não compartilha, cede ou comercializa dados pessoais de pacientes ou de clientes. O compartilhamento ocorre apenas quando: determinado pelo próprio controlador; necessário ao cumprimento de obrigação legal ou regulatória; ou exigido por autoridade competente.
A eventual subcontratação de terceiros que envolva tratamento de dados pessoais do contratante depende de autorização prévia do controlador e da vinculação contratual do subcontratado às mesmas obrigações previstas nesta Política e no contrato principal.
7. Transferência internacional de dados
A OncoPlan utiliza serviços corporativos de nuvem da Microsoft (Microsoft 365) para e-mail, armazenamento e colaboração. Esses serviços podem envolver tratamento ou acesso de dados fora do território nacional, incluindo operações de suporte técnico do provedor.
Tais transferências estão amparadas nos mecanismos de salvaguarda previstos no art. 33 da LGPD, por meio das cláusulas contratuais padrão e do Adendo de Proteção de Dados (Data Protection Addendum) firmados com o provedor, que estabelecem obrigações de segurança, confidencialidade e limitação de finalidade.
A OncoPlan não realiza transferência internacional de dados pessoais de contratantes para terceiros além dos provedores de infraestrutura aqui descritos, salvo mediante autorização expressa do controlador.
8. Retenção e eliminação
Como operadora, a OncoPlan retém dados pessoais do contratante apenas pelo tempo necessário à execução do serviço contratado. Encerrado o projeto ou o contrato, ou mediante solicitação do controlador, os dados são devolvidos ou eliminados de forma definitiva, incluindo cópias de trabalho, no prazo estabelecido em contrato.
A eliminação é registrada e, quando solicitado, é emitida declaração de devolução e descarte ao controlador.
Como controladora, os dados são retidos pelos prazos legais aplicáveis às obrigações contratuais, fiscais e trabalhistas, sendo eliminados ao término desses prazos.
9. Segurança da informação
A OncoPlan adota medidas técnicas e administrativas para proteger os dados pessoais a que tem acesso, entre elas:
Autenticação multifator nas contas corporativas.
Criptografia de dados em trânsito e em repouso nos serviços corporativos utilizados.
Criptografia de disco nos equipamentos utilizados pela equipe.
Controle de acesso por perfil e concessão limitada ao necessário, com revisão periódica dos acessos ativos.
Assinatura de termo de confidencialidade e de responsabilidade sobre dados pessoais por todos os colaboradores e consultores associados.
Treinamento periódico de conscientização em proteção de dados e segurança da informação.
Revogação imediata de acessos em caso de desligamento, encerramento de projeto ou mudança de função, com comunicação ao contratante.
Vedação ao armazenamento de dados de contratantes em equipamentos pessoais, mídias removíveis ou serviços de nuvem não corporativos.
10. Incidentes de segurança
A OncoPlan mantém procedimento interno para identificação, registro e tratamento de incidentes de segurança envolvendo dados pessoais.
Na condição de operadora, qualquer incidente que possa acarretar risco ou dano aos titulares é comunicado ao controlador imediatamente após a ciência, e em qualquer caso em prazo não superior a 24 (vinte e quatro) horas, com as informações disponíveis sobre natureza, dados afetados, medidas adotadas e riscos envolvidos, cabendo ao controlador as comunicações à Autoridade Nacional de Proteção de Dados e aos titulares.
11. Direitos dos titulares
Nos termos do art. 18 da LGPD, o titular pode solicitar confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados, portabilidade, informação sobre compartilhamento, e revogação de consentimento.
A OncoPlan mantém canal permanente para o exercício desses direitos: privacidade@oncoplan.tech. As solicitações são respondidas em até 15 (quinze) dias.
Quando a solicitação envolver dados tratados em nome de uma instituição contratante, a OncoPlan encaminhará o pedido ao controlador responsável e prestará o apoio necessário ao seu atendimento, conforme art. 39 da LGPD.
12. Encarregado pelo Tratamento de Dados Pessoais (DPO)
Encarregado: Vitor Ramos
Contato: privacidade@oncoplan.tech
Atendimento: dias úteis, das 9h às 18h.
O titular também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), por meio do endereço www.gov.br/anpd.
13. Registro das operações de tratamento
A OncoPlan mantém Registro das Operações de Tratamento de Dados Pessoais (ROPA), nos termos do art. 37 da LGPD, contemplando as operações realizadas na qualidade de controladora e de operadora, com identificação de finalidade, base legal, categorias de dados e de titulares, prazos de retenção e medidas de segurança aplicáveis. O registro é revisado periodicamente e disponibilizado a controladores e à autoridade competente quando solicitado.
14. Vigência e atualizações
Esta Política entra em vigor na data de sua publicação e é revisada, no mínimo, anualmente, ou sempre que houver alteração relevante nos serviços prestados, nas ferramentas utilizadas ou na legislação aplicável. A versão vigente está sempre disponível em www.oncoplan.tech.
OncoPlan | www.oncoplan.tech | privacidade@oncoplan.tech