01Objetivo
Esta Política Corporativa estabelece as diretrizes para coleta, utilização, armazenamento, compartilhamento, retenção e eliminação de dados pessoais tratados pela empresa IABS, garantindo a proteção dos direitos fundamentais de liberdade, privacidade e autodeterminação informativa dos titulares dos dados, em conformidade com a legislação brasileira vigente.
O IABS reconhece que a proteção dos dados pessoais constitui princípio essencial para a prestação de serviços em saúde ocupacional, gestão de absenteísmo, telemedicina, gestão de afastados e inteligência assistencial.
02Abrangência
Esta Política aplica-se a:
- empresas contratantes;
- colaboradores;
- prestadores de serviço;
- usuários da plataforma;
- qualquer titular cujos dados sejam tratados pelo IABS.
03Princípios
Todo tratamento de dados observará:
- finalidade;
- adequação;
- necessidade;
- livre acesso;
- qualidade dos dados;
- transparência;
- segurança;
- prevenção;
- não discriminação;
- responsabilização e prestação de contas.
04Dados tratados
O IABS poderá tratar, conforme a finalidade contratada dados cadastrais, profissionais e de saúde de colaboradores das empresas contratantes. Os dados de saúde são classificados como dados pessoais sensíveis, recebendo proteção diferenciada.
05Finalidades
Os dados poderão ser utilizados para:
- Consultoria de saúde;
- Gestão de absenteísmo;
- Gestão de afastamentos;
- Telemedicina;
- Programas de saúde ocupacional;
- Cumprimento de obrigações legais;
- Cumprimento de obrigações previdenciárias;
- Atendimento ao esocial;
- Elaboração de indicadores;
- Análises estatísticas;
- Predição de riscos assistenciais;
- Predição de afastamentos;
- Inteligência operacional;
- Auditorias;
- Segurança da informação;
- Melhoria contínua dos serviços.
Sempre que possível, análises estatísticas utilizarão dados anonimizados.
06Bases legais do tratamento
As bases legais aplicáveis às operações de tratamento observam o Parecer Técnico LGPD elaborado pelo Encarregado (DPO), que integra esta Política por referência. O quadro abaixo sintetiza o enquadramento de cada operação:
| Operação de tratamento | Base legal |
|---|---|
| Recebimento e validação de atestado; gestão do afastamento | Cumprimento de obrigação legal ou regulatória — art. 7º, II c/c art. 11, II, “a” (CLT, normas do Ministério do Trabalho, eSocial e gestão de benefícios previdenciários) |
| Teleconsulta e parecer técnico do médico | Tutela da saúde — art. 11, II, “f” (procedimento realizado por profissional de saúde) |
| Gestão consultiva; verificação de óbito e de situação cadastral | Execução de contrato — art. 7º, V — combinada com prevenção à fraude e segurança do titular — art. 11, II, “g” |
| Leitura automatizada (OCR) e verificação de autenticidade | Prevenção à fraude e segurança do titular — art. 11, II, “g” |
| Indicadores gerenciais e análises estatísticas | Legítimo interesse — art. 7º, IX — sobre dados não sensíveis; dados de saúde são utilizados apenas de forma agregada e anonimizada |
| Modelos preditivos de risco e de afastamento | Dados irreversivelmente anonimizados, fora do alcance da LGPD por força do art. 12 |
| Decisão sobre abono de faltas | Compete à empresa contratante, na condição de Controladora, a quem cabe definir a base legal |
O tratamento de dados sensíveis de saúde de empregados não se fundamenta em consentimento. Na relação de emprego, marcada por subordinação, o consentimento não satisfaz o requisito de livre manifestação exigido pelo art. 5º, XII, da LGPD. O consentimento é empregado apenas nas hipóteses em que a coleta é facultativa e não decorre da relação de trabalho.
07Natureza do tratamento e regime de controladoria
O IABS atua sob dois regimes distintos, conforme a atividade executada.
No fluxo documental — custódia, armazenamento e organização dos atestados médicos — a empresa contratante é a Controladora e o IABS atua como Operador, tratando os dados segundo as instruções da contratante. A decisão final sobre abono de faltas, gestão laboral e encaminhamentos previdenciários é exclusiva da contratante.
Nas atividades de validação clínica, teleconsulta, auditoria técnica de CID e gestão dos algoritmos de leitura automatizada, o IABS determina a finalidade e os meios do tratamento, atuando como Controlador Conjunto com a empresa contratante. Nessas atividades, e somente nelas, aplica-se a responsabilidade solidária prevista no art. 42 da LGPD.
A leitura automatizada de documentos opera como instrumento de subsídio e triagem, sujeita a revisão humana, não produzindo decisão automatizada que afete direitos do titular sem essa revisão, nos termos do art. 20 da LGPD.
A delimitação de cada regime consta do Parecer Técnico LGPD e dos instrumentos contratuais firmados com cada empresa contratante.
08Compartilhamento de dados
Os dados poderão ser compartilhados exclusivamente quando necessário com:
- empresas contratantes;
- médicos responsáveis;
- autoridades públicas;
- INSS;
- Ministério do Trabalho;
- Poder Judiciário;
- órgãos fiscalizadores.
Integram ainda a cadeia de tratamento os prestadores de serviços de infraestrutura tecnológica contratados pelo IABS, que atuam na condição de suboperadores e processam dados exclusivamente conforme as instruções e as finalidades definidas nesta Política.
O compartilhamento observará estritamente a legislação vigente.
09Segurança da informação
A segurança da informação é tratada como requisito de arquitetura da plataforma, e não como controle acessório.
O IABS adota controles técnicos e administrativos proporcionais à criticidade das informações tratadas, abrangendo autenticação e gestão de credenciais, controle de acesso segregado por perfil funcional, tratamento diferenciado dos dados de saúde, proteção das comunicações, registro das operações em trilhas de auditoria, cópias de segurança, controle de retenção e descarte, e avaliação periódica de segurança da plataforma, com tratamento dos achados conforme sua criticidade.
Os controles são revisados sempre que houver mudança relevante de tecnologia, de processo ou de exigência regulatória. O detalhamento de cada frente consta das políticas específicas apresentadas adiante.
10Cookies e tecnologias
A Plataforma IABS utiliza exclusivamente cookies estritamente necessários ao seu funcionamento, destinados à autenticação e à manutenção da sessão do usuário:
| Cookie | Finalidade | Duração |
|---|---|---|
| access_token | Autenticar as requisições do usuário durante a sessão | 15 minutos |
| refresh_token | Renovar a sessão sem novo login, dentro do período permitido | 12 horas |
Ambos são marcados como HttpOnly, o que os torna inacessíveis a scripts executados no navegador; Secure, o que restringe sua transmissão a conexões criptografadas; e SameSite=Lax, o que impede seu envio em requisições originadas de terceiros.
A Plataforma não utiliza cookies de publicidade, de rastreamento comportamental ou de análise de audiência. Por não haver cookie não essencial, não é apresentado banner de consentimento: o uso de cookies estritamente necessários dispensa consentimento, por ser indispensável à prestação do serviço solicitado pelo próprio usuário.
As fontes tipográficas e demais recursos da interface são servidos pela própria Plataforma, sem conexão do navegador a terceiros. Um único serviço externo é acionado: o preenchimento assistido de endereço consulta o ViaCEP, ao qual é transmitido apenas o CEP informado pelo usuário.
11Inteligência artificial
O IABS poderá utilizar sistemas de Inteligência Artificial para:
- classificação de afastamentos;
- apoio à tomada de decisão;
- geração de indicadores;
- identificação de padrões;
- apoio à navegação de absenteísmo;
- análises preditivas.
A decisão clínica permanecerá sob responsabilidade do profissional habilitado, não sendo substituída exclusivamente por sistemas automatizados.
12Incidentes de segurança
O IABS mantém processo de gestão de incidentes de segurança envolvendo dados pessoais, abrangendo detecção, registro, avaliação de risco, contenção, comunicação e apuração de causa.
Comunicação à ANPD e aos titulares: no prazo de 3 (três) dias úteis, contados do conhecimento, pelo controlador, de que o incidente afetou dados pessoais, nos termos do art. 48 da LGPD e da Resolução CD/ANPD nº 15/2024. Informações complementares poderão ser prestadas, de maneira fundamentada, em até 20 (vinte) dias úteis contados da comunicação.
Comunicação entre as partes: a parte que sofrer ou identificar um incidente comunicará a outra em até 24 (vinte e quatro) horas, ressalvados os prazos menores eventualmente pactuados em instrumento contratual específico.
Todo incidente é registrado internamente, ainda que não atinja o critério de comunicação à autoridade, com data de conhecimento, natureza dos dados afetados, número estimado de titulares, medidas adotadas e avaliação de risco.
O canal para comunicação de incidentes, suspeitas e vulnerabilidades é o Encarregado, no endereço dpo@htksaude.com.br.
13Encarregado pelo tratamento de dados (DPO)
O IABS manterá Encarregado pelo Tratamento de Dados (Data Protection Officer – DPO), responsável por atender solicitações documentais referente à privacidade, atuar como canal de comunicação com a ANPD, orientar colaboradores e empresa e apoiar a conformidade da LGPD.
O canal de contato com o Encarregado é o endereço dpo@htksaude.com.br, também divulgado no portal institucional.
14Política de privacidade e proteção de dados pessoais
O IABS reconhece a proteção de dados pessoais como direito fundamental e elemento indispensável à prestação de serviços relacionados à gestão de absenteísmo, saúde ocupacional, telemedicina e gestão de afastamentos previdenciários. Em razão da natureza das atividades desenvolvidas, a organização realiza o tratamento de dados pessoais e de dados pessoais sensíveis, especialmente aqueles relacionados à saúde dos trabalhadores, adotando modelo de governança estruturado para assegurar conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), com a legislação setorial aplicável, bem como com as diretrizes expedidas pela Autoridade Nacional de Proteção de Dados (ANPD).
O tratamento das informações é pautado pelos princípios da finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização, previstos no art. 6º da LGPD. Todas as operações de coleta, recepção, classificação, utilização, armazenamento, compartilhamento, consulta, processamento, transmissão, arquivamento e eliminação de dados são realizadas exclusivamente para finalidades legítimas, específicas e previamente definidas, observando-se sempre a proporcionalidade entre a informação tratada e a finalidade operacional ou legal que a justifica.
A plataforma tecnológica do IABS foi concebida segundo os conceitos de Privacy by Design, Privacy by Default e Security by Design, incorporando mecanismos de proteção desde sua arquitetura e desenvolvimento. A solução realiza integração segura, por meio de APIs, com os sistemas corporativos das empresas contratantes, permitindo a centralização do recebimento de atestados médicos, a gestão dos fluxos de validação e aprovação documental, o gerenciamento dos afastamentos previdenciários e o armazenamento seguro dos documentos necessários ao acompanhamento ocupacional dos colaboradores, sempre respeitando as bases legais previstas na LGPD.
Como medida de governança, o acesso às informações é estruturado mediante segregação funcional de perfis, garantindo que cada usuário visualize exclusivamente os dados compatíveis com suas atribuições institucionais. Dessa forma, áreas como Recursos Humanos, Saúde Ocupacional, Medicina do Trabalho, gestores operacionais e administradores da plataforma possuem níveis distintos de permissão, impedindo o acesso a informações que não sejam indispensáveis ao exercício de suas funções. Esse modelo concretiza os princípios da necessidade, minimização do tratamento e confidencialidade, reduzindo significativamente o risco de exposição indevida de dados pessoais sensíveis.
O IABS adota ainda controles técnicos e administrativos destinados a proteger as informações contra acessos não autorizados, destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito, incluindo mecanismos de autenticação, controle de acesso baseado em papéis (Role-Based Access Control – RBAC), trilhas de auditoria (logs), criptografia, monitoramento contínuo dos ambientes tecnológicos, gestão de vulnerabilidades, cópias de segurança, gestão de incidentes e revisão periódica dos privilégios de acesso.
Os dados pessoais somente são compartilhados quando houver fundamento jurídico que legitime a operação, observando-se as hipóteses previstas na legislação vigente, especialmente para cumprimento de obrigações legais e regulatórias, execução contratual, tutela da saúde, exercício regular de direitos ou atendimento às determinações de autoridades competentes. Sempre que tecnicamente possível e compatível com a finalidade do tratamento, o IABS prioriza a anonimização ou pseudonimização das informações utilizadas para análises estatísticas, inteligência operacional, indicadores gerenciais e desenvolvimento de modelos preditivos.
Toda a estrutura de governança em privacidade e proteção de dados é continuamente revisada, monitorada e aprimorada, buscando assegurar elevados padrões de segurança da informação, conformidade regulatória e respeito aos direitos dos titulares, fortalecendo a relação de confiança entre o IABS, seus clientes, parceiros e colaboradores.
15Política de segurança da informação
A segurança da informação constitui um dos pilares da governança do IABS e está incorporada desde a concepção de sua plataforma tecnológica, desenvolvida internamente para o gerenciamento do absenteísmo, da saúde ocupacional e dos afastamentos previdenciários.
O tratamento das informações observa os princípios da confidencialidade, integridade, disponibilidade, autenticidade e rastreabilidade, adotando controles técnicos e administrativos compatíveis com a criticidade dos dados tratados, especialmente aqueles classificados como dados pessoais sensíveis nos termos da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018).
A plataforma realiza integração segura, por meio de interfaces de programação de aplicações (APIs), com os sistemas de gestão de pessoas e folha de pagamento das empresas contratantes, garantindo que a transmissão, armazenamento e processamento das informações ocorram em ambiente controlado, monitorado e protegido contra acessos não autorizados, perda, alteração, divulgação indevida ou qualquer forma de tratamento incompatível com as finalidades contratadas.
16Política de senhas
O acesso aos ambientes tecnológicos do IABS é protegido por mecanismos de autenticação destinados a assegurar a identidade dos usuários e impedir a utilização indevida dos sistemas.
Cada credencial de acesso é individual, intransferível e vinculada exclusivamente ao respectivo usuário, sendo vedado seu compartilhamento sob qualquer circunstância.
O IABS adota requisitos mínimos de complexidade para criação de senhas, mecanismos de autenticação reforçada para ambientes críticos, bloqueio automático após tentativas sucessivas de autenticação inválida e procedimentos de redefinição seguros.
Sempre que identificados indícios de comprometimento das credenciais, serão adotadas medidas imediatas de revogação, substituição das senhas e investigação do incidente, preservando a segurança das informações e a continuidade das operações.
17Política de controle de acesso
O acesso às informações armazenadas na plataforma do IABS é concedido exclusivamente conforme os princípios do menor privilégio (least privilege) e da necessidade de conhecimento (need to know), assegurando que cada usuário visualize apenas os dados indispensáveis ao desempenho de suas atribuições.
A estrutura da plataforma foi desenvolvida com segregação lógica de permissões por perfil funcional, permitindo que áreas distintas das empresas contratantes tenham acesso apenas às informações pertinentes às suas competências institucionais.
Dessa forma, profissionais de Recursos Humanos, Saúde Ocupacional, gestores e demais usuários possuem perfis independentes de acesso, impedindo a visualização de informações que extrapolem sua finalidade operacional, como diagnósticos médicos, remuneração ou outros dados protegidos.
Os indicadores gerenciais são disponibilizados de forma consolidada, respeitando as restrições de acesso estabelecidas e os princípios da minimização e da finalidade previstos na legislação vigente. Todos os acessos, consultas, alterações e operações relevantes permanecem registrados em trilhas de auditoria, garantindo rastreabilidade e responsabilização.
18Política de retenção de dados
Os dados pessoais e documentos armazenados na plataforma do IABS serão mantidos seguindo o prazo legal de 20 anos a partir do último registro do paciente, conforme estabelecido pela Lei 13.787/2018 e orientações do Conselho Federal de Medicina (CFM).
A retenção observa os prazos previstos na legislação aplicável, nas normas regulatórias e nos contratos firmados com as empresas contratantes, sendo mantidas políticas específicas para documentos relacionados à gestão de afastamentos, atestados médicos, registros ocupacionais e demais informações corporativas.
Encerradas as finalidades que justificam o tratamento e expirados os prazos legais de retenção, os dados passam por processo controlado de eliminação ou anonimização, preservando-se apenas as informações cuja manutenção seja obrigatória para cumprimento de obrigação legal, exercício regular de direitos ou atendimento às determinações de autoridades competentes.
19Política de descarte de dados
O descarte de informações sob responsabilidade do IABS é realizado de forma segura, rastreável e compatível com a natureza dos dados tratados, especialmente quando envolver dados pessoais sensíveis relacionados à saúde dos trabalhadores.
A eliminação ocorre mediante procedimentos técnicos capazes de impedir a recuperação indevida das informações, abrangendo registros eletrônicos, documentos digitalizados, arquivos físicos e eventuais mídias de armazenamento.
O processo observa critérios previamente estabelecidos de autorização, registro e auditoria, garantindo evidências da eliminação realizada e mitigando riscos de exposição indevida das informações. Sempre que possível e juridicamente admissível, poderá ser adotada a anonimização dos dados para fins estatísticos, epidemiológicos, científicos ou de inteligência operacional, preservando-se a impossibilidade de identificação dos titulares.
20Responsabilidades
Compete aos colaboradores, prestadores de serviço e às empresas contratantes manter sigilo das informações, utilizar apenas sistemas autorizados, respeitar perfis de acesso, comunicar incidentes imediatamente e cumprir esta Política.
21Disposições finais
Esta Política poderá ser revisada sempre que houver: alteração legislativa, novas determinações da ANPD, mudanças tecnológicas e alterações nos processos internos.
O descumprimento desta Política poderá ensejar medidas administrativas, civis, contratuais e legais cabíveis.
Referências
- BRASIL. Constituição (1988). Constituição da República Federativa do Brasil. Brasília, DF: Presidência da República, 1988.
- BRASIL. Lei nº 12.965, de 23 de abril de 2014. Marco Civil da Internet. Diário Oficial da União, Brasília, DF, 24 abr. 2014.
- BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Diário Oficial da União, Brasília, DF, 15 ago. 2018. Atualizada pela Lei nº 15.352/2026.
- BRASIL. Lei nº 13.853, de 8 de julho de 2019. Altera a Lei nº 13.709/2018 e dispõe sobre a Autoridade Nacional de Proteção de Dados.
- BRASIL. Autoridade Nacional de Proteção de Dados (ANPD). Glossário de Proteção de Dados Pessoais e Privacidade. Brasília: ANPD, 2024.
- BRASIL. Autoridade Nacional de Proteção de Dados (ANPD). Guia Orientativo – Atuação do Encarregado pelo Tratamento de Dados Pessoais. Brasília: ANPD.
- BRASIL. Autoridade Nacional de Proteção de Dados (ANPD). Perguntas Frequentes sobre a LGPD. Brasília: ANPD, atualizado em 2026.