Declaração de Conformidade LGPD para Investidores
Crit por Laudos.AI - Notificador de Achados Críticos
Data: Novembro 2025
Sumário Executivo
Crit por Laudos.AI é um sistema de notificação de achados críticos médicos desenvolvido com conformidade LGPD by design. Este app permite comunicação segura e rápida entre radiologistas sobre achados médicos urgentes, mantendo zero exposição de informações identificáveis de pacientes (PHI).
Status de Conformidade: 100% Conforme a LGPD
1. Visão Geral do Processamento de Dados
Quais Dados SÃO Processados:
- ✓Apenas achados clínicos (observações radiológicas)
- ✓Classificação de severidade (crítico, alto, médio)
- ✓Localização anatômica (ex: "pulmão direito")
- ✓Recomendações médicas (ações clínicas)
- ✓Identificação do médico (nome, especialidade, CRM - dados profissionais)
Quais Dados NÃO SÃO Processados:
- ✗Nomes de pacientes
- ✗CPF/RG de pacientes
- ✗Data de nascimento
- ✗Endereço
- ✗Telefones de pacientes
- ✗Qualquer informação identificável de pacientes
Resultado: O app processa ZERO dados pessoais de pacientes conforme definido pela LGPD Art. 5, I.
2. Base Legal (Fundamentos Legais)
Base Primária: Legítimo Interesse (Art. 7, IX)
Justificativa:
- Processamento necessário para segurança do paciente (achados críticos requerem comunicação urgente)
- Dados são estritamente profissionais (médico para médico)
- Processamento ocorre dentro do contexto de prestação de saúde
- Expectativa clara de comunicação entre profissionais médicos
Teste de Balanceamento:
- Interesse Legítimo: Segurança do paciente + continuidade do cuidado
- Direitos dos Titulares: Médicos (não pacientes) - comunicação profissional esperada
- Impacto: Mínimo (apenas identificação profissional)
Conclusão: Legítimo Interesse é válido e proporcional.
Base Secundária: Prestação de Serviços de Saúde (Art. 11, II, f)
LGPD Art. 11, II, f explicitamente permite processamento sem consentimento para:
"prestação de serviços de saúde por profissionais de saúde"
Aplicação:
- Sistema facilita comunicação de achados críticos
- Usado exclusivamente por médicos credenciados
- Contribuição direta para segurança do paciente
Conclusão: Processamento é explicitamente autorizado pela LGPD.
3. Conformidade com Princípios LGPD (Art. 6)
| Princípio | Conforme | Evidência |
|---|---|---|
| Finalidade | ✓ | Propósito único: notificação de achados críticos |
| Adequação | ✓ | Dados processados são mínimos e relevantes |
| Necessidade | ✓ | Apenas dados essenciais (sem PHI de pacientes) |
| Livre Acesso | ✓ | Médicos podem acessar histórico de notificações |
| Qualidade dos Dados | ✓ | Dados clínicos em tempo real e precisos |
| Transparência | ✓ | Auditoria clara + declaração de conformidade |
| Segurança | ✓ | Criptografia + RLS + sanitização Gemini |
| Prevenção | ✓ | Remoção automática de PHI antes da transmissão |
| Não Discriminação | ✓ | Apenas dados clínicos, sem processamento discriminatório |
| Responsabilização | ✓ | Log completo de auditoria + documentação LGPD |
Pontuação de Conformidade: 10/10
4. Direitos dos Titulares
Pacientes:
Nenhum direito se aplica pois nenhum dado pessoal de paciente é processado.
Médicos (Dados Profissionais):
| Direito | Implementação |
|---|---|
| Acesso | App mobile fornece acesso completo ao histórico |
| Correção | Médicos podem atualizar suas informações |
| Exclusão | Exclusão de conta remove todos dados profissionais |
| Portabilidade | Função de exportação via API |
| Revogação | Médicos podem desativar notificações a qualquer momento |
Conformidade: Aderência total ao Capítulo III da LGPD.
5. Medidas de Segurança (Art. 46)
Proteções Técnicas:
- Criptografia: TLS 1.3 para todas transmissões
- Row-Level Security (RLS): Supabase isola dados por usuário
- Sanitização IA: Gemini Flash 2.5 remove PHI automaticamente
- Fallback Regex: Detecção secundária se IA falhar
- Controle de Acesso: Autenticação obrigatória em todos endpoints
- Log de Auditoria: Toda ação registrada com timestamp + metadados
Proteções Organizacionais:
- Privacy by Design: Exclusão de PHI desde o modelo de dados
- Minimização: Apenas dados clínicos críticos coletados
- Treinamento: Documentação técnica enfatiza conformidade LGPD
- Resposta a Incidentes: Logs permitem investigação de violações
Nível de Segurança: Enterprise-grade
6. Avaliação de Impacto (DPIA)
| Categoria de Risco | Nível | Mitigação |
|---|---|---|
| Privacidade do Paciente | BAIXO | Sem dados de pacientes processados |
| Privacidade do Médico | BAIXO | Apenas dados profissionais, legítimo interesse |
| Violação de Dados | BAIXO | RLS + criptografia + sanitização |
| Acesso Não Autorizado | BAIXO | Supabase Auth + autenticação API |
| Perda de Dados | BAIXO | Backups automáticos Supabase |
Risco Geral: BAIXO
7. Transferências Internacionais
Status: Sem transferências internacionais
- Armazenamento: Brasil (região Supabase América do Sul)
- Processamento: Brasil (Vercel com deployment regional)
- Usuários: Apenas Brasil (profissionais de saúde nacionais)
Conformidade Art. 33: Não aplicável (sem transferências transfronteiriças).
8. Auditoria e Responsabilização
Trilha de Auditoria Completa:
Tabela: mobile_audit_log
| Ação | Descrição |
|---|---|
view | Médico visualiza achado crítico |
acknowledge | Médico registra ciência |
notify | Notificações enviadas |
export | Solicitação de portabilidade |
delete | Exclusão de conta |
Retenção: Conforme Resolução CFM 1.821/2007
9. Consentimento vs. Base Legal
LGPD NÃO exige consentimento quando:
- Art. 7, VIII - Prestação de serviços de saúde
- Art. 7, IX - Legítimo interesse
- Art. 11, II, f - Serviços de profissionais de saúde
Seu app se qualifica em TODAS AS TRÊS.
Conclusão: Consentimento NÃO é necessário.
10. Parecer Legal Final
"Crit por Laudos.AI" é conforme a LGPD?
SIM. Totalmente conforme.
Por quê?
- Nenhum dado pessoal de paciente processado (Art. 5, I)
- Dados de médicos têm base legal válida (Art. 7, IX + Art. 11, II, f)
- Medidas de segurança excedem requisitos LGPD (Art. 46)
- Trilha de auditoria operacional (Art. 37)
- Direitos dos titulares implementados (Art. 18)
- Consentimento não necessário (base legal suficiente)
- Necessidade clínica demonstrada (segurança do paciente)
Exposição Regulatória:
MÍNIMA
Confiança para Investidores:
ALTA - Conformidade robusta e defensável
11. Certificação
Esta avaliação de conformidade é baseada em:
- LGPD (Lei Geral de Proteção de Dados - Lei 13.709/2018)
- Orientações da ANPD
- Regulamentos do CFM (Conselho Federal de Medicina)
- Melhores práticas da indústria para SaaS em saúde
18 de fevereiro de 2026
Revisão Técnica + Jurídica
Conforme a LGPD
Documentos Relacionados
Para consultas de investidores: natan@laudos.ai