Segurança e conformidade
O que está ativo, o que está a caminho
Cada controle listado aqui diz como é verificado e qual a evidência mais recente. Obrigação legal, norma de referência e certificação aparecem separadas — porque não são a mesma coisa.
Dados fictícios, apenas ilustrativos.
Controles
Os seis compromissos, controle por controle
A situação de cada item é a de hoje. Clique no nome para ver o que o controle é e por que importa; passe o mouse para o resumo. “Em implantação” já está em andamento; “planejado” ainda não começou.
| Controle | Compromisso | Como é verificado | Evidência mais recente | Situação |
|---|
Controle técnico × certificação
Seguir uma norma não é ser certificado por ela
Três categorias que costumam aparecer misturadas em propostas comerciais, e o que cada uma prova de fato.
Obrigação legal
Lei ou resolução que se aplica ao negócio. Não há selo: cumpre-se ou não, e quem fiscaliza é o órgão competente.
Norma de referência
Catálogo de boas práticas usado para desenhar controles. Seguir a norma é uma afirmação nossa — não foi auditada por terceiros.
Certificação
Auditoria independente que emite certificado com escopo e validade. É a única das três que outra empresa pode conferir sem depender de nós.
Onde estamos em cada uma
| Norma | Categoria | Como tratamos | Situação |
|---|---|---|---|
| LGPD — Lei 13.709/2018 | Obrigação legal | Programa de adequação, encarregado nomeado e registro das operações de tratamento | Adequado |
| Resolução CFM 2.314/2022 | Obrigação setorial | Requisitos atendidos no módulo de telessaúde | Atendido |
| Lei 14.457/2022 | Obrigação setorial | Canal de denúncias com sigilo, anonimato e acompanhamento por protocolo | Atendido |
| ISO/IEC 27001:2022 | Certificável | Anexo A usado como referência de controles, sem auditoria de certificação | Não certificado |
| ISO/IEC 27701:2019 | Certificável | Referência para a gestão de privacidade | Não certificado |
| Certificação SBIS/CFM de S-RES | Certificação | Avaliação de viabilidade para a plataforma de saúde | Em avaliação |
| ISO 37002:2021 | Diretriz, não certificável | Referência para o fluxo do canal de denúncias | Referência |
Dados fictícios, apenas ilustrativos.
Se um fornecedor disser que é “compliance”, vale perguntar com o quê — e pedir o certificado quando a resposta for uma norma certificável.
Setores regulados
O que muda em saúde, telemedicina e canal de denúncias
Em cada caso, o que a regra exige, o que o sistema entrega e o que continua sendo responsabilidade da sua organização.
Saúde
Clínicas, operadoras e saúde ocupacional. Dado de saúde é dado sensível pela LGPD, e o prontuário tem guarda mínima de 20 anos.
- O sistema entrega
- Trilha de quem abriu cada prontuário, perfis por função clínica e retenção configurável por tipo de registro.
- Fica com a sua organização
- Base legal de cada tratamento, nomeação do encarregado e política interna de acesso.
Telemedicina
A Resolução CFM 2.314/2022 exige consentimento do paciente, registro em prontuário e padrão de segurança para os dados trafegados.
- O sistema entrega
- Termo de concordância registrado, atendimento gravado no prontuário e documentos com assinatura ICP-Brasil.
- Fica com a sua organização
- Cadastro e CRM ativo dos profissionais e a decisão clínica de quando a teleconsulta é adequada.
Canal de denúncias
A Lei 14.457/2022 exige canal para denúncias de assédio nas empresas com CIPA, com sigilo e proteção contra retaliação.
- O sistema entrega
- Relato anônimo com protocolo e senha de acompanhamento, e acesso restrito ao comitê de apuração.
- Fica com a sua organização
- Composição do comitê, prazos de resposta e o afastamento de quem for citado no relato.
Evidências
O histórico recente
O que foi testado, quando, e o que vem a seguir.
Revisão trimestral de acessos
02/09/2026 · 3 acessos removidos e 1 reduzido para somente leitura.
Teste mensal de restauração
01/09/2026 · Base de produção restaurada em ambiente isolado em 42 minutos.
Pentest externo
22/08/2026 · Nenhum achado crítico ou alto; 2 médios corrigidos em 29/08.
Simulado de resposta a incidentes
10/2026 · Roteiro aprovado, equipe e fornecedores convocados.
Chave dedicada por cliente
11/2026 · Migração em lotes, começando pela plataforma de saúde.
Dados fictícios, apenas ilustrativos.
Documentos
Para a sua avaliação de fornecedor
Enviados mediante solicitação; os marcados com NDA exigem acordo de confidencialidade.
| Documento | Acesso |
|---|---|
| Política de segurança da informação | Sob solicitação |
| Acordo de tratamento de dados (minuta) | Sob solicitação |
| Lista de suboperadores | Sob solicitação |
| Sumário executivo do pentest 2026 | NDA |
| Relatórios de restauração — 12 meses | NDA |
| Questionário de segurança preenchido | NDA |
Dados fictícios, apenas ilustrativos.
Solicitar documentosPróximo passo