Política de Segurança da Informação

1. Objetivo e princípios

Esta Política descreve as medidas técnicas e administrativas que a WebbIA adota para proteger os dados tratados na plataforma WebbIA Clinical, em especial dados de saúde. Ela detalha o compromisso assumido nos Termos de Uso e no Acordo de Tratamento de Dados Pessoais e segue os princípios da LGPD: segurança, prevenção, necessidade e responsabilização.

As medidas são proporcionais à natureza, à finalidade, ao volume e ao risco das operações, e são revisadas à medida que a plataforma e as ameaças evoluem.

2. Segregação de dados entre clínicas (multi-tenant)

Cada clínica é um ambiente lógico isolado. Todos os registros são vinculados à clínica proprietária, e o banco de dados aplica controle de acesso em nível de linha (row-level security) de forma obrigatória: uma consulta feita por um usuário só enxerga e altera dados da própria clínica, mesmo em caso de falha na aplicação.

Funções administrativas que precisam cruzar clínicas (por exemplo, registrar uma assinatura) são poucas, explícitas e executadas sob privilégio controlado.

3. Controle de acesso e autenticação

• Acesso por papéis: proprietário, administrador e membro, com permissões distintas. Configurações sensíveis (equipe, fiscal, atendente, marca) são restritas a administradores.
• Autenticação por e-mail e senha, com senha mínima de 8 caracteres armazenada com hash; limite de tentativas por janela de tempo (rate limit).
• Sessões em cookies assinados, apenas HTTP e seguros; redefinição de senha por link enviado ao e-mail cadastrado, com validade de 1 hora e uso único, que encerra as demais sessões.
• Convites para novos usuários por token de uso único; a saída de um colaborador é feita pelo administrador da clínica nas configurações.
• Princípio do menor privilégio na equipe da WebbIA: acesso operacional ao banco de produção restrito e usado apenas para operação, suporte e manutenção.

4. Criptografia

• Em trânsito: todas as conexões usam TLS (HTTPS), inclusive entre a aplicação, o banco de dados e os fornecedores.
• Em repouso: o banco de dados gerenciado armazena os dados com criptografia em disco.
• Camada adicional: segredos de integração das clínicas (credenciais do WhatsApp, certificado digital A1 e sua senha) são cifrados pela própria aplicação (AES-256-GCM) antes de serem gravados; a chave fica fora do banco de dados e nunca é exibida na tela.
• Cabeçalhos de segurança no navegador: política de conteúdo (CSP) com nonce por resposta, HSTS, proteção contra clickjacking e restrições de permissões do navegador.

5. Registros e monitoramento

• Registros de acesso e de operações relevantes (autenticação, alterações de configuração, mensagens enviadas em nome da clínica) com data, hora e usuário.
• Monitoramento de erros da aplicação com remoção automática de dados pessoais antes do envio ao serviço de monitoramento.
• Registros técnicos são mantidos por período limitado, proporcional à finalidade de segurança e diagnóstico.

6. Cópias de segurança e continuidade

O banco de dados gerenciado mantém cópias de segurança automáticas e histórico de recuperação pontual (point-in-time), com retenção de dias conforme o plano contratado junto ao provedor. A infraestrutura de aplicação é gerenciada e redundante, com implantação a partir do repositório de código, o que permite recriar o ambiente rapidamente.

Exclusões feitas pela própria clínica (por exemplo, apagar um cadastro) são definitivas após o período de retenção das cópias de segurança.

7. Desenvolvimento seguro e gestão de vulnerabilidades

• Código versionado com revisão antes da publicação; testes automatizados, incluindo testes de isolamento entre clínicas executados contra o banco de dados.
• Validação de entradas no servidor; consultas parametrizadas; proteção contra redirecionamentos abertos; tokens e segredos nunca expostos ao navegador.
• Dependências mantidas atualizadas e revisões de segurança periódicas do código e da configuração, com correção priorizada por severidade.
• Ambientes de desenvolvimento e produção separados; nenhum dado de produção é usado em desenvolvimento.

8. Fornecedores e suboperadores

Fornecedores são selecionados por suas práticas de segurança e contratados com obrigações de proteção de dados. A lista de suboperadores, com finalidade, dados envolvidos e localização, é publicada no Acordo de Tratamento de Dados Pessoais.

9. Resposta a incidentes

Ao identificar um incidente de segurança, a WebbIA: contém o evento e preserva evidências; avalia natureza, dados e titulares afetados; corrige a causa; e comunica as clínicas afetadas sem demora injustificada, em regra em até 48 horas após a confirmação, com as informações necessárias para que elas avaliem a comunicação aos titulares e à ANPD. Incidentes em que a WebbIA é Controladora são comunicados diretamente aos titulares e à ANPD, conforme a regulamentação.

Relatos de vulnerabilidade são bem-vindos e podem ser enviados para contato@webbiatech.com.br. Pedimos que não sejam acessados dados de terceiros nem realizadas ações que degradem o serviço durante a pesquisa.

10. Responsabilidades da clínica

• Manter as credenciais de acesso em sigilo e usar senhas fortes e exclusivas.
• Revisar periodicamente os usuários com acesso e remover quem deixou a equipe.
• Informar corretamente as credenciais de integrações (WhatsApp, fiscal) e substituí-las se houver suspeita de comprometimento.
• Comunicar imediatamente à WebbIA qualquer acesso suspeito ou incidente.
• Exportar e guardar prontuários e registros de guarda obrigatória pelos prazos legais.

11. Revisão desta Política

Esta Política é revisada ao menos anualmente e sempre que houver mudança relevante na arquitetura ou nos fornecedores. A versão vigente fica publicada na Plataforma com a data de atualização.