LEGAL
Política de retenção de dados.
ÚLTIMA ATUALIZAÇÃO: 26 DE MAIO DE 2026
Esta política descreve por quanto tempo a Theravus retém cada categoria de dado pessoal e clínico, e qual a base legal/normativa para tal prazo. Está alinhada à LGPD (Lei 13.709/2018), às resoluções do Conselho Federal de Psicologia (CFP), do Conselho Federal de Medicina (CFM) e à legislação tributária aplicável.
| Categoria | Retenção | Base normativa |
|---|---|---|
| Prontuário clínico (registros, evoluções, anamneses) | 20 anos após o último atendimento | Resolução CFP 001/2009 (prazo mínimo) + Lei 13.787/2018 (digitalização) |
| Anexos clínicos (áudios, fotos, PDFs) | 20 anos após o último atendimento | Vinculados ao prontuário — mesmo prazo |
| Prescrições e atestados | 5 anos | Resolução CFM 1.821/2007 + LGPD |
| Documentos fiscais (notas, recibos, faturas) | 5 anos | CTN art. 174 + LGPD |
| Logs de acesso e auditoria | 6 meses (acesso) / 5 anos (auditoria) | LGPD art. 16 + boas práticas de segurança |
| Logs de DPO (solicitações LGPD) | 5 anos após conclusão | LGPD art. 18 — prova de atendimento à solicitação |
| Mensageria com paciente (chat, e-mail, WhatsApp) | 20 anos após o último atendimento | Equiparada a registro clínico quando vinculada ao tratamento |
| Backups | 30 dias (rolling) | Mesmo conteúdo dos dados primários, com purge automático |
| Dados de marketing (leads, newsletter) | Até a revogação do consentimento | LGPD art. 8º + 16 — consentimento revogável |
| Conta de profissional inativa | 60 dias após inatividade declarada | Período mínimo para reativação; após isso, dados pessoais são anonimizados ou eliminados |
Como o descarte é feito
Ao atingir o prazo de retenção, os dados são eliminados de forma irreversível dos bancos de produção e expurgados dos backups na próxima rotação (em até 30 dias). Dados anonimizados — sem identificação direta ou indireta do titular — podem ser mantidos para fins estatísticos, nos termos da LGPD art. 12.
Solicitação antecipada
O titular dos dados (paciente ou profissional) pode solicitar eliminação antecipada via portal LGPD ou por e-mail ao DPO. Casos em que a Theravus está obrigada por lei a manter os dados (ex: prontuário durante o prazo CFP) serão respondidos com justificativa formal.
Configuração por tenant
Administradores de clínica podem revisar e ajustar os prazos por categoria em Configurações → Compliance → Política de Retenção, respeitados os mínimos legais acima. Toda alteração é registrada em log de auditoria.