Política de Privacidade — LabCore

Versão 1.0 — Vigente a partir de 03/05/2026

Esta Política descreve como a LabCore coleta, usa, compartilha e protege dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD).

1. Quem somos

Plataforma SaaS para gestão de laboratórios de prótese dentária. Encarregado pela Proteção de Dados (DPO): dpo@labcore.com.br.

2. Controlador vs Operador

Atuamos em dois papéis distintos conforme o tipo de dado:

Dados do laboratório / usuários do laboratório: LabCore é controladora.
Dados de pacientes: Laboratório (Cliente) é controlador; LabCore é apenas operadora. Solicitações de acesso/exclusão de dados de paciente devem ser dirigidas ao laboratório responsável.

3. Que dados coletamos

Cadastro: nome, e-mail, telefone, CPF/CNPJ, endereço.
Uso da plataforma: logs de acesso (IP, data/hora, user-agent, ações).
Inseridos pelo Cliente: dentistas, clínicas, materiais, OS, anexos.
Dados de paciente (Art. 11 LGPD — sensíveis): nome, data de nascimento, dente trabalhado, cor, observações clínicas. CPF do paciente é hashado.

4. Bases legais

Execução de contrato (Art. 7, V), legítimo interesse (Art. 7, VI), cumprimento de obrigação legal (Art. 7, II) e, para dados de saúde, proteção da saúde por profissional habilitado (Art. 11, II, "f").

5. Compartilhamento

Compartilhamos apenas com operadores essenciais sob DPA: hospedagem, gateway de pagamento (Asaas), e-mail transacional, monitoramento de erros (Sentry com PII redacted), backup off-site.

Não vendemos dados pessoais. Não cruzamos dados entre laboratórios (multitenancy isolada).

6. Retenção

Dados de cadastro do Cliente: enquanto ativo + 5 anos (obrigação fiscal)
Dados de paciente: enquanto contrato com laboratório ativo + 30 dias
Logs de acesso: 6 meses (Marco Civil)
Audit logs: 1 ano
Backups: 30 dias rolando

7. Seus direitos (Art. 18 LGPD)

Você pode solicitar a qualquer momento:

Confirmação de tratamento e acesso aos dados
Correção de dados incompletos/desatualizados
Anonimização, bloqueio ou eliminação
Portabilidade
Revogação de consentimento

Envie solicitação para dpo@labcore.com.br com prova de identidade. Respondemos em até 15 dias.

8. Segurança

TLS 1.3 em trânsito + criptografia em repouso
Hash de senha com bcrypt cost 12 (jamais armazenamos senha em claro)
Cookie de sessão HttpOnly + Secure + SameSite=Lax
Headers de segurança: CSP, HSTS, X-Frame-Options, etc.
Isolamento multitenant via RLS Postgres por empresa_id
Logs de auditoria de eventos críticos
Backup diário com retenção 30 dias

9. Cookies

erp_session: autenticação (estritamente necessário, 7 dias)
Preferências: tema, layout (funcional, 1 ano)

Não usamos cookies de publicidade ou tracking de terceiros.

10. Incidentes

Em caso de incidente com risco relevante: ANPD notificada em até 72h e titulares afetados em prazo razoável.

11. Contato

Última atualização: 03 de maio de 2026 — Versão 1.0. Documento completo: docs/legal/politica-de-privacidade.md