Política de segurança da informação

Esta política resume como a Twogether protege as informações de quem usa o site e o aplicativo e o que cada pessoa pode fazer para manter a própria conta segura. Ela complementa a Política de privacidade.

1. Princípios

• Confidencialidade: cada pessoa acessa só o que precisa para a sua função.
• Integridade: os dados ficam corretos e protegidos contra alteração indevida.
• Disponibilidade: o site e o aplicativo ficam acessíveis para quem tem direito.
• Mínimo necessário: a Twogether coleta e guarda apenas o necessário para cada finalidade.

2. No site

• O site é servido apenas por conexão criptografada (HTTPS), pela Cloudflare.
• Os formulários são enviados por conexão criptografada a uma função no servidor, que aceita só os campos previstos e recusa envios de outros sites.
• A chave de integração com o RD Station fica no servidor e nunca é enviada ao navegador.
• Nenhuma ferramenta de medição ou de publicidade grava cookies antes do seu aceite.
• O acesso às contas de administração do site (hospedagem, gestão de contatos e ferramentas de medição) é restrito a quem opera o site. [A DEFINIR: verificação em duas etapas obrigatória nessas contas]

3. No aplicativo

• O profissional de saúde vê apenas os dados básicos do usuário e a ficha preenchida no atendimento, sem acesso a históricos com outros profissionais.
• O contato entre usuário e profissional acontece só dentro do aplicativo, e é proibido copiar, printar, gravar ou divulgar dados, imagens e conversas fora dele.
• Os pagamentos são processados pelo Mercado Pago.
• Os registros de acesso ao aplicativo são guardados sob sigilo, em ambiente controlado, por no mínimo seis meses (Marco Civil da Internet, art. 15).
• [CONFIRMAR COM A PLATAFORMA: criptografia dos dados em trânsito e armazenados, onde o aplicativo está hospedado, cópias de segurança, controle de acesso da equipe ao painel administrativo, registro de quem acessa o quê, proteção específica dos dados das fichas e regras de senha]
• [CONFIRMAR COM A PLATAFORMA: que os dados do cartão não ficam guardados na plataforma da Twogether]

4. Pessoas e fornecedores

• Quem trabalha na Twogether ou para ela acessa dados só quando a função exige e mantém sigilo sobre eles.
• Os profissionais de saúde guardam sigilo sobre as informações dos atendimentos, como manda o código de ética do seu conselho.
• Os fornecedores que tratam dados em nome da Twogether seguem as instruções dela e têm obrigações de proteção de dados em contrato. [A DEFINIR: cláusulas de proteção de dados nos contratos com cada fornecedor]

5. O que você pode fazer

• Use uma senha forte, só sua, e não compartilhe o acesso à sua conta.
• Desconfie de pedidos de dinheiro, de dados bancários ou de códigos de verificação, mesmo de alguém que você conheceu no aplicativo.
• Não clique em links de mensagens que digam ser da Twogether sem conferir o remetente. A Twogether nunca pede a sua senha.
• Se notar algo estranho na sua conta ou receber uma ameaça, use as ferramentas de denúncia do aplicativo e avise a Twogether pelos canais oficiais.

6. Incidentes de segurança

Se houver um incidente de segurança, a Twogether:

1. contém o problema e avalia quais dados e pessoas foram afetados;
2. comunica a ANPD e as pessoas afetadas quando o incidente puder trazer risco ou dano relevante, como mandam a LGPD (art. 48) e a regulamentação da ANPD sobre comunicação de incidentes (Resolução CD/ANPD nº 15/2024);
3. registra o incidente e as medidas tomadas para evitar que ele se repita.

Para relatar uma suspeita de incidente ou de vulnerabilidade, escreva para twogether@twogetherbrasil.com.br. [A DEFINIR: quem responde pelos incidentes na Twogether]

7. Revisão desta política

Esta política é revista sempre que o site ou o aplicativo mudarem de forma relevante. A data da última atualização fica no topo da página.