Aviso de Privacidade

1. Escopo deste Aviso

Este Aviso descreve como os dados pessoais e metadados técnicos são tratados no portal de acesso à rede Wi‑Fi de visitantes do Hospital Samaritano Hortolândia. Ele se aplica ao cadastro, à validação, à autorização e à auditoria da sessão de acesso.

2. Controlador dos dados

Hospital Samaritano Hortolândia é responsável pelas decisões relativas ao tratamento de dados pessoais realizado neste portal, observadas as responsabilidades institucionais e contratuais aplicáveis.

3. Finalidades do tratamento

Os dados são tratados, conforme a finalidade e a hipótese legal aplicável, para:

• disponibilizar, administrar e controlar o acesso à rede Wi‑Fi de visitantes;
• associar a identificação informada pelo usuário à sessão técnica efetivamente criada na infraestrutura UniFi;
• prevenir automação, abuso, fraude, uso indevido e tentativas de acesso não autorizado;
• proteger a segurança, disponibilidade e integridade da infraestrutura de rede;
• manter rastreabilidade, auditoria e evidências técnicas relacionadas à sessão;
• investigar incidentes de segurança e apoiar resposta a eventos;
• cumprir obrigações legais, regulatórias, contratuais ou determinações de autoridades competentes, quando aplicáveis;
• exercer regularmente direitos do HSH ou de terceiros em procedimentos administrativos, judiciais ou arbitrais, quando cabível.

4. Dados tratados

De acordo com o funcionamento da sessão e a disponibilidade técnica dos equipamentos, poderão ser tratados:

• CPF informado pelo usuário, armazenado de forma mascarada para visualização, indexado por HMAC para pesquisa e criptografado para recuperação autorizada;
• identificadores técnicos da conexão, como endereço MAC apresentado pelo dispositivo, IP observado pelo portal e IP técnico retornado pela infraestrutura UniFi;
• dados da associação Wi‑Fi, como SSID, ponto de acesso (AP), identificador do cliente UniFi e identificador do site da aplicação Network;
• dados temporais, incluindo data e hora da solicitação, confirmações, autorização, expiração e eventos relacionados à sessão;
• evidências dos documentos apresentados, incluindo versões dos Termos de Uso, deste Aviso de Privacidade e da declaração de identificação, além dos respectivos horários de confirmação;
• dados técnicos de segurança, como resultado da verificação Cloudflare Turnstile, hostname, action, timestamp do desafio e eventos de erro ou bloqueio;
• metadados do redirecionamento UniFi estritamente necessários para vincular o visitante à sessão técnica, quando disponibilizados pela plataforma.

5. CPF autodeclarado e limite da validação

O CPF é informado diretamente pelo usuário. A aplicação verifica apenas a estrutura e os dígitos verificadores do número informado. Não há, neste fluxo, consulta à Receita Federal, GOV.BR ou outro provedor oficial de identidade.

Por esse motivo, o registro deve ser interpretado como CPF informado pelo visitante e não como certificação de identidade civil ou comprovação documental de titularidade.

6. O que não é coletado por este portal

O portal não foi projetado para armazenar histórico individual de sites visitados, URLs acessadas, pesquisas realizadas, conteúdo de páginas, mensagens, conteúdo de tráfego HTTPS, prontuários, diagnósticos ou outros dados clínicos.

A URL que eventualmente originar o redirecionamento do captive portal não é persistida pela aplicação como histórico de navegação.

7. Termos de Uso, ciência deste Aviso e declaração

O portal apresenta controles separados para:

• aceite dos Termos de Uso da Rede Wi‑Fi;
• ciência deste Aviso de Privacidade;
• declaração de responsabilidade sobre o CPF informado.

A ciência do Aviso de Privacidade registra transparência sobre o tratamento de dados e não constitui consentimento genérico para finalidades não informadas. A versão de cada documento e o horário das confirmações são registrados para fins de auditoria.

8. Bases legais

O tratamento não depende necessariamente de uma única base legal. O HSH deverá vincular cada finalidade à hipótese prevista na LGPD que lhe seja aplicável, considerando sua atuação, obrigações e contexto institucional. A exibição deste Aviso tem finalidade de transparência e não transforma, por si só, todas as operações de tratamento em tratamento baseado em consentimento.

9. Compartilhamento e operadores

Dados estritamente necessários ao funcionamento e à segurança do serviço podem ser processados por fornecedores de tecnologia utilizados pelo HSH, incluindo hospedagem do portal, proteção antiabuso e infraestrutura de rede.

No desenho atual, participam tecnicamente do fluxo serviços da Locaweb, Cloudflare e Ubiquiti. O compartilhamento deve se limitar ao necessário para a finalidade contratada e observar os contratos, controles de segurança e demais requisitos aplicáveis.

10. Transferência e processamento internacional

Determinados fornecedores de tecnologia podem operar infraestrutura distribuída ou processar dados fora do Brasil. O HSH deve avaliar e documentar, quando aplicável, os mecanismos e requisitos legais relacionados à transferência internacional de dados pessoais.

11. Retenção e descarte

Os registros serão mantidos pelo período necessário às finalidades informadas e às obrigações legais e regulatórias aplicáveis, conforme política institucional do HSH.

O ambiente externo de hospedagem deve manter apenas a janela operacional necessária ao funcionamento, à correção de incidentes e ao arquivamento. O desenho prevê exportação periódica para o repositório institucional definido pelo HSH e posterior expurgo da cópia operacional, conforme política aprovada.

Ordens judiciais, obrigações legais, incidentes ou exercício regular de direitos podem justificar preservação específica de registros pelo período necessário, conforme análise institucional.

12. Segurança da informação

O portal utiliza medidas como HTTPS, segregação de rede, Cloudflare Turnstile, controles de sessão, criptografia do CPF, HMAC para pesquisa, restrições administrativas e trilha de eventos. As chaves e segredos da aplicação são mantidos fora do repositório público de código.

Nenhuma medida técnica elimina integralmente os riscos. O projeto adota princípios de minimização, segurança, prevenção e necessidade, com revisão progressiva dos controles.

13. Direitos dos titulares

Os titulares podem exercer os direitos previstos na LGPD, conforme aplicáveis ao tratamento, pelos canais oficiais disponibilizados pelo HSH. Entre esses direitos podem estar confirmação da existência de tratamento, acesso, correção, informação sobre compartilhamentos, oposição ou outras solicitações previstas em lei, observadas as hipóteses e limitações legais.

Canal de privacidade informado pelo HSH: dpo@samaritanohortolandia.com.br.

14. Solicitações de autoridades e preservação de evidências

Registros poderão ser preservados ou fornecidos quando houver obrigação legal, determinação judicial ou requisição válida de autoridade competente, conforme os requisitos legais e os procedimentos internos do HSH. O acesso aos registros deve ser restrito e auditável.

15. Marco Civil da Internet

O Marco Civil da Internet estabelece regras próprias para proteção de registros, dados pessoais e comunicações, além de distinguir registros de conexão de registros de acesso a aplicações. Este portal foi desenhado para apoiar a rastreabilidade técnica da sessão sem manter histórico individual de aplicações ou conteúdo de navegação.

16. Atualizações deste Aviso

Este Aviso poderá ser atualizado em razão de mudanças técnicas, jurídicas, operacionais ou de segurança. A versão apresentada ao visitante no momento da solicitação de acesso permanece registrada junto à sessão.

17. Contato

Dúvidas sobre este Aviso ou sobre o tratamento de dados relacionado ao hotspot devem ser encaminhadas aos canais institucionais de privacidade do Hospital Samaritano Hortolândia.