POLÍTICA DE PRIVACIDADE

1. OBJETIVO

A presente Política de Privacidade e Proteção de Dados Pessoais tem como objetivo fornecer orientações sobre como gerenciar as diversas atividades e operações de tratamento de dados pessoais existentes na Synvia.

Por meio deste documento, o Grupo Synvia busca a adequação à Lei Geral de Proteção de Dados (Lei nº 13.709/2018 – “LGPD”) e outras leis setoriais sobre o tema.

A presente Política estabelece as diretrizes da Synvia para resguardo e uso de dados pessoais que venham a ser tratados em suas atividades, tendo como referência a Lei Geral de Proteção de Dados Pessoais, entre outras normas nacionais e internacionais relativas à privacidade e proteção de dados pessoais.

2. DEFINIÇÕES

Para fins desta política, aplicam-se as seguintes definições:

• AGENTES DE TRATAMENTO DE DADOS PESSOAIS: O controlador e o operador de dados pessoais.

• ANONIMIZAÇÃO: Utilização de meios técnicos, razoáveis e disponíveis no momento do tratamento de dados pessoais, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo. O dado anonimizado não é considerado dado pessoal para os fins da LGPD.

• AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (“ANPD”): Órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo território nacional.

• CONTROLADOR DE DADOS PESSOAIS: Pessoa física ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.

• DADOS PESSOAIS: Informação relacionada a pessoa natural identificada ou identificável. Também são considerados dados pessoais aqueles utilizados para formação do perfil comportamental de determinada pessoa natural.

• DADOS PESSOAIS SENSÍVEIS: Dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico quando vinculado a pessoa natural.

• ENCARREGADO OU DATA PROTECTION OFFICER (“DPO”): Pessoa física ou jurídica indicada pelo Agente de Tratamento para atuar como canal de comunicação entre o Controlador, os titulares de dados e a ANPD. Será responsável pela implementação do Programa de Conformidade e condução das atividades relacionadas à proteção de dados no Sistema de Controles Internos e de Conformidade SYNVIA.

• FORNECEDORES: No contexto da SYNVIA, são considerados fornecedores os outros terceiros contratados e subcontratados, pessoa física ou jurídica, não enquadrados como parceiros comerciais.

• LEI GERAL DE PROTEÇÃO DE DADOS (“LGPD”): Diploma normativo (Lei nº 13.709/2018) que dispõe sobre o tratamento de dados pessoais em meios digitais ou físicos.

• OPERADOR DE DADOS PESSOAIS: Pessoa física ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do Controlador.

• PARCEIROS COMERCIAIS: Terceiros contratados (pessoa física ou jurídica) que atuam em nome da Synvia, como: Consultores, Conveniados e Agentes Comerciais.

• TERCEIRO: Toda pessoa física ou jurídica contratada pela Synvia para desenvolver ou auxiliar no desenvolvimento de suas atividades (fornecedores ou parceiros comerciais).

• TITULAR DE DADOS PESSOAIS (“TITULAR”): Pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.

• TRATAMENTO DE DADOS PESSOAIS (“TRATAMENTO”): Toda operação realizada com dados pessoais (coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração).

3. APLICABILIDADE

Esta Política estabelece diretrizes e regras para garantir que seus destinatários entendam e cumpram as legislações que versam sobre proteção de dados pessoais em todas as interações com atuais e futuros titulares de dados pessoais, terceiros e agentes de tratamento de dados pessoais externos à Synvia no âmbito de suas atividades.

Para além dos conceitos definidos pelas normas, as informações abarcadas pela presente Política incluem todos os dados detidos, usados ou transmitidos pela ou em nome da Synvia, em qualquer tipo de mídia. Isso inclui dados pessoais registrados em papel, mantidos em sistemas de computador ou dispositivos portáteis, bem como dados pessoais transmitidos oralmente.

4. OBJETIVOS ESPECÍFICOS

São objetivos da Política de Privacidade e Proteção de Dados Pessoais:

1. Estabelecer as diretrizes e responsabilidades da Synvia que assegurem e reforcem o compromisso da Organização com o cumprimento das legislações aplicáveis;

2. Descrever as regras a serem seguidas na condução das atividades e operações de tratamento de dados pessoais realizadas pela Synvia e pelos destinatários desta Política.

A presente Política deve ser lida em conjunto com as obrigações previstas nos seguintes documentos:

• Contratos de trabalho dos empregados da Synvia;

• Políticas e normas de procedimentos de segurança da informação;

• Todas as normas internas a respeito da proteção de dados pessoais que vierem a ser elaboradas e atualizadas.

5. PRINCÍPIOS DE PRIVACIDADE E PROTEÇÃO DE DADOS

A Synvia cumprirá com os seguintes princípios quando do tratamento de dados pessoais:

• FINALIDADE: Tratamento apenas para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior incompatível.

• ADEQUAÇÃO: Tratamento compatível com as finalidades informadas e de acordo com o contexto.

• NECESSIDADE: Tratamento limitado ao mínimo necessário (dados pertinentes, proporcionais e não excessivos).

• LIVRE ACESSO: Consulta facilitada e gratuita sobre a forma, duração do tratamento e integralidade dos dados.

• QUALIDADE DOS DADOS: Garantia de exatidão, clareza, relevância e atualização dos dados.

• TRANSPARÊNCIA: Informações claras, precisas e facilmente acessíveis sobre o tratamento e os agentes de tratamento.

• SEGURANÇA: Medidas técnicas e administrativas aptas a proteger os dados pessoais.

• PREVENÇÃO: Adoção de medidas para prevenir a ocorrência de danos.

• NÃO DISCRIMINAÇÃO: Impossibilidade de tratamento para fins discriminatórios ilícitos ou abusivos.

• RESPONSABILIZAÇÃO E PRESTAÇÃO DE CONTAS: Demonstração da adoção de medidas eficazes de cumprimento das normas.

6. BASES LEGAIS PARA O TRATAMENTO DE DADOS PESSOAIS

Todas as operações de tratamento terão uma base legal que legitime a sua realização. A Synvia poderá realizar o tratamento de dados pessoais:

1. Mediante o fornecimento de consentimento pelo titular;

2. Para o cumprimento de obrigação legal ou regulatória;

3. Para a realização de estudos por órgão de pesquisa;

4. Quando necessário para a execução de contrato ou procedimentos preliminares;

5. Para o exercício regular de direitos em processo judicial, administrativo ou arbitral;

6. Para a proteção da vida ou da incolumidade física do titular ou de terceiro;

7. Para a tutela da saúde (em procedimento realizado por profissionais de saúde/autoridade sanitária);

8. Quando necessário para atender aos interesses legítimos da Synvia ou de terceiros;

9. Para a proteção do crédito.

A Synvia realizará registros de suas operações de tratamento, que poderão ser consultados pelo titular dos dados e autoridades públicas competentes.

7. BASES LEGAIS PARA O TRATAMENTO DE DADOS SENSÍVEIS

A Synvia assume o compromisso de resguardo e cuidados especiais frente ao tratamento de dados pessoais sensíveis e dados financeiros. Dados de crianças e adolescentes serão tratados com o mesmo nível de cuidado.

O tratamento de dados sensíveis somente poderá ser realizado:

• Com consentimento: Quando o titular ou responsável legal consentir, de forma específica e destacada.

• Sem consentimento: Nos casos em que for indispensável para:

  • Cumprimento de obrigação legal ou regulatória;

  • Realização de estudos (garantida a anonimização sempre que possível);

  • Exercício regular de direitos (contrato, processo judicial, administrativo, arbitral);

  • Proteção da vida ou da incolumidade física;

  • Tutela da saúde;

  • Garantia da prevenção à fraude e à segurança do titular (identificação e autenticação em sistemas).

8. DIREITOS DOS TITULARES DE DADOS PESSOAIS

A Synvia reforça seu compromisso de respeito aos direitos dos titulares:

• DIREITO À CONFIRMAÇÃO: Confirmar a existência de tratamento de seus dados.

• DIREITO DE ACESSO: Solicitar e receber cópia dos dados coletados.

• DIREITO DE CORREÇÃO: Requisitar correção de dados incompletos, inexatos ou desatualizados.

• DIREITO DE ELIMINAÇÃO: Requisitar a exclusão de dados (salvo se houver motivo legítimo para manutenção).

• DIREITO DE SUSPENSÃO DE TRATAMENTO ILÍCITO: Requisitar anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos.

• DIREITO DE OPOSIÇÃO: Opor-se a tratamento não baseado no consentimento (analisado conforme critérios da LGPD).

• DIREITO À PORTABILIDADE: Requisitar disponibilização dos dados a outro fornecedor.

• DIREITO À REVOGAÇÃO DO CONSENTIMENTO: Revogar consentimento previamente dado (sem afetar a legalidade do tratamento anterior).

9. DEVERES PARA O USO ADEQUADO DE DADOS PESSOAIS

Deveres dos Titulares

• Comunicar à Synvia quaisquer modificações em seus dados pessoais (ex: mudança de endereço).

• Notificar através do e-mail: dpo@synvia.com.

Deveres dos Empregados da Synvia

• O compartilhamento de dados entre empresas do Grupo Synvia é permitido apenas se respeitada a finalidade, base legal e princípio da necessidade.

• Não disponibilizar acesso a dados para pessoas não autorizadas.

• Obter a autorização necessária e documentos que demonstrem a competência para o tratamento.

• Cumprir normas de segurança da informação.

Deveres de Todos os Destinatários

Contatar o Encarregado da Synvia em caso de suspeita ou ocorrência de:

1. Operação sem base legal;

2. Tratamento sem autorização;

3. Desconformidade com a Política de Segurança da Informação;

4. Eliminação/destruição não autorizada de dados;

5. Qualquer outra violação desta Política.

10. RELAÇÃO COM TERCEIROS

Considerando a responsabilidade solidária prevista na LGPD, a Synvia empregará os melhores esforços para garantir que terceiros cumpram com as legislações aplicáveis.

Todos os contratos com terceiros deverão conter cláusulas referentes à proteção de dados pessoais, sendo revisados e submetidos à aprovação do encarregado e equipe técnica.

11. SEGURANÇA DA INFORMAÇÃO

As normas de segurança estão contidas na Política de Segurança da Informação da Synvia. A organização se compromete a empregar medidas técnicas e organizacionais adequadas para proteger os dados contra acessos não autorizados, perda, destruição e compartilhamento indevido.

12. TRANSFERÊNCIA INTERNACIONAL DE DADOS

A Synvia poderá transferir dados para outros países nas seguintes condições:

Sem consentimento (quando autorizada a tratar dados por outra base legal):

• País com nível adequado de proteção (pela ANPD ou decisão de Adequação da Comissão Europeia/GDPR); ou

• Oferecimento de salvaguardas (Códigos de Conduta, Cláusulas Contratuais Padrão, Selos/Certificados).

Com consentimento:

• Obtenção de consentimento explícito e destacado para a transferência internacional.

A Synvia informará os titulares sobre a ocorrência de transferências internacionais, designando o conjunto de dados, a finalidade e o destino.

13. MONITORAMENTO E ATUALIZAÇÃO

A Synvia assume o compromisso de revisitar a presente Política periodicamente. Todas as alterações realizadas serão comunicadas oportunamente pelos canais oficiais da Organização.

14. COMUNICAÇÃO POR WHATSAPP

A Synvia utiliza o WhatsApp como canal oficial de comunicação com titulares que tenham fornecido seu número de telefone em canais da Organização (cadastro de voluntários, formulários do site, atendimento presencial ou iniciativa do próprio titular via contato direto com o número oficial da Synvia).

14.1. Finalidades. As mensagens enviadas por meio do WhatsApp têm as seguintes finalidades: (i) comunicações transacionais relacionadas a estudos clínicos, incluindo confirmações, lembretes, orientações pré-estudo e retornos; e (ii) divulgação de novos estudos em recrutamento e campanhas institucionais da Synvia.

14.2. Base legal. O tratamento de dados pessoais para envio de mensagens por WhatsApp é realizado com base no consentimento do titular (art. 7º, I, da LGPD), coletado de forma específica e destacada no próprio canal, mediante confirmação expressa pelo titular (resposta "SIM" ou equivalente a mensagem de confirmação previamente enviada pela Synvia).

14.3. Caráter facultativo e revogação. O fornecimento do consentimento é facultativo. O titular pode revogá-lo a qualquer momento, sem qualquer ônus, por meio de:

• Envio das palavras-chave SAIR, CANCELAR, PARAR, DESCADASTRAR ou STOP ao número oficial da Synvia;

• Acionamento do botão de descadastramento presente nos modelos de mensagem (templates);

• Solicitação encaminhada ao Encarregado pelo e-mail dpo@synvia.com. 

A revogação do consentimento interrompe imediatamente o envio de novas mensagens, sem prejuízo da legalidade dos tratamentos realizados anteriormente à revogação.

14.4. Registro do consentimento. A Synvia mantém, em seu sistema interno de mensageria (Connect), registro auditável das operações de consentimento e revogação, contendo, no mínimo: identificação do titular, número de telefone, data e hora do opt-in, canal de origem, versão do texto aceito, status atual e, quando aplicável, data e origem da revogação.

14.5. Prazo de retenção. O registro do consentimento é mantido pelo período em que o titular permanecer ativo como destinatário de mensagens e, após a revogação, por até 5 (cinco) anos, para fins de cumprimento de obrigações legais, regulatórias e exercício regular de direitos.

14.6. Dúvidas. Para dúvidas relativas ao tratamento de dados pelo canal WhatsApp, o titular pode contatar o Encarregado da Synvia pelo e-mail dpo@synvia.com. 

15. APLICATIVOS MÓVEIS E SOFTWARE

A Synvia disponibiliza aplicativos móveis e softwares próprios para apoio às suas atividades de pesquisa clínica, bioequivalência, toxicologia e diagnósticos. Esta seção explica, de forma transparente, como tratamos os dados pessoais por meio destes aplicativos.

15.1. Tipos de Usuário

Os aplicativos da Synvia podem ser utilizados por três categorias de usuário:

· Participantes de estudo clínico, que são ostitulares dos dados de saúde, no caso do ePRO;

· Profissionais de pesquisa, que são osinvestigadores, sub-investigadores, monitores, equipe regulatória;

· Equipe administrativa interna da Synvia e/ou de seus parceiros.

15.2. Dados Pessoais Coletados pelos Aplicativos

Os aplicativos da Synvia se dividem em duas categorias quanto à coleta de dados pessoais, conforme o perfil de usuário a quem se destinam.

15.2.1. Aplicativo ePRO — utilizado diretamente pelo participante

O ePRO é destinado ao uso direto pelo participante de estudo clínico. O aplicativo não solicita dados de identificação ao participante, uma vez que o acesso é realizado por meio de credenciais previamente fornecidas, vinculadas ao cadastro do participante no estudo, em conformidade com o protocolo aprovado pelo Comitê de Ética em Pesquisa e demaisórgãos regulatórios competentes.

Os dados coletados pelo ePRO são exclusivamente aqueles previstos nos formulários do protocolo do estudo clínico do qual o participante faz parte. Conforme definido em cada protocolo, estes dados podem incluir:

· Respostas a questionários clínicos validados (como, por exemplo, escores de qualidade de vida, dor, fadiga, função, entre outros);

· Sintomas relatados (como, por exemplo, presença, intensidade, frequência);

· Adesão a medicação (como, por exemplo, horários, doses, ocorrências);

· Eventos adversos relatados pelo participante;

· Diários de sintomas e hábitos relevantes ao protocolo;

· Sinais vitais autorrelatados, quando aplicável ao protocolo;

· Outras informações específicas previstas no protocolo do estudo.

Estes dados são classificados como dados pessoais sensíveis (artigos 5º, inciso II e 11 da Lei Geral de Proteção de Dados Pessoais) por se referirem à saúde do titular. A associação dos dados ao participante ocorre nos sistemas internos da Synvia por meio do identificador único do participante no estudo (código de participante), sem que o aplicativo solicite ao titular informações de identificação direta como nome, CPF, e-mail ou contato telefônico.

15.2.1.1 Pseudonimização dos Dados

Sempre que possível, os dados coletados por meio do ePRO serão tratados de forma pseudonimizada, mediante utilização de código de participante ou identificador único do estudo. As informações que permitam a identificação direta do participante permanecem segregadas em ambiente controlado e acessível apenas a profissionais autorizados.

15.2.2. Aplicativos de gestão de estudos — utilizados pela equipe interna da Synvia e/ou parceiros

Estes aplicativos são destinados ao uso pelos profissionais de pesquisa da Synvia (como, por exemplo, investigadores, sub-investigadores, monitores, coordenadores, e demais membros da equipe regulatória e administrativa) para condução, gestão e documentação dos estudos.

Os dados pessoais tratados nestes aplicativos podem incluir:

Dados de profissionais usuários do aplicativo:

· Nome completo;

· E-mail corporativo;

· Função e atividades desenvolvidas no estudo;

· Identificador único de usuário no sistema;

· Registros de auditoria de uso (data, hora e ação realizada).

Dados de participantes de estudo, tratados pela equipe interna:

· Dados de identificação coletados durante o recrutamento e triagem do estudo, conforme protocolo do estudo clínico aprovado, podendo incluir nome, CPF, data de nascimento, contato e dados demográficos;

· Dados de saúde do participante coletados pela equipe da Synvia conforme protocolo do estudo clínico (como, por exemplo, histórico clínico,

resultados de exames, biomarcadores, parâmetros farmacocinéticos de bioequivalência, entre outros);

· Identificador único do participante no estudo (código de participante).

15.2.3. Dados técnicos de uso (todos os aplicativos)

Todos os aplicativos coletam, de forma transparente, dados técnicos mínimos necessários para operação, segurança e auditoria:

· Identificador do dispositivo, para autenticação e prevenção de duplicação de sessão;

· Data e hora de acesso e ações realizadas no aplicativo (registro de auditoria);

· Versão do aplicativo, modelo do dispositivo e sistema operacional, para suporte técnico;

· Endereço IP, para fins de segurança.

· Logs de falhas (crash reports);

· Registros de desempenho e diagnóstico do aplicativo;

· Eventos de segurança e autenticação.

15.2.4. Dados não coletados

Salvo previsão expressa em adendo específico por aplicativo, a Synvia não coleta em seus aplicativos: localização precisa (GPS), salvo quando expressamente previsto pelo protocolo de pesquisa e previamente informado ao participante, gravação de áudio, vídeo ou imagens, salvo quando explicitamente previsto pelo protocolo do estudo clínico, lista de contatos do dispositivo, histórico de navegação, mensagens ou dados financeiros do usuário.

15.3. Finalidade do Tratamento

Os dados coletados pelos aplicativos são tratados exclusivamente para:

· Coleta, registro e análise de dados de pesquisa clínica conforme protocolo do estudo clínico aprovado pelo Comitê de Ética em Pesquisa (CEP) e demais autoridades regulatórias competentes;

· Cumprimento de exigências das autoridades regulatórias nacionais, como, por exemplo, da Agência Nacional de Vigilância Sanitária (ANVISA) e, quando aplicável, agências internacionais como FDA, EMA e PMDA;

· Comunicação com participantes e equipes do estudo (como, por exemplo, lembretes, orientações, retornos);

· Garantia da integridade, rastreabilidade e auditabilidade dos dados (Boas Práticas Clínicas — GCP/BPC);

· Suporte técnico ao uso dos aplicativos;

· Prara fins de cumprimento de obrigações contratuais firmadas pela Synvia junto a terceiros.

15.4. Base Legal

O tratamento de dados pessoais pelos aplicativos da Synvia é fundamentado nas seguintes bases legais:

Para dados pessoais não sensíveis:

· Execução de contrato ou procedimentos preliminares (Art. 7°, inciso V da Lei Geral de Proteção de Dados Pessoais), no caso de profissionais de pesquisa contratados;

· Cumprimento de obrigação legal ou regulatória (Art. 7°, incido II, da Lei Geral de Proteção de Dados Pessoais), especialmente para registros exigidos pela ANVISA;

· Consentimento do titular (Art. 7°, inciso I, da Lei Geral de Proteção de Dados Pessoais), quando o titular é o participante do estudo.

· Para a proteção da vida ou da incolumidade física do titular ou de terceiro (Art. 7°, inciso VII da Lei Geral de Proteção de Dados Pessoais), quando o titular é o participante do estudo;

Para dados pessoais sensíveis (incluindo dados de saúde do participante):

· Consentimento específico e destacado do titular (Art. 11°, inciso I , Lei Geral de Proteção de Dados Pessoais), coletado por meio do Termo de Consentimento Livre e Esclarecido (TCLE) do estudo, aprovado pelo Comitê de Ética em Pesquisa e demais órgãos regulatórios competentes, reforçado dentro do próprio aplicativo no primeiro acesso;

· Quando aplicável, cumprimento de obrigação legal ou regulatória (Art. 11°, inciso II, alíneas "a" e “c”, caso necessário, Lei Geral de Proteção de Dados Pessoais).

15.5. Permissões do Dispositivo

Os aplicativos da Synvia podem solicitar acesso a recursos do dispositivo do usuário. Cada permissão é justificada conforme tabela a seguir e somente é coletada após autorização explícita do usuário no momento do uso (não há coleta automática em segundo plano):

Permissões do Aplicativo

Para o adequado funcionamento e a segurança do estudo, o aplicativo poderá solicitar as seguintes permissões em seu dispositivo:

A permissão de notificações é utilizada para o envio de lembretes de preenchimento de questionários, bem como de comunicações relacionadas ao estudo.

A permissão de armazenamento permite salvar suas respostas localmente no dispositivo antes do envio, possibilitando o uso do aplicativo mesmo sem conexão com a internet (modo offline).

A permissão de câmera é solicitada exclusivamente para a captura de documentos ou imagens previstas no protocolo do estudo, sendo acionada apenas quando tal funcionalidade for aplicável.

A permissão de biometria/autenticação é empregada para garantir o acesso seguro do usuário ao aplicativo, por meio de recursos como reconhecimento facial (Face ID) ou leitor de impressão digital.

Todas as permissões são utilizadas estritamente para as finalidades descritas acima e podem ser gerenciadas a qualquer momento nas configurações do seu dispositivo.

A autenticação biométrica (Face ID, digital) é processada e armazenada exclusivamente no próprio dispositivo do usuário. A Synvia não coleta, transmite nem armazena dados biométricos em seus servidores.

O usuário pode revogar qualquer permissão a qualquer momento nas configurações do sistema operacional do dispositivo. A revogação de permissões essenciais pode impactar funcionalidades do aplicativo (por exemplo, sem permissão de notificação, o participante não receberá lembretes de preenchimento).

15.6. Compartilhamento de Dados

Os dados coletados pelos aplicativos da Synvia podem ser compartilhados com:

· Patrocinador do estudo clínico: pessoa física ou jurídica, de direito público ou privado, que apoia pesquisa mediante ação de financiamento, de infraestrutura, de recursos humanos ou de suporte institucional, deste modo que o Patrocinador é o titular do estudo e destinatário primário dos dados;

· Organização Representativa de Pesquisa Clínica (ORPC): pessoa jurídica ou organização contratada por patrocinador para realizar uma ou mais tarefas e funções relacionadas ao estudo clínico; o;

· Centro de pesquisa: local onde as atividades relacionadas ao estudo clínico são conduzidas;

· Sistema Nacional de Ética em Pesquisa com Seres Humanos (SINEP), composto pelo Comitê de Ética em Pesquisa (CEP) e Instância Nacional de Ética em Pesquisa (INAEP), no exercício de suas atribuições;

· Autoridades regulatórias: ANVISA, FDA, EMA, PMDA e equivalentes, quando exigido por lei ou solicitação formal;

· Provedores de infraestrutura tecnológica (cloud computing, hospedagem, backup), submetidos a contratos com cláusulas de proteção de dados;

· Autoridades judiciais e administrativas, mediante ordem legal específica.

A Synvia NÃO compartilha os dados dos aplicativos para fins de publicidade, marketing de terceiros, venda de listas, pontuação de crédito ou perfis comportamentais comerciais.

Parte do compartilhamento descrito no item 15.6 pode envolver a transferência de dados pessoais para fora do Brasil, como, por exemplo, no atendimento a autoridades regulatórias internacionais (FDA, EMA, PMDA) ou no uso de provedores de infraestrutura tecnológica sediados no exterior.

Essas transferências são realizadas em conformidade com os artigos 33 a 36 da Lei Geral de Proteção de Dados. Nestes casos, a Synvia adota salvaguardas contratuais e técnicas suficientes para assegurar que os dados transferidos recebam proteção compatível com a exigida pela legislação brasileira.

15.7. Tempo de Retenção

Os dados coletados pelos aplicativos da Synvia em contexto de estudos clínicos serão mantidos pelos seguintes prazos:

· Dados primários do estudo (incluindo respostas de ePRO e registros de eCRF): no mínimo 20 (vinte) anos a partir do encerramento do estudo, em cumprimento ao Art. 41 da Resolução RDC nº 9/2015 da ANVISA, e, quando aplicável, poderá ser exigido outro prazo a depender das normas internacionais, observado o prazo mínimo legalmente exigido para retenção da documentação essencial do estudo.;

· Dados de auditoria e rastreabilidade: mesmo prazo dos dados primários;

· Dados de uso técnico do aplicativo (logs de sessão, telemetria de erro): até 24 (vinte e quatro) meses após coleta;

· Dados de profissionais de pesquisa (como, por exemplo, investigadores, monitores): pelo prazo de vínculo contratual com o estudo, acrescido do prazo prescricional aplicável.

15.8. Segurança

Os aplicativos da Synvia implementam medidas técnicas de segurança específicas, incluindo:

· Comunicação cliente-servidor via TLS 1.2 ou superior (criptografia em trânsito);

· Armazenamento local criptografado (criptografia em repouso) com chaves vinculadas ao dispositivo do usuário;

· Autenticação por usuário/senha forte ou biometria (Face ID / digital);

· Controle de sessão com expiração automática por inatividade;

· Registro de auditoria de todas as ações relevantes;

· Atualizações de segurança periódicas distribuídas pelas lojas oficiais (Google Play, Apple App Store).

15.9. Atualizações dos Aplicativos e desta Seção

A Synvia poderá publicar atualizações periódicas dos aplicativos e desta seção. Alterações materiais nesta seção serão notificadas aos usuários por meio de aviso destacado no próprio aplicativo, com solicitação de novo consentimento quando exigido pela Lei Geral de Proteção de Dados Pessoais.

15.10. Seus direitos e como exercê-los

Nos termos do artigo 18 da Lei Geral de Proteção de Dados Pessoais., o titular pode solicitar, entre outros, a confirmação da existência de tratamento, o acesso aos dados, a correção de dados incompletos ou desatualizados, a portabilidade e informações sobre compartilhamento. No contexto de pesquisa clínica, o exercício de alguns direitos pode ser limitado por obrigações regulatórias (por exemplo, a guarda obrigatória descrita no item 15.8).

Para exercer seus direitos ou esclarecer dúvidas sobre o tratamento de dados nos aplicativos, entre em contato com o Encarregado pelo Tratamento de Dados (DPO) da Synvia: Ana Carolina Bernardo Machado (Titular) / Noele Ciati (Substituta) através do dpo@synvia.com. Além deste e-mail, os participantes de estudo também podem contatar a equipe do estudo conforme indicado no TCLE.