Política de Privacidade
Descrição concreta dos fluxos de dados pessoais, operacionais e científicos atualmente existentes no ecossistema FC Grupo Pesquisa.
1. Onde ocorre tratamento de dados
O FC Grupo Pesquisa é composto por portal público, sistema web autenticado, aplicativo Android de campo, distribuição de questionários, módulo de coletas e amostras, notificações operacionais, auditoria e assistente de IA. Cada superfície recebe apenas o contexto necessário à sua função.
2. Separação entre pessoas da equipe e participantes
Nomes de pesquisadores, coordenadores e colaboradores podem aparecer em tarefas e operações administrativas autorizadas. Participantes de pesquisa seguem outra regra: identidade direta não deve circular nas interfaces científicas, amostras, etiquetas, barcodes, cadeia de custódia ou contexto de IA.
3. Pseudonimização utilizada
Enquanto existe possibilidade controlada de religar o dado à pessoa, o FC Grupo Pesquisa considera o registro pseudonimizado, e não anonimizado. O modelo operacional utiliza três identificadores distintos:
| Identificador | Função |
|---|---|
participant_code | Pseudônimo operacional do participante. |
collection_event_code | Identifica o evento de coleta sem carregar identidade direta. |
specimen_id | Identifica de forma única a amostra física ou alíquota. |
Nome, CPF, CNS, RG, telefone, e-mail pessoal, data de nascimento, endereço, nome da mãe e outros identificadores diretos não devem ser gravados em registros operacionais de amostra ou cadeia de custódia.
4. Identidade e cofre separado
A arquitetura foi desenhada para que identidade direta siga fluxo separado dos dados de pesquisa. No aplicativo Android, mutações de identidade são classificadas para o destino IDENTITY_VAULT e não são enviadas pelo fluxo genérico de respostas científicas. A integração definitiva do cofre de identidade e da reidentificação autorizada permanece em implantação.
5. Acesso ao sistema
O ambiente protegido exige sessão autenticada e autorização server-side. Os tokens de sessão são mantidos em cookies HttpOnly, Secure e SameSite=Lax, reduzindo exposição ao JavaScript do navegador. O backend verifica permissão da rota antes de liberar o sistema.
6. Banco de dados e operações privilegiadas
As tabelas sensíveis do módulo de amostras, IA e demais componentes protegidos utilizam RLS. O acesso privilegiado por service_role é restrito ao backend e não deve ser enviado ao navegador, ao tablet, a logs, prompts ou mensagens.
7. Auditoria e rastreabilidade
O sistema registra eventos reais em trilhas distintas: mutações operacionais, ações do assistente, notificações e cadeia de custódia. A tela de Auditoria consolida esses eventos para usuários autorizados.
8. Assistente de IA
O portal público e o sistema protegido possuem superfícies separadas. O assistente público não recebe acesso ao banco operacional. No sistema protegido, o contexto enviado ao modelo é reduzido e redigido; CPF, telefone e e-mail são filtrados, pedidos de segredos são bloqueados e identificadores diretos de participantes não devem ser retornados. A chamada ao provedor é feita pelo backend com armazenamento do provedor desativado por store=false.
9. Controlador e encarregado
10. Retenção e eliminação
O sistema já preserva histórico onde a rastreabilidade é requisito, como na cadeia de custódia. A política institucional completa de prazos de retenção por categoria de dado ainda deverá ser formalizada, compatibilizando protocolo científico, legislação, auditoria e descarte seguro.