Segurança e privacidade por dentro

Onde os dados ficam

A instalação roda em servidor próprio da clínica ou do fornecedor, no Brasil. Banco de dados, áudio das consultas e PDFs de receita ficam nessa mesma máquina.

O que é cifrado

Todo conteúdo clínico — transcrição, resumo, anotação do médico, itens da receita, PDFs e áudio — é cifrado com AES-256-GCM antes de tocar o disco. Cada paciente tem uma chave própria, e essa chave é guardada embrulhada por uma chave-mestra que vive apenas em variável de ambiente, nunca no banco.

O que não é cifrado: nome, CPF, telefone e horário da consulta. Toda tela de agenda lê esses campos, e cifrá-los transformaria a defesa em teatro sem tirar o dado do alcance de quem já entrou no banco. A proteção deles é o controle de acesso e o registro de auditoria.

Quem pode ver o quê

• Médico — prontuário, resumo, receita e sala de atendimento dos próprios pacientes.
• Secretaria — agenda, cadastro e fila de encaixe. Não abre prontuário, não abre receita, não entra na sala.
• Administração — configura a clínica, gerencia a equipe e lê a auditoria. Também não abre prontuário: quem fiscaliza não pode ter acesso irrestrito ao que fiscaliza.
• Paciente — o próprio histórico, com os resumos que o médico validou, e as próprias receitas.

Essas regras vivem numa camada única do código, e cada tentativa fora delas é registrada como acesso negado.

Registro de auditoria

Cada acesso a prontuário gera uma linha com quem, o quê, quando e de qual endereço. As linhas são encadeadas por hash: cada uma carrega o resumo criptográfico da anterior. Alterar ou apagar um registro antigo — inclusive direto no banco — quebra a corrente daquele ponto em diante, e a administração da clínica pode recalcular a cadeia inteira a qualquer momento e ver onde parou de fechar.

A tabela é somente inserção: um gatilho no banco recusa alteração e remoção.

Gravação e transcrição

Nenhuma consulta é gravada sem o paciente aceitar, dentro da sala, no momento em que a gravação começaria — com o botão de recusar do mesmo tamanho do de aceitar. Recusar não muda a consulta; só não há resumo automático. A resposta fica registrada com data, hora e versão do texto aceito, e pode ser revogada durante o atendimento.

Enquanto grava, um indicador fica visível para os dois lados. O áudio é transcrito no servidor da própria clínica — não vai para nenhum serviço de transcrição em nuvem — e é apagado assim que a transcrição termina.

O que a IA recebe

O rascunho do resumo é gerado por um modelo de linguagem da Anthropic. Antes de o transcrito sair do servidor, nome, CPF, telefone, e-mail, endereço e datas de nascimento são substituídos por marcadores como [PACIENTE] e [CPF] — e uma conferência final cancela o envio se algum identificador conhecido tiver escapado. O que viaja é o quadro clínico, não a pessoa. Os nomes voltam ao texto aqui dentro, na hora de mostrar ao médico.

O resultado é um rascunho. Ele aparece marcado como tal e só vira registro depois que um médico revisa e valida. Nada escrito por IA entra no prontuário sozinho.

Receita digital

A plataforma monta o documento e recebe o PDF que o médico assinou com o certificado dele. Conferimos duas coisas: que o conteúdo não mudou depois de assinado, e que a assinatura fecha com a chave do certificado apresentado.

O que não fazemos: validar a cadeia ICP-Brasil até a AC-Raiz, nem consultar revogação de certificado. Para conferência com fé pública existe o validador oficial do ITI. A plataforma nunca assina no lugar do médico.

Limites que não escondemos

• Isto não é um prontuário eletrônico certificado pela SBIS/CFM. Foi construído com as práticas que a certificação cobra — auditoria, cifragem, controle de acesso — mas não carrega o selo.
• A gravação acontece no navegador do médico. Se o navegador dele fechar no meio, perde-se o trecho final; a tela avisa quando não há gravação.
• O aviso por WhatsApp pode usar uma integração não-oficial, que a clínica escolhe ativar. Nesse caso o número usado é dedicado, e a falha dele derruba apenas o aviso — que cai para e-mail.