Segurança e LGPD
As fichas são suas. O desenho do sistema garante isso — não uma promessa.
O que fica no seu computador, o que passa pelo nosso servidor, o que a Duda enxerga e o que sai num encaminhamento. Sem letra miúda.
O cofre
A senha não abre a porta. Ela é a chave.
As fichas são gravadas cifradas com AES-256. A chave nasce da sua senha na hora em que você entra e vive só na memória: não fica gravada no computador, no celular, nem em servidor nenhum. Quando você sai — ou quando o sistema tranca sozinho depois de 20 minutos parado —, ela some.
Na prática: quem copiar a pasta do seu computador leva um arquivo embaralhado. Quem pegar um backup, a mesma coisa. E nós também não abrimos, porque não existe chave-mestra. Não é uma regra de conduta; é como o sistema foi construído, e vale inclusive contra nós.
- Radiografias, fotos e anexos também são gravados cifrados, não soltos numa pasta.
- Entre o computador e o celular trafega o mesmo envelope cifrado que fica em disco.
- Na Clínica, cada gaveta tem a própria chave, e o servidor da clínica só a entrega a quem o papel permite — a gerência, por exemplo, nem recebe a do prontuário. Veja quem vê o quê.
- O programa funciona sem internet: a ficha não depende de servidor para abrir.
O que fica onde
Cada dado, em um lugar só — e você sabe qual.
| Dado | Onde fica | Quem consegue ler |
|---|---|---|
| Fichas dos pacientes | No seu computador (Documentos\Consultório) e no celular vinculado, cifradas. | Só quem tem a sua senha. |
| Radiografias, fotos e anexos | No aparelho onde foram anexados, cifrados junto com a ficha. | Só quem tem a sua senha. |
| Backup em arquivo | Onde você escolher: HD externo, pen drive, a sua nuvem. | Só com a senha que valia quando ele foi feito. |
| Backup do cofre na nuvem | Opcional e desligado de fábrica. Se ligado, no nosso servidor, no máximo uma cópia por dia. | Ninguém do nosso lado: sobe o mesmo bloco cifrado, sem a chave. |
| Respostas da anamnese pelo link | Passam pelo nosso servidor por até seis horas, fechadas com uma chave que só o seu cofre tem. | Só o seu programa, quando recolhe as respostas. |
| Digital e rosto | No cofre, cifrados: só o modelo da digital e o desenho matemático do rosto (128 números) — nunca a foto. O do paciente, só com o consentimento dele. | Só o seu programa, para conferir a assinatura, sem internet. |
| Certificado digital ICP-Brasil | O A3 no token ou no cartão; o A1 no Windows ou no arquivo .pfx. A senha é digitada na hora e não é guardada. | Só você, com o PIN ou a senha do certificado. |
| Plano para aprovar pelo celular | Passa pelo nosso servidor cifrado; a chave vai só no link que o paciente recebe, na parte que o navegador não envia. | Só o paciente, pelo link, e o seu programa, quando recolhe a resposta. |
| Sua conta | No nosso servidor: nome, e-mail, telefone, CPF ou CNPJ e a situação da assinatura. | Nós, para cobrar e liberar o acesso. |
| Pagamento | No Asaas, a empresa que processa Pix, boleto e cartão. | Não guardamos número de cartão. |
Sincronizar fichas entre aparelhos pela internet, isso a gente não faz: o celular conversa com o computador do consultório, por uma rede privada entre os dois.
LGPD na prática
Dado de saúde é sensível. O sistema trata como tal.
Pela Lei Geral de Proteção de Dados, quem responde pelas fichas é o profissional — é ele quem coleta e decide o que fazer com os dados dos pacientes. O papel do sistema é dar a ele ferramentas que tornem isso fácil de cumprir, e não ficar com uma cópia legível de nada.
Por isso o prontuário mora no seu aparelho, cifrado; o que sai do consultório sai com o mínimo necessário; e tudo o que acontece fica registrado.
- Minimização: documentos que vão para fora (encaminhamentos, a Duda) levam só o necessário.
- Registro: criação, alteração, assinatura, emissão e exclusão ficam na trilha de auditoria, com data e hora.
- Biometria: digital e rosto são dados sensíveis. O do paciente só entra com o consentimento dele, com o texto da LGPD na tela, e sai quando ele pedir.
- Uso de imagem: três autorizações separadas — documentação, ensino, publicidade — cada uma com seu termo.
- Direito do paciente: o recibo de entrega de documentação lista cada arquivo que saiu, com data.
- Exclusão: excluir um paciente apaga dele tudo o que é clínico; receitas já pagas ficam no financeiro, sem vínculo, porque o dinheiro entrou de verdade.
Isto é o que o programa faz. Ele ajuda, mas não substitui as suas obrigações como controlador dos dados, nem a orientação do seu conselho ou de um advogado para o seu caso.
Encaminhamentos
O pedido de exame sai com o mínimo que a lei pede.
Um pedido de panorâmica não precisa do CPF, e um encaminhamento ao periodontista não precisa da lista de medicamentos — a não ser que precise. Então o papel sai, por padrão, só com nome, idade, o exame ou a especialidade e a indicação clínica.
Data de nascimento, CPF, telefone, alergias, medicamentos e condições de saúde entram só se você marcar, um por um, naquele encaminhamento. O que foi incluído fica anotado no Registro, e o rodapé lembra a quem recebe que os dados são sigilosos e servem só àquele atendimento.
A Duda
A assistente conversa com a IA. O nome do paciente, não.
Antes de qualquer pergunta sair do seu computador, cada paciente vira um apelido — [P1], [P2] — que vale só para aquela pergunta. A IA responde com o apelido, e é o programa, na sua tela, que troca de volta pelo nome.
Vão só horário, procedimento, situação, valores e itens de estoque. Nunca vão: nome, CPF, telefone, endereço, data de nascimento, anamnese, evolução e observações livres. E você vê, e pode editar, o texto exato que vai sair, antes de cada envio.
A voz dela também é local: no computador, uma voz neural que roda dentro do programa; no celular, a voz offline do Android. O que ela fala não sai do aparelho para ser falado.
Prova e guarda
Um prontuário que aguenta a pergunta de daqui a dez anos.
Assinado tranca
Anamnese, evolução e termo assinados pelas duas partes não se editam nem se apagam. Corrigir é com retificação, que fica junto da original.
A corrente dos documentos
Cada documento assinado leva o código do anterior. Mexer numa folha antiga quebra a corrente, e o programa mostra em qual elo.
Carimbo do tempo
Com uma Autoridade de Carimbo do Tempo da ICP-Brasil, a data do topo da corrente fica comprovada. Sai daqui só um código de 64 caracteres.
Guarda de 20 anos
O CFO pede guarda mínima de 20 anos. O programa guarda 40 cópias datadas no computador, e o backup leva o cofre para fora dele.
O que não existe
Para ficar claro.
- Não existe chave-mestra. Nem para suporte, nem para “recuperar a conta”. Se existisse, existiria para quem a roubasse.
- Não existe cópia legível das fichas no nosso servidor. O backup na nuvem é o bloco cifrado; a anamnese pelo link passa fechada e some em seis horas.
- Não existe venda nem uso de dados de paciente. Não temos como ler, e não teríamos o que vender.
- O site mede de onde vêm as contas. Usamos a etiqueta do Google Ads para saber se um anúncio trouxe alguém — ela grava cookies do Google no navegador, mas não leva nome, e-mail nem nada do que você digita no site.
Prefere ver funcionando?
Instale, cadastre um paciente de exemplo e abra a pasta de dados: o que você vai encontrar é um arquivo embaralhado. É o jeito mais honesto de conferir tudo o que está escrito aqui.