Privacidade e dados de saúde

O VelloClinica é um sistema contratado por uma clínica. Os dados tratados aqui pertencem a ela, que é a controladora; a Vellow Sistemas atua como operadora, tratando os dados conforme a instrução da clínica.

Dado de saúde é dado pessoal sensível na Lei Geral de Proteção de Dados (Lei 13.709/2018, art. 5º, II). Esta página descreve como o sistema é construído em torno disso — não é uma declaração de intenção, é a descrição do que o software faz.

Que dados o sistema guarda

• De quem usa o sistema: nome, e-mail, perfil de acesso, vínculo com a ficha de profissional, data e hora dos acessos e o endereço IP das tentativas de entrada.
• De identificação do paciente: nome, nascimento, CPF, RG, CNS, contato, endereço, convênio e carteirinha, e — quando o paciente é menor de idade — o responsável.
• De saúde: anamnese, evolução clínica no formato SOAP, hipóteses e CID, alergias, condutas, documentos emitidos (receita, atestado, encaminhamento, pedido de exame) e a agenda de atendimentos.
• Administrativos e financeiros: contas, recebimentos, pacotes de sessão e repasse de profissionais.
• A trilha de acesso: quem abriu qual prontuário, quando, de que perfil e de que endereço IP.

Quem vê o quê

O recorte não é uma configuração de tela; é o caminho por onde o dado sai do sistema.

• Recepção, faturamento e gestão nunca leem conteúdo clínico. Não é permissão que se conceda no cadastro do usuário: o caminho de leitura clínica não atende esses perfis. A única exceção são as alergias, porque o escopo pede alerta visível no check-in — e alergia existe para evitar dano.
• Especialidade sigilosa fica isolada. Uma especialidade marcada como sigilosa (o caso típico é a psicologia) não é lida por profissionais de outras especialidades, nem pela busca, nem pelo administrador. O sigilo entra no filtro da consulta ao banco: o dado não trafega.
• Só o profissional do atendimento escreve nele. Nem o administrador. A assinatura clínica tem autor, e é ele quem responde por ela.

Toda abertura de prontuário é registrada

Cada vez que alguém abre um prontuário, o sistema grava nome, perfil, data, hora e origem — na mesma transação da leitura. Se o registro falhar, a leitura falha. É o oposto do que se faz com log comum, e é deliberado: uma leitura sem rastro faria o relatório de acessos mentir por omissão.

A clínica pode, a qualquer momento, emitir o relatório de quem acessou o prontuário do paciente X. Essa trilha não pode ser alterada nem apagada por ninguém dentro do sistema — a restrição está no próprio banco de dados, e vale inclusive para o administrador.

Por que o prontuário não se apaga

Atendimento fechado e documento emitido são registros de prova, com autor e data. Correção se faz por adendo, em um novo atendimento, que fica ao lado do original com data própria — nunca reescrevendo o que já foi assinado. Prontuário deve ser preservado pelo prazo da regulamentação profissional aplicável (o CFM prevê, na Resolução 1.821/2007, guarda mínima de 20 anos a contar do último registro), o que é hipótese legal de conservação prevista no art. 16, I, da LGPD.

Isso não impede o exercício dos direitos do titular. Pedidos de acesso, correção de dado cadastral, portabilidade ou informação sobre compartilhamento devem ser dirigidos à clínica, que é a controladora. O sistema tem exportação dos dados do paciente em um clique — e a exportação também fica na trilha.

Compartilhamento

Não há compartilhamento com terceiros para fins comerciais e não há venda de dados. Não há uso de dados de pacientes para treinar modelos, gerar estatística de mercado ou qualquer finalidade fora da operação da própria clínica. Cada clínica tem a sua base; nada é compartilhado entre clientes.

Segurança

• Senhas guardadas com hash (bcrypt), nunca em texto claro.
• Tráfego cifrado com TLS. O sistema não é publicado sem certificado válido — a porta de acesso passa obrigatoriamente pelo proxy que faz o TLS.
• Sessão de 12 horas, e não de dias: o computador da recepção fica ligado num balcão por onde passa gente. Doze horas cobrem um turno e expiram antes do próximo.
• Perfil e especialidades são lidos do banco a cada requisição, não do token. Revogar o acesso de alguém tem efeito imediato, não quando a sessão dele vencer.
• Servidor no Brasil, com cópia de segurança do banco.

Consentimento

A ficha do paciente registra se e como o consentimento foi colhido, com data. O campo não vem marcado por padrão: marcar por padrão transformaria o registro em decoração. Fichas sem consentimento registrado aparecem sinalizadas para a recepção.

Contato

Vellow Sistemas — contato@vellowsistemas.com.br

Para exercer direitos sobre dados de um paciente, procure a clínica onde ele é atendido: é ela a controladora desses dados.