Segurança

O isolamento entre contas não é uma condicional no código da tela: é uma política de segurança em nível de linha, dentro do banco de dados. Toda leitura e toda escrita passam por ela, inclusive as que um erro nosso fizesse pela porta errada.

Isso é conferido por uma suíte de testes adversariais que roda a cada alteração e que tenta, de propósito, fazer o sistema fazer o que ele não deve: ler a agenda de outra conta, forjar um carimbo de data, reescrever um documento emitido, apagar um registro dentro do prazo de guarda. Hoje são mais de vinte suítes e mais de setecentos testes automáticos.

Numa clínica, secretária e administração existem para tirar trabalho de cima de quem atende — e nenhuma das duas precisa ler prontuário para marcar uma hora ou emitir um recibo.

Acesso clínico e acesso financeiro são duas decisões separadas, e nenhuma delas vem junto com o cargo. A secretária não lê evolução, anamnese nem registro; quem cuida do financeiro não lê nada clínico; e a profissional lê o que é dela.

A separação vive na mesma camada do isolamento entre contas, e não na interface. A diferença aparece na exportação: se a secretária baixar a exportação inteira da conta, o arquivo sai sem o conteúdo clínico — não porque a tela esconda, mas porque a consulta não enxergou. Um arquivo que vaza é a forma mais silenciosa desse erro, e é a que tem teste.

E ninguém concede permissão a si mesmo: quem concede acesso clínico é a responsável pela conta, e nem ela pode se conceder o que já não tem.

Toda leitura de ficha e toda exportação entram numa trilha com autor, data e ação. O carimbo é do servidor: uma tentativa de gravar outra data é reescrita com a hora real, e a trilha não aceita edição nem exclusão — nem pela conta que a gerou.

E você lê a sua. A trilha fica em Perfil → Trilha de acesso: quem abriu, o quê, quando, e de qual paciente. Registro que ninguém lê é registro que só serve depois do problema — e é lendo a própria que você descobre, sozinha, o dia em que algo parar de ser gravado.

Cópias automáticas diárias, cifradas, com 7 dias de retenção — e depois desse prazo elas expiram e são destruídas automaticamente. É o mesmo número que está na política de privacidade, e ele vale para o dado que você apagou também.

A granularidade é diária, e é honesto dizer o que isso custa: uma falha de infraestrutura pode custar até 24 horas de registro. A recuperação a ponto no tempo, que reduziria isso a minutos, é um serviço adicional caro e entra quando houver receita que o pague. Até lá o risco é de até um dia — não de tudo.

Algumas portas estão fechadas de um jeito que não depende de alguém lembrar de mantê-las fechadas:

Não existe função que emita documento na Receita Federal por você — e existe um teste que falha se alguém criar uma com esse nome.

Não existe caminho público para a anamnese: nenhum link, nenhum token, nenhuma função que a devolva por endereço. A anamnese é da sala, não de um formulário respondido às onze da noite.

Não existe coluna de dinheiro em fila nenhuma, e há um teste de estrutura que reprova quem acrescentar uma. A ordem é a de chegada.

Documento emitido não se edita, e cancelar queima o número. Evolução não se reescreve por cima: correção entra como acréscimo datado. Anamnese fechada não reabre — o que chega depois é adendo, com a data em que chegou.

Esta seção existe porque uma lista só de acertos se lê como material de venda.

Recuperação a ponto no tempo. Ver o item 4: a granularidade hoje é diária.

Verificação em duas etapas para entrar. Ainda não está disponível. Enquanto isso, a recomendação vale mais que o normal: use uma senha longa e que não exista em outro lugar.

O ensaio de restauração. O roteiro existe e o script que confere a base restaurada existe — o que ainda não foi feito é o ensaio completo, com cronômetro. Enquanto ele não for feito, “temos backup” é uma frase e não um número, e esta página prefere dizer isso a arredondar.

Existe um plano escrito, e ele tem prazo: se um incidente atingir dados dos seus pacientes, você é avisada em até 24 horas, individualmente, com o que foi atingido na sua conta e com a hora exata em que eu soube — que é de onde começa a contar o prazo de três dias úteis que a lei dá a você para comunicar a ANPD e os pacientes.

A página do incidente diz de quem é o dever de comunicar (é seu, nos dados dos pacientes, e a razão está lá), o que eu faço nas primeiras horas, e traz o modelo do texto que você vai precisar mandar. Ela é estática de propósito: o dia em que você mais precisa dela pode ser o dia em que o resto do produto está com problema.

Escreva para oi@sessoes.com.br com o que você viu e como reproduzir. Respondemos, corrigimos, e dizemos o que foi feito — e se a falha tiver exposto dado de alguém, avisamos quem foi afetado, pelo caminho da seção 7.

Não temos programa de recompensa. Temos o compromisso de não tratar quem avisa como problema.