Segurança

O senhor — a clínica — é o responsável pelo tratamento. A Clynalia é o seu subcontratante. Esta distinção importa: os dados dos seus pacientes são seus, e nós apenas os tratamos para lhe prestar o serviço.

• Tratamos os dados de pacientes apenas seguindo instruções documentadas da clínica.
• Nunca vendemos dados.
• Nunca treinamos modelos de IA com os históricos dos seus pacientes.

Os dados de pacientes são armazenados na Amazon Web Services, região eu-north-1 (Estocolmo, União Europeia), e não saem da UE.

A base de dados não é acessível a partir da internet: encontra-se numa rede privada e só o servidor da aplicação lhe pode falar.

Duas camadas independentes. Se a camada de armazenamento ficasse exposta, o conteúdo clínico continuaria cifrado.

• Em trânsito: TLS em todas as ligações.
• Em repouso: a base de dados que guarda os históricos clínicos está cifrada ao nível do armazenamento.
• Por cima disso, o conteúdo clínico é cifrado pela própria aplicação. Cada paciente tem a sua própria chave de dados, envolvida por uma chave mestra que reside no AWS KMS e que nunca sai de lá.
• As chaves podem ser rodadas sem decifrar nem mover os seus históricos.
• Destruir a chave de um paciente torna o seu conteúdo clínico irrecuperável, incluindo nas cópias de segurança. É isso que transforma «apagámos os seus dados» em algo verificável e não numa promessa.

A separação entre clínicas é imposta pelo motor da base de dados, não pelo código da aplicação. Cada consulta é executada sob uma política de segurança ao nível da linha, ligada à clínica inscrita no token verificado, e a conta com que a aplicação se liga não a consegue contornar.

A diferença prática: um erro no nosso código não pode divulgar as fichas de outra clínica, porque a base de dados não devolve nada à partida. Existe um teste automático que faz falhar a compilação se alguma tabela com dados de clínica ficar sem essa proteção.

• Passkeys e Iniciar sessão com a Apple, para que não haja palavra-passe a roubar nem a reutilizar.
• Quando é usada palavra-passe, fica guardada com hash Argon2id, que é a recomendação atual e não um algoritmo herdado.
• As sessões podem ser revogadas de imediato: uma sessão revogada deixa de funcionar no pedido seguinte, e não quando expira.

Nem toda a gente numa clínica precisa de ler as notas clínicas. A Clynalia separa perfis para que a receção possa registar pacientes e gerir faturas sem aceder ao conteúdo clínico: isso é minimização de dados no RGPD, não uma preferência de produto.

Todo o acesso a um histórico fica registado: quem abriu que ficha e quando. Se um paciente perguntar quem viu o seu histórico, a clínica pode responder.

Um instantâneo diário do armazenamento, mais os registos de transações enviados continuamente a cada cinco minutos. Em conjunto permitem restaurar para qualquer segundo dos últimos 14 dias, e não apenas para o momento de um instantâneo.

E já restaurámos a partir delas. Uma política de cópias que nunca foi testada com uma restauração não é uma política de cópias; a nossa foi testada antes de guardar históricos reais.

O histórico clínico está sujeito a prazos legais de conservação que variam consoante o território. Não publicaremos um número enquanto não estiver confirmado para cada jurisdição onde operamos.

• Exportação completa quando quiser: PDF para ler e imprimir, mais um formato estruturado para levar para outro sistema.
• A exportação continua disponível mesmo que a subscrição caduque. Perder o acesso de escrita nunca pode significar perder as fichas.
• Sem dependência: sair não significa perder o histórico.
• Ao encerrar a conta indicaremos exatamente o que é apagado, o que tem de ser conservado por lei e durante quanto tempo.

Haverá um contrato de subcontratação (DPA) disponível para cada cliente, assinado antes de tratar quaisquer dados de pacientes.

Encontrou alguma coisa? Escreva para security@clynalia.com. Acusamos a receção de todos os avisos.