Segurança e Ética

Encarregado de Dados (DPO)

Caio Cesar Silva Santos — dpo@acolher.app.br.

Criptografia

Campos sensíveis (anamnese, evoluções clínicas, diário, demanda inicial, telefone, e-mail do paciente, documentos psicológicos) são cifrados com AES-256-GCM antes de persistir, com IV único por registro.
Trânsito sempre via TLS 1.2+. HTTPS forçado com HSTS preload (max-age 2 anos).
Senhas armazenadas com Argon2id (parâmetros OWASP).
Hashes de e-mail e IP para detecção de duplicidade ou abuso usam HMAC com chave separada (blind index).

Isolamento entre consultórios

Cada consultório (tenant) tem isolamento por linha (PostgreSQL Row Level Security) reforçado em 14 tabelas sensíveis. O usuário técnico do app não tem privilégio para ignorar o RLS. Testes automatizados confirmam o isolamento antes de cada deploy.

Autenticação

Primeiro acesso por link de uso único enviado por e-mail (magic link) — não enviamos senha em texto.
MFA TOTP disponível para todos os usuários profissionais; códigos de recuperação armazenados por blind index.
Bloqueio progressivo após tentativas falhas (5 falhas = 15 min bloqueado).
Troca de senha autenticada exige confirmação por e-mail em link de uso único (validade 30 min).
Usuário pode encerrar todas as suas sessões em /settings/security a qualquer momento.

Trilha de auditoria

Eventos sensíveis (login, logout, exportação, visualização de prontuário, alterações financeiras, troca de senha, MFA, consentimento aceito, webhooks) são gravados em uma cadeia HMAC encadeada por consultório. Cada evento contém o hash assinado do evento anterior, formando uma cadeia que detecta qualquer adulteração retroativa.

Direitos do titular

Pacientes acessam seus dados pelo portal e podem solicitar correção, eliminação, portabilidade, revogação de consentimento e informação sobre compartilhamento. Profissionais podem solicitar o mesmo para seus dados de cadastro. Prazo de resposta: 15 dias corridos (LGPD Art. 19).

Apoio por IA com governança

Uso opcional e exige aceite específico do paciente.
Apenas escolas/autores informados pelo profissional são usados para a sugestão.
Texto enviado é minimizado: sem identificadores do paciente, sem relato bruto integral.
Para escolas/autores fora da base curada, uma busca externa ancorada (Anthropic) consulta referências publicadas enviando apenas o nome da escola/autor — nunca dados do paciente — e só usa conceitos com fonte real.
Quando não houver base teórica comparável, o sistema informa explicitamente em vez de inventar.
Cada uso é auditado e contabilizado (AiUsageEvent).

Ética psicanalítica

O Acolher é ferramenta de gestão e não substitui:

O sigilo profissional (Art. 154 do Código Penal e Código de Ética do CFP)
A formulação e a condução clínica do profissional
O contato humano direto com o paciente
As supervisões e estudos exigidos pela formação psicanalítica

Não gravamos áudio nem vídeo de sessões online. O link de meeting é armazenado, mas o conteúdo da sessão acontece fora do Acolher.

Resposta a incidentes

Mantemos um plano de resposta a incidentes documentado e treinado. Em caso de incidente de segurança com risco relevante, notificamos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável.

Status operacional

Veja o estado em tempo real de banco, cron, outbox e provedores em /api/status. Monitoramos 24/7.