Guia prático para a clínica
Quem responde pelos dados do paciente
Na LGPD, quem decide por que e como os dados dos pacientes são tratados é a clínica. Ela é a controladora do prontuário, dos contatos, do histórico assistencial e das imagens; a Cuspivo atua como operadora desses dados, tratando-os segundo instrução documentada da clínica. Em um conjunto menor de atividades — cadastro dos usuários da equipe, segurança da conta, cobrança da assinatura e atendimento de suporte — quem decide é a Cuspivo, e nessas atividades ela figura como controladora. Na prática, isso define quem responde ao paciente: um pedido de acesso, correção ou portabilidade chega à clínica, e é a clínica que decide o que responder, com o profissional responsável no comando das decisões clínicas.
- Clínica: controladora do prontuário, dos contatos e do histórico assistencial.
- Cuspivo: operadora desses dados e controladora do cadastro de usuários, segurança, cobrança e suporte.
- Cada atividade de tratamento tem finalidade, base legal, categorias de dados e destinatários descritos.
- O atendimento ao titular e a decisão clínica continuam com a clínica.
O que a lei brasileira exige do prontuário odontológico
Prontuário odontológico é documento de saúde, e a legislação brasileira fixa prazos mínimos de guarda que se sobrepõem a qualquer preferência comercial. A Lei 13.787/2018 estabelece guarda mínima de vinte anos contados do último registro clínico, e o Cuspivo trata esse prazo como piso de produto: existe uma trava no código que impede a exclusão destrutiva do prontuário antes do prazo e enquanto houver bloqueio jurídico ativo. Um pedido de eliminação, portanto, pode ser legítimo e ainda assim ser atendido apenas em parte — e o sistema exige que a negativa seja fundamentada por escrito. Outros conjuntos de dados seguem prazos próprios, e ter esse calendário explícito é o que permite responder a um titular sem inventar prazo na hora.
- Prontuário e anexos clínicos: vinte anos a partir do último registro (Lei 13.787/2018).
- Registros de acesso à aplicação: cento e oitenta dias, na linha do Marco Civil da Internet.
- Auditoria administrativa e de segurança: cinco anos, salvo investigação ou bloqueio jurídico.
- Cópias de segurança: expiração automática, sem retorno ao uso ativo.
Acesso mínimo: papéis, permissões e unidades
Boa parte dos incidentes em clínica não começa com um invasor, e sim com acesso interno amplo demais. O Cuspivo trabalha com papéis de equipe — recepção, auxiliar, dentista, gerente e administrador — e com um catálogo de capacidades em que cada ação sensível tem grupo, escopo e nível de risco declarados. O escopo diferencia o que vale para a organização inteira, o que vale apenas para as unidades às quais a pessoa está vinculada e o que vale só para os próprios registros. Quando o papel, a titularidade ou o alcance de unidades muda, a sessão carrega uma versão de autorização que é incrementada, de modo que sessões antigas deixam de valer sem depender de o usuário sair e entrar novamente.
- Cinco papéis de equipe, com capacidades declaradas por grupo, escopo e risco.
- Capacidades delegáveis pelo dono e capacidades exclusivas dele.
- Vínculo por unidade, com designações temporárias que expiram.
- Mudança de papel ou escopo invalida sessões anteriores.
Autenticação, sessões e estações compartilhadas
O acesso acontece pelo navegador, sempre por HTTPS, com HSTS incluindo subdomínios. As respostas da API saem com cabeçalhos de segurança padrão — bloqueio de enquadramento em iframe, sem adivinhação de tipo de conteúdo, política de referenciador restritiva — e as respostas privadas não são armazenadas em cache. As senhas são guardadas como hash, e a verificação roda mesmo quando o e-mail informado não existe, para que o tempo de resposta não revele quais contas existem. A verificação em duas etapas usa aplicativo autenticador, com códigos de recuperação de uso único e segredo cifrado. Ao sair, o token da sessão entra em uma lista de revogação verificada a cada requisição, o que encerra o acesso mesmo em outra máquina.
- HTTPS com HSTS, cabeçalhos de segurança e respostas privadas sem cache.
- Senha com hash e verificação que não revela contas existentes.
- Duas etapas por aplicativo, com códigos de recuperação e segredo cifrado.
- Estações pareadas com bloqueio de tela, PIN e troca de usuário.
Isolamento entre clínicas e trilha de auditoria encadeada
Cada organização é isolada no banco por row level security — isolamento aplicado pelo próprio banco, linha a linha: toda consulta roda dentro de um contexto que fixa a organização atual, e o papel usado pela aplicação não pode ignorar essa política. Sobre isso corre uma trilha de auditoria pensada para ser difícil de adulterar. Cada evento guarda quem fez, o que fez, sobre qual entidade, o estado anterior e posterior, o endereço de origem, o horário e uma marcação explícita de acesso a dado de saúde. Cada registro carrega um hash SHA-256 encadeado ao hash do registro anterior da mesma organização, e o papel da aplicação não tem permissão de atualização nessa tabela: eventos são acrescentados, nunca editados.
- Isolamento por organização aplicado pelo banco, e revalidado nos exercícios de restauração.
- Auditoria com ator, ação, entidade, antes e depois, origem e horário.
- Marcação explícita quando o evento envolve dado de saúde.
- Hash encadeado por registro e ausência de permissão de edição na trilha.
Direitos do titular, exportação e portabilidade
A clínica tem, dentro do próprio sistema, uma central para registrar e conduzir pedidos de titulares: confirmação e acesso, correção, anonimização, bloqueio, eliminação, portabilidade, informação sobre compartilhamento, revogação de consentimento, oposição e revisão de decisão automatizada. Cada pedido guarda o canal de entrada, a data de recebimento, o prazo de resposta de quinze dias calculado a partir dela, a marcação de atraso, a verificação de identidade do titular e o histórico completo de transições com autor e nota. Para acesso e portabilidade, o sistema gera um pacote do prontuário em JSON com dezenas de seções, cada uma com hash SHA-256, e o pacote inteiro recebe outro — se alguma fonte não responder, a exportação falha em vez de baixar um arquivo parcial.
- Dez tipos de pedido de titular, com prazo de quinze dias e marcação de atraso.
- Verificação de identidade e histórico de transições com autor e nota.
- Pacote de prontuário com hash SHA-256 por seção e do pacote inteiro.
- Exportação que falha em vez de entregar arquivo incompleto.
Backup, recuperação e continuidade do serviço
O Cuspivo é serviço de nuvem gerenciada: a clínica não mantém servidor de aplicação próprio e não administra o banco. O procedimento operacional exige backup automatizado, cifrado e monitorado, com exercícios de restauração feitos sempre em ambiente isolado, nunca sobre produção. No exercício, os papéis administrativos são reprovisionados, a política de isolamento entre organizações é revalidada e o time confere login, prontuário, imagens e exportação antes de registrar duração e tempos observados, sem copiar dado de paciente para a evidência. O que não existe também precisa ser dito: a Cuspivo não publica compromisso de disponibilidade com número, e a clínica que precisa de garantia contratual de continuidade deve tratar disso nos documentos, não em uma página de site.
- Backup automatizado, cifrado e monitorado do banco gerenciado.
- Restauração ensaiada em ambiente isolado, com isolamento revalidado.
- Duração e tempos de recuperação registrados sem dado de paciente na evidência.
- Sem compromisso publicado de disponibilidade com percentual.
O que esta página não afirma
A LGPD não institui um selo obrigatório de certificação para software, e a Cuspivo não anuncia selo ou certificação de privacidade. O que existe é um registro de privacidade mantido pelo produto, com a lista de suboperadores, o serviço prestado por cada um, as categorias de dados, os países de destino, o mecanismo de transferência internacional e o estado da evidência de cada provedor. Enquanto houver evidência pendente de um provedor, o registro marca essa pendência como bloqueio de prontidão do programa de privacidade — e, no caso do provedor de análise de imagem com IA, o sistema impede a habilitação para dados de saúde enquanto a evidência e o relatório de impacto não estiverem completos. Os documentos jurídicos brasileiros, quando publicados, devem ser lidos na versão vigente antes de a clínica cadastrar pacientes reais.
- Registro de suboperadores com países de destino e estado da evidência.
- Evidência pendente fica visível no registro e bloqueia a prontidão do programa.
- Análise de imagem com IA depende de relatório de impacto e transferência válidos.
- Nenhum sistema é imune a incidentes, e parte dos controles é da clínica.