Dado de paciente com controle de acesso, registro e origem

Cada clínica enxerga apenas os próprios dados

O sistema é multi-inquilino: toda informação pertence a uma clínica, e o isolamento é aplicado na consulta ao banco, não apenas na tela. Uma clínica não alcança o dado de outra nem alterando endereço no navegador.

Permissão por recurso, não por cargo apenas

Além dos papéis de administrador e profissional, o acesso é definido recurso a recurso — agenda, pacientes, financeiro, documentos — em três níveis: sem acesso, leitura e escrita. Um profissional pode gerenciar anexos sem ter acesso de escrita ao cadastro completo, por exemplo.

Quando o acesso de alguém muda ou a pessoa é desativada, a sessão em curso deixa de valer — a permissão não fica pendurada até o próximo login.

Registro de acesso

Consultas e alterações em dado de paciente ficam registradas com autor, data e o que mudou. É o que responde a pergunta que só aparece depois de um incidente: quem viu isso, e quando.

Consentimento é dado, não presunção

WhatsApp e e-mail têm consentimento próprio, com a data em que foi concedido. Termos e contratos assinados eletronicamente guardam trilha de evidências do que foi assinado, por quem e quando.

Onde os dados ficam, e como saem

A hospedagem fica em região brasileira, tanto o banco de dados quanto a aplicação. O tráfego é cifrado em trânsito e o banco gerenciado cifra os dados em repouso. Credenciais de integração — certificados bancários e tokens de calendário — recebem uma camada adicional de cifragem na própria aplicação.

A saída é tão importante quanto a entrada: prontuários exportam em PDF e os dados da clínica em CSV, a qualquer momento, sem depender de pedido ao suporte. Sistema do qual não se consegue sair é risco, não fidelidade.