Auditoria

A Auditoria é o registro de tudo o que acontece de relevante dentro do seu hospital no Sanance: quem fez o quê, e quando. É a trilha que permite investigar um acesso, prestar contas a uma fiscalização e comprovar que o sistema trata o dado de paciente com o cuidado que a lei exige.

A trilha é somente leitura e consultável: nada nela pode ser apagado ou alterado, nem mesmo pelos perfis mais privilegiados. Ela apenas cresce, com cada evento ficando guardado no momento em que aconteceu.

Onde encontrar

Na barra lateral, em Conformidade → Auditoria. A seção só aparece para quem tem permissão de auditoria.

Quem pode ver a trilha

A auditoria guarda dados pessoais de quem usa o sistema (como e-mail e endereço de acesso). Por isso, ela não é um relatório aberto a qualquer cargo: fica reservada aos perfis responsáveis por governança e prestação de contas do hospital — o Proprietário e o Administrador, que normalmente também exercem a função de encarregado de dados (DPO/LGPD).

Os cargos clínicos e o Gestor não têm acesso à trilha. Para entender essa divisão, veja Papéis e permissões.

Cada consulta também é auditada

Abrir a trilha e exportar dados são, eles próprios, eventos registrados. Ou seja: a auditoria audita até quem a consulta. Isso é proposital — accountability vale para todos.

O que a trilha registra

A auditoria reúne três trilhas, organizadas em abas:

• Acessos — quem acessou o quê e quando: entradas no sistema, leituras de painéis, exportações de dados, mudanças de configuração e por aí vai. É o "quem/quando/o quê" no sentido mais direto.
• Egress de IA — as verificações do filtro de saída que protege o paciente antes de qualquer texto chegar à inteligência artificial. Cada envio preparado para a IA deixa aqui o registro de quantos campos saíram, do menor grupo de pacientes representado (k-anonimato), de quantos recortes pequenos foram suprimidos e de quantos identificadores foram pseudonimizados. Entenda o filtro em Consultoria com IA.
• Chamadas de LLM — o custo e o uso de cada chamada à inteligência artificial: qual modelo respondeu, quanto texto foi processado e quanto aquilo custou. Serve para transparência de gasto e para acompanhamento técnico.

O que a trilha NÃO guarda

Nenhum dado clínico na auditoria

A trilha registra metadados da ação — quem, quando, qual ação, sobre qual alvo genérico — e nunca o conteúdo clínico em si. Não há nome de paciente, prontuário, diagnóstico ou medicação na auditoria.

O e-mail e o endereço de acesso (IP) de quem operou o sistema aparecem na trilha por uma única razão legítima: responsabilização (poder dizer quem fez cada coisa). Por isso mesmo a auditoria fica restrita aos perfis de governança, e as páginas e arquivos da trilha nunca ficam guardados em cache do navegador.

Abrir a auditoria

1. No menu lateral, abra Conformidade → Auditoria.
2. A tela carrega já com os últimos 7 dias e mostra uma faixa de números resumidos no topo, seguida das abas de cada trilha.
3. Se a sua conta não tiver permissão, em vez da trilha você verá um aviso de acesso não autorizado.

📸 Captura: tela da Auditoria com a faixa de resumo no topo e as abas Acessos, Egress de IA, Chamadas de LLM e Exportar.

Filtrar por período

Toda a trilha é filtrada por um intervalo de datas (no horário de Brasília).

1. No alto da página, defina a data inicial em De e a data final em Até.
2. Clique em Atualizar. As três abas e a faixa de resumo recarregam para o período escolhido.
3. À direita, o Escopo confirma o alcance — para o seu hospital, ele mostra sempre "sua organização": a trilha nunca mistura dados de hospitais diferentes.

Listas mostram os mais recentes

Cada aba exibe os registros mais recentes primeiro, até um limite de 500 por consulta. Se precisar do conteúdo completo de um período movimentado, use a exportação (mais abaixo), que alcança um volume bem maior.

Ler o resumo do período

A faixa de números no topo dá o panorama do intervalo selecionado, sem você precisar varrer as tabelas:

• Acessos — total de eventos e quantas pessoas distintas agiram no período.
• Egress de IA — quantos envios passaram pelo filtro e o menor grupo de pacientes representado (quanto maior, mais protegido o indivíduo).
• Pseudonimizados e Suprimidos — quantos identificadores foram trocados por código e quantos recortes pequenos foram removidos para ninguém ser reconhecido por dedução.
• Chamadas LLM e Custo LLM — quantas chamadas à IA aconteceram e quanto custaram, com os modelos usados.

Ler cada trilha

Cada aba é uma tabela. Em todas elas, a primeira coluna é Quando (data e hora, no horário de Brasília).

Acessos

Mostra, por evento: o Ator (e-mail de quem fez, ou "sistema" para ações automáticas), a Ação realizada, o Alvo (uma referência genérica, sem conteúdo clínico), o Setor envolvido, quantas Linhas a ação tocou (útil em exportações) e a Origem do acesso (o endereço de rede; ao passar o mouse, o dispositivo/navegador).

Egress de IA

Mostra, por envio preparado para a IA: o tipo de conteúdo, quantos campos saíram, o k mínimo (o menor grupo de pacientes representado — um selo verde indica margem segura, e amarelo, atenção), quantos recortes foram suprimidos, quantos campos foram pseudonimizados e a qual análise (Run) o envio pertence.

Chamadas de LLM

Mostra, por chamada: o provedor e o modelo de IA, o volume de texto de entrada, saída e cache, o custo da chamada e a qual análise (Run) ela se refere.

Sem conteúdo, só medidas

Repare que nenhuma dessas três tabelas mostra o que foi dito ou analisado — apenas medidas e metadados. O conteúdo clínico nunca entra na trilha.

Exportar a trilha

Você pode baixar qualquer uma das três trilhas para guardar como evidência ou analisar fora do sistema.

1. Ajuste o período em De e Até (a exportação respeita esse intervalo).
2. Abra a aba Exportar.
3. Escolha a trilha desejada — Acessos, Egress de IA ou Chamadas de LLM — e clique em CSV (planilha simples) ou Excel (arquivo .xlsx).
4. O arquivo é baixado pelo seu navegador, com o nome já carimbado com o período.

Exportação muito grande pode ser truncada

Cada arquivo traz até 20.000 linhas. Se o período selecionado ultrapassar esse limite, o Sanance avisa que o arquivo foi truncado — nesse caso, reduza o intervalo de datas e exporte por partes para obter tudo.

Os arquivos têm dado pessoal, não dado clínico

As exportações contêm os mesmos dados pessoais da trilha (e-mail e endereço de acesso) e nenhum dado clínico. Trate esses arquivos com cuidado — eles são documentos de prestação de contas. Cada exportação fica, ela própria, registrada na trilha de Acessos.

Por que a auditoria importa

A trilha consultável é uma exigência das normas que regem a informação em saúde, e o Sanance a oferece como parte do produto:

• LGPD (art. 37 e 48) — o registro das operações de tratamento e o dever de prestar contas (accountability) sobre como os dados são acessados.
• SBIS / certificação de sistemas de saúde — a "trilha de auditoria consultável" que comprova quem acessou o quê e quando.

Tudo isso sem expor o que mais importa proteger: o dado clínico do paciente, que nunca entra na trilha. Para o panorama completo de como o Sanance protege esse dado, veja Segurança e privacidade (LGPD).