Pular para o conteúdo principal

Acesso exclusivo do hospital

O Acesso exclusivo do hospital é o modelo de criptografia em que o conteúdo clínico só pode ser lido pelo próprio hospital. A meta é forte e direta: fazer com que a Sanance — a empresa, seus consultores, sua operação — não consiga ler o conteúdo clínico, não por promessa, mas por desenho técnico. Isso é feito com chaves de criptografia sob custódia do hospital, que a Sanance guarda apenas em formato embrulhado (cifrado) e nunca em texto aberto.

Este guia explica o que o modelo significa e como usá-lo na tela de Segurança (Gestão → Segurança).

Um recurso em implantação

O Acesso exclusivo é entregue em etapas. A etapa atual prepara as chaves e os acessos do hospital. A selagem dos artefatos clínicos — o passo em que o conteúdo em repouso passa a ser ilegível para a Sanance — chega na etapa seguinte; até lá, o conteúdo clínico segue protegido pela criptografia de servidor já em uso (veja Segurança e privacidade (LGPD)). Se o módulo ainda não estiver habilitado para o seu hospital, a tela aparece como indisponível.

O que o modelo protege — e o que não muda​

  • Em repouso, o conteúdo é do hospital. Documentos, anamnese, transcrições e prontuário ficam guardados cifrados com a chave do hospital. Sem essa chave, ninguém lê — nem a Sanance.
  • A leitura acontece no seu navegador. Quando alguém autorizado abre um caso, o conteúdo é decifrado no próprio navegador, com a chave que só o hospital controla.
  • A Sanance não consegue adicionar leitores. Só quem já está dentro do círculo de chaves do hospital pode conceder acesso a outra pessoa. A Sanance guarda apenas material embrulhado.
  • O que continua igual: os painéis, a farmácia e a consultoria seguem funcionando como sempre, sobre dados operacionais agregados — eles nunca precisaram do conteúdo clínico. Este modelo é sobre o conteúdo clínico, não sobre os indicadores.
Um limite honesto

Durante o processamento pela IA (o intervalo de minutos entre o envio e a geração do resultado), o conteúdo precisa existir em texto aberto no servidor para ser lido — é o que permite a leitura de documentos e a transcrição de áudio. Nesse intervalo, a chave de processamento é auditada e pode ser revogada pelo hospital. Fora dele, em repouso, o conteúdo volta a ser ilegível para a Sanance.

A tela de Segurança, passo a passo​

A tela mostra um cartão de estado com a situação da criptografia da organização, da sua chave pessoal e do seu acesso — e indica sempre a próxima ação.

1. Criar a sua chave de criptografia​

Cada pessoa autorizada tem uma chave pessoal, protegida por uma senha de criptografia que só você conhece.

  1. No cartão Minha chave de criptografia, digite a senha de criptografia (duas vezes; há um medidor de força).
  2. O navegador cria a sua chave localmente. Só a parte pública e a parte privada já embrulhada são enviadas.
Essa senha não pode ser recuperada

A senha de criptografia nunca sai do seu navegador e ninguém — nem a Sanance — consegue recuperá-la. Guarde-a com cuidado. Ela é diferente da senha de login: a senha de login dá entrada no sistema; a senha de criptografia abre o conteúdo clínico.

2. Ativar a criptografia da organização (Proprietário)​

A ativação é uma cerimônia feita uma vez, pelo Proprietário, que gera a chave do hospital. Ela segue um assistente em etapas:

  1. Explicação — o que vai acontecer e por que a recuperação é dividida em partes.
  2. Geração — o navegador gera a chave do hospital e as partes de recuperação, tudo localmente. Não feche a aba no meio da cerimônia.
  3. Impressão — o assistente imprime as partes de recuperação, uma por página. Guarde cada uma no seu lugar combinado (por exemplo, o cofre do hospital e um diretor); uma terceira parte fica com a Sanance e, sozinha, é matematicamente inútil.
  4. Confirmação — você redigita um dos códigos impressos, para provar que a impressão está legível. Sem essa conferência, a ativação não avança.
  5. Envio — só então o material embrulhado é enviado. A partir daí, a criptografia do hospital está ativa.
Recuperação exige duas partes de três

As partes de recuperação seguem o esquema 2 de 3: qualquer recuperação exige duas das três partes. Isso protege contra perda (uma parte pode se perder sem inviabilizar a recuperação) e mantém o modelo de acesso exclusivo (uma parte sozinha não abre nada).

3. Desbloquear a sessão​

Com a organização ativa e o seu acesso vigente, ao abrir a tela você desbloqueia a sessão informando a senha de criptografia. A chave fica disponível apenas na memória daquela aba, nunca gravada. Um indicador no topo mostra se a sessão está desbloqueada.

4. Conceder e revogar acesso (Proprietário / gestores)​

No cartão Acessos à chave da organização, com a sessão desbloqueada, quem administra o hospital gerencia quem pode ler o conteúdo:

  • Conceder — libera o acesso a um colega. O seu navegador embrulha a chave do hospital para a chave pública dele; a Sanance apenas arquiva o resultado.
  • Revogar — retira o acesso de alguém (vale imediatamente para novos desbloqueios). O último acesso vigente não pode ser revogado, para o hospital nunca ficar trancado para fora da própria chave.

Cada pessoa aparece com um selo: acesso vigente, sem acesso ou aguardando criação de chave (ainda não criou a sua chave pessoal).

5. Recuperar o acesso (Proprietário)​

Se o Proprietário perder o acesso à chave, a tela de Recuperação o restabelece:

  1. Informe duas das três partes de recuperação (a parte sob custódia da Sanance é entregue por fora, nunca por esta tela).
  2. O navegador recompõe o material de recuperação localmente e devolve o acesso à sua própria chave.

Essa leitura de material de recuperação fica registrada na trilha de auditoria do hospital. Depois de recuperar, o recomendado é conceder acesso a pelo menos mais um gestor e devolver as partes aos seus cofres.

A recuperação de senha de login é outra coisa

A Sanance pode redefinir a senha de login de qualquer usuário — isso dá entrada no sistema, mas nunca devolve acesso à chave de criptografia. Quem devolve acesso à chave é sempre outro gestor do hospital (concedendo) ou a recuperação por partes. Por isso, mantenha mais de um gestor com acesso à chave.

Veja também​