Como protegemos os dados do seu estúdio

Prontuário cifrado no banco e no disco

O texto das evoluções, as respostas das fichas e escalas, a pontuação, os documentos emitidos (atestados, relatórios, encaminhamentos, termos) e os exames e arquivos anexados ao prontuário — inclusive o nome original e a descrição de cada arquivo — são gravados com criptografia AES-256-GCM.

• A chave de criptografia é própria e guardada fora do banco de dados. Uma cópia do banco ou do disco, sozinha, não revela o prontuário.
• O exame enviado é cifrado antes de chegar ao disco — ele nunca fica gravado em claro, nem por um instante.
• A criptografia também confere a integridade: um arquivo alterado no disco é recusado, em vez de ser entregue com conteúdo errado.

Para ser transparente sobre o limite: o tipo de cada documento (por exemplo, "Atestado") fica legível, porque aparece nas listas do prontuário. E quem tem acesso ao sistema em funcionamento vê o prontuário em claro — é para isso que existem o controle por perfil e o registro de acessos, logo abaixo.

Registro de quem acessou o prontuário

Toda vez que alguém da equipe lê as evoluções de um paciente, abre um documento emitido, baixa ou visualiza um exame, ou edita ou exclui um registro clínico, o MaraFlow anota quem foi, quando, de qual paciente e de qual endereço de internet (IP).

• Só a administração do estúdio consulta esse registro, com filtro por paciente, pessoa, tipo de ação e período.
• O registro não pode ser editado nem apagado — nem pela administração, nem pelo próprio sistema: o banco de dados recusa.
• O acesso é anotado antes de o dado ser entregue. Se não der para anotar, o prontuário não é mostrado.

É o que permite ao estúdio responder com fatos quando um paciente pergunta quem viu os dados dele.

O prontuário é guardado

A Resolução COFFITO nº 414/2012 fixa guarda mínima de cinco anos para o prontuário do fisioterapeuta. Por isso, no MaraFlow, excluir uma evolução, um documento emitido ou um exame anexado não apaga:

• a exclusão pede um motivo e tira o registro das telas;
• o registro (e o arquivo, no caso de exame) continua guardado, com quem excluiu e quando — a administração vê os excluídos e pode restaurar;
• o banco de dados recusa apagar prontuário de vez.

Cada pessoa vê só o que precisa

• Recepção cuida de agenda, alunos e financeiro, mas não vê evolução clínica, nem atestado, relatório ou encaminhamento.
• Profissional registra e consulta o prontuário, e só edita o que ele mesmo escreveu.
• Administração gerencia a equipe; quem é desativado perde o acesso já na ação seguinte.
• Aluno, no app, vê apenas as próprias aulas.

Cada estúdio isolado dos outros

Vários estúdios usam o MaraFlow. Todo dado é marcado com o estúdio a que pertence, e o isolamento tem duas travas independentes: o sistema recusa qualquer consulta que não diga de qual estúdio é, e o banco de dados recusa ligar um registro de um estúdio a outro. Testes automáticos, com dois estúdios tentando ler e alterar o dado um do outro, rodam a cada mudança no sistema.

Infraestrutura

• O sistema e o banco de dados rodam em servidores próprios da Data Frontier, não em nuvem de terceiros.
• Toda conexão é por HTTPS.
• Senhas são guardadas apenas como hash bcrypt — ninguém, nem a Data Frontier, consegue lê-las. Senha nova tem no mínimo 8 caracteres, e a sessão expira em 12 horas.
• Verificação em duas etapas (opcional): cada pessoa da equipe pode exigir, além da senha, o código de 6 dígitos de um app autenticador no celular. Quem descobrir a senha não entra sem o celular; códigos de reserva cobrem o celular perdido.
• Login com limite de tentativas: 10 senhas erradas para o mesmo e-mail (ou 30 do mesmo endereço de internet) bloqueiam a entrada por 15 minutos — adivinhar senha por tentativa e erro não funciona. A resposta é a mesma exista o e-mail ou não.
• Entrar com Google (opcional, equipe e alunos): o Google apenas confirma o e-mail; quem entra continua sendo decidido pelo MaraFlow (o Google nunca cria conta), a verificação em duas etapas de quem a ligou continua pedindo o código, e ligar ou desligar avisa a pessoa por e-mail. Nada do que está dentro do sistema vai para o Google.
• O sistema só carrega código e recursos do próprio endereço (Content-Security-Policy), o que dificulta que um script injetado roube a sessão. A única exceção é o botão "Entrar com Google", que carrega o código do Google só quando a pessoa clica nele.
• Chaves e senhas de integrações que o estúdio cadastra (e-mail, WhatsApp, nota fiscal) ficam cifradas e nunca voltam inteiras para a tela.
• Backup diário, com cópia cifrada.

Quem é responsável pelo quê (LGPD)

Os dados dos alunos e pacientes são do estúdio: ele é o controlador, decide o que registrar e responde aos pedidos dos titulares. O MaraFlow trata esses dados em nome do estúdio, como operador — guarda, protege e entrega as ferramentas para o estúdio cumprir a parte dele, como o registro de acessos e a guarda do prontuário. O que coletamos, com quem compartilhamos, por quanto tempo guardamos e como exercer seus direitos está na Política de Privacidade.

O que continua com o estúdio

• Um login por pessoa, com senha própria — nunca um acesso compartilhado pela equipe. Para quem vê prontuário, ligar a verificação em duas etapas (em "Minha conta").
• O perfil certo para cada função: recepção como recepção.
• Desativar na hora quem sai da equipe.
• Conferir de vez em quando o registro de acessos.

Encontrou um problema?

Se você suspeita de um acesso indevido ou encontrou uma falha de segurança, escreva para contato@maraflow.com.br com o assunto "Segurança". Descreva o que viu; não teste a falha em dados de outras pessoas.