Prontuário eletrônico para psicólogos

Cifrado no banco, não só em trânsito

HTTPS protege o dado entre o seu navegador e o servidor. É o mínimo que qualquer site tem, e não diz nada sobre o que acontece depois que a anotação chega.

Aqui o conteúdo clínico é cifrado registro a registro, com vetor de inicialização próprio e etiqueta de autenticação em coluna separada. O texto é amarrado à clínica e ao paciente: um registro deslocado de contexto não abre, mesmo com a chave correta.

A consequência honesta disso é que não existe busca por palavra dentro do prontuário. Um índice de busca sobre conteúdo cifrado exigiria manter uma cópia legível — que é exatamente o que a criptografia deveria evitar. A decisão foi consciente.

Trilha de acesso que o administrador não apaga

Toda leitura, criação, alteração, exportação e impressão de prontuário fica registrada com autor, data, endereço de origem e contexto. Leitura também: saber quem abriu o prontuário é tão relevante quanto saber quem o alterou.

A proibição de mexer nesse registro vive no banco de dados, não na aplicação. UPDATE, DELETE e TRUNCATE são recusados pelo próprio PostgreSQL. Nem quem administra o sistema reescreve a trilha — e é isso que a torna utilizável como prova.

Registro assinado não muda

Depois de assinado, um registro não é editado. Correção se faz com nova evolução que aponta a anterior — o histórico ganha uma linha em vez de perder uma.

Só o autor assina o próprio registro. Nem o responsável pela clínica assina no lugar de outro profissional.

Guarda com prazo, descarte com decisão humana

A guarda padrão é de cinco anos após a alta. Vencido o prazo, o sistema sinaliza e avisa o responsável.

E para por aí. Descarte de prontuário é ato profissional, com responsabilidade sua perante o conselho — não vira rotina automática que roda de madrugada.

Limites declarados

O que este sistema não faz

Dizer isto antes vale mais do que você descobrir depois de migrar.

• Não busca por palavra dentro do prontuário — seria incompatível com a criptografia por registro.
• Não grava nem transcreve áudio ou vídeo de sessão.
• Não apaga registro clínico sozinho, em nenhuma hipótese.

Perguntas frequentes

Perguntas diretas

Consigo levar o prontuário embora se eu sair?

Sim. A exportação sai em JSON completo mais um PDF por paciente com o prontuário em ordem cronológica, sem abrir chamado e sem custo. O link é assinado e expira em 72 horas. Cada exportação entra na trilha de acesso.

Quem, dentro da minha clínica, consegue ler o prontuário?

Só quem tem vínculo com o caso e papel que permite. O perfil de secretaria não alcança conteúdo clínico — a barreira está no acesso ao dado, não em esconder o botão da tela.

E se eu perder o acesso à minha conta?

A recuperação de senha é por e-mail. O conteúdo clínico continua cifrado com uma chave da plataforma, então recuperar a conta devolve o acesso ao histórico.

O sistema tem segundo fator de autenticação?

Tem, por app autenticador (TOTP) e código de backup — ativado por cada pessoa em Segurança, não é obrigatório. Login por e-mail ou SMS não existe, porque exigiria um canal de entrega que este sistema ainda não tem ligado.