O Senno gere o trabalho diário entre clínicas dentárias e laboratórios. Guarda dados de saúde de pacientes, por isso a segurança não é uma camada acrescentada: é a forma como cada dado, cada chave e cada versão são construídos.
RGPD desde a conceção
O Senno trata dados de saúde para clínicas e laboratórios, que mantêm o controlo dos dados dos seus pacientes. Para cada direito e dever do RGPD há uma resposta a funcionar no produto, pronta a mostrar a um paciente ou a uma autoridade de controlo.
Os dados de saúde são uma categoria especial no RGPD. Antes de cada interação com o assistente de IA do Senno, verifica-se o consentimento explícito do paciente. Sem ele, o assistente não trata os dados e o paciente pode retirar o consentimento em qualquer momento.
Os pacientes exportam eles próprios os seus dados, num formato portátil, sem fazer um pedido nem esperar pela clínica.
Uma correção é uma nova versão, atribuída. O registo fica correto e o rasto de quem alterou o quê, e quando, fica completo.
Destruir a chave pessoal de um paciente torna os seus dados ilegíveis em todo o lado ao mesmo tempo, incluindo nas cópias de segurança. O próprio apagamento fica registado como prova.
A IA lê texto com nomes e contactos substituídos por pseudónimos. As mensagens ficam retidas até uma pessoa autorizar o envio. Cada membro da equipa vê apenas o que o seu perfil exige.
Cifra AES-256-GCM por paciente, isolamento de cada organização dentro da base de dados, cópias de segurança cifradas fora do servidor com restauros testados, e mais de 16 500 testes automáticos antes de cada versão.
Um registo de auditoria encadeado por hash mostra quem fez o quê e quando, selado por pontos de controlo assinados. As clínicas podem demonstrar o seu tratamento a uma autoridade de controlo.
As clínicas e os laboratórios decidem; o Senno trata os dados em seu nome. Os dados de cada organização ficam isolados de todas as outras dentro da própria base de dados.
Como a API é protegida
Uma pessoa no navegador, uma integração de parceiro e o próprio assistente de IA do Senno chegam todos à mesma API. Cada um prova quem é à sua maneira e, depois, todos os pedidos passam pela mesma verificação de capacidades, pelo mesmo âmbito de organização e pela mesma segurança ao nível da linha na base de dados.
Três chamadores, uma só porta. Seja qual for a entrada, um pedido termina na mesma verificação de capacidades, no mesmo âmbito de organização e na mesma segurança ao nível da linha.
Uma pessoa da clínica ou do laboratório inicia sessão uma só vez, com início de sessão único. O acesso dura uma hora e renova-se discretamente; os códigos de dois fatores podem ser exigidos por pessoa.
As integrações usam um token com âmbito, criado para uma só tarefa. O Senno guarda apenas o hash, o token expira sozinho e pode ser revogado a qualquer momento.
O assistente age em nome da pessoa com sessão iniciada, através de ferramentas que nunca devolvem nomes nem contactos. O que escreve é uma proposta até essa pessoa assinar.
Tokens e credenciais
Cada forma de entrar no Senno tem o seu tipo de credencial, feito para uma só tarefa. Cada uma está ligada a uma organização e a capacidades nomeadas, pelo que uma credencial que vaze abre uma porta estreita por pouco tempo e pode ser fechada de imediato.
Princípios de segurança em uso hoje
Uma verificação automática guarda cada princípio abaixo. Se uma alteração quebrar um, essa alteração não é lançada.
Todas as tabelas impõem segurança ao nível da linha, forçada mesmo para o dono da tabela. A aplicação corre com um papel sem direitos de superutilizador e cada transação declara para que organização age.
Guarda: uma tabela nova sem segurança ao nível da linha forçada faz falhar a compilação.
As notas clínicas e os campos de identidade são cifrados com AES-256-GCM. Cada paciente tem a sua própria chave de dados, protegida por uma chave-mestra guardada fora das cópias de segurança.
Guarda: todos os pacientes são criados com uma chave.
O direito a ser esquecido é criptográfico: destruir a chave de um paciente torna os seus dados ilegíveis na base de dados e em todas as cópias de segurança, enquanto o registo de auditoria do apagamento permanece.
Irreversível por conceção, pré-visualizado antes de correr.
Cada registo de auditoria leva a impressão digital do anterior, selada por pontos de controlo assinados. Os históricos não podem ser editados nem apagados: uma correção é um novo registo de reversão.
Os gatilhos da base de dados recusam UPDATE e DELETE nos históricos.
As pessoas iniciam sessão através de início de sessão único, com códigos de dois fatores opcionais. O que cada pessoa pode fazer vem de capacidades explícitas por perfil, nunca de estar dentro de uma rede.
Guarda: cada rota indica a capacidade de que precisa.
A automatização age através de tokens pessoais que duram no máximo 24 horas, são guardados apenas como hash, podem ser revogados de imediato e nunca podem criar outros tokens.
Uma regra da base de dados limita a duração a 24 horas.
O assistente lê e sugere. As notas, as mensagens e as ações financeiras ficam como propostas até uma pessoa as aceitar. O texto chega ao modelo com nomes e contactos substituídos.
As ferramentas do assistente nunca devolvem nome, telefone nem morada.
Os SMS e os e-mails ficam retidos até uma pessoa abrir a porta dessa organização. Sem decisão explícita, a porta está fechada.
Fechado por defeito: sem linha, não há envio.
Mais de 16 500 testes automáticos correm em cada lote de versão. Muitos leem o próprio código para apanhar um âmbito em falta, um segredo exposto ou uma rota sem verificação. As verificações novas são provadas estragando o código de propósito.
Os segredos nunca estão no repositório, e um teste garante-o.
As bases de dados e os ficheiros têm cópia diária. As cópias saem do servidor apenas cifradas, e os ensaios de restauro correm com periodicidade definida. A chave-mestra nunca está dentro de uma cópia de segurança.
As versões são verificadas no serviço em produção após cada deploy.
Mapa de conformidade
Estas três coisas são diferentes. O RGPD é a lei sob a qual trabalhamos. O SOC 2 é um relatório de auditoria aos controlos de um serviço. A ISO/IEC 27001 certifica a forma como uma organização gere a segurança. Nenhuma delas certifica software. Escolha um referencial e um princípio para ver onde cai cada controlo.
Todas as tabelas impõem segurança ao nível da linha, forçada mesmo para o dono da tabela. A aplicação corre com um papel sem direitos de superutilizador e cada transação declara para que organização age.
As notas clínicas e os campos de identidade são cifrados com AES-256-GCM. Cada paciente tem a sua própria chave de dados, protegida por uma chave-mestra guardada fora das cópias de segurança.
O direito a ser esquecido é criptográfico: destruir a chave de um paciente torna os seus dados ilegíveis na base de dados e em todas as cópias de segurança, enquanto o registo de auditoria do apagamento permanece.
Cada registo de auditoria leva a impressão digital do anterior, selada por pontos de controlo assinados. Os históricos não podem ser editados nem apagados: uma correção é um novo registo de reversão.
As pessoas iniciam sessão através de início de sessão único, com códigos de dois fatores opcionais. O que cada pessoa pode fazer vem de capacidades explícitas por perfil, nunca de estar dentro de uma rede.
A automatização age através de tokens pessoais que duram no máximo 24 horas, são guardados apenas como hash, podem ser revogados de imediato e nunca podem criar outros tokens.
O assistente lê e sugere. As notas, as mensagens e as ações financeiras ficam como propostas até uma pessoa as aceitar. O texto chega ao modelo com nomes e contactos substituídos.
Os SMS e os e-mails ficam retidos até uma pessoa abrir a porta dessa organização. Sem decisão explícita, a porta está fechada.
Mais de 16 500 testes automáticos correm em cada lote de versão. Muitos leem o próprio código para apanhar um âmbito em falta, um segredo exposto ou uma rota sem verificação. As verificações novas são provadas estragando o código de propósito.
As bases de dados e os ficheiros têm cópia diária. As cópias saem do servidor apenas cifradas, e os ensaios de restauro correm com periodicidade definida. A chave-mestra nunca está dentro de uma cópia de segurança.
O Senno atua como subcontratante das clínicas e dos laboratórios, que continuam a ser responsáveis pelo tratamento dos dados dos seus pacientes. Os números dos artigos referem-se ao Regulamento (UE) 2016/679.
O SOC 2 é um relatório de um auditor independente sobre os controlos de um serviço face aos Critérios de Serviços de Confiança. Os códigos referem-se aos critérios de 2017. O Senno ainda não tem relatório SOC 2.
A ISO/IEC 27001 certifica a gestão da segurança de uma organização para um âmbito definido, aqui a plataforma Senno. Os códigos referem-se ao Anexo A da edição de 2022. O Senno ainda não está certificado.
Dados de saúde
As notas clínicas e os campos de identidade são cifrados com AES-256-GCM, com uma chave que pertence a um só paciente. Essa chave é, ela própria, cifrada por uma chave-mestra guardada fora das cópias de segurança. Quando um paciente pede para ser esquecido, o Senno destrói a sua chave: os dados ficam ilegíveis em todo o lado ao mesmo tempo, incluindo nas cópias de segurança antigas. O registo de auditoria do apagamento permanece.
Dados de demonstração. No Senno, o apagamento é pré-visualizado primeiro e não pode ser desfeito.Os dados continuam lá, mas ninguém os consegue ler, nem na base de dados nem em qualquer cópia de segurança.
IA com uma pessoa a decidir
O assistente do Senno lê e propõe. Cada nota clínica, mensagem ou ação financeira que sugere fica como proposta até uma pessoa a aceitar. Os nomes e contactos no texto são substituídos por pseudónimos antes de o modelo os ler, e as ferramentas do assistente nunca devolvem nome, telefone nem morada.
Antes de qualquer interação com o assistente, o Senno verifica o consentimento explícito do paciente. As notas de voz e os ficheiros que um paciente escolhe enviar só são tratados ao abrigo desse consentimento.
Auditoria à prova de adulteração
Cada registo de auditoria leva a impressão digital do anterior, e pontos de controlo assinados selam a cadeia. Altere um byte no passado e todos os registos seguintes deixam de coincidir. Os históricos são só de acrescento: uma correção é um novo registo que reverte o antigo.
Onde estamos, sem rodeios
O Senno ainda não foi auditado segundo o SOC 2 nem certificado pela ISO/IEC 27001. Publicamos o que está feito e o que vem a seguir, e os parceiros podem acompanhar cada ponto em aberto na área de parceiros.
Partilhamos o dossiê de segurança, a lista de subcontratantes ulteriores e a lista de pontos em aberto com clínicas, laboratórios e parceiros, sob NDA.