Segurança da informação

Em uma frase

O adm.hospital trata escala, ponto e pagamento de plantão — não guarda prontuário nem dado de paciente. Tudo o que está nesta página existe no produto hoje e é conferível; o que ainda não existe, não está aqui.

Identidade e acesso

• Senha com política de tamanho e complexidade, guardada com hash forte — nunca em claro.
• Verificação em duas etapas (TOTP) opcional por conta, e passkeys (biometria do aparelho) como alternativa à senha.
• Primeiro acesso com troca de senha obrigatória e recuperação por link de uso único com validade curta.
• Sessão por token assinado com expiração; API autenticada em todas as rotas do produto.

Permissão: papel, hospital e setor

• Três camadas de acesso — direção, coordenação e profissional — com matriz de permissão publicada e testada em suíte automatizada (a matriz inteira roda a cada build).
• O papel vale por vínculo, não por conta: quem coordena o Hospital A e dá plantão no Hospital B é coordenador só no A.
• Escopo por setor para a coordenação: quem cuida da UTI não altera a escala do centro cirúrgico.
• Isolamento entre hospitais verificado em cada endpoint: um hospital nunca lê dado do outro.

Trilha de auditoria

Toda ação que altera escala, ponto, valor, permissão ou cadastro registra quem, o quê, quando e de qual endereço. A direção consulta a trilha em tela própria, com filtro e busca. O registro de auditoria não se edita pelo produto.

Documentos e arquivos

Documento profissional (CRM, certificados, contrato) fica fora do diretório público do servidor e só é servido por endpoint autenticado a quem tem permissão sobre aquele profissional. Aviso de documento novo por e-mail vai sempre com link, nunca com anexo.

Backup provado, não prometido

Backup diário do banco — e, a cada alteração no código, a rotina de integração contínua restaura o backup num banco descartável e confere antes de aceitar a mudança. Backup que não restaura é loteria; o nosso restaura em todo build.

O servidor se recusa a subir errado

Em produção, a aplicação não inicia com segredo de fábrica, chave de teste ou configuração de desenvolvimento. A guarda roda no boot: configuração insegura derruba o processo antes de aceitar a primeira conexão.

Integrações assinadas

Webhook que chega é validado por assinatura HMAC antes de ser processado; webhook que sai é assinado do mesmo jeito, e o seu TI verifica a assinatura com o segredo dele — como está descrito na página de desenvolvedores. A API pública é somente leitura, por chave revogável, com hash da chave no banco (nunca a chave em claro).

Aplicação

• Conexão cifrada (HTTPS) de ponta a ponta.
• Conteúdo escrito por usuário é neutralizado antes de aparecer em página pública — inclusive dentro de blocos de dados estruturados.
• Monitoramento de erros em tempo real, sem dado pessoal no rastro.
• Migrações de banco conferidas automaticamente a cada build.

Privacidade

O tratamento de dados pessoais — o quê, por quê, por quanto tempo e os seus direitos — está na política de privacidade. Dúvidas e pedidos: privacidade@admhospital.com.br.

Conhecer o produto