O acesso a dados de produção está restrito a utilizadores e serviços autorizados através de credenciais individuais, permissões de menor privilégio e redes controladas.

O acesso a chaves de cifragem está restrito a utilizadores autorizados com necessidade operacional.

Os sistemas exigem nome de utilizador e palavra-passe únicos ou chaves SSH autorizadas.

Cópias de segurança automáticas configuradas com retenção definida e verificação periódica.

A infraestrutura é aprovisionada e gerida através de código (Infrastructure as Code).

A infraestrutura cloud de produção está alojada na Europa. Qualquer subtratamento ou transferência é gerido de acordo com o DPA e a regulamentação aplicável.

Chaves, tokens e segredos operacionais são geridos através de armazenamento seguro com acesso restrito.

Procedimentos documentados para a eliminação segura de ativos físicos e digitais.

Ferramentas ativas de deteção de ameaças em endpoints corporativos e no ambiente cloud.

Formação e diretrizes de segurança para a equipa e colaboradores autorizados.

Política de controlo de acessos documentada, que abrange atribuição, alteração e remoção de utilizadores.

Processo formal de integração e saída que inclui revisão de acessos.

Todos os dados são cifrados em repouso com AES-256 e em trânsito com TLS 1.3.

Testes de intrusão anuais realizados por terceiros independentes.

O áudio é eliminado após o processamento ou a aprovação da nota. Não é retido.

A arquitetura prioriza a minimização da saída de dados sensíveis: o áudio não é retido e o texto clínico estruturado é tratado de acordo com a política aplicável.

As notas clínicas e os resultados gerados por IA exigem revisão e aprovação profissional antes de serem utilizados.

Todas as alterações em produção seguem um processo de aprovação documentado.

Sistema centralizado de gestão de configuração para todos os ambientes.

Política de divulgação responsável publicamente disponível.

Plano de resposta a incidentes com funções, prazos e comunicações definidos.

Conformidade com a norma de conformidade de software open source.

Garantia de segurança das dependências open source documentada internamente.

Os dados do cliente são eliminados de forma segura no final da relação contratual.

Política de classificação de dados por nível de sensibilidade.

O áudio é eliminado após o processamento. Apenas o texto clínico é retido de acordo com a política.

Nenhum dado clínico é utilizado para treinar modelos sem autorização ativa do cliente.

Acordo de Tratamento de Dados disponível para todos os clientes ao abrigo do art. 28.º do RGPD.

Procedimento documentado para tratar pedidos de acesso, retificação, apagamento, oposição, portabilidade e eliminação.