Segurança
Como a Mena protege os dados dos seus pacientes
Onde os dados ficam guardados, como são encriptados, quem os pode abrir e o que a IA faz com eles. Cada ponto descreve como a plataforma funciona hoje.
Onde ficam os dados
A Mena funciona na Microsoft Azure, na União Europeia.
Centros de dados na UE
A aplicação, a base de dados e o armazenamento de ficheiros funcionam na região Spain Central da Microsoft Azure.
Uma rede privada
A base de dados e o armazenamento de ficheiros não têm acesso público à internet. Só a aplicação lhes chega, por ligações privadas.
Cópias de segurança
A base de dados tem cópias de segurança automáticas, com recuperação para qualquer momento dos últimos 14 dias, e mantém uma réplica numa segunda zona de disponibilidade.
Encriptação
Os dados são encriptados em trânsito e em repouso, e os campos sensíveis têm uma segunda camada.
Uma chave para cada clínica
Os campos pessoais e clínicos sensíveis são encriptados pela aplicação com AES-256-GCM, com uma chave que pertence a uma única clínica.
Encriptados em repouso
A base de dados e o armazenamento de ficheiros, incluindo as gravações das sessões, são também encriptados em repouso pela Azure.
Encriptados em trânsito
Todas as ligações usam HTTPS com HSTS. As ligações à base de dados e ao armazenamento exigem TLS 1.2 ou superior.
Quem os pode abrir
Cada pessoa da clínica vê o que a sua função permite.
Funções
Cada membro da clínica tem uma função, e é a função que decide o que pode ver e alterar.
Autenticação de dois fatores
Qualquer utilizador pode ativar a autenticação de dois fatores com uma aplicação de autenticação, com códigos de recuperação para o caso de perder o telemóvel.
Palavras-passe e sessões
As palavras-passe são guardadas como hashes bcrypt. As sessões usam cookies seguros e httpOnly, com proteção CSRF.
Limites às tentativas de início de sessão
As tentativas de início de sessão e de dois fatores têm limites, e uma firewall de aplicações web protege a plataforma.
Acessos registados
As visualizações e exportações de fichas de pacientes ficam registadas num registo de atividade.
IA executada por nós
A transcrição e a redação de notas funcionam com modelos de IA que alojamos na mesma região da Azure.
Sem fornecedores de IA externos
O áudio das sessões, as transcrições e as notas não são enviados a fornecedores de IA externos.
Rascunhos que pode alterar
As notas redigidas pela Mena ficam marcadas como geradas por IA, e pode editá-las ou eliminá-las a qualquer momento.
Exportar e eliminar dados
É a clínica que decide o que guarda e o que leva consigo.
Exportação a qualquer momento
Exporte os dados de toda a clínica, ou de um único paciente, como ficheiro, sempre que precisar.
Registos de consentimento
Os consentimentos dos pacientes ficam guardados com a ficha do paciente.
Gravações das sessões
As gravações são guardadas até as eliminar, e pode eliminar qualquer gravação de forma definitiva.
Acordo de tratamento de dados
O nosso acordo de tratamento de dados, ao abrigo do artigo 28.º do RGPD, está disponível para clientes e para clínicas que estejam a avaliar a Mena.
Subcontratantes
Recorremos a um pequeno número de fornecedores para prestar o serviço, como alojamento na nuvem, pagamentos e faturação.
A lista vinculativa
Cada subcontratante, a sua localização e as garantias de transferência constam do Anexo II-B do nosso acordo de tratamento de dados.
Aviso antes de alterações
Avisamos os clientes por email pelo menos 30 dias antes de adicionar ou substituir um subcontratante, e pode opor-se.
Perguntas
A Mena tem certificação ISO 27001 ou SOC 2?
Não. Hoje a Mena não tem nenhuma certificação de segurança. Esta página descreve os controlos em vigor, e o nosso acordo de tratamento de dados define os nossos compromissos.
A autenticação de dois fatores é obrigatória?
É opcional para cada utilizador. Recomendamos ativá-la para todas as pessoas que abrem registos clínicos.
Como reporto um problema de segurança?
Escreva para dpo@mena-ai.pt com o que encontrou e como o reproduzir.
Dúvidas sobre os seus dados?
Numa demonstração, explicamos o alojamento, a encriptação e o nosso acordo de tratamento de dados.