Adendo de dados de saúde

Este adendo complementa o Adendo de tratamento de dados e os Termos de serviço entre Mariano Arael Romero Texis (ISSA by Alrit.dev) e a clínica. A pessoa proprietária o aceita ao ativar o ISSA Salud; o ISSA registra a versão, a data e quem o aceitou. Em caso de divergência, este adendo prevalece para os dados de saúde.

• Lei Federal de Proteção de Dados Pessoais em Posse de Particulares do México (2025): os dados de saúde são sensíveis e exigem consentimento expresso e por escrito do titular.
• NOM-004-SSA3-2012, do prontuário clínico, e NOM-024-SSA3-2012, de sistemas de informação de registro eletrônico para a saúde, e a Lei Geral de Saúde do México.
• Onde se aplicarem: o artigo 11 da LGPD do Brasil e o artigo 9 do RGPD sobre dados de saúde.
• O ISSA não é oferecido como serviço conforme a lei HIPAA dos Estados Unidos nem firma acordos de associado comercial (BAA).

A clínica é a controladora dos dados de seus pacientes e do prontuário clínico; seus profissionais de saúde respondem por seu conteúdo e por suas decisões clínicas. O ISSA é operador e somente armazena, protege e mostra esses dados aos membros autorizados da clínica.

Identificação e contato do paciente, história clínica, notas e adendos, consentimentos e assinaturas, fotografias clínicas, receitas, questionários prévios à consulta, agendamentos e respostas de acompanhamento, conforme o que a clínica registrar.

A clínica deve informar seus pacientes com seu próprio aviso de privacidade e obter seu consentimento expresso e por escrito para tratar dados de saúde antes de registrá-los. O ISSA oferece modelos de aviso e de consentimento e a assinatura eletrônica com código de verificação, mas a clínica deve adaptá-los e é responsável por sua validade.

A clínica é responsável pela integridade do prontuário, seu conteúdo mínimo, as assinaturas de seus profissionais e por conservá-lo pelo menos cinco anos desde o último ato médico. O ISSA ajuda com notas que, uma vez assinadas, só podem ser complementadas com adendos, histórico de versões, documentos em PDF e exportação completa.

Antes de excluir a organização ou encerrar o serviço, a clínica deve exportar seus prontuários: a exclusão é irreversível e o ISSA não conserva cópia além da rotação das cópias de segurança.

O ISSA não é certificado pela Secretaria de Saúde do México como sistema de informação de registro eletrônico para a saúde. Implementa controles alinhados com essa norma, como autenticação, papéis, registro de acessos, criptografia e integridade das notas assinadas, mas não garante os padrões de interoperabilidade que a certificação exige. A clínica deve avaliar se seu caso exige um sistema certificado.

• Campos sensíveis e arquivos criptografados com AES-256-GCM e uma chave própria da organização.
• Só os papéis clínicos veem prontuários; cada consulta, impressão e exportação fica em um registro que os administradores veem.
• Os links que os pacientes recebem para assinar ou preencher questionários levam um token secreto que é trocado por um cookie de 2 horas, para que não fique no endereço.
• As cópias de segurança do volume clínico são criptografadas uma segunda vez.

O prontuário clínico nunca é enviado ao modelo de IA. O assistente de acompanhamento só recebe os dados do agendamento e o nome do procedimento, nunca diagnostica nem dá orientações clínicas e passa ao profissional qualquer pergunta sobre saúde.

A equipe do ISSA não acessa o conteúdo clínico, salvo quando a clínica pede suporte ou por uma necessidade de segurança, com dever de confidencialidade e com registro do acesso.

O ISSA avisará a clínica no máximo 48 horas após confirmar uma violação que afete dados de saúde, e a ajudará a informar os pacientes e as autoridades.

A clínica atende as solicitações de seus pacientes, incluído o resumo clínico previsto na NOM-004. O ISSA ajuda com a exportação do prontuário e com a correção por meio de adendos.

Desativar o ISSA Salud oculta os prontuários sem apagá-los. Ao excluir a organização, os dados clínicos são apagados com o restante de seus dados, conforme o Adendo de tratamento de dados.