Plataforma dentro do serviço. Integração nativa. Um só responsável.

Infraestrutura individual por instituição

Cada hospital ou clínica opera em ambiente dimensionado para a sua realidade. A separação alcança servidores, máquinas virtuais, instâncias de arquivamento de imagem, bancos de dados, redes internas, regras de firewall, túneis privados, credenciais e rotas.

Mesmo quando um componente de gestão é centralizado, os dados, as credenciais e os fluxos de comunicação permanecem segregados por instituição, o que limita movimentação lateral e impede acesso cruzado entre organizações.

Exposição controlada

Bancos de dados, serviços internos de armazenamento e portas de comunicação DICOM não são publicados na internet. Os serviços web que precisam de acesso externo passam por ponto controlado, com HTTPS e TLS, autenticação, roteamento e regras de acesso. Os componentes de retaguarda permanecem em rede interna.

Comunicação entre ambientes

A comunicação entre o hospital, os gateways e a infraestrutura central acontece por canais privados e criptografados, com túneis WireGuard associados a regras de firewall, rotas e listas de controle de acesso. As políticas são específicas por instituição, origem, destino, aplicação e porta.

Um equipamento autorizado a transmitir estudos não passa a ter acesso a bancos de dados, interfaces administrativas ou ambientes de outros clientes.

Criptografia

Em trânsito, túneis VPN criptografados, WireGuard e TLS/HTTPS para serviços web e DICOMweb. Em repouso, criptografia no nível de sistema operacional ou de disco, e criptografia do provedor no armazenamento destinado a cópia de segurança.

Conectividade até um serviço não significa acesso ao conteúdo. O acesso permanece condicionado a chaves, credenciais, rotas e autorizações aplicáveis.

Controle de acesso e rastreabilidade

Credenciais individualizadas, associadas ao ambiente e ao perfil autorizado. Serviços de laudo, arquivamento de imagem, portais, integrações e interfaces administrativas possuem autenticação e autorização próprias, de modo que o acesso a uma aplicação não concede acesso irrestrito a pacientes, estudos ou documentos.

Os serviços geram registro individual de acesso e de evento, consolidados em painel centralizado, com retenção operacional de cento e oitenta dias. Os registros permitem identificar o usuário, o serviço ou a integração envolvidos em cada operação relevante, e servem de evidência para investigação e auditoria.

Onde os dados ficam

O conteúdo clínico e as cópias de segurança permanecem em território nacional. O armazenamento externo de contingência utiliza nuvem em região localizada no Brasil. O fluxo técnico atual não prevê transferência internacional de conteúdo clínico.

Retenção e descarte

O prazo de retenção é definido em contrato, conforme a finalidade e o papel exercido em cada ambiente, e precisa ser compatível com as obrigações legais de guarda do hospital controlador, observada a Lei nº 13.787/2018.

O contrato define prazo, procedimento de devolução ou migração, critérios de encerramento e forma de descarte. A eliminação técnica é segura e rastreável, com registro formal da operação.

Papéis no tratamento

Em regra, o hospital atua como controlador dos dados assistenciais, porque mantém o vínculo com o paciente e define as finalidades. A AMD atua como operadora no escopo contratado.

A qualificação de cada parte é delimitada por escrito no contrato, junto com escopo e finalidade do tratamento, instruções do controlador, medidas de segurança, obrigações de confidencialidade, tratamento de incidentes, regras para terceiros, retenção e procedimentos de encerramento.

Armazenamento e redundância

O armazenamento primário é dimensionado por volume, perfil de exames e crescimento previsto. Ambientes classificados como críticos utilizam redundância de discos, cópias independentes e outras estratégias que reduzem a dependência de um único componente.

Cópias de segurança

As cópias são mantidas separadas do ambiente operacional. Para operações críticas, a arquitetura acrescenta armazenamento externo em nuvem, em região localizada no Brasil, como camada adicional de contingência.

A estratégia combina armazenamento primário, redundância local, cópia independente e cópia em nuvem. O objetivo é reduzir a probabilidade de que um único incidente físico, lógico ou operacional comprometa ao mesmo tempo a produção e todas as cópias recuperáveis.

Objetivos de recuperação

O ponto de recuperação, que define a perda máxima de dados aceitável, e o tempo de recuperação, que define o prazo-alvo para restabelecimento do serviço, são acordados em contrato conforme a criticidade da operação, e revistos sempre que houver alteração relevante de capacidade, arquitetura ou criticidade.

Cópia de segurança existente não comprova, sozinha, capacidade de recuperação. Por isso a rotina inclui teste de restauração com evidência de execução.

Quando algo falha

A AMD mantém monitoramento dos ambientes e fluxo de suporte acionado quando um evento de segurança, de disponibilidade ou de desempenho é identificado. O tratamento do incidente contempla identificação, classificação, contenção, preservação de evidências, análise de causa, recuperação, comunicação e registro das ações executadas.

Incidente envolvendo dado pessoal

Havendo suspeita ou confirmação de incidente com dado pessoal, a AMD comunica o hospital controlador sem demora indevida, entrega as informações técnicas disponíveis e colabora na contenção e na avaliação do risco.

A comunicação à Autoridade Nacional de Proteção de Dados e aos titulares cabe ao controlador, nos termos do art. 48 da Lei nº 13.709/2018 e da Resolução CD/ANPD nº 15/2024, que fixa prazo de três dias úteis.

Gestão de vulnerabilidades

São realizados exames periódicos de vulnerabilidade sobre os componentes da infraestrutura, com classificação e correção dos achados.