Privacidade, segurança e independência
O que acontece aos dados de uma consulta, quem os trata e onde, e porque é que nenhuma empresa influencia o que a Celvi te responde. Escrito para médicos, encarregados de proteção de dados e direções clínicas.
O percurso dos dados de uma consulta
Do microfone à nota que colas no processo clínico, por esta ordem.
Gravação, no teu dispositivo
O áudio é gravado no navegador. Enquanto gravas, vai ficando guardado no teu dispositivo em blocos de 30 segundos, para a consulta não se perder se o navegador fechar.
Transcrição, e o áudio é apagado
No fim, o áudio segue para um armazenamento temporário na UE e daí para o serviço de transcrição, também na UE. Quando a transcrição termina, o ficheiro é apagado. Se algo falhar a meio, uma limpeza automática diária apaga todos os ficheiros com mais de 24 horas.
O áudio não pode ser pseudonimizado. É por isso que só passa pela transcrição e é apagado a seguir.
Pseudonimização, antes de qualquer IA
Antes de o texto seguir para um modelo de IA, os identificadores diretos que detetamos são trocados por marcas como
[[PESSOA_1]]: emails, números de 9 dígitos (NIF, número de utente, telefone), NISS, Cartão de Cidadão, códigos postais e nomes precedidos de formas de tratamento (Sr., Sra., Dr.) ou de “chama-se”.A correspondência entre marca e dado real só existe em memória durante o pedido. Nunca é guardada nem registada. Quando a nota volta, os dados reais são repostos.
Limites que deves conhecer. A deteção é feita por padrões. Um nome dito sem forma de tratamento pode escapar, e as datas ficam de propósito, porque são clinicamente úteis. Evita escrever nomes nos Dados complementares.
Geração da nota, na UE
A nota, as respostas da Celvi IA, as cartas e a tradução do intérprete são geradas por um fornecedor europeu de modelos de IA, com processamento na UE. O treino de modelos com os nossos pedidos está desligado.
Pesquisa das fontes
Para encontrar as fontes certas, a pergunta ou a nota, já pseudonimizada, é convertida numa representação numérica (embeddings) pelo mesmo fornecedor. Neste momento, este passo pode ser processado fora da UE.
Só a pesquisa das fontes é afetada. A geração da nota e das respostas continua na UE.
A nota fica contigo
A nota volta ao teu navegador e não é arquivada nos nossos servidores. Enquanto trabalhas, um rascunho da consulta fica guardado no teu dispositivo, para o recuperares se o navegador fechar. Inclui o áudio até haver transcrição, apaga-se sozinho ao fim de 12 horas e não passa pelos nossos servidores.
A única exceção: registos enviados do telemóvel
Na app Android, se carregares em Guardar para o computador, a nota e a transcrição ficam guardadas na nossa base de dados para as abrires no computador. Só acontece a teu pedido, só tu as vês, expiram ao fim de 6 horas e podes apagá-las antes disso. É a única situação em que texto clínico fica nos nossos servidores.
O que guardamos
- Os dados da tua conta: nome, cédula profissional, especialidade e email.
- As tuas preferências de consulta e as regras pessoais que escreveres.
- O guia do teu estilo de escrita, em forma abstrata (tom, abreviaturas, estrutura). Os exemplos de notas que colas para o criar não são guardados.
- Métricas de utilização sem conteúdo clínico, como o número de caracteres de uma nota ou a duração de uma gravação.
As calculadoras clínicas fazem as contas no teu dispositivo. Os valores que introduzes não são enviados.
Subcontratantes
Os serviços externos que tratam dados por conta da Celvimed, Lda., para que serve cada um e onde trata os dados.
| Serviço | Para que serve | Dados a que acede | Região |
|---|---|---|---|
| Transcrição de voz | Transcrição da consulta e reconhecimento de voz do intérprete em direto (beta) | Áudio da consulta | UE |
| Modelos de IA | Nota clínica, Celvi IA, cartas, estilo de escrita, scores sugeridos, tradução do intérprete e pesquisa das fontes | Texto pseudonimizado | UE para a geração de texto. A pesquisa das fontes pode ser processada fora da UE (ver o passo 5 acima). |
| Base de dados e autenticação | Contas, base de dados e armazenamento temporário do áudio | Dados da conta; áudio até à transcrição; registos enviados do telemóvel, até 6 horas | UE |
| Alojamento | Execução da plataforma | Tráfego em trânsito | Em confirmação |
| Controlo de pedidos | Limitação do número de pedidos | Identificador do utilizador e contadores, sem conteúdo clínico | Em confirmação |
| Email transacional, incluindo o código de confirmação | Nome e email do médico | Em confirmação |
Quando a região de um serviço ainda não está confirmada, dizemo-lo em vez de a presumir.
Se precisares da lista de subcontratantes e dos acordos de tratamento de dados para a tua avaliação, pede-nos.
Segurança
- Ligações cifradas (TLS), com HSTS em produção.
- Na base de dados e no armazenamento do áudio, cada médico só tem acesso aos seus próprios registos e à sua própria pasta.
- O email é confirmado com um código de 6 dígitos no registo e de 30 em 30 dias. O perfil profissional só é escrito pelo servidor, depois de validado.
- Limites ao número de pedidos por utilizador.
- Por regra, os registos técnicos do servidor não incluem conteúdo clínico: nem áudio, nem transcrições, nem notas.
Independência clínica
Quem decide o conteúdo de uma resposta é a fonte, não a Celvi e muito menos quem a apoie. Isto está no desenho do sistema, e as fontes de cada resposta ficam à vista.
- O conteúdo clínico apoia-se em fontes identificadas: Normas de Orientação Clínica da DGS, Resumos das Características do Medicamento (RCM) aprovados pelo Infarmed, fichas do Formulário Nacional do Medicamento e guidelines de sociedades científicas portuguesas, europeias e internacionais.
- Quando uma resposta se apoia no corpus, as fontes consultadas aparecem por baixo. A Celvi IA está instruída a só escrever o número de uma Norma da DGS se ele constar do documento consultado, e nunca de memória.
- Alguns textos do corpus são escritos por médicos da equipa Celvi. Aparecem sempre identificados como texto interno, com cor própria, e nunca como norma ou guideline.
- Nenhuma entidade comercial influencia as respostas, as sugestões ou o conteúdo clínico: o que a Celvi responde, que fontes consulta e por que ordem aparecem.
- Não há marcas nem publicidade no fluxo clínico. Nenhum logótipo ou menção onde escreves uma nota, consultas uma fonte ou lês uma resposta.
As nossas linhas vermelhas
A nossa política de apoios recusa, seja qual for o valor proposto:
- influência sobre o conteúdo clínico, as fontes consultadas ou a sua ordem;
- presença de marca no fluxo clínico;
- acesso a dados de prescrição ou de utilização clínica, identificados ou agregados;
- exclusividade numa área terapêutica ou preferência sobre o conteúdo;
- revisão prévia do conteúdo clínico antes de publicado.
Qualquer apoio que a Celvi venha a aceitar é sem contrapartidas sobre o conteúdo clínico.
Regulação
A Celvi é uma ferramenta de apoio à documentação e à informação clínica. Transcreve, organiza e propõe texto; o médico revê, corrige e decide. Não se destina ao diagnóstico nem à decisão clínica, não toma decisões de forma autónoma e não substitui o julgamento do médico.
- As calculadoras reproduzem scores publicados. O cálculo é feito por código determinístico e testado, nunca por um modelo de IA, e cada score mostra a fonte.
- Quando a IA sugere um score numa consulta, só indica qual se aplica e propõe valores. Confirmas os valores antes de o cálculo ser feito.
- Os modelos de registo por área, incluindo os da urgência, estão em validação clínica. A interface avisa-te disso quando os usas.
Documentação e contacto
A Política de Privacidade e os Termos e Condições são os documentos de referência. Para pedidos de acordo de tratamento de dados (DPA), o registo de subcontratantes ou documentação para uma avaliação de impacto, escreve-nos.