Segurança da informação

Última atualização: 12 de outubro de 2026

Você guarda dados de sessão de paciente no AgendaPsi360. Isso pesa diferente de guardar dados de uma loja de roupas, e tratamos assim. Esta página junta duas coisas: uma explicação direta do que fazemos na prática para proteger essas informações, e a nossa Política de Segurança da Informação (PSI) — o documento formal por trás dessas práticas.

1. Objetivo e abrangência

Esta PSI define como tratamos a confidencialidade, a integridade e a disponibilidade das informações que passam pelo AgendaPsi360, e vale para toda a equipe da Aracati Digital e para qualquer prestador que tenha acesso a esses dados. Ela se inspira nas práticas descritas na norma ISO/IEC 27001 e é escrita para atender a Lei Geral de Proteção de Dados (LGPD). Não somos certificados na ISO 27001 — a norma é usada aqui como referência de boas práticas, não como selo que exibimos.

2. Infraestrutura e criptografia

O banco de dados roda no Amazon RDS (PostgreSQL), com backups automáticos diários mantidos pela própria AWS. Todo o tráfego entre o seu navegador e nossos servidores passa por HTTPS/TLS — não existe caminho sem criptografia. Senhas nunca são guardadas em texto puro: usamos hash (bcrypt, via Laravel) em todas elas, inclusive as suas e as dos seus pacientes, se você cadastrar acesso para eles no futuro.

3. Isolamento entre contas

Cada profissional ou clínica cadastrada no AgendaPsi360 é um tenant isolado no banco de dados. Uma regra de escopo roda em toda consulta ao sistema e garante que os dados de um profissional nunca aparecem para outro — não é uma verificação manual espalhada pelo código, é uma barreira estrutural do jeito que o banco foi desenhado.

Dentro de uma conta de clínica, o acesso é dividido por papéis (dono, profissional e secretária), aplicados no servidor a cada requisição, e o dono pode desativar o acesso de qualquer pessoa, o que bloqueia o login e revoga as sessões abertas.

4. Controle de acesso

O acesso à sua conta usa tokens de autenticação (Laravel Sanctum), renovados a cada login e revogáveis a qualquer momento. Cada usuário acessa só o que o papel dele permite dentro da própria conta. A fila de mensagens (WhatsApp, e-mail) roda em Redis, separada do banco principal, e os provedores externos que processam dados em nosso nome — AWS, Meta (WhatsApp Cloud API) e nosso provedor de e-mail transacional — recebem só o mínimo necessário para prestar o serviço contratado.

A equipe do AgendaPsi360 tem um painel administrativo restrito a administradores nomeados. Ele permite suspender e excluir contas e, para suporte, acessar uma conta como o titular. Esse acesso expira em 30 minutos, não pode alterar o perfil do titular nem acessar o painel administrativo, e todas as ações administrativas ficam registradas em log de auditoria com quem fez, o quê, em qual conta e quando.

5. Continuidade e backups

Além dos backups automáticos do banco de dados, mantidos pela AWS, o código-fonte da plataforma fica versionado e replicado fora dos nossos servidores de produção. Isso reduz o risco de perda de dados em caso de falha de hardware ou erro humano — não elimina, porque nenhum sistema chega a esse ponto, mas é o que nos permite recuperar o serviço rapidamente se algo der errado.

6. Resposta a incidentes

Se identificarmos um incidente de segurança que envolva dados pessoais, avisamos a Autoridade Nacional de Proteção de Dados (ANPD) em até 72 horas, como recomenda a LGPD, e avisamos os profissionais afetados diretamente, com uma explicação honesta do que aconteceu e do que estamos fazendo a respeito. Se você suspeitar de qualquer problema de segurança na plataforma, escreva para contato@aracatidigital.com.br — esse canal é monitorado com prioridade.

7. Divulgação responsável de vulnerabilidades

Encontrou uma falha de segurança no AgendaPsi360? Queremos saber antes que ela vire um problema de verdade. Reporte para contato@aracatidigital.com.br com o máximo de detalhe que conseguir. Quem reportar de boa fé — sem explorar a falha além do necessário para comprová-la, e sem acessar ou expor dados de terceiros — não sofre nenhuma medida legal da nossa parte. Pedimos só um prazo razoável para corrigir antes de qualquer divulgação pública.

8. Quem é responsável por isso

Hoje somos uma equipe pequena, e a própria equipe que desenvolve o AgendaPsi360 é responsável direta por essas práticas — não existe ainda um comitê formal de segurança ou um cargo dedicado só a isso, e preferimos dizer isso abertamente a fingir uma estrutura maior do que a real. Conforme a empresa cresce, formalizamos papéis dedicados e atualizamos esta seção para refletir isso.

9. Vigência e revisão

Esta política é revisada pelo menos uma vez por ano, ou antes disso se mudarmos algo relevante na infraestrutura ou se um incidente exigir revisão imediata. A versão publicada aqui é sempre a mais atual.

10. Fale com a gente

Qualquer assunto de segurança — dúvida, vulnerabilidade ou incidente — vai para contato@aracatidigital.com.br, um canal monitorado com prioridade. Para saber o que fazemos com os seus dados pessoais no dia a dia, veja nossa Política de Privacidade.

Esta política observa a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) e se inspira nas práticas recomendadas pela norma ISO/IEC 27001, sem constituir certificação.