Fatu / Expe AI, Inc.
Segurança e tratamento de dados
O hospital precisa saber quem acessa os documentos, como a IA os processa e quais evidências sustentam cada revisão.
Conformidade com a LGPD
O Fatu trata dados pessoais em conformidade com a Lei Geral de Proteção de Dados (LGPD). O acesso aos dados e documentos é restrito às pessoas autorizadas, com controles de segurança e rastreabilidade.
SOC 2 e HIPAA
Nossa abordagem de segurança considera os critérios SOC 2 e os requisitos HIPAA na definição de controles e processos.
Acesso vinculado ao hospital
O acesso aos dados e documentos está vinculado à organização hospitalar e à participação autorizada do usuário. A plataforma exige autenticação em dois fatores e verifica as permissões antes de disponibilizar arquivos privados.
As integrações hospitalares usam consultas autorizadas e limitadas ao escopo definido. A leitura de dados no sistema de origem é distinta da revisão e aprovação do pacote pela equipe do hospital.
Originais, versões e decisões
O Fatu preserva os documentos originais e mantém as versões dos dados e do pacote usadas na preparação. As pendências e as decisões da equipe ficam associadas ao caso para permitir a conferência da evidência de origem.
A aprovação se refere a uma versão específica. Mudanças nos dados ou documentos exigem nova conferência. O Fatu envia a conta ao SUS após a aprovação da equipe.
Fluxo de dados para IA
A extração de texto por OCR pode enviar o PDF original a fornecedores de IA. Portanto, não pressupomos que todo documento tenha seus dados pessoais removidos antes do processamento. A detecção e ocultação de dados pessoais acontece em uma etapa posterior e exige revisão antes de compartilhar o resultado.
O OCR utiliza OpenRouter com roteamento restrito à Azure e exige retenção zero no provedor, sem fallback para outros provedores. A classificação de motivos de rejeição utiliza Jev/TypeSafe e tem um fluxo de dados próprio. Os controles de OCR não estabelecem a política de todos os outros serviços de IA.
Retenção zero no provedor de OCR não significa exclusão dos originais, textos e históricos mantidos pelo Fatu. Esses registros sustentam a operação e a conferência do caso. O hospital deve avaliar o fluxo completo e as condições aplicáveis antes de autorizar o processamento de dados clínicos.
Avaliação antes da implantação
A avaliação com o hospital precisa abranger os dados necessários, as permissões, os fornecedores e subprocessadores, os locais de processamento, as condições de retenção e exclusão e as responsabilidades de cada parte. Solicite essas informações para a análise da sua equipe de TI e privacidade.
Os controles técnicos integram essa avaliação. O escopo e as condições do tratamento de dados clínicos precisam ser definidos com cada hospital e registrados nos documentos aplicáveis à implantação.
Contato de segurança e privacidade
Para esclarecer o tratamento de dados ou solicitar informações para a avaliação do hospital, escreva para contact@fatu.app. Descreva o assunto sem anexar prontuários, documentos clínicos, credenciais ou outros dados de pacientes.
A política de privacidade do site trata dos dados enviados pelo formulário comercial. Ela é separada da avaliação do tratamento de dados clínicos da plataforma.