O áudio da sessão não vira uma gravação no Voctor.

O fluxo de consulta não guarda áudio

Durante a consulta, o som vai do navegador ao serviço de transcrição e volta como texto. O fluxo atual de consulta do Voctor não guarda um novo arquivo de áudio para ouvir depois. O streaming solicita exclusão do programa de melhoria de modelos do Deepgram; as condições específicas do fornecedor dependem da conta e do contrato aplicável. Somente o texto entra no prontuário pelo fluxo de consulta.

Cada profissional vê apenas os próprios pacientes

Toda informação no Voctor é vinculada à identidade de quem a criou. Quando você abre um paciente, um prontuário ou uma consulta, o sistema verifica, a cada acesso, se aquele registro pertence a você — e nega qualquer tentativa de ler dados de outro profissional. Essa checagem acontece no servidor, não depende do aplicativo, e é a mesma regra para todo mundo.

Sobre a nossa operação, preferimos ser exatos em vez de reconfortantes. Existe um acesso administrativo, hoje restrito à conta do fundador, que é o que permite prestar suporte, investigar um erro que você relate e cumprir determinação legal. Ele não é usado para leitura rotineira de prontuário, e o nosso compromisso é só recorrer a ele quando você pedir ajuda em um caso concreto ou quando a lei obrigar. As regras de acesso separam as contas dos profissionais. O início de atendimento de suporte pelo painel exige registro de auditoria no servidor. Acesso administrativo direto, permissões de infraestrutura e MFA também precisam de controles e verificação operacional.

Criptografia em trânsito e em repouso

A comunicação entre o seu navegador e o Voctor é criptografada em trânsito (HTTPS/TLS). Os dados guardados na infraestrutura — os textos das consultas e os documentos — ficam criptografados em repouso pela plataforma que hospeda o serviço. O login usa Firebase com Google ou e-mail e senha, com e-mail confirmado. A senha é tratada pelo serviço de autenticação; não é guardada pelo Voctor em um campo de perfil. Há cópias locais de trabalho para recuperação que podem permanecer no navegador após sair da conta e não têm cifra por chave de aplicação.

Anexos e exclusão

Novos anexos aceitam PDF, PNG, JPEG e WebP, com limite de 20 MB e verificação da assinatura do arquivo no servidor. O acesso recebe um link temporário após autenticação, que não é salvo no prontuário. Essa verificação reduz formatos indevidos, mas não substitui uma análise completa contra malware. Links antigos precisam da migração de revogação.

Apagar um paciente arquiva o prontuário e derivados na lixeira por 30 dias, revoga os links de paciente e permite recuperação sem reativar esses links. Backups diários têm retenção configurada de sete dias, sujeita à operação das rotinas. Exclusão da conta segue a carência de 90 dias para exportação; falhas de eliminação devem ser retomadas.

A inteligência artificial entrega rascunhos, não documentos prontos

A partir do texto da consulta, o Voctor gera um rascunho da evolução, da anamnese ou de outro documento. É sempre um rascunho: você lê, corrige e aprova antes de usar. A inteligência artificial pode errar, e por isso ela nunca tem a palavra final — quem assume a responsabilidade clínica pelo documento é você, como já acontece hoje com tudo o que você escreve. O Voctor não emite documento final por conta própria e não possui assinatura digital.

Você é dono dos seus dados

Os prontuários são seus, não nossos. A qualquer momento você pode:

• Exportar todos os seus dados, para levar para onde quiser.
• Pedir a exclusão completa dos dados. A conta é desativada na hora, os dados ficam guardados por 90 dias para você exportar ou desistir, e depois disso são apagados de forma irreversível.
• Cancelar a assinatura quando quiser, sem multa e sem fidelidade.

Cancelar a conta e apagar os dados são coisas diferentes: você pode cancelar e ainda exportar tudo antes de pedir a exclusão definitiva.

Onde os dados ficam

O Voctor é construído sobre serviços de infraestrutura estabelecidos, e todos processam dados nos Estados Unidos. São estes:

• Google / Firebase — login, banco de dados, funções de servidor e hospedagem, na região us-central1.
• Deepgram — converte a fala em texto durante a consulta, em tempo real.
• OpenRouter — encaminha solicitações de IA, inclusive a secretária, exigindo endpoints declarados com zero retenção e coleta negada. Isso descreve a exigência de rota, sem certificar todas as condições contratuais dos fornecedores. Não há envio automático à API direta do Google em caso de falha.
• Google Gemini — escreve os rascunhos de documento a partir do texto da consulta, acessado através do OpenRouter.
• Anthropic — quando você pede a conferência automática de um documento, recebe o texto desse documento e a transcrição da consulta para apontar contradições e pontos de risco, também através do OpenRouter. É de propósito um modelo de família diferente da que escreveu o rascunho: modelo nenhum é bom juiz do próprio texto.
• Stripe — processa o pagamento da assinatura e não recebe dado de paciente.

O que cada fornecedor processa, com que base legal e como tratamos a transferência internacional de dados está detalhado na nossa Política de Privacidade. Quando um fornecedor novo passar a tratar dados de paciente, avisamos com 30 dias de antecedência antes que ele entre em operação.

Responsabilidade e limites

Projetamos controles de acesso, retenção e direitos dos titulares com referência à LGPD. Isso não equivale a uma certificação de conformidade, garantia de ausência de incidentes ou aprovação por conselho profissional. Condições contratuais dos provedores, transferências internacionais e configurações operacionais precisam de documentação e verificação próprias.

Para entender em detalhe quais dados tratamos, com que base legal e quais são os seus direitos, leia a Política de Privacidade. As regras de uso do serviço estão nos Termos de Uso.