Tech · arquitetura de referência
Dois registros: um lógico, do paciente. Um jurídico, da clínica.
Titularidade e custódia separadas por desenho. O paciente controla o acesso por smart contract; a clínica cumpre a guarda que o CFM exige; uma blockchain pública prova tudo sem guardar nada sensível.
Publicado em 24/10/2026. Arquitetura em desenvolvimento: o normalizador FHIR R4 e a trilha de integridade existem em ambiente de desenvolvimento; a camada de consentimento descrita abaixo está em construção e ainda não opera com dados reais.
1. O problema de desenho
A lei brasileira dá ao paciente a titularidade dos dados do prontuário (Lei 15.378/2026, CEM e LGPD) e ao médico a guarda por 20 anos, com assinatura ICP-Brasil. Um prontuário controlado pelo paciente que tire a guarda da clínica é ilegal; um que deixe tudo com a clínica não muda nada. A saída é separar os dois papéis em dois registros. O conceito, sem o detalhe técnico, está em o que é prontuário tokenizado.
2. Componentes
| Componente | Função | Onde fica |
|---|---|---|
| Conteúdo clínico em FHIR R4 | Laudos, evoluções, descrições, guias, normalizados com perfis brasileiros | Cifrado, na instituição que tem a guarda (espelho no Tasy, iClinic ou equivalente) |
| Chave por documento | Só quem recebe o consentimento consegue decifrar aquele documento | Serviço de chaves, liberada pelo smart contract |
| Token de acesso do paciente | Representa o direito de acesso e de compartilhamento; intransferível e sem valor de troca | Blockchain pública, vinculado a identificador pseudonimizado |
| Smart contract de consentimento | Executa a autorização: quem, quais documentos, por quanto tempo, para qual finalidade | Blockchain pública |
| Âncora de integridade | Hash de cada documento e de cada evento, com carimbo de tempo de consenso | Hedera Consensus Service, com árvore de Merkle agregando os lotes |
3. Fluxo de compartilhamento
- O paciente se autentica no app e escolhe o que compartilhar — por exemplo, o laudo de ultrassom para um urologista de outra cidade — com prazo e finalidade.
- O smart contract registra o consentimento e emite uma credencial de uso único para o destinatário.
- O destinatário apresenta a credencial; o contrato confere validade e escopo e só então a chave daquele documento é liberada.
- O destinatário recalcula o hash do documento e confere com a âncora pública: prova de que recebeu exatamente o que a clínica assinou.
- Cada acesso vira um evento: quem, quando, com qual consentimento.
- Se o paciente revoga, o contrato deixa de liberar a chave na hora e a revogação fica registrada.
Do lado da clínica, nada muda no fluxo legal: o sistema dela continua gerando o documento assinado com ICP-Brasil e conservando-o por 20 anos. A PreVita referencia o hash; o conteúdo nunca sai do armazenamento cifrado.
4. Regras que não se negociam
- Nenhum dado pessoal ou clínico na blockchain. Só hashes com sal, identificadores pseudonimizados e eventos de consentimento.
- Eliminação pela LGPD (art. 18, VI) atendida fora da cadeia: o documento cifrado é apagado e a chave destruída.
- Guarda do médico preservada (Resolução CFM 1.821/2007 e Lei 13.787/2018): o consentimento do paciente controla o compartilhamento, não a existência do registro.
- Token sem valor de troca. Não é criptomoeda nem ativo negociável; representa um direito pessoal de acesso.
- Verificação independente. Qualquer parte — paciente, médico, operadora, ANS, CRM — confere a integridade sem depender da PreVita.
5. Por que blockchain pública, e não um banco de dados
Um log interno prova o que o dono do log quer provar. Uma âncora em rede pública de consenso dá carimbo de tempo e ordem que nenhuma das partes altera sozinha — nem a PreVita. Em disputa de glosa, fiscalização ou processo ético, é essa independência que transforma registro em evidência. A escolha do Hedera Consensus Service segue critérios de custo previsível por transação, finalidade em segundos e governança corporativa identificada.
6. A tendência global, no desenho brasileiro
Projetos internacionais de prontuário controlado pelo paciente operam com HIPAA ou GDPR como lastro e não precisam resolver a guarda legal do médico. No Brasil, a combinação de Lei 15.378/2026, Código de Ética Médica, ICP-Brasil e RNDS pede um desenho próprio. É esse desenho que a PreVita publica aqui, aberto à crítica técnica.
Perguntas frequentes
O prontuário fica gravado na blockchain?
Não. Na arquitetura da PreVita, a blockchain guarda apenas o hash de cada documento e os eventos de consentimento, com identificadores pseudonimizados. O conteúdo clínico fica cifrado na instituição que tem a guarda legal.
Como o paciente revoga um consentimento?
A revogação é um novo evento no smart contract. A partir dele, a chave de acesso daquele compartilhamento deixa de ser liberada, e a revogação fica registrada com carimbo de tempo.
Como a eliminação de dados prevista na LGPD funciona com um registro imutável?
Como a cadeia não contém dado pessoal nem conteúdo clínico, a eliminação é feita fora dela: o documento cifrado é apagado e a chave correspondente é destruída. O hash que permanece na cadeia não permite reconstruir nem identificar o conteúdo.
O token do paciente é um ativo financeiro?
Não. O token representa um direito de acesso e de compartilhamento, intransferível e sem valor de troca. Não é negociável, não é criptomoeda e não dá direito a remuneração.