Baixar app
Menu

Painel administrativo

Auditoria e pedidos de exclusão

Como consultar a trilha de acessos do painel e como tratar um pedido de exclusão de conta feito pelo formulário público, da fila até a conclusão.

Formulário público quem pede: o titular, sem login

/excluir-conta Solicitar exclusão

Painel da clínica quem decide: administração técnica

Clínica Pedidos de exclusão

Painel da clínica quem confere: administrativo e administração técnica

Clínica Auditoria

Antes de começar

Quem vê o quê

Auditoria

Administrativo e administração técnica

Os dois perfis veem Auditoria no menu, na seção Clínica, e leem a trilha inteira.

Pedidos de exclusão

Só a administração técnica

O item só aparece para esse perfil. O administrativo não vê a fila, e abrir o endereço direto o devolve à tela inicial: o servidor também recusa.

Sem acesso

Médica(o) e concierge

Nenhum dos dois itens aparece no menu desses perfis, e o servidor também recusa o acesso.

Parte 1 · Auditoria

Consultar a trilha de acessos

  • admin.conecareapp.com.br
  • no computador

  1. No menu, em Clínica, clique em Auditoria

    A tela abre com os últimos 60 dias da trilha, da linha mais recente para a mais antiga, 50 por vez. O número acima da lista diz quantas linhas vieram, por exemplo 50 de 1284 registro(s). No fim, Carregar mais traz as próximas.

    Cada linha responde três perguntas: quem (nome e perfil), o quê (a ação e a classe) e quando. A bolinha vermelha e o selo RECUSADO marcam uma tentativa barrada. As demais ficam com a bolinha verde.

    Entram na trilha os acessos a dado clínico (prontuário, exame, conversa, diário de sintomas e outros) e as ações administrativas que alteram algo. Só abrir uma tela administrativa não gera linha.

    A tela só lê. O painel não tem como editar nem apagar uma linha da trilha. O sistema guarda cada linha por 60 dias e depois a apaga sozinho, então acessos mais antigos não aparecem mais.
    Nomes, ações e horários de exemplo

  2. Refine com os filtros

    • Busca. Digite parte do nome ou do e-mail de quem acessou, ou da ação (por exemplo anonymize_user). Ela não procura por paciente, registro, IP nem status.
    • Todas as classes. Escolha Acesso a dado clínico ou Ação administrativa.
    • Período. Abre o calendário Período da auditoria, com o botão Aplicar. Os atalhos Hoje, 7 dias e 30 dias contam o dia de hoje. O calendário só deixa escolher os últimos 60 dias. Os dias valem no fuso do seu computador.
    • Usuário. Abre a janela Filtrar por usuário: digite nome ou e-mail e clique na pessoa da lista. O x do chip volta para todos os usuários.
    • Só recusados. Mostra apenas as tentativas barradas. Várias seguidas na mesma conta indicam alguém testando o que ainda abre.

    Os filtros se combinam. Limpar filtros aparece assim que há algum ligado. Sem resultado, a tela diz Nenhum registro para esses filtros.

    Para ver os acessos de uma pessoa, use o filtro Usuário e não o nome na busca: a busca casa por trecho e traria junto os homônimos.
    Os acessos recusados de uma pessoa nos últimos 7 dias

  3. Clique na linha para abri-la

    • Quem acessou. Nome, e-mail, perfil e ID do usuário.
    • O que foi acessado. Ação, operação, classe e tipo de registro (por exemplo Exame ou Diário de sintomas). Em Registro vem o número do item, ou listagem (coleção) quando o acesso foi à lista toda e não a um item.
    • Quando e de onde. Data e hora, IP de origem, status HTTP e se o acesso foi recusado.
    • Recorte do acesso. Só aparece quando existe: por exemplo o Paciente (id) cujo dado foi lido.
    • Dados brutos. Botão que mostra o registro técnico completo da linha.

    Campo que não veio na linha aparece com um hífen. Os valores podem ser selecionados e copiados para o chamado de suporte. Em acesso recusado, a faixa vermelha avisa que a tentativa ficou registrada, mas o dado não foi entregue.

    A primeira linha da etapa 2, aberta

  4. Para achar uma exclusão de conta, busque anonymize_user

    Toda exclusão de conta grava uma linha com essa ação, classe Ação administrativa, tipo de registro Usuário e, em Registro, o número da conta excluída.

    Para saber por qual porta a conta saiu, abra Dados brutos e leia o campo via:

    • delete_my_account. O próprio titular, no app, em Perfil e Excluir minha conta.
    • cancel_registration. O titular cancelou o cadastro pendente ou recusado, na tela de entrada do app.
    • deletion_request. A administração técnica concluiu um pedido do formulário. O campo deletion_request_id aponta o pedido.

    Em Quem acessou fica a pessoa que executou: o próprio titular nas duas primeiras portas, e quem concluiu o pedido na terceira. A linha continua mostrando o nome da época mesmo depois de a conta ser anonimizada.

    Exclusão da conta 312, feita por quem concluiu o pedido

Parte 2 · Pedidos de exclusão

Tratar um pedido, até a conclusão

  • admin.conecareapp.com.br
  • no computador
  • só administração técnica

  1. O pedido chega pelo formulário

    Quem não tem o app, ou não consegue entrar nele, preenche o formulário em conecareapp.com.br/excluir-conta: nome completo, e-mail cadastrado na conta, telefone e motivo (os dois últimos são opcionais). Quem tem o app exclui a conta por lá, na hora, sem passar por esta fila.

    O pedido é gravado e entra na fila como Pendente. O sistema compara o e-mail digitado com as contas: se bater, o pedido fica ligado à conta. Se não bater, o pedido continua valendo, sem vínculo.

    A caixa privacidade@conecareapp.com.br recebe um e-mail de aviso, com um botão para a fila. O titular não recebe nenhum e-mail do sistema.

    Se o envio do e-mail de aviso falhar, o titular não fica sabendo e o painel não avisa ninguém: o pedido só fica salvo na fila. Olhe Pedidos de exclusão com regularidade e não dependa do e-mail.
    O prazo prometido na página pública é de 15 dias úteis. O cartão pendente mostra Prazo: dd/mm e, depois dessa data, a etiqueta vermelha Vencido. A conta usa segunda a sexta e não desconta feriados: num período com feriado, o prazo real pode ser um dia depois do mostrado.

  2. Em Clínica, clique em Pedidos de exclusão

    A tela abre filtrada em Pendentes, que é a fila de trabalho, com o pedido de vencimento mais próximo (o mais antigo) no alto. Nos outros filtros, o mais novo vem primeiro. O seletor também tem Todos os status, Concluídas e Recusadas. O ícone de seta circular atualiza a lista.

    Cada cartão mostra nome, e-mail, telefone (se foi informado), Recebido em, o Prazo (só no pendente), o motivo (se foi escrito) e a situação da conta: Conta encontrada no cadastro com o número, ou Nenhuma conta com este e-mail.

    Só o pedido Pendente tem os botões Recusar e o de concluir. O texto do botão diz o que ele faz: Concluir e excluir conta quando há conta de paciente ainda ativa, e Marcar como concluída quando não há nada para excluir (sem conta, conta já excluída ou conta da equipe). Concluídas e Recusadas ficam só para consulta. Sem pedidos, a tela diz Nenhum pedido pendente.

    Pessoas de exemplo. O menu aqui está resumido

  3. Confira a identidade antes de decidir

    O sistema não confere ninguém. O formulário não pede login, e qualquer pessoa pode digitar o e-mail de outra: quem conclui é quem garante que o pedido é do titular.

    Use o e-mail e o telefone do cartão para falar com o titular. O próprio formulário avisa que a clínica vai entrar em contato pelo e-mail informado para confirmar. Como conferir é definição da clínica, e o painel não guarda o resultado da conferência. Anote o que precisar guardar antes de concluir: depois, o cartão perde nome, e-mail, telefone e motivo.

    Concluir apaga os dados do titular de vez, na conta (se houver conta de paciente ativa) e no próprio pedido. Só conclua depois de confirmar.

  4. Clique no botão de concluir ou em Recusar

    Os dois botões abrem uma janela de confirmação que repete o nome e o e-mail do titular (com dois pedidos na fila, é aqui que se pega o clique no cartão errado) e o perfil da conta ligada. O texto e a cor do botão mudam conforme o caso, e a janela diz a verdade sobre o que será excluído:

    Conta de paciente ligada ao pedido. Botão vermelho, sem volta.
    Nenhuma conta com o e-mail. Nenhuma conta é excluída. Se a conta já estava excluída, o texto troca para “A conta já estava excluída”.
    Conta da equipe. A janela não oferece concluir, só Cancelar.
    Recusar. Não toca na conta, qualquer que seja o perfil, e mantém os dados do pedido.

  5. Veja a decisão registrada

    Aparece o aviso verde Decisão registrada: concluída. (ou recusada) e a lista é recarregada. O pedido sai de Pendentes e passa para Concluídas, com a data e o nome de quem decidiu em Decidido em ... por ....

    Concluir um pedido ligado a conta de paciente exclui a conta na mesma operação. Concluir um pedido sem conta, ou de conta que já foi excluída, só registra a decisão. Nos dois casos, nome, e-mail, telefone e motivo do pedido são trocados por marcador, na mesma operação: se algo falhar, nada é alterado. O cartão passa a dizer Dados do titular removidos ao concluir.

    Não há botão para desfazer. Pedido concluído não reabre, e os dados da conta e do pedido não voltam. Pedido recusado ainda pode ser reaberto pelo sistema, porque a recusa mantém os dados.
    O aviso aparece por alguns segundos, logo após confirmar

  6. Confira na Auditoria o detalhe da decisão

    O cartão já mostra quando e quem decidiu. A trilha guarda o detalhe técnico. Concluir um pedido ligado a conta de paciente gera duas linhas: anonymize_user, com o número da conta em Registro, e PATCH /admin/privacy/deletion-requests/ seguido do número do pedido, que registra a decisão. Recusar gera só a segunda.

    A linha do PATCH não aponta a conta. Quem aponta é a anonymize_user, e o campo deletion_request_id em Dados brutos liga as duas ao pedido.

    Busque pelo nome de quem concluiu, ou por anonymize_user

O efeito da conclusão

O que sai e o que continua guardado

Ao concluir (conta de paciente)

O que sai ou deixa de funcionar

  • O nome vira Usuário excluído e o e-mail vira um marcador sem relação com o original.
  • CPF, telefone e data de nascimento são apagados.
  • A senha deixa de valer e o acesso termina. As notificações push param, e os códigos de verificação e de redefinição de senha são apagados.
  • As consultas futuras (pendentes, confirmadas ou remarcadas) são canceladas, não apagadas.

Continua com a clínica

O que fica guardado

  • O histórico clínico (consultas passadas, exames, laudos e mensagens com a equipe), pelo prazo legal de 20 anos, ligado ao prontuário e não mais à conta do app.
  • A trilha de auditoria, mantida por segurança por 60 dias. Nenhuma linha é alterada nesse período, e depois o sistema apaga as linhas antigas sozinho.
  • O registro do pedido, na fila de Concluídas: número, datas, quem decidiu e o vínculo com a conta. Nome, e-mail, telefone e motivo do formulário são trocados por marcador ao concluir.
  • Atenção: pedidos concluídos antes desta mudança, e pedidos recusados, ainda guardam o que o titular digitou. Só uma limpeza decidida pela clínica remove esses dados. O e-mail de aviso enviado a privacidade@conecareapp.com.br também continua na caixa de entrada.
É o mesmo efeito de quando o titular exclui a conta pelo app (Perfil, Excluir minha conta, com a senha): lá acontece na hora, sem passar por esta fila.

Se algo não bate

Dez situações comuns

A Auditoria mostra “Não foi possível carregar a trilha de auditoria”

É falha de carga, não prova de que não houve acesso. Clique em Tentar novamente. Se persistir, copie o texto cinza que aparece abaixo do aviso para o chamado de suporte.

Procurei o nome do paciente e não achei

A busca só cobre quem acessou e a ação. O paciente aparece depois de abrir a linha, em Recorte do acesso, pelo Paciente (id). Para achar os acessos, filtre por Usuário a pessoa que consultou e confira o recorte de cada linha.

Os horários parecem deslocados

A trilha é gravada em UTC e o painel converte para o fuso do seu computador, tanto nas linhas quanto nos dias do Período. Confira o fuso do computador antes de estranhar a hora.

Não chegou o e-mail de aviso do pedido

A fila é a fonte do pedido, e o e-mail é só um aviso que pode falhar sem erro para o titular. Abra Pedidos de exclusão em Pendentes e atualize a lista.

O titular pergunta se já foi concluído

O sistema não manda e-mail ao titular, nem ao receber nem ao concluir. A página pública diz que a clínica confirma pelo e-mail informado em até 2 dias úteis: esse contato é feito por uma pessoa, pelo e-mail ou telefone do cartão.

O cartão diz “Nenhuma conta com este e-mail”

O e-mail do formulário não bate com nenhuma conta: pode ter sido digitado diferente do cadastro, ou o cadastro nunca foi concluído. O vínculo é feito só quando o pedido chega, e o painel não permite ligar o pedido a outra conta depois. Concluir apenas registra a decisão e nenhum dado muda.

Apareceu “Este pedido já foi decidido por outra pessoa. Atualize a lista.”

Outra pessoa da administração técnica decidiu o pedido antes. Sua lista estava desatualizada e nada foi alterado. Clique em atualizar para ver a decisão dela.

Concluí o pedido errado

O painel não desfaz. A anonimização da conta não tem volta, e o pedido concluído não reabre: o sistema recusa com “Os dados do titular deste pedido já foram removidos”. Se o titular ainda quiser algo, ele faz um novo pedido. Por isso o botão vermelho avisa “Não dá para desfazer” e pede a conferência da identidade antes.

Um pedido concluído antigo ainda mostra o e-mail do titular

A troca por marcador só vale para pedidos concluídos depois que ela entrou no sistema. Os anteriores, e os recusados, continuam com nome, e-mail, telefone e motivo até a clínica decidir a limpeza. Isso não é falha do cartão: o dado ainda está no banco.

A janela diz “Conta da equipe” e só tem Cancelar

O e-mail do pedido é de uma conta de médico, administrativo ou outro perfil da equipe, que não é excluída por esse caminho. A janela manda tratar a exclusão manualmente com a administração técnica. Recusar continua disponível.

Este guia descreve o que o painel e o sistema fazem hoje. Prazo, conferência de identidade e retenção seguem a política da clínica e a Política de Privacidade.