Entre consultas não há dado
O prontuário só nasce quando alguém já procurou atendimento. Tudo que acontece no intervalo, o que a pessoa mede, toma, sente e deixa de fazer, fica invisível.
O concierge de saúde que a sua empresa estava esperando
A IA lê tudo. Quem decide é uma pessoa.
A inteligência artificial faz o trabalho pesado de leitura. A decisão clínica continua com gente de verdade, e isso está garantido no código, não numa promessa de contrato.
O que a empresa compra hoje
O plano sabe tudo sobre o custo e quase nada sobre a pessoa.
A operadora enxerga sinistro. O RH enxerga a fatura. Ninguém enxerga a pessoa no intervalo entre uma consulta e a seguinte, e é justamente ali que a doença crônica avança, o remédio deixa de ser tomado e o exame vence.
Programas de bem-estar existem e falham pelo mesmo motivo: são canais de conteúdo. Mandam lembrete, mas não acompanham ninguém. Quando alguém piora, o primeiro a saber continua sendo o pronto-socorro.
Quem paga não fala com quem cuida
A conta é da empresa, mas a decisão assistencial acontece longe dela. Ninguém tem mandato para coordenar a jornada inteira.
Texto livre que ninguém lê
Prontuário e conta médica chegam em texto corrido. Ninguém lê 40 mil linhas por mês, então essas linhas nunca viram cuidado.
O que construímos
Um concierge de saúde com um gêmeo digital de cada pessoa.
A empresa contrata, cada colaborador ganha um app, e por trás uma equipe clínica trabalha uma fila que o sistema monta sozinho. Três copilotos sustentam quem está em cada ponta dessa operação.
Copiloto do beneficiário
Medidas, medicamentos com lembrete, agenda de consultas e exames, questionários e histórico completo. Mais um gêmeo digital que mostra o que a equipe já sabe sobre ela. Tudo na marca da sua empresa.
Copiloto do concierge
Cinco jornadas de trabalho alimentadas pelo motor de risco, pela leitura de prontuário e por tudo que a pessoa faz no app. O copiloto responde sobre a ficha aberta e não vira registro clínico.
Copiloto do gestor
Indicadores da carteira com análise preditiva e piso de k-anonimato. Nenhum número desce ao ponto de identificar alguém por eliminação.
Entrada de dados
Prontuário e conta médica entram por fila, com o layout de cada origem mapeado. A IA lê o texto livre e a evidência entra como suspeita, nunca como fato.
Fila do concierge
risco subiu
consulta gravada
Painel do gestor
1.284vidas
62%ativação
App
A diferença que sustenta o resto
Somos AI-first pelo que a IA não pode fazer aqui.
Todo produto de saúde com IA promete a mesma coisa. O que separa um do outro não é o modelo, é onde a máquina fica impedida de decidir. Estas seis recusas estão escritas no código e verificadas por teste automático.
- score de risco
- Determinístico, com regras de peso fixo e curva logística. "A IA achou 78" não se sustenta numa auditoria. "Pressão acima de 140 contribuiu 26%" se sustenta.
- diagnóstico
- A IA nunca confirma nada. Toda leitura de prontuário entra como suspeita e vai para uma fila de conferência clínica.
- consulta gravada
- Vira rascunho, não registro. Um profissional ouve o áudio, corrige os campos e aprova antes de qualquer coisa entrar no histórico.
- copiloto do paciente
- Não diagnostica, não fala de dose e não alarma ninguém. Trabalha com uma lista fechada de perguntas, e o app manda uma chave em vez de texto livre.
- dado que sai
- Sem nome, sem identificador e sem score. O modelo recebe o retrato clínico e não sabe de quem é.
- áudio da consulta
- Apagado na aprovação ou aos 90 dias, o que vier primeiro. Ele existe para conferir, não para guardar.
Digital twin
Doze pontos anatômicos, cada um ligado ao prontuário real.
Não é uma ilustração decorativa. Cada marcador lê a condição confirmada da pessoa e a linha de cuidado ativa dela, com o CID mapeado para o órgão, do coração ao tornozelo. Toque num ponto para ver a ficha.
Nenhuma cor sai do score. Quem tem risco 89 e quem tem risco 20 veem o mesmo ponto se a condição é a mesma, e nunca existe vermelho. Vermelho num corpo humano significa emergência, e emergência não se comunica por cor num aplicativo, sem ninguém do lado.
Motor de risco
Um número que alguém consegue defender.
O score sai de regras com peso conhecido, aplicadas sobre evidência classificada por origem: aferida, referida ou calculada. Cada fator devolve quanto contribuiu e se é modificável.
Quando o score muda de banda, um agente redige o rascunho do card. Um profissional clínico aprova antes de qualquer coisa aparecer para a pessoa.
0%
reproduzível. O mesmo perfil devolve o mesmo score, hoje e daqui a um ano.
0
chamadas de IA no cálculo. Desligar a IA não muda um score sequer.
0
critérios de trigger, editáveis pelo cliente, gerando card e comunicação.
Decomposição de um score, exemplo ilustrativo
A operação
Cinco jornadas. A fila se monta sozinha.
O concierge não procura o que fazer, o trabalho chega até ele. Cada card nasce de um fato registrado no banco: um score que mudou de banda, uma agenda que venceu, um prontuário que acabou de ser lido ou algo que a pessoa fez no app agora há pouco.
J1 Saúde
risco 62 → 78
humor ruim
J2 Acompanhamento
exame vencido
consulta marcada
J3 Bem-estar
trigger do cliente
J5 Conferência
suspeita I10
suspeita E11
suspeita K76
Saúde
Algo mudou e alguém precisa olhar agora. Risco que subiu de banda, consulta gravada, humor ruim registrado, exame anexado.
Acompanhamento
Linha de cuidado com item vencido, consulta marcada esperando desfecho, medicamento cadastrado sem conferência.
Bem-estar
Alimentada pelas regras de trigger que o próprio cliente configura, sem precisar de release.
Administrativa
Nota baixa na pesquisa, abandono do app e o card que a equipe escreve à mão quando precisa.
Conferência clínica
Toda suspeita levantada por IA chega aqui com o trecho do prontuário que a sustenta, ordenada por autoridade da fonte.
Humano no fim da linha
Nenhum card sai para a pessoa sem passar por alguém. A IA prepara, a equipe decide.
Engajamento
Gamificação que não corrompe o dado.
Um programa de saúde só funciona se as pessoas registrarem o que está acontecendo com elas. A gamificação existe para isso, e foi desenhada com uma regra que muda tudo.
A regra que sustenta a qualidade do dado inteiro
Só se premia o registro. Nunca o resultado clínico.
Se pressão baixa valesse mais pontos que pressão alta, a pessoa aprenderia rapidinho a não registrar a pressão alta. O motor perderia justamente o dado que o faz existir, e a carteira pareceria melhorar no painel enquanto piora na vida real. Por isso a pontuação olha para o ato de registrar, nunca para o número registrado.
Registro da semana
0 XP
XP derivado dos fatos
A pontuação é sempre recalculada a partir dos eventos, nunca guardada como saldo. Repetir um envio não soma duas vezes, e corrigir um dado errado não deixa resíduo no placar.
Ranking sem nome de colega
A pessoa vê a própria evolução e a posição relativa dela, nunca o nome de outro funcionário. Mostrar quem participa do programa de saúde a colegas de trabalho não tem finalidade que justifique.
Modo simples, sem placar
Quem prefere participar do cuidado sem participar do jogo desliga o placar e continua com todo o resto funcionando. O relatório do gestor mostra essa escolha em vez de tratar a pessoa como inativa.
+40 xp
medida enviada
340xp
7dias
Integração
O dado que já existe, finalmente lido.
Duas fontes entram na plataforma por fila, com o layout de cada origem mapeado uma vez e revisado na tela. Nada é lido às cegas e nada vira fato antes de passar por um humano.
Custo vira sinal de risco
Autorizações, procedimentos, internações e padrão de utilização entram no motor como evidência calculada. O uso revela o que o questionário não pergunta: quem já foi ao pronto-socorro três vezes no trimestre, quem tem exame vencido dentro de uma linha de cuidado, quem migrou de banda sem ninguém notar.
TISS · CID-10 · TUSS · lote com deduplicação por MPI
Texto livre vira suspeita rastreável
O agente leitor processa evolução clínica, laudos e sumários em lotes paralelos e extrai condições, medicações e exames. Cada extração carrega o trecho que a sustenta e a autoridade da fonte, e cai na fila de conferência clínica ordenada por confiabilidade. Só depois da aprovação vira condição.
HL7 FHIR R4 · RNDS · SNOMED CT · LOINC
Agentes autônomos
Nove agentes rodando. Nenhum com autoridade final.
Cada agente tem escopo estreito, modelo configurável por capacidade e uma guarda escrita que define o que ele nunca pode fazer. O cliente pode desligar qualquer um por cláusula de contrato e o produto continua funcionando.
A consulta gravada
A consulta que acontece fora da rede entra no sistema.
É o dado que nenhum outro caminho alcança. A pessoa se consulta com um médico que a empresa não conhece e normalmente ninguém fica sabendo. Aqui ela grava, com botão de pausa porque o médico sai da sala, e o resto do trabalho é nosso.
Campo que não foi dito volta nulo. Um modelo que preenche na dúvida produz um prontuário inventado que um humano vai aprovar sem perceber, porque campo preenchido parece campo conferido.
- 01
Grava, pausa, retoma
Controle na mão da pessoa, com consentimento registrado antes de começar.
- 02
Sobe e libera o celular
O upload roda em segundo plano e o processamento não prende o aparelho.
- 03
Transcrição com falantes
A diarização separa a fala do médico da fala do paciente.
- 04
Extração e resumo SOAP
Queixa, hipótese, CID, conduta, exames, encaminhamentos e prescrição.
- 05 · humano
Enfermeira ouve e aprova
Corrige os campos que precisam. Sem esta etapa, nada segue adiante.
- 06
Vira histórico
Entra no prontuário longitudinal e o áudio é apagado em seguida.
BI com análise preditiva
Indicador da carteira sem expor ninguém.
O painel mostra a carteira estratificada, a projeção de risco por coorte e o efeito real das linhas de cuidado ativas. Nenhum recorte desce ao ponto de identificar uma pessoa por eliminação, e essa regra vive no domínio, não numa configuração de cliente.
Indicadores da carteira
1.284vidas ativas
18%alto risco
64%com linha ativa
Projeção por coorte
migra de banda
k < 5 suprimido
linha ativa
Pirâmide de estratificação, distribuição ilustrativa
Projeção por coorte
Quantas pessoas devem migrar de banda no próximo trimestre se a trajetória atual se mantiver, e quanto disso é modificável.
Efeito da linha de cuidado
Comparação entre quem está em acompanhamento ativo e quem não está, dentro da mesma banda de risco.
Pergunta aberta no painel
O gestor pergunta em linguagem natural sobre indicador agregado e recebe resposta com a fonte, nunca sobre uma pessoa.
Piso de k-anonimato igual a 5
Qualquer célula de indicador com menos de cinco pessoas é suprimida antes de sair do banco. Vale para filtro combinado, exportação e API. É regra de domínio com teste-guarda: se alguém tentar afrouxar, o build quebra.
Segurança, privacidade e LGPD
O isolamento é do banco, não de um WHERE.
Cada empresa cliente é um tenant do PostgreSQL com row-level security em 38 tabelas. Uma consulta que esqueça o filtro não devolve dado errado, devolve zero linhas. Em saúde a empresa A jamais pode ver dado da empresa B, e isso não pode depender de alguém lembrar.
Isolamento multi-tenant real
RLS ativa em 38 tabelas, através de papel de banco sem bypass. Uma suíte dedicada tenta vazar dado entre tenants a cada build.
CPF nunca em claro
O identificador é derivado por HMAC com pepper no servidor. O login do beneficiário nasce desse hash, sem nenhuma busca privilegiada entre clientes.
Auditoria de toda chamada de IA
Finalidade, modelo, entrada dessensibilizada e desfecho ficam registrados, inclusive quando a IA está desligada, para o cliente poder provar que ficou.
Doze testes-guarda que quebram o build
Isolamento entre tenants, pureza do domínio, reprodutibilidade do motor, regras clínicas e worker. Uma regressão de segurança para o pipeline antes de chegar em produção.
Minimização na saída para modelos
Nome, CPF, identificador e score nunca saem. O modelo recebe o retrato clínico dessensibilizado. Nenhum treino sobre dado de cliente.
Whitelabel de verdade
Marca, tema, canais e política de IA por cliente. A cor de risco não é configurável, é garantia de tipo. Consentimento versionado a cada termo aceito.
LGPD por construçãoIsolamento multi-tenant (RLS)CPF nunca em claro (HMAC)
Criptografia em trânsito e em repousok-anonimato ≥ 5 no BI
Consentimento versionadoAuditoria de toda chamada de IA
Dados hospedados no Brasil
Arquitetura
De 500 a 500 mil vidas sem trocar de fundação.
Monorepo com o domínio puro no centro. A lógica de risco não conhece banco, framework nem provedor de IA, e isso é verificado por teste. O mesmo motor roda no servidor, no app e num script de auditoria, e devolve sempre o mesmo número.
Canais
App iOS e AndroidCRM webPortal do clienteWhatsApp Cloud APIE-mail transacional
Aplicação
Next.js · App RouterRoute HandlersProxy de sessãoFila de importaçãoWorker de recálculo
Domínio puro
Motor de risco determinísticoMotor de triggersRegra de k-anonimatoCinco jornadasRegras de XPZero dependência de infra
Inteligência
Nove agentes com guarda escritaPorta de LLM intercambiávelSTT com diarizaçãoExtração de campos clínicosAuditoria de finalidade
Dados
PostgreSQL multi-schemaRLS em 38 tabelasPrismaOutbox de eventosProntuário longitudinalMPI
Garantias
Doze suítes-guarda no CIConsentimento versionadoTrilha de auditoriaHospedagem em território nacional
Programa de design partner
Seis meses para provar na sua carteira.
Procuramos poucas empresas para rodar o piloto com acesso direto a quem constrói o produto. O que sair daí decide o roadmap.
Valor fixo por vidaa partir de 500 vidas na carteira
- Implantação, importação de base e mapeamento de origem incluídos
- App na marca da sua empresa, publicado nas lojas
- Equipe clínica operando o CRM desde o primeiro dia
- Painel do gestor com os indicadores da sua carteira
- Canal direto com a fundação, onde pedido vira release e não backlog
- Preço travado por 6 meses, sem reajuste durante o piloto