Segurança e LGPD na API

O que nunca sai pela API, pelos webhooks ou pelo MCP

Como os tokens são protegidos

• O token aparece uma vez. No banco fica só o hash SHA-256 e um prefixo para você reconhecer (clk_ab12...).
• Permissões mínimas por token, validade opcional e revogação na hora pelo painel.
• Apps conectados pelo login do CliLink (OAuth, como o claude.ai e o ChatGPT) recebem tokens de 1 hora, renovados com troca a cada uso; no banco, só o hash. A conexão vale só para o MCP do CliLink, só com as permissões marcadas na tela de consentimento, e cai na hora em Integrações > Apps.
• Cada token só enxerga a própria conta: toda leitura e gravação filtra pela conta do token, e um id de outra conta responde 404.
• Limite por token, por conta e por IP. Abuso leva ao bloqueio do token.
• Conexão só por HTTPS.

O que fica registrado

Cada chamada com token (API e ferramentas do MCP) guarda: quando, qual token, o endereço em modelo (por exemplo, /v1/pacientes/{id}, sem o id), o resultado, o código do erro e o tempo. Nunca o corpo, a resposta, a busca, o IP ou os dados de paciente. O dono da conta vê o histórico no painel; o registro some depois de 30 dias.

LGPD: quem responde pelo quê

• O profissional é o controlador dos dados dos pacientes; o CliLink é o operador.
• Ao ligar outro sistema (planilha, Zapier, Make, assistente de IA), o profissional decide mandar dados para ele. Esse sistema passa a tratar os dados também: confira o contrato e a política de privacidade dele.
• Paciente cadastrado pela API entra sem aceite de comunicação, como no painel. O aceite só vem do paciente.
• Excluir a conta apaga tokens, webhooks e o registro de uso junto.