Todos os artigos

    Nota de arquitectura

    15 de julho de 2026por Gustavo Teixeira Cuco4 min de leitura

    Arquitectura de Dados de Saúde no Dubai — Quatro Perguntas para Além da Saúde

    Contexto de arquitectura

    Decisão de arquitectura

    Confiança e compliance

    Aplicado em

    Q-LIRILusiberiaStays
    Arquitectura de Dados de Saúde no Dubai — Quatro Perguntas para Além da Saúde

    Comecei com uma pergunta ampla sobre um produto de IA clínica no Médio Oriente. A evidência obrigou a estreitar a resposta: a arquitectura regulatória depende da jurisdição e do caso de uso. Para esta análise, a fonte relevante eram as normas públicas de dados de saúde do Dubai — não uma generalização sobre os EAU ou o MENA.

    A norma de telemedicina da DHA integra a avaliação da plataforma no modelo operacional e, para a informação abrangida, exige armazenamento através de um fornecedor cloud certificado pelo DESC nos EAU. Estabelece também um mínimo de 25 anos desde o último encontro para informação de telemedicina. Normas distintas da DHA e do NABIDH exigem acesso pelo menor privilégio e trilhos de auditoria revistos e protegidos contra alteração ou eliminação não autorizada.

    Essas obrigações não se aplicam automaticamente a uma plataforma imobiliária. O que se transfere é a arquitectura das perguntas, não as regras da saúde.

    Ambos os sectores tratam dados cujo uso é limitado por finalidade, função e jurisdição. Dizer apenas que um registo “pertence” à pessoa que descreve esconde os papéis jurídicos de titular dos dados, responsável pelo tratamento e subcontratante. O problema de desenho é tornar explícitos esses papéis, finalidades e direitos de decisão.

    Não encontrei base para afirmar que o PropTech converge para a regulação de saúde do Dubai. Encontrei quatro perguntas que qualquer sistema com dados operacionais sensíveis deve responder.

    As perguntas de arquitectura transferem-se; as respostas regulatórias não.

    Localização. Onde pode cada classe de dados ser armazenada ou tratada segundo as regras que realmente se aplicam? No caso da telemedicina do Dubai, a resposta condiciona a topologia. Numa operação imobiliária PT/ES, deve resultar do RGPD, dos contratos e da cadeia real de tratamento — não ser importada da saúde.

    Ciclo de vida. O que cria o registo, durante quanto tempo deve estar disponível e o que autoriza a eliminação? Os 25 anos são uma resposta específica da telemedicina do Dubai. A prática reutilizável é definir e implementar o ciclo de vida de cada classe de dados.

    Autoridade. Quem pode ver, alterar ou divulgar cada registo, e para que finalidade? Menor privilégio é o princípio. Acesso por função e políticas na base de dados são controlos possíveis, mas devem seguir o modelo de responsabilidade, não substituí-lo.

    Evidência. O que provará quem acedeu ou alterou um registo, quando e com que autoridade? A norma NABIDH suporta trilhos de auditoria revistos e protegidos contra alteração ou eliminação não autorizada. Não sustenta a afirmação anterior, mais ampla, de que todos os logs têm de ser assinados, apenas de inserção ou escritos antes do commit.

    Em conjunto, localização, ciclo de vida, autoridade e evidência formam uma arquitectura mais útil do que uma funcionalidade genérica de “compliance”. Configuração pode exprimir diferenças, mas não torna regimes jurídicos distintos num conjunto de regras intercambiável.

    Esta é uma comparação arquitectural, não uma equivalência regulatória, uma alegação de implementação clínica ou uma certificação de compliance. O trabalho da Q-LIRI revelou as perguntas; aplicá-las à LusiberiaStays exige base jurídica e desenho de controlos próprios.

    A evolução profissional aqui não é ter encontrado um guião pronto num sector para usar noutro. É ter reduzido uma analogia ampla a quatro decisões explícitas — e retirado a certeza que a evidência não sustentava antes de publicar.

    Fontes