Gratuito · Open source · Apache 2.0

Xdiag Privacy

Anonimização visual de documentos médicos brasileiros, rodando inteiramente na sua máquina.

Você arrasta um laudo, uma ficha, uma receita ou uma guia TISS. A ferramenta encontra os dados pessoais, mostra cada um marcado sobre a imagem para você conferir, e exporta uma versão com os dados apagados. Nenhum arquivo sai do computador em nenhum momento.

100% offline
Português do Brasil
Licença Apache 2.0
Por que ela existe

As alternativas quase sempre falham em um destes três pontos

Compartilhar um caso clínico é rotina, mas tarjar dado pessoal à mão em dezenas de arquivos é o tipo de tarefa que ninguém faz direito por muito tempo.

Mandam o documento para a nuvem

Prontuário de paciente saindo da clínica para um servidor de terceiro é exatamente o risco que a LGPD trata como sensível.

Não entendem documento brasileiro

Ferramenta genérica não sabe o que é CNS, CRM, RQE, guia TISS ou carteirinha de convênio, e não valida CPF nem CNPJ.

Só desenham um retângulo por cima

É o erro clássico de PDF de tribunal: a tarja é uma camada, e o texto continua lá embaixo, selecionável.

Detecção

Feito para o que aparece em documento brasileiro

CPF, CNPJ e CNS passam por validação de dígito verificador. CRM, RQE, COREN, CNES, guia e senha TISS são reconhecidos nativamente.

Pessoa

Nome de paciente, nome de médico ou profissional

Documento oficial

CPF, CNPJ, RG, CNS

Registro interno

Prontuário, identificador genérico

Contato

Telefone, e-mail

Endereço

Logradouro, cidade, UF, CEP

Temporal

Data, data de nascimento, idade

Conselho profissional

CRM, RQE, COREN

Instituição

Hospital, clínica, laboratório, CNES

Convênio

Número de guia, senha de autorização, carteirinha

Rede

URL, endereço IP

Números suspeitos que não se encaixam em nenhuma categoria conhecida também são tarjados, por decisão de projeto: na dúvida, cobre. Faltou alguma coisa? Você pode desenhar a tarja à mão direto sobre o documento.

Como funciona

Do upload ao arquivo anonimizado

Um mapa de deslocamento liga cada caractere encontrado pelo OCR à sua posição exata na imagem, e é isso que permite tarjar o pixel certo, sem tokenizar nada de novo.

01

Você arrasta o documento

PNG, JPG, WEBP ou PDF, direto na interface local.

02

OCR em português

Lê o texto e guarda a posição exata de cada caractere na imagem.

03

Modelo de PII em português

Encontra os dados pessoais no texto, treinado para o contexto clínico brasileiro.

04

Validação brasileira

Confere dígito verificador de CPF, CNPJ e CNS antes de marcar qualquer coisa.

05

Revisão humana

Você confere cada marcação na tela antes de exportar.

06

Export com o pixel apagado

PNG com a região reescrita em preto puro. Não existe camada, não existe "embaixo".

Diferenciais

Privacidade que não depende de confiança

A promessa de rodar offline não deveria ser aceita na base da confiança: dá para conferir com um sniffer de rede.

100% local

Roda inteiramente na sua máquina. Nenhum arquivo sai do computador em nenhum momento, nem para treinar modelo, nem para qualquer servidor.

Feito para o Brasil

OCR e modelo de PII treinados em português, com validadores reais de CPF, CNPJ e CNS e identificadores do sistema de saúde brasileiro.

A tarja apaga o pixel

O export reescreve os bytes da imagem em preto puro. Não é um retângulo por cima: não há texto selecionável nem camada para recuperar.

Falha fechada, por princípio

Se uma entidade é encontrada mas não consegue ser localizada na imagem, o export é bloqueado. Prefere não deixar exportar a deixar vazar.

Gratuito e open source

Licença Apache 2.0. Código aberto, auditável por qualquer pessoa, sem custo de licença.

Qualidade com regressão

Corpus de teste com gabarito e baselines versionados. Falso negativo é tratado como falha crítica do projeto.

Como instalar

Dois caminhos, os dois locais

Escolha o instalador do Windows para começar em minutos, ou Docker se você já tem o ambiente.

Instalação simples

Windows · não precisa de Docker

Um instalador que baixa e prepara o resto sozinho na primeira execução, runtime Python e modelos de IA inclusos. Não precisa instalar Python, Docker nem nada por conta própria.

Este instalador ainda não é assinado digitalmente. Estamos em processo de credenciamento na SignPath Foundation, que assina projetos open source de graça. Até lá, o Windows deve mostrar um aviso de "editor desconhecido" (SmartScreen). É esperado, não é vírus: clique em Mais informações → Executar assim mesmo. A primeira execução também é lenta (alguns minutos, baixando ~5 GB de modelos), mas depois disso o app abre rápido e funciona bem.

Modo avançado

Docker · Windows, macOS ou Linux

Para quem já usa Docker, quer rodar em servidor, ou precisa de GPU. Requer Docker 24+ com Compose v2, 8 GB de RAM e cerca de 4 GB de espaço para os modelos.

git clone https://github.com/Xdiag-IA/xdiag-privacy.git
cd xdiag-privacy && docker compose up --build

Depois disso, abra http://localhost:5173 e arraste um documento. A pasta samples/ traz documentos sintéticos para testar sem usar dado de paciente real.

Dúvidas

Perguntas frequentes

Sim. É software livre sob licença Apache 2.0, sem custo de licença, e o código está aberto no GitHub para qualquer pessoa auditar ou contribuir.

Não, seja pelo instalador do Windows ou por Docker. A ferramenta roda inteiramente na sua máquina. Depois de baixados os modelos na primeira execução, dá para conferir com um sniffer de rede que nenhum tráfego sai do computador durante o uso.

Porque o instalador ainda não é assinado digitalmente. Estamos em processo de credenciamento na SignPath Foundation, que assina gratuitamente projetos open source, e assim que aprovado, o aviso some. Até lá, é seguro clicar em "Mais informações → Executar assim mesmo".

Não. Ela auxilia o tratamento de dados pessoais sensíveis, mas não substitui DPO, encarregado de dados, política de privacidade nem revisão jurídica. Nenhum modelo de IA acerta 100% das vezes, então sempre confira o resultado antes de compartilhar qualquer documento.

O export de texto funciona. O export de imagem para documentos multipágina ainda está em desenvolvimento e fica bloqueado de propósito, em vez de exportar só a primeira página em silêncio.

Não. Roda em CPU por padrão. GPU NVIDIA é suportada como configuração opcional para acelerar o processamento.

O repositório tem um CONTRIBUTING.md com o processo. Falso negativo (a ferramenta não detectar um dado pessoal) é considerado o bug mais valioso do projeto. Falhas de segurança devem ser reportadas pelo canal privado descrito no SECURITY.md, nunca em issue pública.

Código aberto, sem custo, para quem cuida de dado sensível todo dia

Clone o repositório, rode localmente e contribua se encontrar um falso negativo, o bug mais valioso do projeto.

Xdiag-IA/xdiag-privacy