Link protegido, segundo fator e reenvio.
Emitido o documento, o envio dispara sozinho para o contato autorizado do paciente. A mensagem é neutra — ela não diz do que se trata — e leva um link, não o arquivo.
Para abrir, o paciente confirma os quatro últimos dígitos do CPF. Paciente sem CPF, em geral criança, responde a data de nascimento. O link vale 30 dias e trava depois de cinco tentativas erradas.
Reenviar gera um link novo e revoga o anterior. Dois links vivos para o mesmo documento dobram a superfície — e revogar é a saída quando se suspeita que o link vazou.