O que perguntar sobre proteção de dados ao contratar software para clínica?

Mostre o percurso dos dados antes de pedir garantias

Descreva o que entrará no sistema: contatos recebidos pelo WhatsApp, cadastros, anexos, registros do atendimento e resultados, conforme o serviço contratado. Inclua quem envia, quem consulta e quem recebe cada informação. Isso ajuda a fazer perguntas que o fornecedor consiga responder sobre uma operação concreta.

A ANPD destaca o cuidado com dados sensíveis na saúde e a necessidade de conciliar tecnologia e proteção dos titulares. Essa orientação contextual não certifica produtos. Tampouco define, sozinha, a base legal ou as responsabilidades da sua contratação.

Quem consegue ver o quê, inclusive fora da clínica?

• É possível separar acesso por clínica, função e tarefa? Peça uma demonstração com usuários fictícios.
• Como um colaborador perde acesso depois do desligamento? Solicite a descrição do procedimento.
• Em quais situações o suporte consulta informações da clínica? Como esse acesso é autorizado e registrado?
• Que registros de atividade ficam disponíveis, para quem e por quanto tempo?

Se a resposta for apenas que o sistema tem senha, continue a conversa. Autenticar uma pessoa e limitar o que ela pode fazer são questões diferentes. Registre também limitações: um perfil pode ser mais amplo do que a função exige.

Quais responsabilidades e fornecedores entram no contrato?

Peça a identificação das empresas envolvidas no armazenamento, nas mensagens e em outros serviços contratados. Pergunte onde ocorre o tratamento, como mudanças de fornecedores são comunicadas e quais condições se aplicam a eventual transferência internacional. Não presuma a resposta pelo endereço comercial da empresa.

Leve para revisão especializada a definição de responsabilidades de cada parte, as finalidades do tratamento e as condições de uso de recursos de IA, quando presentes. Pergunte se dados ou conteúdos são usados para outras finalidades e como isso está documentado. A análise deve considerar o fluxo real, sem tratar consentimento como resposta automática para toda operação.

O que acontece quando há um problema?

Separe três situações na conversa: indisponibilidade do serviço, envio para destinatário incorreto e suspeita de acesso indevido. Elas podem exigir respostas diferentes. Para cada uma, pergunte qual canal acionar, que informações fornecer e quem coordena a apuração.

Solicite as condições de comunicação de incidentes, a divisão de tarefas e as evidências que o fornecedor consegue disponibilizar. Prazos e obrigações aplicáveis precisam de avaliação específica; não aceite um roteiro comercial como parecer jurídico. Sobre continuidade, pergunte como funcionam cópias de segurança, restauração e testes de recuperação. Ter backup e conseguir retomar o trabalho não são a mesma evidência.

Como encerrar o serviço sem deixar perguntas abertas?

Antes de assinar, solicite uma amostra fictícia de exportação, a relação dos formatos e as condições para recuperar arquivos e registros. Pergunte sobre custos, prazo de acesso após o encerramento e tratamento das cópias remanescentes. Retenção e eliminação devem ser avaliadas conforme os dados e as obrigações envolvidas, sem adotar um prazo único por conveniência.

Organize as respostas em quatro colunas: pergunta, evidência recebida, responsável pela análise e pendência. Se um controle ainda depende de configuração, registre quem fará isso. Na avaliação da VizuMed ou de outro fornecedor, evite concluir que a clínica está adequada apenas porque contratou a ferramenta.