O arranjo mais comum entre agência e clínica de saúde é também o mais frágil: a clínica passa o login dela para a agência.
Funciona por um tempo. Resolve o problema real de a agência não conseguir ver nada da operação. E cria um problema que ninguém olha até acontecer: junto com as campanhas, a agência passou a ter acesso a conversas de pacientes, prontuário, telefone, histórico de tratamento.
Este texto é sobre como separar as duas coisas — e por que a separação precisa ser de permissão, não de acordo.
Este texto é prático, não é parecer jurídico. Para desenho de contrato e política de privacidade, fale com quem responde juridicamente pela clínica.
Por que dado de saúde é diferente
A LGPD trata dado sobre saúde como dado pessoal sensível (Art. 5º, II). Isso não é uma etiqueta simbólica: muda a base legal necessária para tratar o dado.
Para dado comum, a lei oferece várias bases — legítimo interesse, execução de contrato, e outras. Para dado sensível, o Art. 11 é bem mais estreito. As duas rotas que interessam aqui:
- consentimento específico e destacado, para finalidades determinadas;
- tutela da saúde, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.
A segunda é a base que sustenta a clínica tratando o dado do paciente. E ela é explicitamente amarrada a profissionais e serviços de saúde. Uma agência de marketing não é nenhum dos dois.
Sobra o consentimento. E aqui está o ponto que costuma passar despercebido: o paciente consentiu que a clínica tratasse os dados dele para cuidar da saúde dele. Ele não consentiu que um fornecedor de marketing lesse a conversa em que ele descreveu um sintoma.
O princípio que resolve na prática
Antes de discutir base legal, a LGPD tem um princípio que já responde quase tudo aqui: necessidade (Art. 6º, III) — o tratamento deve se limitar ao mínimo necessário para a finalidade.
Então a pergunta prática não é "a agência pode ter acesso?". É: de que a agência precisa para fazer o trabalho dela?
Faça a lista honestamente e ela é curta:
- quantas conversas novas entraram, e quando;
- quanto tempo levou a primeira resposta;
- quantas viraram agendamento;
- quantos compareceram;
- de que campanha veio;
- quais mensagens e campanhas estão no ar, e o desempenho delas.
Agora a lista do que não aparece nela:
- o nome do paciente;
- o telefone;
- o conteúdo da conversa;
- o procedimento que ele fez;
- qualquer anotação clínica.
Nenhum desses últimos itens melhora uma campanha. Eles entram junto porque o acesso foi dado no atacado — um login que abre tudo — e não porque alguém precisava deles.
O que muda quando o acesso é no atacado
Três consequências concretas, e nenhuma delas depende de má-fé.
A clínica continua sendo a responsável. Ela é a controladora dos dados. Se vazar da agência, quem responde ao paciente e à ANPD é a clínica. "A agência tinha acesso" não é defesa; é a descrição do problema.
O acesso sobrevive ao contrato. Login compartilhado raramente é trocado quando a agência é substituída. É comum encontrar clínica cujo ex-fornecedor ainda entra no sistema.
Não dá para auditar. Com login único, tudo que acontece parece ter sido feito pela mesma pessoa. Não há como responder "quem viu o quê" — e essa pergunta aparece exatamente no pior momento.
Como fica quando o acesso é por papel
A alternativa é dar à agência um acesso próprio, com permissão restrita ao que ela precisa. Não um combinado ("não olha a aba de pacientes"), mas uma regra que o sistema aplica.
Na ClinistIA isso é um papel: marketing. Ele foi desenhado exatamente para a agência ou o parceiro contratado. O que ele acessa:
- campanhas de mensagem e o resultado delas;
- os modelos de mensagem aprovados na Meta;
- automações;
- números agregados da operação — volume, agendamentos, comparecimento.
E o que ele não acessa, por recusa do servidor e não por tela escondida:
- lista de pacientes e ficha individual;
- conversas do WhatsApp;
- prontuário e dependentes;
- funil de pacientes;
- e-mails operacionais que carregam nome de paciente.
Quando a agência monta o público de uma campanha, ela escolhe por segmento — "pacientes sem retorno há mais de seis meses" — e a prévia vem anonimizada. Ela vê que o público tem 84 pessoas. Não vê quem são. Depois do envio, o relatório mostra entregue, lido, respondido e agendado, com o contato oculto.
É o suficiente para trabalhar e é a lista curta que a seção anterior descreveu.
Por que isso interessa para a agência, não só para a clínica
O instinto é ler restrição como perda. Na prática, três ganhos:
Você deixa de carregar risco que não é seu. Não ter acesso a dado sensível de paciente significa não ser o elo por onde ele pode vazar. Isso é bom para a agência antes de ser bom para a clínica.
Você ganha o acesso que hoje não tem. A alternativa realista à permissão restrita quase nunca é o acesso total — é a clínica não dar acesso nenhum, e a agência seguir trabalhando às cegas com prints de WhatsApp mandados por áudio.
Você tem o que responder. Clínica organizada pergunta sobre tratamento de dados na hora de contratar. Chegar com "trabalhamos com acesso restrito por papel, sem dados de paciente" é diferenciação comercial, e é verificável.
O que combinar em contrato
Mesmo com permissão técnica no lugar, três itens valem estar escritos:
- Finalidade e escopo do acesso. Para quê a agência acessa, e o que ela não acessa.
- Acesso nominal, por pessoa. Cada pessoa da agência com o próprio login. Login compartilhado destrói qualquer rastro.
- Encerramento. Quem desativa o acesso quando o contrato acaba, e em quanto tempo.
O terceiro é o mais esquecido e o mais fácil de resolver: com acesso por papel, desativar é um clique — e o histórico do que foi feito continua atribuído a quem fez.
O resumo
A agência precisa de visibilidade para responder por resultado. O paciente não consentiu que um terceiro contratado lesse a conversa dele. Os dois lados são legítimos e o conflito é falso: o que a agência precisa para trabalhar não inclui nome, telefone, conversa nem prontuário.
O que resolve é o acesso ser recortado pelo sistema — e não pela boa vontade de quem entrou com o login.