Em consultório pequeno, o acesso ao sistema quase sempre começa do mesmo jeito: um login, a senha anotada, todo mundo usa.
Enquanto é uma pessoa, isso não é um problema — é uma descrição. O problema começa quando são quatro, e ninguém decidiu que seriam quatro: foi acontecendo.
Este texto é um mapa prático de quem deveria ver o quê, e por quê.
Por que login compartilhado é frágil
Três motivos, e nenhum depende de desconfiança de ninguém.
Não dá para saber quem fez. Quando o histórico diz que "a clínica" cancelou uma consulta às 17h40, você não tem como reconstruir o que aconteceu. Isso importa pouco todo dia e importa muito no dia em que um paciente reclama.
O acesso não termina quando a pessoa sai. A recepcionista que saiu em março, o estagiário do semestre passado, a agência trocada no ano passado — todos continuam com a senha, porque trocá-la significa avisar todo mundo de novo.
Ninguém consegue ter menos acesso do que o login. Se o login é do dono, quem entra é dono. Não existe "só campanhas" nem "só a minha agenda".
O mapa por papel
O recorte que funciona na prática em clínica pequena tem quatro papéis e uma exceção.
Dono / administrador
Vê tudo e configura tudo: assinatura, integrações, equipe, comportamento da IA, catálogo, dados clínicos.
O ponto de atenção é o oposto do que se imagina: não é dar acesso demais ao dono, é ter mais de um. Clínica com um único administrador é clínica que trava quando essa pessoa está de férias ou doente.
Profissional
Precisa de dados clínicos — é o trabalho dele. Agenda, pacientes, prontuário, conversas.
O que ele normalmente não precisa: mexer na assinatura, trocar integrações, reconfigurar a personalidade da IA ou alterar preço do catálogo.
E há uma parte que não é permissão, é experiência: ele quer abrir o sistema e ver o dia dele. Se a única visão possível é a clínica inteira, ele passa a filtrar com o olho toda manhã — e em duas semanas para de abrir. Ver a própria agenda deve ser o padrão; ver a clínica inteira, um clique.
Recepção
Precisa de quase tudo do operacional: agenda de todo mundo, conversas, cadastro de paciente, confirmação, remarcação.
Aqui vale uma distinção que costuma ser esquecida: agenda e contato não são a mesma coisa que prontuário. A recepção precisa marcar, remarcar e falar com o paciente. Anotação clínica é outra categoria, e nem toda clínica quer que ela fique aberta na recepção.
Marketing / agência
Este é o mais delicado, e é o motivo pelo qual muita clínica simplesmente entrega o login do dono.
A agência precisa de: campanhas, modelos de mensagem, automações, números agregados — volume, agendamentos, comparecimento, resultado por campanha.
A agência não precisa de: nome de paciente, telefone, conteúdo de conversa, prontuário, funil individual.
A segunda lista não melhora nenhuma campanha. Ela entra junto porque o acesso foi dado no atacado.
E ela carrega risco real: dado de saúde é dado pessoal sensível na LGPD, e a clínica continua sendo a responsável se vazar de um fornecedor. Escrevemos o detalhe em o que uma agência pode ver da operação da clínica.
A exceção: quem não abre o sistema
Nem todo profissional quer login. Muitos dentistas e médicos que atendem em duas ou três clínicas não vão abrir o painel de nenhuma delas.
Isso é normal e não deveria ser um problema: ter agenda no sistema e ter login são coisas separadas. A pessoa precisa existir como agenda para ser marcada, sem precisar existir como usuário. O inverso também vale — a recepção tem login e não tem agenda.
Três erros comuns
Tratar permissão como recurso de plano caro. Permissão é higiene de segurança, não sofisticação. O que faz sentido variar por plano é quantas pessoas cabem, não se as pessoas são separáveis. Uma clínica com três logins precisa de papéis tanto quanto uma com quinze.
Confiar em esconder botão. Se a proteção é a tela não mostrar o link, ela vale até alguém digitar o endereço. A recusa precisa vir do servidor.
Achar que o combinado basta. "Combinei com a agência que eles não olham a aba de pacientes" não é controle de acesso — é um pedido. Ele funciona até o dia em que alguém está com pressa procurando um telefone.
Um teste rápido para o sistema que você usa
Quatro perguntas:
- Cada pessoa tem login próprio?
- Dá para dar acesso a campanhas sem dar acesso a pacientes?
- Quando alguém sai, dá para desativar sem trocar a senha de todo mundo — e o histórico continua dizendo o que essa pessoa fez?
- O profissional consegue abrir e ver a agenda dele, sem filtrar na mão?
Se a resposta da 2 for não, a clínica tem uma escolha ruim entre trabalhar às cegas com a agência ou entregar dado sensível de paciente. É a escolha que a maioria enfrenta hoje.
Como a ClinistIA trata
Quatro papéis: dono, administrador, profissional, recepção — e um quinto, marketing, feito para agência ou parceiro contratado.
O papel de marketing opera campanhas, modelos de mensagem e automações, e vê os números agregados. Ele recebe recusa do servidor em pacientes, prontuário, conversas e funil; a prévia de público de campanha vem anonimizada; e ele não entra na lista de quem recebe e-mails operacionais que carregam nome de paciente.
Permissão vale em todos os planos — é segurança, não recurso premium. O que muda por plano é quantos logins cabem. Login e agenda são separados: dá para ter agenda sem login e login sem agenda. E convite tem link próprio, para mandar por WhatsApp quando o e-mail não chega.
O resumo
Login compartilhado resolve o problema de hoje e cria o de depois: ninguém sabe quem fez, o acesso não termina quando a pessoa sai, e não existe meio-termo entre tudo e nada.
Papéis separados custam uma tarde para configurar. O caso da agência é o que mais compensa: é o único em que o acesso no atacado envolve dado de paciente que nunca deveria ter saído da clínica.