Contrato com software médico. O que a clínica precisa verificar para proteger os dados dos pacientes?
Uma clínica contrata um sistema para agendamento, prontuário eletrônico, armazenamento de exames e cobrança.
Depois de alguns meses, descobre que a empresa utiliza outros fornecedores para hospedagem e suporte técnico. Parte dos dados está armazenada fora do Brasil. Funcionários do suporte conseguem abrir prontuários reais e o contrato não estabelece prazo para comunicar acessos indevidos.
Quando a clínica decide trocar de sistema, surge outro problema. A exportação não inclui fotografias, documentos anexados nem registros de auditoria. O fornecedor informa que a migração completa dependerá de contratação adicional.
A clínica utilizava diariamente o software, mas desconhecia onde estavam os dados, quem poderia acessá-los e como seriam recuperados no encerramento do contrato.
Softwares de gestão, prontuário, armazenamento em nuvem, telemedicina, comunicação, cobrança, assinatura eletrônica e inteligência artificial podem tratar grande quantidade de informações pessoais e dados de saúde.
Por isso, a escolha não deve considerar apenas funcionalidades e preço. O contrato precisa organizar proteção de dados, segurança, continuidade do serviço, responsabilidades, suporte, subcontratações e devolução das informações.
Quais fornecedores podem acessar dados de pacientes?
O acesso não se limita à empresa responsável pelo prontuário eletrônico.
Dependendo da estrutura da clínica, podem tratar dados dos pacientes fornecedores de:
agenda e prontuário eletrônico
armazenamento em nuvem
laboratórios e sistemas de imagem
telemedicina
assinatura eletrônica
cobrança e meios de pagamento
emissão de documentos fiscais
atendimento por WhatsApp
gravação e transcrição
inteligência artificial
automação de mensagens
hospedagem do site
formulários e páginas de agendamento
suporte técnico
segurança da informação
cópias de segurança
marketing e relacionamento
contabilidade e faturamento
Até mesmo uma ferramenta aparentemente administrativa pode receber informações sobre saúde.
Um sistema de confirmação de consultas pode associar nome, telefone, especialidade procurada e tipo de procedimento. Uma plataforma de pagamentos pode conhecer o serviço contratado. Um aplicativo de transcrição pode receber a gravação completa de uma consulta.
A clínica precisa mapear quais fornecedores participam da operação e quais informações cada um efetivamente utiliza.
Qual é a diferença entre dados pessoais e dados pessoais sensíveis?
Nome, CPF, telefone, e-mail, endereço e informações financeiras são dados pessoais quando relacionados a uma pessoa identificada ou identificável.
Diagnósticos, exames, prescrições, fotografias clínicas, informações sobre tratamentos e demais dados referentes à saúde são dados pessoais sensíveis.
A diferença é relevante porque os dados sensíveis estão sujeitos às hipóteses específicas do artigo 11 da LGPD e exigem proteção compatível com os riscos do tratamento. Lei Geral de Proteção de Dados Pessoais
A informação não precisa estar dentro de um prontuário para ser sensível.
Se um sistema registra que determinada pessoa solicitou avaliação para cirurgia bariátrica, tratamento oncológico, reprodução assistida ou acompanhamento psiquiátrico, o cadastro pode revelar uma informação referente à saúde.
O contrato com o fornecedor deve considerar o conteúdo real tratado, não apenas o nome atribuído à plataforma.
O fornecedor é sempre operador dos dados?
Não necessariamente.
A LGPD define controlador como quem toma as decisões referentes ao tratamento. Operador é quem trata dados pessoais em nome do controlador.
Um fornecedor que armazena prontuários e executa atividades exclusivamente conforme as instruções da clínica pode atuar como operador nessas operações.
A classificação pode ser diferente quando a empresa:
determina finalidades próprias
reúne dados de diferentes clientes
utiliza informações para desenvolver outros produtos
cria perfis para benefício próprio
compartilha dados com parceiros por decisão própria
utiliza o conteúdo para treinamento de sistemas
mantém uma base independente depois do término do contrato
Nessas situações, o fornecedor pode assumir posição de controlador em determinadas operações. Também é possível que exerça papéis diferentes conforme a atividade analisada.
O contrato não consegue transformar em operador uma empresa que, na prática, decide como utilizar os dados em benefício próprio.
O guia da ANPD sobre agentes de tratamento destaca que a classificação depende das atividades efetivamente realizadas e do poder de decisão sobre o tratamento, não apenas da denominação escolhida pelas partes. Guia da ANPD sobre agentes de tratamento
É necessário ter um contrato específico sobre proteção de dados?
As obrigações podem constar no contrato principal, em anexo de tratamento de dados ou em instrumento complementar.
O importante é que o documento seja específico o suficiente para organizar a operação.
Uma cláusula dizendo apenas que as partes “cumprirão a LGPD” não esclarece:
quais dados serão tratados
para quais finalidades
quem toma as decisões
quais instruções devem ser seguidas
onde os dados serão armazenados
quem poderá acessá-los
quais medidas de segurança serão adotadas
quais empresas serão subcontratadas
como os incidentes serão comunicados
como os direitos dos pacientes serão atendidos
o que acontecerá no encerramento
A proteção de dados não deve aparecer apenas em uma declaração genérica de conformidade. As obrigações precisam ser compatíveis com a função do sistema e com os riscos decorrentes do acesso às informações de saúde.
O contrato cria uma base legal para o tratamento?
Não.
A assinatura do contrato entre clínica e fornecedor não cria, por si só, fundamento para utilizar os dados dos pacientes.
A clínica precisa identificar a base legal de acordo com cada finalidade.
O tratamento de informações necessárias à assistência pode estar fundamentado, conforme a situação, em tutela da saúde, cumprimento de obrigação legal ou regulatória, proteção da vida ou exercício regular de direitos.
Consentimento não é obrigatório para todo tratamento de dados de saúde.
Quando o consentimento for a base efetivamente aplicável aos dados sensíveis, deverá ser específico, destacado e relacionado a finalidades determinadas. Uma autorização genérica para “uso dos dados por parceiros” não regulariza qualquer atividade futura.
O fornecedor deve tratar as informações dentro das finalidades legítimas identificadas pela clínica ou por ele próprio, quando atuar como controlador. O contrato comercial não amplia essas finalidades.
Quais dados o fornecedor realmente precisa receber?
O princípio da necessidade determina que sejam tratados somente os dados pertinentes, proporcionais e não excessivos para a finalidade.
Uma ferramenta de envio de lembretes pode precisar de nome, telefone, horário e identificação neutra da clínica. Em regra, não precisa receber o prontuário completo, exames ou fotografias.
Um sistema de pagamento pode necessitar de identificação, valor e situação da cobrança. Não precisa conhecer toda a evolução clínica.
O contrato deve permitir identificar:
categorias de dados
tipos de pacientes e demais titulares
funcionalidades que utilizam cada informação
pessoas autorizadas
integrações envolvidas
prazo de conservação
operações realizadas
Quanto maior o volume e a sensibilidade das informações entregues, maior deve ser o cuidado com a seleção e a supervisão do fornecedor.
O contrato deve conter instruções para o operador?
Sim.
A LGPD estabelece que o operador deve realizar o tratamento segundo as instruções do controlador. O controlador, por sua vez, deve verificar o cumprimento dessas instruções e das normas aplicáveis.
O contrato pode determinar que o fornecedor:
trate os dados somente para prestar os serviços contratados
observe as instruções documentadas da clínica
não utilize as informações para finalidade própria incompatível
limite o acesso aos profissionais autorizados
mantenha confidencialidade
registre as operações relevantes
auxilie no atendimento aos pacientes
comunique incidentes sem demora
devolva ou elimine os dados ao término
demonstre as medidas de segurança adotadas
informe subcontratações e mudanças relevantes
As instruções não devem ser tão genéricas que permitam qualquer interpretação.
Também é necessário definir como serão formalizadas novas instruções e o que ocorrerá quando o fornecedor considerar que uma solicitação da clínica contraria a legislação ou compromete a segurança.
Quem pode acessar os dados dentro da empresa fornecedora?
O contrato deve impedir que todos os funcionários do fornecedor tenham acesso aos dados apenas porque trabalham na empresa.
Os acessos precisam ser limitados por função.
A equipe de suporte pode necessitar de acesso temporário para investigar um erro. Isso não significa que possa consultar prontuários reais sempre que desejar.
O documento pode estabelecer:
equipes autorizadas
hipóteses de acesso
necessidade de solicitação da clínica
utilização de credenciais individualizadas
autenticação multifator
duração da permissão
registro das consultas
supervisão
proibição de cópias locais
confidencialidade após o desligamento
revogação imediata dos acessos
Sempre que possível, o suporte deve reproduzir o problema em ambiente de teste, com dados fictícios ou adequadamente protegidos.
Quando o acesso a dados reais for indispensável, precisa ser delimitado, registrado e encerrado depois da atividade.
Quais medidas de segurança devem constar no contrato?
A LGPD exige medidas técnicas e administrativas destinadas a proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado.
O contrato não precisa impor uma tecnologia única em qualquer circunstância, mas deve estabelecer obrigações verificáveis.
Podem ser examinadas medidas como:
criptografia durante transmissão e armazenamento
autenticação multifator
usuários individualizados
perfis de acesso por função
registros de acesso e alteração
proteção das credenciais
cópias de segurança
testes de restauração
correção de vulnerabilidades
atualização dos sistemas
segregação entre clientes
monitoramento de atividades anormais
proteção contra códigos maliciosos
testes de segurança
plano de continuidade
resposta a incidentes
segurança dos ambientes de desenvolvimento
descarte seguro de mídias
treinamento das equipes
Expressões como “o fornecedor utilizará as melhores práticas” podem ser insuficientes quando não existe qualquer critério para demonstrar o cumprimento.
A Lei nº 13.787/2018 determina que os meios de armazenamento de prontuários digitais sejam protegidos contra acesso, utilização, alteração, reprodução e destruição não autorizados. Também exige integridade, autenticidade e confidencialidade dos documentos digitalizados. Lei nº 13.787/2018
Uma certificação garante que o software está adequado?
Não isoladamente.
Certificações, relatórios de auditoria e testes de segurança podem representar evidências relevantes. Não substituem a análise da funcionalidade contratada, das configurações utilizadas e da forma como a clínica opera o sistema.
Um software pode possuir recursos adequados, mas ser configurado com uma única senha para toda a equipe.
Também pode existir autenticação multifator disponível, mas não ativada. Os registros de acesso podem ser produzidos, porém excluídos antes que a clínica consiga examiná-los.
A avaliação precisa considerar:
escopo da certificação
data de validade
serviços efetivamente abrangidos
empresas e ambientes incluídos
limitações apontadas
recursos que dependem de contratação adicional
responsabilidades da clínica pela configuração
frequência das auditorias
acesso aos relatórios
O contrato deve identificar quais funcionalidades de segurança estão incluídas no plano adquirido.
O fornecedor pode contratar outras empresas?
Pode haver subcontratação para hospedagem, comunicação, armazenamento, suporte, inteligência artificial ou outras atividades.
A clínica precisa conhecer essa estrutura.
O contrato deve definir:
necessidade de autorização ou comunicação prévia
relação dos subcontratados
serviço prestado por cada um
dados aos quais terão acesso
localização do tratamento
obrigações de confidencialidade
medidas de segurança
regras para novas contratações
possibilidade de oposição justificada
responsabilidade do fornecedor principal
destinação dos dados ao término
A subcontratação não deve reduzir o nível de proteção assumido no contrato principal.
O fornecedor também não deveria afastar toda responsabilidade alegando que o incidente ocorreu no ambiente de uma empresa de nuvem escolhida por ele.
Quando o operador utiliza outro operador, é recomendável que as obrigações aplicáveis acompanhem toda a cadeia de tratamento.
A clínica precisa saber onde os dados ficam armazenados?
Sim.
O local de armazenamento pode influenciar segurança, continuidade, acesso por autoridades e transferência internacional.
A informação de que os dados estão “na nuvem” não esclarece:
país de armazenamento
empresa responsável pela infraestrutura
existência de cópias em outros locais
acesso remoto a partir do exterior
utilização de subcontratados
locais das cópias de segurança
regras aplicáveis à transferência
procedimento para mudança do ambiente
O contrato deve obrigar o fornecedor a comunicar alterações relevantes na localização e na cadeia de prestadores.
A clínica também precisa saber se a escolha de uma região brasileira impede efetivamente o acesso internacional ou apenas define onde está o servidor principal.
O armazenamento no exterior é proibido?
Não existe proibição geral de utilizar serviços estrangeiros ou armazenar dados fora do Brasil.
A transferência internacional, porém, precisa observar a LGPD e os mecanismos admitidos pela legislação.
A Resolução CD/ANPD nº 19, de 23 de agosto de 2024, regulamentou as transferências internacionais e aprovou cláusulas-padrão contratuais. Os agentes que utilizam cláusulas contratuais como mecanismo de transferência devem observar o conteúdo definido pela ANPD. Resolução CD/ANPD nº 19/2024
O contrato deve permitir verificar:
países envolvidos
agentes exportadores e importadores
finalidade da transferência
categorias de dados
hipótese legal
mecanismo de transferência
transferências posteriores
subcontratados estrangeiros
medidas de segurança
atendimento aos direitos dos pacientes
comunicação de incidentes
solicitações de acesso por autoridades estrangeiras
devolução e eliminação
A contratação de uma empresa conhecida internacionalmente não dispensa essa análise.
O fornecedor pode utilizar os dados para melhorar o produto?
Essa expressão precisa ser examinada com cuidado.
A utilização de dados técnicos e estatísticas de funcionamento pode ser necessária para segurança, correção de falhas e melhoria do serviço.
Isso é diferente de usar prontuários, exames, fotografias ou gravações para desenvolver produtos, treinar modelos ou formar uma base própria.
O contrato deve diferenciar:
dados necessários à execução do serviço
registros técnicos de funcionamento
informações agregadas
dados pseudonimizados
dados efetivamente anonimizados
conteúdo clínico identificável
utilização para pesquisa
treinamento de inteligência artificial
exploração comercial
Retirar o nome do paciente não significa necessariamente anonimizar os dados.
Uma fotografia, um exame raro, a combinação de datas ou o histórico clínico podem permitir reidentificação. A LGPD somente afasta a condição de dado pessoal quando a identificação não puder ser revertida com os meios razoavelmente disponíveis.
Autorizações genéricas para utilizar “dados anonimizados” não devem permitir que o fornecedor decida sozinho quais informações serão reutilizadas e como ocorrerá a anonimização.
Como tratar ferramentas de inteligência artificial?
A clínica precisa saber se a inteligência artificial apenas processará uma solicitação ou se utilizará o conteúdo para outras finalidades.
Um sistema pode empregar IA para transcrever consultas, resumir prontuários, sugerir códigos, analisar imagens ou auxiliar na elaboração de documentos.
Antes da contratação, convém verificar:
quais dados serão enviados
se o conteúdo será utilizado para treinamento
quem fornece o modelo
onde ocorre o processamento
por quanto tempo as entradas e respostas são armazenadas
se revisores humanos podem acessar
quais subcontratados participam
como são tratadas informações incorretas
se existe revisão profissional
como as decisões e correções são registradas
se o paciente será informado quando necessário
como será impedido o uso incompatível
O contrato deve proibir a utilização de dados de pacientes para treinamento ou desenvolvimento independente quando essa finalidade não tiver sido juridicamente avaliada e expressamente admitida.
A ferramenta também não substitui o julgamento do profissional de saúde. Resumos, classificações e sugestões precisam ser verificados antes de integrar o prontuário ou influenciar uma decisão assistencial.
Como devem funcionar os registros de acesso?
O sistema deve permitir identificar quem visualizou, incluiu, alterou, imprimiu, exportou ou eliminou informações.
O contrato pode definir quais eventos serão registrados, por quanto tempo os registros permanecerão disponíveis e como a clínica poderá consultá-los.
Entre os eventos relevantes estão:
acesso ao prontuário
alteração de cadastro
inclusão de evolução
correção de documento
download
impressão
exportação em massa
mudança de perfil
criação de usuário
falha de autenticação
acesso administrativo do fornecedor
exclusão ou bloqueio
Não é suficiente que os registros existam apenas para uso interno da empresa de software.
A clínica pode necessitar deles para investigar incidentes, apurar reclamações, demonstrar cumprimento de obrigações e identificar quem teve contato com determinado prontuário.
Também deve ser impedida a alteração silenciosa dos registros clínicos. Correções precisam preservar autoria, data e histórico.
O contrato deve tratar das cópias de segurança?
Sim.
A existência de backup não deve ser presumida.
O documento precisa esclarecer:
quais dados são copiados
frequência das cópias
local de armazenamento
criptografia
período de retenção
separação do ambiente principal
testes de restauração
tempo estimado para recuperação
tratamento das cópias após exclusão
acesso dos subcontratados
responsabilidade pela restauração
Uma cópia realizada diariamente pode ser insuficiente para uma operação que registra atendimentos continuamente. Uma cópia que nunca foi restaurada também pode falhar justamente quando for necessária.
A clínica deve conhecer a perda máxima de dados e o tempo estimado para retomada considerados pelo fornecedor.
O que acontece se o sistema ficar indisponível?
A indisponibilidade pode afetar mais do que a agenda.
Sem acesso ao prontuário, a equipe pode ficar impedida de consultar alergias, prescrições, exames, orientações anteriores e informações necessárias a uma intercorrência.
O contrato deve tratar de continuidade do serviço e estabelecer, conforme a criticidade:
percentual de disponibilidade
períodos programados de manutenção
prazo para aviso
classificação das falhas
canais de suporte
tempo para início do atendimento
prazo estimado de solução
procedimentos de contingência
acesso emergencial aos dados
recuperação após desastre
comunicação com a clínica
compensações por descumprimento
hipóteses de rescisão
Créditos para uso futuro do sistema podem ser insuficientes quando a indisponibilidade comprometeu o atendimento aos pacientes.
A clínica também precisa manter um procedimento interno para continuar atividades essenciais durante a falha, sem criar registros paralelos que nunca sejam incorporados ao prontuário.
Qual deve ser o prazo para comunicação de incidentes?
O contrato deve exigir comunicação rápida, ainda que o fornecedor não possua todas as informações no primeiro momento.
O operador não deveria aguardar a conclusão da investigação para informar a clínica.
A comunicação inicial pode apresentar:
data e horário da descoberta
sistemas afetados
natureza do incidente
dados possivelmente envolvidos
quantidade estimada de pacientes
acessos e cópias identificados
subcontratados atingidos
medidas de contenção
registros disponíveis
riscos preliminares
responsável pela investigação
atualizações previstas
A Resolução CD/ANPD nº 15/2024 estabelece que o controlador deve comunicar à ANPD e aos titulares, em três dias úteis, o incidente capaz de acarretar risco ou dano relevante, ressalvadas as regras específicas aplicáveis. Resolução CD/ANPD nº 15/2024
Esse prazo é destinado ao controlador. O contrato com o operador deve prever comunicação em tempo menor, suficiente para que a clínica avalie o incidente e cumpra suas próprias obrigações.
Uma cláusula que concede ao fornecedor os mesmos três dias úteis pode deixar a clínica sem tempo para investigar e decidir.
Quem decide se o incidente será comunicado?
Em regra, cabe ao controlador avaliar o risco e realizar as comunicações exigidas.
O fornecedor precisa cooperar e fornecer as informações necessárias.
O contrato deve definir:
quem coordena a investigação
canal emergencial de comunicação
responsáveis de cada parte
preservação dos registros
atualizações periódicas
participação dos subcontratados
avaliação do risco
elaboração das comunicações
aprovação de manifestações públicas
custeio das medidas
cooperação com autoridades
relatório final
providências para impedir repetição
O fornecedor não deve comunicar diretamente os pacientes em nome da clínica sem alinhamento, salvo quando estiver juridicamente obrigado a fazê-lo.
Da mesma maneira, a clínica não deveria omitir o incidente apenas porque o fornecedor prefere preservar sua reputação.
Como o fornecedor deve ajudar no atendimento aos direitos dos pacientes?
O paciente pode solicitar confirmação do tratamento, acesso, correção e outras providências previstas na LGPD.
Desde abril de 2026, o Estatuto dos Direitos do Paciente também assegura acesso ao prontuário sem necessidade de justificativa, obtenção de cópia gratuita, solicitação de retificação e manutenção segura do documento. Lei nº 15.378/2026
O contrato deve exigir que o sistema e o fornecedor permitam:
localizar os dados do paciente
fornecer cópia compreensível
exportar anexos e imagens
identificar compartilhamentos
corrigir informações cadastrais
registrar retificações clínicas sem apagar o histórico
bloquear ou eliminar dados quando juridicamente cabível
preservar informações cuja manutenção seja obrigatória
responder dentro dos prazos aplicáveis
demonstrar as providências adotadas
O fornecedor não deve responder ao paciente sobre o conteúdo clínico em nome da clínica. Precisa disponibilizar os recursos e as informações necessárias para que o responsável possa analisar a solicitação.
O paciente pode exigir a eliminação de todo o prontuário?
Não automaticamente.
O direito à eliminação não deve ser confundido com a possibilidade de apagar qualquer informação a pedido do paciente.
A conservação pode ser necessária para cumprimento de obrigações legais ou regulatórias, continuidade assistencial e exercício regular de direitos.
A Lei nº 13.787/2018 estabelece prazo mínimo de vinte anos a partir do último registro para a possível eliminação dos prontuários, sem impedir prazos diferenciados previstos em regulamentação. A eliminação deve resguardar a intimidade e a confidencialidade.
O software precisa permitir que a clínica diferencie:
dado cadastral corrigível
informação excessiva ou irregular
dado tratado por consentimento
registro clínico cuja conservação é necessária
documento sujeito a prazo próprio
cópia mantida pelo fornecedor
informação presente em backup
O contrato não deve prometer eliminação imediata e absoluta quando a clínica possui obrigação de preservar o prontuário.
O fornecedor pode limitar a exportação dos dados?
A exportação precisa ser tratada antes da contratação.
A clínica não deveria descobrir somente na rescisão que receberá uma planilha com nomes, enquanto evoluções, imagens, termos assinados e registros de acesso permanecerão presos ao sistema.
O contrato deve definir:
formato da exportação
organização dos arquivos
inclusão de documentos anexados
fotografias e exames
assinaturas e versões
registros de auditoria
identificação dos profissionais
preservação das datas
compatibilidade com outros sistemas
prazo de entrega
quantidade de exportações
custo
apoio à migração
validação da integridade
Um arquivo tecnicamente exportado, mas impossível de localizar ou interpretar, não oferece continuidade adequada.
Sempre que possível, a clínica deve realizar exportações de teste durante a vigência. Esperar o último dia do contrato para verificar o procedimento aumenta o risco de perda e dependência do fornecedor.
O que deve ocorrer no encerramento do contrato?
O término precisa ser planejado.
A rescisão pode decorrer de insatisfação, aumento de preço, encerramento das atividades do fornecedor, incidente, indisponibilidade ou mudança de sistema.
O contrato deve prever:
aviso prévio
continuidade temporária do acesso
exportação integral
apoio à migração
manutenção do serviço durante a transição
entrega de chaves e configurações
transferência das integrações
cancelamento dos usuários do fornecedor
devolução das informações
eliminação das cópias
tratamento dos backups
comprovação da eliminação
conservação juridicamente necessária
sigilo após o término
cooperação em solicitações posteriores
A clínica não deve perder o acesso aos prontuários no mesmo momento em que comunica a rescisão.
Também não é adequado que o fornecedor retenha dados como forma de pressionar o pagamento de uma dívida. Divergências financeiras precisam ser resolvidas sem comprometer a continuidade da assistência e o direito dos pacientes.
Como tratar reajustes e mudanças no serviço?
Contratos de software frequentemente permitem mudanças unilaterais em funcionalidades, limites de armazenamento e preços.
Essas cláusulas precisam ser examinadas porque uma alteração pode comprometer a operação da clínica.
O documento deve estabelecer:
índice e periodicidade do reajuste
cobrança por usuários adicionais
limites de armazenamento
custo de mensagens e integrações
funcionalidades incluídas
recursos de segurança cobrados à parte
prazo para informar mudanças
direito de recusar alteração relevante
possibilidade de rescisão sem penalidade
manutenção das condições durante a migração
A substituição de um subcontratado, mudança do país de armazenamento ou ativação de nova função de inteligência artificial não deve ser tratada como simples atualização visual do sistema.
Mudanças que afetem a proteção dos dados precisam ser comunicadas e avaliadas.
O contrato pode excluir toda a responsabilidade do fornecedor?
Uma cláusula que transfere integralmente à clínica qualquer consequência relacionada aos dados merece cautela.
A clínica continua responsável pelas decisões e obrigações que lhe pertencem. Isso não elimina a responsabilidade do fornecedor por falhas próprias.
O operador pode responder quando descumprir a legislação ou deixar de seguir instruções lícitas do controlador. A LGPD também prevê responsabilidade pelos danos causados em violação à legislação, conforme a participação de cada agente.
O contrato deve considerar:
falhas de segurança
descumprimento das instruções
acesso indevido por funcionários
atos dos subcontratados
perda ou corrupção de dados
indisponibilidade
atraso na comunicação de incidente
uso incompatível das informações
violação de confidencialidade
falhas na exportação
custos de investigação e recuperação
direito de regresso
seguros eventualmente existentes
Limites de responsabilidade podem ser negociados, mas não deveriam tornar irrelevantes as obrigações assumidas pelo fornecedor nem afastar responsabilidades que decorrem da lei.
A clínica pode fiscalizar o fornecedor?
A clínica não precisa administrar a infraestrutura da empresa contratada, mas deve conseguir verificar se as obrigações estão sendo cumpridas.
O contrato pode prever o fornecimento periódico de:
relatórios de segurança
certificações
testes de vulnerabilidade
informações sobre incidentes
lista atualizada de subcontratados
registros de disponibilidade
evidências de backup e restauração
políticas aplicáveis
resultados de auditorias independentes
planos de correção
respostas a questionários
O direito de auditoria deve ser proporcional e preservar a segurança e os segredos comerciais do fornecedor.
Nem sempre será adequado permitir acesso físico irrestrito da clínica aos servidores. Pode ser suficiente apresentar relatórios independentes, documentos técnicos e evidências verificáveis.
O fornecedor não deveria, porém, impedir qualquer fiscalização invocando confidencialidade sobre sua própria operação.
O que verificar antes de assinar?
A análise não deve começar apenas quando o contrato já estiver pronto.
Antes da escolha, a clínica pode verificar:
funcionalidades necessárias
dados tratados
localização do armazenamento
histórico e estrutura do fornecedor
medidas de segurança
controle de acessos
registros de auditoria
subcontratados
transferências internacionais
cópias de segurança
continuidade do serviço
atendimento a incidentes
exportação e migração
utilização de inteligência artificial
possibilidade de treinamento com os dados
canais de suporte
prazo e reajuste
hipóteses de rescisão
responsabilidades
seguro cibernético
documentação disponível
Uma demonstração comercial normalmente apresenta as melhores funcionalidades do sistema. A contratação precisa examinar também o que acontecerá quando houver falha, incidente, mudança de preço ou encerramento.
Quais cláusulas precisam ser analisadas?
O conteúdo dependerá do serviço, mas normalmente devem ser examinados:
objeto e funcionalidades
níveis de serviço
disponibilidade e suporte
categorias de dados
finalidades do tratamento
papéis das partes
instruções ao operador
confidencialidade
perfis de acesso
registros de auditoria
medidas de segurança
cópias de segurança
plano de continuidade
subcontratações
localização dos dados
transferências internacionais
inteligência artificial
proibição de usos próprios incompatíveis
atendimento aos direitos dos pacientes
comunicação de incidentes
cooperação com autoridades
retenção e eliminação
exportação e portabilidade
migração
reajustes
responsabilidade
auditorias
prazo e rescisão
obrigações posteriores ao término
Essas cláusulas devem corresponder ao funcionamento real da plataforma.
Não basta copiar um anexo de proteção de dados utilizado por qualquer empresa. Um software de prontuário possui riscos e necessidades diferentes de uma ferramenta que apenas envia lembretes de consultas.
Afinal, por que revisar o contrato com o software?
O fornecedor pode ter acesso à parte mais sensível da operação de uma clínica.
Além dos dados pessoais, o sistema pode concentrar prontuários, fotografias, termos de consentimento, agendas, cobranças e informações necessárias à continuidade dos tratamentos.
Um contrato adequado não deve apenas autorizar a utilização da plataforma e fixar a mensalidade. Precisa organizar quem utiliza os dados, onde eles permanecem, quais medidas de segurança são adotadas, como os incidentes serão tratados e de que maneira a clínica recuperará as informações quando a relação terminar.
A segurança jurídica depende da combinação entre escolha do fornecedor, contrato, configuração do sistema e procedimentos internos.
O Contrato Sob Medida pode auxiliar na análise da operação e na elaboração ou revisão de contratos com softwares, plataformas de prontuário, serviços em nuvem e demais fornecedores que tratem dados de pacientes, incluindo proteção de dados, segurança, transferência internacional, responsabilidade, continuidade e migração.
Fontes oficiais consultadas
Lei nº 13.787/2018 sobre digitalização e utilização de prontuários
Resolução CD/ANPD nº 15/2024 sobre comunicação de incidentes
Resolução CD/ANPD nº 19/2024 sobre transferências internacionais
Precisa elaborar ou revisar um contrato?
Envie sua situação pelo WhatsApp para uma avaliação inicial.
Iniciar triagem jurídica