Terceirizar o WhatsApp da clínica: o que dá para delegar para fora e o que nunca

A recepção não dá conta do volume, e uma empresa de atendimento oferece assumir o WhatsApp da clínica a partir da semana que vem. O pedido dela é simples: o chip, a senha e o código de verificação. Três meses depois, a atendente da empresa já respondeu dúvida de pós-procedimento, mandou foto de exame para a colega conferir e, quando o contrato acabar, o histórico de conversas com os pacientes estará num aparelho que não é da clínica.

A resposta direta: dá para terceirizar o WhatsApp da clínica quando a fronteira é traçada pelo conteúdo da conversa. Saem para a empresa primeiro contato, horário, endereço, agendamento, confirmação e remarcação; o preço sai com roteiro, e só o valor tabelado da consulta. Ficam na clínica pergunta sobre sintoma, resultado de exame, pós-procedimento e intercorrência, receita, atestado, prontuário, negociação fora da tabela e reclamação. Nenhuma conversa com conteúdo clínico é respondida pela empresa no mérito: ela envia a frase de repasse e devolve a conversa à clínica. O número e o histórico são sempre da clínica, e a empresa nunca acessa prontuário. A lei não proíbe terceirizar; a fronteira é decisão de desenho, e o contrato põe a empresa como operadora, que trata o dado só por instrução da clínica.

Por que entregar o número inteiro dá errado

O arranjo improvisado delega a pessoa, não a tarefa. A empresa recebe o aparelho ou a senha e passa a responder tudo o que chega, porque do lado de fora não existe critério para separar "qual o horário de sábado?" de "a cicatriz ficou vermelha, é normal?". As duas chegam no mesmo número, e a atendente responde as duas.

O custo não aparece no primeiro mês. Aparece quando a resposta sobre a cicatriz estava errada, quando a clínica precisa reconstituir o que foi dito ao paciente e a conversa está com a empresa, ou quando o contrato termina e o número em que os pacientes confiam foi cadastrado em nome de outra pessoa. O sistema invisível aqui é o dado: dado referente à saúde é dado pessoal sensível na LGPD (art. 5º, II), e o WhatsApp da clínica recebe esse dado mesmo quando ninguém pediu.

Isso não quer dizer que a lei proíba terceirizar. A LGPD prevê exatamente essa figura: a clínica é a controladora, a quem competem as decisões sobre o tratamento dos dados (art. 5º, VI), e a empresa é a operadora, que realiza o tratamento em nome da controladora (art. 5º, VII). O problema do arranjo improvisado é que ninguém tomou as decisões que a controladora deveria tomar.

O mecanismo: a fronteira é o conteúdo da conversa, não quem atende

O operador trata o dado segundo as instruções fornecidas pelo controlador, que verifica a observância das próprias instruções (art. 39). Sem instrução, não há o que verificar. E quando o operador descumpre a lei ou deixa de seguir as instruções lícitas do controlador, ele responde solidariamente pelos danos (art. 42, § 1º, I) — e é a instrução escrita que prova qual delas foi descumprida.

A instrução mais útil é uma fronteira pelo conteúdo. Tarefa administrativa usa nome, telefone e horário; tarefa clínica usa sintoma, exame e conduta. A primeira pode sair com o mínimo de dado; a segunda fica com quem tem formação e acesso ao prontuário. O desenho mais usado para isso tem três faixas: SAI, SAI COM ROTEIRO e FICA. Onde cada tarefa cai é escolha da clínica, não texto de lei — esta página publica uma fronteira possível, e a clínica ajusta a dela.

O prontuário tem uma razão a mais para ficar do lado de dentro: o Código de Ética Médica veda ao médico permitir o manuseio e o conhecimento dos prontuários por pessoas não obrigadas ao sigilo profissional quando sob sua responsabilidade (art. 85). Por isso, no protocolo abaixo, a empresa nunca acessa prontuário.

A matriz FD: tarefa por tarefa

Copie a tabela para o anexo do contrato. A faixa SAI COM ROTEIRO vale só para o valor tabelado da consulta: valor de procedimento, pacote e desconto são negociação fora da tabela e ficam na clínica.

A coluna do dado mínimo tem um limite que o contrato não remove: numa conversa da faixa FICA, a atendente lê a mensagem que chegou, porque é lendo que ela classifica. O que a fronteira garante é que ela não responde o conteúdo, não pede detalhe e não encaminha o arquivo para ninguém além da clínica.

O contrato mínimo com a empresa

As cláusulas abaixo são a lista de blocos que o contrato costuma ter, não texto jurídico pronto para assinar. A redação final é do seu assessor jurídico.

1. Papéis. A clínica é controladora e a empresa é operadora. A empresa trata o dado só por instrução escrita da clínica, e a matriz FD anexa é essa instrução (LGPD, art. 5º, VI e VII, e art. 39).
2. Subcontratação. A empresa não repassa o atendimento a outra empresa ou pessoa sem autorização escrita da clínica.
3. Sigilo e segurança. Cada atendente assina termo de sigilo, e a empresa adota medidas de segurança contra acesso não autorizado (art. 46), e a segurança continua devida mesmo depois do término do tratamento dos dados (art. 47).
4. Incidente. A empresa avisa a clínica de qualquer incidente com dado de paciente em até [PRAZO DE AVISO DE INCIDENTE]. O prazo é escolha do contrato; quem comunica o incidente à autoridade nacional e ao titular, quando ele pode acarretar risco ou dano relevante, é a controladora (art. 48) — por isso ela precisa saber primeiro.
5. Encerramento. Ao fim do contrato, a empresa devolve à clínica o histórico e qualquer exportação, apaga as cópias que tiver e declara por escrito que apagou.
6. Auditoria. A clínica pode verificar se a matriz FD está sendo seguida, inclusive por amostra de conversas.
7. Titularidade. O número de WhatsApp e o histórico de conversas pertencem à clínica; a conta fica cadastrada em nome da clínica.

O protocolo de acesso

1. Número na conta da clínica. O chip, a conta e o código de verificação ficam com a clínica. A senha do chip nunca é entregue à empresa.
2. Login individual. Cada atendente entra com login próprio, criado pela clínica; ninguém usa o login de outra pessoa.
3. Sem prontuário. O perfil do atendente vê a agenda e nunca o prontuário.
4. Frase de repasse. Para toda conversa da faixa FICA, a atendente envia: "Obrigada pela mensagem. Vou encaminhar à equipe da clínica, que responde por aqui."
5. Prazo de devolução. A conversa da faixa FICA volta à clínica em até [PRAZO DE DEVOLUÇÃO], marcada para a equipe interna.
6. Revogação. No mesmo dia do desligamento de um atendente, a clínica desativa o login dele; no encerramento do contrato, desativa todos.

Aplicação prática: a mesma fronteira, perguntas diferentes

A matriz vale para qualquer especialidade. O que muda é qual mensagem da faixa FICA chega com mais frequência.

Onde o paciente é criança, a pergunta clínica chega pelos pais e em horário fora do expediente, e o prazo de devolução pesa mais. Nas especialidades cirúrgicas, o pós-procedimento é a linha FICA que mais aparece, e vale a clínica decidir antes quem da equipe interna recebe essas conversas.

A matriz é uma aplicação específica de um princípio mais amplo, o de separar o que exige formação médica do que não exige, detalhado em delegação no consultório. E a conta do exemplo só fecha a decisão quando posta ao lado do custo de manter o atendimento dentro de casa, que é o tema de quanto custa uma secretária no consultório.

Os números deste artigo são fictícios e ilustrativos, não constituindo promessa de resultado. Cada consultório tem realidade própria de demanda, ticket e perfil de paciente. Este conteúdo não substitui orientação contábil, jurídica ou de proteção de dados (LGPD) específica para o seu caso.

Dr. Thiago Perfeito · CRM-DF 23199

Médico, dono de consultório particular em Brasília–DF. Escreve sobre gestão, precificação e operação de consultório a partir da própria prática — não de teoria de consultoria.