Aditivo contratual e apólice: o que exigir de seguro e responsabilidade ao contratar uma plataforma de atendimento com IA

Aditivo contratual e apólice formam uma camada de proteção que muitas clínicas deixam para depois da contratação. Quando uma plataforma de IA agenda consultas, acessa dados de contato, conversa pelo WhatsApp e sincroniza informações com Feegow, Amplimed ou outro sistema, o contrato precisa deixar claro quem responde por cada etapa.

O risco não está apenas em um vazamento. Uma falha de sincronização pode reservar um horário já ocupado, apagar uma alteração de agenda, enviar uma orientação inadequada ou impedir o contato com um paciente que estava prestes a agendar. Cada cenário exige uma combinação de obrigação contratual, evidência operacional, prazo de resposta e cobertura securitária.

A checklist de cláusulas contratuais e SLA para plataformas de atendimento com IA em clínicas ajuda a revisar níveis de serviço gerais. Este artigo avança para um ponto específico da negociação: como transformar riscos de atendimento, integração e dados em cláusulas indenizáveis e apólices verificáveis.

Como referência jurídica, a Lei Geral de Proteção de Dados Pessoais no portal do Planalto deve orientar a definição de papéis, medidas de segurança e responsabilidades. A clínica continua precisando governar suas decisões assistenciais e seus processos internos, enquanto o fornecedor deve responder pelas obrigações que assume sobre a tecnologia e a operação contratada.

Comece pelo objeto e pelo escopo técnico. O documento deve identificar canais, integrações, ambientes, unidades atendidas, limites de uso, tipos de mensagem e funções autorizadas. Também precisa dizer se a IA apenas coleta dados para agendamento, se pode reagendar, se envia lembretes e em quais situações deve transferir a conversa para um profissional da clínica.

Na parte de dados, descreva as instruções documentadas da clínica, os controles aplicados pelo fornecedor, a subcontratação, a localização dos dados, os prazos de retenção e o procedimento de eliminação ou devolução ao fim do contrato. A Autoridade Nacional de Proteção de Dados, em sua página sobre agentes de tratamento oferece referências para discutir controlador, operador e responsabilidades proporcionais ao tratamento.

Inclua uma cláusula de precisão e atualização de conteúdo. Ela deve exigir aprovação de scripts clínicos, identificação da versão ativa, registro de alterações, revisão de respostas críticas e suspensão de um fluxo quando houver indício de comportamento inadequado. Para clínicas grandes, a arquitetura Orchestra da Auris coordena agentes especializados por meio de um agente maestro, uma abordagem construída para reduzir o risco de respostas inconsistentes em fluxos com maior complexidade.

A responsabilidade por integração merece redação própria. Se a API informar que um horário está disponível e a confirmação não for gravada, o fornecedor deve investigar, preservar os logs e corrigir a causa dentro de prazo definido. Para um caso de inconsistência de sincronização, o aditivo pode prever reprocessamento, reconciliação da agenda, comunicação à clínica, suporte na identificação dos pacientes afetados e indenização limitada aos danos diretos comprovados, conforme análise jurídica.

Evite expressões genéricas como “suporte conforme necessidade”. Prefira obrigações mensuráveis: confirmação de recebimento de incidente em até determinado período, início da investigação em prazo definido, atualização em intervalos regulares, entrega de relatório de causa raiz e prazo para plano corretivo. A governança de CRM conversacional em clínicas ajuda a conectar essas obrigações a responsáveis e indicadores internos.

Não basta pedir “seguro contra vazamento”. Solicite a apólice completa ou, ao menos, as condições gerais, especiais e particulares, além do certificado. O jurídico deve conferir se a cobertura alcança dados tratados em nome da clínica, serviços de tecnologia, falhas de segurança, perda de disponibilidade e reclamações de terceiros.

Analise quatro números separadamente: limite por evento, limite agregado, franquia e período de carência. Uma apólice com limite alto pode ter exclusão para falha de configuração, incidente em subcontratado, descumprimento de norma ou evento conhecido antes da contratação. Esses detalhes mudam a proteção real.

Pergunte também quem escolhe o escritório jurídico, a empresa de perícia e o fornecedor de resposta a incidentes. Em um vazamento, a velocidade de coordenação importa, mas a clínica precisa preservar seu direito de participar das decisões que envolvem pacientes, autoridades e comunicação pública.

A apólice não deve ser usada para substituir controles. Peça evidências técnicas compatíveis com a exposição: autenticação forte, segregação de acessos, registro de atividades, cópias de segurança, testes de restauração e gestão de vulnerabilidades. Para uma visão mais ampla, consulte o guia de compra sobre conformidade com LGPD e ISO 27001 em plataformas de IA para clínicas.

Quando o fornecedor informa infraestrutura AWS e conformidade com ISO 27001 e LGPD, solicite o escopo da certificação, a entidade certificadora, a validade e os controles efetivamente abrangidos. A ISO explica o propósito da ISO/IEC 27001, mas uma referência à norma não comprova, por si só, que todos os serviços, ambientes e integrações da proposta estejam incluídos.