Programa de governança de dados conversacionais para clínicas: runbook prático de LGPD, logs e auditoria
Um runbook operacional para definir responsabilidades, proteger dados de pacientes, rastrear integrações e responder a auditorias com evidências.
Baixar o guia de governança
Neste artigo8 seções
- O que é governança de dados conversacionais em clínicas
- Como classificar dados conversacionais, definir finalidade e estabelecer retenção
- Runbook de implementação da governança de dados conversacionais
- Como montar logs de auditoria que conectam WhatsApp, agenda e prontuário
- Consentimento, solicitações de titulares e resposta a incidentes
- Quais métricas tornam a governança conversacional auditável
- Como aplicar o programa em uma arquitetura de atendimento com IA
- Plano de 90 dias para sair da intenção e criar evidências
O que é governança de dados conversacionais em clínicas
A governança de dados conversacionais organiza como uma clínica coleta, usa, armazena, compartilha e elimina mensagens trocadas com pacientes. O programa precisa abranger WhatsApp, SMS, e-mail, formulários, atendentes humanos, automações de IA e o caminho percorrido até o prontuário ou sistema de agenda.
Uma conversa que começa com “quero marcar uma consulta” pode conter nome, telefone, convênio, especialidade procurada, sintomas, resultados de exames e informações sobre tratamentos. Mesmo quando o objetivo é apenas agendar, o conteúdo pode revelar dados pessoais sensíveis, sujeitos a controles mais rigorosos pela LGPD.
O problema operacional aparece quando a clínica guarda tudo em lugares diferentes. Parte da conversa fica no WhatsApp, outra parte em uma planilha, o agendamento é registrado no Feegow ou Amplimed e ninguém consegue explicar, com precisão, quem acessou cada dado ou por que uma informação foi enviada para determinado sistema.
Um programa consistente transforma esse cenário em regras verificáveis. Ele define quais dados podem ser coletados, qual finalidade justifica cada uso, por quanto tempo os registros permanecem disponíveis, quem pode consultá-los e quais evidências devem ser preservadas para uma auditoria.
A Lei Geral de Proteção de Dados estabelece princípios como finalidade, necessidade, segurança, prevenção e responsabilização. Na prática, isso significa que a clínica precisa demonstrar coerência entre a mensagem enviada, a finalidade informada ao paciente, o acesso concedido à equipe e a retenção aplicada ao registro.
Como classificar dados conversacionais, definir finalidade e estabelecer retenção
O primeiro artefato do programa é um inventário de dados. Para cada campo ou tipo de mensagem, registre origem, finalidade, base legal avaliada pelo jurídico ou encarregado, sistema de destino, perfil de acesso, prazo de retenção e procedimento de descarte.
Uma clínica pode separar os registros em quatro grupos operacionais. O primeiro reúne dados de identificação e contato, como nome e telefone. O segundo contém contexto comercial e de agendamento, como especialidade, unidade, preferência de horário, convênio e status do funil.
O terceiro grupo deve receber tratamento mais restritivo, pois pode conter dados de saúde, sintomas, exames ou informações sobre tratamentos. O quarto reúne metadados técnicos, como identificador da conversa, canal, horário, versão do fluxo, resultado da integração e usuário ou serviço responsável pela alteração.
A classificação não precisa transformar cada mensagem em um processo jurídico isolado. Uma taxonomia objetiva, aplicada de forma consistente, ajuda a separar o que é necessário para conduzir o agendamento do que deve ser encaminhado para um profissional ou excluído por não ter utilidade operacional.
Como referência inicial, uma política pode prever retenção de 12 meses para leads sem agendamento, 24 meses para registros de consentimento e o prazo definido pela clínica e por sua assessoria para evidências vinculadas a agendamentos, contratos, obrigações legais ou disputas. Esses prazos são exemplos de desenho operacional, não uma determinação universal da LGPD.
O prazo precisa considerar finalidade, obrigação legal, exercício regular de direitos e risco. Quando termina a necessidade de manter o conteúdo integral, a clínica pode avaliar anonimização, agregação estatística ou eliminação, preservando apenas o que for justificável e documentado.
Para evitar retenção indefinida, crie uma tabela com cinco perguntas: o dado ainda tem finalidade? Existe obrigação de preservá-lo? O paciente solicitou alguma ação? O registro está ligado a incidente ou contestação? A informação pode ser anonimizada sem prejudicar a operação?
O checklist de LGPD e segurança na automação de agendamento para clínicas pode complementar esse inventário com controles de consentimento, acesso e segurança aplicados ao fluxo de marcação.
Runbook de implementação da governança de dados conversacionais
- 1
Nomeie o responsável pelo programa
Defina um proprietário operacional e envolva encarregado, jurídico, tecnologia, recepção e liderança clínica. O responsável deve manter políticas, aprovar exceções, acompanhar indicadores e convocar revisões quando houver mudança de canal ou integração.
- 2
Desenhe o fluxo de dados ponta a ponta
Mapeie a entrada pelo WhatsApp oficial, SMS ou e-mail, o processamento pela automação, a consulta à agenda, o registro no CRM e a gravação no prontuário. Para cada transição, registre o sistema, o tipo de dado, a finalidade e o mecanismo de autenticação.
- 3
Crie uma matriz de classificação
Separe dados de contato, dados de agendamento, dados potencialmente sensíveis e metadados técnicos. Vincule cada classe a acesso mínimo, retenção, mascaramento, procedimento de exportação e regra de descarte.
- 4
Formalize o ciclo de consentimento
Registre quando, onde, para qual finalidade e por qual canal o paciente autorizou uma comunicação, quando essa hipótese for aplicável. A retirada da autorização deve gerar evento rastreável e interromper campanhas ou reengajamentos incompatíveis com a nova preferência.
- 5
Implante logs de auditoria
Registre eventos de leitura, criação, alteração, envio, transferência para humano, consulta à agenda, atualização do prontuário, falha de integração e exclusão. O log deve conter horário sincronizado, identificador da conversa, serviço ou usuário, ação, resultado e correlação com o evento anterior.
- 6
Teste incidentes e solicitações de titulares
Simule vazamento de mensagens, envio para número incorreto, credencial comprometida e indisponibilidade do prontuário. Também teste a localização, exportação, correção e eliminação dos dados solicitadas por um paciente, respeitando as análises e exceções aplicáveis.
- 7
Revise indicadores e evidências
Faça uma reunião mensal de governança e uma revisão mais ampla a cada trimestre. Avalie acessos fora do padrão, falhas de integração, conversas sem classificação, registros fora do prazo de retenção, transferências para humanos e pendências de treinamento.
Como montar logs de auditoria que conectam WhatsApp, agenda e prontuário
Um log útil não é apenas uma cópia da conversa. Ele deve permitir reconstruir uma sequência: o paciente enviou uma mensagem, a plataforma classificou a intenção, consultou a disponibilidade, reservou um horário, recebeu confirmação e registrou o resultado no sistema clínico.
Use um identificador de correlação persistente, como conversation_id, desde a entrada no canal até o registro no prontuário. Quando uma conversa gerar mais de um agendamento ou envolver transferência para recepção, mantenha identificadores relacionados, sem substituir o histórico original.
Uma estrutura mínima pode conter: event_id, conversation_id, patient_reference, channel, event_type, actor_type, actor_id, timestamp_utc, system_source, destination_system, purpose, result, error_code, consent_reference e data_classification. O campo patient_reference deve ser protegido e, nos relatórios, preferencialmente substituído por um identificador pseudonimizado.
Veja um exemplo de evento: “agenda_slot_reserved”, conversa 8F31, serviço “orquestrador de agendamento”, origem WhatsApp, destino Feegow, horário UTC, finalidade “marcação solicitada pelo paciente”, resultado “confirmado”, referência de consentimento C204 e classificação “dados de contato e agendamento”. O conteúdo clínico integral não precisa ser replicado nesse evento.
A integridade do log depende de controles técnicos. Adote armazenamento com acesso restrito, sincronização de relógio, trilha de alterações, segregação entre operadores e administradores, alertas para exclusão manual e política que impeça a edição silenciosa de eventos já gravados.
Uma consulta de auditoria mensal pode procurar: eventos sem conversation_id, atualizações no prontuário sem evento de origem, mensagens após retirada de consentimento, acessos administrativos fora do turno, falhas repetidas de integração e registros mantidos além do prazo definido.
A auditoria deve gerar evidências legíveis para áreas não técnicas. Um relatório pode mostrar a linha do tempo, sistemas envolvidos, usuários ou serviços responsáveis, regras aplicadas, mensagens relevantes mascaradas e decisão tomada, sem expor dados além do necessário.
Para aprofundar o desenho de eventos, consulte o contrato de dados e taxonomia de eventos para integrar IA ao prontuário. A padronização reduz interpretações diferentes entre fornecedores e facilita a investigação de falhas.
Consentimento, solicitações de titulares e resposta a incidentes
Consentimento não deve ser tratado como uma caixa genérica marcada uma única vez. Para mensagens automatizadas, registre finalidade, canal, data, versão do texto apresentado, origem do contato e evidência de que o paciente pôde compreender a comunicação proposta.
O reengajamento exige atenção especial. Uma pessoa que pediu informações sobre uma consulta pode aceitar o retorno sobre aquele agendamento, mas isso não significa autorização ampla para qualquer campanha, assunto clínico ou compartilhamento com outra unidade.
Mantenha uma fila para pedidos de acesso, correção, informação sobre uso e eliminação. A equipe precisa confirmar a identidade do solicitante, localizar os registros relacionados, verificar restrições legais e responder dentro do processo definido pelo encarregado, sem apagar evidências necessárias para uma investigação.
Para incidentes, o runbook deve começar pela contenção. Suspenda credenciais ou fluxos comprometidos, preserve logs, delimite o conjunto de dados afetado, identifique período e destinatários, envolva segurança, jurídico e encarregado, e documente cada decisão com horário e responsável.
Um cenário recorrente é o envio de confirmação para o número errado após uma atualização incompleta no sistema de agenda. A resposta deve preservar o evento original, verificar se houve exposição de dados de saúde, corrigir a origem, impedir novos envios e avaliar as comunicações necessárias conforme a análise do incidente.
A Agência Nacional de Proteção de Dados orienta sobre comunicação de incidentes de segurança e deve ser consultada para manter o procedimento alinhado às orientações oficiais vigentes. O programa também precisa definir contatos de plantão, critérios de severidade e prazo interno para escalonamento.
No treinamento, use exercícios com dados fictícios. Uma simulação trimestral de 45 minutos pode testar quem identifica o incidente, quem bloqueia o fluxo, quem consulta os logs, quem valida o impacto e quem prepara a comunicação para a direção.
Quais métricas tornam a governança conversacional auditável
- ✓Cobertura de rastreabilidade: percentual de conversas com identificador de correlação, finalidade e resultado de integração registrados. Uma meta inicial pode ser 98%, com investigação individual dos casos restantes.
- ✓Eventos críticos sem falha: proporção de reservas, cancelamentos, reagendamentos e atualizações de prontuário que possuem confirmação técnica ou alerta de erro. O indicador separa uma conversa concluída de uma promessa de ação sem evidência.
- ✓Acessos por perfil: quantidade de leituras administrativas, consultas fora do horário esperado e acessos a dados classificados como sensíveis. Tendências anormais devem gerar análise, não punição automática.
- ✓Retenção fora do prazo: número de conversas e logs que ultrapassaram a política definida. Acompanhe idade do registro, motivo da exceção, proprietário e data prevista para eliminação ou anonimização.
- ✓Consentimento acionável: percentual de contatos com referência de finalidade e canal antes do envio de reengajamento. Também registre o tempo entre a retirada da autorização e a interrupção efetiva das mensagens.
- ✓Qualidade das transferências: proporção de conversas encaminhadas a humanos por risco clínico, dúvida fora da base aprovada, objeção complexa ou falha de integração. O objetivo é descobrir padrões de exceção e melhorar o fluxo, não pressionar a equipe a aceitar decisões indevidas.
- ✓Tempo de resposta a incidentes: intervalo entre detecção, contenção, classificação, decisão de comunicação e encerramento. Separe incidentes confirmados de alertas descartados para evitar uma leitura distorcida.
- ✓Integridade dos relatórios: percentual de eventos com horário válido, sistema de origem, ator identificável e vínculo à conversa. Sem esses campos, o painel pode parecer preciso, mas não sustenta uma auditoria.
Como aplicar o programa em uma arquitetura de atendimento com IA
Depois que as regras estão definidas, a arquitetura precisa executá-las sem depender de controles manuais. Isso inclui separar ambientes, limitar permissões por função, proteger segredos de integração, registrar chamadas de API e impedir que um erro de disponibilidade seja confundido com confirmação de agendamento.
Em operações de saúde, a arquitetura multiagente Orchestra da Auris usa um agente maestro para coordenar agentes especializados. Esse desenho é construído para reduzir o risco de alucinação ao separar tarefas como interpretação da intenção, consulta de agenda, aplicação de regras clínicas e transferência para uma pessoa, sempre com monitoramento e ajustes periódicos.
A integração nativa com sistemas como Feegow e Amplimed permite que o evento conversacional seja relacionado ao fluxo de agenda e ao registro existente da clínica. O contrato de dados deve especificar quais campos entram, quais retornam, o que acontece em caso de conflito e como o sistema informa uma falha à recepção.
A infraestrutura AWS e os controles associados à conformidade ISO 27001 e LGPD devem ser traduzidos em evidências operacionais: matriz de acessos, registros de alteração, gestão de incidentes, revisão de fornecedores, cópias de segurança e testes de restauração. Uma certificação ou referência de conformidade não elimina a necessidade de configurar corretamente os processos da própria clínica.
Um plano de implantação pode começar com uma unidade, um canal e dois fluxos de baixo risco, como dúvidas administrativas e agendamento. Após validar logs, permissões, retenção e fallback humano, a clínica amplia para reengajamento, reagendamento e integrações adicionais.
A Auris informa implantação em 14 dias, onboarding consultivo e treinamento de equipe, mas a governança deve continuar após a entrada em produção. Mudanças de especialidade, novos campos no prontuário, novas unidades e alterações no texto de consentimento exigem revisão da matriz, dos testes e dos relatórios.
Para validar a sincronização antes da expansão, use o checklist técnico para avaliar a sincronização em tempo real entre IA, prontuário e agenda. Ele ajuda a testar conflitos de horário, indisponibilidade de API, duplicidade de cadastro e confirmação incompleta.
Plano de 90 dias para sair da intenção e criar evidências
- 1
Dias 1 a 15: escopo e inventário
Escolha uma unidade ou jornada prioritária e liste canais, sistemas, dados, responsáveis e integrações. Registre também os principais riscos, como envio incorreto, acesso excessivo, retenção indefinida e atualização parcial do prontuário.
- 2
Dias 16 a 30: políticas e taxonomia
Aprove classificação, finalidade, retenção, perfis de acesso e eventos mínimos de auditoria. Crie modelos de consentimento, pedido de titular, exceção de retenção e registro de incidente.
- 3
Dias 31 a 45: construção técnica
Configure identificadores de correlação, logs protegidos, alertas, mascaramento e integração entre WhatsApp oficial, CRM, agenda e prontuário. Faça testes com dados fictícios antes de utilizar conversas reais.
- 4
Dias 46 a 60: validação operacional
Execute cenários de agendamento, cancelamento, reagendamento, transferência para humano, falha de API e retirada de consentimento. Compare o resultado esperado com os registros produzidos em cada sistema.
- 5
Dias 61 a 75: treinamento e simulação
Treine recepção, gestores, tecnologia e jurídico sobre responsabilidades e limites de acesso. Realize uma simulação de incidente e produza um relatório com linha do tempo, decisões, lacunas e plano de correção.
- 6
Dias 76 a 90: auditoria interna e melhoria
Selecione uma amostra de conversas e tente reconstruir cada jornada apenas com os logs disponíveis. Corrija eventos ausentes, acessos excessivos e regras ambíguas, depois publique a versão aprovada do runbook.
Perguntas Frequentes
Quais dados conversacionais uma clínica pode armazenar segundo a LGPD?▼
A clínica pode armazenar dados necessários para finalidades legítimas e informadas, observando os princípios da LGPD e a base legal aplicável. Nome, telefone e preferência de horário costumam apoiar o agendamento, enquanto sintomas, exames e tratamentos exigem classificação e controles mais restritivos. O armazenamento deve ter finalidade definida, acesso limitado, prazo documentado e procedimento para atender solicitações de titulares.
Por quanto tempo uma clínica deve guardar conversas do WhatsApp?▼
A LGPD não estabelece um único prazo geral para todas as conversas de atendimento. O período deve ser definido conforme finalidade, obrigação legal, exercício regular de direitos, necessidade de auditoria e risco, com validação do encarregado e do jurídico. Uma política pode diferenciar leads sem agendamento, registros de agendamento, consentimentos e evidências de incidentes, em vez de manter todo o histórico indefinidamente.
Como rastrear uma conversa até o registro no prontuário?▼
Use um identificador de correlação que acompanhe a conversa desde o canal de origem até cada chamada de API e atualização no sistema clínico. O log deve registrar horário, ator ou serviço, ação, finalidade, sistema de destino, resultado e eventual código de erro. Para dados de saúde, mantenha no evento apenas a referência necessária e controle o acesso ao conteúdo integral.
O consentimento para receber mensagens de agendamento permite qualquer tipo de reengajamento?▼
Não necessariamente. A autorização precisa ser relacionada à finalidade, ao canal e ao contexto informados ao paciente, e uma mensagem de agendamento pode não abranger campanhas ou temas diferentes. Registre a versão do texto, a data, o canal, a finalidade e a retirada da autorização, além de aplicar bloqueio quando o paciente mudar sua preferência.
O que fazer quando ocorre vazamento de mensagens de pacientes?▼
O primeiro passo é conter o incidente sem destruir evidências: suspenda credenciais ou fluxos comprometidos, preserve logs e identifique o período e os dados envolvidos. Depois, acione segurança, jurídico, encarregado e liderança, classifique o impacto e documente todas as decisões. A necessidade de comunicação aos titulares ou à ANPD deve ser avaliada conforme a legislação e as orientações oficiais aplicáveis.
Quais logs são indispensáveis em uma plataforma de atendimento por IA?▼
Registre entrada e saída de mensagens, classificação da intenção, consulta e alteração de agenda, transferência para humano, atualização do prontuário, falhas de integração, alterações de configuração e exclusões. Cada evento deve ter identificador, horário confiável, origem, destino, responsável, resultado e vínculo com a conversa. O conteúdo completo não precisa aparecer em todos os logs, desde que a evidência necessária possa ser localizada com acesso controlado.
Como auditar uma automação sem expor dados sensíveis de pacientes?▼
A auditoria pode usar pseudonimização, mascaramento de telefone, acesso por função e relatórios com o mínimo de conteúdo necessário. O auditor deve conseguir verificar a sequência de eventos, decisões e responsáveis sem receber automaticamente o histórico clínico integral. Quando o conteúdo original for indispensável, registre a justificativa, limite o período de acesso e preserve a evidência de quem consultou o material.
A arquitetura multiagente reduz riscos de erro em conversas clínicas?▼
Uma arquitetura multiagente pode separar interpretação, consulta de agenda, regras de atendimento e transferência para humano, o que favorece controles mais específicos. Ela não elimina erros nem dispensa validação, testes e revisão periódica. O ganho de governança aparece quando cada decisão produz eventos rastreáveis e quando situações fora do fluxo são encaminhadas para avaliação humana.