Dossiê iClinic

O que o contrato diz

Fonte primária: iclinic.com.br/termos/, extraído em 19/08/2026. Emissor: Afya iClinic, CNPJ 20.432.039/0001-95. Foro: Ribeirão Preto/SP.

A busca dizia "não tem API". O contrato dizia que tem. Ausência de documentação nunca foi prova de ausência de produto — é só sinal de que ninguém perguntou.

A cláusula é reaceita a cada login

Na tela de entrada, embaixo do botão: Ao clicar em Entrar, você aceita nossos Termos de uso — com link direto para o documento que contém os itens h e c. A proibição não é cláusula assinada uma vez e esquecida: ela é reafirmada em cada sessão. Isso encerra qualquer defesa de “a clínica nem sabia”.

O teste de conexão

Não existe segundo fator

Senha e entrou. Sem 2FA, sem código, sem app autenticador. Duas leituras opostas do mesmo fato:

• A favor da automação: uma sessão salva sobrevive sem segundo fator. Tecnicamente trivial.
• Contra, e é o que importa: a conta que guarda o prontuário de todos os pacientes é protegida só por senha. Somado a IDs sequenciais expostos na URL — clínica 415967, profissional 451596 — isso é achado de segurança para levar ao cliente. Não como susto: como serviço.

Onde o export realmente fica

Não está em Gestão, como a hipótese inicial supunha. Está em Configurações da Conta, em /configuracoes/exportacao-dados/ — confirmado no painel, com /v2/configuracoes/migracao-dados/ ao lado. Isso tira o fato F3 da condição de fonte única.

O menu Gestão abriga outra coisa: Finanças, Relatórios, Controle de Estoque, TISS e Satisfação do Paciente.

A arquitetura que a rede revelou

Três gerações de aplicação convivendo no mesmo domínio:

A API interna já é REST/JSON parametrizada

GET /dashboard/data.json?physician=451596&date_from=2026-07-20&date_to=2026-08-19
GET /pacientes/aniversariantes.json?birth_date__day=19&birth_date__month=08&died=0
GET /dashboard/day-events.json

Repare em birth_date__day, birth_date__month, died=0. Esse é padrão de lookup de queryset do Django. Significa que os endpoints internos aceitam filtros no nível do banco — __gte, __lte, __in — e portanto são bem mais flexíveis do que a interface expõe.

É por isso que a conversa comercial muda de tom: não se pergunta se existe API. Pede-se o recurso pelo nome, no formato de filtro que eles já usam internamente.

Os relatórios são a mina

Catálogo completo em Gestão › Relatórios, todo exportável em XLS. Não é consolo pela falta de API — é diagnóstico comercial inteiro, sem tocar em prontuário.

Dois ativos que ninguém procurava

• Trilha de auditoria em /logs/agenda/, no menu Outros. É evidência de rastreabilidade — exatamente o que o art. 46 pede e o que se apresenta numa auditoria.
• Permissões de envio em /configuracoes/permissoes-de-envio/. O consentimento de comunicação vive dentro do próprio sistema, o que resolve o opt-in de marketing sem inventar controle paralelo. Ao lado: sms-enviados e teleconsultas-realizadas.

Somados, indicação + faltas + retorno respondem as três perguntas que todo dono de clínica faz e nenhuma agência responde com dado: de onde vem, quanto escapa, e quem volta.

Quatro caminhos, um só defensável

C é o destino. A + D é a ponte. B só em conta de teste. Depois do teste de campo, a rota A cobre mais terreno do que a estimativa inicial previa — e a rota B ganhou um terceiro argumento contra: além dos itens h e c e da conta intransferível, existe telemetria de borda registrando comportamento de cliente.

Vender automação de tela como serviço recorrente sobre a conta da clínica não arrisca uma multa — arrisca o cliente perder acesso ao sistema que roda o consultório dele, por causa nossa.

A sequência

1. 01

   Teste de conexão em conta de teste

   Concluído em 19/08. Leitura estável, estrutura mapeada, arquitetura interna identificada. Trial expira em 5 dias — se precisar de mais evidência desta conta, é dentro dessa janela.

2. 02

   Pedir a API pelo nome do recurso

   Citar a Cláusula 16ª explicitamente e perguntar: qual plano habilita, qual a documentação técnica, como se autoriza um fornecedor terceiro.

   E pedir os recursos com o vocabulário deles: equivalente de dashboard/data.json com physician e intervalo de datas, mais pacientes e agenda com filtros de data. Quem chega assim não recebe “não temos API” do primeiro nível.

3. 03

   Assinar o DPA antes de qualquer dado real

   Papéis, finalidade, categorias de dado, medidas do art. 46, retenção, suboperadores autorizados — incluindo o provedor de LLM — e prazo de notificação de incidente em 24–48h, para a clínica cumprir os 3 dias úteis do art. 48.

4. 04

   Entregar valor sem tocar em prontuário

   Captação, qualificação, recuperação de falta e follow-up rodam no perímetro. Origem, no-show e retorno saem dos relatórios. O opt-in de comunicação vive em permissoes-de-envio. A clínica segue dona do dado sensível.

5. 05

   Levar o achado de segurança como conversa, não como alarme

   Ausência de segundo fator na conta que guarda prontuário é fato, não opinião. Apresentar junto com a trilha de /logs/ e a política de acesso por perfil transforma um risco silencioso em pauta — e em serviço.

Onde a Obralivre entra na cadeia

Pelo Guia de Agentes de Tratamento da ANPD: a clínica é controladora, o iClinic é operador, e a Obralivre entra como operadora — o próprio Guia usa agência de marketing como exemplo. Se subcontratarmos nuvem ou LLM, aparece a figura da suboperadora.

O efeito é o art. 42, §1º, I: o operador responde solidariamente quando descumpre a lei ou as instruções do controlador. Prontuário é dado sensível do art. 11, com base legal de tutela da saúde — não consentimento. E marketing para a base de pacientes é outra finalidade: exige opt-in separado do atendimento.

Traduzindo: sem DPA assinado, um vazamento na nossa ponta vira problema jurídico da clínica — e nosso, junto.

Três homônimos que envenenam a pesquisa

Os dois últimos por pouco não viraram resposta para a pergunta do segundo fator. Quem resolveu foi a tela de login real — e a resposta era o oposto: o produto brasileiro não tem 2FA.

Status dos fatos-chave

Fontes avaliadas por CRAAP