TI para clínicas de estética e spas: agenda, fotos e dados sensíveis

Por que clínica de estética virou alvo fácil

Clínica de estética e spa acumula um dos conjuntos de dados mais sensíveis que existem fora de um hospital: nome completo, CPF, telefone, endereço, histórico de procedimentos, alergias, medicamentos em uso, contraindicações, condições de saúde declaradas na anamnese e — o item mais crítico de todos — fotografias de antes e depois do corpo de pessoas identificáveis. Tudo isso convive com um sistema de agenda que roda o dia inteiro, um WhatsApp que nunca para e um caixa que precisa fechar. A operação é intensa e o time é pequeno.

Esse perfil cria uma armadilha silenciosa. A clínica não se enxerga como empresa de tecnologia, então trata TI como despesa de manutenção: chama alguém quando o computador da recepção trava. Mas do ponto de vista regulatório e de risco, a clínica opera exatamente como uma operadora de dados de saúde. A Lei Geral de Proteção de Dados classifica informação sobre saúde como dado pessoal sensível, com regime de tratamento mais rígido que o dado comum. Foto de procedimento estético, acompanhada de nome e histórico clínico, entra nessa categoria sem margem para dúvida.

Quem ataca sabe disso. Grupos de ransomware migraram de alvos grandes e bem defendidos para o meio do mercado — empresas com dado valioso e defesa fina. Uma clínica com 4.000 prontuários e 30.000 fotos de pacientes é alvo de altíssimo valor: a chantagem não é só "você perdeu seus arquivos", é "vamos publicar as fotos das suas clientes". O incentivo para pagar é brutal, e é exatamente por isso que o alvo é escolhido.

Agenda online: o coração operacional que ninguém protege

A agenda é o sistema mais crítico de uma clínica de estética, e quase sempre o menos cuidado. Se a agenda cai numa sexta-feira, a recepção não sabe quem vem, os profissionais não sabem qual sala ocupar, o estoque de insumo não é separado e as confirmações automáticas param. Um dia sem agenda em uma clínica de porte médio custa mais do que um ano inteiro de infraestrutura bem feita.

Existem três arquiteturas comuns, cada uma com riscos próprios:

• Software local instalado num PC da recepção — o pior cenário. O banco de dados fica num computador comum, sem redundância, sem backup automático, muitas vezes com o antivírus vencido e o Windows sem atualização. Se o disco morre, a clínica perde o histórico inteiro.
• Sistema em nuvem de terceiro (SaaS) — melhor, mas transfere o risco sem eliminá-lo. A clínica continua sendo controladora dos dados perante a LGPD, mesmo que o fornecedor seja o operador. É obrigação da clínica saber onde o dado está, se há criptografia, qual o SLA e como se faz a exportação em caso de rompimento de contrato.
• Servidor próprio ou nuvem privada — controle total, exige gestão real: patching, backup testado, monitoramento e acesso remoto seguro.

Independente da arquitetura, três controles são inegociáveis. Primeiro, autenticação multifator em todo acesso administrativo — senha sozinha não sustenta mais nada. Segundo, perfis de permissão separados: a recepcionista não precisa ver anamnese completa, o esteticista não precisa ver faturamento, e o estagiário não precisa exportar a base inteira em CSV. Terceiro, log de acesso: saber quem abriu qual ficha e quando é o que permite investigar um vazamento interno, que é a origem mais comum de incidente em clínica pequena.

Regra prática: se qualquer pessoa da clínica consegue exportar toda a base de pacientes com dois cliques e sem deixar rastro, o problema não é a nuvem — é a configuração de permissão.

Fotos de procedimento: o ativo mais perigoso do consultório

A foto de antes e depois é essencial para o trabalho clínico — acompanha evolução, protege a profissional em caso de contestação e alimenta o marketing quando há autorização. Também é o arquivo que, vazado, gera o maior dano humano e a maior exposição jurídica. E na maioria das clínicas ele vive no pior lugar possível: no rolo de câmera do celular pessoal da profissional, sincronizado com uma conta pessoal de nuvem, misturado com fotos de família.

Isso quebra a LGPD em várias frentes ao mesmo tempo. Não há controle de acesso, não há registro de tratamento, não há definição de retenção, não há como cumprir um pedido de exclusão do titular, e quando a profissional sai da clínica os dados saem junto no bolso dela. Se o celular é roubado sem criptografia ativa, o incidente é imediato e a clínica é a responsável perante a ANPD, não a funcionária.

O caminho correto é tratar imagem clínica como prontuário, não como foto:

1. Captura em dispositivo da clínica, com perfil de trabalho separado, criptografia de disco ativa e bloqueio por biometria ou PIN forte.
2. Upload imediato para repositório corporativo vinculado ao prontuário da paciente, com remoção automática do dispositivo após o envio.
3. Consentimento específico e granular, por escrito e armazenado junto ao registro: uso clínico é uma finalidade, uso em redes sociais é outra, e a segunda exige autorização própria e revogável.
4. Política de retenção definida — quanto tempo a imagem fica, o que acontece quando a paciente encerra o tratamento, e como se executa a exclusão quando ela pede.
5. Metadados limpos antes de qualquer publicação: foto de celular carrega GPS, modelo do aparelho e data no EXIF.

Vale um alerta sobre marketing: publicar antes e depois sem autorização expressa e específica não é só risco de LGPD, é também risco perante o conselho profissional. E o consentimento precisa ser revogável de fato — se a paciente pedir remoção, a clínica tem que conseguir tirar do site, do Instagram e do material impresso.

Backup que funciona de verdade

Quase toda clínica diz ter backup. Poucas têm. Copiar a pasta num HD externo que fica na gaveta ao lado do computador não é backup — é uma cópia que o ransomware criptografa junto e que o ladrão leva no mesmo assalto. Backup real segue a regra 3-2-1: três cópias dos dados, em dois tipos de mídia diferentes, com uma delas fora do local físico da clínica.

Para clínica de estética, o escopo do backup precisa incluir quatro conjuntos que costumam ser esquecidos: o banco do sistema de agenda e prontuário, o repositório de imagens de procedimento, os arquivos financeiros e fiscais, e as caixas de e-mail corporativo. Vale reforçar um ponto que confunde muita gente: dado em Microsoft 365 ou Google Workspace **não** tem backup por padrão. O provedor garante a disponibilidade da plataforma, não a recuperação de um arquivo que a sua equipe apagou há quatro meses ou que o ransomware sincronizou criptografado. Backup de M365 é serviço separado e contratado.

Três características separam backup que salva de backup que só ocupa espaço:

• Imutabilidade — cópia que não pode ser alterada nem apagada dentro do período de retenção, nem por quem tem senha de administrador. É a única defesa contra ransomware que caça e destrói backup antes de criptografar.
• Retenção em camadas — diários por 30 dias, semanais por alguns meses, mensais por período mais longo. Corrupção silenciosa e exclusão maliciosa costumam ser descobertas semanas depois.
• Restore testado — o teste é restaurar de verdade, num ambiente separado, e conferir se o prontuário abre e a foto carrega. Backup nunca testado deve ser considerado inexistente.

A pergunta certa não é "vocês fazem backup?" e sim "quando foi a última vez que vocês restauraram um prontuário do backup e ele abriu?". A diferença entre as duas respostas é a diferença entre parar duas horas e parar duas semanas.

LGPD na prática: o mínimo que a clínica precisa ter

LGPD em clínica de estética não se resolve com um aviso de cookies no site. Como o tratamento envolve dado sensível de saúde, o regime é mais exigente e a base legal precisa estar clara — normalmente consentimento específico da titular ou tutela da saúde, a depender do procedimento. Consentimento genérico enfiado no rodapé do contrato não sustenta.

O conjunto mínimo, na ordem em que costuma render mais resultado:

• Mapeamento de dados — quais dados a clínica coleta, onde ficam, quem acessa, por quanto tempo e com quem são compartilhados. Sem isso, nenhuma outra medida tem base.
• Encarregado (DPO) designado e canal de contato publicado para atender pedidos de titulares.
• Termos de consentimento separados por finalidade, com registro de data, versão e forma de revogação.
• Contratos com operadores — sistema de agenda, provedor de nuvem, contabilidade, agência de marketing: todos precisam de cláusula de proteção de dados.
• Procedimento de resposta a incidente — quem aciona quem, em quanto tempo, e como se comunica ANPD e titulares afetados.
• Treinamento da equipe, porque a maior parte dos vazamentos nasce de gesto cotidiano: print de ficha enviado por WhatsApp pessoal, senha compartilhada entre recepcionistas, tela desbloqueada na recepção com prontuário aberto à vista do público.

Do lado técnico, o básico que sustenta o jurídico é conhecido: criptografia em repouso e em trânsito, MFA em todos os acessos administrativos, segmentação da rede separando o Wi-Fi das clientes da rede da clínica, endpoint protection nos computadores e celulares corporativos, atualização em dia e log de acesso a prontuário retido por período definido.

Como a Duk estrutura TI de clínica

A Duk Informática & Cloud atende mais de 550 empresas e acumula 18+ anos de estrada em infraestrutura, nuvem e segurança. Como Microsoft Gold Partner, monta o ambiente de clínicas de estética e spas com o mesmo rigor aplicado a operações reguladas maiores — só que dimensionado para a realidade de um time enxuto, sem transformar a recepcionista em administradora de sistema.

Na prática, isso significa desenhar o ambiente completo: agenda e prontuário com alta disponibilidade e acesso por perfil, repositório de imagens clínicas separado do celular pessoal da equipe, backup 3-2-1 com cópia imutável fora do local e restore testado com periodicidade definida, backup dedicado de Microsoft 365, MFA e gestão de identidade, segmentação de rede e monitoramento com suporte 24/7 sob SLA. O data center próprio em Alphaville permite manter o dado sensível em território conhecido, com contrato claro sobre onde ele reside e quem tem acesso.

O critério de sucesso é simples e verificável: a clínica consegue dizer onde cada dado está, quem acessou, e provar — com um teste de restauração recente — que consegue voltar a operar em horas se algo der errado. Se essas três respostas não existem hoje, um diagnóstico de ambiente é o ponto de partida, e ele cabe numa conversa.