Prontuário eletrônico sem fidelidade: o que checar no contrato antes de assinar
"Sem fidelidade" é só a primeira linha. O que decide se você consegue sair de um prontuário eletrônico está na exportação, na retenção após o cancelamento e na cláusula de responsabilidade — com checklist.
Contrato sem fidelidade não é o mesmo que contrato de onde é fácil sair. O que decide isso são outras cláusulas: como você exporta os dados (em qual formato, em quanto tempo, com que custo), o que acontece com o prontuário depois do cancelamento, quem responde pelo quê perante a Lei Geral de Proteção de Dados e qual é o limite de responsabilidade do fornecedor.
Este texto é um roteiro de leitura, não substitui advogado — e o conflito de interesse está declarado no rodapé.
Antes de tudo: os prazos que não são do contrato
Duas obrigações valem independentemente do que o fornecedor escrever. A Lei nº 13.787/2018, art. 6º, permite eliminar prontuários — em papel ou digitalizados — apenas depois de "prazo mínimo de 20 (vinte) anos a partir do último registro". O §2º prevê, como alternativa à eliminação, a devolução do prontuário ao paciente.
Essa guarda é sua, não do software: se o contrato termina no ano 2 e o prontuário precisa existir até o ano 20, ele não pode morar só ali. Já discutimos esse cenário em e se a empresa do prontuário eletrônico fechar.
Checklist: as nove cláusulas que decidem a saída
Cláusula
O que procurar no texto
Sinal de atenção
Prazo e rescisão
Existe prazo mínimo? Multa proporcional ao restante? Aviso prévio de quantos dias?
Multa integral, sem redução proporcional ao tempo já cumprido
Reajuste
Índice nomeado (IPCA, IGP-M), periodicidade e aviso prévio
Reajuste "a critério da contratada", sem índice nem prazo
Exportação só mediante "solicitação e orçamento", sem prazo definido
Dados após o cancelamento
Quanto tempo a conta fica acessível, quando os dados são eliminados, o que é conservado
Eliminação imediata no vencimento, sem janela de resgate
Papéis na LGPD
Quem é controlador e quem é operador, e o que cada um se obriga a fazer
Contrato silente sobre os papéis, ou que chama o fornecedor de controlador
Encarregado (DPO)
Nome ou canal de contato publicado
Nenhum canal identificável
Subprocessadores e servidores
Lista de terceiros e país de hospedagem
Ausência total de informação sobre onde os dados ficam
Disponibilidade
Compromisso de disponibilidade, janelas de manutenção, canal de suporte
Promessa de "100% de disponibilidade" — que ninguém entrega
Responsabilidade e foro
Existe teto de indenização? Qual comarca?
Teto simbólico somado a foro distante da sua cidade
Exportação: o teste que vale mais que a cláusula
A cláusula de exportação é a que eu leria primeiro, porque é a única verificável antes de assinar: peça uma conta de teste, cadastre um paciente fictício, escreva três evoluções, anexe um PDF e exporte. O que sair do sistema é o seu contrato real.
Cuidado com uma confusão comum. A LGPD prevê, no art. 18, V, o direito de portabilidade — mas ele é do titular dos dados (o paciente) perante o controlador, "mediante requisição expressa, de acordo com a regulamentação da autoridade nacional". Não é um direito automático seu contra o fornecedor de software: sua garantia de sair com os dados é contratual, e precisa estar escrita. O passo a passo da migração está em como sair do seu prontuário atual sem perder dados.
Fidelidade prende por doze meses. Exportação ruim prende para sempre.
O que acontece com os dados depois que você sai
Aqui a LGPD dá o vocabulário. O art. 15 lista as hipóteses de término do tratamento — entre elas, a finalidade alcançada e o fim do período de tratamento. E o art. 16 determina que "os dados pessoais serão eliminados após o término de seu tratamento, no âmbito e nos limites técnicos das atividades", autorizando a conservação em quatro situações, a primeira delas o "cumprimento de obrigação legal ou regulatória pelo controlador".
Traduzindo para o contrato: guarda e exclusão não são a mesma coisa, e um contrato bem escrito diz as duas. Quanto tempo a conta permanece acessível depois do cancelamento? Depois disso, o que é eliminado e o que é conservado — e por qual obrigação legal?
Vale checar os papéis: o art. 39 fala do operador tratando dados "segundo as instruções fornecidas pelo controlador", e o art. 41 prevê que o controlador indique um encarregado com contato público. A Resolução CD/ANPD nº 2/2022 (art. 11) dispensa dessa indicação os agentes de tratamento de pequeno porte — que ainda assim devem manter um canal de comunicação com o titular —, mas a dispensa não vale para quem faz tratamento de alto risco (art. 3º, I), e o uso de dados sensíveis, como os de saúde, é um dos critérios dessa definição (art. 4º). O enquadramento do seu consultório é questão para o advogado. Num consultório, o controlador costuma ser o profissional — parte dessas obrigações é sua.
Teto de responsabilidade e foro
Quase todo contrato de software traz um teto de indenização atrelado ao valor pago nos últimos meses. Se essa contratação é ou não relação de consumo é discussão jurídica real: o Código de Defesa do Consumidor define consumidor como quem adquire produto ou serviço "como destinatário final", incluindo pessoa jurídica (art. 2º). E o art. 51, I, ao anular cláusulas que exonerem responsabilidade, ressalva: "Nas relações de consumo entre o fornecedor e o consumidor pessoa jurídica, a indenização poderá ser limitada, em situações justificáveis". O mesmo artigo trata de obrigações iníquas (IV) e de variação unilateral de preço (X) — pontos para levar ao seu advogado.
Como isso aparece nos nossos próprios termos
Como estamos falando de contrato e nós vendemos um prontuário eletrônico, seria estranho não abrir os nossos. Os pontos abaixo estão no texto publicado em nossos Termos de Uso (versão vigente em outubro de 2026) — confira sempre a página, porque este post não a substitui:
Os papéis estão nomeados: o profissional é o controlador e a plataforma, a operadora.
A guarda de 20 anos é apontada como obrigação do médico, e o texto afirma que a plataforma "fornece botão para exportação pontual", sem envio de discos físicos e sem custódia vitalícia após a cessação dos pagamentos.
O encerramento é feito pelo próprio profissional, por um botão "Encerrar Conta", que leva a um estado de soft delete — os registros seguem preservados para auditoria e o faturamento é suspenso.
Se a empresa encerrar as atividades, o texto prevê aviso prévio formal por e-mail e no painel, com prazo mínimo de 30 dias para exportação, findo o qual os servidores são desligados.
A disponibilidade é assumida como regime de melhores esforços, com recomendação expressa de manter um plano B de registro; a indenização é limitada ao total pago nos 12 meses anteriores; o foro é o da comarca dos responsáveis pela empresa.
O banco de dados principal e a autenticação ficam no Brasil (São Paulo). Backups criptografados e alguns subprocessadores (IA, e-mail, vídeo, entre outros) operam nos EUA — é transferência internacional de dados, regida pelos arts. 33 a 36 da LGPD; a lista completa, com o fundamento de cada uma, está na nossa Política de Privacidade.
Não é elogio: é a mesma leitura que peço que você faça em qualquer fornecedor, inclusive em nós. Os limites de cada plano — o Inicial gratuito, com 10 pacientes e 80 evoluções, o Profissional a R$ 89 por mês e o Elite a R$ 239 por médico — estão na página de planos e preços.
Perguntas frequentes
"Sem fidelidade" garante que eu consigo sair quando quiser?
Garante que não há prazo mínimo nem multa. Não garante exportação completa, prazo de resgate dos dados após o cancelamento nem clareza sobre o que é eliminado — e são essas cláusulas que determinam o custo real de sair.
A LGPD me dá direito de exigir meus dados de volta do fornecedor?
O direito de portabilidade do art. 18, V, é do titular perante o controlador. Sua garantia de exportar como usuário do software é contratual — precisa estar escrita.
Por quanto tempo preciso guardar o prontuário depois de trocar de sistema?
A Lei nº 13.787/2018, art. 6º, fixa prazo mínimo de 20 anos a partir do último registro. A obrigação acompanha o profissional, não o software.
Teto de indenização no contrato é sempre abusivo?
Não necessariamente: o art. 51, I, do CDC ressalva que, entre fornecedor e consumidor pessoa jurídica, a indenização pode ser limitada em situações justificáveis. Se o CDC se aplica ao seu caso é questão para o advogado.
Resolução CFM nº 1.821/2007 — normas técnicas para guarda e manuseio do prontuário em meio eletrônico.
Conteúdo revisado em 30 de setembro de 2026 pelo responsável técnico (psiquiatra, CRM-MG 58241 · RQE 37921). Esta página é mantida pelo CliniqMais — conflito de interesse declarado. As normas e evidências citadas podem ser atualizadas — consulte sempre as fontes oficiais. Este texto não substitui avaliação clínica individualizada nem assessoria jurídica.