← todos os posts
Segurança 5 min de leitura

"Dado de paciente na conta pessoal de alguém: a cena que a pesquisa registrou e o que fazer antes de virar manchete"

O sistema da clínica nasceu no e-mail pessoal de quem montou. A cena, o dia em que essa pessoa sai, e as três mudanças, na ordem, pra fazer esta semana.

Numa discussão num fórum brasileiro de tecnologia, alguém descreveu o que está acontecendo dentro das empresas:

"Cada setor agora está criando seus próprios sistema na base do vibe coding."

"O que antes seria contatar o setor de T.I para resolver/criar uma solução, agora virou 'Eu resolvo o problema com IA'."

Vibe coding é construir pedindo pra IA, sem escrever código. E logo abaixo veio a resposta que me fez escrever este post:

"Imagina você exportar dados de pacientes para o seu sistema que fica armazenada na sua conta pessoal?"

Já usei essa frase pra falar do que a LGPD pede. Hoje é a cena por trás dela, contada até o fim.

A cena

Ela é montada, não é caso real com nome. Mas cada peça dela está na pesquisa.

A coordenadora de uma clínica de fisioterapia cansou da planilha de agendamento. Num fim de semana, abriu o Lovable com o e-mail que ela usa pra tudo, o pessoal, e pediu um sistema. Ficou bom. Agenda, ficha do paciente, evolução de cada sessão, um campo pra observação. O banco de dados foi criado junto, no Supabase, na mesma conta. Ela importou a planilha antiga: oitocentos pacientes, com nome, telefone, data de nascimento e o motivo do tratamento.

Funcionou tão bem que as outras três fisioterapeutas passaram a usar. Como ninguém tinha conta, ela passou a senha dela no grupo da clínica.

Seis meses depois, ela recebe uma proposta e sai.

E aí a clínica descobre o que tem: um sistema que todo mundo usa, com a ficha de saúde de oitocentas pessoas, dentro do e-mail pessoal de alguém que não trabalha mais lá. A senha está num grupo de WhatsApp. Ninguém sabe se ela ainda entra. Ninguém sabe se a regra que separa um paciente do outro existe.

Ninguém fez nada de errado de propósito. É o que acontece quando o sistema nasce do jeito mais rápido.

Por que não é detalhe

Três coisas que esta cena tem e que um app de lista de compras não tem.

É dado de saúde. A LGPD chama de "dado pessoal sensível" o "dado referente à saúde" (art. 5º, II), e o trata com regra mais dura que nome e telefone. Motivo do tratamento é dado de saúde.

A plataforma não resolve a saída sozinha. A documentação do Lovable diz que, quando alguém sai de um espaço de trabalho, os projetos dela vão pro "membro mais antigo que restar". Num espaço pessoal não resta ninguém. E no Supabase, só o dono da organização pode transferir um projeto pra outra. Se o dono foi embora, quem transfere?

A obrigação não termina quando a pessoa sai. O artigo 47 da LGPD diz que quem participa de qualquer fase do tratamento do dado "obriga-se a garantir a segurança da informação [...] mesmo após o seu término".

E isso já virou notícia. Em maio de 2026 a Axios publicou a varredura da RedAccess, empresa de segurança, em apps feitos com IA: entre os casos, conversas com pacientes e resumo de consulta de um hospital. Eu contei esse estudo aqui, com o que ele não prova. A cobertura brasileira resumiu como "apps criados com ferramentas como Lovable e Replit estão expondo informações médicas, dados financeiros". É jornalismo, não medição do seu caso. Mas é a manchete que ninguém quer.

O que fazer, na ordem

Três mudanças. A ordem importa: não adianta escrever regra num banco que você nem controla.

1. O banco no nome da empresa. Crie um e-mail que é da clínica, não de uma pessoa (contato@, sistema@). Com ele:

  • No Supabase, crie uma organização. Esse e-mail é dono; adicione você como segundo dono, pra nunca depender de uma pessoa só. Depois, quem é dono da organização atual vai nas configurações gerais do projeto e inicia a transferência. A documentação lista o que bloqueia: integração com o GitHub ativa, entre outras coisas. Desligue antes, ligue depois.
  • No Lovable, crie um espaço de trabalho com o mesmo e-mail e transfira o projeto nas configurações dele ("Transfer ownership").

Se quem montou já saiu, essa é a primeira ligação que você faz. Antes de ela esquecer a senha.

2. Acesso por pessoa. Senha compartilhada acaba hoje. Cada pessoa entra com o próprio e-mail e o próprio papel. O Supabase tem papéis prontos: dono e administrador mexem em tudo; "desenvolvedor" acessa o conteúdo do projeto mas "não pode mudar nenhuma configuração". Quem só usa o sistema não precisa estar na organização: precisa de login no app. Ligue a verificação em duas etapas (o código no celular) na conta da empresa. E escreva uma folha de saída de três linhas: tirar a pessoa da organização, tirar do espaço de trabalho, trocar qualquer senha que ela conhecia.

3. Regra por linha. Só agora, com o banco na mão. A fisioterapeuta vê os pacientes dela? Todos? A recepção vê o motivo do tratamento ou só o horário? Isso é decisão sua, e vira regra no banco. Como a regra funciona, com três usuários de exemplo, está aqui. Depois, as duas contas provam que ela segura.

O passo 1 cabe numa tarde; o 2, numa manhã. O 3 é o único que precisa de teste pra dizer que acabou.

O que essa cena ensina

A clínica não errou por usar IA. A planilha antiga tinha o mesmo problema, só que ninguém via. O que mudou é que agora o sistema é bom o bastante pra todo mundo usar, e o lugar onde ele mora não acompanhou.

Isso é o O do ciclo que eu ensino, Ordenar: as coisas têm sequência. Dono do banco antes da regra, regra antes de convidar a equipe, teste antes de dizer "tá seguro". E tem o que vem depois, que esta cena nem chegou a mostrar: o backup que alguém já restaurou, o ponto de retorno quando uma mudança apaga um campo, o custo mensal na conta certa. É uma parede de várias, e elas têm ordem.

Fontes