Saúde clínica e gestão de consultórios — arquitetura de split de pagamentos com custódia

A restrição: dinheiro e confidencialidade na mesma transação

Cada um desses requisitos é comum isoladamente. Juntos, eles se puxam em direções opostas. Casar um paciente com um profissional significa ler disponibilidade e adequação rapidamente, enquanto a confidencialidade exige que o dado clínico seja alcançável pelo menor número possível de partes do sistema. E um processo de faturamento que precisa saber quem foi atendido, por quem e quando, para dividir um pagamento, é exatamente o componente que jamais deveria guardar essa informação.

O lado financeiro trazia uma restrição própria. O dinheiro cobrado de um paciente não é da plataforma para reter livremente — ele é devido, em proporções definidas, a uma clínica e a um profissional. Essa divisão precisa ser correta e auditável, não apenas eventual.

A arquitetura: separação como fronteira de conformidade

Arquitetei serviços desacoplados para autenticação, agendamento e financeiro/faturamento. Construí cálculos automáticos de custódia, travas na agenda de consultas e pipelines de verificação de perfil.

As fronteiras entre serviços foram traçadas para limitar o que cada parte do sistema enxerga, não apenas para dividir o trabalho entre times. O faturamento opera sobre desfechos de consulta e os valores devidos por eles; calcular uma divisão não exige conteúdo clínico, então o faturamento nunca recebeu acesso a ele. Essa contenção é o que mantém as obrigações de HIPAA e LGPD tratáveis — a superfície que guarda dado regulado permanece pequena o bastante para ser raciocinada e auditada.

O escrow tornou o caminho do pagamento honesto. Os valores ficam retidos contra uma sessão efetivamente realizada e são liberados em proporções calculadas para cada parte, de modo que nenhum repasse depende de alguém lembrar de conciliá-lo à mão no fim do mês.

Os bloqueios de agenda resolveram a corrida de agendamento diretamente. A disponibilidade do profissional é disputada — dois pacientes podem alcançar o mesmo horário no mesmo instante — e o casamento só é confiável se reservar um horário for atômico.

O resultado

Os repasses divididos rodam automaticamente entre múltiplas partes, o casamento de agenda resolve em menos de um segundo, e a plataforma opera sob conformidade estrita com HIPAA e LGPD.

O ganho estrutural é que correção e conformidade são impostas pela arquitetura, e não por procedimento. O faturamento não pode vazar um dado clínico que nunca lhe foi entregue, e um agendamento duplicado não precisa ser conciliado depois porque não pode ser criado.