Certificado digital para médicos: A1 ou A3 na clínica?

Resposta curta, para você decidir hoje: A1 se você assina de vários lugares, em volume, ou se o próprio sistema precisa assinar e transmitir sozinho (guia TISS por webservice, laudo em lote, prontuário na nuvem). A3 se você assina pouco, quase sempre do mesmo computador, e quer a chave privada trancada dentro de um token que ninguém consegue copiar.

A segunda decisão pesa mais que a primeira, e é onde a maioria das clínicas erra: certificado de documento clínico é individual. O e-CNPJ resolve obrigação da empresa (fiscal, trabalhista, transmissão de lote), mas não assina laudo, receita nem prontuário no lugar do profissional. Quem responde pelo ato é o CRM ou o CRO, não a razão social. Clínica com seis profissionais que assinam precisa de seis certificados pessoais, mais o da empresa.

Você precisa de certificado digital na clínica? Depende de quem assina o quê

Antes de comparar mídia, liste o que sai assinado da sua clínica hoje. Em geral, quatro frentes empurram a compra:

• Faturamento de convênios: envio de guias e lotes no padrão TISS pelos webservices das operadoras. O componente de segurança e privacidade do padrão da ANS trata justamente de identificação por certificado ICP-Brasil e integridade das mensagens trocadas.
• Prescrição: receita de medicamento sob controle especial (Portaria SVS/MS 344/98) e de antimicrobiano com retenção, quando emitidas em meio eletrônico.
• Prontuário sem papel: abandonar o arquivo físico exige sistema com certificação SBIS/CFM em nível NGS2, e esse nível pressupõe assinatura qualificada nos registros.
• Obrigação fiscal e trabalhista: NFS-e municipal, DMED, eSocial e EFD-Reinf, normalmente operadas pela contabilidade com o e-CNPJ.

Agora separe exigência de boa prática. Atestado, relatório e evolução clínica aceitam, em muitas situações, assinatura eletrônica avançada: aquela que identifica o signatário e permite detectar alteração posterior, sem depender da ICP-Brasil. Receita de controlado e prontuário eletrônico certificado ficam no outro extremo, com assinatura qualificada obrigatória.

E deixe explícito para a equipe o que não exige certificado nenhum: marcar consulta, confirmar por mensagem, anexar exame ao prontuário, compartilhar imagem com o profissional solicitante. Isso é controle de acesso e trilha de auditoria, não assinatura. Confundir as duas coisas faz a clínica comprar token para a recepção sem necessidade e, pior, deixar de comprar para quem realmente assina.

O básico em 60 segundos: ICP-Brasil, e-CPF, e-CNPJ e certificado de atributo

A base jurídica é a MP 2.200-2/2001, que criou a ICP-Brasil e deu presunção de validade às assinaturas feitas com certificado emitido dentro dela. Quem credencia e fiscaliza as Autoridades Certificadoras (AC) e Autoridades de Registro (AR) é o ITI. A Lei 14.063/2020 organizou as assinaturas em três degraus (simples, avançada e qualificada) e o Decreto 10.543/2020 definiu qual degrau serve para cada tipo de ato. Só a qualificada usa certificado ICP-Brasil.

Sobre o que assina o quê: o e-CPF é a identidade da pessoa, do médico ou do dentista. O e-CNPJ é a identidade da empresa. O certificado de atributo é uma extensão que amarra o registro no conselho (CRM ou CRO) ao e-CPF, e é o que sistemas de saúde e conselhos usam para conferir que quem assinou está habilitado.

Ponto que evita meia hora de discussão com o fornecedor: A1 e A3 não são níveis de validade jurídica. São formas de guardar a chave privada. As duas produzem assinatura qualificada com exatamente o mesmo peso legal. A diferença é operacional, e é por isso que a escolha se resolve olhando a rotina, não a norma.

Glossário mínimo para conversar de igual para igual:

• Par de chaves: uma chave privada (secreta, sua) e uma pública (dentro do certificado). A privada assina, a pública comprova.
• Arquivo .pfx ou .p12: o formato do certificado A1, protegido por senha.
• PIN e PUK: a senha de uso do token A3 e o código de desbloqueio dela.
• Carimbo do tempo: prova de data e hora da assinatura, útil quando o documento vale por décadas.
• Não repúdio: a garantia de que o signatário não pode negar que assinou. Ela só existe se ninguém mais tiver a chave.

A1 na prática: arquivo no computador, cópia onde precisar, validade de 12 meses

O A1 é um arquivo instalado no computador, no notebook ou no servidor, protegido por senha. Não tem hardware, não tem driver, não tem leitora. Você contrata, emite e usa em minutos.

A vantagem que decide compra é a multiplicidade: o mesmo A1 pode ficar instalado na recepção, na sala clínica, no notebook de casa e na filial, funcionando em paralelo. Isso é o que torna viável a assinatura em lote. Um radiologista que fecha 40 laudos no fim do dia não vai digitar PIN 40 vezes, e um sistema que transmite lote TISS de madrugada não pode depender de alguém ter plugado um token antes de ir embora.

O preço dessa comodidade é o controle. Arquivo se copia, e cópia não avisa. Os quatro furos clássicos: backup do .pfx num pendrive na gaveta, cópia enviada por e-mail para o suporte, arquivo em pasta compartilhada aberta para a equipe toda, e o funcionário que saiu com o certificado do sócio na máquina dele. Some a isso a validade típica de 12 meses, que transforma renovação em despesa recorrente e em risco de esquecimento anual.

Cenário concreto: centro de imagem com dois radiologistas, um deles laudando de casa às 22h. Com A3, o token teria que estar fisicamente com ele todas as noites, e o outro profissional ficaria sem opção se precisasse assinar algo urgente. Com A1, cada um tem o próprio arquivo, no próprio equipamento, e a automação de processos da clínica continua rodando sem depender de presença física.

A3 na prática: token na mão, um uso por vez, validade de até 3 anos

No A3 a chave privada é gerada e vive dentro de uma mídia criptográfica homologada, token USB ou cartão inteligente com leitora. Ela não sai de lá. Não existe arquivo para copiar, não existe backup possível, e é exatamente isso que se está comprando: inviolabilidade.

O custo aparece na operação. É preciso instalar driver e gerenciador criptográfico em cada máquina, e a compatibilidade fora do Windows costuma ser irregular. Mac, Chromebook, celular, tablet e terminal compartilhado dão trabalho ou simplesmente não funcionam. Se a sua equipe trabalha em aplicativo de clínica no celular e no tablet ou em máquinas variadas, considere isso decidido contra o A3.

Existe também a limitação física de um dispositivo por vez. Quem está com o token na bolsa trava a assinatura do resto do dia. E há o detalhe que mais gera pânico na segunda-feira: errar o PIN algumas vezes seguidas (em muitas mídias, três) bloqueia o uso; errar o PUK esgota as tentativas e inutiliza a mídia. Nesse ponto não há suporte que salve: compra nova, emissão nova, revalidação, e a clínica parada nesse intervalo.

Em troca, a validade comercial vai de 1 a 3 anos, o que dilui o custo anual, embora a mídia seja cobrada à parte na primeira compra.

Cenário concreto: dentista que atende terça na matriz e quinta na filial, e esqueceu o token na unidade errada. Todo prontuário e todo documento que dependem da assinatura dele esperam até quinta.

A escolha pela rotina: quatro perguntas antes de comprar

Responda as quatro em voz alta, com nome e número, não em tese.

1. Quem assina? Só o responsável técnico? Seis profissionais? Tem radiologista terceirizado laudando de fora, que nunca vai passar na clínica para pegar token?
2. De onde assina? Uma sala fixa, ou consultório mais casa mais filial mais celular no fim de semana?
3. Em quantos computadores? Um só, vários, ou existe um sistema que precisa assinar e transmitir sem operador na frente?
4. Com que frequência e volume? Três atestados por semana, ou 60 laudos por dia com fechamento à noite?

A árvore de decisão fecha assim:

• Alguma assinatura precisa acontecer dentro do sistema, sem humano presente (lote TISS, publicação de laudo, integração)? A1, sem discussão.
• O profissional assina de mais de um lugar ou usa Mac, celular ou máquina compartilhada? A1.
• Volume diário alto, com assinatura em lote? A1.
• Volume baixo, sempre da mesma máquina Windows, e a prioridade declarada é chave inviolável? A3.
• Situação mista, que é a mais comum: modelo híbrido. A1 para os profissionais que produzem laudo, prontuário e receita em volume, e A3 para o e-CNPJ da empresa, que fica com a contabilidade e é usado poucas vezes por mês.

Há uma terceira via que vale avaliar: o certificado em nuvem, com assinatura remota. A chave fica em módulo de segurança da AC e você autoriza cada assinatura por aplicativo ou biometria. Ele resolve o pior dos dois mundos anteriores, porque não gera arquivo circulando nem exige hardware, e funciona bem para quem assina do celular. Em contrapartida, você fica dependente de internet e da disponibilidade do serviço, e precisa confirmar antes se o sistema que a clínica usa aceita esse fluxo. Faça esse teste antes de assinar contrato, junto com as demais perguntas que se faz a um software de clínica.

Um certificado por profissional: por que o e-CNPJ da clínica não resolve

Documento clínico é ato pessoal. O laudo, a receita e a evolução respondem por um CRM ou um CRO específico, e é esse vínculo que o certificado precisa provar. O e-CNPJ prova que a empresa emitiu algo, e isso não substitui a autoria profissional em nenhuma hipótese.

Compartilhar token ou senha de A1 entre profissionais é pior do que não assinar. Destrói o não repúdio, porque qualquer assinatura passa a ser contestável ("não fui eu, três pessoas usavam aquele arquivo"), cria exposição de dado sensível sob a ótica da LGPD e ainda abre flanco disciplinar no conselho. Se duas pessoas podem assinar como uma, o documento perde justamente o que se pagou para ter.

O cálculo do custo real, então, é simples: número de profissionais que assinam, multiplicado pelo tipo de certificado, dividido pela validade. Uma clínica odontológica com 5 dentistas atendendo mais 1 responsável técnico que também atende precisa de 6 e-CPF, mais 1 e-CNPJ para a parte fiscal, totalizando 7 certificados. A recepção, a auxiliar e a gerente não entram nessa conta: elas precisam de perfil de acesso no software para dentistas, não de certificado.

Vale um alerta na direção oposta: não compre certificado para profissional que não assina documento eletrônico. Quem só atende, registra em prontuário assinado por outro fluxo ou não emite laudo pode ficar fora, ao menos até a clínica migrar de fato para o modelo sem papel.

Certificado digital, TISS e faturamento de convênios

No ciclo de faturamento, o certificado aparece em dois momentos: na autenticação da clínica no webservice da operadora, que estabelece o canal seguro, e na integridade das mensagens e transações trocadas no padrão. Sem certificado válido, o envio não sai, e o que não sai não fatura.

É aqui que o A1 quase sempre vence. Transmissão de lote é rotina automatizada, roda em horário que ninguém escolheu e não pode depender de token plugado. Pior: o prejuízo do certificado vencido não aparece no dia. Aparece 30 dias depois, quando o lote volta glosado ou simplesmente nunca entrou, e você descobre que perdeu um mês de recebimento por uma data no calendário.

Rotina que evita isso: coloque a conferência da validade do certificado dentro do fechamento mensal do faturamento, na mesma checagem em que você olha glosas e guias pendentes. É um item de trinta segundos que protege o mês inteiro, e combina bem com o roteiro de preenchimento de guia TISS e prevenção de glosa. No Transfermed, faturamento de convênios e guias TISS ficam no mesmo sistema em que já estão prontuário e laudo, o que ao menos concentra num lugar só a conferência do que foi enviado e do que voltou.

Receita, atestado, prontuário e laudo: o que cada documento exige

Esta é a tabela que resolve a maior parte das dúvidas do dia a dia. Ela vale como orientação de partida, não como parecer.

Dois lembretes sobre guarda. A Resolução CFM 1.821/2007 trata da preservação dos prontuários e estabelece prazo mínimo de 20 anos a partir do último registro. Documento que precisa durar duas décadas se beneficia de carimbo do tempo, porque em algum momento o certificado usado para assinar já vai ter vencido, e o carimbo é o que prova que a assinatura era válida no instante em que foi feita.

O segundo: confirme a exigência vigente com o seu conselho regional e com a contabilidade antes de comprar. Regra de prescrição eletrônica e requisito de operadora mudam com frequência, e o custo de descobrir errado é uma emissão jogada no lixo. Se a clínica ainda está saindo do papel, vale ler antes como digitalizar prontuário sem parar o atendimento, porque assinatura é a última etapa dessa transição, não a primeira.

Compra, emissão e renovação sem parar a agenda

O caminho é sempre o mesmo:

1. Escolha uma AC credenciada pelo ITI. Confira a lista oficial, não o anúncio patrocinado.
2. Contrate o tipo certo (e-CPF ou e-CNPJ, A1, A3 ou nuvem) e informe se precisa de certificado de atributo com o registro no conselho.
3. Valide sua identidade presencialmente em uma AR ou por videoconferência, quando a AC oferece essa modalidade.
4. Emita no computador que vai usar (A1) ou na mídia homologada (A3). Para o atributo, tenha o número de registro no conselho em mãos.
5. Faça o backup do A1 na hora, em local controlado, e defina uma senha forte que não seja a mesma do sistema da clínica.

Na prática, entre contratar e ter o certificado emitido costumam se passar de 1 a 5 dias úteis, dependendo da agenda de validação. Isso significa que deixar para a véspera do vencimento é planejar uma parada. Sobre investimento, compare o A1 anual com o A3 somando a mídia, e confirme o preço vigente direto na AC, porque muda por promoção e por canal.

Coloque na agenda da clínica um lembrete 30 dias antes do vencimento de cada certificado, com responsável nomeado. Uma planilha simples com profissional, tipo, mídia, data de emissão e data de validade já evita 90% dos sustos, e cabe bem na rotina de checklist da secretária.

Por fim, tenha um procedimento de revogação. Perda, roubo, suspeita de cópia do arquivo, saída de sócio ou desligamento de profissional pedem revogação imediata junto à AC, no mesmo dia. Certificado revogado deixa de validar assinaturas novas, e é a única forma de encerrar o risco de uso indevido.

Segurança e LGPD: o certificado é a identidade da clínica

Senha de A1 e PIN de token são intransferíveis. Nada de anotação colada no monitor, nada de senha combinada com a recepção "para adiantar", nada de compartilhamento em grupo de mensagem. Assinatura com credencial compartilhada é, para efeito prático, assinatura sem autor.

Sobre a guarda do arquivo A1, dois lados da mesma regra. Onde salvar: em local sob controle da clínica, com acesso restrito e senha própria, mais uma cópia de recuperação guardada em ambiente protegido. Onde nunca salvar: caixa de e-mail, aplicativo de mensagem, pasta compartilhada aberta, pendrive solto na gaveta, área de trabalho de máquina usada por várias pessoas.

Do lado do sistema, o que reduz risco é acesso por perfil e trilha de quem assinou o quê e quando. Dado de saúde é dado pessoal sensível na LGPD, e uma assinatura mal controlada não é só um problema de conselho: é um incidente de segurança em potencial, com dever de apuração e possível comunicação. O tema aparece com mais detalhe na discussão sobre prontuário eletrônico e LGPD.

Como camada complementar, o Transfermed trabalha com acesso por perfil de usuário, tráfego criptografado HTTPS/TLS e backup automático, alinhado à LGPD. Isso protege o ambiente e o registro de uso, mas não muda o essencial: a guarda do certificado é responsabilidade pessoal do profissional, e nenhum sistema assume isso no seu lugar.

Seis erros que custam caro (e como evitar cada um)

• Comprar A3 e descobrir depois que o sistema é web e metade da equipe usa Mac. Teste a assinatura no ambiente real antes de fechar a compra, com o equipamento que a clínica usa de verdade.
• Comprar A1 e espalhar o arquivo em quatro computadores sem controle. Registre onde cada cópia está instalada e remova ao trocar de máquina ou desligar alguém.
• Um certificado único para a clínica inteira. Barato na planilha, caro na primeira contestação de laudo ou receita.
• Descobrir o vencimento no dia do fechamento do faturamento. Alarme com 30 dias de antecedência, por profissional.
• Bloquear o token e perder três dias de laudo. Anote o PUK em local seguro, e nunca fique tentando PIN por adivinhação.
• Confundir "assinar na tela" com assinatura de validade jurídica. Desenho de assinatura em tablet, sem certificado, não é assinatura qualificada. Para controlado e prontuário certificado, não serve.

Resumo da decisão em cinco linhas

• A1 se você assina de vários lugares, em volume, ou se o sistema precisa assinar e transmitir por conta própria.
• A3 se você assina pouco, sempre da mesma máquina Windows, e quer a chave privada inviolável.
• Certificado em nuvem quando a assinatura precisa acontecer do celular, sem arquivo circulando nem hardware.
• Um e-CPF por profissional que assina, com certificado de atributo do CRM ou CRO. O e-CNPJ é da empresa e é assunto separado.
• Renove com 30 dias de antecedência e revogue no mesmo dia em caso de perda, roubo ou desligamento.

Próximo passo prático, para hoje: abra uma planilha com uma linha por profissional que assina documento, e três colunas apenas (o que ele assina, de onde assina, quantas vezes por semana). Em quinze minutos essa tabela decide sozinha entre A1, A3 e nuvem, e mostra quantos certificados a clínica realmente precisa comprar.

Perguntas frequentes

Preciso de certificado digital para atender no consultório?

Para atender, não. O certificado se torna necessário quando você emite documento eletrônico com exigência de assinatura qualificada: receita de medicamento sob controle especial, prontuário eletrônico sem papel em sistema certificado SBIS/CFM em nível NGS2, laudo distribuído ao solicitante e transmissão de guias TISS pelos webservices das operadoras. Agendar, confirmar consulta, anexar exame e compartilhar imagem não exigem certificado, e sim controle de acesso por perfil.

Qual a diferença entre certificado digital A1 e A3?

A diferença é onde fica a chave privada, não o valor jurídico: as duas produzem assinatura qualificada ICP-Brasil com o mesmo peso. O A1 é um arquivo protegido por senha, instalável em mais de um computador, com validade típica de 12 meses. O A3 guarda a chave dentro de um token USB ou cartão, que não pode ser copiado, exige driver e leitora, funciona em um dispositivo por vez e vale de 1 a 3 anos.

O certificado digital da clínica serve para todos os profissionais?

Não. O e-CNPJ identifica a empresa e cobre obrigações fiscais, trabalhistas e, em muitos fluxos, a transmissão de lotes ao convênio. Ele não assina laudo, receita ou prontuário no lugar do médico ou do dentista, porque quem responde pelo ato é o CRM ou o CRO. Cada profissional que assina documento clínico precisa do próprio e-CPF, e compartilhar token ou senha elimina o não repúdio e cria risco disciplinar e de LGPD.

Certificado digital A1 pode ser instalado em mais de um computador?

Sim, e essa é a principal vantagem operacional dele: o mesmo A1 pode ficar na recepção, na sala clínica, no notebook de casa e na filial, funcionando em paralelo. É o que viabiliza assinatura em lote de laudos e transmissão automática de guias TISS sem alguém presente. Em troca, você assume o controle das cópias: mantenha um registro de onde o arquivo está instalado e remova ao trocar de máquina ou desligar um colaborador.

Certificado digital funciona em sistema na nuvem, no celular e no Mac?

O A1 costuma funcionar bem nesses cenários, porque não depende de hardware nem de driver. O A3 é o problema: token e leitora exigem gerenciador criptográfico instalado e a compatibilidade fora do Windows é irregular, o que gera atrito em Mac, Chromebook, celular e terminal compartilhado. Se a assinatura precisa sair do celular, avalie o certificado em nuvem com assinatura remota, confirmando antes se o sistema da clínica aceita esse fluxo.

Qual a validade do certificado digital e como renovar sem parar o atendimento?

O A1 costuma valer 12 meses e o A3 de 1 a 3 anos. Entre contratar e ter o certificado emitido normalmente se passam de 1 a 5 dias úteis, por causa da validação de identidade presencial ou por videoconferência. Programe a renovação com 30 dias de antecedência, com responsável nomeado, e inclua a conferência da data de validade no fechamento mensal do faturamento, para não descobrir o vencimento no dia do envio do lote.