Desenhando a camada de confiança para a saúde domiciliar

A real restrição da saúde domiciliar é a confiança. O atrito é só o sintoma visível, e a causa raiz vai mais profundo.

Um paciente abre a porta da própria casa para um estranho. Isso não é uma entrega de comida. É alguém tocando seu corpo, colhendo seu sangue, vacinando seu filho.

O MedMe já tinha um ecommerce farmacêutico funcionando. O que não existia era um produto sob demanda com identidade profissional verificada, proteção de pagamento e responsabilidade cobrindo os três lados da transação simultaneamente: paciente, profissional e clínica.

As telas originais ficaram com a empresa. Tudo aqui é uma reconstrução do zero para o portfólio.

Três atores estão ativos simultaneamente em cada atendimento. Cada um tem um conjunto diferente de preocupações. Desenhar para um sem considerar os outros produz um sistema que falha nas costuras.

Cada decisão de design neste produto responde a pelo menos um desses medos. O sistema de tokens e a lógica de pareamento endereçam os três simultaneamente: foi aí que a maior parte da complexidade pousou.

Apps de agendamento de saúde costumam mostrar todas as unidades antes de checar disponibilidade. Você escolhe uma com base em distância ou reconhecimento de nome. Depois procura um horário e descobre que o slot que você queria já foi. Você volta. Escolhe outra unidade. Tenta de novo.

A arquitetura de informação é o que está quebrado aqui, e é a falha estrutural por trás da maior parte do abandono de agendamento na saúde digital.

27% dos pacientes trocaram de prestador especificamente por atrito digital (McKinsey, 2025). Eles não abandonaram o processo. Foram para um concorrente.

O MedMe inverte isso: o paciente escolhe quando, e o sistema mostra apenas o que está disponível naquele horário exato.

O paciente escolhe quando quer o serviço. O sistema só mostra clínicas com disponibilidade confirmada naquele horário específico. Slots que não podem ser cumpridos não existem na interface. Nunca são oferecidos.

Antes de escolher o horário, o paciente escolhe o tipo de atendimento: domiciliar ou na clínica. Esse único toggle filtra tudo o que vem depois: quais clínicas aparecem, quais listas de equipamento se aplicam, o que o cartão do profissional mostra. Atendimentos domiciliares carregam o protocolo completo de tokens. Atendimentos na clínica usam um check-in simplificado. A IA de agendamento é a mesma nos dois casos.

A própria seleção de horário se divide em três subetapas: seletor de mês, depois dia, depois horários disponíveis. Cada etapa reduz o espaço de escolha antes que a próxima se abra. O paciente nunca enfrenta uma grade com todos os horários abertos. Ele chega a uma lista curta e filtrada para o dia específico que já escolheu.

A clínica escolhe o profissional, não o paciente: o único modelo que se sustenta dado como a responsabilidade legal realmente funciona na saúde.

A certificação e a reputação da clínica são o que o paciente está confiando ao agendar. Se a clínica designa o profissional, a responsabilidade fica em um só lugar. Se o paciente escolhe, a responsabilidade se fragmenta e ninguém é dono do resultado.

Quando uma clínica não tem profissional disponível, um pool pré-aprovado de profissionais terceirizados preenche a lacuna. Mesmas certificações: clínicas registradas na ANVISA, profissionais licenciados pelo CRBM. Mesma triagem. Para o paciente, o cartão parece idêntico. Para a clínica, a designação via pool é sinalizada no painel operacional. A resposta nunca é "indisponível".

Depois do atendimento, os três atores se avaliam mutuamente. O paciente avalia o profissional. O profissional avalia o paciente. A clínica avalia a execução do profissional. Uma avaliação de três lados cria responsabilidade em cada ponto da cadeia, incluindo a avaliação final que o paciente deixa.

Uma coisa que isso não resolve totalmente: quando um profissional do pool entrega o serviço em vez da própria equipe da clínica, a clínica está avaliando alguém que não contratou. Se os operadores se engajam com esse feedback da mesma forma para designações via pool e para a própria equipe foi uma questão que ficou aberta.

Todo horário mostrado ao paciente já inclui 60 minutos de antecedência embutidos: a janela que o profissional precisa para buscar equipamento na clínica antes de se deslocar. Se essa janela colapsa por causa de um agendamento de última hora ou uma confirmação tardia, o slot desaparece do seletor antes mesmo de ser oferecido. O paciente nunca vê um horário indisponível.

Mostrar um horário que não pode ser cumprido é pior do que não mostrar nenhum horário. Um agendamento confirmado seguido de cancelamento destrói a confiança mais rápido do que simplesmente mostrar o horário como indisponível.

Três tokens, cada um resolvendo um problema de forma independente, se conectam numa cadeia que paciente, profissional e clínica usam do agendamento até a liberação do pagamento.

O check-in bilateral remete a um padrão que já existe em serviços que os pacientes usam diariamente: o PIN bilateral do Uber, a verificação de identidade do Airbnb. A diferença é o contexto: aqui é uma casa particular e um procedimento médico.

O abandono de checkout na saúde atinge o pico no momento em que o usuário percebe quantas etapas ainda restam. Um indicador de progresso persistente de 6 etapas torna o ponto final visível desde a primeira tela. O formulário se divide em três subetapas que abrem sequencialmente, cada uma se desbloqueando apenas quando a atual é válida. Menos campos visíveis ao mesmo tempo, sem nenhuma informação de fato escondida. A redução para 12-14 campos segue o benchmark da Baymard para a quantidade de campos a partir da qual o abandono cai de forma significativa.

O pagamento multimétodo permite que o paciente divida o total entre o saldo MedMe e um segundo método: Pix ou cartão. O campo de cupom fica na mesma tela da seleção de método de pagamento. Inserir um código atualiza o total imediatamente, antes de confirmar um método. Uma barra visual de divisão mostra quanto cada método cobre. Sem cálculo mental.

57% dos pacientes dizem que a transparência de preço influencia onde buscam atendimento (McKinsey, 2025). A nota de garantia na confirmação mostra ao paciente o que está pagando, para quem, e que o dinheiro fica retido até a confirmação do Token 3. Abaixo disso, o protocolo de tokens é reafirmado em linguagem simples: "Vita Clinic designa um profissional", "Credenciais enviadas para revisão", "Faça o check-in digital no dia". A visibilidade do preço é um critério de seleção antes mesmo de o paciente agendar.

O produto sob demanda não existia antes deste projeto. Os números abaixo são projeções fundamentadas em benchmarks publicados, não dados pós-lançamento. O produto foi construído para uma empresa que não pôde compartilhar resultados.

Três padrões de confiança de serviços que os pacientes já usam, adaptados para o contexto médico:

Custo oculto é o principal fator de saída no ecommerce (McKinsey, 2025). A garantia torna a estrutura de custo transparente: o paciente sabe exatamente o que está pagando, para quem, e quando é liberado.

Esse também foi o projeto em que atuei como único designer dentro de um time in-house maior: conversa diária com o PM sobre fluxos e regras de negócio, e tanto quanto isso com os desenvolvedores front-end traduzindo as specs em produto. Essa proporção, um designer pra vários engenheiros, foi o que me empurrou a fazer handoffs detalhados o suficiente pra construir a partir deles sem precisar de uma conversa de acompanhamento.