Resumo em linguagem simples
O essencial em 8 pontos (a versão completa vale mais, mas se você só ler isto, leia isto):
- Coletamos apenas o necessário para a sua jornada de tratamento;
- Seus dados de saúde são dados sensíveis e recebem a proteção mais alta que temos;
- Nunca vendemos seus dados, a ninguém, para nada;
- Não usamos seus dados de saúde para publicidade, nem poderíamos: a propaganda de produtos de cannabis ao público é proibida;
- Compartilhamos dados só com quem participa da sua jornada (médico, ANVISA, pagamento, fornecedor que você escolher) e só o mínimo;
- Nunca pedimos suas senhas, inclusive a do gov.br;
- Você pode acessar, corrigir e pedir a exclusão dos seus dados a qualquer momento, respondemos em até 15 dias;
- Se algo der errado com seus dados, avisamos você e a ANPD em até 3 dias úteis.
1. Quem é o controlador
A controladora dos dados pessoais tratados na plataforma é Hub Cannabis Serviços de Tecnologia Ltda., CNPJ 00.000.000/0001-00, com sede em Avenida Exemplo, 1.000, sala 101, Pinheiros, São Paulo/SP, CEP 00000-000 (“Hub Cannabis”, “nós”).
Esta política se aplica ao site, subdomínios, aplicativos e canais de atendimento da Hub Cannabis, e observa a Lei Geral de Proteção de Dados, LGPD (Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014), o Código de Defesa do Consumidor e as resoluções da Autoridade Nacional de Proteção de Dados (ANPD).
2. Nossos papéis em cada etapa
Em uma jornada de saúde, mais de uma organização trata os seus dados, em papéis diferentes. Para você saber a quem recorrer em cada etapa:
| Etapa | Papel da Hub | Quem mais trata os dados |
|---|---|---|
| Navegação no site, cadastro e atendimento | Controladora | Operadores de infraestrutura (nuvem, e-mail) |
| Teleconsulta e registro clínico (prontuário) | Operadora da infraestrutura da consulta | Médico Parceiro, controlador dos seus dados clínicos, com os deveres éticos e de sigilo da profissão |
| Pedido de Autorização de Importação | Operadora, agindo por mandato seu | ANVISA, controladora no processo administrativo |
| Compra e entrega do produto (se você optar) | Controladora do repasse mínimo de dados | Fornecedor e transportadora, controladores nas suas etapas |
| Pagamentos | Controladora | Instituição de pagamento, controladora dos dados financeiros |
3. Quais dados tratamos
Dados que você nos fornece:
- Cadastrais: nome completo, CPF, data de nascimento, e-mail, telefone e endereço;
- Documentais (quando necessários ao pedido na ANVISA): documento de identidade e prescrição médica, que inclui dados do profissional prescritor (nome, especialidade, registro no conselho);
- De saúde (sensíveis): questionário de triagem, histórico e queixas relatadas na consulta, laudos e receitas. Os registros clínicos da consulta pertencem à relação médico-paciente e ficam sob a guarda do médico (seção 2);
- De responsável legal, quando o paciente for criança, adolescente ou pessoa incapaz.
Dados gerados pelo uso da plataforma: registros de acesso (IP, data e hora, conforme exige o Marco Civil da Internet), dispositivo e navegador, páginas visitadas, registros de atendimento e de aceites, e cookies (seção 12).
Dados recebidos de terceiros: confirmação de pagamento (da instituição de pagamento), andamento do processo (da ANVISA) e status de entrega (do fornecedor/transportadora, quando você optar pela intermediação).
O que não coletamos
Seguimos o princípio da necessidade (art. 6º, III, da LGPD): não pedimos dado que não usamos. Não coletamos senhas de contas governamentais (gov.br), não acessamos sua conta gov.br e não pedimos biometria. Se algum formulário nosso parecer pedir mais do que o necessário, questione, queremos saber: privacidade@hubcannabis.com.br.
4. Finalidades e bases legais
Cada uso dos seus dados tem uma finalidade específica e uma base legal da LGPD:
| Para quê | Quais dados | Base legal (LGPD) |
|---|---|---|
| Criar sua conta, autenticar e atender você | Cadastrais e de contato | Execução de contrato (art. 7º, V) |
| Agendar e viabilizar a teleconsulta | Cadastrais e de agenda | Execução de contrato (art. 7º, V) |
| Atendimento clínico e registro em prontuário | Dados de saúde | Tutela da saúde, por profissional de saúde (art. 11, II, “f”), controlador: Médico Parceiro |
| Triagem e acompanhamento pós-consulta pela Hub | Dados de saúde | Consentimento específico e destacado (art. 11, I), colhido em separado, revogável a qualquer momento |
| Protocolar seu pedido na ANVISA | Cadastrais, documentais e prescrição | Execução de contrato/mandato (art. 7º, V) e cumprimento de obrigação regulatória (art. 7º, II; art. 11, II, “a”) |
| Emitir notas fiscais e cumprir obrigações contábeis | Cadastrais e de pagamento | Obrigação legal (art. 7º, II) |
| Segurança da plataforma e prevenção a fraudes | Registros de acesso e uso | Legítimo interesse (art. 7º, IX) e prevenção à fraude (art. 11, II, “g”) |
| Enviar conteúdo educativo e novidades do serviço | Nome e e-mail | Consentimento (art. 7º, I), com descadastramento em um clique |
| Defesa em processos administrativos e judiciais | Os estritamente necessários | Exercício regular de direitos (art. 7º, VI) |
Quando usamos legítimo interesse, fazemos e documentamos o teste de balanceamento exigido pela LGPD, e você pode se opor a esse tratamento (seção 11). Não tomamos decisões automatizadas que afetem seus interesses (art. 20), triagens e análises passam por gente de verdade.
5. Crianças e adolescentes
Dados de crianças e adolescentes são tratados no melhor interesse deles, conforme o art. 14 da LGPD:
- o cadastro e a contratação são feitos exclusivamente pelo responsável legal, com consentimento específico e destacado quando exigido;
- coletamos apenas o mínimo necessário ao atendimento e ao processo regulatório;
- nenhum dado de criança ou adolescente é usado para comunicação de marketing.
6. Com quem compartilhamos
Compartilhamos dados apenas com quem participa da sua jornada, no mínimo necessário a cada etapa:
- Médicos Parceiros: dados cadastrais e de saúde necessários à consulta, eles são controladores dos registros clínicos e sujeitos ao sigilo profissional;
- ANVISA: dados exigidos pela regulamentação para o pedido de Autorização de Importação, incluindo a prescrição e os dados do prescritor;
- Fornecedor e transportadora (somente se você optar pela intermediação da compra): nome, autorização, prescrição e endereço de entrega, nada além disso;
- Instituições de pagamento: dados necessários ao processamento da transação. Não armazenamos o número completo do seu cartão;
- Operadores de tecnologia: provedores de nuvem, e-mail, telemedicina e atendimento, sempre sob contrato que exige padrão de proteção equivalente ao desta política (art. 39 da LGPD);
- Autoridades públicas: quando houver obrigação legal ou ordem de autoridade competente, e, nesses casos, avaliamos o pedido e fornecemos apenas o estritamente devido.
O que nunca fazemos
Não vendemos, alugamos ou cedemos seus dados pessoais para fins comerciais. Não compartilhamos seus dados de saúde para publicidade, além de ser incompatível com esta política, a propaganda de produtos de cannabis ao público geral é vedada pela regulamentação sanitária.
7. Transferência internacional
Alguns dos nossos operadores de tecnologia (por exemplo, provedores de hospedagem em nuvem) mantêm servidores fora do Brasil, especialmente nos Estados Unidos. Quando isso acontece, a transferência segue o art. 33 da LGPD e o Regulamento de Transferências Internacionais da ANPD (Resolução CD/ANPD nº 19/2024), por meio de:
- cláusulas contratuais padrão aprovadas pela ANPD, incorporadas aos contratos com esses fornecedores; ou
- transferência para países ou organismos com grau de proteção reconhecido como adequado pela ANPD.
Independentemente de onde o dado esteja armazenado, ele continua protegido por esta política e pela LGPD. A lista atualizada de suboperadores internacionais pode ser solicitada ao nosso encarregado (seção 13).
8. Por quanto tempo guardamos
| Dado | Prazo de guarda | Por quê |
|---|---|---|
| Cadastro e histórico de atendimento | Enquanto a conta existir + 5 anos após o encerramento | Prazos de defesa em relações de consumo (CDC) |
| Registros clínicos (prontuário) | 20 anos, sob guarda do médico/serviço de saúde | Lei nº 13.787/2018 e normas do CFM |
| Documentos do processo na ANVISA | Vigência do mandato + 5 anos | Comprovação regulatória e defesa de direitos |
| Dados fiscais e de pagamento | 5 anos | Legislação tributária |
| Registros de acesso à aplicação (logs) | 6 meses | Art. 15 do Marco Civil da Internet |
| Cookies | Conforme tabela da seção 12 | — |
Vencidos os prazos, os dados são eliminados de forma segura ou anonimizados. Se você pedir a exclusão antes (seção 11), eliminamos tudo o que não estivermos legalmente obrigados a manter, e informamos exatamente o que precisou ser retido, por qual prazo e com qual fundamento.
9. Como protegemos os dados
Adotamos medidas técnicas e administrativas proporcionais à sensibilidade dos dados que tratamos (art. 46 da LGPD):
- criptografia em trânsito (TLS) em toda a plataforma;
- criptografia em repouso para dados sensíveis, como documentos e prescrições;
- controle de acesso por função e princípio do menor privilégio, cada pessoa da equipe acessa apenas o necessário ao seu trabalho;
- autenticação multifator obrigatória para acessos administrativos;
- registro e auditoria dos acessos a dados sensíveis;
- backups criptografados e ambientes segregados;
- contratos com todos os operadores exigindo medidas de segurança equivalentes, com responsabilidade solidária nos termos da LGPD;
- treinamento periódico da equipe em privacidade e segurança.
Nenhum sistema é 100% invulnerável. Quem promete isso não está sendo honesto. Por isso, além de prevenir, mantemos um plano de resposta a incidentes (seção 10).
10. Incidentes de segurança
Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante a você, nós comunicaremos a ANPD e os titulares afetados em até 3 dias úteis a partir do conhecimento do incidente, como determina o Regulamento de Comunicação de Incidentes da ANPD (Resolução CD/ANPD nº 15/2024), informando:
- a natureza dos dados afetados;
- o risco envolvido e as medidas que você pode tomar;
- as medidas que adotamos para conter e corrigir o problema.
Mantemos registro interno de todos os incidentes, inclusive dos que não exigem comunicação, como parte do nosso programa de governança.
11. Seus direitos e como exercê-los
Como titular de dados, você pode (art. 18 da LGPD):
- confirmar se tratamos dados seus e acessá-los;
- corrigir dados incompletos, inexatos ou desatualizados;
- pedir anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
- pedir a portabilidade dos dados a outro fornecedor;
- pedir a eliminação dos dados tratados com base no seu consentimento;
- saber com quem compartilhamos seus dados;
- saber as consequências de não dar um consentimento, e negá-lo sem medo: nunca condicionamos o atendimento a consentimentos que não sejam necessários;
- revogar consentimentos a qualquer momento;
- opor-se a tratamentos baseados em legítimo interesse.
Como exercer: escreva para privacidade@hubcannabis.com.br ou use a Central LGPD. O processo é gratuito e funciona assim:
- confirmamos a sua identidade com o mínimo de fricção possível, é uma proteção para que ninguém exerça direitos em seu nome;
- pedidos de confirmação e acesso: resposta em formato simplificado imediatamente ou declaração completa em até 15 dias (art. 19 da LGPD);
- demais pedidos (correção, eliminação, portabilidade, oposição): respondemos em até 15 dias; se algo impedir o atendimento, explicamos o motivo e o fundamento por escrito.
Se não ficar satisfeito com a nossa resposta, você tem o direito de peticionar à ANPD, Autoridade Nacional de Proteção de Dados e aos órgãos de defesa do consumidor.
13. Encarregado (DPO)
Nosso canal de proteção de dados é conduzido pelo(a) Encarregado(a) de Proteção de Dados da Hub Cannabis, designado(a) nos termos do art. 41 da LGPD e da Resolução CD/ANPD nº 18/2024:
- E-mail: privacidade@hubcannabis.com.br
- Atendimento: segunda a sexta, das 9h às 18h (exceto feriados)
O encarregado é o seu ponto de contato para qualquer assunto de privacidade, e também o canal da ANPD com a Hub.
14. Alterações desta política
Esta política pode ser atualizada para refletir mudanças legais, regulatórias ou dos nossos serviços. Toda versão tem número e data no topo da página. Mudanças relevantes, por exemplo, novo tipo de dado coletado ou novo compartilhamento, serão avisadas com pelo menos 10 dias de antecedência por e-mail ou aviso destacado na plataforma; quando a lei exigir, pediremos novo consentimento. O histórico de versões pode ser solicitado ao encarregado.
15. Contato
Privacidade e proteção de dados: privacidade@hubcannabis.com.br · Demais assuntos: contato@hubcannabis.com.br. Veja também os Termos de Uso e a Central LGPD.
A Hub Cannabis é uma plataforma de facilitação de acesso à saúde. Não comercializamos produtos à base de cannabis nem garantimos prescrição: a indicação de qualquer tratamento é decisão exclusiva do médico, conforme avaliação clínica individual. O acesso a produtos à base de cannabis no Brasil é regulado pela ANVISA.