Política de Privacidade e Proteção de Dados
Última atualização: 18 de fevereiro de 2026
1. Introdução e Identificação do Controlador
A ABRACANM - Associação Brasileira de Cannabis Medicinal (CNPJ: 59.859.467/0001-34), com sede na Quadra QS 1 Rua 212, Edif Connect Towers, Brasília – DF, na qualidade de controladora de dados pessoais, nos termos do art. 5º, VI, da LGPD, está comprometida com a proteção da privacidade e dos dados pessoais de seus associados, pacientes, médicos prescritores, visitantes e demais usuários de seus serviços.
Esta Política de Privacidade descreve de forma transparente como coletamos, utilizamos, armazenamos, compartilhamos e protegemos suas informações pessoais, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 - LGPD), o Marco Civil da Internet (Lei nº 12.965/2014), a Resolução CFM nº 2.314/2022 (Telemedicina) e demais legislações aplicáveis.
Importante: Ao utilizar nossa plataforma, você declara que leu, compreendeu e concordou com esta Política de Privacidade. Caso não concorde com qualquer disposição, solicitamos que não utilize nossos serviços.
2. Dados Pessoais que Coletamos
Coletamos dados pessoais estritamente necessários para as finalidades descritas nesta política, respeitando o princípio da minimização (art. 6º, III, LGPD):
2.1. Dados de Identificação do Paciente/Associado
- Nome completo
- CPF (para emissão de carteirinha e documentos fiscais)
- Data de nascimento
- Endereço de e-mail
- Número de telefone/WhatsApp
- Documento de identidade (RG ou CNH)
- Endereço residencial completo (CEP, rua, número, complemento, bairro, cidade, estado)
- Foto de perfil (opcional)
2.2. Dados Sensíveis de Saúde (Art. 11, LGPD)
Estes dados são coletados exclusivamente mediante consentimento específico e destacado, ou quando necessário para tutela da saúde, conforme art. 11, II, “f”, da LGPD.
- Patologia ou condição médica (com código CID-10)
- Histórico de uso de cannabis medicinal
- Documentos médicos (laudos, exames, relatórios clínicos)
- Informações da pré-anamnese (sintomas, tratamentos prévios, comorbidades, medicamentos em uso)
- Prescrições médicas emitidas pela plataforma
- Registros de teleconsultas realizadas (data, hora, duração - sem gravação de vídeo/áudio)
- Preferências de acompanhamento médico e terapêutico
2.3. Dados do Médico Prescritor
- Nome completo e dados profissionais
- CRM (Conselho Regional de Medicina) e estado de registro
- Especialidade médica e qualificações
- Foto profissional
- Dados de contato profissional
- Chave PIX e dados bancários para recebimento de honorários
- Disponibilidades de agenda (dias e horários)
- Documento do CRM para verificação
2.4. Dados Financeiros e de Pagamento
- Informações de pagamento via PIX (processados pela Woovi/OpenPix)
- Histórico de transações e pagamentos
- Dados para emissão de cobranças (QR Codes PIX)
- Registros de split de pagamento (divisão entre plataforma e médico)
Nota: Não armazenamos dados de cartão de crédito. Os pagamentos são processados exclusivamente via PIX através de gateway de pagamento certificado (Woovi/OpenPix).
2.5. Dados de Comunicação via WhatsApp
- Número de telefone para envio de notificações
- Registros de mensagens enviadas (tipo, data, status de entrega)
- Preferências de comunicação
Nota: Utilizamos a plataforma Evolution API para envio de mensagens automatizadas relacionadas ao seu tratamento (lembretes de consulta, confirmações de pagamento, orientações). Não compartilhamos conversas privadas com terceiros.
2.6. Dados de Acesso e Navegação
- Credenciais de acesso (e-mail e senha criptografada com bcrypt)
- Tokens de autenticação (JWT)
- Registros de acesso à plataforma (logs de auditoria)
- Endereço IP e informações do dispositivo
- Dados de cookies e tecnologias similares (ver nossa Política de Cookies)
3. Finalidades do Tratamento de Dados
Utilizamos seus dados pessoais para as seguintes finalidades específicas, conforme art. 6º da LGPD:
- a)Cadastro e gestão de associados e médicos - Registro, autenticação, verificação de identidade e gerenciamento de contas
- b)Verificação de CRM - Validação do registro profissional de médicos prescritores junto aos conselhos regionais
- c)Pré-anamnese e avaliação - Coleta de informações clínicas para avaliação inicial do paciente
- d)Marketplace de médicos - Apresentação de médicos qualificados para agendamento de consultas
- e)Agendamento e teleconsultas - Gerenciamento de agenda, confirmação de horários e realização de consultas por videoconferência via Jitsi Meet
- f)Prescrições digitais - Emissão, gerenciamento e armazenamento de prescrições de cannabis medicinal
- g)Processamento de pagamentos - Geração de cobranças PIX, processamento de pagamentos e split de valores entre plataforma e médicos
- h)Comunicação operacional - Envio de notificações por WhatsApp e e-mail (lembretes de consulta, confirmações de pagamento, atualizações do tratamento)
- i)Emissão de carteirinhas - Geração de carteirinha digital de associado com QR Code para verificação
- j)Programa de indicações - Gestão do sistema gamificado de indicações e recompensas
- k)CRM administrativo - Gestão do funil de atendimento, acompanhamento da jornada do paciente e campanhas informativas
- l)Cumprimento legal - Atendimento de obrigações legais e regulatórias (ANVISA, Secretarias de Saúde, CFM)
- m)Estatísticas e melhorias - Elaboração de relatórios agregados e anonimizados para melhoria contínua dos serviços
4. Base Legal para Tratamento (Art. 7º e 11, LGPD)
O tratamento de seus dados pessoais é realizado com fundamento nas seguintes hipóteses legais previstas na LGPD:
| Base Legal | Aplicação |
|---|---|
| Consentimento (Art. 7º, I / Art. 11, I) | Dados sensíveis de saúde, comunicações via WhatsApp, marketing e programa de indicações |
| Execução de contrato (Art. 7º, V) | Prestação dos serviços de associação, agendamento de consultas, processamento de pagamentos |
| Obrigação legal (Art. 7º, II) | Atendimento de exigências regulatórias (CFM, ANVISA), retenção de prontuários médicos, obrigações fiscais |
| Tutela da saúde (Art. 7º, VIII / Art. 11, II, “f”) | Procedimentos realizados por profissionais de saúde, teleconsultas, prescrições médicas |
| Proteção da vida (Art. 7º, VII) | Situações de emergência médica |
| Exercício regular de direitos (Art. 7º, VI) | Defesa em processos judiciais, administrativos ou arbitrais |
| Legítimo interesse (Art. 7º, IX) | Segurança da plataforma, prevenção de fraudes, melhoria dos serviços (sempre com avaliação de impacto) |
5. Relatório de Impacto à Proteção de Dados — RIPD (Art. 38, LGPD)
Conforme o art. 38 da LGPD, a Autoridade Nacional de Proteção de Dados (ANPD) poderá determinar ao controlador a elaboração de Relatório de Impacto à Proteção de Dados Pessoais (RIPD), especialmente quando o tratamento envolver dados sensíveis ou de alto risco. A ABRACANM mantém um RIPD atualizado de forma proativa, abrangendo as seguintes operações de tratamento:
- •Tratamento de dados sensíveis de saúde — Coleta e processamento de informações clínicas, pré-anamnese, prescrições médicas e histórico de tratamento
- •Dados de teleconsulta — Registros de sessões de telemedicina, metadados de videoconferências e anotações clínicas
- •Processamento automatizado de pagamentos — Geração de cobranças PIX, split de pagamento via webhook e conciliação financeira automatizada
Disponibilidade: O RIPD da ABRACANM está disponível para apresentação à ANPD mediante solicitação, conforme art. 38 da LGPD. O relatório é revisado periodicamente e sempre que houver alterações significativas nas operações de tratamento de dados pessoais.
6. Compartilhamento de Dados
Seus dados pessoais podem ser compartilhados nas seguintes hipóteses, sempre com base legal adequada e respeitando o princípio da necessidade:
| Destinatário | Finalidade | Dados compartilhados |
|---|---|---|
| Médicos prescritores | Consultas e acompanhamento | Nome, contato, dados de saúde, pré-anamnese |
| Woovi/OpenPix | Processamento de pagamentos PIX | Nome, CPF, valor da transação, chave PIX do médico |
| Evolution API | Envio de notificações WhatsApp | Número de telefone, nome (para personalização) |
| Jitsi Meet | Teleconsultas por videoconferência | Nome do participante (para identificação na sala) |
| Órgãos reguladores | Obrigação legal | Dados exigidos por ANVISA, CFM, Secretarias de Saúde |
| Autoridades judiciais | Cumprimento de ordem judicial | Dados determinados pela ordem |
Compromisso: Não comercializamos, vendemos ou alugamos seus dados pessoais a terceiros para fins de marketing ou qualquer outra finalidade não relacionada aos serviços da ABRACANM. Todos os parceiros que acessam dados pessoais são obrigados contratualmente a cumprir a LGPD.
7. Telemedicina e Teleconsultas
As teleconsultas realizadas pela plataforma observam a Resolução CFM nº 2.314/2022:
- Plataforma utilizada: Jitsi Meet (código aberto, sem gravação automática)
- Criptografia: Todas as sessões de vídeo utilizam criptografia ponta a ponta
- Não gravamos: Áudio e vídeo das teleconsultas não são gravados ou armazenados
- Registramos apenas: Data, hora, duração, participantes e status da consulta
- Sala virtual: Cada consulta possui sala exclusiva com ID único, acessível apenas pelos participantes
- Prontuário: As anotações clínicas são de responsabilidade do médico e protegidas por sigilo profissional
8. Pagamentos e Dados Financeiros
O processamento de pagamentos na plataforma funciona da seguinte forma:
- Gateway de pagamento: Woovi/OpenPix, certificado e em conformidade com padrões de segurança PCI-DSS
- Método de pagamento: Exclusivamente PIX, sem armazenamento de dados de cartão
- Split de pagamento: O valor da consulta é dividido automaticamente entre o médico (80%) e a plataforma (20%)
- Chave PIX do médico: Armazenada de forma segura para processamento automático do split
- Comprovantes: Gerados automaticamente e disponibilizados ao paciente e ao médico
- Webhook de confirmação: Notificação automática de pagamento confirmado para liberação de serviços
9. Segurança dos Dados
Adotamos medidas técnicas e organizacionais robustas para proteger seus dados pessoais, conforme art. 46 da LGPD:
9.1. Medidas Técnicas
- Criptografia de dados em trânsito (SSL/TLS) e em repouso (AES-256-GCM para documentos sensíveis)
- Senhas armazenadas com hash bcrypt (salt de 10 rounds)
- Autenticação segura com tokens JWT e expiração configurável
- Controle de acesso baseado em funções (RBAC) - Admin, Médico, Paciente
- Headers de segurança HTTP (Content-Security-Policy, X-Frame-Options, etc.)
- Proteção contra CSRF, XSS e injeção SQL via ORM (Prisma)
- Rate limiting para prevenção de ataques de força bruta
9.2. Medidas Organizacionais
- Logs de auditoria completos para todas as ações críticas
- Mascaramento de dados sensíveis em logs e interfaces administrativas
- Backups regulares e redundância de dados
- Princípio do menor privilégio no acesso a sistemas
- Avaliações periódicas de segurança e vulnerabilidades
- Procedimentos de resposta a incidentes de segurança
10. Retenção e Eliminação dos Dados
Seus dados pessoais serão mantidos pelo período estritamente necessário para cumprir as finalidades para as quais foram coletados, observando os seguintes prazos:
| Tipo de Dado | Período de Retenção | Fundamento |
|---|---|---|
| Dados de cadastro | Vigência + 5 anos após encerramento | Código Civil, Art. 205 |
| Prontuários médicos e prescrições | Mínimo de 20 anos | Resolução CFM nº 1.821/2007 |
| Documentos fiscais e pagamentos | 5 anos | Código Tributário Nacional |
| Registros de consentimento | Validade + 5 anos após revogação | LGPD, Art. 8º |
| Logs de acesso (Marco Civil) | 6 meses | Lei nº 12.965/2014, Art. 15 |
| Registros de WhatsApp | 1 ano | Necessidade operacional |
Após o término do período de retenção, os dados serão eliminados de forma segura ou anonimizados para fins estatísticos, conforme art. 16 da LGPD.
11. Seus Direitos como Titular de Dados (Art. 18, LGPD)
Conforme a LGPD, você tem os seguintes direitos em relação aos seus dados pessoais, que podem ser exercidos a qualquer momento:
- I - Confirmação da existência de tratamento - Saber se tratamos seus dados pessoais
- II - Acesso aos dados - Obter cópia dos dados pessoais que mantemos sobre você
- III - Correção - Solicitar a correção de dados incompletos, inexatos ou desatualizados
- IV - Anonimização, bloqueio ou eliminação - Solicitar tratamento de dados desnecessários, excessivos ou em desconformidade
- V - Portabilidade - Solicitar a transferência de seus dados a outro fornecedor de serviço
- VI - Eliminação - Solicitar a eliminação dos dados tratados com base em consentimento
- VII - Informação sobre compartilhamento - Saber com quais entidades seus dados foram compartilhados
- VIII - Informação sobre não consentimento - Ser informado sobre as consequências de não fornecer consentimento
- IX - Revogação do consentimento - Retirar seu consentimento a qualquer momento, mediante manifestação expressa
Importante: Alguns dados de saúde possuem obrigação legal de retenção (ex: prontuários médicos por 20 anos). Nesses casos, informaremos sobre a impossibilidade de eliminação imediata e os fundamentos legais aplicáveis.
Para exercer qualquer desses direitos, entre em contato com nosso Encarregado de Proteção de Dados (DPO) através do e-mail dpo@abracanm.com ou acesse nossa página de Direitos do Titular. Responderemos sua solicitação no prazo de 15 (quinze) dias, conforme art. 18, §5º, da LGPD.
12. Decisões Automatizadas (Art. 20, LGPD)
A plataforma da ABRACANM pode utilizar processamento automatizado de dados em determinadas operações, conforme descrito abaixo:
- •Confirmação de pagamento via webhook — Recebimento automático de notificações do gateway de pagamento (Woovi/OpenPix) para liberação de serviços
- •Agendamento de consultas — Verificação automática de disponibilidade de horários e confirmação de agendamentos
- •Disparo de notificações via WhatsApp — Envio automatizado de lembretes de consulta, confirmações de pagamento e orientações sobre o tratamento
- •Transições de etapas no CRM — Movimentação automática do paciente entre etapas do funil de atendimento com base em ações realizadas
Transparência: Nenhum dos processos automatizados acima envolve perfilamento (profiling) ou decisões automatizadas que afetem significativamente os interesses dos titulares. Nenhuma decisão automatizada substitui o julgamento médico profissional.
Conforme o art. 20 da LGPD, você tem o direito de solicitar a revisão humana de qualquer decisão tomada unicamente com base em tratamento automatizado de dados pessoais. Para isso, entre em contato com nosso DPO através do e-mail dpo@abracanm.com.
13. Transferência Internacional de Dados
Nossos serviços podem utilizar infraestrutura de servidores localizados fora do Brasil (serviços de nuvem). Nesses casos, garantimos que:
- A transferência ocorre apenas para países que proporcionem grau de proteção adequado, ou mediante garantias contratuais (art. 33, LGPD)
- Todos os provedores de infraestrutura são obrigados contratualmente a cumprir padrões equivalentes à LGPD
- Dados sensíveis de saúde são criptografados antes de qualquer transferência
14. Menores de Idade
O tratamento de dados pessoais de crianças e adolescentes será realizado em conformidade com o art. 14 da LGPD:
- Menores de 18 anos devem ser cadastrados por seus pais ou responsáveis legais
- O consentimento específico e em destaque será solicitado ao responsável legal
- Coletamos apenas os dados estritamente necessários para o tratamento médico
- Os dados serão tratados no melhor interesse da criança/adolescente
15. Incidentes de Segurança
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a ABRACANM se compromete a:
- Comunicar à Autoridade Nacional de Proteção de Dados (ANPD) em prazo razoável, conforme art. 48 da LGPD
- Notificar os titulares afetados sobre a natureza dos dados comprometidos
- Informar as medidas técnicas e de segurança adotadas para mitigar os efeitos
- Adotar providências para reverter ou mitigar os efeitos do incidente
16. Registro de Operações de Tratamento (Art. 37, LGPD)
Em conformidade com o art. 37 da LGPD, a ABRACANM mantém registro atualizado de todas as operações de tratamento de dados pessoais realizadas pela plataforma. O registro contempla:
- •Descrição dos dados tratados — Categorias de dados pessoais e dados sensíveis processados em cada operação
- •Finalidade do tratamento — Objetivo específico de cada atividade de processamento
- •Base legal aplicável — Hipótese legal que fundamenta cada operação (consentimento, execução contratual, obrigação legal, etc.)
- •Período de retenção — Prazo de armazenamento definido para cada categoria de dado
- •Medidas de segurança — Controles técnicos e organizacionais aplicados a cada operação
Atualização e disponibilidade: O registro de operações é atualizado sempre que novas atividades de tratamento são introduzidas ou quando há alterações relevantes nos processos existentes. O documento está disponível para apresentação à ANPD mediante solicitação.
17. Cookies e Tecnologias Similares
Utilizamos cookies e tecnologias similares para melhorar sua experiência em nossa plataforma. Para informações detalhadas sobre os tipos de cookies utilizados, suas finalidades e como gerenciá-los, consulte nossa Política de Cookies.
18. Alterações desta Política
Esta Política de Privacidade pode ser atualizada periodicamente para refletir mudanças em nossas práticas, novas funcionalidades da plataforma ou alterações legislativas. Notificaremos você sobre alterações significativas através de:
- E-mail cadastrado na plataforma
- Notificação via WhatsApp (quando aplicável)
- Aviso destacado na plataforma
- Solicitação de novo consentimento, quando necessário
A data da última atualização estará sempre indicada no topo deste documento. O uso continuado dos serviços após as alterações constitui ciência das mudanças.
19. Contato e Encarregado de Dados — DPO (Art. 41, LGPD)
Nos termos do art. 41 da LGPD, a ABRACANM designou um Encarregado pelo Tratamento de Dados Pessoais (Data Protection Officer — DPO), cuja identidade e informações de contato são divulgadas publicamente conforme exigido pela legislação:
Encarregado (DPO): Departamento de Proteção de Dados da ABRACANM
E-mail do DPO: dpo@abracanm.com
E-mail geral: ouvidoria@abracanm.com
Telefone: (61) 9608-4949
Endereço: Quadra QS 1 Rua 212, Edif Connect Towers, Brasília – DF
Atribuições do Encarregado (Art. 41, §2º, LGPD)
- I.Aceitar reclamações e comunicações dos titulares de dados, prestar esclarecimentos e adotar providências
- II.Receber comunicações da Autoridade Nacional de Proteção de Dados (ANPD) e adotar providências
- III.Orientar os funcionários, colaboradores e contratados da ABRACANM sobre práticas de proteção de dados pessoais
- IV.Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares
Resolução CD/ANPD nº 2/2022: A ABRACANM observa as disposições da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, que regulamenta a aplicação da LGPD para agentes de tratamento de pequeno porte, incluindo possíveis flexibilizações quanto à nomeação de DPO, mantendo, contudo, um canal de comunicação acessível para atender aos titulares de dados.
Autoridade Nacional de Proteção de Dados (ANPD): Caso não tenha sua solicitação atendida satisfatoriamente, você tem o direito de apresentar reclamação perante a ANPD (www.gov.br/anpd).
Esta Política de Privacidade foi elaborada em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014), a Resolução CFM nº 2.314/2022 (Telemedicina) e demais legislações aplicáveis.
© 2026 ABRACANM - Associação Brasileira de Cannabis Medicinal. CNPJ: 59.859.467/0001-34. Todos os direitos reservados.