Política de Privacidade & Sigilo Médico

1. Quem somos e como falar conosco

A CANABIDOC é uma plataforma que conecta pacientes a médicos prescritores, advogados e engenheiros agrônomos. A CANABIDOC é a controladora dos dados tratados na plataforma. O canal do encarregado de proteção de dados (DPO) é o e-mail canabidocmedicinacanabinoide@gmail.com.

2. Quais dados tratamos

• Cadastro: nome, e-mail, CPF, telefone e senha (guardada de forma cifrada; nunca temos acesso a ela). Do paciente, também o endereço residencial, exigido na receita médica.
• Profissionais: também o registro no conselho (CRM, OAB ou CREA), especialidade, foto, agenda, valores e chave PIX para receber os repasses.
• Dados de saúde (sensíveis): diário de sintomas e doses, exames e documentos que você envia, prontuário, receitas e laudos emitidos pelos profissionais.
• Atendimentos e pagamentos: datas, status e valores. Os dados do cartão ou do PIX são tratados diretamente pela Asaas; a CANABIDOC não guarda número de cartão.
• Dados técnicos: cookies essenciais de login e registros de segurança (por exemplo, contagem de tentativas de acesso, guardada de forma embaralhada, sem o IP em texto).

3. Para que usamos e com qual base legal

• Criar sua conta, agendar, cobrar e repassar os atendimentos: execução do contrato (art. 7º, V, da LGPD).
• Atendimento de saúde, prontuário e receitas: tutela da saúde por profissionais de saúde (art. 11, II, "f") e o seu consentimento para compartilhar exames e o diário com os profissionais que você escolher (art. 11, I).
• Guarda de prontuário e de documentos fiscais: cumprimento de obrigação legal (art. 7º, II, e art. 11, II, "a").
• Segurança, prevenção de fraude e avisos sobre seus atendimentos por e-mail: legítimo interesse e execução do contrato.

Não usamos seus dados para publicidade e não fazemos perfis de marketing.

4. Com quem compartilhamos

• Com o profissional que você escolher: só os dados necessários para o atendimento (incluindo o endereço, que vai na receita, apenas para quem tem atendimento ativo com você); exames e diário apenas quando você autoriza, e a autorização pode ser revogada.
• Com prestadores que operam a plataforma em nosso nome: Supabase (banco de dados e arquivos), Vercel (hospedagem do site), Asaas (pagamentos e repasses), Daily.co (videochamada) e Resend (envio de e-mails). Eles só podem usar os dados para prestar esse serviço. Para preencher o endereço a partir do CEP, consultamos o serviço público ViaCEP enviando só o número do CEP, sem nome ou outro dado seu.
• Autoridades: quando houver obrigação legal ou ordem judicial.

Alguns desses prestadores podem guardar dados em servidores fora do Brasil. Nesses casos, a transferência segue o art. 33 da LGPD, com contratos e medidas de segurança adequados. Jamais vendemos ou repassamos dados de pacientes a laboratórios, farmácias ou empresas de publicidade.

5. Por quanto tempo guardamos

• Prontuário, receitas e laudos: no mínimo 20 anos após o último registro, por exigência legal (Lei nº 13.787/2018 e normas do CFM).
• Registros de pagamentos e documentos fiscais: pelo prazo exigido pela legislação fiscal (em geral, 5 anos).
• Demais dados: enquanto a conta estiver ativa ou até você pedir a exclusão, respeitados os prazos acima.

6. Como protegemos

Toda a comunicação é criptografada (HTTPS/TLS). Exames e documentos ficam em armazenamento privado e só são abertos por links temporários, depois de conferir quem está pedindo. Cada pessoa acessa apenas os próprios dados, e os profissionais só veem dados de pacientes com quem têm atendimento e autorização. A videochamada acontece em sala privada, com acesso liberado só perto do horário do atendimento. Os profissionais seguem o sigilo profissional do seu conselho (CFM, OAB, CONFEA/CREA).

7. Seus direitos

Pela LGPD (art. 18), você pode pedir: confirmação de que tratamos seus dados; acesso a eles; correção de dados incompletos ou errados; anonimização, bloqueio ou eliminação de dados desnecessários; portabilidade; informação sobre com quem compartilhamos; e revogação do consentimento. Para isso, use a opção de pedido LGPD no seu painel (Diário do Paciente ou "LGPD & Meus Dados" dos profissionais) ou escreva para o e-mail do DPO. Respondemos em até 15 dias. Dados que a lei manda guardar (como o prontuário) não podem ser apagados antes do prazo legal. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

8. Cookies e armazenamento no navegador

Usamos apenas cookies essenciais, para manter você conectado com segurança, e o armazenamento local do navegador para preferências (como o perfil ativo e ajustes de acessibilidade). Não usamos cookies de publicidade nem ferramentas de rastreamento de terceiros.

9. Menores de idade

O cadastro e o atendimento de menores de 18 anos devem ser feitos por um dos pais ou pelo responsável legal, que responde pelas autorizações dadas na plataforma.

10. Mudanças nesta política

Esta política pode ser atualizada. Mudanças importantes serão avisadas na plataforma ou por e-mail, e a data da última atualização fica no topo desta página.