RASCUNHO — pendente de revisão jurídica

Política de Privacidade — Cannalink

Versão: politica_privacidade_v2 · Vigente desde: [DATA DE PUBLICAÇÃO]

Esta Política explica como a CANNALINK ASSESSORIA E INTERMEDIACAO LTDA (nome fantasia CANNALINK), inscrita no CNPJ sob o nº 50.968.691/0001-90, com sede na Rua 15 de Novembro, 1336, Sala 50, Centro, Blumenau/SC, CEP 89010-002 ("Cannalink", "nós"), trata os dados pessoais de quem usa o site cannalink.com.br, a avaliação inicial (quiz), o catálogo, o portal do paciente e os nossos canais de atendimento (WhatsApp, Instagram e e-mail).

A Cannalink é a controladora dos dados pessoais tratados para os serviços de assessoria, facilitação, consultoria e intermediação descritos aqui, nos termos da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, "LGPD"). A Cannalink não promove, não vende, não recebe pagamento, não manipula e não importa os produtos. Os produtos são vendidos e enviados por Mapit Group LLC (Estados Unidos), que é controladora dos dados que trata para essas finalidades (ver seção 1.1).

1. Quem somos e como falar conosco

O(a) Encarregado(a) é o canal entre você, a Cannalink e a Autoridade Nacional de Proteção de Dados (ANPD) (LGPD, art. 41).

1.1 Quem é responsável por quê (papéis na LGPD)

A Mapit tem sua própria política de privacidade: [LINK DA POLÍTICA DA MAPIT]. Pedidos sobre os dados da compra podem ser feitos a qualquer uma das duas empresas; a Cannalink encaminha à Mapit o que for de responsabilidade dela.

2. Termos usados

• Dado pessoal: informação que identifica ou pode identificar você (nome, CPF, telefone, e-mail, endereço).
• Dado pessoal sensível: entre outros, dado referente à saúde (LGPD, art. 5º, II). Aqui isso inclui: condições e sintomas informados, receita médica, laudo, autorização da ANVISA e a própria informação de que você busca tratamento com cannabis medicinal, bem como os produtos que você orça ou compra.
• Tratamento: qualquer operação com dados (coleta, armazenamento, uso, compartilhamento, eliminação etc.).
• Operador: empresa que trata dados em nosso nome e segundo nossas instruções (por exemplo, provedor de e-mail e de hospedagem).

3. Quais dados tratamos, para quê e com qual base legal

Organizamos por jornada, porque os dados mudam conforme o seu relacionamento conosco.

3.1 Avaliação inicial (quiz) — visitante/lead

Se você clicar em "Chamar no WhatsApp", o aplicativo abre com uma mensagem pré-preenchida que pode incluir seu nome e as condições que você informou. Você decide se envia ou edita essa mensagem. O WhatsApp é um serviço da Meta, regido pela política de privacidade dela.

3.2 Cadastro e portal do paciente

3.3 Documentos enviados para a importação

Os documentos abaixo são usados pela Cannalink para a assessoria e, quando você aprova um orçamento, enviados à Mapit Group LLC e à Mile Express para a venda e a importação.

3.4 Responsável legal / tutor (paciente menor de idade ou incapaz)

3.5 Médicos prescritores

3.6 Parceiros comerciais (consultores)

3.7 Dados de navegação e segurança (todos)

3.8 Comunicações

Não usamos suas condições de saúde para segmentar comunicações de marketing.

Clientes que já tinham conta antes desta Política: como não havia autorização específica de marketing, não enviamos conteúdos de relacionamento/novidades a eles até que autorizem (por exemplo, no portal). As mensagens sobre pedidos (transacionais) continuam normalmente.

4. Como coletamos

• Diretamente de você: quiz, cadastro, portal, upload de documentos, WhatsApp e e-mail.
• Pela nossa equipe ou parceiro comercial, quando você é atendido por eles e eles cadastram seus dados no sistema com sua autorização.
• Do Google, se você escolher "Entrar com Google" (nome, e-mail, foto e identificador).
• Da Mapit Group LLC: confirmação de pagamento e situação da venda.
• Da transportadora (Mile Express): status e eventos de rastreio do seu pedido.
• Automaticamente, ao navegar (registros de acesso e cookies necessários).

5. Com quem compartilhamos

Compartilhamos somente o necessário para cada finalidade:

Não vendemos nem alugamos dados pessoais. A comissão que a Cannalink recebe da Mapit remunera o serviço de intermediação e assessoria em cada compra — não é paga pela entrega de dados. Seus dados só vão à Mapit quando você aprova um orçamento e envia os documentos para comprar. Leads do quiz e cadastros sem compra não são enviados à Mapit. Fabricantes (laboratórios no exterior) em regra não recebem seus dados identificados — as compras junto a eles são feitas pela Mapit. [CONFIRMAR NA OPERAÇÃO.]

6. Transferência internacional de dados

Parte dos destinatários fica fora do Brasil, principalmente nos Estados Unidos:

• Mapit Group LLC (EUA): a vendedora precisa dos seus dados e documentos para vender, faturar e despachar o produto em seu nome.
• Mile Express (Miami, EUA): a transferência é indispensável para a importação — sem ela não há como receber, embarcar e desembaraçar o produto.
• Resend e Google (EUA): envio de e-mails e autenticação.
• [PROVEDOR DE HOSPEDAGEM], se o datacenter estiver fora do Brasil.

Os EUA não possuem, até a data desta versão, decisão de adequação da ANPD. As transferências se apoiam nas hipóteses do art. 33 da LGPD, em especial:

• cláusulas-padrão contratuais aprovadas pela ANPD (art. 33, II, e Resolução CD/ANPD nº 19/2024), que estamos firmando com os destinatários; e
• quando necessário à execução do contrato com você (art. 33, IX, c/c art. 7º, V); e
• como reforço, seu consentimento específico e destacado para a transferência (art. 33, VIII), colhido no momento do envio dos documentos.

7. Por quanto tempo guardamos

Guardamos os dados apenas pelo tempo necessário à finalidade ou para cumprir obrigações legais e defender direitos (LGPD, arts. 15 e 16). Prazos propostos:

8. Seus direitos

Pela LGPD (art. 18), você pode, a qualquer momento:

• confirmar se tratamos seus dados;
• acessar seus dados;
• corrigir dados incompletos, inexatos ou desatualizados (boa parte pode ser feita no portal, em "Meus dados");
• pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• pedir a portabilidade dos dados a outro fornecedor;
• pedir a eliminação dos dados tratados com base no seu consentimento;
• saber com quem compartilhamos seus dados;
• ser informado sobre a possibilidade de não consentir e as consequências;
• revogar o consentimento;
• opor-se a tratamento feito com base em outra hipótese legal, se houver descumprimento da LGPD;
• peticionar à ANPD (www.gov.br/anpd).

Como exercer: envie e-mail para [E-MAIL DO ENCARREGADO] a partir do e-mail cadastrado (ou informe nome e CPF). Podemos pedir uma confirmação de identidade para proteger você — nunca pediremos sua senha. Responderemos em até 15 dias (prazo do art. 19, II, para a declaração completa).

Alguns dados não podem ser apagados imediatamente mesmo a pedido, porque precisamos guardá-los para cumprir obrigação legal ou defender direitos (por exemplo, receita e documentos de um pedido já importado). Nesses casos explicaremos o motivo e o prazo.

9. Cookies e armazenamento no navegador

Usamos apenas o necessário para o site funcionar:

Também carregamos fontes do Google Fonts na página inicial, o que envia seu endereço IP ao Google. Não usamos cookies de publicidade ou de análise de terceiros. [ATUALIZAR SE FOREM ADOTADOS PIXEL/ANALYTICS — nesse caso será necessário banner com opção de recusar.]

10. Crianças, adolescentes e pessoas com incapacidade

O cadastro no portal é destinado a maiores de 18 anos. Quando o paciente for criança ou adolescente (ou pessoa sob curatela), o cadastro, a contratação e o envio de documentos devem ser feitos pelo responsável legal, que informará seus dados de tutor/responsável e comprovará o vínculo.

Tratamos dados de crianças e adolescentes no seu melhor interesse (LGPD, art. 14) e apenas para viabilizar o tratamento prescrito pelo médico. Para crianças, colhemos o consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal (art. 14, §1º), sem prejuízo das demais bases legais aplicáveis (Enunciado CD/ANPD nº 1/2023).

11. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados (LGPD, art. 46), entre elas: senhas guardadas com criptografia (*hash*), conexão HTTPS, cookies de sessão inacessíveis a scripts, controle de acesso por perfil, acesso a documentos restrito à equipe e ao próprio paciente, cópias de segurança e registro das operações com a transportadora.

Nenhum sistema é 100% seguro. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante, comunicaremos a ANPD e as pessoas afetadas nos termos do art. 48 da LGPD e da regulamentação da ANPD.

Cuidados seus: não compartilhe sua senha; a Cannalink nunca pede senha por WhatsApp ou e-mail; desconfie de mensagens pedindo pagamento para contas que não sejam as indicadas no seu orçamento oficial.

12. Alterações desta Política

Podemos atualizar esta Política. A versão e a data ficam no topo. Mudanças relevantes (novas finalidades, novos destinatários, nova transferência internacional) serão avisadas por e-mail ou no portal e, quando a base for consentimento, pediremos novo aceite.

13. Lei aplicável e contato

Esta Política é regida pela legislação brasileira, em especial a LGPD, o Código de Defesa do Consumidor (Lei nº 8.078/1990) e o Marco Civil da Internet (Lei nº 12.965/2014).

Dúvidas: [E-MAIL DO ENCARREGADO] · Rua 15 de Novembro, 1336, Sala 50, Centro, Blumenau/SC, CEP 89010-002 · WhatsApp +55 47 3091-5850 · e-mail cannalinkco@gmail.com.