Política de Privacidade
Última atualização: maio de 2026
A GAIIA trata dados pessoais e dados sensíveis de saúde com o mais alto nível de proteção. Esta política descreve como seus dados são coletados, utilizados, armazenados e protegidos, em conformidade com a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018).
1. Controlador dos Dados
A GAIIA é a controladora dos dados pessoais coletados através da plataforma, responsável pelas decisões referentes ao tratamento de dados pessoais dos usuários.
Encarregado de Dados (DPO): Para exercer seus direitos ou esclarecer dúvidas sobre o tratamento de seus dados pessoais, entre em contato pelo e-mail: [email protected]
2. Dados Pessoais Coletados
Coletamos diferentes categorias de dados conforme a jornada do usuário na plataforma:
- • Dados de Cadastro: Nome completo, e-mail, telefone, CPF/CNPJ, data de nascimento, endereço, perfil de usuário (jornada selecionada).
- • Dados Profissionais: Número de registro profissional (CRM, CRO, CRMV, OAB), especialidade, certificações, comprovantes de habilitação.
- • Dados Sensíveis de Saúde (Art. 11 LGPD): Condições médicas, histórico clínico, prescrições de cannabis medicinal, prontuários de telemedicina, resultados de acompanhamento terapêutico. Estes dados recebem proteção máxima e tratamento específico conforme detalhado na Seção 4.
- • Dados de Transação: Histórico de compras, planos contratados, comissões. Dados de cartão de crédito nunca são armazenados pela GAIIA, o processamento é feito exclusivamente pelo Mercado Pago (PCI DSS Level 1).
- • Dados de Navegação: Endereço IP, tipo de navegador, páginas acessadas, tempo de permanência, cookies e tecnologias similares.
- • Dados de Comunidade: Posts, comentários, avaliações e interações publicadas pelo usuário. Conteúdo que contenha dados de saúde é tratado como dado sensível.
3. Bases Legais para Tratamento
O tratamento de dados pessoais pela GAIIA é fundamentado nas seguintes bases legais da LGPD:
- • Consentimento (Art. 7, I / Art. 11, I): Cadastro, uso da plataforma, compartilhamento de dados com profissionais de saúde, publicação de conteúdo na comunidade
- • Execução de contrato (Art. 7, V): Prestação dos serviços contratados, processamento de pagamentos, gestão de assinaturas
- • Tutela da saúde (Art. 11, II, f): Telemedicina, prescrições, prontuários, exclusivamente por profissionais de saúde habilitados
- • Obrigação legal (Art. 7, II / Art. 11, II, a): Notificações obrigatórias à ANVISA, retenção de prescrições controladas, obrigações fiscais
- • Legítimo interesse (Art. 7, IX): Melhoria da plataforma, segurança, prevenção a fraudes (nunca para dados sensíveis de saúde)
- • Exercício regular de direitos (Art. 11, II, d): Defesa em processos judiciais, auditorias regulatórias
4. Tratamento de Dados Sensíveis de Saúde
Proteção reforçada conforme Art. 11 da LGPD.
Dados de saúde relacionados a cannabis medicinal são classificados como duplamente sensíveis (saúde + substância controlada) e recebem o nível máximo de proteção em nossa plataforma.
Garantias específicas para dados sensíveis:
- • Consentimento explícito e granular: coletado de forma clara, objetiva e destacada antes de qualquer tratamento
- • Minimização: coletamos apenas os dados estritamente necessários para a finalidade informada
- • Acesso restrito: dados de saúde são acessíveis apenas pelo paciente e pelo profissional de saúde responsável pelo atendimento
- • Criptografia: dados sensíveis são criptografados em trânsito (TLS 1.3) e em repouso
- • Anonimização para analytics: dados de saúde utilizados para inteligência de dados e pesquisa são previamente anonimizados, impossibilitando a identificação do titular
- • Proibição de seleção de risco: conforme Art. 11, §5 da LGPD, dados de saúde nunca são utilizados para seleção de riscos na contratação ou exclusão de beneficiários
- • Vedação de uso comercial: dados de saúde nunca são compartilhados com terceiros para fins comerciais, publicitários ou de marketing
5. Finalidades do Tratamento
- • Prestação de serviços: Viabilizar telemedicina, marketplace, educação, comunidade, assessoria jurídica e inteligência de dados
- • Verificação profissional: Validar registros profissionais (CRM, CRO, CRMV, OAB) para garantir a segurança do ecossistema
- • Conformidade regulatória: Cumprir exigências da ANVISA (RDCs 1.015/2026 e 660/2022), CFM e demais órgãos reguladores
- • Segurança e prevenção a fraudes: Proteger a plataforma, usuários e transações contra acessos não autorizados e atividades fraudulentas
- • Melhoria da plataforma: Analisar dados anonimizados e agregados para aprimorar a experiência do usuário e desenvolver novos recursos
- • Comunicação: Enviar notificações sobre serviços, atualizações regulatórias, alertas de segurança e, mediante consentimento, conteúdo educativo
6. Compartilhamento de Dados
Seus dados pessoais podem ser compartilhados com:
- • Profissionais de saúde: dados clínicos, exclusivamente para fins de atendimento e prescrição, mediante consentimento do paciente
- • Mercado Pago: dados necessários para processamento de pagamentos (nunca dados de saúde)
- • Supabase: provedor de infraestrutura de banco de dados, com dados protegidos por Row Level Security (RLS)
- • Autoridades regulatórias: ANVISA, Vigilância Sanitária e demais órgãos, quando exigido por lei
Nunca vendemos, alugamos ou comercializamos seus dados pessoais. Dados de saúde nunca são compartilhados para fins de marketing, publicidade ou perfilamento comercial.
7. Retenção e Eliminação
Os dados pessoais são retidos pelo tempo necessário para cumprir as finalidades informadas, observando os seguintes prazos mínimos legais:
- • Prontuários e prescrições: Mínimo 20 anos (Resolução CFM 1.821/2007)
- • Dados fiscais e financeiros: 5 anos (Código Tributário Nacional)
- • Registros de acesso (Marco Civil): 6 meses (Lei 12.965/2014)
- • Dados de cadastro: Enquanto a conta estiver ativa + 5 anos após encerramento
- • Dados de navegação: 12 meses
Após os prazos de retenção, os dados são eliminados de forma segura ou anonimizados de modo irreversível.
8. Seus Direitos (Art. 18 LGPD)
Como titular de dados pessoais, você tem os seguintes direitos, exercíveis a qualquer momento:
- • Confirmação e acesso: Saber se tratamos seus dados e obter cópia dos dados pessoais
- • Correção: Solicitar correção de dados incompletos, inexatos ou desatualizados
- • Anonimização ou eliminação: Solicitar anonimização, bloqueio ou eliminação de dados desnecessários
- • Portabilidade: Solicitar a portabilidade dos dados a outro fornecedor de serviço
- • Revogação do consentimento: Revogar o consentimento a qualquer momento, sem afetar tratamentos anteriores
- • Oposição: Opor-se a tratamento realizado com base em legítimo interesse
- • Informação sobre compartilhamento: Saber com quais entidades seus dados foram compartilhados
- • Petição à ANPD: Apresentar petição à Autoridade Nacional de Proteção de Dados
Para exercer seus direitos, envie solicitação para [email protected]. Responderemos em até 15 dias úteis, conforme exigido pela LGPD.
9. Segurança dos Dados
Adotamos medidas técnicas e organizacionais para proteger seus dados pessoais:
- • Criptografia em trânsito: TLS 1.3 em todas as comunicações
- • Criptografia em repouso: dados sensíveis criptografados no banco de dados
- • Row Level Security (RLS): políticas de acesso no nível de linha no banco de dados, garantindo que cada usuário acesse apenas seus próprios dados
- • PCI DSS Level 1: processamento de pagamentos via rede conveniada de recebimentos com o mais alto nível de certificação de segurança
- • Backups criptografados: realizados diariamente com retenção de 30 dias
- • Monitoramento contínuo: detecção de anomalias e tentativas de acesso não autorizado em tempo real
- • Testes de penetração: realizados periodicamente por empresa independente
10. Cookies e Tecnologias Similares
A GAIIA utiliza cookies e tecnologias similares para:
- • Cookies essenciais: necessários para o funcionamento da plataforma (autenticação, sessão, segurança)
- • Cookies de performance: análise agregada de uso da plataforma (anonimizados)
- • Cookies de funcionalidade: preferências do usuário (idioma, tema, configurações)
Não utilizamos cookies de publicidade ou rastreamento de terceiros. O usuário pode gerenciar suas preferências de cookies a qualquer momento nas configurações da plataforma.
11. Transferência Internacional de Dados
Dados pessoais podem ser processados em servidores localizados fora do Brasil (infraestrutura Supabase). Nestes casos, garantimos que:
- • O país de destino oferece nível adequado de proteção de dados, ou
- • São adotadas salvaguardas contratuais (cláusulas-padrão) conforme Art. 33 da LGPD
12. Alterações nesta Política
Podemos atualizar esta Política de Privacidade periodicamente. Alterações significativas serão comunicadas por:
- • Notificação na plataforma
- • E-mail para usuários cadastrados
- • Destaque na página inicial por 30 dias
A data da última atualização será sempre indicada no topo desta página.
13. Contato
Para dúvidas, solicitações ou reclamações sobre o tratamento de seus dados pessoais:
Encarregado de Dados (DPO): [email protected]
WhatsApp: (48) 99223-1620
Autoridade Nacional de Proteção de Dados (ANPD): gov.br/anpd