Política de privacidade

Esta política conta quais dados pessoais a OG trata, para que servem, com quem são compartilhados, por quanto tempo ficam guardados e como você exerce os seus direitos. Ela vale para este site e para todo atendimento que começa por aqui.

Quem cuida dos seus dados

A controladora é a OG CANNABIS LTDA, CNPJ 50.492.277/0001-57, com sede na Av. Ataulfo de Paiva, 1235, sala 303, Leblon, Rio de Janeiro/RJ, CEP 22440-034, e-mail contato@ogcannabis.com.br.

A OG presta serviços de apoio comercial, administrativo e operacional à importação individual de produtos de cannabis para uso medicinal. Quem adquire, importa e recebe o produto é o próprio paciente, com autorização da Anvisa. A OG não tem loja física nem atendimento presencial.

Como falar com a OG sobre privacidade

Use o formulário da página Contato e comece a mensagem com a palavra "Privacidade". Esse é o canal para qualquer pedido sobre os seus dados.

Que dados tratamos, e em que momento

Pedimos só o que cada etapa precisa. A lista segue a ordem em que as coisas acontecem.

Quando você cria a conta

Nome, e-mail e celular. Se você é médico ou dentista, também o CRM ou o CRO e a UF. Servem para criar e proteger a conta, liberar o acesso e falar com você. O acesso de prescritores é conferido por uma pessoa da OG antes de ser liberado.

Antes do primeiro pedido

CPF, endereço de entrega, nome do prescritor e, se você quiser, informações extras, como o seu Instagram. Servem para identificar o paciente, preparar a documentação da importação e fazer a entrega.

Os documentos do pedido

Antes de pagar, você envia quatro documentos: identidade, comprovante de endereço, receita médica e autorização de importação da Anvisa.

A receita e a autorização revelam informação sobre a sua saúde. Para a LGPD, isso é dado pessoal sensível, e por isso esses documentos têm regras mais rígidas aqui dentro: só quem trabalha no pedido tem acesso, e eles nunca são usados para publicidade, para traçar perfil ou para qualquer outro fim.

O comprovante de endereço pode estar no nome de outra pessoa, como pai, mãe ou cônjuge. Nesse caso, o nome e o endereço dessa pessoa servem só para confirmar onde o pedido vai ser entregue.

Usamos os documentos para conferir se paciente, receita, autorização e pedido batem entre si, para montar a documentação que acompanha a remessa e para guardar a prova de que o pedido seguiu as regras da importação individual.

O pagamento

O pagamento é feito pelo Mercado Pago, por Pix ou cartão. Os dados do cartão são digitados no ambiente do Mercado Pago, e a OG nunca tem acesso a eles. A OG recebe a confirmação e os dados da transação, como valor, data e forma de pagamento.

O envio

Para o transporte e o desembaraço, a Memphis Courier recebe o necessário: nome, CPF, endereço de entrega, contato e os documentos da importação. A Memphis opera nos Estados Unidos, com armazém em Miami.

O contato

Pelo formulário de contato recebemos o que você preencher, como nome, e-mail, assunto e mensagem, e, no pedido de acesso de prescritor, o CRM ou o CRO e a UF. Usamos isso para responder.

Os artigos de Educação

Alguns artigos pedem o seu e-mail no meio da leitura para você continuar. Junto com o e-mail, guardamos a origem da sua primeira visita (os parâmetros de campanha, algo como "veio do Instagram, por tal publicação"). Assim sabemos quais conteúdos trazem leitores. Se um dia a OG enviar newsletter, ela só chega a quem aceitar recebê-la, e toda mensagem traz um link para sair da lista.

A navegação

Cookies e tecnologias parecidas registram dados técnicos da visita, como páginas vistas, dispositivo, navegador e de onde você veio. Usamos o Google Analytics para medir, de forma agregada, como o site é usado. Os detalhes estão na Política de cookies.

O servidor guarda os registros de acesso (endereço IP, data e hora) por seis meses, como manda o Marco Civil da Internet (Lei 12.965/2014, art. 15).

O portal do prescritor

Quem pede o kit do prescritor informa nome, e-mail e registro profissional (CRM ou CRO, com UF e número). Com esses dados criamos uma conta no portal do prescritor, enviamos o kit por e-mail e conferimos o registro no conselho profissional antes de liberar o restante do portal.

Na conta de prescritor registramos, com data e hora: a abertura do e-mail do kit (por uma imagem invisível, que alguns programas de e-mail carregam sozinhos), os cliques nos links desse e-mail, as aberturas da página do kit, os guias baixados e as voltas ao site, uma por visita, com a página de entrada. Para reconhecer o seu navegador usamos um cookie próprio, válido por um ano, e guardamos a origem da primeira visita (o link de campanha, quando houver). Usamos esse registro para melhorar o material e para saber quando faz sentido entrar em contato. Ele fica no servidor do site da OG e não vai ao Google Analytics nem a terceiros: o Analytics recebe só a contagem anônima de pedidos do kit.

Os avisos de lote novo são opcionais e chegam por e-mail, só sobre disponibilidade. Para parar, use o botão na página do kit ou escreva para info@ogcannabis.com.br.

Por que podemos tratar esses dados

Para quê	Base legal (LGPD)
Criar e manter a conta, preparar e cumprir o pedido, receber o pagamento e organizar o envio	Execução de contrato e procedimentos preliminares (art. 7º, V)
Registrar o que o prescritor abre, baixa e quando volta ao site, e avisar sobre lotes novos por e-mail	Consentimento, dado ao aceitar os Termos de Uso e esta Política na criação da conta (art. 7º, I), e legítimo interesse em entender como o material é usado (art. 7º, IX)
Conferir CRM ou CRO de prescritores	Legítimo interesse em restringir a área profissional a quem é habilitado (art. 7º, IX)
Receita, autorização da Anvisa e identidade: conferência, documentação da importação e guarda	Exercício regular de direitos, inclusive em contrato (art. 11, II, "d")
Nota fiscal e registros contábeis	Cumprimento de obrigação legal (art. 7º, II)
Responder ao formulário de contato	Procedimentos preliminares e legítimo interesse (art. 7º, V e IX)
E-mail dos artigos e origem da visita	Legítimo interesse (art. 7º, IX); newsletter, se houver, só com consentimento (art. 7º, I)
Medição de uso do site (Google Analytics)	Legítimo interesse (art. 7º, IX)
Registros de acesso	Cumprimento de obrigação legal (art. 7º, II)
Defesa da OG em processos	Exercício regular de direitos (art. 7º, VI)

Ao enviar os documentos, você também declara que a importação é para uso pessoal do paciente e autoriza a OG a encaminhá-los a quem participa da remessa.

Quando um uso depende do seu consentimento, você pode retirá-lo quando quiser, sem custo.

Com quem compartilhamos

Só o necessário, e só com:

• Mercado Pago, para processar o pagamento;
• Memphis Courier, para o transporte e o desembaraço;
• Hostinger, que hospeda o site e o banco de dados;
• Google, pelo e-mail da OG (Google Workspace) e pelo Google Analytics;
• contabilidade, para a emissão das notas fiscais;
• autoridades, como Anvisa e Receita Federal no desembaraço, e outras quando a lei ou uma ordem judicial exigir.

A OG não vende nem cede seus dados para publicidade.

Dados que saem do Brasil

Parte desses serviços funciona fora do país, como a Memphis Courier, nos Estados Unidos, e o Google. Essas transferências acontecem porque são necessárias para prestar o serviço que você pediu (art. 33, IX, da LGPD).

Por quanto tempo guardamos

Guardamos os dados pelo período necessário para cumprir o pedido e o contrato, as obrigações legais e fiscais e o exercício de direitos em eventual processo. Os registros de acesso ficam seis meses. O registro de acompanhamento do portal do prescritor é apagado depois de 24 meses e, se a conta for apagada, junto com ela. Passado esse período, os dados são apagados ou anonimizados.

Seus direitos

A qualquer momento, você pode:

• saber se tratamos dados seus e ter acesso a eles;
• corrigir dados incompletos, errados ou desatualizados;
• pedir a anonimização, o bloqueio ou a exclusão de dados desnecessários ou tratados fora da lei;
• pedir a portabilidade dos seus dados;
• pedir a exclusão dos dados tratados com base no seu consentimento;
• saber com quem seus dados foram compartilhados;
• saber o que acontece se você não der consentimento, e retirar um consentimento já dado;
• se opor a um tratamento que não siga a lei;
• pedir que uma pessoa reveja uma decisão tomada só de forma automática;
• reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Para exercer qualquer um deles, use o canal de privacidade. Podemos pedir uma confirmação de identidade antes de responder, para que seus dados não acabem com outra pessoa. A resposta completa sai em até 15 dias.

Alguns dados não podem ser apagados enquanto a lei mandar guardá-los, como os ligados a notas fiscais. Nesses casos, dizemos qual é o motivo e até quando.

Segurança

O site usa conexão criptografada (HTTPS). A área de pedidos só abre com login, e dentro da OG só quem trabalha no pedido vê os documentos. Quem trata dados por conta da OG só pode usá-los para o serviço contratado.

Nenhum sistema é infalível. Se acontecer um incidente de segurança que possa causar risco ou dano relevante, a OG avisa a ANPD e as pessoas afetadas, como manda a LGPD (art. 48).

Crianças e adolescentes

O site não é voltado a menores de 18 anos. Quando o paciente é menor, a conta, os documentos e o pedido ficam com o responsável legal, e os dados do paciente servem só para a importação, sempre no melhor interesse dele (art. 14 da LGPD).

Mudanças nesta política

A política muda quando o serviço muda. A data no topo indica a versão em vigor. Mudanças relevantes são avisadas por e-mail a quem tem conta.