Política de Privacidade

A plataforma Clinipharma (nome fantasia) é uma solução B2B de intermediação entre clínicas médicas, médicos prescritores e farmácias de manipulação, operada por:

• Razão social: ALC INTERMEDIAÇÃO E REPRESENTAÇÃO LTDA.
• CNPJ: 66.279.691/0001-12
• Sede: Brasília-DF (endereço completo disponível mediante requisição formal)
• E-mail institucional: contato@clinipharma.com.br

Para os fins desta Política, a ALC INTERMEDIAÇÃO E REPRESENTAÇÃO LTDA. é referida indistintamente como “Clinipharma”, “nós” ou “Controlador”.

Em conformidade com o Art. 41 da LGPD e com a Resolução CD/ANPD nº 4/2023, o Encarregado pelo Tratamento de Dados Pessoais (DPO) é a pessoa indicada em clinipharma.com.br/dpo, com os seguintes canais de contato:

• E-mail dedicado: encarregado@clinipharma.com.br
• Canal alternativo (LGPD): privacidade@clinipharma.com.br
• Prazo de confirmação do recebimento: até 24 horas
• Prazo legal de resposta substantiva: até 15 dias corridos (LGPD Art. 19, §2º)
• Horário de atendimento: dias úteis, das 9h às 18h (horário de Brasília)

Tratamos seus dados pessoais com base nas seguintes hipóteses legais previstas no Art. 7º da LGPD:

Não realizamos marketing direto, venda de dados a terceiros, perfilamento comportamental para publicidade ou decisões automatizadas que produzam efeitos jurídicos sem revisão humana.

Compartilhamos dados estritamente na medida necessária para a prestação dos serviços, com os seguintes operadores e suboperadores. Esta lista é a fonte única de verdade e está alinhada com os Acordos de Tratamento de Dados (DPAs) celebrados com clínicas e farmácias parceiras:

Todos os operadores e suboperadores são contratualmente obrigados a tratar dados pessoais exclusivamente conforme nossas instruções, manter medidas de segurança adequadas e não subcontratarem terceiros sem nossa autorização prévia por escrito. A inclusão de novo suboperador é comunicada às clínicas e farmácias parceiras com antecedência mínima de 30 (trinta) dias corridos, com direito de oposição motivada.

Alguns operadores listados na Seção 4 armazenam ou processam dados fora do Brasil (EUA, União Europeia). Adotamos as seguintes garantias:

• Cláusulas contratuais padrão (Standard Contractual Clauses — SCCs) exigidas pela ANPD
• Operadores localizados em países com nível de proteção adequado reconhecido pela ANPD ou pela Comissão Europeia
• Data Processing Agreements (DPA) celebrados com cada operador internacional

Findo o prazo legal, os dados são anonimizados ou deletados de forma segura, conforme nossa Política de Retenção e Descarte implementada no sistema (job automático mensal).

Implementamos medidas técnicas e organizacionais compatíveis com o estado da arte e com o porte da operação:

• Criptografia em trânsito: TLS 1.3 em todas as conexões
• Criptografia em repouso: AES-256-GCM para dados sensíveis (telefone, CRM, formulários)
• Autenticação: JWT com expiração curta + blacklist de tokens revogados; sessões revogadas imediatamente em caso de desativação ou suspeita de comprometimento
• Controle de acesso: RBAC granular com Row Level Security (RLS) no banco de dados — cada entidade acessa apenas seus dados
• Auditoria: log imutável de todas as ações críticas com X-Request-ID rastreável; retenção de 5 anos (10 anos para registros financeiros)
• Rate limiting: por IP e por usuário em todos os endpoints da API
• Circuit breaker em integrações externas (Resend, Zenvia, OpenAI, Asaas, Clicksign)
• Monitoramento: alertas de anomalia via Sentry e UptimeRobot; deep health probe contínuo
• Backups automáticos com point-in-time recovery e ledger criptográfico de integridade
• Política de senha: mínimo 12 caracteres com complexidade (maiúsculas, minúsculas, números e símbolos); troca obrigatória em caso de suspeita de comprometimento
• MFA disponível para todos os usuários e exigido para perfis com acesso a dados sensíveis
• Rotação automatizada de segredos críticos com ledger encadeado (hash chain SHA-256)

Em caso de incidente de segurança que represente risco ou dano relevante aos titulares, notificaremos a ANPD e os titulares afetados em até 72 horas após a ciência do incidente, conforme Art. 48 da LGPD.

Nos termos dos Arts. 17 a 22 da LGPD, você tem os seguintes direitos em relação aos seus dados pessoais tratados pela Clinipharma:

• Confirmação da existência de tratamento (Art. 18, I)
• Acesso — obter cópia dos dados que mantemos sobre você (Art. 18, II)
• Correção de dados incompletos, inexatos ou desatualizados (Art. 18, III)
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade (Art. 18, IV)
• Portabilidade dos dados a outro fornecedor de serviço, em formato estruturado e interoperável (Art. 18, V)
• Eliminação dos dados tratados com base em consentimento, ressalvadas as hipóteses do Art. 16 (Art. 18, VI)
• Informação sobre as entidades públicas e privadas com as quais o controlador realizou uso compartilhado (Art. 18, VII)
• Informação sobre a possibilidade de não fornecer consentimento e suas consequências (Art. 18, VIII)
• Revogação do consentimento, quando o tratamento for baseado nesta hipótese (Art. 18, IX)
• Oposição ao tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento da LGPD (Art. 18, §2º)
• Revisão de decisões automatizadas que afetem seus interesses (Art. 20, caput)
• Informação clara e adequada sobre os critérios e procedimentos utilizados para a decisão automatizada (Art. 20, §1º)

Utilizamos apenas cookies estritamente necessários ao funcionamento da plataforma (sessão, segurança CSRF, preferências de idioma). Não utilizamos cookies de rastreamento publicitário, pixels de terceiros ou ferramentas de analytics comportamental.

• sb-access-token / sb-refresh-token — autenticação Supabase (sessão, HttpOnly, Secure, SameSite=Lax)
• __vercel_toolbar — apenas em ambiente de desenvolvimento (não enviado à produção)

A Clinipharma é uma plataforma exclusivamente B2B, destinada a pessoas jurídicas e profissionais de saúde devidamente habilitados. Não coletamos dados de crianças (menores de 12 anos) ou de adolescentes (12 a 18 anos incompletos) de forma direta.

Eventualmente, dados de crianças ou adolescentes podem constar de receitas médicas inseridas pelas clínicas parceiras. Nesses casos:

• Para crianças (até 12 anos incompletos), o tratamento ocorre com consentimento específico e em destaque do pai, da mãe ou do responsável legal, obtido pela clínica controladora originária, conforme Art. 14, §1º, LGPD;
• Para adolescentes (12 a 18 anos incompletos), o tratamento observa o princípio do melhor interesse e o regime previsto na Resolução CD/ANPD nº 4/2023;
• Em ambos os casos, aplicam-se as bases legais do Art. 11, II, "a" (obrigação legal — ANVISA) e "g" (tutela da saúde) e as salvaguardas reforçadas previstas nos DPAs com as clínicas.

Pacientes cujos dados constam em receitas médicas inseridas pelas clínicas não possuem relação contratual direta com a Clinipharma. A clínica que atendeu o paciente é a controladora originária e o ponto de contato primário para exercício de direitos. A Clinipharma atua como cocontroladora apenas para os fins estritamente necessários à intermediação tecnológica entre clínica e farmácia.

Conforme o Art. 12 da LGPD, dados anonimizados não são considerados dados pessoais. Podemos produzir e utilizar datasets agregados e anonimizados derivados dos dados que tratamos, exclusivamente para finalidades de:

• Melhoria contínua dos produtos e da experiência do usuário
• Pesquisa estatística agregada e benchmark de mercado (sem reidentificação)
• Treinamento e validação de modelos internos de prevenção a fraude e segurança
• Publicação de relatórios de transparência e relatórios setoriais agregados

Os datasets anonimizados não podem ser revertidos para identificação dos titulares. Caso a anonimização seja revertida ou se demonstrar reversível, o conjunto retorna ao regime de dados pessoais e às regras desta Política. O titular pode solicitar informações sobre a metodologia de anonimização adotada nos termos do Art. 12, §3º, LGPD.

Podemos atualizar esta Política periodicamente para refletir mudanças legais, regulatórias ou operacionais. Alterações substanciais serão comunicadas com antecedência mínima de 30 dias por e-mail e notificação na plataforma. A data de vigência constará sempre no cabeçalho deste documento.

O uso continuado da plataforma após a entrada em vigor das alterações implica concordância com a nova versão. Caso discorde, você pode solicitar o encerramento de sua conta.

• DPO (Encarregado de Proteção de Dados): privacidade@clinipharma.com.br
• Suporte geral: suporte@clinipharma.com.br
• Autoridade Nacional de Proteção de Dados (ANPD): www.gov.br/anpd

Se não estiver satisfeito com nossa resposta, você tem o direito de peticionar à ANPD (Autoridade Nacional de Proteção de Dados) conforme Art. 18, §1º da LGPD.