Política de Privacidade

Última atualização: 16 de agosto de 2026.

Esta Política de Privacidade explica, de forma transparente, quais dados pessoais são tratados na plataforma Flora, para quê, com que fundamento legal e quais são os seus direitos como titular, nos termos da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD).

1. Quem somos

O Flora é um produto desenvolvido, operado e mantido pela SOFTWISE LTDA - ME ("Softwise"), inscrita no CNPJ sob o nº 59.176.542/0001-62. A Softwise é a responsável pela plataforma e pelo atendimento às solicitações relacionadas a esta Política.

O Flora é uma plataforma de tecnologia utilizada por associações de pacientes de cannabis medicinal ("Associações") para gerir o relacionamento com seus associados: cadastro, análise documental, prescrições, pedidos, pagamentos e entregas.

2. Papéis no tratamento de dados

O tratamento de dados no Flora envolve dois papéis distintos, definidos pela LGPD:

• A Associação à qual você se vincula é a controladora dos dados tratados no seu atendimento: é ela quem decide sobre a análise do seu cadastro, a aprovação de documentos, a dispensação de produtos e as finalidades desse tratamento.
• A Softwise atua como operadora nesses tratamentos, processando os dados em nome da Associação e conforme suas instruções. A Softwise é, ainda, controladora dos dados necessários ao funcionamento da própria plataforma: contas de acesso, autenticação e sessões, registros de consentimento, trilhas de auditoria, segurança e comunicações operacionais.

Em caso de dúvida, você pode sempre contatar a Softwise pelos canais indicados na seção 12 — nós direcionamos a sua solicitação ao responsável correto.

3. Quais dados coletamos

3.1 Dados fornecidos por você

• Cadastro do titular e do responsável: nome completo, CPF, data de nascimento, gênero e e-mail. Quando o paciente é menor de idade ou pessoa sob responsabilidade legal, o cadastro é realizado pelo responsável, que também informa seus próprios dados. Quando aplicável, também é registrada a indicação de hipossuficiência econômica, usada pela Associação nas suas políticas de acesso e de valores.
• Pacientes animais: nome, espécie e raça do animal, vinculados ao responsável (tutor).
• Documentos exigidos pela Associação: documentos de identificação (por exemplo, RG, CNH ou CPF), comprovantes e documentos médicos (receitas, laudos e prescrições), enviados como arquivos (PDF ou imagem).
• Foto do paciente, quando solicitada pela Associação.
• Dados do prescritor: nome completo, CRM e UF do CRM do profissional que emitiu a prescrição.

3.2 Dados de saúde

Para viabilizar a dispensação conforme a prescrição médica, a plataforma trata dados pessoais sensíveis relativos à saúde:

• Prescrições médicas estruturadas: produtos ou categorias autorizadas, quantidades e períodos, posologia, validade e observações clínicas registradas pela Associação.
• Histórico de consumo vinculado aos limites da prescrição.
• Situação de análise e aprovação do paciente junto à Associação.
• Documentos médicos enviados no cadastro (receitas e laudos).

O tratamento desses dados observa as salvaguardas descritas na seção 5.

3.3 Pedidos, pagamentos e entrega

• Pedidos: itens, quantidades, valores e histórico de status.
• Pagamentos: valor pago, método (Pix), identificadores da cobrança e QR Code. Não coletamos nem armazenamos dados de cartão de crédito.
• Entrega: nome, CPF, e-mail e endereço completo do destinatário, informados no momento do fechamento do pedido, além do código de rastreio.

3.4 Dados coletados automaticamente

• Registros técnicos: endereço IP e identificação do navegador (user-agent) associados a requisições, sessões e consentimentos.
• Sessões de acesso: dispositivo, sistema operacional, navegador, IP e data da última atividade — visíveis para você em Privacidade, na seção Sessões Ativas.
• Registros de consentimento: cada aceite ou revogação é registrado com tipo, versão do documento, data, IP e navegador, em histórico imutável.
• Trilhas de auditoria: ações relevantes de privacidade — aceites e revogações de consentimento, exportações de dados, encerramento de sessões e publicação de documentos legais — são registradas em histórico que não é apagado.
• Medição de audiência do site institucional (somente com o seu consentimento): no endereço público do Flora — fora da área logada da sua associação — utilizamos o Google Analytics 4 para medir páginas visitadas, origem do acesso, tipo de dispositivo e navegador, localização aproximada derivada do endereço IP e cliques nos botões de contato. A medição só é ativada depois que você aceita a categoria "Análise (Analytics)" e pode ser desligada a qualquer momento em Privacidade → Cookies. Nenhum dado de cadastro, de saúde, de prescrição ou de pedido é enviado à Google, e a medição não é executada dentro do ambiente da sua associação.
• Cookies e armazenamento local: descritos em detalhe na Política de Cookies.

3.5 Dados que permanecem apenas no seu dispositivo

Alguns dados de conveniência ficam armazenados apenas no seu navegador e não são enviados aos nossos servidores: o rascunho do formulário de cadastro (alguns campos, como telefone e endereço residencial, não chegam a ser transmitidos à plataforma), o carrinho de compras e uma cópia local da solicitação para se tornar paciente — que inclui a condição de saúde informada, os dados do prescritor e as suas observações. Esses dados permanecem no dispositivo até que você limpe os dados do site; a Política de Cookies lista cada item guardado dessa forma.

4. Para que usamos os seus dados

• Criar e manter sua conta, autenticar o acesso e gerir sessões — execução de contrato (art. 7º, V).
• Análise de cadastro e de documentos pela Associação — execução de contrato e procedimentos por serviços de saúde (art. 7º, V; art. 11, II, "f").
• Gestão de prescrições, limites de compra e dispensação — consentimento e tutela da saúde (art. 11, I e II, "f").
• Processar pedidos, pagamentos e entregas — execução de contrato (art. 7º, V).
• Comunicações transacionais (convites, recuperação de senha, atualizações de pedido e entrega) — execução de contrato (art. 7º, V).
• Segurança, prevenção a fraudes, auditoria e proteção ao titular — legítimo interesse e cumprimento de obrigação legal (art. 7º, IX e II).
• Cumprir obrigações legais, regulatórias, fiscais e ordens de autoridades — obrigação legal (art. 7º, II).
• Medir a audiência do site institucional e melhorar as nossas páginas públicas — consentimento (art. 7º, I), sempre revogável.
• Cookies opcionais e comunicações de marketing — consentimento (art. 7º, I), sempre revogável.

Não utilizamos seus dados para decisões automatizadas com efeitos jurídicos relevantes, não vendemos dados pessoais e não os utilizamos para publicidade de terceiros. Na nossa configuração do Google Analytics, os recursos de publicidade e o Google Signals permanecem desativados, o endereço IP é anonimizado e os dados de medição não são compartilhados com a Google para fins de anúncios.

5. Salvaguardas específicas para dados de saúde

• O acesso a dados de saúde dentro da Associação é restrito por papéis e permissões específicas — visualizar ou baixar um documento médico exige permissão própria, que não é herdada automaticamente por perfis administrativos.
• Dados sensíveis são exibidos mascarados por padrão; a exibição completa depende de permissão específica concedida ao perfil de quem acessa.
• Documentos são servidos por links temporários de curta duração, nunca por URLs públicas.
• Documentos e prescrições são removidos ou desvinculados da sua identidade quando a anonimização é executada (seção 9).

6. Crianças, adolescentes e pessoas sob responsabilidade legal

O cadastro de pacientes menores de idade ou legalmente dependentes é sempre realizado por seu responsável legal, que responde pelas informações prestadas e pelos consentimentos dados em benefício do paciente, nos termos do art. 14 da LGPD.

7. Com quem compartilhamos dados

Compartilhamos dados pessoais apenas com quem precisa deles para a operação da plataforma ("operadores"), sob contrato e instruções de proteção de dados:

• Woovi (OpenPix) — processamento de pagamentos Pix. Recebe os dados da cobrança (identificadores e valores) estritamente necessários ao pagamento.
• SuperFrete — cotação de frete e geração de envios. Recebe nome, CPF, e-mail e endereço do destinatário para emissão da etiqueta e rastreio.
• Resend — envio de e-mails transacionais. Recebe o endereço de e-mail e o conteúdo da mensagem (por exemplo, atualizações de entrega).
• Cloudflare — armazenamento de arquivos (documentos, fotos e exportações de dados) e verificação antifraude no cadastro (Turnstile), que processa o endereço IP do visitante.
• ViaCEP e BrasilAPI — preenchimento automático de endereço a partir do CEP. Recebem o CEP consultado; como a consulta parte do seu navegador, também têm acesso ao seu endereço IP.
• Google (Google Ireland Limited) — medição de audiência do site institucional por meio do Google Analytics 4, apenas se você consentir com a categoria "Análise (Analytics)". Recebe dados de navegação nas páginas públicas (páginas vistas, origem do acesso, dispositivo, navegador e endereço IP anonimizado). Não recebe dados de cadastro, de saúde, de prescrição ou de pedidos, e não atua dentro do ambiente da sua associação.

Além disso, dados podem ser compartilhados com autoridades públicas quando houver obrigação legal, regulatória ou ordem de autoridade competente, e com a Associação à qual você se vincula, que é a controladora do seu atendimento.

8. Transferências internacionais

Alguns dos nossos operadores (como Cloudflare, Resend e Google) podem processar dados em servidores localizados fora do Brasil. Nesses casos, a transferência é realizada com base no art. 33 da LGPD, para países ou mediante mecanismos que assegurem grau adequado de proteção, incluindo cláusulas contratuais de proteção de dados. No caso do Google Analytics, a transferência ocorre com base no seu consentimento (art. 33, VIII) e pode ser interrompida a qualquer momento recusando a categoria "Análise (Analytics)".

9. Por quanto tempo mantemos os dados

• Dados de conta e atendimento: mantidos enquanto sua conta estiver ativa e pelo prazo necessário ao cumprimento de obrigações legais, regulatórias e fiscais.
• Registros de consentimento e trilhas de auditoria: mantidos pelo prazo necessário à comprovação do cumprimento da LGPD (accountability).
• Exportações de dados: o arquivo gerado fica disponível por 24 horas e depois é removido do armazenamento.
• Anonimização: você pode solicitar a anonimização dos seus dados (seção 11). Concluída a anonimização, os dados deixam de identificar você; registros indispensáveis (como históricos fiscais de pedidos) são mantidos de forma desvinculada da sua identidade.

10. Como protegemos os seus dados

• Criptografia em trânsito (TLS) em todas as comunicações.
• Senhas armazenadas com hashing forte (Argon2) — nunca em texto claro.
• Sessões protegidas por cookie criptografado e inacessível a scripts; tokens de sessão armazenados apenas como hash.
• Links de acesso a documentos com validade curta, que expiram automaticamente.
• Mascaramento de dados sensíveis por padrão e controle de acesso por papéis.
• Históricos de consentimento e auditoria imutáveis (nada é sobrescrito ou apagado).

Nenhum sistema é infalível. Caso ocorra incidente de segurança com risco relevante aos titulares, comunicaremos os afetados e a Autoridade Nacional de Proteção de Dados (ANPD) nos termos do art. 48 da LGPD.

11. Seus direitos e como exercê-los

A LGPD garante a você, entre outros, os direitos de confirmação, acesso, correção, anonimização, portabilidade, informação sobre compartilhamentos, revogação de consentimento e eliminação de dados tratados com base em consentimento (art. 18).

Na própria plataforma, na área Privacidade, você pode:

• Consultar e revogar consentimentos, com histórico completo de versões, datas e IPs.
• Gerenciar preferências de cookies a qualquer momento.
• Exportar seus dados (perfil, endereços de entrega, pedidos, pagamentos, prescrições, documentos e consentimentos) em arquivo estruturado.
• Acompanhar solicitações de anonimização.
• Ver e encerrar sessões ativas em outros dispositivos.

A solicitação de anonimização é registrada junto à sua Associação e passa por aprovação segregada (quem solicita não é quem aprova), como salvaguarda contra exclusões indevidas. Para exercer qualquer direito que não esteja disponível na plataforma, contate-nos pelos canais da seção 12 — responderemos nos prazos da LGPD.

Você também tem o direito de peticionar à ANPD (Autoridade Nacional de Proteção de Dados) caso entenda que seus direitos não foram atendidos.

12. Encarregado de proteção de dados e contato

A Softwise é a responsável pela plataforma e mantém canal dedicado para assuntos de privacidade e proteção de dados:

• Controladora da plataforma: SOFTWISE LTDA - ME, CNPJ 59.176.542/0001-62.
• E-mail para assuntos de privacidade (encarregado/DPO): contato@floratech.com.br.

13. Alterações desta Política

Esta Política é versionada. Quando publicarmos uma nova versão, você será informado na plataforma e um novo aceite será solicitado — o seu histórico de aceites permanece disponível na área Privacidade. A data da última atualização consta no topo deste documento.