Política de privacidade

1. Quem somos

A Poupi é uma startup brasileira que opera saúde corporativa via reembolso de despesas médicas. A Poupi não é plano de saúde nem operadora regulada pela ANS — atua como entidade de ressarcimento de despesas médicas corporativas.

Para os fins desta política, a Poupi figura como controladora dos dados pessoais que coleta diretamente, e como operadora quando recebe dados de empresas contratantes para executar o benefício em nome delas.

Razão social

Poupi (denominação social a ser divulgada)

Contato para assuntos de privacidade

contato@poupisaude.com.br

2. A quem se aplica esta política

Esta política se aplica a qualquer pessoa cujos dados pessoais sejam tratados pela Poupi, em particular:

• Visitantes do site poupi.com.br e suas subpáginas.
• Pessoas que solicitam contato comercial (leads).
• Profissionais de saúde cadastrados ou candidatos a parceria.
• Funcionários de empresas contratantes (beneficiários do reembolso).
• Representantes legais e pessoas de contato das empresas contratantes.
• Candidatos a vagas e pessoas que enviam materiais para a Poupi.

3. Definições

Dado pessoal

Informação relacionada a pessoa natural identificada ou identificável.

Dado pessoal sensível

Dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

Titular

Pessoa natural a quem se referem os dados pessoais.

Controlador

Pessoa a quem competem as decisões sobre o tratamento de dados pessoais.

Operador

Pessoa que realiza o tratamento de dados pessoais em nome do controlador.

Tratamento

Toda operação realizada com dados pessoais — coleta, uso, armazenamento, compartilhamento, eliminação etc.

4. Que dados coletamos

Os dados que tratamos variam conforme sua relação com a Poupi. Coletamos apenas o necessário para a finalidade declarada, em respeito ao princípio da necessidade (art. 6º, III, da LGPD).

5. Como coletamos

A coleta ocorre nas seguintes situações:

• Diretamente de você, quando preenche um formulário, envia um e-mail, faz login ou interage com a plataforma.
• Da empresa contratante, quando essa nos fornece dados de funcionários beneficiários para administrar o benefício.
• De forma automatizada, por meio de cookies, pixels e eventos de uso da plataforma (ver seção 11).
• De fontes públicas e oficiais, exclusivamente para validar registros profissionais (por exemplo, consulta a conselhos de classe).

6. Finalidades e bases legais

Tratamos dados pessoais para finalidades específicas, vinculadas a uma das bases legais previstas nos artigos 7º e 11 da LGPD.

• Atender pedidos de contato comercial recebidos pela landing.
  Dados

  Dados de identificação e contato do lead.

  Base legal

  Procedimentos preliminares relacionados a contrato — art. 7º, V.

  Retenção

  Até 24 meses após o último contato.

• Cadastrar e operar profissionais parceiros, incluindo repasse mensal.
  Dados

  Dados de identificação, registro profissional e dados bancários.

  Base legal

  Execução de contrato — art. 7º, V; e obrigação legal — art. 7º, II.

  Retenção

  Vigência do contrato + prazos fiscais e regulatórios aplicáveis.

• Operar o reembolso de despesas médicas do beneficiário.
  Dados

  Identificação, vínculo com a empresa contratante e comprovantes de despesa.

  Base legal

  Execução de contrato — art. 7º, V; e tutela da saúde por profissionais — art. 11, II, “f”.

  Retenção

  Vigência da relação + prazos legais aplicáveis.

• Permitir acesso autenticado à plataforma.
  Dados

  Credenciais e registros de acesso.

  Base legal

  Execução de contrato — art. 7º, V; e obrigação legal (Marco Civil da Internet).

  Retenção

  Registros de acesso por, no mínimo, 6 meses (art. 15 do Marco Civil).

• Operar, proteger e melhorar a plataforma e prevenir fraude.
  Dados

  Telemetria, eventos de produto, logs técnicos.

  Base legal

  Legítimo interesse — art. 7º, IX, com avaliação documentada (LIA).

  Retenção

  Até 24 meses; depois disso, agregados ou anonimizados.

• Cumprir obrigações legais, regulatórias e ordens de autoridade.
  Dados

  Conforme exigência aplicável.

  Base legal

  Cumprimento de obrigação legal ou regulatória — art. 7º, II.

  Retenção

  Prazo previsto na obrigação correspondente.

7. Tratamento de dados de saúde

Dados de saúde são considerados sensíveis pela LGPD (art. 5º, II) e recebem proteção reforçada. A Poupi os trata somente nas hipóteses previstas no art. 11 da lei, especialmente:

• Para tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária (art. 11, II, “f”).
• Para o cumprimento de obrigação legal ou regulatória aplicável.
• Mediante consentimento específico e destacado, quando exigido.

Em qualquer hipótese, é vedada a comunicação ou o uso compartilhado de dados de saúde para a obtenção de vantagem econômica, salvo nas exceções legais (art. 11, §4º, da LGPD).

8. Com quem compartilhamos

Nunca vendemos seus dados. Compartilhamos apenas o necessário, com as seguintes categorias de destinatários:

Alguns desses operadores podem estar localizados fora do Brasil. Quando isso ocorrer, garantimos a transferência internacional de dados em conformidade com o art. 33 da LGPD, mediante salvaguardas contratuais e técnicas adequadas.

9. Armazenamento, retenção e segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados contra acesso não autorizado, perda, alteração ou destruição. Entre elas:

• Criptografia em trânsito (TLS) e em repouso para dados sensíveis.
• Controle de acesso por perfil e princípio do menor privilégio.
• Registro de eventos de acesso e revisão periódica de logs.
• Hospedagem em infraestrutura de nuvem com certificações reconhecidas.
• Capacitação contínua da equipe em segurança e privacidade.

Conservamos os dados pelo período estritamente necessário para cumprir as finalidades declaradas, observados os prazos indicados na seção 6 e quaisquer obrigações legais ou regulatórias. Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos a ANPD e os titulares afetados, conforme o art. 48 da LGPD.

10. Seus direitos como titular

A LGPD garante direitos sobre seus dados, exercíveis a qualquer momento. São eles:

1. 1Confirmar a existência de tratamento dos seus dados.
2. 2Acessar os dados que mantemos sobre você.
3. 3Corrigir dados incompletos, inexatos ou desatualizados.
4. 4Solicitar anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
5. 5Solicitar a portabilidade dos dados a outro fornecedor de serviço.
6. 6Eliminar dados pessoais tratados com base no seu consentimento.
7. 7Obter informação sobre as entidades públicas e privadas com as quais a Poupi compartilha seus dados.
8. 8Ser informado sobre a possibilidade de não fornecer consentimento e suas consequências.
9. 9Revogar o consentimento a qualquer momento.
10. 10Solicitar revisão de decisões tomadas exclusivamente com base em tratamento automatizado.
11. 11Peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD).

Para exercer qualquer um desses direitos, envie um pedido para contato@poupisaude.com.br. Podemos solicitar informações adicionais para confirmar sua identidade antes de atender. Responderemos no prazo previsto em lei.

11. Cookies e rastreamento

Utilizamos cookies e tecnologias similares para operar o site, entender padrões de uso e melhorar a experiência. Eles se dividem em quatro categorias:

• Necessários

  Indispensáveis para o funcionamento do site (sessão, segurança, preferências básicas). Não exigem consentimento.

• Funcionais

  Lembram escolhas suas, como idioma e formato preferido. Disparados após consentimento.

• Analíticos

  Permitem medir audiência e desempenho da plataforma (por exemplo, via Vercel Analytics e Speed Insights, anônimos). Disparados após consentimento.

• Publicitários

  Possibilitam personalização de comunicações e mensuração de campanhas. Atualmente utilizamos o Meta Pixel (Facebook/Instagram) para conversões e remarketing. Para melhorar a qualidade do match na atribuição de campanhas, compartilhamos com a Meta dados de identificação pseudonimizados — hash SHA-256 (de via única) de email, telefone, nome, cidade e estado — junto com dados técnicos da requisição (endereço IP e User-Agent). Os dados originais não saem dos nossos servidores em texto claro. Disparado somente com consentimento.

Você pode revogar o consentimento ou ajustar suas preferências a qualquer momento pelo link “Gerenciar cookies” no rodapé do site, ou diretamente nas configurações do seu navegador. A recusa pode limitar funcionalidades não essenciais (ex.: mensuração de campanhas publicitárias).

12. Canal de atendimento ao titular

Em conformidade com a Resolução CD/ANPD nº 2/2022, aplicável a agentes de tratamento de pequeno porte, a Poupi mantém canal direto e acessível para o titular exercer seus direitos e tirar dúvidas sobre tratamento de dados pessoais:

A Poupi se compromete a indicar formalmente um encarregado pelo tratamento de dados pessoais (DPO) caso deixe a condição de agente de pequeno porte ou quando o tratamento de dados envolver alto risco aos titulares, nos termos do art. 41 da LGPD.

13. Dados de crianças e adolescentes

Quando o benefício oferecido pela empresa contratante alcançar dependentes menores de 18 anos, o tratamento dos respectivos dados observará o art. 14 da LGPD, com prevalência do melhor interesse da criança ou do adolescente e, quando exigido, consentimento específico e em destaque dado por ao menos um dos pais ou pelo responsável legal.

14. Alterações desta política

Esta política pode ser revisada periodicamente para refletir mudanças regulatórias, evolução dos nossos produtos ou aprimoramentos no tratamento de dados. Alterações materiais serão comunicadas com destaque no site e, quando cabível, diretamente aos titulares afetados. A data de vigência e a versão atual constam no topo desta página.

15. Legislação aplicável e foro

Esta política é regida pela legislação brasileira, em especial pela Lei nº 13.709/2018 (LGPD), pelo Marco Civil da Internet (Lei nº 12.965/2014) e pelas regulamentações da ANPD. Fica eleito o foro do domicílio do titular para dirimir quaisquer dúvidas decorrentes desta política, sem prejuízo de outro foro garantido por lei.