Política de Privacidade

A ViaSaúde opera esta plataforma: cadastro de indicadores, registro e acompanhamento de indicações de planos Hapvida, pedidos de cotação e o conteúdo informativo (planos, rede própria e guias), para pessoas de todo o Brasil. A ViaSaúde é uma plataforma independente de indicação e atendimento para planos Hapvida. Não é a Hapvida nem faz parte do grupo Hapvida NotreDame Intermédica; a marca Hapvida pertence aos seus titulares e aparece aqui só para identificar os planos. A contratação é feita com a operadora, por corretor habilitado.

Quem atende cada pedido e cada indicação autorizada é um consultor ViaSaúde: ele usa os dados para entender o seu perfil, confirmar quais planos Hapvida valem na sua cidade e enviar a cotação. Se você decidir contratar, a proposta é formalizada com a Hapvida por um corretor habilitado. A partir daí, a Hapvida trata, como controladora e pela política dela, os dados que recebe para analisar a proposta e administrar o plano.

Ao criar e usar a sua conta de indicador, guardamos:

• Nome, informado por você — é o nome que aparece para quem você indicar.
• WhatsApp, no formato internacional. Ele é a sua identidade na plataforma: é por ele que você entra. Hoje a única mensagem que a plataforma manda para quem indica é o código de acesso; o andamento das indicações aparece na sua área, sem aviso por mensagem.
• Chave PIX e o tipo dela, guardadas de forma cifrada (item 6). Se a chave for do tipo CPF, o CPF é a própria chave e fica cifrado junto com ela.
• Código do seu link de indicação. O cadastro tem também um campo de nível no programa, que nesta versão não é usado: ele não muda a comissão nem nenhuma regra.
• Registro de aceite do regulamento e desta política: a versão, a data e o endereço IP do aceite vigente, no seu cadastro, e o histórico de cada aceite (na criação da conta e a cada nova versão) no registro de auditoria.
• Sessões: um identificador do seu acesso guardado em forma irreversível, a data de expiração, a data do último acesso (atualizada de tempos em tempos enquanto você usa a área) e a descrição do navegador usado.
• Códigos de acesso enviados no login: guardados em forma irreversível, válidos por 10 minutos, com o número de tentativas erradas.
• Registro das suas ações sensíveis: troca de chave PIX (com as chaves mascaradas e o endereço IP) e pedidos de saque.
• Registro de bloqueio, se houver: data e motivo.

O cadastro não pede CPF nem e-mail. Os campos existem no banco e ficam vazios; se o regime fiscal do pagamento exigir o CPF, ele será pedido antes do primeiro pagamento e esta política será atualizada.

Estes dados chegam por um terceiro — a pessoa que indicou. É a única situação em que o dado de alguém entra na plataforma sem que essa pessoa tenha pedido, e é exatamente por isso que nada acontece antes da autorização dela.

De quem é indicado, guardamos:

• nome e WhatsApp, informados por quem indicou;
• a cidade, escolhida na lista oficial de municípios do IBGE (guardamos o nome e a UF dessa lista), e para quem é o plano: pessoa ou família, ou empresa;
• o registro da resposta: se a autorização foi dada ou recusada, quando, e a data em que o prazo de 7 dias vence. Como prova da resposta dada no convite, guardamos também o endereço IP, a identificação do navegador e a versão do texto do convite que a pessoa leu;
• a linha do tempo da indicação — cada mudança de estágio, com data, hora e origem. Essa trilha só recebe acréscimos: nada nela é editado ou apagado;
• a cópia do pedido de autorização enviado para aquele número, com o link de confirmação mascarado, e a situação do envio;
• depois do aceite, o pedido de atendimento que segue para o consultor ViaSaúde e o identificador do contato no sistema de atendimento, quando ele devolve.

O CPF de quem é indicado não é pedido nem guardado. A mensagem que a pessoa recebe diz quem a indicou e traz o link do convite; o convite diz que ele vem da ViaSaúde e que é ela quem trata os dados, com o link desta política, e explica o que acontece se a pessoa aceitar ou recusar, e quando ele vence. Sem o “sim”, nenhum consultor entra em contato e nenhum dado dela é entregue para atendimento.

A cotação não mostra preço: você conta o perfil do plano que procura, e um consultor ViaSaúde manda os planos Hapvida e os valores oficiais. Para isso, guardamos o que você respondeu:

• a cidade, de qualquer lugar do Brasil, pela lista oficial do IBGE, e o tipo de contratação;
• a idade de cada pessoa do plano, em anos, ou a quantidade por faixa etária da ANS — sem nome e sem data de nascimento;
• preferências: acomodação, coparticipação e se quer odontologia;
• se você escrever, um recado curto com o hospital, a clínica ou o bairro de preferência. É um texto livre para orientar o consultor: não escreva nele informação de saúde;
• o código de quem indicou você e o momento do clique no link, quando existirem.

Para enviar o pedido ao consultor, pedimos nome e WhatsApp, a sua autorização para o contato, CNPJ e razão social no caso de plano empresarial e, se você quiser, um e-mail como contato de reserva, caso o WhatsApp falhe. A cotação não é enviada por e-mail. Esses dados formam o pedido de atendimento (item 9).

Não existe no banco de dados desta plataforma nenhum campo de informação de saúde. Nem coluna, nem anexo. Declaração de saúde, doença preexistente, laudo, exame, documento pessoal e qualquer conversa clínica ficam fora daqui: com o consultor e o corretor habilitado, no atendimento, e com a Hapvida, que precisa deles para analisar a proposta.

O único texto livre que a plataforma guarda sobre o plano é o recado de preferência da cotação (item 4), feito para hospital, clínica ou bairro. Ele não pede informação de saúde: não escreva nele doença, tratamento ou exame. Esse assunto, se for preciso, é tratado direto com o consultor.

Isso é uma decisão de arquitetura registrada no próprio esquema do banco, não uma promessa de conduta: para a plataforma passar a guardar dado de saúde seria preciso alterar o esquema e migrar o banco — uma mudança visível, discutida e auditável, não um efeito colateral silencioso.

O conteúdo informativo (planos, rede própria e guias) é educativo e vale para todo mundo. A plataforma não pergunta e não registra a sua condição de saúde para personalizar nada.

• Chave PIX — cifrada com AES-256-GCM. Na sua tela, ela aparece mascarada. Em claro, só para a equipe financeira, no momento de pagar um saque aberto, e cada visualização fica registrada com quem viu e quando. Uma cópia cifrada da chave vai junto de cada pedido de saque. Sem a chave criptográfica da instalação, o valor não se abre.
• CPF — hoje não é pedido. O campo que existe no cadastro foi desenhado para guardar só um resumo criptográfico (que serve para comparar, sem voltar ao número) e os três últimos dígitos, nunca o CPF inteiro em claro.
• Acesso — a plataforma não usa senha. A entrada é por código de seis dígitos enviado ao seu WhatsApp, válido por 10 minutos. 5 tentativas erradas queimam o código, e pedir um novo invalida o anterior. Tanto o código quanto o identificador da sua sessão ficam no banco apenas em forma irreversível.
• Limites contra abuso — até 5 códigos por hora e 10 por dia para o mesmo telefone; até 20 pedidos de código e 30 conferências por hora a partir do mesmo endereço IP; depois de 15 códigos errados em 24 horas, o telefone fica travado por 24 horas. Na cotação, até 5 envios por hora por endereço IP, e até 3 envios por dia para o mesmo telefone; o código de quem indicou, lido do endereço do link, até 30 vezes por minuto por endereço IP. Essas contagens guardam só um resumo irreversível do telefone ou do IP, nunca o número em claro.

Quem indicou acompanha o andamento, e só o andamento. Ele vê:

• o nome que ele mesmo informou ao indicar e a cidade — depois do descarte (item 12), só o primeiro nome;
• o estágio atual, há quanto tempo está nele e qual é o próximo passo;
• a linha do tempo, com as datas de cada mudança;
• o motivo, quando a indicação não avança — inclusive se a pessoa recusou ou deixou o prazo vencer;
• o valor da comissão dele.

Ele não vê, em nenhuma tela:

• o telefone da pessoa, depois de registrar a indicação;
• o plano Hapvida escolhido nem o valor da mensalidade;
• documentos, declarações ou qualquer informação de saúde;
• o conteúdo do atendimento com o consultor;
• o nome do consultor ou do corretor responsável.

Essa separação é aplicada na origem: as telas do indicador leem um conjunto restrito de campos, e os dados que ele não pode ver nem chegam a sair do banco para a página.

São 2, e nenhum deles serve para publicidade.

Não usamos ferramenta de medição de terceiros, pixel de rede social nem cookie de publicidade. Nenhum dado de navegação seu é enviado a plataformas de anúncio.

Você pode apagar ou bloquear todos no seu navegador. Sem o is_ref você perde apenas o vínculo com quem indicou você; sem o is_sessao não é possível entrar na área do indicador.

Medição de visitas, sem cookie

Para saber quantas pessoas visitam o site, de onde vêm e quais páginas leem, a própria plataforma conta as páginas vistas. Nenhum cookie é gravado para isso, nada fica guardado no seu navegador e nenhum dado vai para terceiros. De cada página aberta, guardamos apenas:

• o dia, sem a hora;
• o endereço da página, sem os parâmetros. Os de campanha (utm_source, utm_medium e utm_campaign) ficam à parte, e os links de convite e de indicação contam como uma página só, sem o código de quem indicou;
• o nome do site de onde você veio, sem o endereço completo (por exemplo, google.com), e só na primeira página da visita;
• o tipo de aparelho: celular, computador ou tablet;
• um código de visitante que vale por um dia. Ele é calculado a partir do endereço IP e do navegador, misturados a um valor aleatório que existe só na memória do servidor e é descartado à meia-noite (horário de Brasília). Serve para contar quantas pessoas diferentes visitaram o site naquele dia. O IP e o navegador não são gravados e, depois do descarte, nem a equipe ViaSaúde consegue refazer o cálculo para descobrir de qual endereço IP ou navegador o código veio.

Não são contados os robôs, a área do indicador e a administração. Se o seu navegador envia o sinal de “não rastrear” (Do Not Track) ou o Global Privacy Control, a página aberta não é contada. Para conter abuso, cada endereço IP tem um limite de páginas contadas por minuto, controlado como os demais limites do site (item 12). Os registros de visita são apagados automaticamente depois de 400 dias.

• Consultor ViaSaúde — é quem atende e cota. De um pedido de cotação, recebe nome, WhatsApp, e-mail quando houver, cidade, tipo de contratação, CNPJ e razão social no caso empresarial, o perfil que você informou (idades ou faixas, preferências e o recado), a referência do pedido e o código de quem indicou, quando houver. De uma indicação, recebe nome, WhatsApp, cidade e tipo de contratação, e a referência de quem indicou — apenas após a autorização da pessoa indicada. Enquanto o sistema de atendimento não está integrado, o aviso de cada pedido vai pelo WhatsApp para o consultor, com nome, WhatsApp, cidade, tipo de contratação, número de vidas com as idades ou faixas etárias, as preferências de acomodação, coparticipação e odontologia, o recado de hospital, clínica ou bairro, quando houver, a referência do pedido e a origem dele, com o código de quem indicou.
• Corretor habilitado — se você decidir contratar, o atendimento passa a ele os dados do pedido de que ele precisa para formalizar a proposta com a Hapvida. Ele só os recebe depois da sua decisão de contratar, e para essa finalidade. Se quiser saber quem é o corretor do seu atendimento, pergunte ao consultor.
• Hapvida — os dados do pedido servem para a cotação. Só seguem para a Hapvida com a sua autorização, quando você decide contratar: o corretor habilitado que formaliza a proposta envia à Hapvida o que ela exige para analisá-la. Documentos e declaração de saúde, nesse momento, vão direto do atendimento para a proposta, sem passar por esta plataforma. A plataforma não envia dados à Hapvida por conta própria.
• Provedor de mensagens — as mensagens de hoje (código de acesso, pedido de autorização a quem foi indicado e aviso de novo pedido ao consultor) são entregues pela API oficial do WhatsApp, que é da Meta. A Meta pode processar esses dados em servidores fora do Brasil, o que é uma transferência internacional de dados (LGPD, art. 33). A base legal dessa transferência é um dos pontos da revisão jurídica citada no topo da página e será publicada aqui antes do lançamento do programa. Enquanto as credenciais oficiais não estiverem configuradas, as mensagens ficam apenas na caixa de saída interna da plataforma e não saem para nenhum terceiro.
• Infraestrutura — provedor de hospedagem onde a aplicação e o banco de dados rodam, sob contrato de operação.
• Autoridades — mediante requisição legal, no limite do que for exigido.

Não vendemos, alugamos nem cedemos dado pessoal para publicidade de terceiros. Não montamos perfil de consumo para revenda.

Esta tabela é a leitura que fazemos hoje das nossas próprias operações e é um dos pontos que a revisão jurídica precisa confirmar.

Pela LGPD, você pode pedir a qualquer momento:

• confirmação de que tratamos dados seus, e acesso a eles;
• correção de dado incompleto, inexato ou desatualizado;
• anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado fora da lei;
• portabilidade para outro fornecedor, nos termos da regulamentação;
• informação sobre com quem compartilhamos os seus dados;
• revogação do consentimento — se você foi indicado, pode recusar no próprio convite, e o contato é descartado na hora; se já autorizou, pode voltar atrás pelo canal de suporte, e a equipe encerra a indicação;
• oposição a tratamento feito com base em legítimo interesse.

Os dados que já seguiram para a Hapvida com uma proposta são tratados por ela: os pedidos sobre eles vão aos canais da própria Hapvida, e a equipe ViaSaúde orienta como fazer.

As regras de atribuição e de prevenção a fraude do programa são automáticas (é um sistema que decide se uma indicação pode ser registrada e quem fica com ela). Se uma dessas decisões atingir você, pode pedir revisão — ela é feita por uma pessoa da equipe, com a linha do tempo do caso à vista.

Esses pedidos vão pelo canal de suporte por WhatsApp, que ainda não está disponível e será publicado no fim desta página antes do lançamento do programa. Respondemos pedidos simples de imediato e os demais em até 15 dias. Podemos pedir uma confirmação de identidade antes de atender — é proteção para você.

• Conta do indicador — enquanto a conta existir. Encerrada a conta, guardamos o mínimo necessário para as obrigações legais e financeiras.
• Indicação autorizada — pelo tempo do atendimento e depois pelo prazo das obrigações legais, porque ela pode ser a origem de um valor pago.
• Indicação não autorizada — encerrada na hora, se a pessoa recusa no convite, ou quando vencem os 7 dias sem resposta (por uma rotina que roda de hora em hora, ou quando a pessoa abre o convite vencido). Nesse momento, o sobrenome e o telefone são apagados da indicação e da cópia do pedido de autorização na caixa de saída. Ficam o primeiro nome, a cidade, as datas, o motivo e, se a pessoa respondeu no convite, a prova da resposta (data, endereço IP, navegador e versão do texto), sem nome nem telefone.
• Indicação encerrada por duplicidade — quando a pessoa autoriza o contato pela indicação de outra pessoa, as demais pendentes do mesmo telefone são encerradas e mantidas como estão, porque o contato dela já é tratado pela indicação autorizada.
• Cotação e pedido de atendimento — não há apagamento automático hoje. Ficam guardados enquanto a plataforma operar e podem ser eliminados a pedido (item 11), ressalvado o que for prova de pagamento.
• Códigos de acesso, sessões e contagens contra abuso — o código vale 10 minutos e a sessão, até 30 dias. Uma rotina que roda de hora em hora apaga os códigos 24 horas depois de criados, as sessões 30 dias depois de vencidas e as contagens 48 horas depois. Código ou sessão vencidos não dão acesso a nada, e as travas de telefone deixam de valer quando vencem.
• Registros de auditoria e mensagens enviadas — mantidos para prova de quem fez o quê e do que foi comunicado, com a exceção do descarte descrito acima.
• Medição de visitas — 400 dias. Os registros mais antigos que isso são apagados automaticamente. O valor aleatório que forma o código de visitante não chega a ser gravado: vive na memória do servidor e é descartado à meia-noite.

• dados sensíveis guardados de forma irreversível (códigos de acesso, sessões) ou cifrada (chave PIX);
• acesso interno separado por papel: indicador, operação, financeiro, conteúdo e administração veem coisas diferentes;
• registro de auditoria com autor, data, ação, endereço IP e o antes e o depois de cada alteração relevante;
• conexão segura (https) quando o site é servido pelo endereço público com certificado, e segredos de aplicação fora do código.

Nenhum sistema é invulnerável. Se ocorrer incidente de segurança com risco relevante aos seus dados, comunicaremos você e a Autoridade Nacional de Proteção de Dados, com o que aconteceu, o que foi afetado e o que fizemos.

A conta de indicador é para maiores de 18 anos. A plataforma não pede nem guarda dados identificáveis de dependentes menores: na cotação, crianças e adolescentes entram apenas pela idade ou pela faixa etária, sem nome, sem documento e sem data de nascimento. O cadastro nominal de dependentes, se houver contratação, é feito com o corretor habilitado e a Hapvida, fora desta plataforma.

Esta política tem versão e data, no topo da página. A plataforma ainda não envia aviso de mudança por WhatsApp ou e-mail: a nova versão é publicada aqui e, na área do indicador, quem entra depois da mudança precisa aceitar o texto novo para continuar. A versão anterior fica disponível mediante pedido.

As regras do programa de indicação — prazos, valores, carência e condutas — estão no Regulamento do Programa de Indicação.

Pedidos sobre dados pessoais — acesso, correção, exclusão, revogação de autorização ou dúvida sobre esta política — vão pelo canal de suporte por WhatsApp, que ainda não está disponível e será publicado aqui antes do lançamento do programa. Quem foi indicado e ainda não respondeu pode recusar diretamente no convite.

O nome e o contato direto do encarregado pelo tratamento de dados (DPO) serão publicados aqui antes do lançamento do programa.

A ViaSaúde é uma plataforma independente de indicação e atendimento para planos Hapvida. Não é a Hapvida nem faz parte do grupo Hapvida NotreDame Intermédica; a marca Hapvida pertence aos seus titulares e aparece aqui só para identificar os planos. A contratação é feita com a operadora, por corretor habilitado.