Tradução de cortesia. Em caso de divergência, prevalece a versão em espanhol, que é a única vinculante.

Versão 1.0 · Última atualização: 24 de julho de 2026

Política de Privacidade e Proteção de Dados — BotanikTrace

Última atualização: 24 de julho de 2026 Versão: 1.0 (minuta para revisão jurídica antes da publicação)

⚠️ Nota sobre este documento. Esta minuta foi elaborada seguindo os padrões habituais do GDPR (UE/EEE e Reino Unido), da CCPA/CPRA (Califórnia), da LGPD (Brasil), da Lei 25.326 (Argentina) e de normas equivalentes em outras jurisdições de língua espanhola e portuguesa. Antes de publicá-la, preencher os campos entre colchetes [ ], designar formalmente (se aplicável) um Encarregado de Proteção de Dados (DPO) ou representante na UE/Reino Unido, e validar com assessoria jurídica local em cada país onde a BotanikTrace tenha usuários — em especial por se tratar de dados vinculados a uma atividade regulada (cultivo de cannabis).

Esta Política de Privacidade ("Política") descreve como a [RAZÃO SOCIAL COMPLETA] ("BotanikTrace", "a Companhia", "nós"), com endereço em [ENDEREÇO LEGAL], coleta, usa, compartilha e protege os dados pessoais de quem usa o nosso site, painel (panel.botaniktrace.com), aplicativos, APIs e dispositivos associados (em conjunto, o "Serviço"). É parte integrante dos Termos e Condições.

Índice

1. Escopo e controlador do tratamento
2. Dados que coletamos
3. Finalidades e bases legais do tratamento
4. Dados de dispositivos IoT e sensores
5. Evidência fotográfica e geolocalização
6. Passaportes públicos e dados expostos sem autenticação
7. Com quem compartilhamos dados
8. Transferências internacionais de dados
9. Retenção e conservação de dados
10. Medidas de segurança
11. Cookies e tecnologias similares
12. Seus direitos sobre os seus dados
13. Direitos específicos — União Europeia / EEE / Reino Unido (GDPR)
14. Direitos específicos — Califórnia (CCPA/CPRA)
15. Direitos específicos — Brasil (LGPD)
16. Direitos específicos — Argentina (Lei 25.326) e outras jurisdições latino-americanas
17. Menores de idade
18. Notificação de incidentes de segurança
19. Alterações a esta Política
20. Contato e Encarregado de Proteção de Dados

1. Escopo e controlador do tratamento

1.1. Esta Política aplica-se aos dados pessoais tratados através do Serviço, incluindo o site de marketing (botaniktrace.com), o painel da aplicação (panel.botaniktrace.com), as APIs (/api/*), os dispositivos e gateways que se conectam ao Serviço, e as comunicações associadas (e-mail, Telegram, Discord).

1.2. A BotanikTrace atua como controladora dos dados pessoais de conta (por exemplo, os seus dados de cadastro, faturamento e uso da plataforma). A respeito dos Dados de Cultivo que uma Organização carrega sobre terceiros (por exemplo, o nome de uma testemunha em uma destruição, ou dados de contato de um destinatário em um documento de distribuição), a BotanikTrace atua como operadora em nome da Organização, que é a controladora de tais dados perante esses terceiros. Se você administra uma Organização com dados de terceiros, é responsável por contar com base legal própria para tratá-los e por cumprir as suas próprias obrigações de informação perante eles.

1.3. Se você atua em nome de uma Organização (empresa, cooperativa, associação), esta Política aplica-se sem prejuízo dos acordos de tratamento de dados (DPA) que possam ser adicionalmente celebrados entre a Organização e a Companhia quando a normativa aplicável (por exemplo, o GDPR) assim o exigir.

2. Dados que coletamos

2.1. Dados que você nos fornece diretamente

• Dados de conta e perfil: nome, e-mail, senha (armazenada com hash bcrypt, nunca em texto simples), organização, fuso horário, idioma preferido, unidades de medida.
• Dados de verificação e segurança: status de verificação de e-mail, segredo/status de 2FA (TOTP), histórico de sessões e tentativas de acesso (para rate-limiting antifraude).
• Dados de faturamento: plano contratado, ciclo de faturamento, histórico de pagamentos e identificadores de transação fornecidos pelo gateway de pagamento (MercadoPago/Stripe). Não armazenamos números completos de cartões de crédito/débito; esse dado é processado diretamente pelo gateway de pagamento.
• Vinculações de mensageria: identificadores de conta do Telegram e/ou Discord, unicamente se você decidir vinculá-las.
• Dados de Cultivo: informação sobre plantas, lotes, ambientes, colheitas, análises de laboratório, licenças, regras de automação, evidência fotográfica e registros de destruição que você carregue na Plataforma.
• Comunicações: conteúdo de tickets de suporte, e-mails ou mensagens que você nos envie.

2.2. Dados que coletamos automaticamente

• Dados técnicos e de uso: endereço IP, tipo de dispositivo e navegador, sistema operacional, páginas visitadas, marcas de tempo, identificadores de sessão, e registros de auditoria de ações dentro da Plataforma.
• Dados de dispositivos IoT: leituras de sensores (temperatura, umidade, CO₂, VPD, EC, N-P-K, etc.), identificadores de hardware, status de conectividade (last_seen) e metadados das solicitações assinadas por HMAC. Ver Seção 4.
• Cookies e armazenamento local: ver Seção 11.

2.3. Dados que recebemos de terceiros

• Confirmações de pagamento e status de assinatura do MercadoPago e/ou Stripe (mediante webhooks validados por assinatura).
• Informação de vinculação do Telegram e/ou Discord quando você conecta a sua conta (identificador de chat/usuário), conforme os fluxos de autorização de tais plataformas.

2.4. Categorias especiais de dados

2.4.1. Em princípio, o Serviço não foi desenhado para coletar categorias especiais de dados pessoais (por exemplo, dados de saúde, origem étnica, opiniões políticas ou filiação sindical) dos Usuários. Não obstante, advertimos que:

a) os dados de geolocalização associados a evidência fotográfica de um cultivo (Seção 5) podem ser considerados sensíveis por motivos de segurança, dado que revelam a localização de uma atividade regulada; e

b) em jurisdições onde o cultivo, posse ou uso de cannabis está vinculado a uma condição médica ou a um registro de paciente (por exemplo, programas de cannabis medicinal), os dados que um Usuário decida carregar poderiam constituir dados relativos à saúde sob o GDPR, a LGPD ou outra normativa aplicável, e serão tratados com as salvaguardas reforçadas que tal normativa exige (base legal específica, minimização, controles de acesso adicionais).

2.4.2. Solicitamos aos Usuários não carregar categorias especiais de dados de terceiros (por exemplo, dados de saúde de um terceiro) salvo se existir base legal específica e necessidade estrita para a finalidade de rastreabilidade perseguida.

3. Finalidades e bases legais do tratamento

Quando a base legal for o consentimento, você pode retirá-lo a qualquer momento sem afetar a licitude do tratamento prévio, através da configuração da sua conta ou entrando em contato conosco (Seção 20).

4. Dados de dispositivos IoT e sensores

4.1. Os Dispositivos (sensores, gateways RS-485, Raspberry Pi) transmitem medições assinadas mediante HMAC, junto com o seu identificador de hardware e uma marca de tempo, aos nossos endpoints de ingestão (/api/metrics/ingest.php). Estes dados são validados (assinatura, faixa plausível, limite de taxa) antes de serem armazenados.

4.2. Estes dados ambientais, por si sós, geralmente não constituem dados pessoais. No entanto, quando combinados com a identidade do Usuário/Organização titular do Dispositivo e com dados de geolocalização (Seção 5), podem tornar-se indiretamente identificáveis, e nesse caso são tratados com as mesmas garantias que o restante dos Dados de Cultivo.

4.3. O Usuário é responsável pela segurança física dos seus Dispositivos e das suas credenciais (device_secret, API-Key); a Companhia não pode proteger dados vazados por perda ou comprometimento de credenciais fora dos nossos sistemas.

5. Evidência fotográfica e geolocalização

5.1. Quando você carrega evidência fotográfica com coordenadas de geolocalização (latitude/longitude), tratamos essas coordenadas como um dado pessoal potencialmente sensível (revela a localização de uma atividade regulada) e as armazenamos com os mesmos controles de acesso que o restante dos Dados de Cultivo (isolamento multi-tenant, papéis e permissões).

5.2. Não usamos as coordenadas de geolocalização para publicidade nem as compartilhamos com terceiros salvo: (a) se você decidir incluí-las em um passaporte público (Seção 6) ou em um relatório que exporte; (b) se for necessário para cumprir uma obrigação legal; ou (c) se você autorizar expressamente.

5.3. Você pode optar por não incluir geolocalização ao carregar evidência; isso não afeta o restante das funcionalidades do Serviço.

6. Passaportes públicos e dados expostos sem autenticação

6.1. Conforme detalhado na Seção 13 dos Termos e Condições, a Plataforma permite gerar passaportes públicos acessíveis sem login. Qualquer dado pessoal que você decida incluir em um passaporte público (por exemplo, o nome de um responsável, ou coordenadas de localização) ficará acessível publicamente na internet.

6.2. É sua responsabilidade, como Usuário ou Organização, avaliar que informação inclui em um passaporte público, minimizando dados pessoais de terceiros que não seja estritamente necessário divulgar. A Companhia não controla o acesso posterior de terceiros a um link público já gerado e compartilhado.

7. Com quem compartilhamos dados

Compartilhamos dados pessoais unicamente nas seguintes circunstâncias:

• Provedores de infraestrutura e suboperadores de tratamento: provedores de hospedagem/nuvem, banco de dados, e-mail transacional (SMTP), e armazenamento de arquivos, sob acordos contratuais que exigem níveis de segurança e confidencialidade adequados. [Completar: listar provedores concretos, p. ex. provedor de hospedagem/nuvem, provedor de e-mail transacional].
• Gateways de pagamento: MercadoPago e/ou Stripe, para processar assinaturas e pagamentos, conforme as suas próprias políticas de privacidade.
• Serviços de mensageria: Telegram e/ou Discord, unicamente se você vincular a sua conta, e apenas a informação necessária para entregar notificações.
• Outros membros da sua Organização: conforme o papel e as permissões que o administrador da sua Organização lhe atribua.
• Autoridades públicas ou reguladoras: quando existir uma obrigação legal válida (ordem judicial, requerimento com base legal), ou quando for necessário para proteger direitos, propriedade ou segurança da Companhia, dos Usuários ou de terceiros. Iremos notificá-lo de tais requerimentos salvo se a lei o proibir.
• No marco de uma operação societária: fusão, aquisição, reorganização ou venda de ativos, sujeito a que o adquirente assuma compromissos de proteção de dados equivalentes.

Não vendemos dados pessoais a terceiros com fins publicitários, nem compartilhamos Dados de Cultivo com fins comerciais alheios à prestação do Serviço, salvo em formato agregado/anonimizado conforme a Seção 10.3 dos Termos e Condições.

8. Transferências internacionais de dados

8.1. A nossa infraestrutura e os nossos provedores podem estar localizados em países distintos do seu, incluindo transferências fora do Espaço Econômico Europeu (EEE) ou do Reino Unido.

8.2. Quando transferimos dados pessoais de usuários do EEE/Reino Unido para países que não contam com uma decisão de adequação da Comissão Europeia, implementamos garantias adequadas conforme o GDPR, tais como as Cláusulas Contratuais-Tipo (Standard Contractual Clauses, SCC) aprovadas pela Comissão Europeia, e avaliações de impacto de transferência quando cabível.

8.3. Você pode solicitar mais informação sobre as garantias específicas aplicadas ao seu caso entrando em contato conosco (Seção 20).

9. Retenção e conservação de dados

9.1. Conservamos os dados pessoais durante o tempo necessário para cumprir as finalidades descritas nesta Política, e depois os eliminamos ou anonimizamos, salvo se a lei exigir um prazo distinto.

9.2. Prazos orientativos (a completar/ajustar conforme política interna definitiva):

9.3. Conforme explicado na Seção 12 dos Termos e Condições, determinados registros de rastreabilidade regulatória podem ser conservados além de uma solicitação de exclusão, na medida permitida pelas exceções ao direito de eliminação previstas no art. 17.3 do GDPR, na CCPA/CPRA, na Lei 25.326 e em normativa equivalente, por se tratar de informação sujeita a obrigação legal de conservação.

10. Medidas de segurança

Implementamos medidas técnicas e organizativas razoáveis e proporcionais ao risco, entre elas:

• Hashing de senhas com bcrypt (nunca texto simples).
• Autenticação de dois fatores (2FA/TOTP) opcional para os Usuários.
• Cookies de sessão seguros (HttpOnly, SameSite) e expiração de tokens.
• Proteção CSRF em operações que modificam dados.
• Isolamento lógico multi-tenant: uma Organização não pode acessar dados de outra.
• Registro de auditoria encadeado por hash (hash chain), que permite detectar alterações não autorizadas do histórico.
• Assinatura HMAC na ingestão de dados de sensores e validação de assinatura em webhooks de pagamento.
• Cabeçalhos de segurança HTTP e Content Security Policy (CSP) no servidor.
• Limite de tentativas de acesso (rate limiting) para mitigar ataques de força bruta.
• Controles de acesso baseados em papéis e permissões granulares, com opção de dupla aprovação para operações sensíveis.

Estas medidas são descritas com fins informativos e não constituem uma garantia de segurança absoluta. Nenhum sistema é completamente invulnerável; ver também a Seção 18 sobre notificação de incidentes.

11. Cookies e tecnologias similares

11.1. Utilizamos cookies e tecnologias similares (localStorage, tokens de sessão) para: (a) manter a sua sessão iniciada; (b) lembrar preferências (idioma, unidades); (c) proteger contra CSRF; e, se estiverem habilitadas, (d) analítica de uso agregada.

11.2. Cookies estritamente necessários (sessão, segurança/CSRF) são instalados sem requerer consentimento prévio, por serem indispensáveis para o funcionamento do Serviço, conforme o permite a normativa de cookies aplicável (por exemplo, a Diretiva ePrivacy na UE).

11.3. Cookies não essenciais (analítica, preferências não funcionais), se houver, serão instalados unicamente com o seu consentimento prévio, gerenciável mediante um painel de preferências de cookies. [Completar conforme as ferramentas de analítica/marketing efetivamente utilizadas, se houver, e ativar um banner de consentimento de cookies conforme o GDPR/ePrivacy para usuários do EEE/Reino Unido, e conforme a LGPD para usuários do Brasil].

11.4. Você pode gerenciar ou bloquear cookies a partir da configuração do seu navegador, embora isso possa afetar o funcionamento do Serviço.

12. Seus direitos sobre os seus dados

Independentemente da sua localização, e na medida em que a normativa local os reconheça, você pode exercer os seguintes direitos sobre os seus dados pessoais:

• Acesso: obter confirmação de se tratamos dados seus e cópia dos mesmos.
• Retificação: corrigir dados inexatos ou incompletos.
• Eliminação / cancelamento: solicitar a exclusão ou anonimização dos seus dados, sujeito às exceções legais descritas na Seção 9.3.
• Portabilidade: receber os seus dados em formato estruturado, de uso comum e leitura por máquina (JSON), e transmiti-los a outro controlador quando for tecnicamente possível.
• Oposição: opor-se ao tratamento dos seus dados baseado em interesse legítimo ou para fins de marketing direto.
• Limitação do tratamento: solicitar que restrinjamos o tratamento em determinadas hipóteses.
• Revogar o consentimento, quando o tratamento se basear nele, sem efeito retroativo.
• Não ser objeto de decisões baseadas unicamente em tratamento automatizado que produzam efeitos jurídicos significativos sobre você. (A BotanikTrace não utiliza atualmente perfilamento automatizado com efeitos jurídicos ou significativos sobre os Usuários; os alertas e automações operam sobre regras configuradas pelo próprio Usuário.)

Como exercê-los. No painel, em Configurações → Privacidade (/privacy), você pode exportar os seus dados e solicitar a exclusão/anonimização da sua conta de forma self-service. Para qualquer outro direito, ou se preferir gerenciá-lo por e-mail, escreva-nos para os contatos da Seção 20. Responderemos dentro dos prazos exigidos pela normativa aplicável (por exemplo, um mês conforme o GDPR, prorrogável; os prazos específicos da CCPA/CPRA, LGPD e Lei 25.326 são detalhados nas seções 13 a 16).

Você tem, além disso, direito a apresentar reclamação perante a autoridade de controle de proteção de dados que corresponda ao seu país de residência (ver exemplos nas seções seguintes).

13. Direitos específicos — União Europeia / EEE / Reino Unido (GDPR)

13.1. Se você reside no EEE, Reino Unido ou Suíça, além dos direitos gerais da Seção 12, tem direito a apresentar reclamação perante a sua autoridade nacional de controle (por exemplo, a AEPD na Espanha, a CNIL na França, ou o ICO no Reino Unido).

13.2. Base legal para transferências internacionais: ver Seção 8.

13.3. Encarregado de Proteção de Dados / Representante na UE: se a Companhia estiver obrigada a designá-lo conforme o art. 27 ou 37 do GDPR, os seus dados de contato serão publicados na Seção 20.

13.4. Não realizamos tratamento automatizado com efeitos jurídicos significativos sem intervenção humana, conforme o art. 22 do GDPR.

14. Direitos específicos — Califórnia (CCPA/CPRA)

14.1. Se você é residente da Califórnia, tem direito a: saber quais categorias de informação pessoal coletamos, usamos, divulgamos e (se for o caso) "vendemos" ou "compartilhamos" (no sentido amplo da CPRA); solicitar o acesso e a portabilidade dos seus dados; solicitar a sua eliminação; solicitar a correção de informação inexata; limitar o uso e divulgação de informação pessoal sensível; e não ser objeto de tratamento discriminatório por exercer estes direitos.

14.2. Declaração sobre venda/"compartilhamento" de dados: a BotanikTrace não vende informação pessoal segundo a definição da CCPA/CPRA. [Confirmar/ajustar se forem incorporadas ferramentas de publicidade ou analítica de terceiros que possam constituir "sharing" sob a CPRA; nesse caso, habilitar mecanismo de exclusão "Do Not Sell or Share My Personal Information" e honrar sinais Global Privacy Control (GPC)].

14.3. Você pode exercer os seus direitos CCPA/CPRA através do painel de Privacidade ou escrevendo para os contatos da Seção 20. Verificaremos a sua identidade antes de processar a solicitação, conforme o exige a lei.

15. Direitos específicos — Brasil (LGPD)

15.1. Se você se encontra no Brasil, a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) reconhece os direitos de confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação, portabilidade, eliminação, informação sobre entidades públicas/privadas com as quais compartilhamos dados, informação sobre a possibilidade de não fornecer consentimento e suas consequências, e revogação do consentimento.

15.2. Você pode apresentar reclamação perante a Autoridade Nacional de Proteção de Dados (ANPD).

15.3. [Completar]: identificar o Encarregado de Dados (DPO) designado conforme o art. 41 da LGPD, cujos dados de contato serão publicados na Seção 20.

16. Direitos específicos — Argentina (Lei 25.326) e outras jurisdições latino-americanas

16.1. Argentina. Conforme a Lei 25.326 de Proteção dos Dados Pessoais e o seu regulamento, você tem direito de acesso, retificação, atualização e supressão dos seus dados pessoais, bem como de revogar o consentimento outorgado. A Agencia de Acceso a la Información Pública (AAIP), na sua qualidade de autoridade de controle, tem a atribuição de atender denúncias e reclamações apresentadas por quem resulte afetado nos seus direitos por descumprimento das normas vigentes em matéria de proteção de dados pessoais.

16.2. Os dados pessoais tratados no marco do Serviço são incorporados a um banco de dados de titularidade da Companhia, e poderão ser cedidos unicamente conforme o previsto na Lei 25.326 e nesta Política.

16.3. Outras jurisdições latino-americanas. Se você reside em um país com legislação específica de proteção de dados pessoais (a título de exemplo: Lei N.º 19.628 e Lei N.º 21.719 no Chile; Lei 1581 de 2012 na Colômbia; Lei Federal de Proteção de Dados Pessoais em Posse dos Particulares no México; Lei N.º 18.331 no Uruguai; Lei de Proteção de Dados Pessoais no Peru), reconhecemos os direitos de acesso, retificação, cancelamento/supressão, oposição e portabilidade que tal normativa lhe outorgue, e você pode exercê-los mediante os contatos da Seção 20. Diante de qualquer dúvida sobre o marco específico aplicável ao seu país, entre em contato conosco e o orientaremos sobre o procedimento correspondente.

17. Menores de idade

O Serviço não é dirigido a menores de idade (ver Seção 2.4 dos Termos e Condições) e não coletamos intencionalmente dados de menores. Se você é mãe, pai ou responsável e acredita que um menor sob a sua guarda nos forneceu dados pessoais, entre em contato conosco para solicitar a sua eliminação.

18. Notificação de incidentes de segurança

18.1. Contamos com procedimentos internos para detectar, avaliar e responder a incidentes de segurança que possam afetar dados pessoais.

18.2. Em caso de violação de segurança de dados pessoais que suponha um risco para os seus direitos e liberdades, iremos notificá-lo sem demora indevida, e notificaremos a autoridade de controle competente dentro dos prazos exigidos pela normativa aplicável (por exemplo, 72 horas conforme o art. 33 do GDPR desde que tenhamos conhecimento do incidente, ou outros prazos conforme a lei da sua jurisdição), indicando a natureza do incidente, as categorias e o volume aproximado de dados afetados, as consequências prováveis e as medidas adotadas ou propostas.

19. Alterações a esta Política

Podemos atualizar esta Política periodicamente. Diante de mudanças substanciais, iremos notificá-lo por e-mail e/ou mediante um aviso destacado na Plataforma antes de que entrem em vigor, indicando a nova data de "Última atualização". Recomendamos que você revise esta página periodicamente.

20. Contato e Encarregado de Proteção de Dados

Para exercer os seus direitos, realizar consultas sobre esta Política ou reportar um incidente de segurança:

• Proteção de dados / DPO / Encarregado(a) de Dados: [[email protected]]
• Suporte geral: [[email protected]]
• Endereço legal: [ENDEREÇO LEGAL COMPLETO]
• Representante na UE/EEE (se aplicável conforme o art. 27 do GDPR): [A DESIGNAR]
• Autoridade de controle de referência (Argentina): Agencia de Acceso a la Información Pública (AAIP) — www.argentina.gob.ar/aaip

Documento relacionado: Termos e Condições de Uso.