Política de Privacidade
Última atualização: 30 de outubro de 2026
A privacidade e a proteção dos dados pessoais dos nossos usuários são prioridades para a Mega Popular. Esta Política de Privacidade ("Política") descreve, em conformidade com a Lei Geral de Proteção de Dados, Lei nº 13.709/2018 ("LGPD"), com o Marco Civil da Internet (Lei nº 12.965/2014) e com o Código de Defesa do Consumidor (Lei nº 8.078/1990), como tratamos os dados pessoais coletados em nossas plataformas digitais públicas.
Esta Política deve ser lida em conjunto com os Termos de Uso.
1. Quem somos (Controlador dos dados)
Para fins desta Política, o Controlador dos dados pessoais é:
- Razão social: ASSOCIAÇÃO MULTIMARCAS DE FARMÁCIAS E DROGARIAS
- CNPJ: 16.684.080/0001-81
- Endereço: Rua Domingos de Morais, 2709, Vila Mariana, CEP 04035-001
- E-mail para assuntos de privacidade: (a informar)
- WhatsApp/Telefone: (11) 3283-3737
1.1. Encarregado de Proteção de Dados (DPO)
Em cumprimento ao art. 41 da LGPD, designamos um Encarregado pelo Tratamento de Dados Pessoais ("DPO"), que pode ser contatado por:
- Nome: (a informar)
- E-mail: (a informar)
1.2. Operadora da plataforma
As páginas públicas da Mega Popular funcionam na plataforma Biolink Premium, desenvolvida e mantida pela AG Premium, que atua como Operadora dos dados pessoais (art. 5º, VII, da LGPD): trata os dados apenas em nome do Controlador e conforme as instruções dele, para hospedar as páginas, registrar as métricas de uso e manter a segurança da plataforma.
2. A quem se aplica esta Política
Esta Política se aplica ao tratamento de dados pessoais de:
- visitantes do site, biolink e catálogo de ofertas (
/,/unidades,/ofertas,/regulamentos); - usuários que clicam em ofertas e prosseguem com pedido via WhatsApp;
- usuários cujos dados são coletados automaticamente por meio de cookies, pixels e ferramentas de mensuração.
Observação: o tratamento de dados de colaboradores e usuários do painel administrativo interno (
/dashboard) está fora do escopo desta Política, sendo regido por documentação interna específica.
3. Quais dados pessoais coletamos
Coletamos somente os dados necessários para as finalidades descritas nesta Política, observando o princípio da minimização (art. 6º, III, da LGPD).
3.1. Dados fornecidos pelo Usuário
Você pode nos fornecer dados ao interagir voluntariamente com as plataformas, por exemplo:
| Categoria | Exemplos | Quando coletamos |
|---|---|---|
| Identificação básica | Nome, telefone/WhatsApp | Apenas se você optar por enviá-los ao prosseguir o pedido no WhatsApp (a mensagem ao WhatsApp é enviada pelo seu próprio aplicativo) |
| Preferência geográfica | Cidade selecionada | Ao usar filtros ou o parâmetro ?cidade= |
3.2. Dados coletados automaticamente
Ao navegar nas plataformas, coletamos automaticamente:
| Categoria | Exemplos |
|---|---|
| Dados de navegação | Endereço IP, páginas visitadas, referer, user agent, data e hora dos acessos, duração da sessão |
| Localização aproximada | Cidade e estado inferidos pelo IP (via cabeçalho x-vercel-ip-city do provedor de hospedagem). Não usamos geolocalização precisa do dispositivo |
| Identificadores de dispositivo | Cookies de sessão, identificadores de medição, pixels (os de terceiros só com o seu consentimento, conforme a seção 8) |
| Origem do tráfego (UTM) | Parâmetros utm_source, utm_medium, utm_campaign, utm_term, utm_content |
| Eventos de interação | Visualização de campanha, clique em card de oferta, seleção de produto, envio de pedido ao WhatsApp, clique em banner, clique em link do biolink |
3.3. Dados sensíveis
Não coletamos intencionalmente dados pessoais sensíveis (art. 5º, II, LGPD), como dados de saúde, biometria, origem racial, convicção religiosa, opinião política, filiação sindical ou orientação sexual.
Caso o Usuário voluntariamente envie informações de saúde diretamente ao WhatsApp da unidade (ex.: nome de medicamento prescrito), esse tratamento ocorre no canal do WhatsApp, conforme política do próprio aplicativo e da unidade destinatária, não em nossas plataformas web.
3.4. Dados de crianças e adolescentes
As plataformas não são direcionadas a menores de 18 anos e não coletamos intencionalmente dados de crianças ou adolescentes sem o consentimento específico e em destaque de pais ou responsáveis (art. 14, LGPD). Caso identifiquemos tal coleta inadvertida, eliminaremos os dados.
4. Por que tratamos seus dados (Finalidades)
Tratamos dados pessoais para as seguintes finalidades:
| # | Finalidade | Exemplos |
|---|---|---|
| 1 | Operação das plataformas | Exibir páginas, ofertas, banners e regulamentos; identificar a cidade do visitante para personalizar campanhas regionais |
| 2 | Viabilizar pedidos | Permitir que o Usuário envie a lista de produtos selecionados para o WhatsApp da unidade |
| 3 | Mensuração e analytics | Entender quantos usuários acessam, de onde vêm (UTM), o que clicam, quais ofertas geram mais interesse. A medição própria da plataforma não envolve terceiros; a medição por ferramentas de terceiros (como o Google Analytics) depende do seu consentimento |
| 4 | Marketing e remarketing | Veicular anúncios nas plataformas de terceiros (Meta, TikTok, Google) para usuários que já demonstraram interesse, sempre com base no consentimento dado pelo aviso de cookies exibido na primeira visita, que pode ser revisto a qualquer momento em "Preferências de cookies", no rodapé |
| 5 | Segurança e prevenção a fraudes | Detectar e mitigar abusos (clique automatizado, scraping, ataques), incluindo debounce de cliques e dedup no servidor |
| 6 | Cumprimento de obrigações legais | Atender requisições de autoridades, manter logs nos termos do Marco Civil, atender direitos de titulares |
| 7 | Suporte e atendimento | Responder dúvidas, reclamações e solicitações de titulares |
5. Bases legais para o tratamento (art. 7º e 11 da LGPD)
Cada finalidade está apoiada em uma base legal específica:
| Finalidade | Base legal LGPD |
|---|---|
| Operação das plataformas e exibição de ofertas | Legítimo interesse (art. 7º, IX) e execução de procedimentos preliminares relacionados a contrato (art. 7º, V) |
| Pedido via WhatsApp | Execução de procedimentos preliminares relacionados a contrato (art. 7º, V) |
| Cookies e medição estritamente necessários (inclusive a medição própria, sem terceiros) | Legítimo interesse (art. 7º, IX) |
| Registro da sua escolha sobre cookies | Cumprimento de obrigação legal (art. 7º, II), para demonstrar o consentimento (art. 8º, § 2º) |
| Cookies de analytics, marketing, remarketing e pixels de terceiros (Google, Meta, TikTok) | Consentimento (art. 7º, I), coletado pelo aviso de cookies exibido na primeira visita, que pode ser revisto a qualquer momento em "Preferências de cookies", no rodapé |
| Segurança, prevenção a fraudes, debounce e dedup | Legítimo interesse (art. 7º, IX) |
| Logs de acesso | Cumprimento de obrigação legal (art. 7º, II): Marco Civil da Internet, art. 15 |
| Atendimento a direitos de titulares e autoridades | Cumprimento de obrigação legal/regulatória (art. 7º, II) |
Sempre que o tratamento se basear em legítimo interesse, realizamos avaliação de impacto e adotamos salvaguardas para garantir que seus direitos e liberdades fundamentais sejam respeitados.
6. Com quem compartilhamos seus dados
Compartilhamos dados estritamente necessários com operadores e parceiros que prestam serviços essenciais ao funcionamento das plataformas. Todos atuam sob nossas instruções e/ou seus próprios termos publicamente disponíveis.
6.1. Infraestrutura e operação
| Parceiro | Finalidade | Categoria |
|---|---|---|
| AG Premium (Brasil) | Desenvolvimento, operação e suporte da plataforma Biolink Premium | Operadora |
| Vercel Inc. (EUA) | Hospedagem da aplicação, edge network, detecção de cidade por IP, armazenamento de arquivos (Vercel Blob) | Operador / sub-operador |
| Neon, Inc. (EUA) | Banco de dados PostgreSQL gerenciado | Operador |
| Resend, Inc. (EUA) | Envio de e-mails transacionais (uso restrito ao painel administrativo) | Operador |
| WhatsApp (Meta Platforms, Inc.) | Recebimento da mensagem de pedido que você envia voluntariamente, apenas como destino do redirecionamento | Controlador independente |
6.2. Mensuração e marketing
Estes parceiros só recebem dados se você aceitar a categoria correspondente no aviso de cookies (seção 8):
| Parceiro | Finalidade | Como recebe | Base legal |
|---|---|---|---|
| Google Analytics (Google) | Medição de audiência e de comportamento de navegação | Pelo navegador e, quando habilitado, pelo servidor da plataforma | Consentimento (categoria Análise) |
| Google Ads (Google) | Mensuração de conversões e remarketing nos anúncios do Google | Pelo navegador | Consentimento (categoria Marketing) |
| Meta (Facebook e Instagram) | Mensuração de conversões e remarketing no Facebook e no Instagram | Pelo navegador e, quando habilitado, pelo servidor da plataforma | Consentimento (categoria Marketing) |
| TikTok | Mensuração de conversões e remarketing no TikTok | Pelo navegador e, quando habilitado, pelo servidor da plataforma | Consentimento (categoria Marketing) |
| Google Tag Manager (Google) | Gerenciamento das ferramentas acima, quando utilizado | Pelo navegador, só depois de aceita a categoria Análise ou Marketing | Consentimento |
Envio pelo servidor. Quando habilitado, além do navegador, os servidores da plataforma podem comunicar diretamente a essas plataformas os eventos de interesse (por exemplo, o envio de um pedido ao WhatsApp), sempre com o seu consentimento para a categoria correspondente. Isso evita perdas de medição e contagens em dobro. Vão: o tipo do evento, o valor estimado e os itens do pedido, a página, o endereço IP, o tipo de navegador (user agent), os identificadores criados pelas próprias plataformas no seu navegador (como os cookies _ga, _fbp, _fbc e _ttp e os identificadores de clique de anúncio) e um identificador do seu navegador protegido por hash (SHA-256). Não vão: nome, CPF, telefone ou e-mail.
Esses parceiros podem atuar como controladores ou operadores independentes, conforme sua política. Recomendamos a consulta às respectivas políticas de privacidade: - Google: https://policies.google.com/privacy - Meta: https://www.facebook.com/privacy/policy - TikTok: https://www.tiktok.com/legal/privacy-policy
6.3. Outras hipóteses de compartilhamento
Podemos ainda compartilhar dados:
- com as unidades da empresa, no que estritamente necessário ao atendimento do seu pedido via WhatsApp;
- com autoridades públicas e judiciais, em cumprimento a ordens legais, regulatórias ou requisições legítimas;
- com auditores, advogados e consultores, sob obrigações de confidencialidade, para defesa de direitos da Empresa;
- em caso de reorganização societária (fusão, aquisição, alienação de ativos), respeitada esta Política.
Não vendemos dados pessoais.
7. Transferência internacional de dados
Em razão do uso de provedores como Vercel, Neon, Google, Meta e TikTok, alguns dados podem ser armazenados ou processados em servidores localizados fora do Brasil, especialmente nos Estados Unidos e em outros países onde esses provedores mantêm infraestrutura.
Nessas hipóteses, observamos os arts. 33 a 36 da LGPD e adotamos salvaguardas adequadas, como:
- contratação de fornecedores que atestam adequação a padrões internacionais de proteção de dados;
- cláusulas contratuais específicas;
- adoção de medidas técnicas (criptografia em trânsito e em repouso, quando aplicável).
8. Cookies e tecnologias similares
Utilizamos **cookies, pixels, tags e identificadores similares**, organizados em três categorias:
| Categoria | Para que serve | Cookies e ferramentas | Ativa por padrão? |
|---|---|---|---|
| Necessários | Funcionamento básico das plataformas, medição própria (sem terceiros), segurança, debounce de clique, o pedido que você monta, a unidade que você escolhe e registro da sua escolha sobre cookies | biolink_sid (sessão de navegação), inf_ref (indicação de parceiro), bp_consent (sua escolha sobre cookies), bp_store (a unidade escolhida para o pedido, só o código dela), a preferência de localização guardada no navegador (geo_consent) e o pedido em montagem guardado no navegador (bp_cart: produtos e quantidades, sem CPF, nome ou telefone) | Sim. Não podem ser desligados |
| Análise | Medir audiência, páginas mais acessadas e fontes de tráfego com ferramentas de terceiros | Google Analytics (_ga, _ga_*) e, quando utilizado, Google Tag Manager | Não. Somente com o seu consentimento |
| Marketing | Medir campanhas e veicular anúncios personalizados no Google, na Meta e no TikTok | Google Ads (_gcl_*), Meta (_fbp, _fbc), TikTok (_ttp, ttclid, ttcsid e ttcsid_<id do pixel>) e o registro dos identificadores de clique de anúncio (bp_click) | Não. Somente com o seu consentimento |
Aviso de cookies. Quando usamos ferramentas de terceiros, exibimos na primeira visita um aviso com as opções "Recusar", "Aceitar todos" e "Preferências", com o mesmo destaque. Enquanto você não escolher, só os cookies necessários são usados e nenhuma ferramenta de terceiros é carregada. Em "Preferências", você liga ou desliga cada categoria.
Você pode gerenciar suas preferências de cookies a qualquer momento:
- em "Preferências de cookies", no rodapé das páginas, para rever ou revogar a escolha (ao desligar uma categoria, apagamos os cookies dela gravados no nosso endereço);
- nas configurações do seu navegador (consulte a documentação do navegador para apagar, bloquear ou ser avisado sobre cookies);
- nas plataformas de terceiros, conforme as próprias ferramentas de opt-out (Google Ads Settings, Meta Ads Preferences, etc.).
A escolha vale por 12 (doze) meses no navegador e no endereço do site em que foi feita. Depois desse prazo, ou quando esta Política mudar, perguntamos de novo.
A desativação de cookies essenciais pode comprometer o funcionamento das plataformas.
9. Por quanto tempo guardamos seus dados (Retenção)
Conservamos dados pessoais somente pelo tempo necessário para as finalidades para as quais foram coletados, observando obrigações legais aplicáveis.
| Categoria de dado | Prazo de retenção |
|---|---|
| Logs de acesso (IP, user agent, timestamp) | Mínimo 6 (seis) meses, em cumprimento ao art. 15 do Marco Civil da Internet |
| Eventos de analytics (cliques, visualizações, UTMs) | Até 24 (vinte e quatro) meses após a coleta |
Snapshots de alvos de eventos (target_snapshot) | Mesma janela do evento associado |
| Dados de cookies de mensuração e remarketing | Conforme política dos respectivos parceiros (Google, Meta, TikTok), geralmente entre 6 e 24 meses |
Sua escolha sobre cookies no navegador (bp_consent) | 12 (doze) meses, ou até você mudar a escolha ou apagar os cookies |
Unidade escolhida para o pedido (bp_store) | 180 (cento e oitenta) dias, ou até você escolher outra unidade ou apagar os cookies |
Pedido em montagem no navegador (bp_cart) | 3 (três) dias sem mudança, ou até o envio do pedido ao WhatsApp, quando é esvaziado |
| Registro das escolhas sobre cookies (categorias aceitas, versão da Política, data e hora) | Enquanto durar a relação com as plataformas e pelo prazo legal para defesa em processos judiciais, administrativos ou arbitrais, para demonstrar o consentimento (art. 8º, § 2º, LGPD) |
| Dados relacionados a pedido enviado ao WhatsApp | Pelo prazo da relação de consumo e por até 5 (cinco) anos após o término, para fins de defesa em processos judiciais, administrativos ou arbitrais (art. 27 do CDC), salvo prazo fiscal maior |
| Registros fiscais e contábeis | Até 5 (cinco) anos ou pelos prazos previstos na legislação tributária aplicável |
Findos os prazos, os dados são eliminados, anonimizados ou bloqueados, salvo hipóteses legais de conservação (art. 16, LGPD).
10. Como protegemos seus dados (Segurança)
Adotamos medidas técnicas e administrativas razoáveis para proteger os dados pessoais contra acessos não autorizados, perda, alteração ou destruição, incluindo:
- criptografia em trânsito (HTTPS/TLS) em todas as páginas;
- controle de acesso baseado em permissões ao painel administrativo (módulos com níveis
read/write); - autenticação de administradores via sessão segura com cookie httpOnly;
- auditoria de ações de mutação no painel administrativo;
- rate limiting, debounce e dedup para prevenir abuso de cliques;
- armazenamento em provedores reconhecidos (Vercel, Neon, Vercel Blob) com práticas de segurança documentadas;
- revisão periódica de permissões e acessos.
Nenhum sistema é totalmente imune a incidentes. Caso ocorra incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados na forma do art. 48 da LGPD.
11. Seus direitos como titular
Nos termos do art. 18 da LGPD, você tem o direito de:
| Direito | O que significa |
|---|---|
| Confirmação e acesso | Saber se tratamos seus dados e acessar uma cópia |
| Correção | Corrigir dados incompletos, inexatos ou desatualizados |
| Anonimização, bloqueio ou eliminação | Solicitar a anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD |
| Portabilidade | Solicitar portabilidade a outro fornecedor, observados os segredos comerciais e industriais |
| Eliminação dos dados tratados com consentimento | Solicitar a eliminação dos dados tratados com base no seu consentimento, ressalvadas as hipóteses do art. 16 |
| Informação sobre compartilhamentos | Saber com quem compartilhamos seus dados |
| Informação sobre não consentir | Ser informado das consequências da negativa de consentimento |
| Revogação do consentimento | Revogar o consentimento a qualquer momento, sem efeito retroativo |
| Revisão de decisões automatizadas | Solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses |
| Oposição | Opor-se ao tratamento realizado com fundamento em hipótese dispensada de consentimento, em caso de descumprimento da LGPD |
| Petição à ANPD | Apresentar reclamação perante a Autoridade Nacional de Proteção de Dados |
11.1. Como exercer seus direitos
Envie a solicitação para o e-mail do Encarregado: (a informar), identificando:
- nome completo;
- meio de contato para retorno;
- descrição clara do pedido;
- documento de identificação (poderá ser solicitado para confirmar a sua identidade).
Atenderemos sua solicitação no prazo de até 15 (quinze) dias úteis, conforme art. 19, II, da LGPD, podendo prorrogar de forma justificada.
Determinadas solicitações podem ser parcial ou integralmente recusadas quando:
- houver obrigação legal ou regulatória de conservação;
- forem necessárias para o exercício regular de direitos em processo judicial, administrativo ou arbitral;
- comprometerem direitos de terceiros;
- não houver dados pessoais correspondentes ao titular solicitante.
12. Alterações desta Política
Esta Política pode ser atualizada a qualquer momento, em razão de:
- mudanças legais ou regulatórias;
- novos parceiros ou serviços;
- evolução tecnológica das plataformas;
- recomendações da ANPD.
A versão vigente estará sempre disponível nas plataformas, com a respectiva data no topo. Recomendamos consulta periódica. Em caso de alteração substancial, faremos aviso destacado.
13. Legislação aplicável e foro
Esta Política é regida pela legislação da República Federativa do Brasil. Eventuais controvérsias serão dirimidas no foro da comarca de São Paulo/SP, ressalvado o direito do consumidor de optar pelo foro de seu domicílio.
14. Contato
Para qualquer assunto relacionado a esta Política, à LGPD ou ao tratamento dos seus dados pessoais:
- Encarregado (DPO): (a informar)
- E-mail do DPO: (a informar)
- E-mail institucional: (a informar)
- Endereço: Rua Domingos de Morais, 2709, Vila Mariana, CEP 04035-001
- Razão social: ASSOCIAÇÃO MULTIMARCAS DE FARMÁCIAS E DROGARIAS · CNPJ 16.684.080/0001-81
Você também pode contatar a Autoridade Nacional de Proteção de Dados (ANPD) pelo site https://www.gov.br/anpd/.