Política de privacidade

Coletamos apenas o necessário para o Serviço funcionar bem e para cumprir obrigações legais. Nada de coleta indiscriminada.

• Cadastro: nome, e-mail, nome de usuário, senha (em hash bcrypt, nunca em texto puro), tipo de conta (estudante ou professor), versão dos termos aceitos.
• Acesso e segurança: endereço IP, user-agent do navegador, horários de login, tentativas falhas, dispositivos vinculados.
• Conteúdo: arquivos, textos, comentários, referências bibliográficas e qualquer dado inserido por você na Plataforma.
• Pagamento: NÃO armazenamos cartão, CVV ou dados bancários. Apenas o status da assinatura e o identificador do gateway (Kiwify) ficam no sistema.
• Identificação fiscal (CPF): coletado apenas para emissão de nota fiscal. Armazenado de forma criptografada e nunca exibido após cadastrado.
• Telemetria de uso: páginas visitadas dentro da Plataforma, ações executadas (criar TCC, exportar PDF), eventos de erro técnico. Não usamos session replay, heatmaps ou rastreamento entre sites de terceiros — apenas event tracking agregado em telemetria interna.

Cada dado coletado tem uma finalidade específica. Não usamos seus dados para algo que não esteja listado abaixo:

• Criar e autenticar sua conta, manter sua sessão segura e proteger contra acesso não autorizado.
• Entregar as funcionalidades contratadas (editor, exportação, colaboração, gestão de referências).
• Processar pagamentos e gerir o ciclo da sua assinatura.
• Prevenir fraude, abuso, ataques automatizados e uso indevido do Serviço.
• Cumprir obrigações legais, regulatórias e fiscais (emissão de nota, retenção contábil, atendimento a autoridades).
• Enviar comunicações operacionais (verificação de e-mail, recuperação de senha, avisos de segurança e atualizações relevantes do plano).
• Melhorar o produto a partir de telemetria agregada e anonimizada — nunca individualizada para fins de marketing externo.

Cada tratamento se ampara em uma base legal específica da LGPD:

• Execução de contrato (art. 7º, V) — para criar conta, entregar o Serviço, processar pagamentos e enviar comunicações operacionais.
• Obrigação legal (art. 7º, II) — para emitir nota fiscal, atender ordens judiciais e cumprir exigências regulatórias.
• Interesse legítimo (art. 7º, IX) — para prevenir fraude, proteger a Plataforma e melhorar o produto com telemetria agregada.
• Consentimento (art. 7º, I) — para qualquer uso fora das bases acima, com pedido explícito e direito de revogação a qualquer momento.

Marketing direto e cookies não essenciais dependem do seu consentimento expresso. Sem opt-in, não enviamos.

Não vendemos seus dados. Compartilhamos apenas com provedores estritamente necessários para operar o Serviço, e cada um deles é contratualmente vinculado a tratá-los conforme a LGPD.

• Pagamento: Kiwify (processamento de checkout e gateway) e provedores bancários intermediários.
• Infraestrutura: Render (hospedagem da API), Supabase (banco de dados e armazenamento de arquivos), Vercel (frontend), CDN para entrega de assets.
• E-mail transacional: Resend (verificação, recuperação de senha, avisos operacionais). Nunca para marketing sem consentimento.
• Observabilidade: Sentry (rastreamento de erros, com sanitização de dados pessoais nas stack traces).
• Autoridades públicas: quando exigido por lei, ordem judicial ou requisição oficial fundamentada.

Não compartilhamos seu trabalho acadêmico ou conteúdo do editor com terceiros sob nenhuma hipótese comercial.

Segurança não é um item de checklist — é um compromisso operacional contínuo. Aplicamos defesa em camadas e revisamos os controles regularmente.

• Senhas armazenadas em hash criptográfico moderno — não temos como ver sua senha em texto puro.
• Sessões protegidas por tokens em cookies seguros (HttpOnly, Secure em produção, SameSite) para resistir a XSS e CSRF.
• Bloqueio automático da conta após múltiplas tentativas de login falhas, com janela de cooldown.
• Rate limiting em endpoints sensíveis (login, recuperação de senha, cadastro) para reduzir ataques automatizados.
• CPF armazenado em formato criptografado, jamais exibido após o cadastro inicial.
• Logs de segurança e auditoria de eventos relevantes (login, troca de senha, alterações de plano) para investigação de incidentes.
• HTTPS obrigatório em todas as conexões com a Plataforma.
• Revisões periódicas de dependências e SAST automatizado para identificar vulnerabilidades.

Nenhum sistema é 100% seguro. Faça sua parte: senha forte, não compartilhe credenciais e ative a verificação de e-mail.

Se ocorrer um incidente de segurança que comprometa dados pessoais — vazamento, acesso não autorizado ou perda de informação —, agimos conforme o protocolo previsto na Resolução CD/ANPD nº 15/2024.

• Notificação à ANPD em até 3 dias úteis a partir da constatação, conforme a regulamentação vigente.
• Notificação direta ao titular quando houver risco ou dano relevante aos seus direitos, pelos canais de contato cadastrados.
• Comunicação clara sobre: natureza dos dados afetados, escopo do incidente, medidas tomadas e ações que o titular pode adotar para mitigar danos.
• Após contenção, publicamos relatório de pós-incidente com causa-raiz e correções implementadas.

Suspeita de incidente envolvendo sua conta? Avise imediatamente pelo canal oficial com o assunto [URGENTE - INCIDENTE].

Mantemos seus dados apenas pelo tempo necessário a cada finalidade. Depois disso, anonimizamos ou descartamos.

• Conta ativa: dados mantidos enquanto a conta existir.
• Conta encerrada: dados pessoais excluídos em até 90 dias, salvo retenção legal obrigatória (ex: nota fiscal por 5 anos).
• Logs de segurança: retidos por até 12 meses para investigação de incidentes.
• Backups: ciclo de retenção de até 30 dias após a exclusão da conta primária.
• Dados anonimizados (sem possibilidade de re-identificação) podem ser mantidos indefinidamente para análise agregada.

A LGPD garante a você um conjunto de direitos sobre seus dados pessoais. Todos podem ser exercidos diretamente conosco, sem custo.

• Confirmação e acesso — saber se tratamos seus dados e obter cópia.
• Correção — atualizar dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação — pedir descarte de dados desnecessários ou tratados em desacordo com a lei.
• Portabilidade — receber seus dados em formato estruturado e interoperável (JSON ou CSV).
• Eliminação dos dados tratados com consentimento — exceto quando houver outra base legal aplicável.
• Informação sobre compartilhamento — saber com quais terceiros seus dados foram compartilhados.
• Revogação de consentimento — desfazer o opt-in a qualquer momento, sem prejuízo da legalidade do tratamento anterior.
• Reclamação à ANPD — direito de reclamar à Autoridade Nacional de Proteção de Dados sobre tratamento que considere irregular.

Para exercer qualquer direito acima, envie e-mail para meutccappsuporte@gmail.com. Respondemos em até 15 dias.

Usamos cookies em duas categorias bem definidas:

• Essenciais — autenticação, manutenção da sessão, prevenção de CSRF, balanceamento de carga. Não há como desabilitar sem quebrar o Serviço.
• Analíticos e marketing (opcionais) — só são carregados após o seu consentimento explícito no banner de cookies. Você pode revogar a qualquer momento.

Não usamos rastreadores entre sites (cross-site tracking) sem consentimento. Respeitamos o sinal Do Not Track quando enviado pelo navegador.

Alguns provedores que utilizamos processam dados fora do Brasil (Render nos EUA, Supabase variável conforme região contratada). Esses casos seguem as garantias previstas no art. 33 da LGPD: cláusulas-padrão contratuais, certificações reconhecidas e avaliação prévia do nível de proteção do país de destino.

Você pode solicitar a qualquer momento a lista atualizada de subprocessadores e suas localizações pelo e-mail de suporte.

Para dúvidas, reclamações, exercício de direitos ou qualquer assunto relacionado à proteção dos seus dados pessoais:

• E-mail principal: meutccappsuporte@gmail.com.
• Responsável: Ryuki Alex Katsurem (controlador e encarregado).
• Prazo de resposta: até 15 dias corridos, conforme a LGPD.
• Para incidentes de segurança graves, identifique o assunto como [URGENTE - LGPD] para priorização.