Política de Privacidade

1. Quem somos e nosso papel na LGPD

O Aprova Med+ é operado por Matheus Oliveira Quintela, pessoa física [PRECISA SER CONFIRMADO PELO RESPONSÁVEL: se em algum momento passar a existir CNPJ/razão social, atualizar esta seção]. Para os fins desta política, atuamos como controladores dos dados pessoais tratados na plataforma, nos termos da Lei nº 13.709/2018 (LGPD).

2. Encarregado pelo Tratamento de Dados (DPO)

Encarregado: Matheus Oliveira Quintela
E-mail: casadaprovacao@gmail.com

Pedidos e dúvidas envolvendo dados pessoais devem ser direcionados ao Encarregado, que responderá nos prazos legais aplicáveis. Você também pode fazer a maioria dos pedidos diretamente pela Central de Privacidade.

3. Dados que coletamos

[VALIDAR COM ADVOGADO/ENCARREGADO: enquadramento de base legal por finalidade acima]

4. Não coletamos dado sensível de saúde

O Aprova Med+ trata de conteúdo educacional sobre medicina — não coletamos prontuário ou dado de saúde seu como aluno. A única situação de risco é você mesmo inserir dado de saúde de terceiro (ex.: caso clínico real) numa conversa com IA — veja o aviso na seção 6 e nos Termos de Uso.

5. Menores de idade

A plataforma exige confirmação de maioridade (18 anos ou mais) no cadastro. Não projetamos a plataforma para uso por menores e não coletamos intencionalmente dados de menores de idade.

6. Uso de Inteligência Artificial

Usamos a API da OpenAI (modelo gpt-4o-mini) para o Dr. Córtex, explicações de questão e feedback de resposta. Enviamos ao modelo: o enunciado da questão em contexto e, no caso do Dr. Córtex, dados agregados do seu desempenho (temas fracos, histórico) — necessários para a resposta ser personalizada.

[PRECISA SER CONFIRMADO PELO RESPONSÁVEL: se há acordo específico de retenção zero ou de não uso para treinamento com a OpenAI — não afirmamos isso sem confirmação contratual]. Não insira dado real de paciente nas conversas com IA.

7. Com quem compartilhamos dados

Não vendemos dados pessoais e não compartilhamos com serviços de marketing/publicidade — não usamos nenhum hoje.

8. Transferência internacional

OpenAI e Stripe processam dados fora do Brasil. O banco de dados (Supabase) também é hospedado fora do Brasil, na região us-west-2 (Oregon, Estados Unidos, na infraestrutura da AWS). Essa transferência internacional se apoia nas hipóteses do art. 33 da LGPD — cláusulas contratuais padrão dos fornecedores (Supabase, OpenAI, Stripe) e, no caso dos EUA, o disposto sobre garantias de proteção equivalente exigidas desses fornecedores. [VALIDAR COM ADVOGADO/ENCARREGADO: confirmar o enquadramento exato entre as hipóteses do art. 33 pra cada fornecedor.]

9. Segurança da informação

Aplicamos controles técnicos de acesso — cada aluno só acessa os próprios dados por regra de banco de dados (Row Level Security), não apenas por tela. Nenhum sistema é absolutamente seguro; em caso de incidente com risco relevante, seguiremos o disposto no art. 48 da LGPD.

10. Cookies e análise de uso

Usamos dois cookies, os dois estritamente necessários pro funcionamento do serviço — nenhum cookie de analytics, publicidade ou rastreamento é gravado no seu navegador. Lista completa, com duração de cada um, em nossa Política de Cookies.

Separado disso, nosso servidor registra eventos de uso do produto — por exemplo: cadastro concluído, 1ª e 10ª questão respondida, diagnóstico concluído, limite diário do plano Free atingido, início de checkout, assinatura ativada ou cancelada — e os envia ao PostHog, uma ferramenta de analytics de produto hospedada na União Europeia. Essa captura acontece inteiramente no nosso servidor: não grava nada no seu navegador, não usa cookie nem identificador de dispositivo, e cada evento é atrelado à sua conta (ao seu ID de usuário), não a um perfil de navegação anônimo.

Usamos esses eventos só para entender como a plataforma é usada — por exemplo, quantos alunos respondem a primeira questão depois de criar conta, ou em que ponto alguém some — e para medir se mudanças no produto funcionam. Nunca usamos para publicidade, não vendemos esse dado e não compartilhamos com ninguém além do PostHog como processador.

11. Seus direitos

Como titular dos dados, você tem direito a, nos termos do art. 18 da LGPD:

• Confirmar se tratamos seus dados e acessá-los;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Solicitar anonimização, bloqueio ou eliminação de dados desnecessários;
• Solicitar a portabilidade dos seus dados;
• Ser informado sobre com quem compartilhamos seus dados;
• Excluir sua conta e os dados associados a qualquer momento;
• Solicitar revisão de decisões automatizadas (cronograma, Radar da Prova) que afetem sua experiência (art. 20 da LGPD).

Você pode exercer a maioria desses direitos diretamente pela Central de Privacidade (ver dados, baixar seus dados, excluir a conta). Pra correção de dados não editáveis na tela, revisão de decisão automatizada, ou qualquer outro pedido, fale com o Encarregado (seção 2).

12. O aceite destes termos é revogável?

O aceite dos Termos de Uso e desta Política é condição para usar a plataforma — não é um consentimento opcional que você revoga mantendo a conta ativa. Se quiser “revogar”, a forma correta é excluir sua conta pela Central de Privacidade. Se no futuro oferecermos algo opcional (ex.: e-mail de marketing), esse sim terá consentimento separado e revogável sem apagar a conta.

13. O que acontece com seus dados quando você exclui a conta

A exclusão é imediata e definitiva. Seu perfil, respostas, conversas com IA, planos de estudo e vínculos com salas de estudo são apagados. Duas exceções ficam por obrigação de auditoria interna, mas anonimizadas (sem qualquer vínculo com você depois da exclusão): o registro agregado de custo de uso de IA e o histórico de mudança de plano.

14. Alterações desta política

Podemos atualizar esta política periodicamente. Mudanças relevantes serão comunicadas por e-mail ou aviso na plataforma, e o sistema registra qual versão você aceitou.

15. Contato

casadaprovacao@gmail.com