Política de Privacidade

1. Informações que Coletamos

Coletamos apenas os dados necessários para o funcionamento do serviço:

• Dados de cadastro: endereço de e-mail e senha (armazenada com hash bcrypt — nunca em texto simples)
• Dados de perfil: nome de exibição, username, foto de avatar (URL), bio e fuso horário — fornecidos voluntariamente
• Dados de uso: sessões de estudo (duração, matéria, data), metas criadas, histórico de streaks, posições no ranking
• Dados técnicos: endereço IP (usado exclusivamente para rate limiting e segurança), tokens de sessão em cookies HttpOnly

Não coletamos dados de geolocalização precisa, dados biométricos, dados financeiros ou qualquer categoria sensível de dados nos termos da LGPD.

2. Como Usamos as Informações

Seus dados são usados exclusivamente para:

• Autenticar seu acesso e manter sua sessão segura
• Calcular e exibir seu progresso, metas e rankings
• Gerar cronogramas personalizados via IA (Google Gemini), quando você solicita explicitamente essa funcionalidade
• Enviar e-mails transacionais: confirmação de conta, redefinição de senha e notificações que você configura voluntariamente
• Detectar e prevenir abusos (rate limiting, segurança)

Não utilizamos seus dados para publicidade, perfilamento comportamental ou venda a terceiros.

3. Base Legal para o Tratamento (LGPD)

Tratamos seus dados com base nas seguintes hipóteses legais da Lei nº 13.709/2018 (LGPD):

• Consentimento (Art. 7º, I): para cookies não essenciais, comunicações de marketing e funcionalidades opcionais (ex.: sugestões de IA)
• Execução de contrato (Art. 7º, V): para dados necessários à prestação do serviço (autenticação, armazenamento de sessões)
• Legítimo interesse (Art. 7º, IX): para prevenção de fraudes, segurança e melhoria do serviço

4. Compartilhamento de Dados

Seus dados pessoais não são vendidos. Compartilhamos dados apenas com os seguintes subprocessadores, estritamente necessários para o funcionamento do serviço:

• Render (render.com): hospedagem da API e banco de dados PostgreSQL
• Vercel (vercel.com): hospedagem do frontend
• Google Gemini (ai.google.dev): geração de cronogramas de estudo — seu histórico de sessões e metas é enviado somente quando você solicita a funcionalidade de IA
• Brevo (brevo.com): envio de e-mails transacionais

Todos os subprocessadores possuem políticas de privacidade próprias e são contratados com cláusulas de proteção de dados adequadas.

5. Armazenamento e Segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados:

• Senhas armazenadas com bcrypt (fator de custo 12) — nunca em texto simples
• Sessões gerenciadas via JWT em cookies HttpOnly, Secure e SameSite=None
• Comunicação criptografada via HTTPS/TLS em todas as rotas
• Tokens de refresh armazenados como hash SHA-256 — o token bruto não é persistido
• Rate limiting por usuário para prevenir abusos

Seus dados são armazenados em servidores localizados nos Estados Unidos (Render e Vercel). Caso você esteja no Brasil, o tratamento internacional de dados é realizado com base no Art. 33 da LGPD.

Retemos seus dados enquanto sua conta estiver ativa. Após a exclusão da conta, os dados são removidos permanentemente em até 30 dias, exceto quando a retenção for exigida por lei.

6. Seus Direitos (LGPD — Art. 18)

Como titular de dados, você tem os seguintes direitos:

• Acesso: solicitar confirmação de que tratamos seus dados e obter uma cópia
• Portabilidade: exportar todos os seus dados em formato JSON via Configurações → Conta → Exportar dados
• Retificação: corrigir dados incompletos ou incorretos via Configurações → Perfil
• Eliminação: excluir sua conta e todos os dados associados via Configurações → Conta → Excluir conta
• Revogação do consentimento: desativar funcionalidades baseadas em consentimento (ex.: IA) via Configurações → Assistente IA
• Oposição: opor-se ao tratamento baseado em legítimo interesse

Para exercer esses direitos, entre em contato pelo e-mail ibiulabs@gmail.com. Responderemos em até 15 dias úteis.

7. Cookies

Utilizamos dois tipos de cookies:

• Cookies essenciais: access_token e refresh_token — necessários para autenticação. Sem eles, o serviço não funciona. Não requerem consentimento separado (Art. 5º, §4º).
• localStorage: armazenamos sua preferência de consentimento de cookies (cookie_consent) para não exibir o aviso repetidamente.

Não utilizamos cookies de rastreamento, publicidade ou análise de terceiros.

8. Alterações nesta Política

Podemos atualizar esta Política de Privacidade periodicamente. Alterações significativas serão comunicadas por e-mail ou notificação na plataforma com pelo menos 15 dias de antecedência. A data de última atualização sempre estará visível no topo desta página. O uso continuado após a vigência das alterações indica aceite.

9. Contato e DPO

Para dúvidas, solicitações relacionadas a dados pessoais ou para entrar em contato: