MODELO PARA REVISÃO. Texto-base alinhado à LGPD (Lei 13.709/2018), que não substitui um advogado. Troque o que está entre [colchetes] e peça revisão jurídica antes de publicar.

Política de privacidade

Versão: 2026-10-22.2 · Última atualização: [data]

1. Quem é o responsável

[RAZÃO SOCIAL OU NOME COMPLETO], CNPJ/CPF [número], é o controlador dos seus dados. Encarregado de proteção de dados (DPO): [nome], [e-mail].

2. Quais dados tratamos

• Sem conta: seu progresso (respostas, favoritos, anotações, metas) fica somente no seu aparelho, no armazenamento local do navegador. Nós não recebemos esses dados.
• Com conta: seu e-mail (confirmado por link), a sua senha (guardada apenas como um código irreversível, nunca em texto), o progresso de estudo (para sincronizar entre aparelhos), o plano contratado e o histórico dos seus aceites (qual texto, qual versão, quando).
• Ranking (opcional): um apelido que você escolhe e o número de acertos da semana. Não use seu nome real.
• Uso diário (também sem conta): para aplicar o limite do plano e impedir cópia em massa, guardamos um identificador aleatório do aparelho (um cookie funcional, sem relação com você) e a quantidade de questões abertas e respondidas no dia. Esses contadores são apagados em até 7 dias. Eles não contêm e-mail nem nome.
• Dados técnicos de segurança: o seu endereço IP não é guardado em texto: guardamos apenas uma sequência irreversível (hash) para detectar abuso. Mantemos um registro de eventos de segurança (por exemplo, "login feito") sem e-mail e sem dados pessoais.
• Pagamento: quem processa é o provedor de pagamento (Mercado Pago). Você paga na página segura dele, por Pix, boleto ou cartão: não temos acesso aos dados do seu cartão. O seu nome e CPF são enviados ao provedor, que os exige para emitir a cobrança, e não são guardados por nós. Guardamos o histórico das cobranças (plano, valor, data e status) para controle financeiro e fiscal.
• Painel de gestão: o responsável pelo Grifei acessa um painel com e-mail, plano, datas de cadastro e de acesso e pagamentos, para atender você e cuidar das assinaturas. Esses acessos são restritos e registrados.

3. Para que usamos e em que base legal

• Criar e proteger a conta (senha, confirmação de e-mail), sincronizar o progresso, cobrar e liberar o plano contratado: execução de contrato (LGPD, art. 7º, V).
• Guardar o histórico das cobranças: cumprimento de obrigação legal e regulatória (art. 7º, II).
• Ranking: seu consentimento (art. 7º, I), que você pode retirar a qualquer momento saindo do ranking.
• Prevenir fraude e abuso e manter a segurança: legítimo interesse (art. 7º, IX), com o mínimo de dados.
• Guardar prova dos seus aceites: exercício regular de direitos (art. 7º, VI).

Não vendemos seus dados e não os usamos para publicidade de terceiros.

4. Com quem compartilhamos

Apenas com fornecedores necessários ao serviço: [provedor da VPS/hospedagem e localização do servidor], [serviço de envio de e-mail] (para enviar os links de confirmação e de nova senha) e o provedor de pagamento (Mercado Pago). Se algum deles armazenar dados fora do Brasil, isso ocorre com salvaguardas contratuais, conforme os arts. 33 e seguintes da LGPD.

5. Por quanto tempo guardamos

• Links de confirmação de e-mail (24 horas) e de nova senha (30 minutos): só funcionam uma vez e são removidos em até 1 dia depois de vencidos.
• Sessão de login: 30 dias.
• Contadores de uso diário: até 7 dias.
• Registro de segurança: 12 meses.
• Conta e progresso: enquanto você usar o serviço. Contas sem acesso há 24 meses e sem assinatura ativa são excluídas automaticamente.
• Histórico de cobranças: até 5 anos, por obrigação legal. Se você excluir a conta, o e-mail é trocado por um código nesses registros, que deixam de identificar você.
• Se você excluir a conta, apagamos o restante na hora e cancelamos a sua assinatura. O provedor de pagamento pode manter registros pelo prazo da lei.

6. Seus direitos (e como exercê-los)

Você pode: confirmar que tratamos seus dados, acessá-los, corrigi-los, pedir anonimização ou exclusão, portabilidade, informação sobre com quem compartilhamos e revogar consentimento (LGPD, art. 18). Dentro do app, em Perfil > Conta, você pode baixar todos os seus dados em um arquivo e excluir a sua conta sozinho, sem precisar pedir. Para qualquer outro pedido, escreva para [e-mail do encarregado]. Respondemos em até 15 dias. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

7. Segurança

Conexão criptografada (https); senha guardada apenas como código irreversível (scrypt); confirmação do e-mail por link de uso único; bloqueio temporário após várias tentativas erradas; ao trocar a senha, os outros aparelhos são desconectados; sessão em cookie protegido (HttpOnly); links e sessões guardados apenas como código irreversível; banco de dados em servidor com acesso restrito e backups criptografados; limites contra tentativas em massa; e apagamento automático dos dados vencidos. Nenhum sistema é 100% seguro. Em caso de incidente que possa causar risco relevante, avisaremos você e a ANPD, conforme o art. 48 da LGPD.

8. Cookies e armazenamento local

Usamos o armazenamento local do navegador para guardar seu progresso e preferências, e um cookie funcional e protegido (HttpOnly): o de sessão de login. O limite diário de questões é contado por conta (e, contra abuso, por um código irreversível do endereço IP, que não permite identificar você). Não usamos cookies de publicidade nem ferramentas de rastreamento de terceiros. [Se você adicionar estatísticas de acesso, descreva aqui.]

9. Crianças e adolescentes

O serviço é voltado a maiores de 18 anos. Se você é menor, só use com autorização e acompanhamento de um responsável legal (LGPD, art. 14).

10. Mudanças

Se esta política mudar de forma relevante, avisaremos no app ou por e-mail.