Política de Privacidade

Esta política explica quais dados pessoais o TiraMil trata, para quê, com quem compartilha e como você exerce seus direitos, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, LGPD).

1. Quem é o controlador

João Gabriel Pereira de Araújo, CPF 084.517.761-32, com endereço em SETOR COMERCIAL EDIFICIO ATOL DAS ROCAS GAMA - DF. Encarregado pelo tratamento de dados (DPO): João Gabriel Pereira de Araújo, contato: contato@tiramil.com.br.

2. Quais dados tratamos

• Conta: e-mail e apelido que você escolhe.
• Estudo: respostas às questões, simulados, redações enviadas e suas correções, cronograma, post-its, lembretes, XP e sequência de dias.
• Comunidade: publicações, respostas, curtidas, denúncias e bloqueios que você fizer.
• Perfil: foto (se você enviar), nome e apresentação. A foto aparece para outros alunos na comunidade, no ranking e nos jogos.
• Jogos: partidas de que participou, respostas dadas em partida, pontos e mensagens do chat da sala.
• Suporte: as mensagens que você envia pelo chat do Prof. Mil e as respostas da equipe.
• Registros de acesso: endereço IP, data e hora de cada acesso ao site, a página acessada, o navegador usado e, se você estiver logado, a sua conta. A guarda desses registros é obrigatória pelo Marco Civil da Internet (Lei 12.965/2014, art. 15).
• Segurança: registros de ações sensíveis (ex.: exclusão de conta, exportação de dados) e de tentativas de ataque barradas pelo sistema, e um código irreversível (hash) derivado do endereço IP, usado para limitar o uso gratuito e identificar abusos.
• Pagamento e assinatura: processados pelo gateway de pagamento. Recebemos dele o e-mail da compra, o plano, o valor, as datas e a situação da assinatura (ativa, atrasada, cancelada), para liberar e manter seu acesso. Não recebemos nem guardamos número de cartão nem dados bancários.

Fotos de redação são usadas apenas para gerar a correção e não ficam armazenadas; guardamos só o texto transcrito.

3. Para que usamos e com qual base legal

• Prestar o serviço (questões, correção, cronograma, ranking): execução de contrato (art. 7º, V).
• Segurança, prevenção a fraudes e limites de uso: legítimo interesse (art. 7º, IX), com dados minimizados.
• Obrigações legais e fiscais sobre pagamentos: cumprimento de obrigação legal (art. 7º, II).
• Registros de acesso: cumprimento de obrigação legal (art. 7º, II; Marco Civil da Internet, art. 15). Ficam em sigilo e só são fornecidos mediante ordem judicial ou para apurar um incidente de segurança.
• Exibir seu apelido e sua foto no ranking, na comunidade e nos jogos: você escolhe, e pode desativar o ranking ou remover a foto a qualquer momento em Minha conta.
• Moderar conteúdo (filtro automático de texto, análise da foto de perfil por IA e fila de revisão humana): legítimo interesse (art. 7º, IX), para manter um ambiente seguro para adolescentes.

Não vendemos dados. Não usamos cookies de rastreamento nem publicidade dentro da plataforma: os únicos cookies são os de sessão, necessários para manter você conectado, um cookie de segurança que evita gravar o mesmo acesso várias vezes seguidas e um identificador aleatório do aparelho, usado só para aplicar o limite diário do plano grátis (não identifica você e não é compartilhado). Do pedido de compra, guardamos o CPF apenas como código irreversível, para o teste grátis valer uma vez por pessoa.

4. Com quem compartilhamos

• Supabase: banco de dados e autenticação (operador).
• Vercel: hospedagem do site (operador).
• Anthropic: recebe o texto (ou a foto) da redação para a correção por inteligência artificial e a foto de perfil, que é analisada automaticamente antes de entrar no ar, para recusar nudez, violência, símbolo de ódio, drogas ou documento com dados pessoais. Conforme os termos comerciais da provedora, esse conteúdo não é usado para treinar os modelos dela. Nada do chat da comunidade, do chat das salas nem do suporte é enviado para lá.
• Gateway de pagamento: Cakto, para processar compras e cobranças da assinatura, e para cancelá-la quando você pede ou troca de plano.
• Autoridades: registros de acesso e de segurança, somente mediante ordem judicial ou quando necessário para defender direitos em caso de ataque ou fraude.

Alguns desses operadores armazenam dados fora do Brasil. Essa transferência internacional segue o art. 33 da LGPD, com cláusulas contratuais e medidas de segurança adequadas.

5. Por quanto tempo guardamos

• Dados da conta e de estudo: enquanto a conta existir. Ao excluir a conta, são apagados na hora.
• Contadores de uso diário: 35 dias. Lembretes já exibidos: 90 dias.
• Partidas de jogo e o chat delas: sala parada some em 2 horas e partida encerrada some em 3 dias, junto com as mensagens.
• Foto de perfil: fica enquanto você mantiver. Ao trocar ou remover, o arquivo anterior é apagado do armazenamento.
• Registros de acesso (IP, data e hora): 6 meses, prazo do Marco Civil da Internet. Continuam guardados mesmo se a conta for excluída, porque a lei exige.
• Registros de tentativas de ataque: 180 dias. Registros de ações sensíveis: até 1 ano, sem vínculo com e-mail após a exclusão da conta.
• Dados de pagamento: pelo prazo exigido pela legislação fiscal.

6. Seus direitos (art. 18)

Você pode confirmar e acessar seus dados, corrigir, pedir portabilidade, revogar consentimento e excluir sua conta. Em Minha conta você baixa todos os seus dados e exclui a conta sozinho, na hora. Para outros pedidos, escreva para contato@tiramil.com.br. Respondemos em até 15 dias.

7. Crianças e adolescentes

A plataforma é voltada a estudantes do ensino médio. Menores de 18 anos devem usar com autorização do responsável, e compras de planos devem ser feitas por um responsável. Tratamos dados de adolescentes no seu melhor interesse (art. 14).

8. Como protegemos seus dados

• Conexão sempre criptografada (HTTPS) e cabeçalhos de segurança no navegador.
• Isolamento de dados por aluno direto no banco (Row Level Security), testado automaticamente a cada atualização.
• Login com senha guardada apenas como hash (bcrypt), confirmação de e-mail no cadastro e verificação em duas etapas opcional.
• Filtro de conteúdo aplicado no próprio banco de dados, que vale inclusive para quem tentar usar a API diretamente.
• Chaves de acesso guardadas só no servidor, nunca no navegador.
• Registros de ações sensíveis e retenção mínima.

Se acontecer um incidente de segurança que possa causar risco ou dano relevante, avisaremos você e a ANPD, conforme o art. 48.

9. Mudanças nesta política

Quando esta política mudar, avisaremos na plataforma e pediremos um novo aceite, se necessário.