Política de Privacidade

1. Quem é o controlador

O controlador dos seus dados é a Dedux, [razão social, CNPJ e endereço a preencher].

Para qualquer pedido sobre os seus dados, escreva para contato@usededux.com.

Encarregado pelo tratamento de dados pessoais: [nome a definir]. Por enquanto, o encarregado atende pelo mesmo endereço.

2. Dados que recebemos do Google

Quando você usa “Entrar com Google”, a Dedux pede ao Google só os escopos openid, email e profile. Com eles, recebemos:

• o seu nome;
• o seu endereço de e-mail;
• o endereço (URL) da sua foto de perfil;
• o identificador da sua conta no Google (chamado sub), que serve para reconhecer a sua conta mesmo que o seu e-mail mude;
• a informação de que o Google verificou ou não o seu e-mail.

Usamos esses dados para criar e manter a sua conta, reconhecer você quando entra e chamar você pelo nome. A foto fica guardada com a sua conta e não é compartilhada.

A Dedux não recebe a sua senha do Google, os seus contatos, os seus arquivos do Drive, os seus e-mails do Gmail nem nada além desses escopos.

O uso das informações recebidas das APIs do Google segue a Política de Dados do Usuário dos Serviços de API do Google (Google API Services User Data Policy), incluindo os requisitos de Uso Limitado (Limited Use).

Você pode retirar o acesso da Dedux à sua conta Google a qualquer momento em myaccount.google.com/permissions. Para apagar a sua conta na Dedux e os seus dados, veja a seção 8.

3. Outros dados que tratamos

• Data de nascimento. A Dedux pede no cadastro, para saber se você pode ter uma conta própria (veja a seção 4).
• E-mail para entrar por código. Como alternativa ao Google, você pode entrar com um código de uso único que enviamos ao seu e-mail.
• Registros de aprendizagem. Cada interação sua com uma tarefa: respostas, erros, dicas usadas, tempo e abandono. A partir desses registros, a plataforma estima o seu estado de aprendizagem, e essa estimativa também é guardada.
• Dados técnicos. A descrição do dispositivo que o seu navegador informa, o endereço IP e o horário de cada acesso, e os erros que acontecem durante o uso.

4. Menores de 18 anos

Só pessoas com 18 anos ou mais criam uma conta por conta própria. Menores de 18 anos usam a Dedux por meio de um responsável ou de uma instituição de ensino. Nesses casos, o responsável ou a instituição dá o consentimento e responde por ele (LGPD, art. 14).

5. Para que usamos os dados

• Prestar o serviço: escolher a sua próxima tarefa, mostrar o seu progresso a você e, quando você faz parte de uma turma, ao professor ou à instituição.
• Segurança: limitar o número de requisições e prevenir abuso.
• Cobrança: quando houver um plano pago.
• Melhorar a plataforma: revisar os mapas e as tarefas.

6. Bases legais

Cada tratamento se apoia numa base legal do art. 7º da LGPD:

• Execução de contrato (inciso V): a conta e o serviço.
• Cumprimento de obrigação legal (inciso II): os registros de cobrança e os registros de acesso, exigidos pelo Marco Civil da Internet (Lei 12.965/2014, art. 15).
• Legítimo interesse (inciso IX): a segurança e os registros de funcionamento do serviço.
• Consentimento do responsável ou da instituição (art. 14): o uso por menores de 18 anos.
• Melhoria dos mapas e das tarefas: [base legal a confirmar na revisão jurídica].

7. Por quanto tempo guardamos

• Dados da conta: enquanto a conta existir. Depois que você apaga a conta, os seus dados pessoais são apagados em até 30 dias.
• Registros de aprendizagem: não são apagados, mas são desvinculados de você de forma irreversível. Eles recebem um novo identificador, sem caminho de volta até você; a instituição é trocada por um grupo amplo; a data é reduzida ao mês; nenhum texto livre é mantido. Esses registros anonimizados continuam sendo usados para melhorar a plataforma. Dado anonimizado deixa de ser dado pessoal (LGPD, art. 12).
• Registros de cobrança e de auditoria: 5 anos.
• Registros de acesso (IP, data e hora): 6 meses.
• Registros de funcionamento do serviço: de 14 a 30 dias.
• Relatórios de erro do navegador: 90 dias.
• Cópias de segurança: seguem o ciclo de retenção de cada fornecedor.

Esses prazos são provisórios e dependem de revisão jurídica.

8. Seus direitos

Pelo art. 18 da LGPD, você pode pedir:

• confirmação de que tratamos os seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
• portabilidade dos seus dados;
• informação sobre com quem compartilhamos os seus dados;
• revogação do consentimento, quando ele for a base legal;
• oposição a um tratamento que você considere irregular.

Você também pode pedir a revisão de decisões tomadas só com base em tratamento automatizado (LGPD, art. 20). Isso importa aqui: a plataforma estima o seu estado de aprendizagem de forma automática e usa essa estimativa para escolher as próximas tarefas. Se você discordar, pode pedir que uma pessoa revise a estimativa.

Como pedir

• No app, em Conta → Seus dados, você exporta os seus dados e apaga a sua conta.
• Para os demais pedidos, escreva para contato@usededux.com.

Respondemos em até 15 dias. Você também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD).

9. Operadores e transferência internacional

Para funcionar, a Dedux usa fornecedores que tratam dados em nome dela (operadores). Alguns ficam fora do Brasil:

• Cloudflare: hospeda o site e o app, cuida da rede e da segurança e guarda arquivos de mídia (R2). Empresa nos Estados Unidos, com rede global.
• Fly.io: executa a API em servidores em São Paulo, Brasil. Empresa nos Estados Unidos.
• Neon: banco de dados, hospedado em São Paulo (AWS, região sa-east-1). Empresa nos Estados Unidos.
• Resend: envia e-mails, como os códigos para entrar. Estados Unidos.
• Google: entrada com Google. Estados Unidos.
• Bunny.net: entrega dos vídeos. Empresa na Eslovênia (União Europeia), com servidores em Frankfurt e uma réplica em São Paulo.

As transferências internacionais se apoiam no art. 33 da LGPD, com cláusulas contratuais nos termos do regulamento da ANPD (Resolução CD/ANPD nº 19/2024). [mecanismo de cada fornecedor a confirmar]

A Dedux não vende dados pessoais e não os usa para treinar modelos de terceiros.

10. Cookies e armazenamento no navegador

Usamos só o que o serviço precisa para funcionar. Não usamos cookies de publicidade nem de rastreamento.

• __Host-dedux_session: mantém você conectado. É HttpOnly, Secure e SameSite=Lax. Dura até 30 dias, é renovado de tempos em tempos e é removido quando você sai.
• __Host-dedux_google: existe só durante a entrada com Google: até 10 minutos enquanto você está no Google, e até 15 minutos se a Dedux pedir a sua data de nascimento para criar a conta. Protege a entrada contra falsificação.
• __Host-dedux_guardian: existe só quando um responsável entra como a criança, e guarda à parte a sessão do próprio responsável.
• CF_Authorization: cookie do Cloudflare Access em app.usededux.com, usado durante a fase de testes para limitar o acesso a pessoas convidadas.
• Armazenamento local do navegador: guarda as suas preferências e lembra quem está conectado naquele dispositivo.

Esses cookies são estritamente necessários e não dependem de consentimento. Se você os bloquear, não será possível entrar.

11. Mudanças nesta política

Avisamos mudanças relevantes no app e por e-mail, com antecedência [prazo a definir]. A versão em vigor é sempre a desta página.