Política de Privacidade

1. Quem somos

O StudyMed é uma plataforma de apoio ao estudo para acadêmicos de medicina, operada por pessoa física com base no Brasil. Para questões relacionadas a esta Política, entre em contato pelo e-mail indicado ao final deste documento.

2. Dados que coletamos

2.1 Dados fornecidos por você

• Conta: nome, endereço de e-mail e senha (armazenada de forma criptografada via Supabase Auth).
• CPF: coletado no cadastro e de fornecimento obrigatório. É usado exclusivamente como identificador de marca d'água estampada nos materiais em PDF que você baixa — uma medida antipirataria que torna cada cópia rastreável até a conta que a baixou. Não usamos o CPF para nenhuma outra finalidade, e ele não pode ser alterado depois de cadastrado.
• Perfil: nome da faculdade, período cursado e idade, fornecidos opcionalmente.
• Pagamento: para assinaturas via cartão de crédito, o processamento é feito integralmente pelo Stripe — não armazenamos número de cartão, CVV ou dados bancários. Para assinaturas via Pix, você envia o comprovante de pagamento para o nosso e-mail de contato, que é conferido manualmente antes da ativação; esse comprovante fica associado à sua conta para fins de auditoria financeira.

2.2 Dados gerados automaticamente

• Progresso de estudo: aulas assistidas, flashcards revisados, XP acumulado, sequência de dias de estudo.
• Dados de uso: páginas acessadas, tempo de sessão e preferências de interface (ex.: tema claro/escuro).
• Dados técnicos: tipo de dispositivo, sistema operacional e endereço IP. O IP e o user-agent do navegador usados no momento do cadastro são registrados de forma vinculada à conta especificamente para investigação de contas falsas criadas para fins de pirataria de conteúdo — não usamos IP para rastreamento de navegação ou publicidade.

2.3 O que não coletamos

• Dados de geolocalização precisa.
• Acesso à câmera, microfone ou contatos do dispositivo.
• Dados de menores de 18 anos (o serviço é destinado a maiores de idade).

3. Finalidade e base legal (LGPD)

Tratamos seus dados com as seguintes finalidades e bases legais, conforme a Lei nº 13.709/2018 (LGPD):

• Prestação do serviço contratado — execução de contrato (art. 7º, V): autenticação, acesso ao conteúdo, sincronização de progresso e suporte.
• Processamento de pagamentos — execução de contrato (art. 7º, V): criação da assinatura e emissão de recibos via Stripe.
• Comunicações sobre o serviço — execução de contrato e legítimo interesse (art. 7º, V e IX): e-mails transacionais como confirmação de cadastro, recibos e avisos de renovação.
• Melhoria da plataforma — legítimo interesse (art. 7º, IX): análise de uso agregado e anônimo para aprimorar conteúdo e funcionalidades.
• Proteção de propriedade intelectual e prevenção a fraude — legítimo interesse (art. 7º, IX): uso do CPF como marca d'água nos materiais baixados e registro do IP no cadastro, para desencorajar e rastrear o compartilhamento não autorizado de conteúdo e a criação de contas falsas.
• Tutor IA — execução de contrato (art. 7º, V): as mensagens que você envia ao Tutor IA são processadas por um provedor de inteligência artificial para gerar as respostas.
• Cumprimento de obrigações legais — obrigação legal (art. 7º, II): manutenção de registros fiscais e atendimento a ordens judiciais.

4. Compartilhamento de dados

Não vendemos seus dados. Compartilhamos apenas com os seguintes fornecedores essenciais, sob acordo de confidencialidade:

• Supabase Inc. — infraestrutura de banco de dados e autenticação. Dados armazenados em servidores seguros (AWS). Política de privacidade do Supabase.
• Stripe Inc. — processamento de pagamentos via cartão. O Stripe é certificado PCI-DSS nível 1. Política de privacidade do Stripe.
• Anthropic PBC — fornecedora do modelo de inteligência artificial usado no Tutor IA. As mensagens que você envia nessa funcionalidade são processadas pela Anthropic para gerar as respostas. Política de privacidade da Anthropic.

Para pagamentos via Pix, o comprovante enviado por você é recebido e conferido diretamente pelo StudyMed, sem intermediação de um processador de pagamento terceirizado.

Podemos divulgar dados quando exigido por lei, ordem judicial ou autoridade competente.

5. Retenção dos dados

• Conta ativa: dados mantidos durante toda a vigência da assinatura.
• Após cancelamento: dados de progresso e perfil excluídos em até 90 dias, salvo obrigação legal de retenção.
• Dados fiscais: mantidos por 5 anos conforme legislação tributária brasileira.
• Logs de acesso: armazenados por 6 meses, conforme o Marco Civil da Internet (Lei nº 12.965/2014).

6. Seus direitos (LGPD — art. 18)

Você tem os seguintes direitos em relação aos seus dados pessoais:

7. Segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados:

• Senhas criptografadas com bcrypt (gerenciado pelo Supabase Auth).
• Comunicações protegidas por TLS/HTTPS.
• Acesso ao banco de dados restrito por Row-Level Security (RLS).
• Dados de pagamento tratados exclusivamente pelo Stripe (certificação PCI-DSS).

Em caso de incidente de segurança que possa causar risco ou dano a você, notificaremos a ANPD e os titulares afetados nos prazos previstos na LGPD.

8. Cookies e armazenamento local

Utilizamos localStorage do navegador para salvar preferências (tema, idioma) e dados de sessão. Não utilizamos cookies de rastreamento de terceiros para fins publicitários.

O Service Worker do aplicativo armazena arquivos em cache para funcionamento offline. Esses dados ficam apenas no seu dispositivo.

9. Transferência internacional de dados

Seus dados são processados em servidores do Supabase, Stripe e Anthropic localizados nos Estados Unidos. Essas transferências são realizadas com garantias adequadas de proteção, conforme o art. 33 da LGPD, por meio das políticas de privacidade e contratos de proteção de dados desses fornecedores.

10. Alterações nesta política

Podemos atualizar esta Política periodicamente. Em caso de mudanças relevantes, notificaremos você por e-mail com pelo menos 15 dias de antecedência. A data de "Última atualização" no topo deste documento sempre indicará a versão vigente.

11. Legislação aplicável

Esta Política é regida pela Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) e demais normas brasileiras aplicáveis. O foro competente para resolver eventuais disputas é o da comarca onde o titular dos dados reside.