Política de Privacidade

1. Quem somos

O StudyMed é uma plataforma de apoio ao estudo para acadêmicos de medicina, operada por Gabriel Leoback, pessoa física inscrita no CPF sob o nº 176.846.077-90, com base no Brasil, que é o controlador dos dados tratados conforme esta Política. Para questões relacionadas a esta Política, entre em contato pelo e-mail indicado ao final deste documento.

2. Dados que coletamos

2.1 Dados fornecidos por você

• Conta: nome, endereço de e-mail e senha (armazenada de forma criptografada via Supabase Auth).
• CPF: coletado no cadastro e de fornecimento obrigatório. É usado para: (a) garantir um único teste grátis por pessoa — guardamos uma versão cifrada (hash) do CPF que não permite recuperar o número; (b) emitir nota fiscal dos pagamentos; e (c) marca d'água estampada nos materiais em PDF que você baixa — uma medida antipirataria que torna cada cópia rastreável até a conta que a baixou. Não usamos o CPF para nenhuma outra finalidade, e ele não pode ser alterado depois de cadastrado.
• E-mail: usado para login, confirmação do cadastro, recibos e avisos sobre a sua conta — incluindo lembretes sobre o prazo de ativação e o fim do teste grátis. Todo lembrete traz um link para deixar de recebê-los.
• Mensagens ao Tutor IA: o texto das perguntas que você envia ao Tutor IA, processado para gerar a resposta. Registramos a quantidade de perguntas por dia e o volume de uso (para aplicar o limite diário do plano e controlar custos), não o conteúdo das conversas.
• Perfil: nome da faculdade, período cursado e idade, fornecidos opcionalmente.
• Pagamento: para assinaturas via cartão de crédito, o processamento é feito integralmente pelo Stripe — não armazenamos número de cartão, CVV ou dados bancários. Para assinaturas via Pix, você envia o comprovante de pagamento para o nosso e-mail de contato, que é conferido manualmente antes da ativação; esse comprovante fica associado à sua conta para fins de auditoria financeira.

2.2 Dados gerados automaticamente

• Progresso de estudo: aulas assistidas, flashcards revisados, XP acumulado, sequência de dias de estudo.
• Dados de uso: páginas acessadas, tempo de sessão e preferências de interface (ex.: tema claro/escuro).
• Dados técnicos: tipo de dispositivo, sistema operacional e endereço IP. O IP e o user-agent do navegador usados no momento do cadastro são registrados de forma vinculada à conta especificamente para investigação de contas falsas criadas para fins de pirataria de conteúdo. Uma versão cifrada (hash) do IP é usada para limitar a ativação de testes grátis em massa a partir de uma mesma rede. Não usamos IP para rastreamento de navegação ou publicidade.
• Origem da visita: quando você chega por um link de campanha (parâmetros "utm" no endereço, como os de anúncios no Instagram), guardamos esses parâmetros e os associamos ao seu cadastro, para sabermos quais campanhas trazem estudantes. Também contamos eventos do funil (visitas, cliques em "Começar 1 mês grátis", cadastros) sem identificar quem os gerou.

2.3 O que não coletamos

• Dados de geolocalização precisa.
• Acesso à câmera, microfone ou contatos do dispositivo.
• Dados de menores de 18 anos (o serviço é destinado a maiores de idade).

3. Finalidade e base legal (LGPD)

Tratamos seus dados com as seguintes finalidades e bases legais, conforme a Lei nº 13.709/2018 (LGPD):

• Prestação do serviço contratado — execução de contrato (art. 7º, V): autenticação, acesso ao conteúdo, sincronização de progresso e suporte.
• Processamento de pagamentos — execução de contrato (art. 7º, V): criação da assinatura e emissão de recibos via Stripe.
• Comunicações sobre o serviço — execução de contrato e legítimo interesse (art. 7º, V e IX): e-mails transacionais como confirmação de cadastro, recibos e avisos de renovação, e lembretes sobre o prazo de ativação e o fim do teste grátis — com opção de descadastro em todos os lembretes.
• Medição de campanhas — legítimo interesse (art. 7º, IX): registro dos parâmetros de campanha (utm) da sua visita e contagem anônima de eventos do funil.
• Pixel da Meta (Facebook/Instagram) — consentimento (art. 7º, I): só é carregado se você clicar em "Aceitar" no aviso de cookies. Você pode recusar sem perder nenhuma funcionalidade e revogar o aceite a qualquer momento (seção 8).
• Emissão de nota fiscal — obrigação legal (art. 7º, II): uso do nome e do CPF nos documentos fiscais dos pagamentos.
• Melhoria da plataforma — legítimo interesse (art. 7º, IX): análise de uso agregado e anônimo para aprimorar conteúdo e funcionalidades.
• Proteção de propriedade intelectual e prevenção a fraude — legítimo interesse (art. 7º, IX): uso do CPF como marca d'água nos materiais baixados e registro do IP no cadastro, para desencorajar e rastrear o compartilhamento não autorizado de conteúdo e a criação de contas falsas.
• Tutor IA — execução de contrato (art. 7º, V): as mensagens que você envia ao Tutor IA são processadas por um provedor de inteligência artificial para gerar as respostas.
• Cumprimento de obrigações legais — obrigação legal (art. 7º, II): manutenção de registros fiscais e atendimento a ordens judiciais.

4. Compartilhamento de dados

Não vendemos seus dados. Compartilhamos apenas com os seguintes fornecedores essenciais, sob acordo de confidencialidade:

• Supabase Inc. — infraestrutura de banco de dados e autenticação. Dados armazenados em servidores da AWS na região de São Paulo (Brasil). Política de privacidade do Supabase.
• Stripe Inc. — processamento de pagamentos via cartão. O Stripe é certificado PCI-DSS nível 1. Política de privacidade do Stripe.
• Anthropic PBC — fornecedora do modelo de inteligência artificial usado no Tutor IA. As mensagens que você envia nessa funcionalidade são processadas pela Anthropic para gerar as respostas. Política de privacidade da Anthropic.
• Resend — envio dos e-mails da plataforma (confirmação de cadastro, redefinição de senha e lembretes). Recebe seu nome e e-mail. Política de privacidade do Resend.
• Vercel Inc. e Upstash — hospedagem do site e controle de excesso de requisições (recebem dados técnicos de acesso, como IP, de forma transitória).
• Meta Platforms — somente se você aceitar os cookies de medição: o Pixel da Meta recebe eventos de navegação no site (por exemplo, visita à página de planos ou cadastro concluído) e dados técnicos do navegador, usados para medir e otimizar anúncios. Política de privacidade da Meta.

Para pagamentos via Pix, o comprovante enviado por você é recebido e conferido diretamente pelo StudyMed, sem intermediação de um processador de pagamento terceirizado.

Podemos divulgar dados quando exigido por lei, ordem judicial ou autoridade competente.

5. Retenção dos dados

• Conta ativa: dados mantidos durante toda a vigência da assinatura.
• Após cancelamento: dados de progresso e perfil excluídos em até 90 dias, salvo obrigação legal de retenção.
• Dados fiscais: mantidos por 5 anos conforme legislação tributária brasileira.
• Logs de acesso: armazenados por 6 meses, conforme o Marco Civil da Internet (Lei nº 12.965/2014).

6. Seus direitos (LGPD — art. 18)

Você tem os seguintes direitos em relação aos seus dados pessoais:

7. Segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados:

• Senhas criptografadas com bcrypt (gerenciado pelo Supabase Auth).
• Comunicações protegidas por TLS/HTTPS.
• Acesso ao banco de dados restrito por Row-Level Security (RLS).
• Dados de pagamento tratados exclusivamente pelo Stripe (certificação PCI-DSS).

Em caso de incidente de segurança que possa causar risco ou dano a você, notificaremos a ANPD e os titulares afetados nos prazos previstos na LGPD.

8. Cookies e armazenamento local

Utilizamos localStorage do navegador para salvar preferências (tema, idioma), dados de sessão e a sua escolha no aviso de cookies.

• Cookie próprio de campanha (sm_utm): guarda por até 30 dias os parâmetros de campanha (utm) da sua primeira visita, para atribuir o cadastro à campanha certa. Não contém dados de identificação.
• Pixel da Meta (cookies de terceiros): só é ativado se você clicar em "Aceitar" no aviso de cookies. Se recusar, nenhum script ou cookie da Meta é carregado. Para mudar sua escolha, apague os dados do site no seu navegador — o aviso aparecerá de novo.

O Service Worker do aplicativo armazena arquivos em cache para funcionamento offline. Esses dados ficam apenas no seu dispositivo.

9. Transferência internacional de dados

O banco de dados da plataforma (Supabase) fica no Brasil, na região de São Paulo. Já o Stripe, a Anthropic, o Resend, a Vercel e (com o seu aceite) a Meta processam dados em servidores fora do Brasil, principalmente nos Estados Unidos. Essas transferências são realizadas com garantias adequadas de proteção, conforme o art. 33 da LGPD, por meio das políticas de privacidade e contratos de proteção de dados desses fornecedores.

10. Alterações nesta política

Podemos atualizar esta Política periodicamente. Em caso de mudanças relevantes, notificaremos você por e-mail com pelo menos 15 dias de antecedência. A data de "Última atualização" no topo deste documento sempre indicará a versão vigente.

11. Legislação aplicável

Esta Política é regida pela Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) e demais normas brasileiras aplicáveis. O foro competente para resolver eventuais disputas é o da comarca onde o titular dos dados reside.