Aviso de privacidade

Quem responde pelos seus dados

LUCAS CAMPOS TAVANO CONSULTORIA EM TECNOLOGIA DA INFORMACAO, CNPJ 44.454.147/0001-27, com sede na Rua Doutor Alexandre Gutierrez, 331, 80240-130, Curitiba, PR, que mantém o site O Grupo de Estudos, é a controladora dos seus dados.

Somos um agente de tratamento de pequeno porte, então a lei não exige que a gente nomeie um encarregado formal. O que ela exige, e o que fazemos, é ter um canal aberto: escreva para contato@ogrupodeestudos.com.br e quem responde é Lucas Tavano, em pessoa. Vale para dúvida, pedido sobre seus dados e reclamação. Se preferir, você também pode falar direto com a Autoridade Nacional de Proteção de Dados, em gov.br/anpd.

O que guardamos, e para quê

• Conta: e-mail, senha (só a versão embaralhada, nunca a senha), nome, nome de usuário, cidade e estado, e o que você preencher no perfil (bio, Instagram, foto). Serve para você entrar e para os outros saberem quem você é no site.
• Se você entrar com o Google: o identificador da sua conta Google, o e-mail e o nome que ele informa.
• Uso: último acesso, último login, e os dias em que você abriu o site, que alimentam a sua constância na área de estudo.
• Entrada no site: cada vez que você entra, guardamos o tipo de aparelho, o navegador e o endereço de rede de onde veio o acesso. A lei que trata da internet manda guardar esse registro por 6 meses, e depois disso ele é apagado sozinho.
• Aceite dos termos: quando você marca que leu e aceitou estes documentos, guardamos a data, o endereço de rede de onde veio o aceite e a identificação do seu navegador. É a prova de que o aceite foi seu, e esse registro fica enquanto durar a sua conta.
• Pagamentos: valor, data, identificador da transação Pix, e o nome e o CPF ou CNPJ do pagador. Esse documento chega de dois jeitos: às vezes é você que digita, no cadastro de professor ou a pedido de quem administra; às vezes é o banco que informa junto com o pagamento. Se quem pagou por você foi outra pessoa, é o documento dela que fica guardado, pelo mesmo motivo e prazo.
• Se você dá aula: nome civil ou razão social, CPF ou CNPJ, telefone, chave Pix e o nome do titular que o banco confirma, e o nome de quem responde pela empresa se você for pessoa jurídica.
• O que você escreve dentro do site: o questionário de entrada de turma, com nível, disponibilidade e se você conduz ou é conduzida; as suas anotações de estudo, privadas até você compartilhar com um professor; a lista de presença; as mensagens da turma; e as respostas de avaliação e de saída. A avaliação e a saída não mostram o seu nome para o professor, mas ficam ligadas à sua conta no banco de dados: prometemos discrição, não anonimato.
• Imagens e vídeos: sua foto de perfil, os flyers, as fotos e vídeos de galeria e os comprovantes que você envia. A foto de perfil e os flyers são públicos, quem tiver o link abre. Galeria e comprovante são privados, e só abrem para quem estava no evento ou administra o site.
• Presença: enquanto você está com o site aberto, outras pessoas logadas podem ver que você está online, com seu nome e sua foto. Isso não fica gravado, some quando você fecha a aba.

O acesso aos dados de pagamento é restrito a quem administra o site.

Por que a lei nos deixa guardar

Cada coisa aqui tem um motivo diferente na Lei Geral de Proteção de Dados.

Seus dados de conta e de matrícula existem porque sem eles não há como cumprir o combinado com você: entrar no site, entrar numa turma, receber a aula que comprou. Os registros de pagamento, o CPF ou CNPJ e os lançamentos de caixa existem porque a lei fiscal e as regras do Pix mandam guardar. O registro de entrada no site, com o endereço de rede, existe porque o Marco Civil da Internet manda guardar. O registro de quando você aceitou estes termos, com o endereço de rede e o navegador, existe para provar que o aceite foi seu. A vida social do site, quem segue quem, curtidas, comentários e quem está online, existe pelo interesse legítimo de manter uma rede que funciona, e você pode se opor a qualquer momento. Os e-mails de confirmação, recibo e lembrete fazem parte do serviço que você contratou. Já os convites para novidade, como um aviso de rádio ou de turma nova, dependem do seu sim, e você pode retirar esse sim quando quiser.

Cartas que você recebe

A maior parte das cartas faz parte do serviço: recibo, lembrete de aula, aviso de vaga, cobrança de mensalidade em aberto. Essas continuam vindo enquanto você tiver conta, porque sem elas o combinado não se cumpre. Um professor que dá aula aqui também recebe, na véspera, a lista de quem confirmou presença na aula dele.

Convite para novidade é outra coisa, e depende do seu sim: um aviso de rádio no ar, uma turma nova abrindo. Todo convite desses traz um link para sair da lista, e um toque nele já resolve, sem precisar entrar no site nem lembrar senha. Depois de sair, a mesma página oferece o caminho de volta, se você mudar de ideia.

Sair da lista de convites não desliga recibo, lembrete de aula nem cobrança em aberto: essas fazem parte do que você contratou, e sem elas o combinado não se cumpre.

Com quem os dados passam

• Banco Inter, para emitir e conferir cobranças Pix e pagar professores.
• Brevo, empresa francesa, para enviar as cartas do site. O conteúdo delas passa por servidores na Europa e fica um tempo guardado lá.
• Cloudflare, onde ficam as fotos, os flyers e os vídeos que você envia. A Cloudflare escolhe sozinha em que país guarda cada arquivo, então essas imagens podem estar fora do Brasil.
• Google, se você escolher entrar pelo Google, e também quando você abre uma página com vídeo do YouTube: o YouTube recebe o seu endereço de rede e pode deixar cookies dele no seu navegador.
• Instagram, pelo mesmo motivo, nas páginas que mostram um post embutido.
• Fly.io, onde o site e o banco de dados ficam hospedados, na região de São Paulo.

Nem tudo fica no Brasil. O site e o banco de dados sim, em São Paulo. As cartas passam pela Europa e os arquivos que você envia podem ficar em qualquer país onde a Cloudflare tenha servidor. Fazemos isso apoiados nas garantias contratuais que esses fornecedores oferecem, como manda o artigo 33 da Lei Geral de Proteção de Dados.

Não vendemos dados e não usamos nenhum rastreador de publicidade. O único cookie que a gente mesmo cria é o da sua sessão, que guarda quem você é para não pedir login toda hora. Ele é assinado, ninguém consegue falsificar, mas também não é secreto: quem tiver o cookie consegue ler o identificador da sua conta. O seu navegador guarda algumas preferências localmente, como o modo escuro e o rascunho de um formulário que você não terminou. E quando uma página mostra um vídeo do YouTube ou um post do Instagram, esses sites deixam cookies próprios, que não são nossos e não controlamos.

Por quanto tempo

Os dados da conta ficam enquanto a conta existir. Os demais prazos são estes:

• Registro de entrada no site, com o endereço de rede: 6 meses, como manda o Marco Civil da Internet. Passado esse prazo, some sozinho.
• Venda, nota fiscal e lançamento de caixa: 5 anos, contados do ano seguinte ao da venda, como manda a lei fiscal. Continuam guardados mesmo se você sair, e carregam o nome e o CPF que o banco informou na hora do pagamento, porque é isso que prova de quem foi o dinheiro.
• Aceite destes documentos, com a data e o endereço de rede: 5 anos depois de a sua conta acabar, como prova de que o combinado foi seu.
• Contrato e pagamentos a quem dá aula: 5 anos depois do último pagamento à pessoa.

Não temos como apagar nenhum desses antes do prazo vencer.

Seus direitos

Você pode pedir, a qualquer momento: ver o que temos sobre você, corrigir o que estiver errado, receber uma cópia, saber com quem compartilhamos, e pedir que a gente apague o que não é obrigada a guardar.

Escreva para o e-mail de contato. Esse trabalho é feito na mão, por uma pessoa, então damos uma primeira resposta em até 15 dias dizendo o que dá para fazer e quando. Vale saber de antemão: apagar tudo nem sempre é possível. Registro de pagamento, nota e lançamento de caixa a lei manda guardar por anos, e nesse caso o que fazemos é desligar aquele registro do seu perfil, mantendo só o que o fisco pede.

Segurança

Sua senha fica embaralhada com argon2, que é um caminho só de ida: nem nós conseguimos ler. A conexão com o site é sempre criptografada, a conversa com o banco usa certificado próprio, e o acesso aos dados de pagamento é restrito a quem administra o site.

Fazemos uma cópia de segurança do banco a cada hora e guardamos as dez mais recentes. Essas cópias trazem os dados de conta, mas não trazem CPF, chave Pix nem registro de cobrança.

Se um dia houver um incidente que traga risco para os seus dados, você e a Autoridade Nacional de Proteção de Dados serão avisados em até 3 dias úteis, dizendo o que aconteceu e o que fazer.