Política de Privacidade

1. Quem somos

O Provaki é um serviço de tutoria por inteligência artificial para concurseiros brasileiros, mantido por Vitor Alexandre Mota Vidal (controlador dos dados), CPF mascarado conforme LGPD, com sede no Brasil. Esta política descreve como tratamos os seus dados pessoais.

Esta política se aplica ao site provaki.com, ao aplicativo web e a todos os serviços relacionados.

2. Dados que coletamos

Coletamos apenas o necessário para o funcionamento do serviço:

2.1 Dados que você nos fornece

• Cadastro: nome, e-mail, senha (armazenada com hash bcrypt; não temos acesso ao texto)
• Onboarding: concurso alvo, banca, data prevista da prova, horas/dia de estudo
• Uso do serviço: perguntas no tira-dúvidas, redações enviadas para correção, respostas em simulados e questões

2.2 Dados coletados automaticamente

• Sessão: cookie httpOnly de autenticação (necessário, não compartilhamos)
• Logs técnicos: endereço IP, navegador, timestamps de requisições, usados para segurança e diagnóstico, retidos por 90 dias
• Medição de publicidade: cookies do Google Ads (gtag.js) registram cliques originados de anúncios e o evento de cadastro correspondente. Não criamos perfil comportamental nem segmentamos audiência fora da medição de conversão.

2.3 Dados que NÃO coletamos

• Dados sensíveis (origem racial, religião, opinião política, saúde, vida sexual, dados biométricos ou genéticos)
• Localização precisa por GPS
• Dados de menores de 12 anos (serviço destinado a maiores de 18)

3. Para que usamos seus dados (finalidades)

• Operação do serviço: autenticar, exibir conteúdo, gerar questões/correções via IA personalizadas para seu concurso (Art. 7º, V, execução de contrato)
• Comunicação transacional: e-mail de verificação, recuperação de senha, recibos de pagamento futuros (Art. 7º, V)
• Segurança e prevenção a fraude: rastreamento de tentativas de acesso, bloqueio de abuso (Art. 7º, IX, interesse legítimo)
• Atendimento a obrigações legais: retenção fiscal/regulatória quando aplicável (Art. 7º, II)
• Melhoria do serviço: agregados anonimizados de performance/erros (Art. 7º, IX, interesse legítimo)
• Medição de campanhas de aquisição: identificar quais anúncios trazem cadastros, exclusivamente para alocação de orçamento de marketing (Art. 7º, IX, interesse legítimo). Não fazemos retargeting nem segmentação comportamental.

Não usamos seus dados para treinamento de modelos de IA de terceiros nem para venda a terceiros.

4. Bases legais (Art. 7º LGPD)

Todo tratamento que fazemos se apoia em uma das bases legais previstas no Art. 7º da LGPD:

5. Por quanto tempo retemos seus dados

• Conta ativa: enquanto você usar o serviço
• Após exclusão da conta: anonimização imediata. Dados financeiros (caso aplicável) retidos por 7 anos por exigência fiscal
• Logs técnicos: 90 dias
• Registros de consentimento: enquanto necessário para prova de licitude do tratamento (LGPD Art. 8º §5)

6. Compartilhamento com terceiros (subprocessadores)

Para operar o serviço, compartilhamos dados estritamente necessários com os seguintes operadores. Todos eles adotam medidas técnicas equivalentes e estão vinculados por contrato de operação:

7. Transferência internacional

Os Estados Unidos, onde se localizam alguns operadores, ainda não possuem decisão de adequação da ANPD. A transferência ocorre com base no Art. 33, II e VII da LGPD, mediante cláusulas contratuais que asseguram nível de proteção equivalente ao previsto na LGPD, em consonância com a Resolução CD/ANPD nº 19/2024 (cláusulas-padrão da ANPD) e com salvaguardas técnicas como criptografia em trânsito (TLS) e em repouso.

8. Seus direitos como titular (Art. 18)

A qualquer momento, você pode exercer os direitos previstos no Art. 18 da LGPD:

• Confirmação da existência de tratamento
• Acesso aos seus dados (exportar conta)
• Correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade
• Portabilidade a outro fornecedor (formato estruturado JSON)
• Eliminação dos dados tratados com base em consentimento
• Informação sobre entidades com quem compartilhamos
• Revogação do consentimento
• Oposição a tratamento com base em legítimo interesse

Você exerce esses direitos diretamente em sua conta ou pelo canal de comunicação abaixo. Respondemos em até 15 dias (Art. 19, §1º).

9. Cookies

Cookies essenciais (autenticação e proteção):

• provaki-session: autenticação (httpOnly, SameSite=Lax)
• XSRF-TOKEN: proteção contra CSRF

Cookies de medição de publicidade:

• _gcl_* e cookies do domínio googleadservices.com: registram cliques originados de anúncios do Google Ads e o evento de cadastro correspondente, exclusivamente para medir custo por aquisição

O uso desses cookies é informado no banner de cookies exibido na primeira visita. Você pode bloquear cookies de medição nas configurações do seu navegador sem afetar o funcionamento do serviço.

Não usamos cookies para retargeting, perfilamento comportamental, ou venda de audiência.

10. Segurança

Adotamos medidas técnicas e administrativas:

• Comunicação cifrada via HTTPS/TLS 1.3
• Senhas com hash bcrypt (cost 12)
• Tokens de sessão httpOnly + cookie domain segregado por produto
• Isolamento multi-tenant: todas as queries filtradas por org_id (zero vazamento entre contas)
• Logs de auditoria com retenção mínima
• Backups diários com retenção de 7 dias

Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos a ANPD e os titulares afetados em prazo razoável, conforme Art. 48 da LGPD.

11. Encarregado de Dados (DPO) / Canal de comunicação

O Provaki se enquadra como agente de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022) e adota canal de comunicação direto com titulares em substituição à figura formal do Encarregado.

Canal de comunicação com titulares de dados:
E-mail: Contato
Tempo de resposta: até 15 dias corridos

12. Crianças e adolescentes

O Provaki é destinado a maiores de 18 anos. Não coletamos intencionalmente dados de menores de 12 anos (Art. 14 LGPD). Se identificarmos cadastro de menor, removemos os dados ou solicitamos consentimento parental específico antes de qualquer tratamento.

13. Alterações nesta política

Podemos atualizar esta política. Quando a alteração for material, notificamos por e-mail e exibimos aviso no aplicativo antes que a nova versão entre em vigor.

Histórico de versões disponível mediante solicitação ao canal de comunicação.

14. Foro e lei aplicável

Esta política rege-se pela legislação brasileira, especialmente pela Lei nº 13.709/2018 (LGPD). Eventuais disputas serão solucionadas no foro do domicílio do titular dos dados.

15. Como reclamar à ANPD

Se você não estiver satisfeito com nossa resposta, pode encaminhar reclamação à Autoridade Nacional de Proteção de Dados (ANPD): www.gov.br/anpd