Política de Privacidade

Este documento foi redigido em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD), com o Regulamento Geral sobre a Proteção de Dados da União Europeia (Regulamento (UE) 2016/679 — GDPR), com o Marco Civil da Internet (Lei nº 12.965/2014) e com as orientações da Autoridade Nacional de Proteção de Dados (ANPD). Aplicam-se a você os direitos que forem cabíveis conforme sua jurisdição de residência.

1. Identificação do Controlador

Esta Política de Privacidade descreve como a AISAC Tecnologia ("AISAC", "nós", "nosso") trata dados pessoais coletados por meio da plataforma AISAC Academy, disponível em aisac.academy e seus subdomínios (incluindo o endereço técnico aisac-academy.vercel.app), bem como de seus formulários, e-mails e demais canais de atendimento. Ao utilizar a plataforma, você declara ter lido, compreendido e concordado com esta Política.

Este documento é o aviso de privacidade específico do serviço AISAC Academy e complementa a Política de Privacidade geral do ecossistema AISAC, publicada na Central Legal AISAC. Em caso de conflito sobre algo específico da Academy, prevalece este documento.

Controlador dos dados pessoais:

• Razão social: AISAC TECNOLOGIA, SISTEMAS E CERTIFICAACOES LTDA (nome fantasia Aisac; marca AISAC)
• CNPJ: 69.215.099/0001-45
• Endereço: Av. Cristóvão Colombo, 2144, Sala 408, 3º andar — Floresta, Porto Alegre/RS, CEP 90560-001, Brasil
• E-mail de contato: contact@aisac.global
• Encarregado pelo Tratamento de Dados (DPO): Bruno Bracaioli — e-mail: dpo@aisac.global

2. Definições

Para os fins desta Política, aplicam-se as definições da LGPD (art. 5º) e do GDPR (art. 4º):

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
• Titular: pessoa natural a quem se referem os dados pessoais objeto de tratamento.
• Controlador: pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais.
• Operador: pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do controlador.
• Criador (ou Escola): usuário que cria uma escola na plataforma e publica cursos para seus Alunos.
• Aluno: usuário matriculado em um ou mais cursos de uma Escola.
• Tratamento: toda operação realizada com dados pessoais (coleta, armazenamento, uso, compartilhamento, eliminação etc.).
• Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados para uma finalidade determinada.
• Anonimização: utilização de meios técnicos razoáveis para que um dado perca a possibilidade de associação a um indivíduo.

3. Dados Pessoais que Coletamos

Coletamos apenas os dados estritamente necessários às finalidades descritas nesta Política. As categorias de dados tratadas são:

• Conta e identificação: nome de exibição, endereço de e-mail, senha (armazenada apenas como hash criptográfico — nunca em texto claro) ou identificador da sua conta Google, foto de perfil, idioma e tema de preferência.
• Perfil de aprendizagem: matrículas, progresso nas aulas, respostas e resultados de quizzes, anotações pessoais, certificados emitidos (com código público de verificação), pontos de experiência (XP), sequências de estudo (streaks) e conquistas.
• Conteúdo do usuário: comentários em aulas, perguntas enviadas ao tutor de IA e demais materiais que você envia ativamente.
• Dados de Criadores: nome e identificador da Escola, elementos de marca (logotipo, cores), cursos e materiais publicados e credenciais de integrações de terceiros que você configurar (armazenadas criptografadas).
• Pagamentos: identificadores de transação, plano, valor, moeda, status e os quatro últimos dígitos do cartão, fornecidos pelo nosso processador de pagamentos. Não armazenamos números completos de cartão.
• Dados de navegação e técnicos: endereço IP, tipo e versão do navegador, sistema operacional, páginas visitadas, horário de acesso, registros de segurança e, quando você autorizar, identificadores de dispositivo para notificações push.
• Comunicações: preferências de e-mail e registros de envio e entrega de e-mails transacionais.
• Cookies e tecnologias similares: conforme descrito na seção 10.

Nós não coletamos intencionalmente dados pessoais sensíveis. Caso você voluntariamente nos envie tais dados (por exemplo, em comentários ou perguntas ao tutor de IA), eles serão tratados apenas com seu consentimento explícito ou nas demais hipóteses legais do art. 11 da LGPD.

4. Origem dos Dados

Obtemos seus dados pessoais das seguintes fontes:

• Diretamente de você, quando cria uma conta, preenche formulários, assiste a aulas, responde a quizzes, comenta ou interage com o tutor de IA.
• Automaticamente, pelo uso de cookies e tecnologias similares no seu navegador ao acessar a plataforma.
• Do Google, quando você opta por entrar com sua conta Google (ver seção 16).
• De Criadores, quando um Criador matricula você em um curso ou envia um convite para o seu e-mail.
• De provedores terceiros de serviços essenciais à operação (por exemplo, o processador de pagamentos), conforme descrito na seção 6.

5. Finalidades e Bases Legais

Todo tratamento de dados pessoais por nós está fundamentado em pelo menos uma das bases legais previstas no art. 7º da LGPD e, quando aplicável, no art. 6º do GDPR:

• Criar e manter sua conta, autenticar você e entregar os cursos, o progresso e os certificados — Execução de contrato (LGPD art. 7º, V / GDPR art. 6º, 1, b).
• Processar pagamentos e emitir documentos fiscais — Execução de contrato e cumprimento de obrigação legal (LGPD art. 7º, II e V / GDPR art. 6º, 1, b e c).
• Operar o tutor de IA e gerar notas automáticas de aula — Execução de contrato (LGPD art. 7º, V / GDPR art. 6º, 1, b).
• Gamificação (XP, sequências, conquistas e ranking) — Execução de contrato. O ranking exibe seu nome de exibição e foto a outros Alunos da mesma Escola; você pode alterar ambos nas configurações de perfil.
• Enviar e-mails transacionais (confirmação de conta, redefinição de senha, certificado emitido, conquistas) — Execução de contrato.
• Enviar notificações push e comunicações opcionais — Consentimento (LGPD art. 7º, I / GDPR art. 6º, 1, a), revogável a qualquer momento.
• Garantir a segurança da plataforma, prevenir fraudes, limitar abusos e manter trilhas de auditoria — Legítimo interesse e cumprimento de obrigação legal (LGPD art. 7º, II e IX / GDPR art. 6º, 1, c e f).
• Operar e melhorar a plataforma (métricas agregadas de uso) — Legítimo interesse do controlador, com balanceamento em favor dos direitos do titular.
• Cumprir obrigações legais e regulatórias — Cumprimento de obrigação legal.
• Exercer ou defender direitos em processo judicial, administrativo ou arbitral — LGPD art. 7º, VI / GDPR art. 6º, 1, f.

6. Compartilhamento com Terceiros

Nós não vendemos dados pessoais. Compartilhamos dados com operadores estritamente necessários à prestação do serviço, todos vinculados por obrigações contratuais de confidencialidade e proteção de dados. Os operadores e parceiros atuais são:

• Vercel, Inc. — hospedagem, CDN, execução da aplicação e métricas agregadas de uso e desempenho (Vercel Web Analytics e Speed Insights, sem cookies — seção 10). Dados tratados: IP, headers, logs de acesso, métricas agregadas de navegação e performance. Base de processamento: EUA e região global.
• Supabase, Inc. — banco de dados, autenticação e armazenamento de arquivos. Dados tratados: dados de conta, de aprendizagem e conteúdo do usuário. Base de processamento: EUA.
• Resend, Inc. — envio de e-mails transacionais. Dados tratados: nome, e-mail e conteúdo das mensagens. Base de processamento: EUA.
• Upstash, Inc. — cache, limitação de taxa e filas de processamento. Dados tratados: identificadores técnicos (IP ou ID de usuário) e mensagens de fila. Base de processamento: EUA e região global.
• Anthropic, PBC — modelos de IA do tutor e da geração de notas de aula. Dados tratados: conteúdo das aulas, suas perguntas ao tutor e o contexto necessário à resposta. Não enviamos seu e-mail nem sua senha. Base de processamento: EUA.
• Stripe, Inc. — processamento de pagamentos. Dados tratados: nome, e-mail, dados de pagamento. Base de processamento: EUA e região global.
• Google LLC — login com Google (seção 16) e reprodução de vídeos incorporados do YouTube, sujeitos à política de privacidade do Google.
• Provedores de vídeo e de comunidade configurados pelo Criador (por exemplo, Panda Video, Telegram, Discord) — apenas quando a Escola em que você está matriculado ativar essas integrações, e somente os dados necessários ao funcionamento delas.
• Criadores — o Criador da Escola em que você está matriculado tem acesso ao seu nome, e-mail, progresso e resultados para gerir seus cursos. Nessa relação, o Criador é controlador independente dos dados de seus Alunos e deve cumprir a legislação de proteção de dados aplicável.
• Autoridades públicas, quando exigido por lei, ordem judicial, investigação oficial ou para defender direitos da AISAC ou de terceiros.

Em caso de fusão, aquisição ou reorganização societária, os dados poderão ser transferidos à entidade sucessora, mantida a observância desta Política.

7. Transferência Internacional de Dados

Como utilizamos provedores globais, seus dados podem ser transferidos e armazenados em servidores localizados fora do Brasil e fora da União Europeia, inclusive nos Estados Unidos da América. Asseguramos que toda transferência internacional observa o art. 33 da LGPD e os arts. 44-49 do GDPR, por meio de:

• Cláusulas Contratuais Padrão (Standard Contractual Clauses) aprovadas pela Comissão Europeia ou cláusulas-padrão aprovadas pela ANPD;
• Transferência para países que possuam decisão de adequação emitida pela ANPD ou pela Comissão Europeia;
• Obtenção de seu consentimento específico, quando aplicável;
• Adoção de medidas técnicas adicionais (criptografia em trânsito e em repouso, pseudonimização) para proteger seus dados contra acessos não autorizados.

Você tem o direito de solicitar cópia das garantias adotadas por meio do canal indicado na seção 12.

8. Prazo de Retenção dos Dados

Mantemos seus dados pessoais apenas pelo tempo necessário às finalidades para as quais foram coletados, ressalvadas as hipóteses legais que exijam prazo maior:

• Dados de conta e de aprendizagem: enquanto sua conta estiver ativa. Após a solicitação de exclusão, os dados são eliminados ou anonimizados em até 30 (trinta) dias, ressalvadas cópias de segurança (eliminadas em até 30 dias adicionais) e obrigações legais.
• Certificados: o registro de verificação (nome, curso, data e código) é mantido enquanto o certificado for válido, para permitir a verificação pública de autenticidade. Você pode solicitar sua remoção, o que invalida o certificado.
• Dados de pagamento: pelo prazo exigido pela legislação fiscal e civil aplicável.
• Logs de acesso e dados técnicos: 6 (seis) meses, em observância ao art. 15 do Marco Civil da Internet.
• Conversas com o tutor de IA: enquanto sua conta existir, podendo ser apagadas por você a qualquer momento.
• Mensagens de suporte: até 2 (dois) anos a contar do último contato.
• Dados vinculados a exercício regular de direitos em processo: pelo tempo necessário ao processo e à eventual prescrição.

Após o término do prazo de retenção, os dados são eliminados com segurança ou anonimizados de forma irreversível.

9. Segurança da Informação

Adotamos medidas técnicas e organizacionais razoáveis para proteger dados pessoais contra acessos não autorizados, destruição, perda, alteração, comunicação ou difusão indevida, conforme art. 46 da LGPD e art. 32 do GDPR. Entre as medidas adotadas:

• Criptografia em trânsito (TLS 1.2 ou superior) em todas as comunicações com a plataforma;
• Criptografia em repouso nas bases de dados e no armazenamento de arquivos;
• Isolamento de dados por Escola e controle de acesso em nível de linha no banco de dados (Row-Level Security);
• Controle de acesso baseado em papéis e no princípio do menor privilégio;
• Senhas armazenadas exclusivamente como hash; autenticação com Google via OAuth 2.0 / OpenID Connect;
• Limitação de taxa nos fluxos de autenticação e registro de eventos de segurança;
• Avaliação periódica de vulnerabilidades e atualização de dependências;
• Plano de resposta a incidentes e comunicação à ANPD e aos titulares afetados em caso de incidente de segurança com risco ou dano relevante, conforme art. 48 da LGPD.

Descrevemos essas práticas em mais detalhe na nossa página de Segurança.

10. Cookies e Tecnologias Similares

Utilizamos cookies (pequenos arquivos armazenados no seu navegador) e tecnologias semelhantes (como o armazenamento local do navegador) para operar a plataforma. As categorias utilizadas são:

• Cookies estritamente necessários: essenciais à autenticação e à segurança (sessão de login, proteção contra abusos). Não requerem consentimento.
• Preferências: lembram seu idioma e tema entre visitas. Não requerem consentimento.
• Cookies de terceiros incorporados: ao reproduzir vídeos incorporados (por exemplo, do YouTube), o provedor do vídeo pode definir cookies próprios conforme sua política de privacidade.

Para medir o uso e o desempenho da plataforma, utilizamos o Vercel Web Analytics e o Vercel Speed Insights (fornecidos pela Vercel, já listada como operadora na seção 6). Essas ferramentas não utilizam cookies, produzem apenas métricas agregadas e não permitem rastreamento entre sites (cross-site tracking) nem identificação individual dos visitantes. Antes de qualquer evento ser enviado, os parâmetros de URL que possam conter um token de autenticação, um código de verificação ou um endereço de e-mail são removidos automaticamente. Não utilizamos cookies de publicidade, pixels de rastreamento nem ferramentas de analytics de publicidade de terceiros (como Google Analytics/GA4 ou Google Tag Manager). Caso isso mude, esta Política será atualizada e o consentimento será solicitado quando exigido.

Você pode gerenciar ou bloquear cookies pelas configurações do seu navegador. O bloqueio dos cookies estritamente necessários impede o login na plataforma.

Atribuição de aquisição (primeira parte). Quando você chega à plataforma por um link com parâmetros de campanha (utm) ou vindo de outro site, gravamos um cookie próprio, restrito ao nosso domínio e com validade de 30 dias, com a origem da campanha (utm), o domínio do site de referência (nunca o endereço completo) e a página de entrada. Esse cookie não é usado para publicidade nem compartilhado com terceiros; ao criar sua conta, essas informações são copiadas para o seu perfil, para sabermos de onde vêm os nossos alunos, e o cookie é apagado. A base legal é o legítimo interesse da AISAC em entender a origem do seu público (LGPD, art. 7º, IX), com impacto mínimo sobre você.

E-mails de novidades (opt-in). Se, e somente se, você marcar a caixa opcional de novidades (no cadastro ou depois, na página do seu perfil), enviaremos e-mails de marketing da AISAC com novidades do produto e atualizações de cursos, e registramos a data e o local do seu consentimento. Esse consentimento é separado dos Termos, vale para a AISAC (não para os criadores de cursos) e pode ser revogado a qualquer momento, desativando a opção no seu perfil ou pelo link de cancelamento presente em cada e-mail. A base legal para esses e-mails é o seu consentimento (LGPD, art. 7º, I).

11. Seus Direitos como Titular de Dados

A LGPD (art. 18) e o GDPR (arts. 15 a 22) garantem a você, como titular de dados pessoais, os seguintes direitos, exercíveis de forma gratuita e a qualquer momento:

• Confirmação da existência de tratamento de seus dados pessoais;
• Acesso aos dados pessoais tratados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Portabilidade dos dados a outro fornecedor de serviço ou produto, observado o segredo comercial e industrial;
• Eliminação dos dados pessoais tratados com base no consentimento, ressalvadas as hipóteses legais de manutenção;
• Informação sobre entidades públicas e privadas com as quais compartilhamos seus dados;
• Informação sobre a possibilidade de não fornecer consentimento e as consequências da negativa;
• Revogação do consentimento a qualquer momento, sem prejuízo da licitude do tratamento realizado anteriormente;
• Oposição ao tratamento realizado com fundamento em hipótese legal de dispensa de consentimento, quando houver descumprimento da LGPD;
• Revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses (LGPD art. 20);
• Apresentar reclamação junto à Autoridade Nacional de Proteção de Dados (ANPD) — Brasil — ou à autoridade supervisora competente em seu país (GDPR art. 77).

12. Como Exercer seus Direitos

Para exercer qualquer um dos direitos listados na seção 11, basta enviar solicitação fundamentada ao nosso Encarregado pelo e-mail dpo@aisac.global (com cópia para contact@aisac.global), informando:

• Nome completo e e-mail cadastrado na plataforma;
• Descrição clara do direito que deseja exercer;
• Comprovação de identidade (para evitar fraudes e proteger seus próprios dados); e
• Eventuais documentos complementares.

Responderemos sua solicitação em até 15 (quinze) dias, conforme art. 19 da LGPD, e em até 30 (trinta) dias nos termos do art. 12 do GDPR, podendo este prazo ser prorrogado por igual período em situações de complexidade justificada.

O atendimento à solicitação é gratuito, salvo em casos de solicitações manifestamente infundadas ou excessivas, nos quais poderá ser cobrada taxa razoável.

13. Proteção de Menores de Idade

Nossos serviços não se destinam a menores de 18 anos. Não coletamos deliberadamente dados pessoais de crianças (menores de 12 anos) nem de adolescentes (entre 12 e 18 anos) sem o consentimento específico e em destaque de pelo menos um dos pais ou responsáveis legais, conforme art. 14 da LGPD e art. 8º do GDPR.

Caso tomemos conhecimento de que coletamos dados de menor sem o devido consentimento, os dados serão eliminados imediatamente. Pais ou responsáveis que identificarem tal situação devem entrar em contato pelo canal da seção 12 para solicitar a eliminação.

14. Decisões Automatizadas e Perfilhamento

A gamificação (XP, níveis, ranking), a geração de notas de aula e as respostas do tutor de IA são funcionalidades automatizadas que não produzem efeitos jurídicos nem afetam significativamente seus interesses. Não tomamos decisões baseadas unicamente em tratamento automatizado que produzam tais efeitos.

Caso passemos a realizar tais tratamentos no futuro (por exemplo, recomendações personalizadas de cursos com efeitos relevantes), informaremos previamente os critérios utilizados e asseguraremos seu direito a:

• Obter explicação clara sobre os critérios e procedimentos utilizados na decisão automatizada;
• Solicitar revisão por pessoa natural de decisões tomadas exclusivamente com base em tratamento automatizado que afetem seus interesses, nos termos do art. 20 da LGPD e do art. 22 do GDPR.

15. Reclamações e Autoridades Competentes

Sem prejuízo do seu direito de contato direto conosco (seção 12), você pode apresentar reclamação às autoridades competentes:

• Brasil — Autoridade Nacional de Proteção de Dados (ANPD): https://www.gov.br/anpd/
• União Europeia — autoridade supervisora de proteção de dados do seu país de residência. A lista completa está disponível em: https://edpb.europa.eu/about-edpb/board/members_en
• Reino Unido — Information Commissioner's Office (ICO): https://ico.org.uk/

16. Dados do Usuário do Google (Login com Google)

A AISAC Academy oferece a opção "Continuar com Google", que utiliza o Google OAuth 2.0 / OpenID Connect para autenticar você.

Escopos solicitados: openid, https://www.googleapis.com/auth/userinfo.email e https://www.googleapis.com/auth/userinfo.profile. Esses escopos permitem apenas identificar você e obter seu e-mail e informações básicas de perfil. Não solicitamos acesso ao Gmail, Google Drive, Agenda, Contatos ou a qualquer outro dado da sua conta Google.

Dados recebidos: identificador da conta Google, nome, endereço de e-mail e indicação de e-mail verificado, foto de perfil e idioma. Utilizamos esses dados exclusivamente para criar ou autenticar sua conta na plataforma e preencher seu nome de exibição e foto de perfil, que você pode alterar a qualquer momento.

Dados que armazenamos: a identidade vinculada (identificador Google e e-mail) é mantida pelo nosso provedor de autenticação, criptografada em repouso. Não armazenamos os tokens de acesso ou de atualização do Google em nosso banco de dados; após o login, sua sessão é mantida por credenciais próprias da plataforma.

Uso Limitado: o uso e a transferência, pela AISAC Academy, de informações recebidas das APIs do Google para qualquer outro aplicativo obedecerão à Política de Dados do Usuário dos Serviços de API do Google (https://developers.google.com/terms/api-services-user-data-policy), incluindo os requisitos de Uso Limitado (Limited Use). Usamos os dados do usuário do Google apenas para fornecer e melhorar os recursos acima; não os vendemos; não os usamos para publicidade; não os transferimos exceto quando necessário para operar o serviço ou quando exigido por lei; e nenhum humano lê esses dados, exceto com o seu consentimento, para segurança/depuração ou quando legalmente exigido.

Revogação de acesso: você pode desconectar a AISAC Academy da sua conta Google a qualquer momento em https://myaccount.google.com/permissions. Depois disso, você ainda poderá acessar sua conta pelos demais métodos de login (e-mail e senha ou link mágico).

17. Alterações a esta Política

Esta Política pode ser atualizada periodicamente para refletir mudanças em nossos serviços, em requisitos legais ou em melhores práticas. A versão mais recente estará sempre disponível em https://aisac.academy/legal/privacy, em português e inglês, com indicação da data da última atualização.

Alterações materiais serão comunicadas com antecedência razoável, por e-mail aos usuários cadastrados ou por aviso em destaque na plataforma. O uso continuado dos serviços após a publicação da nova versão constitui aceitação das alterações, ressalvados os casos em que a lei exigir novo consentimento.

18. Contato

Se você tiver dúvidas, solicitações ou reclamações sobre esta Política ou sobre o tratamento de seus dados pessoais, entre em contato conosco:

• Encarregado (DPO): dpo@aisac.global
• Atendimento geral: contact@aisac.global
• Endereço postal: Av. Cristóvão Colombo, 2144, Sala 408, 3º andar — Floresta, Porto Alegre/RS, CEP 90560-001, Brasil