Política de Privacidade

1. Quem somos e a quem se aplica

A Questify é uma plataforma de IA pedagógica que auxilia professores na criação de questões e avaliações alinhadas à Matriz de Referência do ENEM. Ela é desenvolvida e operada pelaSynthropic, que atua como controladora dos dados pessoais tratados na plataforma.

Esta Política aplica-se ao site institucional (questify.tech) e à aplicação (app.questify.tech), conjuntamente "Serviço". Ao utilizar o Serviço, você declara estar ciente desta Política.

2. Definições

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Titular: a pessoa a quem os dados se referem (no nosso caso, o professor/usuário).
• Tratamento: qualquer operação com dados (coleta, uso, armazenamento, compartilhamento, eliminação).
• Controlador: quem decide sobre o tratamento (a Synthropic).
• Operador / suboperador: quem trata dados em nome do controlador (ex.: nossos prestadores de serviço).
• Encarregado (DPO): pessoa que atua como canal entre você, a Synthropic e a ANPD.

3. Dados pessoais que coletamos

Coletamos apenas o necessário para operar a plataforma:

3.1 Dados de cadastro e conta

• Nome (ou nome de exibição): para personalizar a experiência.
• E-mail: para autenticação, confirmação de conta e comunicações essenciais.
• Senha: armazenada de forma criptografada (hash). Nunca temos acesso à senha em texto puro.
• Dados de perfil: avatar (opcional), saldo de créditos e status da conta.

3.2 Conteúdo que você cria

• Questões, avaliações e pastas geradas ou organizadas por você, incluindo enunciados, alternativas, gabaritos e classificações pedagógicas (Taxonomia de Bloom e Matriz do ENEM).
• Comandos e materiais que você insere para gerar conteúdo (texto livre e, quando você optar, imagens enviadas).

3.3 Dados de pagamento

Os pagamentos são processados pelo Stripe. Os dados do cartão são inseridos diretamente no ambiente do Stripe e não transitam nem são armazenados em nossos servidores. Nós armazenamos apenas o identificador de cliente do Stripe, o histórico de transações e assinaturas, valores, créditos adquiridos e status de pagamento — necessários para gerir sua conta e cumprir obrigações fiscais.

3.4 Dados de uso e técnicos

• Registros de geração: para operar e auditar a geração por IA, mantemos registros que podem conter seu e-mail, o conteúdo que você enviou e a resposta gerada.
• Registros de acesso (logs): data, hora e endereço IP, conforme exige o Marco Civil da Internet.
• Informações do dispositivo: tipo de navegador e sistema operacional.

4. Finalidades e bases legais

Cada tratamento tem uma finalidade específica e uma base legal da LGPD. Não usamos "consentimento" para tudo: a operação central da plataforma se apoia na execução do contrato.

Não tratamos dados pessoais sensíveis (art. 11 da LGPD), como dados de saúde, biometria, convicções religiosas ou políticas.

5. Uso de Inteligência Artificial

Para gerar o conteúdo, a plataforma envia o seu comando a um fluxo de processamento que utilizamodelos de linguagem de terceiros. Nesse processo, são transmitidos: oconteúdo que você digita, os parâmetros pedagógicos (disciplina, nível, habilidade, taxonomia), eventuais imagens que você anexar e o seue-mail (como identificador da requisição).

Esses dados são processados por OpenRouter e Google (Gemini), orquestrados pela ferramenta de automação n8n, exclusivamente para gerar a sua resposta. Consulte as políticas desses provedores na seção 6.

5.1 Treinamento de modelos

Não utilizamos o seu conteúdo (comandos, questões geradas ou imagens) para treinar modelos de inteligência artificial, próprios ou de terceiros, e contratamos nossos provedores de IA com essa diretriz.

5.2 Decisões automatizadas

A IA é uma ferramenta de apoio: o resultado é sempre revisado por você. A plataforma não toma decisões automatizadas que afetem a sua esfera jurídica nem faz perfilamento de pessoas. Em qualquer caso, você tem o direito de solicitar revisão de decisões automatizadas, nos termos do art. 20 da LGPD.

6. Compartilhamento e operadores

Não vendemos seus dados. Compartilhamos o estritamente necessário com prestadores que atuam comooperadores, sob obrigações contratuais de segurança e confidencialidade:

Também podemos compartilhar dados para cumprir obrigação legal, atender autoridade competente ou exercer e defender direitos.

7. Transferência internacional de dados

Os dados da sua conta e do seu conteúdo são armazenados no Brasil: no Supabase e no servidor Cloudron que hospeda a aplicação, ambos em São Paulo. Os operadores abaixo processam dados fora do Brasil, o que configura transferência internacional (art. 33 da LGPD):

• Stripe (pagamentos) — Estados Unidos.
• Sentry (monitoramento de erros) — União Europeia (Alemanha).
• OpenRouter e Google (Gemini) (geração por IA) — Estados Unidos e outros países.

Para essas transferências, adotamos as garantias oferecidas pelos respectivos provedores — como acordos de tratamento de dados (DPA) e cláusulas contratuais padrão — com o objetivo de assegurar um nível de proteção adequado, nos termos do art. 33 da LGPD e da Resolução CD/ANPD n.º 19/2024. Buscamos continuamente manter e reforçar essas garantias com nossos parceiros.

8. Cookies e tecnologias de rastreamento

Usamos um conjunto mínimo de tecnologias:

• Cookies essenciais: manter você autenticado (sessão) e lembrar preferências como o tema. Sem eles o Serviço não funciona.
• Métricas de uso (Umami): no site e na aplicação, medimos acessos de forma agregada e anônima, sem cookies e sem criar perfil individual.
• Origem do acesso (cookie próprio qf_attr): ao chegar por um link de campanha, guardamos por até 90 dias os parâmetros UTM do link (origem, mídia, campanha, termo e conteúdo) e o domínio de onde você veio. Não identifica você nem é compartilhado com terceiros. No cadastro, a origem é associada à sua conta, para medirmos quais canais trazem professores ao Questify.
• Chat ao vivo (Chatwoot): quando você abre o chat, são usados recursos do navegador para manter a conversa. Dentro da aplicação, com você logado, o chat recebe seu nome, e-mail, plano e saldo de créditos para que o atendimento seja mais rápido.

Você pode gerenciar e apagar cookies nas configurações do seu navegador, sem perder o acesso ao serviço. Como não utilizamos cookies de publicidade nem rastreamento entre sites, não há venda de dados a anunciantes.

9. Segurança da informação

Adotamos medidas técnicas e organizacionais para proteger seus dados, incluindo:

• Criptografia em trânsito (HTTPS/TLS) e em repouso.
• Controle de acesso e segregação por usuário no banco de dados (políticas de acesso).
• Autenticação com senha criptografada e confirmação de e-mail.
• Minimização: enviamos aos modelos de IA apenas o necessário para gerar o conteúdo.
• Monitoramento e registros para auditoria de segurança.

Nenhum sistema é 100% imune a incidentes; trabalhamos continuamente para reduzir riscos e responder rapidamente caso ocorram (ver seção 13).

10. Retenção e eliminação

• Dados da conta e conteúdo: enquanto sua conta estiver ativa.
• Após a exclusão da conta: eliminamos seus dados pessoais em prazo razoável, ressalvadas as hipóteses legais de guarda abaixo.
• Dados fiscais e de pagamento: mantidos pelo prazo exigido pela legislação (em regra, no mínimo 5 anos).
• Registros de acesso (logs): mantidos por no mínimo 6 meses, conforme o art. 15 do Marco Civil da Internet.

Encerrado o prazo e a finalidade, os dados são eliminados ou anonimizados. Para solicitar a exclusão, veja a seção 11.

11. Seus direitos como titular

A LGPD (art. 18) garante a você os seguintes direitos:

12. Crianças, adolescentes e dados de alunos

A Questify é destinada a professores maiores de 18 anos e não coleta dados de alunos ou menores de idade. Não há campos, formulários ou tabelas para dados de estudantes — os espaços de identificação eventualmente impressos numa prova são preenchidos no papel e nunca chegam até nós.

Pedimos que você não insira dados pessoais de alunos (nomes, fotos, contatos) nos comandos enviados à IA. Caso o faça, você atua como controlador desses dados e é responsável por obter as devidas autorizações, inclusive o consentimento dos pais ou responsáveis quando envolver crianças (art. 14 da LGPD).

13. Incidentes de segurança

Caso ocorra um incidente de segurança que possa acarretar risco ou dano relevante a você,comunicaremos à Autoridade Nacional de Proteção de Dados (ANPD) e a você em até 3 (três) dias úteis da ciência, com as informações exigidas pela Resolução CD/ANPD n.º 15/2024 (natureza dos dados afetados, riscos, medidas adotadas e contato do Encarregado).

14. Encarregado pelo Tratamento de Dados (DPO)

15. Alterações nesta Política

Esta Política pode ser atualizada. Quando isso acontecer:

• Atualizaremos a data de "última atualização" no topo desta página.
• Em mudanças relevantes, notificaremos você por e-mail ou aviso no Serviço.

16. Contato e ANPD

Para qualquer dúvida sobre privacidade ou para exercer seus direitos, fale com nosso Encarregado (seção 14). Caso não fique satisfeito com a nossa resposta, você pode apresentar reclamação àAutoridade Nacional de Proteção de Dados (ANPD) ou aos órgãos de defesa do consumidor.