Como a gente cuida dos seus dados

O EstudosFun!é uma plataforma educacional onde pais sobem páginas de livro dos filhos e uma inteligência artificial cria quizzes para a criançada responder. Esta política explica, em linguagem clara, quais dados a gente coleta, por que coleta, com quem compartilha e quais são os seus direitos — em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, “LGPD”).

1. Controlador dos dados

Para fins da LGPD, o controlador dos dados pessoais tratados nesta plataforma é:

• Razão social: EstudosFun! [razão social a definir]
• CNPJ: [CNPJ a definir]
• E-mail do encarregado (DPO): estudosfun@gmail.com

2. Definições

• Pai/responsável: usuário maior de 18 anos que cria a conta e gerencia os perfis das crianças.
• Criança: usuário entre 6 e 14 anos (ensino fundamental) cujo acesso à plataforma é autorizado e mediado pelo pai/responsável.
• Material de origem: foto ou PDF de página de livro enviado pelo pai/responsável para gerar quizzes.
• Quiz: conjunto de perguntas e alternativas geradas por inteligência artificial a partir de um material de origem.

3. Dados que coletamos

Não coletamos dados sensíveis como saúde, origem racial, convicção religiosa, orientação sexual ou dados biométricos. Não usamos cookies de terceiros para publicidade.

4. Para que usamos

• Operar a plataforma: criar e autenticar contas, processar uploads, gerar quizzes via IA, registrar respostas e pontuação.
• Segurança: detectar acesso indevido, rotacionar tokens de sessão, equalizar tempo de resposta para impedir enumeração de e-mails.
• Comunicação transacional: enviar e-mails essenciais (confirmação de cadastro, redefinição de senha, notificações de conta). Nunca usamos seus dados para marketing sem consentimento prévio explícito.
• Melhorias do serviço: métricas agregadas e anônimas de uso para decidir o que evoluir no produto.
• Cumprimento legal: guardar registros mínimos exigidos por lei (por exemplo, prazo do Marco Civil da Internet para logs de acesso).

5. Bases legais (LGPD)

Tratamos dados pessoais com base nas seguintes hipóteses do art. 7º e art. 14 da LGPD:

• Execução de contrato (art. 7º, V): para entregar a plataforma que você contratou ao criar a conta.
• Consentimento do titular (art. 7º, I): para envio de comunicações opcionais e para tratamentos não-essenciais.
• Consentimento específico e em destaque pelos pais (art. 14, §1º): para tratar quaisquer dados de crianças.
• Cumprimento de obrigação legal (art. 7º, II): para guarda de logs e atendimento a requisições da autoridade competente.
• Legítimo interesse (art. 7º, IX): para segurança da operação, prevenção a fraude e melhorias técnicas — sempre balanceado com os direitos do titular.

6. Dados de crianças

O EstudosFun foi desenhado especificamente para crianças do ensino fundamental (6 a 14 anos). Por isso, levamos a sério o art. 14 da LGPD e adotamos as seguintes práticas:

• Consentimento parental é obrigatório. Toda conta de criança só é criada por um pai ou responsável legal, dentro da própria área autenticada do responsável. A criança não cria sozinha.
• Mínimo necessário. Pedimos apenas apelido (que não precisa ser nome real), série e mascote. Não pedimos endereço, telefone, foto de rosto nem documentos.
• Sem publicidade direcionada. Não rastreamos crianças para fins publicitários e não vendemos dados.
• Sem rede social. A plataforma é estritamente educacional — não há chat aberto, comentários públicos ou contato entre crianças de famílias diferentes.
• O pai pode excluir a qualquer momento. A exclusão da conta da criança apaga em definitivo todos os dados relacionados.

Veja também nossa página de Segurança Infantil para detalhes sobre filtros de conteúdo, controle parental e canais de denúncia.

7. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos dados estritamente necessários com sub-processadores que nos ajudam a operar o serviço:

Esses parceiros tratam dados sob nossas instruções e somente para os fins acima. Também podemos compartilhar dados quando exigido por ordem judicial, requisição de autoridade competente ou para defender direitos da plataforma em processo legal.

8. Transferência internacional

Alguns dos nossos sub-processadores estão sediados fora do Brasil (especialmente nos Estados Unidos). Quando isso acontece, garantimos que a transferência segue o art. 33 da LGPD por meio de cláusulas contratuais específicas e/ou pela atuação em país com nível de proteção adequado ao da LGPD.

9. Por quanto tempo guardamos

• Dados de conta: enquanto a conta estiver ativa. Após exclusão, dados pessoais são apagados em até 30 dias, exceto registros mínimos exigidos por lei.
• Quizzes e materiais enviados: enquanto a conta da criança estiver ativa. Excluídos junto com a conta.
• Logs de autenticação: 6 meses, em linha com o Marco Civil da Internet (art. 15).
• Tokens de sessão revogados: mantidos por até 30 dias para detecção de replay attacks.

10. Como protegemos

• Senhas armazenadas com hash argon2id (parâmetros recomendados pelo OWASP).
• Tokens de e-mail e refresh tokens guardados como hash SHA-256, nunca em texto puro.
• Conexões TLS obrigatórias em todas as comunicações.
• Bucket de arquivos privado, com URLs assinadas e expiração curta.
• Sessões com JWT de curta duração (15 min) + refresh token com rotação e detecção de replay.
• Princípio do mínimo privilégio para acesso interno aos dados; auditoria periódica de dependências.

Mesmo com essas medidas, nenhum sistema é 100% imune. Em caso de incidente de segurança relevante, notificaremos a ANPD e os titulares afetados nos prazos do art. 48 da LGPD.

11. Cookies e tecnologias similares

Usamos apenas cookies essenciais ao funcionamento do serviço:

• ef_access e ef_refresh: cookies httpOnly de autenticação do responsável.
• ef_child_access e ef_child_refresh: cookies httpOnly da sessão da criança.
• ef_oauth_*: cookies de curta duração usados durante o handshake OAuth do Google (CSRF state e PKCE verifier), descartados em até 10 minutos.

Não usamos cookies de rastreamento publicitário, fingerprinting, nem ferramentas de analytics que identifiquem usuários individualmente.

12. Seus direitos

Como titular de dados, você tem os direitos garantidos pelo art. 18 da LGPD. Para exercê-los, basta nos escrever em estudosfun@gmail.com a partir do e-mail cadastrado:

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• Portabilidade dos dados a outro fornecedor de serviço;
• Eliminação dos dados tratados com base em consentimento;
• Informação sobre com quem compartilhamos dados;
• Revogação do consentimento.

Atenderemos a solicitação em até 15 dias. Se discordar da resposta, você pode reclamar diretamente à Autoridade Nacional de Proteção de Dados (ANPD).

13. Alterações desta política

Podemos atualizar esta política periodicamente. Mudanças relevantes serão comunicadas por e-mail e/ou banner dentro do app, com antecedência razoável antes de entrarem em vigor. A versão vigente é sempre a publicada nesta página, com a data de última atualização no topo.

14. Como falar com a gente

Dúvidas sobre privacidade, exercício de direitos ou contato com o encarregado (DPO): estudosfun@gmail.com.