Política de Privacidade

Esta Política explica como REBECHI & SILVA PRODUCOES LTDA - ME (CNPJ 47.706.144/0001-21), com sede em Avenida Marquês de São Vicente, 1619, conjunto 2712, Barra Funda, São Paulo/SP, CEP 01139-003, é a controladora dos dados pessoais tratados no âmbito da RebechiLabs — Formação Dr. Alexandre Silva e realiza esse tratamento em conformidade com a Lei nº 13.709/2018 (LGPD). Veja também o Aviso LGPD com o resumo dos seus direitos.

1. Dados que coletamos

• Cadastro e perfil: nome, e-mail e preferências do onboarding (perfil profissional, nível, objetivo e meta de estudo).
• Uso e progresso necessários à formação: lições concluídas, respostas, pontuação, sequência de estudo, avaliações, comentários e anotações. Esses dados mantêm seu histórico e as funcionalidades educacionais da plataforma.
• Analytics opcionais: somente depois de sua autorização, PostHog e as tecnologias de medição da Meta e da OpenAI (Pixel e Conversions API) podem receber páginas acessadas, eventos de interação e navegação, desempenho da página e informações técnicas do navegador e dispositivo. Quando você está logado, a análise da PostHog pode ser associada ao identificador da conta, e-mail, nome e perfil profissional. Não usamos gravação de sessão e excluímos do analytics a rota pública de desafios compartilhados.
• Pagamento: processado pela Stripe. Recebemos apenas identificadores e status da assinatura (por exemplo, ativo, em teste ou cancelado) e os últimos dígitos/bandeira quando aplicável. Não coletamos nem armazenamos o número do cartão.
• Comunicações: mensagens que você nos envia (suporte, pedidos de conteúdo) e, se optar, dados para o funil de parceria (opt-in explícito).
• Rebechinho — Guia de Estudos: a pergunta digitada é analisada no servidor apenas para localizar o assunto. A pergunta e seus termos não são enviados ao modelo; somente trechos publicados já selecionados são encaminhados para gerar a orientação educacional. A aplicação não mantém histórico das perguntas ou respostas e orienta que você não envie dados pessoais, documentos nem informações de clientes.
• Certificados: nome conferido por revisor autorizado, nível concluído, quantidade de módulos, data de emissão, status e identificador aleatório de verificação. A referência documental usada na conferência do nome fica restrita ao ambiente interno.
• Técnicos essenciais: dados de sessão e cookies necessários para autenticação, segurança e funcionamento.

2. Para que usamos (finalidades e bases legais)

• Executar o contrato (art. 7º, V, LGPD): criar sua conta, dar acesso ao conteúdo, manter seu progresso, processar a assinatura, prestar sob demanda a orientação educacional por IA, conferir o nome e emitir o certificado solicitado.
• Legítimo interesse (art. 7º, IX): prevenir fraude e abuso e preservar a segurança do serviço, respeitando suas expectativas e direitos.
• Cumprir obrigação legal/regulatória (art. 7º, II): atender deveres fiscais, contábeis e de defesa em processos.
• Consentimento (art. 7º, I): analytics de uso e desempenho, comunicações de marketing e o funil de parceria B2B. São finalidades opcionais e revogáveis a qualquer momento.

3. Com quem compartilhamos

Compartilhamos dados com fornecedores necessários à prestação do serviço e à mensuração opcional descrita nesta Política: a Stripe (pagamentos), a Supabase (banco de dados e autenticação), a infraestrutura de hospedagem e, se você aceitar analytics, a PostHog (análise de uso/produto), a Meta e a OpenAI (mensuração do funil de inscrição por Pixel e Conversions API). Cada fornecedor pode atuar como operador ou como agente de tratamento com responsabilidades próprias, conforme o serviço executado e seus termos aplicáveis. Para a mensuração, podemos transmitir endereço IP, agente do navegador e identificadores técnicos de atribuição da Meta ou da OpenAI. Na primeira cobrança após o teste, podemos enviar o e-mail normalizado com SHA-256, valor, moeda, horário e uma referência pseudonimizada da assinatura. Não enviamos senha, cartão nem IDs brutos da Stripe. Podemos compartilhar dados por exigência legal ou ordem de autoridade competente. Não vendemos seus dados pessoais.

Quando você usa o Rebechinho, recurso de inteligência artificial, a pergunta é processada no servidor para selecionar trechos, mas não é encaminhada ao modelo. Somente os trechos autorizados e os metadados didáticos associados (módulo, nível, competências e bibliografia) são enviados ao Vercel AI Gateway e ao provedor do modelo configurado — atualmente, por padrão, Anthropic — para gerar a resposta. Não enviamos seu nome, e-mail, perfil, histórico, documentos ou identificador da conta no prompt. O texto integral é processado apenas no servidor da aplicação e não é persistido. Ainda assim, não inclua informações identificáveis. Cada chamada exige roteamento com retenção zero e proibição de treinamento do prompt.

4. Verificação pública de certificados

Depois da emissão, qualquer pessoa que receba o link ou o identificador do certificado poderá consultar o nome atestado, o nível, a quantidade de módulos, a data de emissão e o status válido ou revogado. A página é configurada para não ser indexada por buscadores, mas isso não transforma o link em informação privada. A referência da conferência de identidade e o motivo interno de uma eventual revogação não são exibidos publicamente.

5. Transferência internacional

Alguns fornecedores podem processar dados fora do Brasil. Quando analytics é autorizado, isso pode ocorrer, por exemplo, em serviços da PostHog, da Meta, da OpenAI, da Vercel e da Anthropic. No Rebechinho, isso ocorre apenas quando o aluno envia uma pergunta. As transferências internacionais devem observar os arts. 33 a 36 da LGPD e os mecanismos aplicáveis da Resolução CD/ANPD nº 19/2024, conforme o país, o fornecedor e o fluxo de tratamento envolvidos.

6. Por quanto tempo guardamos

Os identificadores opcionais de atribuição da Meta vinculados ao trial são eliminados em até 30 dias, salvo revogação anterior. O registro técnico detalhado de entrega de uma conversão é eliminado em até 180 dias. Depois desse prazo, preservamos somente um marcador irreversível, sem usuário, valor ou identificador Stripe em claro, para impedir que a mesma assinatura gere uma compra duplicada. A decisão pseudônima de consentimento também expira e é eliminada em até 180 dias. Uma rotina diária de expurgo aplica esses prazos. Mantemos os demais dados enquanto sua conta estiver ativa e pelo prazo necessário às finalidades acima ou ao cumprimento de obrigações legais (por exemplo, prazos fiscais). Encerrada a relação, os dados são eliminados ou anonimizados, salvo hipóteses de guarda obrigatória ou necessidade de preservar a autenticidade e prevenir fraude em certificados emitidos. O registro público revogado pode permanecer pelo prazo necessário a essa finalidade, sempre com minimização dos dados.

Na medição da OpenAI, os identificadores opacos de atribuição são lidos dos cookies próprios do Pixel somente após o consentimento e encaminhados no evento de início do trial. Não criamos uma base interna separada para persistir esses identificadores. A conservação pelo fornecedor segue a janela de atribuição e os termos aplicáveis ao serviço.

A aplicação não persiste perguntas nem respostas do Rebechinho. O texto fica apenas no estado temporário da página e desaparece ao recarregá-la. O pedido ao modelo exige retenção zero do conteúdo e proibição de uso do prompt para treinamento. Vercel e o provedor ainda podem conservar metadados técnicos mínimos necessários à segurança, faturamento e comprovação do roteamento, conforme seus termos aplicáveis.

7. Segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados — controle de acesso por linha (RLS), criptografia em trânsito, segregação de ambientes e minimização de dados. Nenhum sistema é perfeitamente seguro, mas trabalhamos continuamente para reduzir riscos e responder a incidentes.

8. Cookies e preferência de analytics

Cookies de sessão e autenticação são essenciais para o funcionamento da plataforma. Analytics é opcional e permanece desligado até você escolher “Aceitar analytics”. Sua decisão é guardada por 180 dias em um cookie próprio e em um identificador pseudônimo, restrito no servidor, para respeitar a escolha também na primeira cobrança após o trial. Você pode aceitar, recusar ou mudar a escolha a qualquer momento pelo botão Privacidade, disponível na plataforma. Recusar analytics não reduz o acesso à formação nem às funções essenciais.

9. Revogação, seus direitos e contato do Encarregado

Ao revogar analytics, interrompemos novas coletas nos seus acessos. A revogação não apaga automaticamente informações enviadas antes da mudança. Você pode solicitar confirmação, acesso, correção, anonimização ou eliminação, quando aplicável, conforme os direitos previstos na LGPD (ver Aviso LGPD). A correção do nome de um certificado já emitido preserva a rastreabilidade: o registro incorreto é revogado e, se os requisitos continuarem atendidos, um novo pode ser emitido com o dado corrigido. Encarregado (DPO): Alexandre Silva — alexandre@rebechisilva.com.br. Responderemos às solicitações nos prazos legais.