1. Quem somos
O Medalius é uma plataforma de formação católica multilíngue operada por [nome do responsável / CNPJ], com sede no Brasil. Somos o controlador dos seus dados nos termos da LGPD (Lei 13.709/2018) e responsáveis pelo tratamento nos termos do GDPR (Regulamento UE 2016/679). O contato do nosso encarregado de dados (DPO) é [email protected].
2. O que coletamos
Coletamos apenas o estritamente necessário para operar o serviço: endereço de e-mail (login e recuperação de senha), nome de exibição e avatar escolhido por você, histórico de progresso (trilhas, cursos, diário, XP, medalhas) e preferências de idioma e privacidade. Ao assinar o Pro, a Stripe coleta os dados de cobrança necessários para processar o pagamento — incluindo CPF (exigido para pagamentos no Brasil) e os dados do cartão. Esses dados são tratados diretamente pela Stripe; o Medalius não armazena seu número de cartão nem seu CPF em seus próprios servidores — guardamos apenas o status e o plano da sua assinatura. Cada dado tem uma finalidade específica listada nas seções seguintes.
3. O que NÃO coletamos
Hoje, não coletamos os dados abaixo. Caso isso mude, será com base legal, transparência e atualização desta política — alinhados à LGPD e ao GDPR:
- Número de telefone ou endereço físico residencial
- Foto pessoal (oferecemos apenas avatares pré-definidos)
- Data de nascimento
- Sua religião declarada explicitamente
- Histórico de navegação fora do Medalius
- Endereço IP para fins de publicidade direcionada
- Fingerprint de dispositivo ou browser
- Cookies de publicidade de terceiros
4. Base legal para o tratamento
Tratamos seus dados com base em duas bases legais principais: (a) execução de contrato — quando você usa o Medalius, o tratamento é necessário para entregar o serviço (trilhas, cursos, certificados, exportação de dados); (b) consentimento — para comunicações opcionais e para os termos desta Política, coletado no cadastro. Para usuários no Espaço Econômico Europeu, as bases equivalentes sob GDPR são Art. 6(1)(b) e Art. 6(1)(a), respectivamente.
5. Por quanto tempo ficamos com seus dados
Seus dados ficam conosco enquanto sua conta estiver ativa. Ao solicitar a exclusão, sua conta entra em período de retenção de 30 dias — durante esse período você pode reativar a conta e cancelar o pedido. Após 30 dias, apagamos permanentemente todos os dados pessoais identificáveis. Arquivos de exportação de dados ficam disponíveis por 7 dias após geração, com limite de 5 downloads.
6. Seus direitos
Você tem direito a: acessar os dados que armazenamos (LGPD Art. 18 I / GDPR Art. 15); corrigir dados incorretos (LGPD Art. 18 III / GDPR Art. 16); apagar seus dados (LGPD Art. 18 VI / GDPR Art. 17); receber seus dados em formato portável (LGPD Art. 18 V / GDPR Art. 20); revogar o consentimento a qualquer momento; opor-se ao tratamento. Todos esses direitos podem ser exercidos diretamente na plataforma.
7. Como exercer seus direitos
A maioria dos direitos é exercível diretamente em /app/configuracoes/dados: exportação completa em JSON, solicitação de exclusão de conta e visualização do que armazenamos. Para retificação de e-mail ou nome de exibição, acesse /app/configuracoes/conta. Para questões que não podem ser resolvidas pela plataforma, escreva para [email protected] — respondemos em até 15 dias úteis conforme LGPD Art. 18 §4.
8. Compartilhamento de dados
Não vendemos, alugamos ou comercializamos seus dados pessoais. Compartilhamos dados apenas com os prestadores estritamente necessários para operar o serviço — hoje, o Stripe, Inc. (processador de pagamento), que recebe os dados necessários para processar sua assinatura Pro. O Stripe segue sua própria política de privacidade (stripe.com/br/privacy). Esses prestadores tratam os dados em nosso nome, sob contrato, e não podem revendê-los. Caso passemos a usar ferramentas de métricas ou analytics, listaremos esses prestadores aqui e pediremos consentimento quando exigido. Em caso de fusão, aquisição ou venda do Medalius, seus dados podem ser transferidos ao sucessor, que fica obrigado a esta mesma Política de Privacidade.
9. Transferência internacional
O Stripe opera servidores nos Estados Unidos. Ao assinar o Medalius Pro, seus dados de pagamento são transferidos para os EUA sob as salvaguardas adequadas nos termos da LGPD Art. 33 (cláusulas contratuais padrão com o Stripe). Nenhum outro dado pessoal é transferido internacionalmente.
10. Segurança técnica
Adotamos as seguintes medidas técnicas: HTTPS em todas as comunicações; senhas armazenadas exclusivamente como hash bcrypt (nunca em texto plano); links de download assinados com HMAC (expiram em 7 dias); sem armazenamento de dados de pagamento (PAN, CVV) — processados exclusivamente pelo Stripe; verificação de assinatura em todos os webhooks Stripe.
11. Crianças e menores de idade
O Medalius é destinado a usuários com 18 anos ou mais, conforme declarado no processo de cadastro. Não coletamos intencionalmente dados de menores de idade. Se você acredita que uma criança forneceu dados, entre em contato com [email protected] para remoção imediata.
12. Mudanças nesta política
Quando esta política for atualizada com mudanças substanciais, você será notificado por um banner em /app/configuracoes/dados com a opção de revisar e reconfirmar o consentimento. A versão anterior fica disponível mediante solicitação a [email protected]. A data de "Última atualização" no topo deste documento sempre reflete a versão vigente.
13. Contato do DPO
Encarregado de Proteção de Dados (DPO): [nome do responsável]. E-mail: [email protected]. Respondemos a solicitações em até 15 dias úteis (LGPD Art. 18 §4). Para reclamações não resolvidas, você pode contatar a Autoridade Nacional de Proteção de Dados (ANPD) em anpd.gov.br ou, para usuários europeus, a autoridade supervisora do seu país de residência.