Política de Privacidade

Versão 2026-10-04 · vigente desde 04/10/2026

Esta Política explica como MedPapper Tecnologia Educacional Ltda. ("MedPapper"), na condição de controladora, trata seus dados pessoais, em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018). Ela complementa os Termos de Uso.

1. Dados que tratamos

Não tratamos dados de pacientes. É proibido inserir dados pessoais ou de saúde de terceiros na plataforma (veja os Termos). Não tratamos dados pessoais sensíveis seus de forma intencional.

2. Finalidades e bases legais (art. 7º)

• Prestar o serviço (conta, sincronização entre dispositivos, módulos, questionários, revisão espaçada) — execução de contrato (art. 7º, V).
• Funções de IA (gerar material, flashcards, conexões, tutor) — execução de contrato, acionadas por você; a personalização por IA com base no seu histórico pode ser desligada em Configurações → IA (consentimento, art. 7º, I).
• Segurança e prevenção a fraude (limites de tentativas, registros de sessão e de erro) — legítimo interesse (art. 7º, IX) e cumprimento de obrigação legal (Marco Civil da Internet, art. 15: guarda de registros de acesso por 6 meses).
• Melhoria do produto (métricas agregadas e eventos de uso) — legítimo interesse, sem perfilamento para publicidade.
• Cobrança e obrigações fiscais — execução de contrato e obrigação legal.
• Comunicações de conta (verificação de e-mail, recuperação de senha, avisos de segurança) — execução de contrato.

3. Operadores e compartilhamento

Não vendemos nem alugamos dados pessoais. Compartilhamos o mínimo necessário com operadores que tratam dados em nosso nome, sob contrato:

• Anthropic, PBC (EUA) — provedora do modelo de IA Claude. Quando você aciona uma função de IA, o texto da solicitação e o contexto necessário (por exemplo, o tema do módulo ou trechos das suas fontes) são enviados à Anthropic para gerar a resposta. A Anthropic atua como operadora: pelos termos comerciais da API, não usa esses dados para treinar modelos e os retém por prazo limitado para segurança e prevenção de abuso.
• Hospedagem e banco de dados — provedores de nuvem onde a aplicação e o banco ficam armazenados.
• Envio de e-mail (Resend) — recebe seu endereço e o conteúdo das mensagens transacionais.
• Intermediador de pagamentos — dados necessários à cobrança.
• Monitoramento de erros (quando habilitado) — recebe mensagens de erro e identificadores técnicos, sem conteúdo de estudo.
• Instituição de ensino — se sua conta for de licença institucional, a instituição pode ver indicadores agregados de uso e desempenho da turma, nos termos do contrato institucional.

4. Transferência internacional (art. 33)

Alguns operadores (como a Anthropic) processam dados fora do Brasil, principalmente nos Estados Unidos. Essas transferências se apoiam em cláusulas contratuais que exigem nível de proteção compatível com a LGPD e ocorrem para executar o serviço que você solicitou.

5. Por quanto tempo guardamos

• Dados da conta e de estudo: enquanto a conta existir. Ao excluir a conta, são apagados imediatamente do banco principal (cópias de segurança expiram em até 30 dias).
• Registros de acesso (IP, data, sessão): 6 meses (Marco Civil da Internet).
• Registros de erro: até 90 dias; métricas de desempenho são agregadas e não identificam você.
• Dados fiscais e de cobrança: pelo prazo exigido pela legislação tributária.
• Após a exclusão, guardamos apenas um hash irreversível do e-mail para registrar que a exclusão ocorreu.

6. Seus direitos (art. 18)

Você pode, a qualquer momento:

• confirmar a existência de tratamento e acessar seus dados;
• obter a portabilidade: em Configurações → Privacidade e dados → "Baixar JSON da conta" você baixa tudo o que está no servidor;
• corrigir dados em Meu perfil e Configurações;
• eliminar seus dados: em Configurações → Privacidade e dados → "Excluir conta" (confirmação com senha), com efeito imediato e encerramento de todas as sessões;
• revogar consentimentos (por exemplo, desligar a personalização por IA) e obter informação sobre compartilhamentos;
• opor-se a tratamento baseado em legítimo interesse e peticionar à Autoridade Nacional de Proteção de Dados (ANPD).

Pedidos que não puderem ser feitos pela própria plataforma podem ser enviados ao encarregado; respondemos em até 15 dias.

7. Segurança

Senhas são armazenadas com função de derivação lenta (scrypt) e sal individual; sessões usam cookies assinados, httpOnly e secure; tokens de recuperação são de uso único e guardados apenas como hash; há limite de tentativas de login e de cadastro. Nenhum sistema é infalível: em caso de incidente de segurança relevante, comunicaremos você e a ANPD conforme o art. 48.

8. Cookies e armazenamento local

Usamos apenas um cookie essencial de sessão. O aplicativo guarda uma cópia dos seus dados de estudo no armazenamento local do navegador para funcionar offline; você pode apagá-la em Configurações → Privacidade e dados. Não usamos cookies de publicidade.

9. Crianças e adolescentes

A plataforma é destinada a estudantes de graduação. Não coletamos intencionalmente dados de menores de 18 anos sem assistência dos responsáveis.

10. Encarregado e contato

Encarregado pelo tratamento de dados (DPO): privacidade@medpapper.com.br. Alterações relevantes desta Política serão comunicadas na plataforma e exigirão novo aceite.