Política de Privacidade

O controlador dos seus dados pessoais é Auriah Tech Soluções LTDA, CNPJ 65.841.422/0001-35, com endereço em Rua São Paulo, 818, Sala 501, Centro, Belo Horizonte/MG, CEP 30170-131 (“Aprova IA” ou “nós”).

Encarregado pelo tratamento de dados pessoais (art. 41 da LGPD): Lucas Mateus de Oliveira Duarte, pelo e-mail admin@aprovaiaoab.com.br. É por esse canal que você faz pedidos sobre os seus dados.

Dúvidas gerais sobre o serviço: admin@aprovaiaoab.com.br.

• Conta. Nome, e-mail, senha (guardada só como hash bcrypt, nunca o texto da senha), plano, se o e-mail foi confirmado e a data de criação da conta, que marca o início do teste grátis. No login com o Google recebemos nome e e-mail verificado; a foto do perfil do Google não é guardada. Se a conta nascer de uma compra, usamos o nome e o e-mail informados no checkout.
• Preparação. Data da sua prova, horas de estudo por dia, matérias de interesse e, se você preencher, o objetivo em texto livre do primeiro acesso [DECISÃO: manter ou não a pergunta “objetivo” do onboarding]. Também as respostas do diagnóstico inicial e o seu plano de estudos com as tarefas.
• Uso e desempenho. Respostas às questões (alternativa, acerto e tempo), simulados, revisão espaçada, estatísticas por matéria, favoritos, progresso nos resumos, sequência de estudo, XP e conquistas.
• Textos que você escreve. Cadernos e anotações, marcações e notas da Lei Seca, perguntas ao tutor Caio (até 2.000 caracteres cada) e as respostas dele, respostas da 2ª fase (até 15.000 caracteres na peça e 5.000 na discursiva), a correção gerada pela IA, que reproduz trechos da sua resposta, e os relatos de “Discordo desta correção”. São campos livres: evite escrever neles dados pessoais seus ou de outras pessoas.
• WhatsApp (opcional). Número, preferências, data da confirmação do número e o registro das mensagens, com o número. As mensagens enviadas a você ficam guardadas por inteiro (com o seu primeiro nome e números do seu estudo); das recebidas, guardamos até 500 caracteres. O código de verificação não é guardado: só um código derivado (HMAC) para conferir o que você digitar. Se alguém sem conta escrever para o nosso número, registramos só o tipo de comando e o número mascarado.
• Compras e acesso. Plano, situação e período da assinatura, valor e situação de cada pagamento, número do pedido, créditos do Módulo 2ª Fase e o aviso de compra enviado pelo provedor de pagamento (e-mail e nome do comprador, produto, valores e datas). Não guardamos número de cartão, CPF, telefone ou endereço: o aviso do provedor pode trazer esses dados, e nós os descartamos (seção 5).
• Aceites e consentimentos. Versão do documento aceito, data e um código derivado (HMAC) do seu IP e do seu navegador, que prova o aceite sem guardar o dado original. No consentimento do WhatsApp, guardamos também o texto aceito, o canal da confirmação e o número mascarado.
• Segurança e registros técnicos. Cookies de sessão (seção 8). O seu IP (e, no login e na recuperação de senha, o seu e-mail) é usado para limitar tentativas de login, cadastro, recuperação de senha e confirmação de e-mail, e fica no cache por até 15 minutos; o IP não é gravado no banco de dados. Registros de erro (página, mensagem e identificadores da conta e da requisição, com e-mails e números longos mascarados), inclusive de erros que acontecem no seu navegador. Registros de uso de IA (recurso, modelo, volume de texto, custo e tempo de resposta, sem o conteúdo). Registros das ações da equipe de suporte sobre contas e de tarefas internas em segundo plano.

Não pedimos dados pessoais sensíveis (art. 5º, II, da LGPD), como saúde, religião ou opinião política. Por favor, não os escreva nos campos livres. Se um texto seu trouxer esse tipo de dado, ele será usado apenas para executar o recurso que você pediu [BASE LEGAL DO ART. 11 PARA DADO SENSÍVEL DIGITADO PELO ALUNO].

• Criar e manter a sua conta, autenticar você e liberar o plano contratado: execução de contrato (art. 7º, V).
• Prestar o serviço de estudo (questões, simulados, estatísticas, plano de estudos, revisão, cadernos, Lei Seca, tutor e Módulo 2ª Fase): execução de contrato (art. 7º, V).
• Enviar os e-mails do serviço (confirmação de e-mail, redefinição de senha e boas-vindas de quem comprou, com o link para criar a senha): execução de contrato (art. 7º, V). Não enviamos e-mail de marketing.
• Enviar mensagens pelo WhatsApp: consentimento (art. 7º, I), que você pode revogar a qualquer momento (seção 10). O texto que você autoriza cita o plano do dia e, se você escolher, a dica e a questão do dia. Hoje também enviamos lembretes (depois de 3 a 14 dias sem responder questões, nos 30 dias antes da prova, na véspera dela e uma mensagem semanal às segundas) e avisos de sequência, conquista, simulado concluído e muitos erros, que esse texto não cita. [DECISÃO: incluir esses envios no texto da autorização (nova versão do consentimento)]
• Montar o ranking entre alunos: [BASE LEGAL DO RANKING: legítimo interesse (art. 7º, IX) ou consentimento — decidir junto com a opção de sair].
• Processar compras, renovações, cancelamentos e reembolsos: execução de contrato (art. 7º, V). Guardar os registros de pagamento: cumprimento de obrigação legal (art. 7º, II). Responder a contestações e estornos: exercício regular de direitos (art. 7º, VI).
• Provar os seus aceites e consentimentos: cumprimento de obrigação legal (art. 7º, II, e art. 8º, § 2º) e exercício regular de direitos (art. 7º, VI).
• Segurança, prevenção de fraude e abuso, correção de erros e controle do custo de IA: legítimo interesse (art. 7º, IX), limitado ao necessário.
• Revisar e calibrar o corretor da 2ª fase: os relatos do botão “Discordo desta correção” ficam guardados e poderão ser usados para revisar a correção e calibrar o corretor [PROCEDIMENTO E PRAZO DE REVISÃO DA CORREÇÃO CONTESTADA]. Hoje, o texto da sua resposta é usado só para corrigir a sua própria resposta. O uso das respostas e dos relatos dos alunos para revisar, calibrar ou melhorar o corretor depende de [DECISÃO: uso dos textos da 2ª fase para calibração e a base legal, ou consentimento].

Decisões automatizadas. O plano de estudos e a correção da 2ª fase são gerados de forma automatizada. A nota da 2ª fase é uma estimativa de treino, sem efeito fora da plataforma. Você pode pedir informações sobre os critérios usados e a revisão de uma decisão automatizada (art. 20) pelo e-mail do encarregado [PROCEDIMENTO DE REVISÃO DE DECISÃO AUTOMATIZADA].

Os recursos de IA usam modelos da OpenAI, chamados pelo nosso servidor. Cada chamada leva só o necessário para o recurso e não inclui o seu nome, o seu e-mail nem o identificador da sua conta:

• Tutor Caio: a sua pergunta, as últimas mensagens da conversa (até 6 mensagens e 6.000 caracteres) e trechos do conteúdo da plataforma. A pergunta também é convertida pela OpenAI em um vetor numérico (embedding) para buscar esses trechos.
• Explicação de questão: só a questão (enunciado, alternativas e gabarito) e trechos do conteúdo. A sua resposta não é enviada.
• Cadernos: o texto da anotação, quando você pede para organizá-la, e a conversa com o tutor (até 6.000 caracteres), quando você a salva como nota.
• Plano de estudos: dias até a prova, tempo de estudo por dia e matérias fortes e fracas; na personalização pelo Essencial, também as suas estatísticas por matéria.
• Correção da 2ª fase: o texto da sua resposta, o enunciado e o espelho da prova. A checagem de fuga ao tema usa os primeiros 3.500 caracteres da resposta.

O que você escreve nesses campos chega à OpenAI do jeito que foi escrito. Por isso, não coloque dados pessoais nas perguntas e respostas.

Para economizar, a resposta à primeira pergunta de uma conversa com o tutor fica guardada no cache por até 7 dias, sem identificar quem perguntou, e é reaproveitada se outro aluno fizer exatamente a mesma pergunta.

As mensagens do WhatsApp não usam IA.

A OpenAI pode tratar os dados fora do Brasil (seção 7). [CONFIRMAR NO CONTRATO (DPA) DA OPENAI: local do tratamento, prazo de retenção do lado dela e não uso dos dados para treinar modelos]

Não vendemos os seus dados pessoais. Compartilhamos apenas com empresas que nos ajudam a prestar o serviço (operadores), no limite do necessário:

• OpenAI: recursos de IA (seção 4).
• Kiwify: pagamento das compras. Ao abrir o checkout pelo app, o seu e-mail e o seu nome vão no endereço do link para preencher o formulário. A Kiwify coleta no ambiente dela os dados de pagamento e nos avisa de cada compra, renovação, cancelamento ou reembolso. Desse aviso guardamos só o descrito na seção 2 e descartamos CPF ou CNPJ, telefone, endereço, IP, dados de cartão, PIX e boleto, parâmetros de campanha (UTM) e dados de afiliados. [PAPEL DA KIWIFY: controladora própria dos dados de pagamento ou operadora — confirmar no contrato]
• Hotmart: compras antigas, feitas antes da troca de plataforma. Continuamos recebendo os avisos dessas compras; guardamos e-mail, nome e código do comprador, dados da transação e do produto, e descartamos documento, telefone, endereço, IP e dados de afiliados.
• Resend: envio dos três e-mails do serviço (recebe o seu e-mail, o primeiro nome e o link da mensagem). Remetente: [E-MAIL REMETENTE].
• WhatsApp: as mensagens saem por uma integração (Evolution API) hospedada em [SERVIDOR DA EVOLUTION API] e passam pelo WhatsApp, da Meta, que recebe o número e o texto. [DECISÃO: manter a Evolution API ou migrar para a API oficial do WhatsApp Business]
• Google: só se você entrar com o Google. Recebemos nome, e-mail e a informação de que o e-mail é verificado; a foto do perfil é descartada.
• Hospedagem, banco de dados e cache: [PROVEDOR DE HOSPEDAGEM], [PROVEDOR DO BANCO DE DADOS] e [PROVEDOR DO CACHE (REDIS)], na região [REGIÃO].
• Cloudflare (R2): armazenamento dos áudios e slides dos resumos [CONFIRMAR ADOÇÃO DO R2]. Não guarda dados de alunos, mas, quando você abre um desses arquivos, o seu navegador baixa direto da Cloudflare por um link temporário, e ela recebe dados técnicos da conexão, como o IP. Pode guardar também a cópia externa das cópias de segurança.
• GitHub (Actions): gera a cópia de segurança diária do banco de dados e a guarda criptografada. O arquivo sem criptografia só existe durante a execução da tarefa.
• Slack ou Discord: se ativado, recebem alertas de erros graves para a equipe, com e-mails e tokens mascarados. Podem conter o identificador interno da sua conta.

Também podemos compartilhar dados quando a lei, uma autoridade ou uma ordem judicial exigir, ou para defender os nossos direitos.

• Ranking. Alunos logados veem os 20 primeiros do ranking, com primeiro nome, XP e nível, além da própria posição e do total de participantes. Toda conta ativa entra no ranking automaticamente e sai dele quando é excluída. [DECISÃO: opção de não aparecer no ranking]
• Equipe de suporte. Pessoas autorizadas da nossa equipe veem, no painel de suporte, o seu nome, e-mail, plano e papel, se a conta está ativa, a data de criação da conta e do último acesso, a situação da assinatura e o fim do período pago, as suas estatísticas (questões, acerto, sequência, nível, XP, revisões pendentes e matérias fortes e fracas), os últimos simulados, quantos resumos você concluiu e quantas anotações tem, quantas vezes usou o tutor e o custo de IA disso, e se o WhatsApp está ativo, com a contagem de mensagens enviadas, recebidas e com falha. Veem também os avisos de compra dos provedores de pagamento (e-mail do comprador e resultado de cada aviso) e as correções da 2ª fase que falharam (com o seu e-mail e o motivo). O painel não mostra o conteúdo das suas anotações, das conversas com o tutor nem das mensagens do WhatsApp. As ações da equipe sobre contas ficam registradas.

Alguns operadores são empresas estrangeiras e podem tratar dados fora do Brasil: OpenAI, Resend, Google, Cloudflare, GitHub, WhatsApp (Meta) e, se ativados, Slack ou Discord. A localização da hospedagem, do banco de dados e do cache depende da região contratada [REGIÃO]; a dos dados tratados pela Kiwify e pela Hotmart, [CONFIRMAR ONDE A KIWIFY E A HOTMART TRATAM OS DADOS].

Essas transferências se apoiam em [BASE DO ART. 33 DA LGPD E CONTRATOS (DPA) COM CADA OPERADOR].

Usamos só cookies necessários para o login e a segurança. Não usamos cookies de publicidade, de análise ou de terceiros, nem pixels de rastreamento. Por isso não há banner de cookies; se um dia adotarmos ferramentas de medição ou publicidade, pediremos o seu consentimento antes.

Os cookies abaixo não podem ser lidos por scripts da página e, no site publicado, só trafegam por conexão segura (HTTPS):

• access_token: mantém a sua sessão. Dura 15 minutos.
• refresh_token: renova a sessão sem pedir a senha de novo. Dura 7 dias.
• sessao_renovada: evita repetir a renovação da sessão em laço. Dura 60 segundos.
• g_oauth_state: protege o login com o Google contra fraude (CSRF). Dura 10 minutos.

Ao sair ou excluir a conta, os cookies de sessão são apagados. No navegador também ficam:

• Tema (armazenamento local): claro ou escuro.
• Rascunho da 2ª fase (armazenamento local): cópia de segurança do texto que você está escrevendo, apagada quando o servidor salva ou recebe o envio. Sair da conta não apaga esse rascunho; em computador compartilhado, limpe os dados do navegador.
• Aviso dispensado (armazenamento da sessão): lembra, até você fechar a aba, que o aviso “Confirme seu e-mail” foi dispensado.
• Cache do app (service worker): guarda só a página offline e arquivos públicos, nunca páginas com os seus dados nem respostas do servidor. É apagado ao sair ou excluir a conta.

As fontes do site são servidas pelo próprio Aprova IA. O app Android abre este mesmo site e não tem notificações push nem ferramentas de análise.

• Conta, estudo e textos: enquanto a conta existir. Depois da exclusão, veja a seção 10.
• Conversas com o tutor: apagadas quando você exclui a conta. Conversas sem uso há mais de 90 dias também são apagadas; hoje essa limpeza acontece quando você inicia uma nova conversa [DECISÃO: limpeza automática periódica].
• Pagamentos e avisos de compra: [PRAZO LEGAL DE GUARDA (fiscal e consumidor)]. Hoje não são apagados automaticamente.
• Aceites e consentimentos: guardamos o histórico, inclusive de versões anteriores, como prova [PRAZO DE GUARDA DOS ACEITES].
• Registros técnicos (mensagens do WhatsApp, erros, uso de IA, ações da equipe, tarefas internas e avisos recebidos dos provedores de pagamento): hoje não há exclusão automática. [PRAZO DE RETENÇÃO DE CADA REGISTRO]
• Cache: controle de tentativas de acesso, até 15 minutos; contador de acessos por minuto, 1 minuto; contador diário de questões respondidas, 24 horas; bloqueio de sessões encerradas, até 7 dias; resposta reaproveitável do tutor, até 7 dias; vetor numérico da pergunta ao tutor (embedding), 1 hora, sem identificar quem perguntou; contadores de uso de IA, até pouco depois do dia ou do mês a que se referem; marca de que o seu plano inicial já foi personalizado por IA, 90 dias.
• Registros do servidor: sobrescritos automaticamente (até 5 arquivos de 10 MB).
• Cópias de segurança: uma cópia diária criptografada, guardada por 14 dias, e a cópia externa [PRAZO E LOCAL DA CÓPIA EXTERNA]. O provedor do banco de dados ([PROVEDOR DO BANCO DE DADOS]) pode manter cópias próprias, se houver, pelo prazo dele [PRAZO DAS CÓPIAS DO PROVEDOR DO BANCO DE DADOS]. Dados apagados do sistema podem continuar nas cópias até elas vencerem.

A LGPD (art. 18) garante a você: confirmação de que tratamos os seus dados e acesso a eles; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei; portabilidade; eliminação dos dados tratados com o seu consentimento; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir e suas consequências; revogação do consentimento; e oposição a tratamento irregular. Você também pode pedir a revisão de decisões automatizadas (art. 20).

• Baixar os seus dados (acesso e portabilidade): Perfil › Privacidade (LGPD) › “Exportar meus dados (JSON)”. O arquivo traz perfil, assinaturas, pagamentos, compras, respostas, simulados, planos, revisões, registros de uso de IA (sem conteúdo), conquistas, diagnóstico, conversas com o tutor, favoritos, estatísticas, progresso nos resumos, anotações, aceites, consentimentos, mensagens do WhatsApp, Lei Seca e 2ª fase (respostas, correções e relatos). Ficam de fora a senha e os tokens (por segurança), os registros de erros, de tarefas internas e de ações da equipe e os avisos de compra dos provedores de pagamento; para esses, escreva ao encarregado.
• Corrigir dados: a data da prova muda em Perfil › Meu exame; a senha, em “Esqueci a senha”, na tela de login. Para corrigir nome ou e-mail, escreva para admin@aprovaiaoab.com.br.
• Revogar o consentimento do WhatsApp: responda SAIR (ou PARAR) para parar tudo, PARAR DICA ou PARAR QUESTÃO para parar só um tipo, ou desligue em Perfil › Notificações. Ao sair, o número sai do seu cadastro e o consentimento é revogado. O histórico das mensagens enviadas e recebidas, com o número, continua guardado (seção 9): [PRAZO DE RETENÇÃO DE CADA REGISTRO]. Para pedir a eliminação desse histórico (art. 18, VI), escreva ao encarregado.
• Excluir a conta: Perfil › Privacidade (LGPD) › “Excluir minha conta” (detalhes abaixo).
• Outros pedidos (confirmação, informação sobre compartilhamento, oposição, revisão de decisão automatizada ou eliminação de dados que a exclusão mantém): e-mail do encarregado, admin@aprovaiaoab.com.br. Podemos confirmar a sua identidade pelo e-mail da conta antes de atender. Os pedidos são gratuitos (art. 18, § 5º). [PRAZO E PROCEDIMENTO DE RESPOSTA AO TITULAR (art. 19)]

Baixar os dados e excluir a conta funcionam mesmo com o teste grátis vencido e sem aceitar uma nova versão destes documentos. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) (art. 18, § 1º).

O que a exclusão da conta faz hoje

• Na hora: o seu acesso termina e as sessões são encerradas; as conversas com o tutor são apagadas; o WhatsApp é desligado, o número sai do seu cadastro e o consentimento é revogado; a conta sai do ranking.
• Continua guardado por enquanto: nome, e-mail e senha protegida; anotações, respostas, simulados e marcações da Lei Seca; respostas e correções da 2ª fase; assinaturas, pagamentos e compras; aceites e consentimentos; o histórico das mensagens do WhatsApp enviadas e recebidas, com o número; registros técnicos (como erros e uso de IA) e avisos de compra. Nesse período, a equipe consegue restaurar a conta. [PRAZO DE CARÊNCIA E O QUE É ANONIMIZADO OU APAGADO DEPOIS DELE]
• Enquanto a conta excluída existir, o mesmo e-mail não pode ser usado em um novo cadastro, no login com o Google ou em uma nova compra. Para isso, fale com admin@aprovaiaoab.com.br.
• Excluir a conta não cancela assinatura nem compra: cancele antes na Kiwify (compras antigas: na Hotmart).

• Senhas guardadas com hash bcrypt.
• Links de confirmação de e-mail e de criação ou redefinição de senha guardados só como hash. O link de redefinição vale 1 hora; o de criação de senha de quem comprou, 7 dias.
• IP e navegador do aceite e código de verificação do WhatsApp guardados só como código derivado (HMAC).
• Cookies de sessão fora do alcance de scripts e, no site publicado, só por conexão segura (HTTPS).
• Limites de tentativas de login e de uso, contra abuso.
• Painel de suporte restrito a contas da equipe com papel de administrador, com as ações registradas.
• Registros de erro com e-mails e números longos mascarados.
• Cópias de segurança diárias criptografadas (AES-256).

Nenhum sistema é totalmente imune a falhas. Se notar algo estranho na sua conta, avise admin@aprovaiaoab.com.br.

Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante a você, vamos comunicar a ANPD e os titulares afetados, como determina o art. 48 da LGPD, informando o que aconteceu, quais dados foram afetados, os riscos e as medidas tomadas. [PROCEDIMENTO DE INCIDENTE: responsável, prazos e canal de aviso aos titulares]

O Aprova IA é feito para quem se prepara para o Exame de Ordem. [IDADE MÍNIMA E TRATAMENTO DE DADOS DE MENORES] O cadastro não pede data de nascimento nem verifica a idade. Se você é responsável por um menor e acredita que ele nos forneceu dados, escreva ao encarregado.

Esta é a versão 2.0. Quando o texto mudar, a versão muda e, no próximo acesso, o app mostra o aviso “Atualizamos nossos termos” e pede a sua confirmação antes de continuar. De cada aceite registramos a versão, a data e os códigos derivados do IP e do navegador. Se não quiser aceitar, você pode sair, baixar os seus dados ou excluir a conta pelo próprio aviso; para quem paga, vale o que dizem os Termos de Uso (seção 16).

Para guardar uma cópia desta versão, use “Imprimir ou salvar em PDF”, no topo da página. Versões anteriores: [ONDE CONSULTAR AS VERSÕES ANTERIORES].

Veja também os Termos de Uso.