Política de Privacidade do Card.AI

Vigência: 07/10/2025

Controlador: João Pedro Costa Lima (“Card.AI”, “nós”)

Esta Política descreve como coletamos, usamos, compartilhamos e protegemos seus dados ao usar o Card.AI (o “Serviço”). Ao utilizar o Serviço, você concorda com esta Política.

1. Dados que coletamos

Dados de conta e identidade

• Nome, e-mail, foto e ID do provedor, quando você usa login social, como Google.
• Preferências de perfil, conta e configurações.

Conteúdo e uso do produto

• Conteúdo criado por você, como decks, flashcards, títulos, tags, anotações e imagens enviadas.
• Métricas de estudo, como sessões, tempo de estudo, acertos, erros, dificuldade e datas.
• Telemetria essencial para o funcionamento do aplicativo.

Dados técnicos

Podemos coletar logs de dispositivo e navegador, IP aproximado, cookies ou armazenamento local, identificadores técnicos e dados de desempenho e segurança.

Utilizamos o Hotjar para entender o uso do produto e melhorar a experiência. Ele é configurado para não registrar campos sensíveis e respeitar controles de privacidade.

2. Finalidades do tratamento

• Autenticação e prestação do serviço, incluindo login, sincronização, criação e estudo de flashcards.
• Melhoria do produto e suporte, inclusive diagnóstico de falhas, feedback e métricas agregadas.
• Segurança, prevenção de fraude e abuso e detecção de anomalias.
• Comunicações transacionais, como avisos de conta e mudanças relevantes no serviço.

Não vendemos seus dados. Não utilizamos dados de usuários Google para publicidade, segmentação de anúncios, crédito ou criação de perfis além do necessário para fornecer e melhorar o Card.AI.

3. Dados de usuários Google (OAuth) e Limited Use

Se você optar por conectar sua conta Google, acessaremos somente os dados necessários às funcionalidades que você solicitar e autorizar na tela de consentimento OAuth.

• Perfil e e-mail: usados exclusivamente para autenticação e exibição das informações básicas da conta.
• Google Calendar: usado apenas para criar e gerenciar lembretes de estudo solicitados por você. Não lemos nem armazenamos detalhes de eventos existentes no seu calendário, nem compartilhamos essas informações com terceiros.

Respeitamos a Google API Services User Data Policy, incluindo os requisitos de Limited Use quando aplicáveis. Não usamos dados de usuários Google para anúncios, retargeting, venda de dados ou criação de perfis. Você pode revogar o acesso em myaccount.google.com/permissions.

4. Compartilhamento com terceiros

Podemos compartilhar dados com provedores de serviço, como hospedagem, armazenamento e analytics estritamente necessários, sujeitos a obrigações de confidencialidade e processamento de dados; e com autoridades, quando exigido por lei, ordem judicial ou processo válido.

Não compartilhamos dados com terceiros para marketing direto.

5. Segurança e proteção de dados

• Criptografia em trânsito por TLS 1.2+ e proteção de dados sensíveis em repouso.
• Controle de acesso pelo princípio do menor privilégio, autenticação forte e revisão de permissões.
• Minimização de dados, ambientes separados e práticas de segurança de aplicações.
• Backups seguros e procedimentos de resposta a incidentes.

Senhas, quando utilizadas, são armazenadas com hash seguro e salt. Tokens OAuth são protegidos e rotacionados ou revogados quando apropriado.

6. Retenção e exclusão

• Guardamos dados somente pelo tempo necessário às finalidades desta Política.
• Ao desconectar sua conta Google, cessamos o acesso futuro e removemos os tokens associados.
• Você pode solicitar exclusão da conta ou dos conteúdos. Após a confirmação, excluímos ou anonimizamos os dados em prazo razoável, ressalvadas obrigações legais.

7. Transferências internacionais

Quando houver transferência de dados para fora do seu país, aplicaremos salvaguardas adequadas, como cláusulas contratuais padrão ou mecanismos equivalentes, e medidas complementares de segurança.

8. Seus direitos e controles

Nos limites da legislação aplicável, você pode acessar, corrigir, atualizar e portar seus dados; opor-se ou restringir certos processamentos; gerenciar cookies e preferências de analytics; revogar consentimentos e desconectar integrações.

9. Crianças e adolescentes

O Card.AI não se destina a menores de 13 anos, ou idade local equivalente, e não coletamos intencionalmente dados de crianças.

10. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças no serviço ou exigências legais. A versão vigente será publicada nesta página com a data de vigência.

11. Contato

Para dúvidas, solicitações de acesso ou exclusão, ou questões de privacidade, escreva para costalima@cardai.app.