Política de privacidade
Rascunho pendente de revisão jurídica. Este texto é um rascunho (versão 0.2) e ainda não foi revisado por um advogado. Ele não deve ser usado como versão final antes dessa revisão.
1. Quem somos
O TheorieWin (theoriewin.com) é uma plataforma on-line para estudar para a prova teórica de direção do CBR, na Holanda. O controlador responsável pelos seus dados pessoais é:
- [NOMBRE LEGAL]
- [DIRECCIÓN], Holanda (Países Baixos)
- Número na Câmara de Comércio (KvK): [NÚMERO KvK]
- E-mail: [EMAIL DE CONTACTO]
Para tudo o que se refere à privacidade, você também pode escrever para privacy@theoriewin.com.
O TheorieWin é independente e não tem nenhum vínculo com o CBR (Centraal Bureau Rijvaardigheidsbewijzen).
Esta política segue o Regulamento Geral sobre a Proteção de Dados da UE, o RGPD (em neerlandês, AVG), e a lei holandesa que o complementa (UAVG).
2. Em resumo
- Tratamos apenas os dados de que precisamos para manter sua conta e seu plano de estudos funcionando.
- Não vendemos seus dados, não mostramos anúncios e não usamos cookies de rastreamento nem de análise.
- Você pode baixar seus dados e excluir sua conta a qualquer momento, sozinho, na página da sua conta.
- Você precisa ter pelo menos 16 anos para criar uma conta.
3. Quais dados tratamos
Conta
- Endereço de e-mail
- Nome (para cumprimentar você e mostrar suas iniciais no menu)
- Hash da senha: sua senha é guardada apenas como hash (Argon2id). Nós nunca vemos sua senha.
- Se o seu e-mail foi verificado
- Idioma preferido
- Data de criação da conta
Você também pode entrar com um link de uso único (“link mágico”) que enviamos para o seu e-mail.
Dados pessoais
- Ano de nascimento (obrigatório): para confirmar que você tem a idade mínima e ajustar o ritmo do seu plano. Guardamos só o ano, nunca a data completa.
- Nacionalidade (opcional): ajuda a decidir em quais idiomas acrescentar explicações. Só a usamos em estatísticas anônimas e agregadas, nunca para tratar você de forma diferente.
- Telefone (opcional): só para entrar em contato quando você pede ajuda. Nunca para publicidade, e nunca o compartilhamos.
Você pode mudar esses dados em “Meu perfil” quando quiser e apagar a nacionalidade e o telefone com um botão. Eles ficam guardados separados dos seus dados de aprendizagem.
Preferências do app
Se você quer som ao acertar, se prefere menos animações, a intensidade do seu plano e se quer lembretes por e-mail (e em qual horário).
Perfil de estudo (todos os campos são opcionais)
- Data prevista da prova
- Idioma e versão da prova (neerlandês, inglês, com intérprete, tempo extra)
- Meta diária de estudo em minutos
- Resultados do diagnóstico inicial
Dados de aprendizagem
- Cada resposta que você dá: identificador da questão, se acertou ou errou, se marcou “não tenho certeza”, o tempo gasto e o modo de estudo
- Seu cronograma de revisão espaçada para cada questão
- Resultados dos simulados
- Sua maior sequência de respostas certas seguidas ao praticar (seu recorde pessoal)
- Opcional: o resultado da sua prova real do CBR, se você decidir informá-lo. Usamos esse dado apenas para calcular a taxa de aprovação da plataforma como estatística anônima e agregada.
Sessões e segurança
- Um cookie de sessão que mantém você conectado (veja a política de cookies).
- Registros de sessão com data de expiração e tipo de navegador (user agent, truncado), para que você possa ver e encerrar suas sessões ativas.
- Não guardamos endereços IP junto com a sua conta. Para evitar abusos, registramos as tentativas de login que falharam com um hash com salt (salted hash) do e-mail e do endereço IP.
- Os registros técnicos do nosso servidor não contêm seu endereço IP nem seu e-mail.
- Quando o navegador bloqueia algo por causa das nossas regras de segurança (Content Security Policy), ele nos envia um relatório técnico: a página, o recurso bloqueado e o tipo de navegador. Esse relatório não contém seu IP nem dados da sua conta.
Registros de aceite
Qual versão dos termos de uso e desta política de privacidade você aceitou, e quando.
E-mails
Enviamos apenas e-mails transacionais: verificação de e-mail, links mágicos, redefinição de senha, avisos de segurança, aviso de conta inativa e confirmação de exclusão da conta. Não enviamos e-mails de marketing. Se um dia quisermos fazer isso, primeiro vamos pedir sua permissão separada (opt-in). Se você ativar no app, também enviamos lembretes de estudo: no máximo um por dia, só nos dias em que você ainda não estudou, e você os desativa com um clique no próprio e-mail.
Mensagens que você nos envia
Se você nos escrever (por exemplo, para support@, privacy@ ou security@theoriewin.com), guardamos sua mensagem, seu endereço de e-mail e nossa resposta para podermos ajudar você.
Dados no seu dispositivo
O app guarda no seu navegador uma cópia do seu progresso para funcionar off-line. Os detalhes estão na política de cookies.
4. Para que usamos seus dados e com qual base legal
| Finalidade | Dados | Base legal |
|---|---|---|
| Criar e gerenciar sua conta, fazer login | Dados da conta, dados de sessão | Execução de contrato (art. 6.º, n.º 1, alínea b, RGPD) |
| Confirmar a idade mínima e ajustar o ritmo do plano | Ano de nascimento | Execução de contrato (art. 6.º, n.º 1, alínea b, RGPD) |
| Decidir em quais idiomas acrescentar explicações (só estatísticas anônimas) | Nacionalidade (opcional) | Consentimento (art. 6.º, n.º 1, alínea a, RGPD): você o dá ao preencher o campo e o retira ao apagá-lo |
| Entrar em contato quando você pede ajuda | Telefone (opcional) | Consentimento (art. 6.º, n.º 1, alínea a, RGPD): você o dá ao preencher o campo e o retira ao apagá-lo |
| Prestar o serviço de estudo: prática personalizada, cronograma de revisão, simulados, progresso | Perfil de estudo, dados de aprendizagem, preferências | Execução de contrato (art. 6.º, n.º 1, alínea b, RGPD) |
| Enviar e-mails transacionais | E-mail, idioma | Execução de contrato (art. 6.º, n.º 1, alínea b, RGPD) |
| Enviar lembretes de estudo | E-mail, horário escolhido, atividade do dia | Consentimento (art. 6.º, n.º 1, alínea a, RGPD): você mesmo os ativa e desativa |
| Responder às suas mensagens | E-mail, conteúdo da mensagem | Execução de contrato (art. 6.º, n.º 1, alínea b, RGPD) ou interesse legítimo em atender solicitações (art. 6.º, n.º 1, alínea f, RGPD) |
| Segurança e prevenção de abusos (tentativas de login com falha, proteção contra bots, gestão de sessões, relatórios de segurança do navegador) | Hashes do e-mail e do IP, dados de sessão, dados técnicos | Interesse legítimo em manter a plataforma e sua conta seguras (art. 6.º, n.º 1, alínea f, RGPD) |
| Estatística agregada de aprovação | Resultado da prova informado por você (anonimizado) | Interesse legítimo em entender e melhorar a plataforma (art. 6.º, n.º 1, alínea f, RGPD) |
| Comprovar quais termos você aceitou e cumprir obrigações legais | Registros de aceite e outros dados quando a lei exigir | Interesse legítimo (art. 6.º, n.º 1, alínea f, RGPD) e, quando aplicável, obrigação legal (art. 6.º, n.º 1, alínea c, RGPD) |
Quando nos baseamos no interesse legítimo, você tem o direito de se opor (veja a seção 9). Quando nos baseamos no seu consentimento, você pode retirá-lo a qualquer momento; isso não afeta o tratamento feito antes.
Não tomamos decisões baseadas apenas em tratamento automatizado que produzam efeitos jurídicos ou efeitos igualmente importantes para você. A ordem das questões de prática se adapta às suas respostas; isso afeta apenas a sua prática.
Os pagamentos não estão ativos. Se no futuro introduzirmos funções pagas, vamos atualizar esta política antes de elas começarem.
5. Quem recebe seus dados
Não vendemos dados pessoais. Trabalhamos com os seguintes prestadores de serviço (operadores), que só podem tratar os dados de acordo com nossas instruções.
| Prestador | Para quê | Localização e garantias |
|---|---|---|
| Cloudflare, Inc. | DNS, rede de distribuição de conteúdo (CDN) e hospedagem do site (Cloudflare Workers), incluindo os vídeos; proteção contra bots nos formulários de acesso (Turnstile); encaminhamento dos e-mails que você nos envia (Email Routing); e um túnel seguro até o nosso servidor. Todo o tráfego entre o seu navegador e o nosso servidor passa pela rede da Cloudflare, por isso a Cloudflare trata dados técnicos como o seu endereço IP. | Estados Unidos e rede mundial; Quadro de Privacidade de Dados UE-EUA e cláusulas contratuais-padrão |
| Brevo (Sendinblue SAS) | Envio de e-mails transacionais e lembretes | França (UE) |
| Google (Gmail) | Caixa de entrada onde recebemos e respondemos os e-mails que você nos envia | Google Ireland Ltd. e Google LLC (Estados Unidos); Quadro de Privacidade de Dados UE-EUA e cláusulas contratuais-padrão |
| Have I Been Pwned (Pwned Passwords) | Verificar se uma senha nova aparece em vazamentos conhecidos. Só enviamos os 5 primeiros caracteres de um hash da senha (k-anonimato): nem sua senha nem seu e-mail saem do nosso servidor. | Serviço internacional; não recebe dados pessoais |
Nosso servidor de aplicação e nosso banco de dados funcionam em um equipamento que nós mesmos operamos na Holanda. Os backups são criptografados nesse servidor e ficam guardados nele e em um segundo computador nosso, também na Holanda.
Também podemos compartilhar dados quando a lei exigir, por exemplo, diante de uma ordem vinculante de uma autoridade competente.
6. Transferências para fora do Espaço Econômico Europeu
A Cloudflare e o Google podem tratar dados nos Estados Unidos e em outros países fora do EEE. As duas empresas são certificadas no Quadro de Privacidade de Dados UE-EUA (decisão de adequação da Comissão Europeia de julho de 2023) e, além disso, firmamos com elas as cláusulas contratuais-padrão da Comissão Europeia. Nosso banco de dados e a Brevo ficam na UE.
7. Por quanto tempo guardamos seus dados
| Dados | Prazo |
|---|---|
| Conta, perfil, preferências e dados de aprendizagem | Até você excluir sua conta |
| Nacionalidade e telefone | Até você apagá-los no seu perfil ou excluir sua conta |
| Contas inativas | Excluídas após 24 meses sem atividade; avisamos você por e-mail 30 dias antes |
| Sessões | Expiram em no máximo 30 dias |
| Links de uso único (verificação, acesso, redefinição) | Expiram em minutos ou horas; depois são apagados |
| Registros de segurança (tentativas de login com falha) | 30 dias |
| Relatórios de segurança do navegador | 30 dias |
| Registros técnicos do servidor | São sobrescritos automaticamente ao chegar a 30 MB; não contêm seu IP, seu e-mail nem dados da sua conta |
| Backups | São rotacionados e expiram em 30 dias: o que você exclui desaparece deles nesse prazo |
| Registros de aceite | Enquanto sua conta existir e mais 1 ano, apenas para comprovar o que você aceitou e quando |
| Mensagens que você nos envia | 12 meses após o encerramento da solicitação |
| Dados no seu dispositivo | Até você sair da conta, excluir sua conta ou limpar os dados do navegador |
Estatísticas anônimas e agregadas não identificam mais você e não são dados pessoais.
8. Segurança
Protegemos seus dados com medidas técnicas e organizacionais, como hash de senhas com Argon2id, armazenamento apenas de hashes com salt nos registros de segurança, conexões criptografadas (HTTPS), backups criptografados e acesso ao servidor restrito a chaves criptográficas.
9. Seus direitos
Você tem direito a:
- Acessar seus dados.
- Exportar seus dados (portabilidade): baixe-os como arquivo JSON na página da sua conta.
- Corrigir dados incorretos: a maioria deles você mesmo pode alterar em “Meu perfil”.
- Excluir seus dados: use o botão “Excluir conta” na página da sua conta. Pedimos que você tenha feito login há pouco tempo, para que ninguém com uma sessão antiga possa excluí-la. A exclusão é imediata no nosso banco de dados e no seu navegador (para os backups, veja a seção 7).
- Limitar o tratamento.
- Se opor ao tratamento baseado no interesse legítimo.
- Retirar seu consentimento a qualquer momento: apague a nacionalidade ou o telefone, ou desative os lembretes.
Como exercê-los: use as opções da página da sua conta ou escreva para privacy@theoriewin.com a partir do e-mail da sua conta. Respondemos em até um mês (prazo que pode ser prorrogado por mais dois meses em casos complexos; nesse caso, vamos avisar você). Podemos pedir que você confirme sua identidade antes. É gratuito.
Reclamação: você tem o direito de apresentar uma reclamação à autoridade holandesa de proteção de dados, a Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag), ou à autoridade do país da UE onde você mora. Agradecemos se você falar conosco primeiro, para tentarmos resolver o problema.
10. Menores de 16 anos
Na Holanda, uma pessoa com menos de 16 anos precisa da permissão dos pais ou responsáveis para que uma plataforma como a nossa trate seus dados (art. 8 RGPD e art. 5 UAVG). O TheorieWin não oferece contas para menores de 16 anos e não coleta essa permissão:
- Ao criar a conta, você precisa confirmar que tem 16 anos ou mais e informar seu ano de nascimento. Se o ano indicar que você tem menos de 16, a conta não é criada.
- Se soubermos que uma pessoa com menos de 16 anos criou uma conta, vamos excluí-la.
- Se você é mãe, pai ou responsável e acredita que seu filho ou sua filha com menos de 16 anos tem uma conta, escreva para privacy@theoriewin.com e vamos excluí-la.
Você pode experimentar 5 questões sem conta; esse teste não guarda dados pessoais.
11. Mudanças nesta política
Podemos atualizar esta política, por exemplo, ao adicionar uma nova função ou um novo prestador. A versão e a data da última atualização aparecem no topo. Vamos avisar sobre mudanças importantes por e-mail ou no aplicativo antes de elas entrarem em vigor.
12. Contato
Dúvidas sobre privacidade? Escreva para privacy@theoriewin.com ou para [NOMBRE LEGAL], [DIRECCIÓN], [EMAIL DE CONTACTO].