Política de Privacidade

1. Introdução

Esta Política de Privacidade explica como o AtoC.ai coleta, usa, armazena e protege seus dados pessoais. Ela se aplica a todos os usuários, independentemente da localização, e incorpora os requisitos do GDPR (UE/EEE/RU), CCPA/CPRA (Califórnia, EUA), LGPD (Brasil), KVKK (Turquia), da Lei Federal russa 152-FZ, da Lei do Cazaquistão 94-V e do DPDP Act 2023 da Índia.

Alguns recursos descritos aqui ainda não foram implementados e estão claramente marcados como planejados. Eles serão ativados apenas com base legal apropriada, consentimento e atualizações da política.

2. Controlador de dados

Maksim Golitsyn (pessoa física), Mersin, Turquia. O endereço completo está disponível mediante solicitação via suporte.

Para fins do GDPR, o controlador atua como seu próprio representante para usuários da UE/EEE. Solicitações relacionadas ao GDPR podem ser enviadas ao suporte.

3. Dados pessoais tratados

Tratamos dados pessoais nas categorias abaixo. Algumas categorias são usadas somente após você ativar um recurso específico ou dar consentimento.

• Identidade e contato: endereço de e-mail, nome de exibição, nome de usuário, foto de perfil, mês e ano de nascimento (não a data de nascimento completa) e dados de login social do Google/Apple.
• Conteúdo da conta: senha (com hash), configurações, pares de idiomas, status de assinatura, conquistas.
• Nome no certificado: o nome que você fornece para emissão de certificados de conclusão. A coleta é estritamente voluntária — você pode omiti-lo e os certificados serão emitidos sem nome personalizado. O nome é armazenado de forma criptografada (AES-256 em repouso) e nunca é transferido a terceiros; é usado exclusivamente para exibir o nome no seu certificado.
• Dados de aprendizado: progresso de vocabulário, conclusão de gramática, estado FSRS, XP, sequências, histórico de treino, respostas, posições no ranking.
• Dados de dispositivo e uso: tipo de dispositivo, versão do SO, interações com o app, token push, endereço IP (com hash, retido por no máximo 30 dias), ID de publicidade (controlado por consentimento), registros de falhas, diagnósticos.
• Dados de comunicação: envios de feedback, solicitações de suporte, correspondência por e-mail.
• Dados de pagamento: identificadores de transação, status de assinatura, tipo de plano (processados pela Apple, Google, RevenueCat ou Paddle; não armazenamos dados completos do cartão de pagamento).
• Áudio TTS: áudio sintetizado gerado pelo Google Cloud TTS ou Amazon Polly e armazenado no Cloudflare R2. Não é a sua voz.
• Dados de cookies e análise: cookies, eventos de análise de SDK, dados de atribuição.

4. Finalidades do tratamento

5. SDKs de terceiros e subprocessadores

Subprocessadores e SDKs atualmente ativos no app ou em seu backend:

Subprocessadores planejados (ainda não ativos):

Todos os subprocessadores são contratualmente obrigados a tratar dados apenas em nosso nome e em conformidade com as leis de proteção de dados aplicáveis. SDKs de análise de terceiros (Amplitude, Mixpanel, Firebase Analytics) ficam ativos somente após o consentimento do usuário; a UE/EEE exige consentimento explícito. Crashlytics e AppsFlyer estão sempre ativos para monitoramento de erros e atribuição.

6. Transferências transfronteiriças e servidores regionais

Seus dados podem ser armazenados e tratados em jurisdições diferentes da sua. Nossa infraestrutura principal está na Alemanha (Netcup) e na Rússia (Serverspace para usuários russos). Estamos planejando servidores regionais no Oriente Médio, Índia e Ásia onde as leis de localização de dados exigirem. Os dados pessoais permanecem nos bancos de dados principais; os locais edge da Cloudflare processam apenas conteúdo de treino em cache e metadados HTTP.

• Usuários UE/EEE/RU: os dados são tratados dentro da UE ou transferidos sob Cláusulas Contratuais Padrão (SCCs).
• Usuários russos: os dados pessoais são inicialmente coletados e armazenados na Rússia (Serverspace) conforme a lei 152-FZ; a transferência transfronteiriça para a Alemanha ocorre sob a lista russa de proteção adequada.
• Usuários turcos: a transferência para a Alemanha baseia-se no consentimento explícito nos termos do art. 9 da KVKK ou em outros fundamentos permitidos.
• Usuários brasileiros: transferência sob decisões de adequação da LGPD ou SCCs.
• Usuários cazaques: transferência sob as garantias da lei 94-V.
• Usuários indianos: transferência conforme os requisitos do DPDP Act 2023; consentimento explícito para dados sensíveis.

7. Medidas de segurança

• Criptografia: TLS 1.3 em trânsito; AES-256 em repouso.
• Controle de acesso: RBAC, menor privilégio, MFA para a equipe.
• Monitoramento: detecção de intrusão, varredura de vulnerabilidades, resposta a incidentes.
• Backups: criptografados, geograficamente redundantes, acesso restrito.
• Minimização de dados: coletamos apenas o necessário; pseudonimizamos quando possível.

Conteúdo gerado por IA

O AtoC.ai usa inteligência artificial para gerar partes do seu catálogo educacional, incluindo exercícios de gramática, regras gramaticais e contexto de detalhes de palavras para palavras do sistema. O conteúdo gerado por IA é identificado com um selo «AI» no app. Suas interações com conteúdo gerado por IA (respostas, tempo gasto, erros) são tratadas para calcular seu progresso de aprendizado e melhorar a qualidade do conteúdo. Não usamos seus dados pessoais para treinar modelos de IA de terceiros sem consentimento separado. Denuncie erros no conteúdo gerado por IA pelo botão de denúncia no app.

8. Seus direitos

Dependendo da sua jurisdição, você pode ter os seguintes direitos:

Para exercer seus direitos, entre em contato via suporte. Responderemos em até 30 dias, ou antes quando exigido por lei.

9. Cookies e rastreamento

Usamos cookies e tecnologias semelhantes para operar o serviço, analisar o uso e veicular publicidade relevante. Para detalhes e controles de consentimento, consulte nossa Política de Cookies.

10. Conteúdo gerado por IA e recursos planejados

Atual: cartões e exercícios de gramática no catálogo do AtoC.ai podem ser gerados por IA (marcados como isAIGenerated). O conteúdo pode ser publicado antes da revisão por professor/moderador; a prioridade de exibição é dada a material verificado por professores. O conteúdo gerado por IA pode conter erros e não substitui o ensino profissional.

Planejado: os seguintes recursos estão no roadmap e serão ativados apenas com base legal apropriada, consentimento e atualizações da política:

• Qualquer idioma a partir de qualquer idioma: expansão dos idiomas de destino além de inglês e turco.
• Servidores regionais: Oriente Médio, Índia e Ásia para localização de dados quando exigido por lei.
• 300+ PoPs edge da Cloudflare: treino de baixa latência no mundo todo via cache e computação edge; os dados pessoais permanecem nos bancos de dados principais.

11. Privacidade de crianças

O AtoC.ai não se destina a crianças menores de 13 anos. Não coletamos conscientemente dados pessoais de crianças menores de 13 anos. Se você acredita que coletamos dados de uma criança menor de 13 anos, entre em contato imediatamente.

Usuários menores de 16 anos recebem configurações de privacidade elevadas: anúncios não personalizados e análise de terceiros desativada. Onde exigido por lei, é necessário consentimento parental verificável antes do tratamento de dados pessoais de crianças.

12. Encarregado de proteção de dados

Atualmente não somos obrigados a nomear um Encarregado de Proteção de Dados nos termos do Artigo 37 do GDPR. Se isso mudar, atualizaremos esta política de acordo.

13. Contato

Para questões relacionadas à privacidade, solicitações de titulares de dados ou reclamações, entre em contato com nossa equipe de privacidade via suporte.

14. Alterações nesta política

Podemos atualizar esta Política de Privacidade periodicamente. A versão atualizada será indicada por uma data revisada. Alterações materiais serão comunicadas pelo app ou por e-mail. O uso continuado do serviço após as alterações constitui aceitação da política revisada.