Aviso de privacidade

1. Quem trata os seus dados

O responsável (controlador, na Lei 13.709/2018 — a LGPD) é Med Impacto Atividades Médicas LTDA. Endereço para correspondência: Av. Luís Viana Filho, 7416, Edif. Alpha Medical Center, sala 1004, Alphaville I, Salvador/BA, CEP 41701-015. Para qualquer assunto deste aviso, inclusive os pedidos da seção 8, escreva para medimpactoconcursos@gmail.com.

2. Que dados coletamos

São quatro grupos, e é útil separá-los porque não têm a mesma origem — o último é o único que depende de você aceitar:

• O que você informa no cadastro: nome, CPF, e-mail, senha e a especialidade escolhida. A senha nunca é guardada como você a digitou — fica só uma transformação irreversível dela (scrypt), que serve para conferir o acesso e não permite recuperar a senha original.
• O que o seu uso gera: as questões que você respondeu e se acertou, o tempo de cada simulado, os dias em que estudou, o plano de estudos que montou, os flashcards que guardou e as revisões que fez.
• O que o acesso deixa registrado: data e hora de cada login, o endereço IP de onde veio, o navegador e o sistema do aparelho (user-agent), um identificador aleatório do navegador guardado em cookie, e a data do último acesso. Também registramos tentativas de login que falharam, junto com o IP, para barrar ataques de força bruta.
• O que o píxel de anúncios registra, e só se você aceitar: a visita à página inicial do site e o clique no botão de matrícula. Isso acontece antes e fora do cadastro — dentro da área de estudo não há nenhum rastreador (seção 7).

Não coletamos dados de saúde, localização precisa (GPS), contatos, fotos nem nada do seu aparelho além do que está descrito acima.

3. Para que usamos, e com que base legal

• Criar e manter a sua conta e entregar o material — nome, CPF, e-mail, senha, especialidade e o histórico de estudo. Base legal: execução do contrato (art. 7º, V).
• Mostrar o seu progresso (estatísticas, plano, fila de revisão) — os dados de uso. Base legal: execução do contrato.
• Segurança da conta e prevenção de compartilhamento — IP, aparelho, horários de acesso e tentativas de login falhas. Base legal: legítimo interesse (art. 7º, IX), detalhado na seção 4.
• Falar com você sobre a sua conta (recibo de cadastro, aprovação, confirmação de e-mail, recuperação de senha) — e-mail e nome. Base legal: execução do contrato.
• Guardar registros de acesso — Base legal: cumprimento de obrigação legal (art. 7º, II), conforme o art. 15 do Marco Civil da Internet.
• Medir os nossos anúncios — na página inicial do site, um píxel da Meta registra a visita e o clique no botão de matrícula, para sabermos qual anúncio trouxe cada aluno. Base legal: consentimento (art. 7º, I). Ele só carrega depois do seu sim, e você pode voltar atrás quando quiser (seção 7).

Não vendemos os seus dados e não tomamos decisões automatizadas que afetem o seu acesso: quando algo chama atenção nos registros, quem olha e decide é uma pessoa. A única coleta para publicidade é a do píxel acima, que depende do seu consentimento e vive fora da área de estudo.

4. Por que registramos IP e aparelho

A conta é individual e intransferível (veja os termos de uso). Para verificar isso, o sistema registra de que aparelho e de que rede cada acesso veio, e sinaliza quando a mesma conta é usada em aparelhos diferentes, de redes diferentes, com poucos minutos entre um e outro.

Duas coisas importam aqui. A primeira: esse registro é o mínimo necessário para a finalidade — não sabemos onde você está, só de que rede o acesso chegou, e um IP pode ser compartilhado por um hospital inteiro. A segunda: nada disso bloqueia ninguém sozinho. É informação para uma decisão humana, e você pode contestá-la pelo e-mail da seção 1.

5. Com quem compartilhamos

Não vendemos nem cedemos dados. Usamos serviços que tratam dados por nossa conta e só para o que precisamos (operadores, na LGPD):

• Supabase — banco de dados e arquivos, hospedados na região de São Paulo.
• Vercel — hospedagem da aplicação, com a execução também na região de São Paulo.
• Resend — envio dos e-mails da conta (recibo, aprovação, confirmação, recuperação de senha).
• Vercel Analytics e Speed Insights — medição agregada de acessos às páginas e do tempo que elas levam para carregar, sem cookies e sem identificar você individualmente.
• Meta (Facebook e Instagram) — só se você aceitar o píxel, e só na página inicial: recebe a visita e o clique no botão de matrícula. Aqui a Meta não age por nossa conta, e sim com propósito próprio: ela liga esses eventos a quem você já é para ela. Recusar não muda nada no que você vê no site.

Alguns desses serviços podem processar dados fora do Brasil, o que a LGPD permite (art. 33). Também podemos compartilhar dados se a lei ou uma ordem judicial exigir.

6. Por quanto tempo guardamos

• Cadastro e histórico de estudo: enquanto a sua conta existir.
• Registros de acesso (login, IP, aparelho): 12 meses, e são apagados automaticamente depois disso. O mínimo legal são 6 meses (Marco Civil, art. 15).
• Tentativas de login que falharam: 30 dias.
• Depois que a conta é excluída: tudo o que é seu é apagado em cascata — histórico, respostas, revisões, registros de acesso. Cópias de segurança dos provedores podem conservar os dados por mais alguns dias até serem sobrescritas.

7. Cookies e o píxel de anúncios

Dois cookies são necessários para o serviço funcionar e não dependem de escolha, porque sem eles não há como manter você conectado:

• Cookie de sessão: mantém você conectado por até 30 dias. Apagá-lo desconecta a conta.
• Cookie de aparelho: um número aleatório, sem nenhum dado seu dentro, que permite contar de quantos navegadores a conta é usada (seção 4). Apagá-lo não tira o seu acesso: o próximo login aparece como um aparelho novo.

Fora esses dois há um rastreador, e ele depende do seu sim: o píxel da Meta na página inicial do site, que nos diz qual anúncio trouxe cada aluno. Enquanto você não aceitar, ele não é carregado — o aviso não está ali para informar o que já está acontecendo, e sim para decidir se acontece.

Para mudar de ideia depois, clique em Cookies no rodapé da página inicial: aceitar liga o píxel, recusar o desliga e recarrega a página para tirá-lo do ar. Dentro da área de estudo não existe rastreador nenhum de publicidade, com ou sem o seu sim.

8. Seus direitos

O art. 18 da LGPD garante que você peça, a qualquer momento: confirmação de que tratamos dados seus, acesso a eles, correção do que estiver errado ou incompleto, anonimização ou eliminação, portabilidade, informação sobre com quem compartilhamos e a revisão de decisões tomadas sobre você.

Basta escrever para medimpactoconcursos@gmail.com a partir do e-mail cadastrado. Respondemos em até 15 dias. Se o pedido for de exclusão, ele apaga também o seu histórico de estudo, que não tem como ser recuperado depois. Você também pode reclamar à ANPD (gov.br/anpd).

9. Segurança

As senhas são guardadas com scrypt e nunca em texto legível; o acesso ao banco é fechado por padrão e só o servidor da aplicação escreve nele; o painel administrativo tem senha, limite de tentativas e segundo fator opcional; e o tráfego é sempre por HTTPS. Nenhum sistema é imune a incidentes — se acontecer algum que possa causar risco relevante a você, avisamos você e a ANPD, como manda o art. 48.

10. Mudanças neste aviso

Se este texto mudar de forma relevante, a versão muda junto e avisamos por e-mail ou dentro da plataforma antes de a mudança valer. A data da última revisão está no rodapé.