Política de privacidade

Quem controla os seus dados e como falar com ele

O controlador — quem decide por que e como os seus dados pessoais são tratados — é o meupep.org, a publicação educativa sobre peptídeos que você está lendo. O canal do titular é o e-mail equipe@meupep.org: é por ele que saem o pedido de acesso, a correção, a eliminação, a portabilidade e qualquer dúvida sobre esta política, e por ele que a resposta sai.

A identificação completa do controlador — razão social, nome do responsável e endereço — não aparece nesta página porque o site não publica dado de pessoa jurídica hoje. Isso está na lista do fim, e é a lacuna mais óbvia deste rascunho.

Quais dados coletamos

• E-mail e nome. Você informa os dois ao pedir o link de acesso. Não existe senha: quem entra no meupep.org entra por um link de uso único que chega no seu e-mail.
• O registro da assinatura. Quando o pagamento é confirmado, guardamos o seu e-mail, a referência do pagamento no provedor, a situação (ativo, cancelado, reembolsado, em atraso), a data em que o acesso termina e as datas de criação e atualização.
• Seu progresso. Quais aulas você concluiu e quando, e quais fichas você salvou com o ★ da biblioteca. É o que faz o site lembrar onde você parou.
• O que você publica na comunidade. Seu e-mail, o nome de exibição que você escolheu, o título e o texto da pergunta ou da resposta, a data, as curtidas e, se alguém denunciar, o motivo da denúncia e a decisão da moderação com quem tratou. O nome de exibição é público na comunidade; o e-mail, não.
• Token de sessão e token de verificação. O token de verificação expira em 24 horas e é de uso único. O token de sessão dura 30 dias e é renovado a cada uso.
• Registros técnicos. O banco e a hospedagem guardam, por conta própria, endereço IP, registro de acesso e registro de erro. O prazo e o uso são os do fornecedor, não os nossos — e estão na lista do fim.

O site não usa cookie de publicidade, nem de perfilamento, nem de rede de terceiros. O único cookie é o de sessão, que guarda um identificador aleatório para saber que você entrou — ele não carrega o seu e-mail nem o que você leu. O aviso das regras da comunidade, que aparece uma vez e some, é dispensado no seu próprio navegador, sem cookie e sem banco.

Para que cada dado é usado, e com que base legal

A base legal é o motivo legal de cada uso, e cada finalidade tem o seu — um dado não chega a ser guardado para tudo ao mesmo tempo: é a finalidade que diz a base legal.

• Enviar o link de acesso e manter a sessão. Execução de contrato (LGPD, art. 7º, V): sem o link, o serviço que você comprou não existe.
• Registrar a assinatura e liberar o acesso ao conteúdo pago. Execução de contrato (art. 7º, V): é o que permite saber, a cada visita, se o seu acesso está válido.
• Lembrar seu progresso e suas fichas salvas. Legítimo interesse (art. 7º, IX): guardar o quanto você estudou é o benefício que o contrato promete, e guardar para que o site funcione amanhã é um interesse legítimo, proporcional e que você pode pedir para apagar.
• Publicar e moderar a comunidade. Legítimo interesse (art. 7º, IX): uma comunidade só existe se o que é publicado puder ser lido, moderado e retirado quando alguém denuncia. Pedido de exclusão de um post é atendida sem discussão.
• Segurança contra abuso. Legítimo interesse (art. 7º, IX): o ritmo de publicação, os silenciamentos temporários e o registro das denúncias existem para que uma conta não Tome a comunidade inteira.
• Enviar avisos e novidades por e-mail. Consentimento (art. 7º, I), que você pode revogar a qualquer momento pelo mesmo canal. Revogar não desfaz o que já foi usado para prestar o serviço; só para de enviar.

Com quem os seus dados são compartilhados

O site funciona com três fornecedores de fora, e cada um recebe uma coisa só. Se quiser a lista atualizada, com o endereço de cada contrato, é só pedir pelo e-mail acima.

• Cakto — o pagamento. O cartão, o número do documento e o endereço de cobrança são informados nas páginas da Cakto, não nas nossas. O meupep.org recebe de volta a referência do pagamento, a situação e a data em que o acesso termina. O site não vê e não guarda número de cartão.
• Resend — o e-mail. Recebe o seu endereço e o conteúdo da mensagem (o link de acesso ou o aviso). É transporte: ela não é dona da lista nem usa o seu endereço para nada além de entregar a mensagem.
• Neon — o banco. É onde as tabelas acima ficam guardadas. Recebe tudo o que está na seção "Quais dados coletamos", porque é o que guarda.

Não vendemos, não alugamos e não usamos dado de ninguém para publicidade. Também não usamos o que você escreve na comunidade para treinar modelo nenhum.

Por quanto tempo cada dado fica guardado

• Conta e assinatura: enquanto a conta existir, e depois pelo prazo que o Código de Defesa do Consumidor obriga o fornecedor a guardar contrato e comprovante de pagamento.
• Token de verificação: 24 horas. Token de sessão: 30 dias.
• Progresso e fichas salvas: enquanto a conta existir, ou até você pedir a eliminação.
• Post e resposta na comunidade: enquanto o post estiver publicado. Denúncia, silenciamento e registro de moderação ficam guardados para dar conta de decisões passadas.

Pedido de eliminação é atendido no que dá e no prazo que a lei permite. O que é prova de pagamento ou registro de cobrança não é apagado no mesmo dia: ele tem prazo legal.

Seus direitos como titular

A LGPD (art. 18) e o Código de Defesa do Consumidor dão a você, e o site cumpre, o direito de: confirmar que existe tratamento; acesso a uma cópia do que é seu; correção de dado errado ou desatualizado; anonimização, bloqueio ou eliminação de dado desnecessário ou excessivo; portabilidade dos seus dados para outro fornecedor; informação sobre com quem compartilhamos; informação sobre tratamento que não se apoiou em consentimento; revogação do consentimento; e eliminação dos dados tratados com o seu consentimento quando você pedir.

Para exercer qualquer um deles, escreva para equipe@meupep.org pelo mesmo e-mail da conta, dizendo qual direito e o que quer. Não há formulário, porque formulário é mais um lugar para o seu e-mail vazar.

Reclamar à ANPD

Se você achar que este tratamento viola a LGPD, você pode reclamar à Autoridade Nacional de Proteção de Dados, sem precisar falar com o site antes. Reclamar para a ANPD não tira de você o direito de procurar o Procon, o juizado do seu bairro ou a Justiça comum, e a ordem é sua — os caminhos se somam.

O que o dono precisa conferir antes de publicar isto

1. A identificação do controlador e do encarregado. Razão social, CNPJ, endereço e o nome de quem responde. Hoje não há nenhum dado desses no site, e a política de privacidade sem controlador identificado não está pronta.
2. Se a comunidade é dado pessoal sensível. Post que cita clínico, exame, diagnóstico ou tratamento costuma ser, por conteúdo. Se for, a base legal muda (art. 11) e esta política inteira precisa de uma seção nova — esta foi escrita tratando tudo como dado pessoal comum.
3. As bases legais linha a linha. As três citadas (execução de contrato, consentimento e legítimo interesse) foram escolhidas por leitura do código; cabe a quem é do direito dizer se cada finalidade está escrita com a precisão que o art. 7º exige.
4. Transferência internacional. O Resend é empresa norte-americana e o banco pode ser também. O art. 33 da LGPD pede mecanismo de transferência — isso não está descrito aqui e é provavelmente o item mais caro de arrumar.
5. Os prazos do fornecedor de hospedagem. Os logs de acesso não são nossos e o prazo está escrito aqui como "o do fornecedor". Se o contrato com ele tem prazo definido, ele precisa aparecer com o número.
6. A construção do canal. Um e-mail de pessoa física como porta de entrada para o art. 18 é aceito, mas dá para reforçar com um formulário que registre o protocolo do pedido.

Leia também os termos de uso e o aviso médico, e a página de planos, que diz o que o acesso comprado entrega.