Política de Privacidade

1. Quem somos

A Nivo é uma plataforma digital de apoio a professores e estudantes para criação, organização e execução de atividades educacionais. Atuamos como controladora dos dados pessoais tratados no contexto do uso da plataforma.

Canal de suporte:

formulário de suporte (disponível sem login) · contato@nivolabs.com.br

Os dados completos de identificação do responsável pela plataforma podem ser solicitados pelo formulário de suporte.

2. Dados que coletamos

Podemos coletar as seguintes categorias de dados:

• Dados de cadastro: nome, e-mail, senha criptografada, idioma e perfil de acesso (professor ou aluno). No login com Google, recebemos do Google o nome, o e-mail e a foto de perfil da conta.
• Respondentes por link público: ao abrir um exercício compartilhado por link aberto, pedimos apenas um nome ou apelido, associado à sessão do navegador. Não pedimos e-mail nem documento nesse fluxo.
• Perfil público do professor (vitrine): as informações que o professor escolhe publicar na sua página pública, como foto, biografia, WhatsApp, Instagram e e-mail de contato.
• Arquivos enviados: imagens de capa e de atividades, arquivos de áudio/vídeo enviados para gerar questões e os áudios produzidos pela ferramenta de voz.
• Suporte: nome, e-mail e mensagem enviados pelo formulário de suporte ou por tickets dentro da plataforma, junto com idioma, página de origem, navegador e endereço IP parcialmente mascarado (prevenção de abuso).
• Dados de uso: interações com turmas, unidades, itens, mural, acessos e eventos de navegação.
• Dados pedagógicos: respostas de atividades, desempenho e histórico de participação.
• Dados de pagamento: status de assinatura, créditos, identificadores de transação e metadados financeiros fornecidos por processadores de pagamento. Não recebemos nem armazenamos o número do seu cartão — ele é digitado diretamente no ambiente da Stripe.
• Dados técnicos e de navegação: endereço IP, identificadores de sessão e de visita, agente de usuário (navegador), sistema operacional, tipo de dispositivo, página de entrada, site de origem (referrer), parâmetros de campanha (UTM), registros do servidor (IP, data/hora e página acessada, com rotação automática) e contadores de proteção contra abuso por IP.
• Conteúdo enviado às ferramentas de IA: textos, links e arquivos de áudio/vídeo que você submete para gerar atividades. Esse conteúdo é transmitido aos provedores de IA descritos na seção 4 para que a geração aconteça.

3. Finalidades e bases legais

Tratamos dados pessoais para:

• executar o contrato e disponibilizar funcionalidades da plataforma;
• autenticar usuários, proteger contas e prevenir fraude;
• processar pagamentos e gerenciar assinatura e créditos;
• gerar conteúdo educacional solicitado pelo usuário, inclusive com apoio de IA;
• cumprir obrigações legais e regulatórias;
• melhorar produto, suporte e experiência de uso com base em interesse legítimo;
• medir audiência e campanhas de divulgação com o Google Analytics, somente com o seu consentimento (LGPD, art. 7º, I), dado no aviso de cookies e revogável a qualquer momento (art. 8º, § 5º).

4. Compartilhamento de dados

Podemos compartilhar dados com operadores e parceiros estritamente necessários para operar a plataforma, como:

• Stripe (processamento de pagamentos, assinaturas, recibos e reembolsos): recebe nome, e-mail e os dados do meio de pagamento que você informa no checkout.
• Google Gemini (geração de texto e análise de áudio/vídeo por IA): recebe o conteúdo que você envia para a ferramenta — texto, link ou arquivo — para produzir o resultado solicitado.
• Speechify (síntese de voz): recebe o texto a ser convertido em áudio.
• Google (login social), quando você opta por entrar com a conta Google.
• Google Analytics 4 (medição de audiência) e, se vier a ser ativado, Google Ads (medição de conversões de anúncios): recebem os dados de navegação e os eventos descritos na seção 5, apenas se você aceitar os cookies de medição. Política do Google: policies.google.com/privacy; como o Google usa dados de sites parceiros: policies.google.com/technologies/partner-sites.
• Resend (envio de e-mails transacionais — confirmação de cadastro, redefinição de senha, avisos de cobrança e de suporte): recebe o endereço de e-mail e o conteúdo da mensagem.
• DigitalOcean (hospedagem): os servidores, o banco de dados e os arquivos enviados ficam em infraestrutura da DigitalOcean.
• Sentry (monitoramento de erros, quando ativado): recebe dados técnicos das falhas do sistema; está configurado para não receber e-mail, endereço IP, cookies nem os dados dos formulários.
• Autoridades públicas, quando houver obrigação legal.

Esses provedores atuam como operadores, tratando dados por nossa conta e conforme nossas instruções e os contratos firmados com cada um. Evite inserir nas ferramentas de IA dados pessoais sensíveis ou informações de alunos que não sejam necessárias para a atividade.

Não vendemos dados pessoais.

5. Cookies e tecnologias semelhantes

Cookies necessários. Mantêm sua sessão autenticada, protegem formulários contra fraude (CSRF), guardam preferências como o idioma e registram a sua escolha sobre cookies (cookie nivo_consent, válido por 12 meses, que guarda apenas "aceito" ou "recusado"). Sem eles a plataforma não funciona, por isso não dependem de consentimento.

Medição interna (Ahoy). Para medir o uso da plataforma utilizamos a biblioteca Ahoy, configurada para não gravar nenhum identificador no seu navegador. O registro fica no nosso próprio banco de dados e inclui informações como páginas acessadas, endereço IP, navegador, sistema operacional, tipo de dispositivo, site de origem e parâmetros de campanha (UTM). No lugar de um cookie de visitante, agrupamos acessos por um código derivado do endereço IP mascarado somado ao navegador — uma estimativa, que não identifica você individualmente nem permite segui-lo por outros sites. Esses dados ficam conosco e não são usados para publicidade comportamental por terceiros.

Google Analytics 4 (somente com o seu consentimento). Nas páginas públicas do Nivo (página inicial, Central de Ajuda, preços, termos, privacidade, cadastro e login) e na área do professor, podemos usar o Google Analytics 4 para entender como o site é encontrado e usado e para medir a eficácia das nossas campanhas de divulgação. Ele só é carregado depois que você clica em Aceitar no aviso de cookies; se você recusar ou não responder, nenhum script é carregado e nenhum dado é enviado ao Google. Com o consentimento, o Google grava os cookies _ga e _ga_<ID> (validade de até 2 anos) e recebe dados de navegação (páginas visitadas, data e hora, navegador, dispositivo, idioma, localização aproximada e site de origem) e eventos como cadastro concluído, início de pagamento, compra concluída (valor, moeda e identificador da transação) e a primeira atividade criada com IA. Não enviamos ao Google nome, e-mail, telefone, textos digitados nem o conteúdo das suas atividades; o Google Analytics 4 não registra o endereço IP completo. Mantemos a retenção de dados no Google Analytics em 14 meses e o recurso Google Signals desativado.

Nunca usamos o Google Analytics na área do aluno, nos exercícios respondidos por link, nas páginas públicas de professores (vitrines), nos convites de turma nem para contas de aluno, porque o público dessas áreas pode incluir crianças e adolescentes. Nessas áreas o aviso de cookies nem é exibido.

Google Ads. Se vier a ser ativado, com o seu consentimento usaremos também a tag de conversão do Google Ads para saber se um cadastro ou compra veio de um anúncio nosso e, se você aceitar, para mostrar anúncios do Nivo a quem já visitou o site (remarketing). Nesse caso o Google pode gravar o cookie _gcl_au (90 dias) e cookies nos domínios do Google, e o aviso de cookies será exibido novamente pedindo esse novo consentimento.

Como mudar de ideia. Use o link "Preferências de cookies" no rodapé do site (ou no menu da sua conta) a qualquer momento. Ao recusar, paramos de enviar dados ao Google e apagamos os cookies _ga do nosso domínio. Você também pode bloquear ou apagar cookies nas configurações do navegador; se os cookies necessários forem bloqueados, login e envio de formulários deixam de funcionar.

6. Retenção e descarte

Mantemos dados pessoais pelo período necessário para cumprir as finalidades desta Política, atender exigências legais e viabilizar defesa em processos administrativos ou judiciais. Na prática:

• Enquanto a conta existir, os dados de cadastro, o conteúdo criado, as turmas, as respostas e o histórico de créditos e assinaturas ficam disponíveis a você.
• Exclusão de conta (nas configurações da conta): é imediata e apaga perfil, vitrine, exercícios, jogos, turmas, matrículas, publicações do mural, respostas, registros de visitas e de uso, assinaturas, compras e transações de crédito. Uma assinatura ativa é cancelada na Stripe no mesmo ato, e o seu cadastro de cliente na Stripe é apagado.
• O que é mantido depois da exclusão, por obrigação contábil e fiscal: um registro financeiro anonimizado (datas, valores pagos e reembolsados e identificadores das transações — sem nome, e-mail ou texto livre), quando houve compras ou assinaturas pagas; o histórico interno de custo de IA, desvinculado da conta e sem o conteúdo enviado; e, na Stripe, os registros de pagamentos, cobranças, reembolsos e disputas.
• Respostas de alunos e de respondentes por link ficam vinculadas ao exercício e são apagadas quando o professor apaga o exercício, a turma ou a própria conta; alunos com conta podem excluí-la a qualquer momento.
• Cópias de segurança do banco de dados e dos arquivos são renovadas em ciclos diários, semanais e mensais e eliminadas em até 6 meses; dados já apagados podem permanecer nessas cópias até lá, sem uso para outra finalidade.
• Registros do servidor são sobrescritos automaticamente por rotação (poucos dias de histórico). Dados do Google Analytics: 14 meses. Cookie de escolha nivo_consent: 12 meses.

7. Segurança da informação

Adotamos medidas técnicas e administrativas proporcionais ao risco, incluindo controles de acesso por perfil, proteção de credenciais, registros de auditoria e monitoramento.

Nenhum sistema é totalmente imune a incidentes, mas seguimos práticas de prevenção, resposta e melhoria contínua.

8. Direitos do titular

Nos termos do art. 18 da LGPD (Lei 13.709/2018), você pode solicitar a qualquer momento:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade a outro fornecedor, mediante requisição expressa e observados os segredos comercial e industrial;
• eliminação dos dados tratados com base no seu consentimento, salvo as hipóteses de conservação previstas em lei;
• informação sobre as entidades públicas e privadas com as quais compartilhamos dados;
• informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• revogação do consentimento.

Para exercer qualquer um desses direitos, use o canal indicado na seção 12. Responderemos no menor prazo possível e, em qualquer caso, dentro dos prazos previstos na legislação. Podemos pedir informações adicionais para confirmar sua identidade antes de atender ao pedido.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

9. Dados de menores e contexto educacional

O uso da plataforma em contexto escolar deve ocorrer sob orientação de professores e/ou instituições responsáveis. Usuários adultos responsáveis por turmas devem observar as regras locais de proteção a crianças e adolescentes ao inserir dados de estudantes.

Medidas concretas que adotamos: o link público de exercícios pede apenas um nome ou apelido (sem e-mail nem documento); ferramentas de medição de terceiros (Google Analytics/Ads) nunca são carregadas na área do aluno, nos exercícios respondidos por link, nas vitrines públicas nem para contas de aluno; e os dados de alunos não são usados para publicidade.

10. Transferência internacional

Os provedores listados na seção 4 processam dados fora do Brasil: a hospedagem (DigitalOcean) fica em servidores no exterior, e Stripe, Google (login, Gemini e Analytics), Speechify, Resend e Sentry são empresas com sede nos Estados Unidos, que podem tratar os dados em outros países.

Nesses casos, a transferência se apoia nas hipóteses do art. 33 da LGPD, com as salvaguardas contratuais previstas nos termos de tratamento de dados de cada provedor (cláusulas contratuais padrão e compromissos de segurança) e medidas de governança compatíveis com a legislação aplicável.

11. Atualizações desta Política

Esta Política pode ser revisada para refletir melhorias de produto, mudanças legais ou ajustes operacionais. A versão vigente permanece publicada nesta página com data de atualização.