LGPD e privacidade
Onde ficam os dados, o que coletamos e por quanto tempo
Esta página existe para quem precisa justificar o uso de uma ferramenta na escola, na universidade, no órgão público ou na empresa. Está escrita em linguagem direta e descreve o que o sistema faz de fato. A Política de Privacidade é o documento formal.
Resumo em cinco linhas
- Servidores no Brasil. O site e o banco de dados ficam em hospedagem brasileira (Napoleon Hosting), sob a legislação brasileira.
- Quem participa não cria conta. Alunos e participantes entram por link, QR Code ou código e informam só um nome ou apelido. Nenhum e-mail, telefone, documento ou foto de participante é pedido.
- Só quem organiza tem conta: nome, e-mail e senha (ou login com Google). Nada de CPF, salvo para emitir nota fiscal de um plano pago, e nesse caso o número fica no Asaas e aqui só mascarado.
- Retenção definida: quadros excluídos ficam 30 dias na lixeira e depois são apagados; registros de acesso são mantidos por 6 meses (Marco Civil, art. 15); backups por 30 dias.
- Direitos pelo próprio usuário: exportar todos os dados em JSON e excluir a conta em "Minha conta", sem pedir a ninguém.
Quais dados existem em cada papel
| Papel | Dados | Base legal (LGPD, art. 7º) |
|---|---|---|
| Participante (aluno, membro do time) | Nome ou apelido digitado, cartões escritos, votos e reações, identificador anônimo no navegador (cookie) para reconhecer a pessoa na mesma sessão. Endereço IP só em registros temporários de proteção contra abuso. | Legítimo interesse (inciso IX) para prestar o serviço pedido pelo organizador; sem perfilamento. |
| Organizador (professor, facilitador) | Nome, e-mail, senha com hash, data de acesso, quadros e configurações; opcionalmente foto de perfil e marca própria se a pessoa criar um perfil público. | Execução de contrato (inciso V): os Termos de Uso. |
| Responsável por ação (plano Time) | Nome e e-mail informados pelo organizador para enviar o lembrete da ação; a pessoa pode se descadastrar em um clique. | Legítimo interesse do organizador (inciso IX), com opção de saída. |
| Assinante (planos pagos) | CPF ou CNPJ para a nota fiscal, guardado mascarado; dados de cartão nunca passam pelo site. | Obrigação legal e execução de contrato (incisos II e V). |
Crianças e adolescentes
O Quadro Visual não cria conta para menores. Em sala de aula, o professor é quem organiza; o aluno participa pelo celular sem informar nada além do primeiro nome ou apelido (LGPD, art. 14). Recomendamos ao professor não registrar nos cartões dados sensíveis de alunos (saúde, notas individuais, situação familiar) e travar o quadro ao fim da aula. O Kit do Professor traz esses cuidados em uma página.
Suboperadores
Serviços de terceiros que tratam dados em nome do Quadro Visual, e para quê:
- Napoleon Hosting (Brasil): servidores do site, banco de dados e backups.
- Asaas (Brasil): cobrança dos planos pagos e emissão de nota fiscal. Recebe nome, e-mail e CPF/CNPJ do assinante.
- Postmark (EUA): entrega dos e-mails de lembrete de ações e avisos de conta. Recebe nome e e-mail do destinatário e o conteúdo da mensagem. Transferência internacional com cláusulas contratuais do fornecedor (LGPD, art. 33, V).
- Google (login com Google, opcional): só quando a pessoa escolhe entrar com a conta Google; recebemos nome, e-mail e identificador.
- jsDelivr (CDN): entrega de arquivos estáticos (Bootstrap). Recebe o IP do navegador ao carregar a página.
Não há rastreadores de publicidade, pixels de redes sociais nem venda de dados. As métricas de uso são agregadas e anônimas.
Segurança
- HTTPS em todo o site; senhas com hash (bcrypt); sessões que caem quando a senha muda.
- Política de segurança de conteúdo (CSP) com nonce por resposta; limite de tentativas por IP; uploads sem metadados e sem execução.
- Backup diário com teste mensal de restauração; registro de erros sem dados pessoais.
- Incidentes de segurança com risco relevante aos titulares são comunicados à ANPD e às pessoas afetadas (LGPD, art. 48).
Seus direitos e como exercer
Confirmação de tratamento, acesso, correção, portabilidade, anonimização, eliminação e informação sobre compartilhamento (LGPD, art. 18). Na prática: em Minha conta você exporta tudo em JSON e exclui a conta na hora. Para pedidos sobre dados de participantes (que não têm conta), o pedido vem pelo organizador do quadro ou pelo encarregado abaixo.
Encarregado (DPO): Sergio Torres, [email protected]. Resposta em até 15 dias. Controlador: Projeto Diário Consultoria e Treinamento Profissional Ltda., CNPJ 12.118.354/0001-14, Diadema, SP.
Para anexar ao parecer da sua instituição
Esta página pode ser impressa ou salva em PDF pelo navegador e anexada à análise de conformidade. Se a instituição precisar de um acordo de tratamento de dados (DPA) assinado ou de respostas a um questionário próprio, escreva para o encarregado.
Última revisão: novembro de 2026.