Política de Privacidade

Última atualização: 20 de maio de 2026

1. Introdução

A PROMED+ Educação Médica ("PROMED+", "nós") valoriza e respeita a privacidade de seus usuários. Esta Política de Privacidade descreve como coletamos, utilizamos, armazenamos e protegemos seus dados pessoais ao utilizar a plataforma PROMED+ ("Plataforma"), em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018).

2. Dados Pessoais Coletados

Coletamos os seguintes dados pessoais fornecidos diretamente por você:

• Dados de identificação: nome completo, e-mail, telefone;
• Dados acadêmicos: nome da faculdade, período/semestre cursado;
• Dados de endereço: endereço completo (opcional);
• Foto de perfil: imagem enviada ou capturada pelo Usuário;
• Credenciais de acesso: e-mail e senha (armazenada de forma criptografada);
• Dados de uso: desempenho em simulações, tempo de estudo, progresso nas atividades.

3. Finalidade do Tratamento dos Dados

Seus dados são utilizados para:

• Criar e gerenciar sua conta na Plataforma;
• Prover acesso às funcionalidades contratadas;
• Personalizar sua experiência de aprendizado;
• Gerar relatórios de desempenho e estatísticas;
• Exibir rankings e gamificação (quando autorizado pelo Usuário);
• Enviar comunicações sobre a Plataforma (atualizações, alertas, novidades);
• Cumprir obrigações legais e regulatórias;
• Melhorar nossos serviços com base em dados agregados e anônimos.

4. Base Legal para o Tratamento

O tratamento de seus dados pessoais é fundamentado nas seguintes bases legais da LGPD:

• Consentimento: ao aceitar estes termos e criar sua conta;
• Execução de contrato: para prestação dos serviços contratados;
• Legítimo interesse: para melhoria dos serviços e comunicações relevantes;
• Obrigação legal: quando exigido por legislação aplicável.

5. Compartilhamento de Dados

Seus dados pessoais poderão ser compartilhados com:

• Provedores de serviço: utilizamos provedores de infraestrutura, IA, pagamentos, e-mail e CDN listados em https://promedplus.com.br/legal/subprocessors. Os dados são processados em servidores seguros conforme as políticas de privacidade de cada subprocessador;
• Autoridades competentes: quando exigido por lei, ordem judicial ou determinação de autoridade competente.

Não vendemos, alugamos ou comercializamos seus dados pessoais com terceiros para fins de marketing.

5.1. Transferência Internacional de Dados (LGPD Art. 33)

Parte da infraestrutura tecnológica utilizada pela plataforma está localizada fora do Brasil. Por essa razão, alguns dados pessoais podem ser armazenados ou processados em servidores situados em outros países.

Países de destino:

• Estados Unidos (EUA): Anthropic, OpenAI, Google Cloud, Cloudflare, Sentry, Resend, Railway, Bunny.net e LiveKit;
• Brasil: Asaas (processamento de pagamentos em BRL);
• Paraguai: Pagopar (processamento de pagamentos em PYG, quando aplicável).

Garantias adequadas adotadas:

• celebração de Data Processing Agreements (DPAs) com cláusulas-padrão contratuais (SCCs) quando disponíveis pelo subprocessador;
• preferência por fornecedores certificados em frameworks internacionais (SOC 2 Type II, ISO 27001, GDPR/EU-US DPF);
• criptografia em trânsito (TLS 1.2+) e em repouso (AES-256);
• princípio da minimização: compartilhamento estritamente do necessário para a finalidade contratada.

Direitos do titular sob LGPD Art. 33:

• saber para onde os dados vão (lista pública em https://promedplus.com.br/legal/subprocessors);
• opor-se a uma transferência específica (contato com DPO);
• portabilidade entre fornecedores (exportação de dados em Configurações da conta).

Política de notificação: novos subprocessadores são publicados com pelo menos 30 (trinta) dias de antecedência em https://promedplus.com.br/legal/subprocessors. Alterações urgentes por motivo de segurança poderão ter prazo reduzido, mediante justificativa registrada.

6. Armazenamento e Segurança

Seus dados são armazenados em servidores seguros do Google Firebase, com as seguintes medidas de proteção:

• Criptografia de senhas;
• Comunicação via HTTPS (criptografia em trânsito);
• Regras de segurança no banco de dados (acesso restrito por autenticação);
• Controle de acesso administrativo por papel (role-based access);
• Limite de tamanho e tipo de arquivo para uploads.

Os dados serão mantidos enquanto sua conta estiver ativa ou pelo tempo necessário para cumprir obrigações legais. Após o encerramento da conta, os dados serão excluídos ou anonimizados em prazo razoável.

7. Seus Direitos (LGPD)

Como titular dos dados, você tem o direito de:

• Confirmar a existência de tratamento de seus dados;
• Acessar seus dados pessoais;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Solicitar a anonimização, bloqueio ou eliminação de dados desnecessários;
• Solicitar a portabilidade de seus dados;
• Revogar o consentimento a qualquer momento;
• Obter informação sobre com quem seus dados são compartilhados;
• Solicitar a exclusão de sua conta e dados pessoais.

Para exercer seus direitos, entre em contato conosco pelos canais indicados na seção 10 desta política.

8. Cookies e Tecnologias de Rastreamento

A PROMED+ utiliza cookies e armazenamento local (localStorage) classificados em quatro categorias, com bases legais distintas conforme o art. 7º da LGPD. Na primeira visita, um banner de consentimento granular permite aceitar, recusar ou personalizar cada categoria. Suas escolhas ficam registradas em um cookie de primeira parte por 12 meses e podem ser revistas a qualquer momento em Configurações da conta → Privacidade.

8.1. Cookies necessários (sempre ativos)

Base legal: art. 7º, V (execução de contrato) e art. 7º, IX (legítimo interesse). Não dependem de consentimento porque a Plataforma não funciona sem eles.

• Cookie de sessão (httpOnly, Secure, SameSite=Lax) — mantém o usuário autenticado;
• Token CSRF — proteção contra cross-site request forgery em requisições autenticadas;
• Cookie de consentimento (cookie-consent-v3) — armazena suas escolhas de categoria e subprocessador; espelhado em localStorage para leitura síncrona pelo gate de analytics/erro;
• Cookie de preferência de idioma e demais cookies funcionais de infraestrutura essencial — Cloudflare (anti-bot/DDoS via Turnstile), Railway (load balancing), LiveKit (sessões ao vivo), Bunny.net (streaming de vídeo), Resend (e-mails transacionais), Asaas (processamento de pagamentos).

8.2. Cookies de IA — provedores de mentoria automatizada

Base legal: art. 7º, I (consentimento) e art. 20 (revisão de decisões automatizadas). Você pode opor-se ao tratamento por IA a qualquer momento; funcionalidades dependentes (Mentor IA, geração de flashcards/resumos, feedback automático) serão desabilitadas para sua conta.

• Anthropic (Claude API) — Mentor IA: respostas conversacionais a dúvidas de estudo. EUA;
• OpenAI (gpt-4o-mini) — geração de flashcards, resumos e feedback estruturado em simulados. EUA;
• Google Cloud (Gemini + Text-to-Speech) — explicações alternativas e narração de áudio. EUA / Global.

8.3. Cookies de analytics e telemetria de erro

Base legal: art. 7º, I (consentimento). Esta categoria fica desativada por padrão; só é habilitada se você optar explicitamente no banner.

• PostHog (host europeu — Frankfurt, Alemanha) — analytics de produto: visualizações de página, eventos de uso e funis. Identificadores pseudonimizados; IP truncado antes do armazenamento; sem cross-site tracking;
• Sentry (EUA) — telemetria de erros e performance: stack traces, métricas de Web Vitals, sessões com erros. PII (e-mails, cookies, headers de autenticação) é removida no SDK antes do envio (PII scrubbing ativado).

8.4. Cookies de marketing

Base legal: art. 7º, I (consentimento). Atualmente, a PROMED+ não utiliza cookies de marketing comportamental, pixels de publicidade nem cross-site tracking. Esta categoria permanece no banner para garantir transparência caso passemos a utilizá-los no futuro — nesse caso, novos subprocessadores serão publicados em https://promedplus.com.br/legal/subprocessors com pelo menos 30 dias de antecedência.

8.5. Como gerenciar suas preferências

• Banner inicial: exibido na primeira visita — botões Aceitar tudo, Recusar não essenciais e Personalizar (com toggles por categoria e por subprocessador);
• Revisar ou revogar: Configurações da conta → Privacidade — abre novamente o painel granular sem precisar limpar cookies do navegador;
• Apagar tudo: remover os cookies da PROMED+ no seu navegador faz com que o banner reapareça na próxima visita;
• Lista completa de subprocessadores que podem definir cookies: https://promedplus.com.br/legal/subprocessors.

Você também pode configurar seu navegador para recusar cookies, mas isso pode afetar o funcionamento de algumas funcionalidades da Plataforma.

9. Alterações nesta Política

Esta Política de Privacidade pode ser atualizada periodicamente. Alterações significativas serão comunicadas por e-mail ou notificação na Plataforma. Recomendamos a revisão periódica desta página.

10. Contato e Encarregado (DPO)

Em cumprimento ao art. 41 §1º da Lei n.º 13.709/2018 (LGPD), a PROMED+ indica o seguinte canal de contato para o tratamento de dados pessoais:

• E-mail do Encarregado (DPO): dpo@promedonline.com.br
• E-mail de suporte geral: suporte@promedonline.com.br

Status da nomeação: a identidade nominal do(a) Encarregado(a) está pendente de designação formal pelo controlador. Enquanto a nomeação é finalizada, o canal dpo@promedonline.com.br está operacional e atende solicitações de titulares dentro do prazo legal de 15 dias corridos.

O Encarregado é o canal de comunicação entre o controlador (PROMED+), os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). Use o e-mail acima para solicitações de acesso, correção, anonimização, portabilidade, eliminação, revogação de consentimento ou oposição ao tratamento.

Caso entenda que o tratamento de seus dados viola a LGPD, você tem o direito de apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) pelo portal gov.br/anpd.