Política de Privacidade

1. Quem é o controlador

O Horário Fácil é operado por pessoa jurídica inscrita no CNPJ sob o nº 58.185.484/0001-70, com sede em Teresópolis/RJ.

Para qualquer assunto relativo a dados pessoais — inclusive os pedidos descritos na seção 8 — o canal é [email protected].

2. Quais dados tratamos

2.1. Dados da sua conta

E-mail e senha. O e-mail identifica sua conta e é por onde falamos com você. A senha nunca é armazenada como você a digitou: guardamos apenas um resumo criptográfico (hash) dela, que não permite recuperar a original — nem por nós.

Base legal: execução de contrato (art. 7º, V da LGPD). Sem esses dados não há conta.

2.2. Dados de cobrança

Quando uma escola assina um plano, coletamos os dados do pagador: nome, CPF ou CNPJ, e-mail e, opcionalmente, telefone. Eles são enviados à Asaas, que emite a cobrança e a nota fiscal.

Nenhum dado de cartão passa por nós. O pagamento acontece inteiramente no ambiente da Asaas: nós não recebemos, não vemos e não armazenamos número de cartão, validade ou código de segurança.

Base legal: execução de contrato (art. 7º, V) e cumprimento de obrigação legal e regulatória, para fins fiscais (art. 7º, II).

2.3. Dados que a escola cadastra

Para montar a grade, a escola cadastra nomes de professores, além de disciplinas, turmas e horários. Esses são dados pessoais de terceiros, e aqui os papéis se invertem:

a escola é a controladora desses dados, e o Horário Fácil é operador (art. 5º, VI e VII da LGPD). Quem decide o que cadastrar, por quanto tempo manter e para que usar é a escola. Nós apenas armazenamos e processamos por conta dela, seguindo suas instruções — e não usamos esses dados para nenhuma finalidade própria.

Cabe à escola informar seus professores sobre esse tratamento e garantir uma base legal para ele.

2.4. Dados técnicos

Cookies estritamente necessários. Usamos exatamente dois, e ambos existem para manter você conectado com segurança:

• session — a credencial da sua sessão. É httpOnly, o que significa que nenhum script da página consegue lê-la, nem um script malicioso que fosse injetado.
• csrf_token — acompanha cada operação de escrita e impede que outro site faça requisições em seu nome.

Não há cookies de análise, de rastreamento ou de publicidade. Não usamos Google Analytics nem equivalente, e não há banner de consentimento porque não há nada opcional a consentir: sem esses dois cookies, não é possível entrar no sistema.

Endereço IP. Registramos temporariamente o IP das requisições para limitar tentativas de login e conter abuso automatizado.

Base legal: legítimo interesse na segurança do serviço e de seus usuários (art. 7º, IX).

3. O que não fazemos

• Não vendemos seus dados, nem os de sua escola, a ninguém.
• Não usamos seus dados para publicidade, nossa ou de terceiros.
• Não criamos perfis comportamentais e não rastreamos você entre sites.
• Não carregamos recursos de terceiros nas páginas públicas. Até as fontes tipográficas são servidas por este domínio — abrir o site não gera nenhuma requisição a outra empresa.

4. Com quem compartilhamos

Somente com quem é necessário para o serviço funcionar:

• Asaas — processamento de pagamentos e emissão de notas fiscais. Recebe os dados de cobrança da seção 2.2.
• Cloudflare — hospedagem da interface, distribuição de conteúdo e proteção contra ataques.
• Google Cloud — infraestrutura onde a aplicação e o banco de dados são executados.

Também poderemos compartilhar dados para cumprir obrigação legal ou ordem de autoridade competente.

5. Transferência internacional

Cloudflare e Google Cloud podem processar dados em servidores fora do Brasil. Essas transferências ocorrem nos termos do art. 33 da LGPD e são limitadas ao necessário para hospedar e operar o serviço.

6. Por quanto tempo guardamos

• Conta e dados escolares: enquanto a conta existir. Ao pedir exclusão, removemos os dados dentro do prazo da seção 8.
• Dados fiscais e de cobrança: pelo prazo exigido pela legislação tributária, ainda que a conta seja encerrada antes.
• Registros de IP: por período curto, apenas para fins de segurança.

7. Segurança

Entre as medidas adotadas:

• Todo o tráfego trafega por HTTPS, obrigatoriamente.
• Senhas armazenadas apenas como hash, jamais em texto legível.
• Sessão em cookie httpOnly, inacessível a scripts.
• Proteção contra CSRF em toda operação de escrita.
• Política de segurança de conteúdo (CSP) restritiva, que impede o carregamento de scripts de outras origens.
• Limite de tentativas de login.

Nenhum sistema é infalível. Se ocorrer um incidente de segurança que possa acarretar risco relevante aos titulares, comunicaremos os afetados e a ANPD, conforme o art. 48.

8. Seus direitos

O art. 18 da LGPD garante a você, a qualquer momento e sem custo:

• confirmação de que tratamos seus dados, e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• portabilidade a outro fornecedor;
• eliminação dos dados tratados com base em consentimento;
• informação sobre com quem compartilhamos seus dados;
• revogação do consentimento, quando for essa a base legal.

Para exercer qualquer um deles, escreva para [email protected]. Respondemos em até 15 dias. Podemos pedir informações que confirmem sua identidade — é o que impede que um terceiro obtenha ou apague dados se passando por você.

Se os dados em questão forem de um professor cadastrado por uma escola, encaminharemos o pedido à escola, que é a controladora desses dados (seção 2.3).

Você também pode peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD).

9. Alterações nesta política

Se esta política mudar de forma relevante, atualizaremos a data no topo e avisaremos pelo e-mail cadastrado antes que a nova versão passe a valer.

10. Contato

CNPJ 58.185.484/0001-70
[email protected]