Política de Privacidade

A Knowfy é operada por [RAZÃO SOCIAL], CNPJ [CNPJ], com sede em [ENDEREÇO]. Esta Política segue a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, "LGPD").

A Knowfy é um serviço para empresas, então os papéis dependem do dado:

• A Organização é a controladora dos dados dos membros que ela cadastra e do conteúdo que envia. Ela decide quem entra, quais cursos são oferecidos e acompanha o progresso da equipe. Nesses casos, a Knowfy trata os dados como operadora, seguindo as instruções da Organização.
• A Knowfy é a controladora dos dados necessários para operar e proteger a Plataforma: conta, login, segurança, cobrança e registro de uso de IA.

Conta

Nome, e-mail, senha (guardada apenas como hash, nunca em texto), foto de perfil quando houver, idioma preferido, Organização, papel e times.

Sessões e segurança

Endereço IP e agente do navegador (que indica navegador e sistema) de cada sessão, com datas de início e expiração. Você vê essas sessões em Minha conta. O IP também é usado para limitar tentativas de login.

Aprendizagem

Matrículas, progresso nas aulas, tempo de leitura, respostas a quizzes, jogos e atividades, anotações, flashcards, avaliações das aulas, planos de ação, eventos de navegação dentro do curso (registrados pela própria Knowfy), conversas com o assistente de IA da aula, conquistas, certificados, Knowcoins e resgates na loja de recompensas.

Criação de cursos

Pedidos e conversas com o criador de cursos, arquivos enviados como fonte e o texto extraído deles, e os cursos gerados (aulas, imagens, áudios, jogos, infográficos).

Cobrança

Os dados de pagamento ficam com a Stripe. A Knowfy não recebe nem guarda dados de cartão. Guardamos os identificadores do cliente e da assinatura na Stripe, o plano, a quantidade de criadores, o status e as datas do período, e o e-mail do owner usado para abrir o cadastro na Stripe.

Uso de IA

Para cada chamada de IA, registramos a Organização, o usuário, o curso ou a aula, a tarefa, o provedor, o modelo, a quantidade consumida, o status e o horário. É com esse registro que os créditos são debitados.

Identidade visual da Organização

Logo, cores e fontes escolhidas pelo owner.

Uso e erros técnicos

Páginas visitadas, cliques, gravação da sessão com todo texto digitado e o conteúdo das aulas escondidos, e erros do navegador e do servidor, ligados à sua conta e à sua organização.

Presença e atividade na Organização

Enquanto uma aba da Plataforma está aberta e visível, registramos a cada minuto o horário e a tela em que você está. Também registramos as ações administrativas (membros, times, cursos, configurações e cobrança) e os logins. A organização que contratou a Knowfy vê a atividade dos seus membros na Plataforma: quando estiveram online, a tela em que estão, aulas e cursos concluídos, certificados e créditos de IA usados, e um registro das ações administrativas. Ela não vê o que você digita.

Registros técnicos

Nossa hospedagem registra dados técnicos das requisições (como IP, data, hora e página acessada) para operação, diagnóstico e segurança.

Usamos apenas cookies e armazenamento local necessários ao funcionamento e às suas preferências. Não usamos cookies de publicidade. Usamos o PostHog para medir o uso da Plataforma e encontrar erros; ele grava um cookie e um item no armazenamento local com o prefixo ph_.

• better-auth.session_token: mantém você conectado (até 15 dias sem uso).
• better-auth.session_data: cópia criptografada da sessão, válida por 5 minutos, para carregar as páginas mais rápido.
• NEXT_LOCALE: o idioma da interface (1 ano).
• sidebar_state: se a barra lateral fica aberta ou recolhida.
• ph_*: cookie e item de armazenamento local do PostHog, que identificam o navegador e a sessão para a análise de uso e o rastreio de erros.
• Armazenamento local do navegador: tema claro ou escuro (theme), se a Organização tem identidade visual própria (kf-org-theme), a posição no player de aulas, preferências de áudio, tamanho da fonte do assistente e som dos jogos. Esses dados ficam no seu dispositivo.

O pagamento acontece no site da Stripe, que usa cookies próprios para processar a transação e prevenir fraudes. Se a Organização escolher uma fonte que não vem embutida na Plataforma, o navegador a baixa do Google Fonts, que recebe o seu IP.

• Prestar o serviço contratado: criar e manter contas, gerar e exibir cursos, registrar progresso, emitir certificados, debitar créditos e cobrar o plano. Base: execução de contrato (art. 7º, V) e, quando a Organização é a controladora, as bases que ela indicar.
• Acompanhamento pela Organização: A organização que contratou a Knowfy vê a atividade dos seus membros na Plataforma: quando estiveram online, a tela em que estão, aulas e cursos concluídos, certificados e créditos de IA usados, e um registro das ações administrativas. Ela não vê o que você digita. Base: execução de contrato (art. 7º, V) e, quando a Organização é a controladora, as bases que ela indicar.
• Segurança e prevenção de fraudes: sessões, limite de tentativas de login, registros técnicos e controle de acesso por papel. Base: legítimo interesse (art. 7º, IX).
• Melhorar o produto e corrigir erros: entender o consumo de IA, medir o uso da Plataforma (eventos, gravação de sessão com mascaramento e rastreio de erros) e corrigir falhas. Base: legítimo interesse (art. 7º, IX).
• Cumprir obrigações legais: guardar registros de acesso (Marco Civil da Internet, art. 15) e documentos fiscais. Base: obrigação legal (art. 7º, II).
• Defender direitos em processos judiciais, administrativos ou arbitrais. Base: exercício regular de direitos (art. 7º, VI).
• Certificado público: só quando o colaborador escolhe publicá-lo. Base: consentimento (art. 7º, I), que pode ser retirado tornando o certificado privado de novo.

Para gerar e revisar cursos, criar imagens e narrações, ler páginas escaneadas e responder no assistente, enviamos aos provedores de IA listados abaixo o conteúdo necessário para aquela tarefa: pedidos, instruções, o conteúdo dos arquivos de fonte, o texto das aulas e as perguntas feitas ao assistente.

• A Knowfy não usa o seu conteúdo para treinar modelos de IA próprios.
• O nome e o e-mail dos colaboradores não fazem parte do que enviamos para gerar os cursos.
• O tratamento feito por cada provedor segue os termos e políticas dele para uso via API.
• Recomendamos não enviar como fonte documentos com dados pessoais sensíveis ou de terceiros que não sejam necessários ao curso.

• Dentro da Organização: o owner vê a Organização inteira; o gestor vê os colaboradores dos seus times, incluindo o progresso nos cursos. Colaboradores não veem os dados uns dos outros.
• Certificado público: se o colaborador publicar um certificado, qualquer pessoa com o link vê o nome dele, o título do curso, a data de conclusão, o número de aulas, o nível, o idioma e o número de identificação do certificado. O e-mail, o saldo de Knowcoins e o progresso não aparecem.
• Arquivos dos cursos: as imagens e os áudios gerados ficam em endereços de acesso direto, não listados. Quem tiver o endereço exato de um arquivo consegue abri-lo. Os arquivos de fonte ficam em armazenamento privado.
• Suboperadores: os fornecedores da seção seguinte, apenas para a finalidade descrita.
• Autoridades: quando houver obrigação legal ou ordem judicial.

Não vendemos dados pessoais.

Usamos estes fornecedores para operar a Plataforma:

• Vercel: hospedagem da aplicação, com processamento na região de São Paulo, e registros técnicos das requisições.
• Supabase: banco de dados e armazenamento de arquivos (fontes enviadas, imagens e áudios dos cursos).
• Trigger.dev: execução de tarefas em segundo plano, como gerar cursos, ler arquivos de fonte e renovar créditos.
• PostHog: análise de uso, gravação de sessão com mascaramento e rastreio de erros. Servidores nos Estados Unidos.
• Stripe: pagamentos, assinaturas, faturas e portal do cliente.
• Google: modelos Gemini para texto, imagens, narração em áudio e leitura de páginas escaneadas; Google Fonts para as fontes opcionais da identidade visual.
• OpenAI: geração de texto e imagens, quando esse provedor é o selecionado para a tarefa.
• OpenRouter: encaminha chamadas de texto a modelos de terceiros, quando esse provedor é o selecionado para a tarefa.
• ElevenLabs: sincroniza cada palavra da narração com o áudio, quando esse recurso está ativo. Recebe o áudio e o texto da aula.

Atualizaremos esta lista quando incluirmos ou trocarmos um fornecedor.

Esses fornecedores são empresas sediadas no exterior, em sua maioria nos Estados Unidos, e podem tratar dados fora do Brasil. Isso inclui o PostHog, cujos servidores ficam nos Estados Unidos. Essa transferência acontece nas hipóteses do art. 33 da LGPD, em especial quando necessária à execução do contrato com a Organização (art. 33, IX), e com fornecedores que adotam medidas de segurança compatíveis com esta Política.

• Conta, aprendizagem e cursos: enquanto a conta ou a Organização existir. Um plano encerrado bloqueia o acesso, mas não apaga os dados, para que a Organização possa voltar. A exclusão pode ser pedida a qualquer momento (veja a seção Seus direitos).
• Registros de acesso: pelo menos 6 meses, como exige o Marco Civil da Internet.
• Registro de ações administrativas e logins: 12 meses. A presença guarda só o último sinal de cada pessoa, substituído a cada minuto.
• Cobrança e uso de IA: pelo prazo exigido pela legislação fiscal e contábil, em geral 5 anos.
• Sessões: expiram após 15 dias sem uso ou quando você as encerra.

Entre as medidas que adotamos:

• conexão criptografada (HTTPS) em toda a Plataforma;
• senhas guardadas apenas como hash;
• cookie de sessão protegido e cópia da sessão criptografada;
• limite de tentativas de login por endereço IP;
• controle de acesso por papel e por Organização em cada página e ação;
• arquivos de fonte em armazenamento privado, enviados por links temporários;
• chaves de acesso aos fornecedores guardadas apenas no servidor.

Nenhum sistema é totalmente imune a incidentes. Se ocorrer um incidente que possa causar risco ou dano relevante, avisaremos as Organizações afetadas e a ANPD, como prevê o art. 48 da LGPD.

Pelo art. 18 da LGPD, você pode pedir:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados sem conformidade;
• portabilidade dos dados a outro fornecedor;
• eliminação dos dados tratados com consentimento;
• informação sobre com quem compartilhamos seus dados;
• informação sobre a possibilidade de não consentir e suas consequências;
• revogação do consentimento;
• revisão de decisões tomadas unicamente com base em tratamento automatizado.

Como pedir: escreva para suporte@knowfy.com.br a partir do e-mail da sua conta. Podemos pedir informações para confirmar sua identidade. Respondemos em até 15 dias. Nome e senha você também altera em Minha conta.

Quando o dado pertence a uma Organização (por exemplo, seu progresso nos cursos da empresa), encaminhamos o pedido a ela, que é a controladora, e apoiamos a resposta.

A Knowfy é um serviço para empresas e não se destina a menores de 18 anos. Se uma Organização oferecer a Plataforma a adolescentes (por exemplo, em programas de aprendizagem), ela é responsável por tratar esses dados no melhor interesse deles e obter o consentimento de pais ou responsáveis quando exigido (art. 14 da LGPD).

Nosso encarregado pelo tratamento de dados pessoais é [NOME DO ENCARREGADO (DPO)], que pode ser contatado em suporte@knowfy.com.br.

Se entender que seu pedido não foi atendido, você pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

Podemos atualizar esta Política para refletir mudanças no serviço ou na lei. Mudanças relevantes serão avisadas na Plataforma ou por e-mail. A data da versão em vigor está no topo desta página. Veja também os Termos de Uso.