Transparência

Política de Privacidade

Versão de 21 de outubro de 2026.

1. Quem é o controlador e quem é o encarregado

O controlador, isto é, quem decide sobre o tratamento dos dados pessoais no EstruLab, é Vitor Felipe Barbieri de Lemes, pessoa física, que oferece o serviço sob o nome comercial Cronobuild Tecnologia. O nome comercial não é uma empresa com CNPJ.

O encarregado pelo tratamento de dados pessoais (art. 41 da Lei 13.709/2018, a LGPD) é Vitor Felipe Barbieri de Lemes. Ele recebe reclamações e comunicações dos titulares e da Agência Nacional de Proteção de Dados (ANPD), presta esclarecimentos e adota as providências. Contato do controlador e do encarregado: contato@cronobuild.com.br, também pelo formulário de contato, assunto "Privacidade e dados pessoais".

2. Para quem é o serviço

O EstruLab é destinado exclusivamente a pessoas com 18 anos ou mais. A idade é declarada no cadastro, e não pedimos documento para comprovar. Não tratamos de propósito dados de crianças ou adolescentes. Se soubermos que uma conta pertence a alguém com menos de 18 anos, a conta e os dados ligados a ela serão excluídos. Pais e responsáveis podem pedir a exclusão pelo contato acima.

3. Quais dados tratamos

Conta. Nome de exibição (pode ser um apelido), e-mail, hash da senha, data da confirmação do e-mail, declaração de maioridade, registro da ciência dos Termos e desta Política (com a versão e a data), sessões de acesso e links de recuperação e de confirmação, que são guardados como hash. Links de recuperação expiram em 30 minutos e links de verificação em 24 horas. São de uso único.

Uso do laboratório. Projetos estruturais que você salva, cálculos e resoluções gerados, progresso de estudo e o registro de cada cálculo concluído, usado para aplicar a cota gratuita.

Turmas e licenças institucionais (só se você participar): vínculo com a turma, respostas, tentativas, etapas conferidas, notas, justificativas escritas, vínculo com a vaga institucional e, na entrada pela Microsoft, os identificadores da conta e da organização. Os detalhes estão nas seções 8 e 9.

Compra (quando a cobrança comercial estiver habilitada): plano, valor, estado, datas, período de acesso e identificadores do Mercado Pago. Não recebemos nem guardamos número de cartão, validade, código de segurança, CPF ou endereço do pagador.

Contato. Quando você usa o formulário de contato ou escreve para o e-mail de contato: nome, e-mail, assunto, mensagem e, se você estiver conectado, o número e o e-mail da sua conta.

Segurança e funcionamento. Registros de ações na conta (como entrar, salvar, excluir, mudar de plano ou ser suspensa), o motivo e as datas de uma eventual suspensão, e um identificador derivado do endereço IP com um segredo do servidor, usado só para limitar tentativas repetidas. Não guardamos o IP bruto nesse registro. A hospedagem registra IP, endereço acessado e horário das requisições (seção 4).

No seu navegador. Cookies estritamente necessários e armazenamento local, descritos na página de Cookies.

Não solicitamos CPF, RG, data de nascimento, endereço de cobrança, número de cartão, validade ou código de segurança. Campos adicionais de conta e de compra são rejeitados. Não tratamos dados pessoais sensíveis (como saúde, religião, opinião política ou dados biométricos). Não os inclua em nomes de projetos, mensagens ou justificativas, nem coloque ali documentos ou dados pessoais de outras pessoas.

4. Para que usamos, com qual base legal e por quanto tempo

Cada tratamento tem uma finalidade específica e uma base legal do art. 7º da LGPD. Quando a finalidade é alcançada ou o prazo termina, os dados são eliminados (art. 15 e art. 16). A rotina diária de manutenção aplica os prazos automáticos.

Não usamos o consentimento como base legal para nenhum tratamento. As caixas de marcação do cadastro, das turmas e do acesso institucional registram sua declaração de maioridade e a ciência das condições. Elas não autorizam publicidade, venda de dados ou usos diferentes dos descritos aqui. Comunicações promocionais não existem hoje. Se um dia forem oferecidas, dependerão de uma escolha separada, que você poderá revogar.

Quando usamos o legítimo interesse, tratamos só os dados estritamente necessários e você pode se opor (seção 11). O banco de dados não mantém cópias de segurança automáticas: quando um prazo termina ou a conta é excluída, os dados saem do banco em uso e não ficam guardados em outra cópia da plataforma.

5. Estatísticas agregadas de utilização

O EstruLab coleta estatísticas agregadas de utilização, como acessos a páginas e interações com funcionalidades, com a finalidade de avaliar e melhorar a experiência da plataforma.

Essas estatísticas são contabilizadas em nosso próprio servidor, sem ferramentas externas de análise, cookies de rastreamento ou identificadores individuais para fins analíticos. Não criamos perfis de navegação nem compartilhamos essas estatísticas com anunciantes.

6. Com quem compartilhamos

Não vendemos nem alugamos dados pessoais. Os dados só chegam às pessoas e empresas abaixo, para as finalidades indicadas (art. 9º, V e VI, e art. 18, VII).

Os operadores só podem tratar os dados para prestar o serviço contratado. Quando você corrige ou exclui dados, avisamos os agentes com quem os compartilhamos para que façam o mesmo, salvo se isso for comprovadamente impossível ou exigir esforço desproporcional (art. 18, § 6º).

7. Transferência internacional

O banco de dados e a execução do aplicativo foram configurados em São Paulo. Mesmo assim, a Vercel, o Supabase e a Hostinger são empresas estrangeiras e podem acessar ou armazenar dados, registros técnicos e mensagens fora do Brasil, inclusive nos Estados Unidos. O mesmo vale para a Microsoft, quando você entra com a conta institucional.

Essas transferências são necessárias para executar o contrato que você pediu (art. 33, IX, combinado com o art. 7º, V, da LGPD). Elas também se apoiam nas garantias contratuais de proteção de dados oferecidas por esses provedores (art. 33, II). Você pode pedir mais informações sobre as transferências pelo contato da seção 1.

8. Turmas e atividades

A participação em turmas é destinada a pessoas com 18 anos ou mais. Ao solicitar entrada pelo código do professor, você declara sua maioridade e registra ciência deste aviso. Guardamos o vínculo com a turma, o estado do pedido e, durante as atividades, respostas, tentativas, etapas conferidas, notas e justificativas escritas. A lista de convites do professor usa identificadores derivados dos e-mails com segredo do servidor; esses identificadores não são dados anônimos.

O professor responsável pela turma e a coordenação da instituição à qual a turma pertence veem nome, e-mail, participação e desempenho dos estudantes: respostas, tentativas, etapas conferidas, notas e justificativas. A coordenação é indicada pela instituição e acompanha todas as turmas dela; cada professor vê somente as turmas atribuídas a ele. Os relatórios individuais e os resumos da turma servem ao acompanhamento da disciplina e à identificação de dificuldades de aprendizagem. Esse tratamento integra o serviço educacional solicitado pelo estudante ao aderir aos Termos de Uso (art. 7º, V, da LGPD). A caixa de ciência informa esse uso necessário; não autoriza publicidade, venda de dados ou usos incompatíveis. O uso que a instituição e o professor fazem desses dados na disciplina, como lançar notas no sistema acadêmico da instituição, é decidido por eles e segue as regras da instituição; o contrato entre a plataforma e a instituição, isoladamente, não substitui a definição da base legal dessas operações.

No painel administrativo da plataforma, os administradores autorizados veem nome, e-mail e vínculo de quem ocupa as vagas e de quem coordena ou leciona em cada instituição, além de contagens de turmas e atividades. Esse perfil não tem acesso a respostas, justificativas, notas ou contagens de tentativas. Uma pessoa também habilitada como professora acessa somente os dados das turmas atribuídas a ela.

Você pode sair em Turmas a qualquer momento. Isso encerra sua participação, mas os registros já enviados continuam disponíveis ao professor durante o prazo de retenção. A exclusão das turmas e de seus registros de participação, respostas, tentativas, etapas e notas ocorre na rotina diária de manutenção, a partir de 12 meses após a data de encerramento. Variantes de exercícios vinculadas ao estudante também são removidas quando não forem necessárias em outra turma ainda retida.

Quando a exclusão da conta é concluída, suas tentativas, etapas, variantes pessoais e vínculos de turma são removidos do banco ativo. A exclusão de uma conta de professor também remove as turmas e atividades de sua autoria. Cópias que o professor tenha exportado ficam sob a responsabilidade de quem as mantém; pedidos sobre essas cópias devem ser encaminhados à instituição ou ao professor, com apoio pelo canal da seção 1.

Não inclua dados sensíveis, documentos ou dados pessoais de terceiros nas justificativas.

9. Licenças institucionais

O acesso por licença institucional é exclusivo para pessoas com 18 anos ou mais. Após a declaração de maioridade, o aceite dos Termos e a confirmação do e-mail de um domínio autorizado, o sistema verifica a vigência do contrato e a disponibilidade de vaga. Entrar pela Microsoft exige a mesma confirmação de maioridade e uma conta institucional validada. Confirmar o e-mail ou autenticar-se pela Microsoft, por si só, não garante vaga nem comprova idade real.

Registramos o vínculo da conta com a vaga e a data de ocupação para fornecer e administrar o acesso solicitado. Na autenticação Microsoft, recebemos os dados necessários para identificar a conta e a organização, incluindo nome, identificador da organização, identificador da conta e endereço institucional. Guardamos o vínculo dessa identidade com sua conta no EstruLab. A Microsoft trata a autenticação conforme seus próprios termos e sua política de privacidade.

O acesso completo vale enquanto o contrato estiver vigente e a vaga estiver vinculada à conta. O fim da licença encerra esse benefício, mas não exclui automaticamente a conta ou antecipa a retenção das atividades. O desempenho individual fica disponível ao professor da turma e à coordenação da instituição, nunca ao perfil administrativo de licenças da plataforma. A instituição deve indicar apenas participantes adultos; o fornecimento de e-mail institucional não é uma verificação de idade.

Algumas instituições adotam a lista autorizada: além das condições acima, só ocupa vaga quem a universidade incluir na lista. A lista contém apenas o e-mail institucional e é mantida pela instituição; os coordenadores daquela instituição a veem e editam, e a administração do EstruLab a acessa para operar o contrato. Estar na lista não reserva vaga. Excluir sua conta no EstruLab libera a vaga na hora, mas não tira seu e-mail da lista, porque ela pertence ao cadastro da instituição. Você pode pedir ao EstruLab a remoção do seu e-mail da lista pelo canal de contato e privacidade; atendemos o pedido e avisamos a coordenação. A lista é apagada 12 meses depois do fim do contrato, se não houver renovação.

10. Decisões automatizadas

Algumas decisões são tomadas automaticamente pelo sistema:

• Correção automática das atividades: a resposta é comparada com o resultado do motor de cálculo, dentro da tolerância informada na atividade. A nota sugerida auxilia o professor e não substitui a avaliação dele.
• Cota gratuita e limites de tentativas: o sistema conta cálculos e tentativas para aplicar as regras dos Termos.

Você pode pedir a revisão de qualquer decisão tomada só por meio automatizado que afete seus interesses, e pedir informações claras sobre os critérios e os procedimentos usados (art. 20). Contestações de nota vão ao professor responsável. Os demais pedidos vão ao contato da seção 1.

11. Seus direitos

Você pode pedir, a qualquer momento, gratuitamente e sem precisar justificar (art. 18 da LGPD):

• a confirmação de que tratamos seus dados;
• o acesso aos seus dados;
• a correção de dados incompletos, inexatos ou desatualizados;
• a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• a portabilidade dos seus dados a outro fornecedor;
• a eliminação dos dados, inclusive dos tratados com seu consentimento, ressalvados os casos de guarda permitidos pelo art. 16;
• a informação sobre as pessoas e empresas com quem compartilhamos seus dados (seção 6);
• a informação sobre a possibilidade de não fornecer consentimento e as consequências da negativa (seção 4: hoje nenhum tratamento depende do seu consentimento);
• a revogação de consentimento, se algum tratamento futuro depender dele;
• a oposição a um tratamento feito sem consentimento (como os baseados em legítimo interesse) em caso de descumprimento da LGPD;
• a revisão de decisões automatizadas (seção 10).

Você também pode peticionar contra o controlador à Agência Nacional de Proteção de Dados (ANPD) e aos órgãos de defesa do consumidor, como o Procon e o consumidor.gov.br. Os dados referentes ao exercício regular dos seus direitos nunca serão usados em seu prejuízo (art. 21).

12. Como exercer seus direitos

• Na hora, sem pedir a ninguém: veja seu perfil em Minha conta, corrija o nome de exibição ali e baixe a cópia completa dos seus dados em Exportar meus dados, num arquivo JSON que outros sistemas conseguem ler. Isso atende a confirmação, o acesso e a portabilidade (art. 19, I). Em Minha conta você também exclui a conta: a exclusão remove a conta, as sessões, os projetos, os cálculos, os registros de uso, as ciências de documentos, as tentativas de assinatura, os registros de pagamento e os eventos de segurança associados.
• Pelo contato da seção 1: troca de e-mail, declaração completa sobre a origem dos dados, os critérios e a finalidade do tratamento (art. 19, II), oposição, revisão de decisão automatizada e qualquer outro pedido. Escreva a partir do e-mail da conta. Para proteger você, podemos pedir que confirme o pedido por um link enviado a esse e-mail. Uma senha, um cookie ou dados de cartão nunca são pedidos para verificar sua identidade.

Respondemos em até 15 dias. Se não for possível atender na hora, explicamos as razões de fato ou de direito, ou indicamos quem é o agente de tratamento, quando não formos nós (art. 18, § 4º). Para não deixar uma cobrança aberta, cancele a renovação e encerre tentativas de assinatura pendentes antes de excluir a conta. Os registros que o Mercado Pago mantém sobre o pagamento seguem a política dele. Logs da hospedagem seguem a retenção do provedor.

13. Segurança e incidentes

Aplicamos verificação de proprietário em cada acesso, derivação de senhas, proteção de sessão e requisições, controle de acesso por linha no banco de dados, HTTPS, minimização de registros e bloqueio de cache de dados privados. O limite de tentativas usa um identificador derivado do IP com segredo do servidor, persistido no banco na hospedagem. Isso não torna o dado anônimo e não impede toda troca de VPN. Segurança absoluta não é uma promessa do serviço.

Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante a você, comunicaremos a ANPD e as pessoas afetadas no prazo definido pela ANPD. A comunicação informa a natureza dos dados afetados, quem foi atingido, as medidas de proteção usadas, os riscos e as medidas para reverter ou reduzir os efeitos (art. 48). Registramos todos os incidentes, mesmo os que não precisam ser comunicados.

14. Cookies e navegador

Usamos um cookie de sessão e um cookie contra requisições forjadas, ambos estritamente necessários. O identificador da sessão é armazenado como hash no banco e não fica acessível ao JavaScript. Rascunhos ficam no armazenamento da aba e preferências de tema e de painéis ficam no navegador. A lista completa está em Cookies.

15. Alterações desta Política

Quando esta Política mudar, a data da versão no topo muda. Se a mudança afetar a finalidade, a forma ou a duração do tratamento, a identificação do controlador ou o compartilhamento, mostraremos às contas conectadas um aviso com o que mudou, antes de continuar usando o serviço (art. 8º, § 6º, e art. 9º, § 2º).

Histórico de versões

• 21 de outubro de 2026: revisão completa pela LGPD.
  • O controlador é Vitor Felipe Barbieri de Lemes, pessoa física (Cronobuild Tecnologia é o nome comercial), e ele é o encarregado pelo tratamento de dados.
  • O EstruLab passa a ser exclusivo para pessoas com 18 anos ou mais.
  • Cada tratamento agora tem finalidade, base legal e prazo de guarda numa tabela; registros de ações na conta ficam 12 meses e o registro de cálculos fica 90 dias.
  • A lista de quem recebe dados (Vercel, Supabase, Hostinger, Mercado Pago, Microsoft, professores e coordenação) mostra o papel de cada um e as transferências para fora do Brasil.
  • O formulário de contato, as decisões automatizadas (correção e cota) e a comunicação de incidentes de segurança passaram a ser descritos.
  • Você pode corrigir o nome em Minha conta, e a exportação passou a incluir suspensões, papéis de professor e coordenação, listas institucionais e sessões.
• 20 de outubro de 2026: lista autorizada das instituições e suspensão de contas.
• 18 de outubro de 2026: turmas, licenças institucionais, declaração de maioridade para turmas e prazos de guarda das turmas.

Controlador, encarregado e contato

Controlador: Vitor Felipe Barbieri de Lemes, pessoa física, sob o nome comercial Cronobuild Tecnologia. Encarregado pelo tratamento de dados pessoais: Vitor Felipe Barbieri de Lemes.

Contato do controlador e do encarregado: contato@cronobuild.com.br · formulário de contato