Política de Privacidade

O Controlador dos dados pessoais tratados em razão do uso da Plataforma Consylion ("Plataforma") e da loja shop.consylion.org é a A.C.E System LTDA, sociedade empresária limitada inscrita no CNPJ sob o nº 67.647.041/0001-45, sediada no Setor de Grandes Áreas Sul (SGAS), Quadra 915, s/n, Bloco D, Sala 103, Parte CH, Plano Piloto, Brasília/DF, CEP 70390-150, Brasil ("Consylion", "nós").

Esta Política aplica-se a todos os Titulares que utilizam a Plataforma em qualquer país da Europa (incluindo Estados-Membros da UE, Reino Unido, Suíça e Noruega), África, América do Sul e América do Norte. Quando exigido pela legislação local, o Consylion atua também como controlador conjunto ou independente com seus subprocessadores, conforme detalhado na Seção 9.

Para fins do GDPR e do UK GDPR, o ponto de contato de privacidade é o Encarregado de Dados (DPO), acessível pelos canais da Seção 18. O Consylion oferece serviços transfronteiriços sem estabelecimento principal na UE; sua representação perante autoridades europeias é feita por meio do DPO designado.

As compras na loja shop.consylion.org têm uma política complementar em shop.consylion.org/privacidade, que descreve o checkout, os cookies e as ferramentas de medição da loja.

• Dado pessoal: qualquer informação relacionada à pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado relacionado à origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
• Titular: pessoa natural a quem se referem os dados pessoais.
• Tratamento: toda operação realizada com dados pessoais, incluindo coleta, armazenamento, acesso, transmissão, modificação e eliminação.
• Controlador / Operador (Processador): a quem competem as decisões referentes ao tratamento (controlador) e quem realiza o tratamento em nome do controlador (operador / processador).

3.1 Dados fornecidos pelo Titular

• Nome completo, e-mail, telefone e país de residência.
• Documento de identificação quando exigido para faturamento (CPF, CNPJ, VAT ID, EIN, tax ID equivalente).
• Endereço postal de cobrança quando aplicável à emissão de fatura.
• Profissão, área de atuação e estágio do negócio.
• Respostas a diagnósticos e anotações em campos de resposta livre de playbooks e exercícios (incluindo reflexões pessoais), alem de configurações de perfil e preferências.
• Dados de pagamento (número do cartão, validade, CVV) processados diretamente pelos gateways certificados PCI-DSS; o Consylion não armazena dados completos de cartão.

3.2 Dados coletados automaticamente

• Logs de acesso: endereço IP, user agent, páginas acessadas, data e hora.
• Dispositivo: sistema operacional, navegador, tipo de dispositivo e resolução.
• Uso da Plataforma: aulas concluídas, progresso em trilhas, XP, badges, streaks e tempo de engajamento.
• Geolocalização aproximada: derivada do IP para fins de segurança e localização de moeda.
• Cookies e tecnologias similares: conforme Seção 7.

3.3 Dados obtidos de terceiros

• Confirmação de pagamento pelos gateways (status, últimos 4 dígitos, bandeira).
• Dados públicos de redes sociais quando o Titular interage com nossos canais (LinkedIn, Instagram, Meta) ou opta por login social, se disponível.
• Identificadores publicitários e atribuição de campanha (UTM, fbclid, gclid), quando o Titular acessa a Plataforma a partir de campanhas de marketing.

3.4 Dados sensíveis

O Consylion não solicita nem coleta intencionalmente dados pessoais sensíveis. Caso o Titular insira voluntariamente tais dados em respostas livres de diagnóstico ou suporte, eles serão tratados com nível reforçado de proteção e poderão ser excluídos a pedido.

As anotações e reflexões que o Titular escreve em campos de resposta livre de diagnósticos e playbooks ficam vinculadas à sua conta e podem ser acessadas por membros autorizados da equipe do Consylion, sob dever de confidencialidade, para fins de suporte ao Titular, curadoria pedagógica e melhoria do produto, conforme a Seção 4. Esses registros não são compartilhados com terceiros para finalidades próprias destes e podem ser excluídos a pedido do Titular.

• Criar e manter a conta do Titular e autenticar acessos.
• Disponibilizar Conteúdo, gerar planos de ação personalizados e medir progresso.
• Processar pagamentos, emitir faturas e cumprir obrigações fiscais.
• Comunicar-se com o Titular sobre o serviço (transacionais e operacionais).
• Enviar comunicações de marketing, mediante consentimento ou interesse legítimo, com direito de opt-out a qualquer tempo.
• Realizar análises estatísticas e melhorar a Plataforma.
• Permitir que membros autorizados da equipe acessem respostas, anotações e reflexões inseridas em diagnósticos e playbooks, sob confidencialidade, para suporte ao Titular, curadoria pedagógica e melhoria contínua do produto.
• Prevenir fraudes, abusos e violações destes Termos e da segurança.
• Cumprir obrigações legais, regulatórias e atender ordens de autoridades competentes.
• Defender direitos em procedimentos administrativos, judiciais ou arbitrais.

O Consylion fundamenta cada tratamento na base legal apropriada conforme a legislação aplicável ao Titular:

5.1 UE, EEE, Reino Unido e Suíça (GDPR / UK GDPR / nFADP)

• Execução de contrato (Art. 6(1)(b)) — entrega da Plataforma, faturamento, suporte.
• Obrigação legal (Art. 6(1)(c)) — escrituração fiscal, atendimento a autoridades.
• Interesse legítimo (Art. 6(1)(f)) — segurança, prevenção à fraude, melhoria do serviço e marketing direto para clientes ativos, sempre com ponderação de impacto.
• Consentimento (Art. 6(1)(a)) — cookies não essenciais, comunicações de marketing para não clientes, tratamento eventual de dados sensíveis.

5.2 Brasil (LGPD — Lei 13.709/2018)

• Execução de contrato (Art. 7, V).
• Cumprimento de obrigação legal (Art. 7, II).
• Legítimo interesse (Art. 7, IX), com Avaliação de Legítimo Interesse documentada.
• Consentimento (Art. 7, I) para dados sensíveis e marketing não essencial.
• Exercício regular de direitos em processo judicial, administrativo ou arbitral (Art. 7, VI).

5.3 EUA (CCPA/CPRA e leis estaduais análogas)

Atuamos como business nos termos do CCPA/CPRA. Não vendemos dados pessoais e não compartilhamos dados pessoais para publicidade comportamental cross-context sem opt-in. Residentes da Califórnia, Virgínia, Colorado, Connecticut, Utah, Texas e outros estados com legislação análoga podem exercer direitos conforme Seção 13.

5.4 Canadá (PIPEDA e leis provinciais)

O tratamento ocorre com consentimento implícito ou explícito, conforme a sensibilidade do dado e o contexto, em linha com o PIPEDA federal e leis provinciais equivalentes, incluindo a Lei 25 do Quebec.

5.5 África do Sul, Nigéria, Quênia e demais países africanos

Bases legais conforme POPIA (África do Sul), NDPA (Nigéria, 2023), Data Protection Act 2019 (Quênia) e legislações equivalentes, em especial: execução de contrato, obrigação legal, interesse legítimo e consentimento.

5.6 México e demais países latino-americanos

Conforme a LFPDPPP (México), Lei 25.326 (Argentina), Lei 1581/2012 (Colômbia), Lei 19.628 (Chile) e demais normas locais. Em todos os casos, o Titular tem direito de acesso, retificação, cancelamento e oposição (ARCO ou equivalentes).

A Plataforma utiliza modelos de IA de terceiros para gerar planos personalizados e recomendações de Conteúdo. Nenhum dado pessoal, resposta de diagnóstico ou conteúdo inserido pelo Titular é utilizado para treinar, ajustar ou melhorar modelos de IA, sejam próprios ou de terceiros. Os provedores de IA operam sob contratos empresariais que vedam essa utilização (zero-retention APIs sempre que disponível).

As recomendações geradas não produzem efeitos jurídicos ou impactam significativamente o Titular de forma automatizada na acepção do Art. 22 do GDPR ou do Art. 20 da LGPD. Mesmo assim, o Titular pode solicitar revisão humana das recomendações pelo canal do DPO.

7.1 Categorias utilizadas

• Essenciais: autenticação, sessão, balanceamento de carga, prevenção à fraude. Não requerem consentimento.
• Funcionais: preferências de idioma, tema e última visualização.
• Analíticos: medição agregada de uso (ex.: Google Analytics 4 com IP anonimizado, Plausible ou equivalente).
• Marketing: Meta Pixel, Google Ads, LinkedIn Insight Tag e similares, utilizados apenas mediante consentimento válido.

7.2 Controle pelo Titular

Em jurisdições que exigem consentimento prévio (UE, Reino Unido, Brasil, entre outras), exibimos banner de consentimento granular. O Titular pode revogar ou alterar suas escolhas a qualquer momento pelo link "Preferências de cookies" no rodapé, alem de configurar seu navegador para bloqueio total. Sinais "Global Privacy Control" (GPC) são respeitados como opt-out de venda e compartilhamento para residentes dos EUA.

Abrir preferências de cookies

Comunicações transacionais (confirmações de compra, alertas de segurança, atualizações de serviço) são enviadas independentemente de consentimento de marketing, por serem necessárias à execução do contrato.

Comunicações promocionais por e-mail, SMS, WhatsApp ou push exigem consentimento ou relação contratual ativa, conforme a jurisdição. A frequência pode variar; podem incidir custos de mensageria conforme o provedor do Titular. O Titular pode optar por não receber tais comunicações a qualquer momento por meio do link de descadastro, respondendo "STOP" em mensagens SMS, ou pelo e-mail dpo@consylion.org.

Compartilhamos dados pessoais apenas com subprocessadores submetidos a contratos de tratamento de dados (DPA), Standard Contractual Clauses (quando aplicável), e auditoria periódica de segurança:

• Supabase Inc.: banco de dados e autenticação (região primária: Brasil/EUA).
• Cloudflare, Inc.: CDN, WAF e proteção contra ataques (rede global).
• Vimeo, Inc.: hospedagem e streaming de vídeos.
• Stripe, Inc., Hotmart, Yampi, PagSeguro e equivalentes locais: checkout e processamento de pagamentos (PCI-DSS Nível 1).
• UTMify: atribuição de vendas às campanhas de origem.
• Resend / SendGrid: entrega de e-mails transacionais.
• Google Analytics / Plausible: análise agregada de uso.
• Meta, Google Ads, LinkedIn: atribuição e remarketing, somente com consentimento.
• Provedores de IA empresariais (ex.: OpenAI, Anthropic, Google) sob contratos zero-retention para geração de planos personalizados.
• Contadores, advogados e auditores sob dever de sigilo profissional.
• Autoridades competentes em cumprimento à ordem legal, com escopo mínimo necessário.
• Sucessores em caso de reorganização societária: mantendo as garantias desta Política.

Não vendemos dados pessoais a brokers, redes publicitárias ou terceiros para fins comerciais alheios à entrega da Plataforma. A lista atualizada de subprocessadores pode ser solicitada ao DPO.

A natureza global da Plataforma implica transferências de dados entre países. Quando o país de destino não oferecer nível de proteção considerado adequado pela autoridade da jurisdição do Titular, utilizamos salvaguardas reconhecidas:

• UE / EEE: Cláusulas Contratuais Padrão (SCCs) da Comissão Europeia 2021/914 e Avaliação de Impacto de Transferência (TIA) quando aplicável.
• Reino Unido: International Data Transfer Agreement (IDTA) ou Addendum às SCCs da UE.
• Suíça: SCCs reconhecidas pelo FDPIC.
• Brasil: base autorizativa do Art. 33 da LGPD, com cláusulas-padrão da ANPD e/ou garantias contratuais específicas.
• Outros países: instrumentos equivalentes previstos na legislação local.

Em todos os casos, aplicamos medidas suplementares (criptografia em trânsito e em repouso, pseudonimização, controle de acesso por função). O Titular pode solicitar cópia das salvaguardas aplicáveis ao seu caso pelo canal do DPO.

Mantemos dados pessoais apenas pelo tempo necessário para cumprir as finalidades declaradas, observando os seguintes prazos mínimos:

• Conta ativa: enquanto durar a relação contratual.
• Após cancelamento: 30 dias para exportação de dados pelo Titular.
• Registros fiscais e contábeis: prazo legal aplicável (em regra, 5 anos no Brasil, até 10 anos em países da UE).
• Logs de segurança e auditoria: 6 meses, ampliáveis em caso de investigação em curso (Art. 15 do Marco Civil da Internet, quando aplicável).
• Defesa em processos: até o trânsito em julgado ou extinção do procedimento, mais o prazo prescricional aplicável.

Findos os prazos, os dados são eliminados ou anonimizados de forma irreversível. Mediante solicitação, o Consylion fornece certificado de eliminação.

• Criptografia: TLS 1.3 em trânsito; AES-256-GCM em repouso para dados sensíveis.
• Isolamento multi-tenant: Row Level Security (RLS) ativa em 100% das tabelas sensíveis; dados de um Aluno são matematicamente inacessíveis para qualquer outro.
• Controle de acesso: princípio do menor privilégio, autenticação multifator obrigatória para a equipe interna.
• Monitoramento: detecção de anomalias, alertas em tempo real e revisão periódica de logs.
• Resposta a incidentes: plano formal com notificação a autoridades em até 72 horas (GDPR/LGPD) e comunicação ao Titular sempre que houver risco relevante.

Nenhum sistema é 100% seguro. O Titular deve manter suas credenciais sob sigilo, ativar autenticação de dois fatores e notificar imediatamente qualquer suspeita de acesso indevido pelo e-mail security@consylion.org.

O Titular pode exercer, conforme a legislação aplicável:

• Acesso aos dados tratados e confirmação da existência de tratamento.
• Retificação de dados incompletos, inexatos ou desatualizados.
• Eliminação (direito ao esquecimento), respeitadas obrigações legais de retenção.
• Portabilidade em formato estruturado e interoperável (JSON, CSV).
• Oposição ao tratamento fundado em interesse legítimo.
• Restrição do tratamento em hipóteses previstas em lei.
• Revogação de consentimento, sem efeitos retroativos.
• Revisão de decisões automatizadas, quando aplicável.
• Não discriminação pelo exercício de direitos (CCPA/CPRA).
• Opt-out de venda / compartilhamento, incluindo via Global Privacy Control (CCPA/CPRA).
• Reclamação perante autoridade de controle (Seção 17).

Para exercer seus direitos, envie solicitação para dpo@consylion.org. Responderemos no prazo de 15 dias (LGPD), 30 dias (GDPR/UK GDPR, prorrogáveis por mais 60 dias em casos complexos), 45 dias (CCPA/CPRA, prorrogáveis por mais 45 dias) ou prazo equivalente em sua jurisdição. Podemos solicitar comprovação de identidade para evitar atendimento a terceiros não autorizados.

A Plataforma não se destina a menores. Não coletamos intencionalmente dados de crianças abaixo da idade mínima de consentimento digital aplicável: 13 anos nos EUA (COPPA), 13 a 16 anos na UE conforme o país, 13 anos no Reino Unido, 18 anos na África do Sul (POPIA) e demais limites locais. Caso identifiquemos tratamento involuntário de dados de menor, os dados serão excluídos imediatamente. Pais ou responsáveis que identifiquem esta situação devem nos contatar.

A Plataforma pode conter links para sites e serviços de terceiros, cujas práticas de privacidade não são governadas por esta Política. Recomendamos a leitura das políticas de privacidade de cada terceiro com quem o Titular interagir.

Podemos atualizar esta Política periodicamente para refletir mudanças no serviço, em subprocessadores ou na legislação aplicável. Alterações materiais serão notificadas com antecedência mínima de 30 dias por e-mail e pela Plataforma. O uso continuado após o prazo de notificação constitui aceitação da versão atualizada. Versões anteriores estão disponíveis mediante solicitação ao DPO.

Se considerar que o tratamento de seus dados pessoais viola a legislação aplicável, o Titular tem direito de apresentar reclamação perante a autoridade competente de sua jurisdição, em especial:

• Brasil: Autoridade Nacional de Proteção de Dados (ANPD) — anpd.gov.br.
• UE / EEE: autoridade nacional de proteção de dados (CNIL na França, BfDI na Alemanha, AEPD na Espanha, Garante na Itália, AP na Holanda, DPC na Irlanda, entre outras).
• Reino Unido: Information Commissioner's Office (ICO) — ico.org.uk.
• Suíça: Federal Data Protection and Information Commissioner (FDPIC).
• EUA: Califórnia Privacy Protection Agency (CPPA), Federal Trade Commission (FTC) e procuradorias estaduais.
• Canadá: Office of the Privacy Commissioner (OPC).
• México: INAI.
• África do Sul: Information Regulator.
• Nigéria: Nigéria Data Protection Commission (NDPC).
• Quênia: Office of the Data Protection Commissioner (ODPC).
• Demais países: autoridade nacional competente.

Antes de recorrer à autoridade, encorajamos o Titular a contatar nosso DPO para tentativa de resolução amigável.

Para qualquer questão relacionada a esta Política ou ao tratamento de seus dados:

• Encarregado de Dados (DPO): dpo@consylion.org
• Segurança: security@consylion.org
• Jurídico: legal@consylion.org
• Suporte: team@consylion.org
• Endereço postal: A.C.E System LTDA, Setor de Grandes Áreas Sul (SGAS), Quadra 915, s/n, Bloco D, Sala 103, Parte CH, Plano Piloto, Brasília/DF, CEP 70390-150, Brasil.