Política de privacidade

Última atualização: 30 de outubro de 2026

Esta política explica como tratamos os dados pessoais quando você usa o Quizhat (quizhat.app), nos termos dos artigos 13 e 14 do Regulamento (UE) 2016/679 (RGPD, Regulamento Geral sobre a Proteção de Dados) e do Codice in materia di protezione dei dati personali (Código italiano de proteção de dados pessoais, Decreto Legislativo 196/2003, conforme alterado pelo Decreto Legislativo 101/2018).

1. Controlador e contatos

O controlador (responsável pelo tratamento) é a FESTALAUREA SRLS, Via Luigi Mascherpa 18, 35131 Padova (PD), Itália, P. IVA e codice fiscale (número de identificação fiscal italiano) 05743150285, REA PD-489570, capital social de € 1.000,00 totalmente integralizado, que administra o Quizhat.

• E-mail: info@quizhat.app (para qualquer dúvida sobre privacidade e para exercer os seus direitos)
• PEC (e-mail certificado): festalaurea@pec.it

Não designamos um encarregado da proteção de dados (DPO), porque para a nossa atividade isso não é obrigatório (art. 37 do RGPD): para qualquer solicitação, você pode usar os contatos acima.

2. Os dois papéis do Quizhat

• Para quem cria uma conta (formadores, professores, entidades, organizadores de eventos) somos controladores dos dados da conta: decidimos como e por que tratá-los, dentro dos limites descritos aqui.
• Para quem participa de um quiz, o controlador é quem organiza a sessão (a entidade de formação, a empresa, a escola, quem organiza o evento). O Quizhat trata esses dados por conta dele e de acordo com as suas instruções, como operador (subcontratante, art. 28 do RGPD), com base no Acordo de tratamento de dados que faz parte dos Termos de serviço. O organizador decide quais dados solicitar, para qual finalidade e com qual base jurídica, e deve fornecer a você as suas próprias informações sobre privacidade. Se você é participante e deseja exercer os seus direitos, dirija-se ao organizador; se escrever para nós, encaminhamos a solicitação ao organizador e o ajudamos a responder.

3. Quais dados tratamos

Conta (formadores e organizadores)

• Dados de cadastro: nome, e-mail e senha. A senha é salva apenas como impressão digital criptográfica (hash Argon2): não podemos lê-la.
• Login com Google ou Microsoft, se você escolher: recebemos do provedor o seu nome, o endereço de e-mail e um identificador da conta. Não recebemos a senha nem acesso a outros dados da sua conta Google ou Microsoft.
• Dados do plano: plano escolhido, vencimento do período de teste, status da assinatura, contadores de uso (por exemplo, os usos das funções de IA no mês e o seu consumo, para controlar os custos), data e hora em que, antes do pagamento, você aceitou os Termos (com a respectiva versão) e solicitou o início imediato do serviço, como prova da solicitação.
• Canal de chegada: o primeiro canal pelo qual a conta chegou (por exemplo, Google, LinkedIn, fim de partida), para entender quais canais funcionam. Não recebemos dados pessoais de terceiros; é excluído junto com a conta.
• Dados de faturamento (planos pagos): nome ou razão social, endereço, país, número de IVA ou codice fiscale (número de identificação fiscal italiano), código de destinatário SDI ou PEC, os identificadores de cliente e de assinatura da Stripe e as faturas. Os dados do cartão são tratados diretamente pela Stripe: o Quizhat não os vê nem os armazena.
• Dados da organização, se você os inserir: nome da entidade ou do escritório e logotipo, que aparecem em atas, certificados e na tela; cursos, pastas dos clientes (nome da empresa cliente, número de IVA e pessoa de contato, se você os informar).
• Os seus conteúdos: quizzes, perguntas, imagens enviadas, links para vídeos do YouTube, documentos e textos que você envia às funções de IA, coleções, relatórios das sessões.
• Biblioteca pública: se um quiz seu for público, ao lado do quiz aparece o nome da conta como autor (é a atribuição exigida pela licença CC BY). Se preferir, você pode usar como nome da conta o nome de uma entidade ou um pseudônimo.
• Denúncias: se você denunciar um quiz da biblioteca, registramos o motivo, o nome e o e-mail se você os informar (para comunicar o resultado) e, se você tiver feito login, a sua conta.
• Comunicações: os e-mails que você nos escreve e as nossas respostas.

Participantes (por conta do organizador)

• O apelido escolhido para jogar, o avatar e a eventual equipe.
• No modo Prova e quando o organizador solicitar: nome, sobrenome e os demais campos que o organizador escolher (por exemplo, empresa ou número de matrícula).
• As respostas dadas, os tempos de resposta, a pontuação, o resultado e as tentativas.
• Se o organizador solicitar, a avaliação opcional deixada ao final do quiz: de 1 a 5 estrelas e um breve comentário livre, que o organizador vê no relatório.
• No modo Prova: os eventos da sessão (entrada, saída, entrega) e o número de vezes que o participante saiu da página durante o teste, que o organizador vê no relatório e na ata.
• Se o organizador carregar uma lista de inscritos: nome, sobrenome, empresa e, eventualmente, o e-mail, com um link pessoal para o teste; se o organizador solicitar, enviamos o link por e-mail.
• Se o organizador gerar um certificado: nome, curso, data e resultado, com um código que permite a quem o possui verificar a sua validade em uma página pública (não indexada pelos mecanismos de busca).
• Follow-up de eficácia (plano Organização): se o organizador o programar, declarando ter informado os participantes, alguns meses depois do curso enviamos aos inscritos, por e-mail, um breve questionário opcional.

Para participar não é necessária uma conta e o Quizhat não pede e-mail ou telefone, a menos que o organizador os insira.

Dados técnicos e de navegação

Para fazer o site funcionar e protegê-lo, os nossos sistemas tratam dados técnicos como o endereço IP, o tipo de navegador, a data e a hora das solicitações. Os endereços IP usados para limitar as tentativas de login e os cadastros repetidos ficam apenas na memória do servidor, por no máximo uma hora. No dispositivo salvamos apenas cookies e armazenamento técnicos, descritos na Política de cookies. As estatísticas de visitas são coletadas com o GoatCounter, instalado em nossos servidores, sem cookies e sem armazenar o endereço IP. Não fazemos criação de perfis nem publicidade.

Fornecer os dados da conta é necessário para usar as funções reservadas: sem eles, não podemos criar a conta. Os dados de faturamento são necessários para comprar um plano pago, manter a escrituração contábil e emitir a fatura (sempre para empresas e profissionais, mediante solicitação para pessoas físicas).

4. Finalidades e bases jurídicas (conta e site)

• Fornecer o serviço: conta, login, criação dos quizzes, sessões ao vivo, relatórios, atas, certificados, suporte. Base: execução do contrato (art. 6.1.b do RGPD).
• E-mails de serviço: confirmação do endereço, boas-vindas com as instruções para começar, redefinição de senha, alertas de segurança (senha ou e-mail alterados, novo método de login), confirmação de exclusão da conta, comunicações sobre plano e termos. Base: execução do contrato e interesse legítimo na segurança das contas. Não enviamos newsletters nem e-mails promocionais.
• Pagamentos, faturamento e contabilidade: base: contrato (art. 6.1.b) e obrigações legais fiscais e contábeis (art. 6.1.c).
• Funções de IA (geração de perguntas, perguntas a partir de um documento, tradução): base: execução do contrato, apenas quando é você quem as usa.
• Biblioteca pública: publicar os quizzes públicos com o nome do autor. Base: contrato (é a escolha de visibilidade do plano e a licença CC BY que você aceita).
• Segurança, prevenção de abusos e gestão de denúncias, incluindo os limites às tentativas de login e a remoção de conteúdos ilícitos: base: interesse legítimo (art. 6.1.f) e obrigações legais (Regulamento (UE) 2022/2065 relativo aos serviços digitais).
• Estatísticas anônimas de visitas, para entender quais páginas são úteis: base: interesse legítimo (art. 6.1.f); a ferramenta não usa cookies e não identifica os visitantes.
• Defesa dos nossos direitos em caso de contestações: interesse legítimo (art. 6.1.f).

Não tomamos decisões baseadas exclusivamente em tratamentos automatizados que produzam efeitos jurídicos sobre você (art. 22 do RGPD). No modo Prova a pontuação é calculada automaticamente, mas o resultado da avaliação e as suas consequências são decididos pelo organizador do curso.

5. Fornecedores e destinatários

Os dados não são vendidos nem usados para publicidade. Acessam os dados apenas as pessoas da FESTALAUREA SRLS autorizadas e obrigadas à confidencialidade, e os fornecedores abaixo, cada um na medida do necessário. Os fornecedores que tratam dados por nossa conta são designados operadores por meio de contrato (art. 28 do RGPD).

• Aruba S.p.A. (Itália): servidor virtual (Aruba Cloud) em um data center na Itália, onde ficam a aplicação, o banco de dados, as imagens enviadas, os backups e as estatísticas; registro do domínio.
• Resend (Resend, Inc., Estados Unidos): envio dos e-mails de serviço e, a pedido do organizador, dos links para os testes e dos questionários de follow-up. Recebe o endereço do destinatário, o seu nome e o texto da mensagem.
• Anthropic (Anthropic PBC, Estados Unidos, e suas afiliadas): apenas quando um formador usa as funções de IA. Recebe somente o texto ou o documento que o formador envia (por exemplo, uma apostila) ou o quiz a ser traduzido. Os dados dos participantes nunca são enviados. Com base nos termos comerciais da Anthropic, os dados enviados via API não são usados para treinar os modelos. Pedimos que você não insira dados pessoais nos documentos e textos enviados à IA.
• Stripe (Stripe Payments Europe, Limited, Irlanda): pagamentos, assinaturas, faturas e portal de gerenciamento da assinatura. Recebe nome, e-mail, endereço de faturamento, dados fiscais e de pagamento. Para a prevenção de fraudes e as obrigações legais do setor de pagamentos, a Stripe atua como controlador autônomo, de acordo com a sua política de privacidade.
• Google e Microsoft: apenas se você escolher fazer login com a conta deles. Eles nos comunicam nome, e-mail e identificador da conta; para o login, atuam como controladores autônomos, de acordo com as suas políticas de privacidade.
• YouTube (Google Ireland Limited): apenas nos quizzes em que o autor insere um vídeo, e nos telefones e no editor somente após um toque em «Carregar o vídeo», o player é carregado do YouTube no modo de privacidade aprimorada e o Google recebe o endereço IP do dispositivo (veja a Política de cookies). O Google atua como controlador autônomo.
• Google (Gmail): os e-mails que você envia ao nosso endereço de contato são recebidos na caixa info@quizhat.app.
• Contador e consultores da empresa, para a contabilidade e as obrigações fiscais, e o Sistema di Interscambio (SDI, sistema italiano de faturamento eletrônico) da Agenzia delle Entrate (Receita Federal italiana) para as faturas eletrônicas.
• Autoridades, quando a lei exigir.

As fontes tipográficas são hospedadas em nossos servidores: as páginas não fazem solicitações ao Google Fonts nem a outros serviços de estatísticas ou publicidade.

6. Transferências para fora da União Europeia

O banco de dados, as imagens e os backups permanecem na Itália. Alguns fornecedores (Resend, Anthropic e, para algumas atividades, Stripe, Google e Microsoft) podem tratar dados nos Estados Unidos ou em outros países fora do Espaço Econômico Europeu. Nesses casos, a transferência ocorre apenas com as garantias previstas pelo RGPD: a decisão de adequação da Comissão Europeia sobre o EU-US Data Privacy Framework (Quadro de Privacidade de Dados UE-EUA, art. 45), para os fornecedores certificados, ou as cláusulas contratuais-tipo aprovadas pela Comissão (art. 46), previstas nos acordos de tratamento de dados de cada fornecedor. Você pode nos pedir informações sobre as garantias usadas escrevendo para o endereço de contato.

7. Por quanto tempo conservamos os dados

• Conta e conteúdos: enquanto a conta estiver ativa. Você pode excluir a conta a qualquer momento na página Conta: conta, quizzes, perguntas, imagens, cursos, relatórios e dados dos participantes das suas sessões são excluídos imediatamente (se você tiver uma assinatura ativa, ela deve ser cancelada antes).
• Relatórios das sessões e dados dos participantes: permanecem na conta do organizador enquanto a conta existir, para que ele possa manter o dossiê do curso (os planos Instrutor e Organização incluem o arquivo por 10 anos). No plano gratuito os relatórios podem ser consultados por 30 dias, mas não são excluídos: voltam a ficar visíveis se você mudar para um plano pago. O organizador pode excluir a qualquer momento uma sessão individual do seu relatório («Excluir sessão»): participantes, respostas, pontuações, inscritos, certificados e follow-ups daquela sessão são excluídos imediatamente (dos backups em cerca de 14 dias).
• Dados contábeis e faturas: 10 anos, conforme exigido pela lei (art. 2220 do Codice civile italiano e normas fiscais), mesmo após a exclusão da conta.
• Backups: todas as noites fazemos uma cópia de segurança do banco de dados e das imagens; mantemos as últimas 14 cópias, portanto os dados excluídos desaparecem também dos backups em cerca de 14 dias.
• Sessão de login: 30 dias; depois é preciso fazer login novamente.
• Links por e-mail: o link para redefinir a senha vale 1 hora e o de confirmação do e-mail 48 horas; ambos podem ser usados uma única vez e salvamos apenas a sua impressão digital (hash).
• Logs técnicos do servidor: apenas erros e inicializações (não mantemos um registro dos acessos às páginas), conservados em rotação: os mais antigos são excluídos automaticamente quando se atinge um limite fixo de espaço; não contêm as respostas dos participantes.
• Estatísticas: dados agregados e anônimos, conservados sem limite porque não dizem respeito a pessoas identificáveis.
• E-mails de suporte: pelo tempo necessário para gerenciar a solicitação e as eventuais contestações, em regra não mais de 2 anos.
• Denúncias dos quizzes da biblioteca: pelo tempo necessário para gerenciá-las e para as eventuais contestações; se o quiz for excluído, as suas denúncias são excluídas junto com ele.

8. Segurança

Usamos medidas técnicas e organizativas adequadas: conexões sempre criptografadas (HTTPS), senhas armazenadas apenas como hash Argon2, acesso ao servidor apenas com chave criptográfica e firewall, limites às tentativas de login, controles que impedem que uma conta veja os dados de outra, backups diários. Em caso de violação de dados que represente um risco para as pessoas, avisamos o Garante per la protezione dei dati personali (autoridade italiana de proteção de dados) e, se necessário, os titulares dos dados, nos prazos e nas formas previstos pelos artigos 33 e 34 do RGPD.

9. Os seus direitos

Você pode solicitar a qualquer momento:

• acessar os seus dados e receber uma cópia deles (art. 15);
• corrigi-los ou completá-los (art. 16);
• excluí-los (art. 17), inclusive excluindo a conta na página Conta;
• limitar o seu tratamento (art. 18);
• recebê-los em um formato estruturado e legível, ou fazer com que sejam transmitidos a outro fornecedor (portabilidade, art. 20): na página Conta você pode baixar os seus dados em formato JSON;
• opor-se aos tratamentos baseados no interesse legítimo (art. 21).

Escreva para info@quizhat.app: respondemos sem demora e, em qualquer caso, em até um mês (prorrogável por dois meses nos casos complexos, com aviso a você). Podemos pedir que você confirme a sua identidade. Se considerar que os seus dados são tratados em violação do RGPD, você pode apresentar uma reclamação ao Garante per la protezione dei dati personali (autoridade italiana de proteção de dados, art. 77) ou recorrer à autoridade judicial.

Se você é participante, para os dados coletados em uma sessão dirija-se primeiro ao organizador, que é o controlador: nós o ajudamos a responder.

10. Menores

As contas são reservadas a maiores de idade que usam o Quizhat para trabalho, estudo ou para organizar um evento. Os estudantes, inclusive menores de idade, podem participar dos quizzes sem conta sob a responsabilidade da escola ou do professor que organiza a sessão, que é o controlador dos seus dados, decide quais dados solicitar e avalia a respectiva base jurídica. Para os menores, recomendamos usar apenas um apelido que não permita identificá-los.

11. Alterações

Podemos atualizar esta política, por exemplo quando mudarem as funções do serviço ou os fornecedores. A data da última atualização está no topo da página; para alterações importantes, avisamos por e-mail quem tem uma conta.