Política de Privacidade

Política de Privacidade

Este documento explica diretamente que dados coletamos, com quem os compartilhamos e por quanto tempo os mantemos. Sem rodeios – mencionamos empresas específicas porque suas gravações realmente vão para elas. O princípio mais importante: não deletamos seus dados por nossa conta – permanecem enquanto sua conta existe e desaparecem apenas quando você solicita.

1. Quem é responsável pelos dados

O controlador de dados (e também o vendedor de planos pagos) é Filip Biskupski, operando um negócio não registrado (art. 5 da lei polonesa de 6 de março de 2018 – Prawo przedsiębiorców, Lei dos Empreendedores), sem NIP nem REGON. Forneceremos um endereço de correspondência mediante solicitação enviada para o e-mail abaixo. Contato: <a href="mailto:support@biskupski.site">support@biskupski.site</a>. Para assuntos relacionados aos seus dados, escreva para este endereço.

O aplicativo ClassFlowy no Android é publicado na Google Play pela Media Gears (conta de desenvolvedores) em nome do controlador. A Media Gears não tem acesso aos seus dados no ClassFlowy e não os processa – Filip Biskupski permanece como controlador de dados, conforme acima.

2. Que dados coletamos

• Conta: endereço de e-mail, nome de usuário, nome de exibição opcional, hash de senha criptografado, data de criação e último acesso da conta, e idioma da conta (escolhido em Configurações ou o idioma da página onde você se registrou) – usamos para enviar e-mails, o assistente e o Auxiliar respondem nele, a página de pagamento abre nele.
• Entrar com Google ou Apple (somente se você escolher este método): do Google ou da Apple recebemos o ID da sua conta nesse provedor, seu endereço de e-mail (Google – também se ele está verificado; Apple – pode ser um endereço de relay privaterelay.appleid.com) e seu primeiro nome (Google – do seu perfil; Apple – somente no primeiro login e apenas se você o compartilhar), que usamos somente para sugerir um nome de usuário. Guardamos o ID, o último endereço no provedor, o nome e as datas de conexão e de último uso – para reconhecer você na próxima vez que entrar. Com o login pela Apple, também podemos guardar um refresh token criptografado da Apple, somente para podermos revogar o acesso do ClassFlowy à sua conta da Apple quando você excluir sua conta. Excluímos esses dados quando você desconecta o método nas Configurações ou junto com a sua conta.
• Registro antes de clicar no link: endereço de e-mail, nome de usuário, hash de senha criptografado, declaração de idade, e idioma da página onde você se registrou (no qual enviamos o link) – apenas para confirmar seu e-mail, máximo 48 horas.
• Materiais: gravações de áudio e vídeo, fotos do quadro, arquivos e notas que você envia, e livros didáticos (PDF, EPUB, ou fotos de páginas) da sua estante.
• Resultados do processamento: transcrições de gravações, texto lido de fotos, descrições de aula, texto das páginas de livros didáticos com números de página.
• Conversas com o assistente: suas perguntas, respostas do modelo e a "memória" do assistente – fatos que aprendeu sobre seus estudos.
• Relatórios de resposta do assistente: quando clica "Relatar" em uma resposta, salvamos uma cópia dessa resposta e sua pergunta anterior, o motivo selecionado e seu comentário – para que o administrador possa revisar. O relatório desaparece com sua conta.
• Cronograma de aula e calendário: disciplinas, horários, atribuição de materiais às aulas.
• Auxiliar (chat de ajuda): suas mensagens para o Auxiliar e respostas do bot ou consultor, e quando o bot faz um relatório – seu conteúdo, seu plano e se você escreveu do website ou do aplicativo. Sem conta: um identificador aleatório no cookie <code>work_help</code> e seu endereço de e-mail se você o fornecer no relatório. Para contar o limite diário de mensagens sem conta, usamos um hash criptográfico de um dia do seu endereço IP – não salvamos o próprio endereço. Detalhes na seção "Auxiliar (chat de ajuda)" abaixo.
• Técnico: seu endereço IP ao fazer login, registrar, enviar mensagens ao assistente e fazer upload de materiais (proteção contra bots e abuso), contador de uso de limites.
• Notificações do servidor (apenas se habilitar "Processamento de materiais concluído" ou "Resposta do assistente pronta" no aplicativo móvel): token do dispositivo – um identificador de instalação do aplicativo atribuído pelo Firebase Cloud Messaging – com o tipo de sistema operacional (Android ou iOS), a sessão de login da qual o telefone o reportou, e data do relatório e último envio; mais um breve log de sinais enviados (tipo, identificador de aula ou conversa, hora) – sem conteúdo, apenas para evitar enviar muitas notificações.
• Pagamentos (se compra um plano ou pacote): o que compra, o valor, status e datas de pagamento, e IDs de pagamento e assinatura no gateway de pagamento. Não vemos números de cartão, dados BLIK ou credenciais bancárias.
• Link de parceiro (apenas se abrir ClassFlowy pela primeira vez por um link de parceiro e criar conta no prazo de 30 dias): qual era esse link e quando a conta foi atribuída a ele, e os registros de pagamento necessários para os acertos de contas com o parceiro. Apenas o administrador ClassFlowy os vê – o parceiro não recebe nenhum dado de usuários.

Não coletamos dados de localização, não o rastreamos em outros sites, não temos anúncios nem análises externas.

3. Turmas e compartilhamento

Compartilhamos com outras contas apenas conhecimento, nunca arquivos. Aqui está exatamente o que uma turma, uma pessoa com uma disciplina compartilhada e um destinatário de link veem – e o que ninguém vê.

• Ninguém vê transcrições brutas, leituras de fotos ou texto de documentos – nem você. A IA a processa para escrever uma nota de aula, mas o texto lido em si não sai do servidor: não na interface, não no chat, não através de um assistente conectado, não nos resultados de pesquisa. Você sempre pode ouvir, visualizar ou baixar seu próprio arquivo – não verá o texto lido dele. A exceção é uma nota escrita à mão: seu conteúdo são suas próprias palavras, então você o vê. A segunda exceção são livros didáticos: o texto de suas páginas é conteúdo do livro didático em si, não de sua aula, então você o vê na visualização de páginas, o assistente o usa, e as pessoas com as quais você compartilha a disciplina também o veem (veja abaixo).
• Uma nota de aula é sem perdas, não é um resumo. Contém todo o conhecimento da aula – definições, exemplos com soluções, metáforas, citações, lição de casa – organizado por tópico. Pretende substituir a gravação, então não tem marcas de tempo nem lista de materiais.
• Turma recebe apenas a nota de aula compartilhada, compilada a partir dos materiais dos membros que não são privados e vêm de disciplinas que você compartilha com ela, mais itens do seu cronograma de aula (disciplina, dia, número da aula, sala, professor) das disciplinas que você compartilha com ela. Por padrão, a turma não recebe nada de você: você compartilha apenas as disciplinas que marca nas configurações de turma, e apenas delas você recebe notas compartilhadas. Se ingressou na turma antes da entrada em vigor desta versão da política, você compartilha todas as suas disciplinas exceto as excluídas, até passar para marcar disciplinas. Ninguém – inclusive nós – mostra quem contribuiu com o quê ou de quem é um item de cronograma. Apenas o proprietário vê arquivos.
• Material privado alimenta apenas sua própria nota – nunca uma nota de turma ou qualquer compartilhamento. Uma nota que alguém lhe enviou é tratada da mesma forma: não pode ser compartilhada adiante.
• Disciplina compartilhada e link de aula mostram apenas a nota a compartilhar – nunca arquivos, materiais ou notas adicionais. Uma disciplina compartilhada também mostra seus itens do seu cronograma de aula, sem o resto de seu cronograma. A única adição a uma disciplina compartilhada (e na turma): texto de página de livro didático vinculado a essa disciplina – o destinatário pode navegá-los e perguntar ao assistente sobre eles. Ele não baixará o arquivo do livro didático, e um link de aula não mostra a aula do livro didático. Quando seu plano parar de incluir livros didáticos ou arquivar um livro didático, os destinatários param de vê-lo. Quando abre um link de aula estando logado, a aula vai para sua conta, e a pessoa que a compartilhou vê seu nome de usuário na lista de pessoas com acesso (e pode revogá-lo). Abrir o link salva um cookie de acesso técnico para essa aula específica no seu navegador – detalhes na <a href="/cookies">política de cookies</a>.
• Conversa compartilhada com o assistente é visível para qualquer pessoa com seu link (também sem conta) até desativar – o link mostra uma cópia de suas perguntas e respostas do assistente no momento do compartilhamento, sem anexos, fotos, nome de usuário ou endereço de e-mail.
• Uma aula enviada para um colega (por nome de usuário, e-mail ou link) vai para seu calendário como sua própria nota de texto. É uma cópia – fica com ele mesmo se deletar sua conta.
• Sair de uma turma, excluir uma disciplina, desativar o compartilhamento ou deletar sua conta recalcula imediatamente as notas compartilhadas da turma do zero, sem sua contribuição – sem aviso e sem solicitar consentimento. Essa é a única forma de garantir que material retirado realmente desaparece.

4. Por que e em que base

• Manutenção de sua conta e prestação do serviço – porque o acordo entre nós cobre (art. 6(1)(b) do GDPR (Regulamento (UE) 2016/679)).
• Processamento de materiais por IA (transcrição, leitura de fotos, descrições de aula, respostas do assistente) – este é o cerne do serviço que você solicita ao enviar um arquivo ou fazer uma pergunta; base conforme acima.
• Proteção contra bots e abuso, e monitoramento de limites – nosso interesse legítimo (art. 6(1)(f) do GDPR).
• Auxiliar – respostas a perguntas sobre o serviço, relatórios e conversa com um consultor: com conta – execução do contrato (art. 6(1)(b) do GDPR (Regulamento (UE) 2016/679)); sem conta – nosso interesse legítimo em responder perguntas sobre o serviço (art. 6(1)(f) do GDPR).
• Envio de e-mails de conta (link de configuração de conta, confirmação de endereço, redefinição de senha) – execução do contrato. Não enviamos newsletters nem anúncios.
• Notificações sobre nota de aula pronta e resposta do assistente pronta – execução do contrato, apenas quando habilita no aplicativo; pode desativar a qualquer momento em Configurações → Notificações.
• Processamento de pagamentos de planos e pacotes – execução do contrato; manutenção de registros de pagamento – obrigação legal de leis de contabilidade e tributárias (art. 6(1)(c) do GDPR).
• Link de parceiro – atribuir conta nova ao link de parceiro através do qual alguém chegou a nós pela primeira vez, e acertos de contas com parceiros – nosso interesse legítimo (art. 6(1)(f) do GDPR).

Não tomamos decisões sobre você baseadas apenas em processamento automatizado que teria efeitos legais ou a impactasse significativamente (art. 22 do GDPR), e não a perfilamos para marketing. O único mecanismo de decisão automática é um sistema anti-bot que pode rejeitar um login, registro, redefinição de senha ou – sem conta – sua primeira mensagem para o Auxiliar se suspeitar de atividade de bot – avalia apenas sinais técnicos do navegador, não você como pessoa, e a IA gera materiais apenas a seu pedido, nunca automaticamente.

5. Com quem compartilhamos dados

Estas são entidades que realmente recebem seu conteúdo. Vale a pena saber antes de enviar uma gravação:

• DeepInfra (EUA) – reconhece falantes nas gravações, melhora a transcrição deles e, quando o Soniox falha ou não oferece suporte ao idioma da aula, ela mesma processa gravações em texto; lê fotos do quadro e páginas de livro didático de fotos ou digitalizações, descreve ilustrações de livros didáticos, conta similaridade de conteúdo para busca e gera respostas do assistente. O conteúdo de materiais e conversas vai para lá, inclusive conversas do Auxiliar (chat de ajuda), e para conversas – também o idioma em que o modelo deve responder (de conta ou navegador). Os modelos padrão (incluindo Qwen, DeepSeek, Nvidia Nemotron) são hospedados diretamente por DeepInfra – ela não os passa para Google ou outros fabricantes de modelos, o que é especialmente importante para fotos de notas de menores de idade. As únicas exceções são as opções "Sonnet" e "Opus" no chat – veja o próximo ponto. Modelos GPT não passam pela DeepInfra: veja o ponto sobre a OpenAI. Quando você clica em “Ler em voz alta”, a DeepInfra também recebe o texto dessa resposta e o transforma em áudio (modelo Chatterbox); mantemos o áudio gerado apenas na memória do servidor, por no máximo uma hora, e não o gravamos em disco.
• Anthropic PBC (EUA), através de DeepInfra – apenas e exclusivamente quando escolhe a opção "Sonnet" ou "Opus" (modelos Claude Sonnet e Claude Opus) no chat. Seu conteúdo de conversa vai para lá: suas mensagens, fotos anexadas a elas e fragmentos de notas e materiais que o assistente usou para responder. Nos níveis Flash, Pro e Max e em todas as outras funções ClassFlowy (transcrição, leitura de fotos, descrições de aula, busca), nada vai para Anthropic, e quando um modelo Claude falha, a resposta é concluída por um modelo hospedado por DeepInfra, nunca outro modelo Anthropic. Anthropic processa esses dados de acordo com sua própria política de privacidade.
• Soniox (Soniox Inc., EUA) – converte fala em texto. Gravações e materiais com áudio, inclusive o áudio de vídeos: nosso servidor envia ao Soniox o arquivo de áudio com um nome aleatório, com uma lista de idiomas a reconhecer, sem longos trechos de silêncio; o Soniox não recebe seu e-mail, apelido nem identificador de conta. Assim que o texto volta para nós, excluímos imediatamente no Soniox o arquivo e a sua transcrição. Se isso não der certo, tentamos de novo automaticamente após algumas horas, e o próprio Soniox exclui esses dados no máximo após 30 dias. Respostas ao vivo, somente quando você ativa a escuta por conta própria (a partir do plano Plus): o som do microfone e o texto gerado a partir dele fluem diretamente entre o seu dispositivo e o Soniox, por meio de um ticket de curta duração emitido pelo nosso servidor. O Soniox também recebe o endereço IP do dispositivo, os idiomas a reconhecer e um identificador de sessão aleatório, mas não seu e-mail, apelido ou identificador de conta, e, segundo a política de privacidade dele, não armazena esses dados de voz ao vivo. Anotações ao vivo, somente quando você ativa a gravação na anotação: o som do microfone flui diretamente do seu dispositivo para o Soniox, por meio de um ticket de curta duração emitido pelo nosso servidor; o Soniox recebe o endereço IP do dispositivo, os idiomas a reconhecer e um identificador de sessão aleatório, mas não seu e-mail, apelido ou identificador de conta, e, segundo a política dele, não armazena o áudio da fala ao vivo; para nós volta apenas o texto. Segundo a documentação do Soniox, ele não usa o áudio nem o texto dessas sessões para treinar modelos.
• OpenAI (OpenAI Ireland Ltd. e empresas da OpenAI nos EUA) – somente em dois casos que você escolhe: quando você ativa a conversa por voz com o assistente ou quando escolhe um modelo GPT no chat (Luna, Terra, Sol, Astra). Na conversa por voz, o áudio flui diretamente entre o seu dispositivo e a OpenAI, por isso a OpenAI também recebe o endereço IP do dispositivo. Nos dois casos, ela recebe o conteúdo da conversa e o contexto repassado: seu nome ou apelido, o idioma, suas disciplinas, as próximas tarefas de casa e provas, o que o assistente lembra sobre você, as últimas mensagens da conversa, as fotos anexadas às mensagens e o que o assistente busca nos seus dados para responder (por exemplo, calendário, notas, transcrições de materiais e, se você conectar o diário eletrônico, também as alterações dele). Segundo a documentação da OpenAI, os dados enviados pela API não são usados por padrão para treinar modelos, e os registros de detecção de abuso são mantidos por até 30 dias. Sem essas duas escolhas, nada das suas conversas ou materiais vai para a OpenAI por esse caminho; um assistente que você mesmo conecta é outro assunto, descrito abaixo.
• Hetzner (Alemanha) – o servidor onde o aplicativo e banco de dados são executados. Seus arquivos estão aqui.
• Resend (EUA) – envia e-mails de conta (link de configuração de conta, confirmação de endereço, redefinição de senha) quando a chave Resend está definida no servidor – é assim hoje em produção porque Hetzner (veja abaixo) bloqueia portas SMTP de saída por padrão. Sem essa chave, o mesmo e-mail é enviado diretamente por Namecheap Private Email (EUA) via SMTP do endereço system@biskupski.site. Em ambos os casos, o provedor recebe seu endereço de e-mail e o conteúdo dessa única mensagem de sistema, nunca conteúdo de material. Pelo mesmo caminho vai uma mensagem para o administrador sobre um novo relatório do Auxiliar – com o conteúdo do relatório e o e-mail da pessoa que o enviou.
• Anty Bot (antybot.biskupski.site) – proteção contra bots. Verifica login, registro e redefinição de senha (abertamente, pode rejeitar tentativas) e, em segundo plano e sem bloquear ninguém, mensagens para assistente e carregamento de materiais (para pegar abuso automatizado de limites). Também verifica, uma vez por conversa e invisívelmente, a primeira mensagem para o Auxiliar no site – sem conta pode rejeitá-la. Recebe apenas sinais técnicos do navegador e endereço IP – nunca conteúdo de material ou conversa.
• Tavily (EUA) – busca na web e recuperação de conteúdo de página. Em uma conversa, o assistente também o usa sem pedido separado quando necessário: quando a informação pode ter mudado, quando é preciso checar um fato, data ou nome, ou quando a pergunta vai além dos seus materiais. Recebe o conteúdo da consulta (e ao abrir uma página específica – seu endereço), seu ID de conversa e um hash criptográfico irreversível do seu ID de conta – dados técnicos que permitem ao provedor limitar abuso, não podem ser usados para recuperar seus dados. Ao criar a descrição de uma aula, o modelo também pode enviar ao Tavily uma consulta curta sobre um sobrenome ou nome próprio, para verificar se ele está escrito corretamente em uma gravação ou foto. Datas, números, termos e conceitos não são verificados dessa forma. Essa consulta não deve conter dados pessoais: filtramos os nomes de alunos e professores, o nome da escola e da turma e citações longas dos materiais, e o Tavily então não recebe nenhum ID da sua conta ou da conversa. Os resultados servem apenas para corrigir a grafia; não acrescentamos à descrição nenhuma informação nova vinda deles.
• Gateway de Pagamento (platnosci.biskupski.site) – o sistema de pagamento operado pelo proprietário ClassFlowy, apenas quando compra algo. Recebe seu ID de conta, endereço de e-mail, o que e quanto está comprando, e o idioma em que a página de pagamento deve abrir (do idioma de sua conta).
• Stripe – operador de pagamento através do qual o gateway aceita dinheiro. Você fornece dados de cartão, BLIK ou Przelewy24 diretamente no website do Stripe; Stripe os processa de acordo com sua própria política de privacidade, e esses dados não chegam ao ClassFlowy.
• Google (serviço Firebase Cloud Messaging, EUA) – entrega notificações push para seu telefone, apenas se habilitar "Processamento de materiais concluído" ou "Resposta do assistente pronta" no aplicativo (ambos desabilitados por padrão). Recebe o token do dispositivo (ID de instalação do aplicativo) e um sinal vazio: tipo de evento e um ID aleatório de aula ou conversa (e quando o telefone se conecta a este serviço – seu endereço IP). Nunca conteúdo de material, notas, transcrições, nomes de disciplinas, títulos ou conversas – o texto de notificação é montado pelo próprio telefone após buscar dados do nosso servidor. Lembretes sobre lição de casa e testes continuam sendo agendados pelo próprio telefone, sem Google. Sem habilitar essas notificações, o aplicativo não se conecta ao Firebase.
• Google (Google Sign-In, EUA) e Apple (login com a Apple, EUA) – somente se você entrar ou criar uma conta dessa forma. Redirecionamos você para a página do provedor (ou o app abre a janela de login dele), e o provedor confirma sua identidade para nós com os dados descritos acima. Enviamos ao provedor somente o que o login exige (o ID do app do ClassFlowy, um código de uso único) e, para a Apple – quando você exclui sua conta ou desconecta a Apple – um pedido de revogação de acesso. Não compartilhamos com eles conteúdo de materiais ou conversas. Google e Apple tratam os dados da sua conta do lado deles como controladores independentes, sob as próprias políticas de privacidade.
• Um assistente de IA que você conecta (por exemplo, Claude – Anthropic, ChatGPT – OpenAI, Gemini – Google) – apenas com seu consentimento; detalhes abaixo.

"Para que a nota de aula possa distinguir entre expressões de professor e aluno, a gravação também passa por reconhecimento de falante (modelo Nemotron, DeepInfra), que marca fragmentos como "professor" ou "aluno 1, 2, 3…". Esta distinção funciona apenas dentro de uma única gravação – não salvamos nomes nem características de voz, então nenhuma marca está vinculada a uma pessoa específica ou outra gravação; as marcas vão apenas para a nota."

Fotos do quadro ou notas são lidas não por um modelo, mas vários de uma vez – todos hospedados por DeepInfra – e suas leituras são combinadas em um texto por outro modelo DeepInfra, que recebe apenas as leituras em si (não a foto) e não faz palpites sobre nada que não esteja em pelo menos um deles. Vários modelos de uma vez cometem menos erros sobre números e datas do que um único modelo.

Quando a DeepInfra transcreve a gravação, em uma aula de língua estrangeira, um fragmento de gravação que o reconhecimento de fala ouviu primeiro como polonês é verificado novamente com o idioma da aula forçado (e vice-versa) – dessa forma sentenças em um idioma estrangeiro não se perdem no reconhecimento, que por padrão "ouve" polonês.

Transferência fora da Área Econômica Europeia (EEE): DeepInfra, Anthropic (apenas com as opções "Sonnet" e "Opus"), Namecheap/Resend, Tavily e Google (Firebase Cloud Messaging – apenas quando habilita notificações do servidor) operam nos EUA, fora do EEE. Transferimos dados para eles com base em suas cláusulas contratuais padrão (um mecanismo de segurança previsto no art. 46 do GDPR) – um mecanismo de transferência de dados documentado publicamente que cada um desses provedores se baseia. A Soniox (gravações e materiais com áudio e a escuta em Respostas ao vivo) também tem sede nos EUA; ao transferir dados para fora do EEE, aplica as salvaguardas contratuais descritas em sua política de privacidade. OpenAI (somente com a conversa por voz e os modelos GPT): nosso contrato é com a OpenAI Ireland Ltd., e os dados que ela transfere para fora do EEE, inclusive para os EUA, são protegidos por cláusulas contratuais padrão ou por uma decisão de adequação da Comissão Europeia.

Não vendemos dados e não os compartilhamos com ninguém para fins publicitários.

6. Assistentes de IA conectados (MCP)

Você pode conectar um assistente externo ao ClassFlowy – por exemplo, Claude, ChatGPT ou Gemini. Isso acontece apenas quando inicia a conexão, faz login no ClassFlowy e clica "Permitir" na tela de consentimento. Sem isso, nenhum assistente tem acesso aos seus dados.

• O que o assistente recebe: o que quer que peça durante sua conversa com ele – calendário, cronograma de aula, disciplinas, aulas com descrições e notas, tarefas e provas, texto das páginas dos livros didáticos (seus e compartilhados com você por meio de uma disciplina), entradas de base de conhecimento, resultados de busca e cálculos. Os dados vão para a empresa que executa esse assistente e estão sujeitos à sua política de privacidade.
• O que nunca recebe: transcrições de gravações e texto lido de fotos, arquivos originais ou suas conversas com o assistente ClassFlowy.
• O que pode mudar: se deixar a caixa de seleção marcada na tela de consentimento – adicionar uma nota a uma aula; adicionar, alterar ou excluir uma tarefa ou prova; alterar o tema, a disciplina, a data e os horários de uma aula (uma aula movida para um dia em que você já tem aula dessa disciplina é unida a ela); renomear um material ou movê-lo para outra aula; alterar uma entrada do seu próprio horário; salvar ou deletar uma entrada de base de conhecimento. A alteração vale na hora, sem aprovação no ClassFlowy. Sem esse consentimento, o assistente apenas lê.
• O que não recebemos: sua conversa com esse assistente. Vemos apenas chamadas de ferramenta ClassFlowy – o que foi buscado ou salvo – e as contamos para seu limite de plano.
• O que mantemos: o nome do aplicativo e domínio para o qual o acesso retorna, data de conexão e data de último uso, e tokens de acesso – apenas como hashes criptográficos.
• Como revogar acesso: em Configurações → Chatbots clique "Desconectar" – funciona instantaneamente. Bloquear sua conta também corta todas as conexões.

7. Auxiliar (chat de ajuda)

Na página <a href="/pomoc">/pomoc</a> (também sem conta) e no aplicativo (Configurações → Ajuda), você pode perguntar ao Auxiliar – um bot que responde com base em nossa documentação e nos dados da sua conta, executa ações na conta após sua confirmação com um botão e, quando não consegue ajudar sozinho, envia um relatório ao administrador.

• Quem lê suas mensagens: um modelo de linguagem hospedado por DeepInfra escreve respostas – suas mensagens dessa conversa vão para lá (em conversas mais longas, o mesmo modelo primeiro resume), fragmentos de nossa documentação e o idioma em que responder (de sua conta, idioma de página escolhido ou configurações do navegador). Quando você está conectado, o modelo também vê os dados da conta necessários para responder: plano, limites e uso, saldo, pagamentos, status de processamento e os nomes de aulas, disciplinas e materiais. Também vê o histórico da conta: títulos e datas das conversas com o assistente, nomes e status dos materiais, pagamentos, exportações e exclusões. O conteúdo de uma conversa com o assistente só é visto se você perguntar sobre ela. Nunca vê o conteúdo das notas nem transcrições brutas.
• Ações na conta: o Auxiliar não altera nada sozinho. A ação só é executada depois que você clicar em "Confirmar" no cartão do chat. Salvamos o nome da ação, seus parâmetros e o resultado, junto com a conversa.
• Para calcular o reembolso salvamos quais funções fora do plano Standard foram usadas no período (somente o nome e a data) e o maior espaço ocupado a cada dia (somente o número de bytes, por 400 dias). Sem o conteúdo dos seus arquivos e conversas.
• Registro de conversa: salvamos a conversa inteira e o administrador pode lê-la – para ajudar, verificar relatórios e monitorar a qualidade das respostas. O administrador também pode assumir a conversa e responder pessoalmente (você verá então "Conversando com um consultor").
• Relatório (categoria, título, descrição, etapas e resultado para erros) contém quem o enviou – conta e seu e-mail ou, sem conta, o e-mail que forneceu no chat – seu plano e se escreveu do website ou aplicativo. O administrador recebe um e-mail sobre um novo relatório.
• Não escreva no chat senhas, dados de cartão ou outras informações sensíveis – não são necessários para nada.
• Fotos: as fotos e capturas de tela enviadas ao Auxiliar são reduzidas, têm os dados EXIF removidos e são armazenadas criptografadas junto com a conversa. Elas chegam ao modelo na DeepInfra apenas na resposta à qual você as anexar. Você e o administrador as veem; elas desaparecem com a conversa (12 meses) ou com a conta. Algumas ações você confirma com a senha da conta. Verificamos a senha imediatamente e não a salvamos na conversa nem a repassamos ao modelo. Guardamos um breve histórico de exclusões (o que e quando foi excluído) para que o Auxiliar possa responder o que aconteceu; ele é mantido por um ano.
• Por quanto tempo: mantemos conversas do Auxiliar por 12 meses desde a última mensagem e relatórios por 12 meses desde a última alteração; depois os deletamos automaticamente. Eles desaparecem com sua conta imediatamente.

8. Promoções de inicialização (uma vez por pessoa)

Promoções de inicialização (primeiro mês grátis ou mais barato e bônus na primeira recarga de saldo – termos de pagamento, ponto 3a) estão disponíveis uma vez por pessoa. Para aplicar isso mesmo quando alguém deleta uma conta e cria uma nova, quando compra ou recarrega com promoção salvamos:

• O que: um hash de mão única (HMAC-SHA-256 com chave secreta do servidor) do seu endereço de e-mail após normalização (minúscula; endereços Gmail sem pontos e "+tags"), tipo de promoção usada, data e ID de pagamento. O próprio endereço de e-mail não está neste registro, e o hash não pode ser revertido para o endereço. Quando o operador de pagamento começar a fornecer uma impressão de cartão (ID de cartão sem seu número), também salvaremos seu hash.
• Por que e em que base: para que promoções sejam realmente únicas – nosso interesse legítimo (art. 6(1)(f) do GDPR): prevenção de abuso de promoção.
• Por quanto tempo: 24 meses desde o uso da promoção, também após deletar sua conta (o registro não está vinculado à conta); depois o deletamos automaticamente.
• Objeção: você pode apresentar uma objeção (support@biskupski.site) – então deletaremos o hash, mas futuras promoções de inicialização não estarão disponíveis para esse endereço de e-mail, porque sem o registro não podemos verificar que é a primeira vez.

9. Importação do horário do Librus e do VULCAN

Ao editar seu horário, você pode sincronizá-lo com o diário eletrônico Librus (Librus Synergia, operado pela Librus sp. z o.o., Polônia). Você mesmo faz isso com o botão “Sincronizar com o Librus” – nada acontece automaticamente.

• O que enviamos ao Librus: o login (ou o e-mail da conta Librus Rodzina) e a senha que você digita na janela de importação – só para entrar em seu nome e baixar o horário. Não os guardamos: eles existem apenas na memória do servidor durante uma única solicitação e não chegam ao banco de dados nem aos logs. O mesmo vale para os tokens de acesso que o Librus devolve após o login.
• O que baixamos: o horário das próximas semanas (matérias, dias, horários, salas, nomes dos professores, substituições e aulas canceladas) e a lista de contas de aluno vinculadas à conta (o nome do aluno – só para que o responsável possa escolher o filho; não o guardamos).
• O que salvamos: os itens do horário (matéria, dia, número da aula, horários dos sinais, sala, professor) – como se você os tivesse digitado à mão, marcados como vindos do Librus. Primeiro mostramos a lista de mudanças; quando você a confirma, a partir de hoje o horário é o do Librus, e os itens que não estão lá saem do horário semanal. Os dias anteriores no calendário e as aulas com gravações, anotações e materiais não mudam. Até a confirmação (no máximo cerca de 10 minutos), guardamos no servidor o horário baixado – sem login, senha nem nome do aluno.
• Base legal: execução do contrato a seu pedido (art. 6(1)(b) do RGPD). Os nomes dos professores no horário são tratados com base em nosso interesse legítimo (art. 6(1)(f) do RGPD) – como parte do seu horário, como na digitação manual.
• Dados de crianças: se você entrar com uma conta de responsável, importa o horário do seu filho. Faça isso apenas como pai, mãe ou responsável legal. As contas de menores seguem as regras da seção “Crianças e adolescentes”.
• O Librus é um fornecedor independente e trata o seu login segundo as próprias regras. O ClassFlowy não tem vínculo com o Librus; usamos o mesmo método de login do app móvel do Librus.

VULCAN (eduVULCAN). A sincronização com o diário eletrônico VULCAN (UONET+ / eduVULCAN, operado pela VULCAN sp. z o.o., Polônia) funciona do mesmo jeito – com o botão “Sincronizar com o VULCAN”, quando essa opção está ativada. As diferenças:

• O que enviamos ao VULCAN: o e-mail e a senha da conta eduVULCAN – só durante uma única solicitação, sem salvá-los (como acima). Para baixar o horário, o servidor cria para esta importação uma chave criptográfica de uso único e a registra no VULCAN do mesmo jeito que o aplicativo móvel do diário; por isso um novo dispositivo pode aparecer na lista de dispositivos do eduVULCAN. Não salvamos a chave – ela deixa de existir após a importação.
• O que baixamos e salvamos, base legal, dados de crianças: como no Librus acima – o horário das próximas semanas (com substituições e aulas canceladas) e a lista de alunos vinculados à conta (o nome só para escolher o filho, sem salvar); os itens do horário ficam marcados como vindos do VULCAN.
• O VULCAN é um fornecedor independente e trata o seu login segundo as próprias regras. O ClassFlowy não tem vínculo com o VULCAN; usamos o mesmo método de login do aplicativo móvel do diário VULCAN.

Conexão permanente com o Librus (plano Plus e superiores). Em Configurações → Librus você pode conectar sua conta de forma permanente – aí os dados do diário escolar se atualizam sozinhos no ClassFlowy. Você mesmo ativa isso e pode desativar a qualquer momento.

• O que guardamos de forma permanente: seu login e sua senha do Librus, a sessão de login (token) e o nome do aluno cuja conta está conectada. Tudo criptografado (AES-256, com a chave guardada fora do banco de dados) – no banco fica só o texto cifrado. Nada disso vai para os logs nem para ninguém além do Librus.
• O que baixamos e guardamos: o horário com substituições e aulas canceladas, a agenda (provas, testes rápidos, eventos), as lições de casa, as notas (com peso, categoria, comentário e professor), a frequência, as mensagens (recebidas e enviadas: assunto, remetente, destinatários, nomes dos anexos e o conteúdo – o de uma não lida só quando você a abre), os avisos da escola e o número da sorte. Os anexos só baixamos quando você pede, pelo nosso servidor, sem salvá-los.
• Horário: vem do diário. Ao conectar, mostramos suas aulas que não estão no Librus: as que você marcar como “manter” ficam para sempre (assim como as aulas que você adicionar depois), e as outras removemos do horário a partir de hoje. Os dias anteriores no calendário não mudam.
• Com que frequência: no horário das aulas (de meia hora antes da primeira até meia hora depois da última aula do seu horário) mensagens, notas, substituições e avisos a cada 15 minutos, e horário, frequência, agenda e lições de casa a cada hora; fora disso, tudo a cada 3 horas; além de “Sincronizar agora”. Você pode desativar cada tipo de dado.
• O que fazemos no Librus em seu nome: só o que você pedir – enviar uma mensagem, responder, marcar uma mensagem como lida (abri-la). Nada é enviado sozinho.
• Quem vê: só você. Notas, mensagens, frequência, avisos e lições de casa nunca chegam a uma turma, a compartilhamentos nem a links. Os membros da sua turma (e as pessoas com quem você compartilha uma matéria) veem o horário e as provas do diário escolar apenas das matérias que você compartilha com eles – como qualquer item do seu horário.
• Desconexão: o login, a senha, a sessão e o nome do aluno são apagados na hora. Os dados baixados continuam na sua conta, mas deixam de ser atualizados – você pode apagá-los junto com a desconexão ou excluindo a conta. Conectar a conta de outro aluno apaga os dados do anterior. Se o Librus recusar a senha salva, a sincronização para e apagamos o login e a senha.
• Dados de crianças: ao conectar a conta do seu filho, você nos confia as notas, a frequência e as mensagens dele – faça isso só como pai, mãe ou responsável. Tratamos esses dados apenas para mostrá-los a você.
• Base legal e prazo: execução do contrato – um serviço que você mesmo ativa (art. 6.º, n.º 1, alínea b do RGPD); nomes de professores e de remetentes de mensagens – nosso interesse legítimo (art. 6.º, n.º 1, alínea f do RGPD), como parte dos seus dados do diário escolar. Guardamos os dados enquanto sua conta existir ou até você apagá-los; registros curtos de mudanças (para notificações) e de mensagens enviadas (sem o conteúdo) – 30 dias.

Conexão permanente com o VULCAN (plano Plus e superiores). Quando esta opção está ativada, em Configurações → Diário escolar você pode conectar da mesma forma, de modo permanente, sua conta eduVULCAN. Por enquanto só lemos os dados – não alteramos nem enviamos nada no VULCAN. As diferenças em relação ao Librus:

• O que guardamos de forma permanente: o e-mail e a senha da conta eduVULCAN, a chave criptográfica do “dispositivo” registrado no VULCAN ao conectar (chave privada e certificado), o endereço do servidor do diário e os identificadores do aluno (escola, aluno, períodos), além do nome do aluno. Tudo criptografado como acima (AES-256, no banco de dados fica só o texto cifrado) e nunca nos logs.
• Um só dispositivo: registramos a chave uma vez, ao conectar (na lista de dispositivos do eduVULCAN aparece então um novo dispositivo), e a usamos em cada sincronização – sem entrar com a senha. Só usamos a senha se o VULCAN deixar de aceitar a chave: aí registramos uma nova uma vez e, se isso também falhar, a sincronização para e apagamos o e-mail, a senha e a chave.
• O que baixamos: o horário com substituições e aulas canceladas, provas e testes, lições de casa, notas (com peso, categoria, comentário e professor, inclusive as previstas e as finais), a frequência e o número da sorte – sem mensagens nem avisos. Com que frequência, quem vê, dados de crianças, base legal e por quanto tempo – igual ao Librus acima.
• Desconexão: o e-mail, a senha, a chave e o nome do aluno são apagados na hora; os dados baixados continuam (você pode apagá-los junto com a desconexão). Não conhecemos uma forma de cancelar o registro do dispositivo no VULCAN – você pode removê-lo da lista de dispositivos no eduvulcan.pl.
• O VULCAN é um fornecedor independente (como acima). Uma conta ClassFlowy pode ter conexão permanente com um diário por vez – Librus ou VULCAN.

10. Por quanto tempo mantemos dados (retenção)

O princípio é simples: mantemos sua conta, materiais, notas e conversas com o assistente enquanto sua conta existe. Não os deletamos nós mesmos – não com o tempo, não por inatividade. Eles desaparecem apenas quando você solicita (deletando um único material ou nota) ou quando deleta sua conta inteira. As únicas exceções são as exigidas por lei, segurança de serviço ou manipulação de relatório – listadas abaixo:

• Registro com link não clicado – 48 horas. Depois o deletamos e a conta nunca se forma (esses são dados antes da criação de conta, não dados de conta).
• Tokens de e-mail (confirmação, redefinição de senha, deleção de conta, liberação de espaço) expiram após 48 horas ou uma hora e funcionam uma vez – esses são dados técnicos de curta duração protegendo sua sessão, não "materiais, notas ou conversas".
• Conversas do Auxiliar (chat de ajuda) e relatórios são correspondência de suporte, não seus materiais: mantemos por 12 meses desde a última mensagem (relatório – desde a última alteração), depois deletamos automaticamente. Deletar sua conta os deleta imediatamente. Contadores de limite de mensagem diária (sem endereços IP) – alguns dias.
• Conexões de assistente de IA: token de acesso expira em uma hora, token de atualização em 30 dias desde a última renovação; os expirados deletamos em uma hora. Desconectar o aplicativo invalida imediatamente.
• Token de dispositivo para notificações do servidor deletamos quando desabilita ambos os tipos dessas notificações, faz logout no telefone ou não abre o aplicativo por 60 dias, e imediatamente quando Firebase relata que o token é inválido. Log de sinais enviados (sem conteúdo, apenas para limites) – 2 dias.
• No plano Standard, deletamos o arquivo de áudio/vídeo original logo após o processamento (sua alocação é 0,3 GB); no plano Plus, o arquivo permanece em forma comprimida (gravação como áudio, vídeo em 720p, fotos e documentos em versão mais leve) – ao comprimir, nada é deletado sem deixar uma versão menor. Esta decisão sobre apenas o arquivo de origem é congelada no momento do upload – transcrição, nota de aula ou descrição não são afetadas por nenhum desses modos. Você também pode conscientemente liberar espaço de seus próprios arquivos a qualquer momento (Configurações → Arquivos) – é sempre sua decisão, nunca automática nossa.
• Após deletar sua conta, deletamos seus materiais e notas. Notas compartilhadas de turmas das quais era membro são recalculadas do zero, sem sua contribuição. Aulas que compartilhou diretamente com alguém ou por link ficam com eles como sua própria nota – já é uma cópia deles, independente de sua conta.
• Registros de pagamento (o quê, quando e quanto) também permanecem após deleção de conta – sem mais vinculação à conta na interface ClassFlowy – enquanto leis de contabilidade e tributárias exigem (geralmente alguns anos desde o final do ano fiscal). Esta é a única exceção imposta por lei, não nossa decisão. Assinaturas ativas cancelamos quando deleta sua conta.
• O hash do endereço de e-mail de uma pessoa que usou promoção de inicialização (não o próprio endereço, seção "Promoções de inicialização" acima) – 24 meses desde o uso, também após deleção de conta, para que promoção seja uma por pessoa.
• Link de parceiro: atribuição de sua conta ao link – enquanto conta existir; registros de acerto – enquanto registros de pagamento, após deleção de conta sem mais vinculação. O cookie work-polecenie vive 30 dias, e o marcador work-wizyta – 400 dias.
• Conexão permanente com o Librus: login, senha e sessão – até a desconexão (ou até o Librus recusar a senha); dados baixados do diário escolar – enquanto a conta existir ou até você apagá-los; registros de mudanças (para notificações) e de mensagens enviadas (sem conteúdo) – 30 dias (veja a seção sobre o Librus acima).
• Conexão permanente com o VULCAN: e-mail, senha e chave do dispositivo – até a desconexão (ou até o VULCAN recusar a chave e o registro de uma nova falhar); dados baixados do diário escolar – enquanto a conta existir ou até você apagá-los; registros de mudanças (para notificações) – 30 dias (veja a parte sobre o VULCAN acima).

11. Seus direitos

Você tem direito de acessar seus dados, corrigi-los, deletá-los, limitar o processamento, transferi-los e se opor ao processamento baseado em nosso interesse legítimo (por exemplo, proteção contra bot). Escreva para <a href="mailto:support@biskupski.site">support@biskupski.site</a> – responderemos o mais rápido possível. Uma cópia gratuita dos seus dados você pede ao Auxiliar ou por e-mail neste endereço. Você recebe por e-mail um link único, válido por 7 dias e que funciona só depois de entrar na sua conta; o pacote ZIP contém os dados da conta em JSON e seus arquivos no original, mas não as transcrições brutas nem as leituras. As cópias são preparadas em fila: sem demora desnecessária, no máximo em 20 dias no plano Standard e em 7 dias nos planos pagos, uma cópia a cada 30 dias. Como deletar sua conta e o que acontece com seus dados é descrito na página <a href="/usun-konto">Deletar conta e dados</a> (em resumo: "Iniciar deleção de conta" em Configurações ou nos envie um e-mail). Você também tem direito de apresentar uma reclamação ao Presidente da Autoridade de Proteção de Dados Pessoais da Polônia (Prezes Urzędu Ochrony Danych Osobowych – PUODO), ul. Stawki 2, 00-193 Varsóvia, se acredita que processamos seus dados em violação da lei.

12. Crianças e jovens

A base para processamento de seus dados é a execução do acordo de serviço (art. 6(1)(b) do GDPR (Regulamento (UE) 2016/679)), não seu consentimento – por isso o art. 8 do GDPR, que para o consentimento em serviços da sociedade da informação estabelece o limite de 16 anos (a Polônia não o reduziu para 13), não se aplica aqui diretamente. No entanto, como a celebração de contrato com um menor está sujeita ao Código Civil polonês, adotamos regras próprias mais cautelosas.

O serviço é usado por estudantes, mas não é destinado a crianças menores de 13 anos – ao criar uma conta você deve marcar uma declaração (caixa de seleção) de que tem pelo menos 13 anos. É uma autodeclaração – não coletamos datas de nascimento ou nada que nos permitisse verificar. Se ficarmos sabendo que uma conta foi criada por uma pessoa mais nova, a deletaremos junto com os dados.

Se tem de 13 a 17 anos, tem capacidade limitada para atos jurídicos (arts. 10–22 do Código Civil polonês) – para celebrar validamente um acordo conosco (incluindo comprar um plano ou pacote), precisa de consentimento dos pais ou responsável ou confirmação posterior, exceto por assuntos menores da vida cotidiana. Não verificamos isso no registro ou compra – é uma obrigação sua e de seus pais/responsáveis, não um mecanismo que verificamos tecnicamente. Um dos pais ou responsável pode a qualquer momento solicitar o acesso aos dados da criança, a sua exclusão ou a retirada de um contrato não confirmado, escrevendo para support@biskupski.site.

13. Segurança

A conexão é criptografada (HTTPS), mantemos senhas apenas como hashes criptográficos, tokens de e-mail são de um uso único e salvos como hashes. Materiais (arquivos) são visíveis apenas para sua conta – você compartilha apenas a nota de aula com outros, nunca o arquivo. Não prometemos segurança absoluta, porém – este é um serviço operado nas horas vagas em um único servidor.