Atualizado em 07/10/2026

Política de Privacidade

Esta política explica quais dados pessoais o Códice Questões trata, para que usa, com quem compartilha, por quanto tempo guarda e como você exerce os seus direitos.

Quem somos

O Códice Questões é um produto de CONCEITO TECH & DESIGN, INOVA SIMPLES (I.S.), inscrita no CNPJ sob o nº 65.153.954/0001-80, com sede em Araguari, MG. Contato: contato@codicequestoes.com.br. Essa empresa é a controladora dos dados pessoais tratados no Códice Questões, e o mesmo e-mail é o canal para pedidos dos titulares. Esta política vale para o site do aluno (app.codicequestoes.com.br), para o aplicativo Android Códice Questões e para o portal de professores e escolas (educador.codicequestoes.com.br).

1. Dados que você nos informa

• Cadastro: nome de exibição, e-mail e senha. A senha é guardada pelo serviço de autenticação apenas como código irreversível (hash); ninguém da equipe consegue lê-la. O cadastro não pede data de nascimento, CPF nem telefone. • Perfil e preferências: nome de usuário, personagem, biografia, objetivo de estudo, prova-alvo e data da prova, meta diária e preferências de estudo, de notificação e de privacidade. • Aceites: o registro de que você aceitou os Termos de Uso e esta política e da sua escolha sobre receber novidades por e-mail, com data, hora, endereço IP e navegador. • Conteúdo que você escreve ou envia: comentários em questões, avisos de erro em questões, baralhos de flashcards e as imagens que colocar neles, denúncias sobre outros usuários e mensagens enviadas ao suporte. • Pagamento: os dados da seção 8, pedidos somente quando você assina um plano.

2. Dados gerados quando você usa o Códice

• Estudo: questões respondidas, alternativa marcada, acerto ou erro, tempo de resposta, simulados, flashcards, revisões, trilha, plano do dia, sequência de dias, missões e conquistas. • Jogo: XP, carteira, nível, liga, posição nos rankings, minutos e as operações que mudaram cada saldo. • Duelos: adversário, perguntas, respostas, placar, resultado e XP apostado. • Social: amizades, pedidos de amizade, bloqueios e a última vez em que você esteve ativo. • Indicações: se você entrou por cupom de um embaixador, o vínculo com esse cupom; se você é embaixador, os dados que informar para receber a comissão. • Assinatura: plano, situação, datas e histórico de cobranças.

3. O que outras pessoas veem

• Ligas, rankings e duelos mostram a outros alunos o seu nome de exibição, o seu personagem e a sua pontuação. • Perfil público: em Configurações → Privacidade você escolhe se outros alunos encontram o seu perfil, se os amigos veem quando você esteve ativo e se as estatísticas aparecem nele. • Comentários em questões aparecem para outros alunos com o seu nome. • Embaixadores veem o nome de quem usou o cupom deles e a situação da indicação. • Escolas: veja a seção 9.

4. Dados do aparelho e do acesso

• No site: endereço IP, navegador, sistema e data e hora dos acessos e das operações sensíveis (entrada, troca de senha, exportação de dados, pedido de exclusão e pagamentos). O site usa somente cookies necessários: o de sessão, que mantém você conectado; o de proteção contra envio forjado de formulários; o que marca, por até 24 horas, o navegador em que uma senha errada acabou de ser digitada, sem nenhum código que identifique você; e o de aparelho, que guarda um código aleatório para reconhecer o navegador em que você já entrou na sua conta. Não usamos cookies de publicidade nem ferramentas de análise de terceiros. • Aparelhos conhecidos: quando você entra na conta pelo site, guardamos que aquele navegador já foi usado nela. A lista tem um código irreversível (hash) do cookie de aparelho, o navegador e o sistema (por exemplo, “Chrome em Windows”) e as datas do primeiro e do último uso. Ela não tem endereço IP, localização nem outra identificação do aparelho. Serve para proteger a conta: o aparelho em que você já entrou não fica travado por tentativas de entrada feitas por outra pessoa, e a entrada em um aparelho novo gera um aviso por e-mail. Um aparelho sem uso por 180 dias é esquecido, e quando você troca ou recupera a senha os outros aparelhos da conta são esquecidos. Para apagar a lista antes disso, escreva para contato@codicequestoes.com.br; ela também é apagada com a exclusão da conta. Se você apagar os cookies do navegador, ele deixa de ser reconhecido. • Verificação contra robôs (site): no cadastro, no pedido de recuperação de senha, na entrada depois de uma senha errada e na abertura de um convite de escola depois de muitos links inválidos, o site pode pedir uma verificação de segurança da Cloudflare (Turnstile), que confirma que o acesso é feito por uma pessoa e não por um programa automático. Quando ela aparece, o seu navegador carrega um código da Cloudflare em uma área da página controlada por ela. A Cloudflare recebe o seu endereço IP e dados do navegador e do aparelho (como tipo e versão do navegador, sistema, idioma, tamanho da tela e sinais de como a página é usada) e nos devolve somente o resultado da verificação. Não enviamos à Cloudflare o seu nome, o seu e-mail nem a sua senha. Sem a verificação aprovada, o pedido não é aceito. • No aplicativo Android: um identificador da instalação criado pelo próprio aplicativo (não é o identificador de publicidade nem o IMEI), o modelo do aparelho, a versão do Android e a versão do aplicativo. • Prevenção a fraude: guardamos códigos irreversíveis (hash) do e-mail, do identificador da instalação e do endereço IP para perceber criação de contas em série e abuso de período de teste. • Não coletamos localização, contatos, câmera nem microfone, e não usamos o identificador de publicidade do aparelho. O assistente de voz não faz parte desta versão: o aplicativo Android não pede a permissão de microfone. Se esse recurso for lançado, esta política será atualizada antes.

5. Bloqueio de apps no Android (opcional)

O bloqueio de apps só é executado no aplicativo Android e só funciona se você ligar. Para isso o Android pede duas permissões especiais, que você concede nas configurações do aparelho: • “Acesso ao uso”: permite ao Códice saber qual aplicativo está aberto na tela naquele momento. • “Sobrepor a outros apps”: permite mostrar a tela de bloqueio por cima do aplicativo que você escolheu bloquear. Enquanto o bloqueio está ligado, o aplicativo mantém um serviço ativo com uma notificação fixa, pode pedir para ficar fora da economia de bateria e volta a funcionar depois que o aparelho reinicia. O que acontece com essas informações: • A lista de aplicativos instalados é lida no aparelho apenas para você escolher quais bloquear. Ela não é enviada aos nossos servidores. • A verificação de qual aplicativo está aberto acontece no próprio aparelho e serve só para decidir se a tela de bloqueio aparece. Não guardamos nem enviamos o histórico de uso dos seus outros aplicativos. • Vão para os nossos servidores somente: o nome e o identificador dos aplicativos que você escolheu bloquear, o limite diário de cada um, os minutos usados em cada um deles, com data e hora, e os minutos liberados ou comprados com XP. Isso é necessário para controlar o seu saldo de minutos. • O Códice não lê o conteúdo de outros aplicativos, mensagens, telas ou o que você digita, e não usa o serviço de acessibilidade do Android. Você pode desligar o bloqueio no aplicativo e retirar as permissões nas configurações do Android quando quiser. Sem elas, o restante do Códice funciona normalmente.

6. Notificações e e-mails

• Notificações no Android: se você permitir, o aplicativo recebe avisos pelo Firebase Cloud Messaging, serviço do Google. Para a entrega, guardamos o código (token) que identifica a instalação do aplicativo naquele aparelho. • Notificações no navegador: se você permitir, guardamos o endereço de entrega criado pelo serviço de notificações do seu navegador. • E-mails da conta: confirmação de cadastro, recuperação de senha, convites de escola e avisos de pagamento e de segurança, como o aviso de que a sua conta foi acessada em um aparelho novo. Fazem parte do serviço: não dependem de consentimento nem da sua escolha sobre os e-mails de novidades. • E-mails de novidades e ofertas: somente com o seu consentimento, que você pode retirar a qualquer momento em Configurações → Privacidade ou pelo link de descadastro do próprio e-mail. Você escolhe quais avisos recebe e o horário de silêncio em Configurações → Notificações.

7. Login com Google

Se você entrar com o Google, recebemos do Google o seu nome, o seu e-mail, o endereço da sua foto de perfil e o identificador da sua conta Google. Usamos o e-mail para criar e reconhecer a sua conta e o nome como nome inicial do perfil; a foto não é exibida no Códice. Não recebemos a sua senha do Google e não temos acesso a Gmail, contatos, agenda ou arquivos.

8. Pagamentos

• Assinatura pelo site: para gerar a cobrança pedimos nome completo, CPF ou CNPJ, telefone e endereço. Esses dados e o seu e-mail são enviados ao Asaas, que processa o PIX e o cartão. Os dados do cartão são digitados na página do Asaas: não passam pelos nossos servidores e não ficam conosco. • O que guardamos: plano, valor, datas, situação e identificadores da cobrança, pedidos de reembolso e as respostas do provedor de pagamento sobre cada operação, que podem conter nome, e-mail e documento do pagador. No nosso cadastro de cobrança, o documento e o telefone ficam apenas como código irreversível (hash) e quatro últimos dígitos. • Se o Asaas estiver indisponível, o PIX pode ser gerado pelo Mercado Pago, que recebe nome, e-mail e CPF ou CNPJ. • Para preencher a cidade da cobrança, consultamos o CEP informado no serviço público ViaCEP; somente o CEP é enviado. • Assinatura pelo aplicativo Android: o pagamento é feito pelo Google Play. O Google não nos envia os dados do seu cartão; recebemos a confirmação da compra (produto, identificador do pedido, situação e validade).

9. Escolas e turmas

O Códice pode ser usado por escolas e cursos. Você entra em uma escola por convite enviado ao seu e-mail ou por código de turma. • Quando uma escola convida você, é ela que nos informa o seu e-mail. • Ao entrar, o dono da escola passa a ver o seu nome e o seu e-mail; o dono e os professores veem as turmas de que você participa e o seu desempenho nas atividades, provas e competições da turma. • Guardamos o seu vínculo com a escola e com as turmas, as tarefas recebidas, as respostas às questões da escola e os resultados de provas e competições. • Professores e donos de escola: tratamos nome, e-mail, papel na escola, o conteúdo criado (turmas, questões e provas) e, para o dono, os dados de cobrança da escola. Os arquivos de prova enviados para leitura automática são processados pelos fornecedores da seção 11. A escola decide quais atividades aplica e responde pelo uso que faz dos resultados da turma. Pedidos sobre esses dados podem ser feitos à escola ou a nós.

10. Para que usamos e com qual base legal

• Criar e manter a sua conta e entregar o estudo, o jogo, os duelos, as turmas, a assinatura e o bloqueio de apps que você ligar: execução do contrato que você aceita nos Termos de Uso (LGPD, art. 7º, V). • Enviar novidades e ofertas por e-mail: o seu consentimento (art. 7º, I), que pode ser retirado a qualquer momento. • Permissões opcionais do aparelho (acesso ao uso, sobreposição e notificações): só são usadas depois que você as concede e deixam de ser usadas quando você as retira. • Proteger contas, impedir fraude e trapaça, registrar operações sensíveis e corrigir falhas: legítimo interesse (art. 7º, IX), limitado ao necessário. • Guardar registros de acesso e atender ordens de autoridades: cumprimento de obrigação legal (art. 7º, II), como o Marco Civil da Internet. • Guardar provas de operações em caso de disputa, reembolso ou processo: exercício regular de direitos (art. 7º, VI). O plano do dia, o resumo do dia e as recomendações são montados automaticamente a partir do seu desempenho. Não vendemos dados pessoais e não usamos os seus dados para publicidade de terceiros.

11. Com quem compartilhamos

Usamos fornecedores que tratam dados em nosso nome, cada um para a finalidade indicada: • Supabase: banco de dados, autenticação, arquivos e funções de servidor. É onde ficam a conta e o histórico de estudo. • Contabo: servidor em que roda a nossa API e onde ficam as sessões de login. • Vercel: hospedagem do site do aluno, do portal de escolas e da página institucional. • Google: Firebase Cloud Messaging (entrega das notificações no Android), Login com Google, Google Play (compras feitas no aplicativo) e Gemini (inteligência artificial). • DeepInfra: inteligência artificial usada quando o Gemini não responde. • Asaas: cobrança por PIX e cartão. Mercado Pago: PIX quando o Asaas está indisponível. • Resend: envio de e-mails. • Cloudflare (Turnstile): verificação de que o acesso ao site é feito por uma pessoa e não por um programa automático (seção 4). Recebe o endereço IP e dados do navegador e do aparelho. • LlamaIndex (LlamaParse): leitura automática dos arquivos de prova enviados pelas escolas. A inteligência artificial é chamada somente pelos nossos servidores, nunca direto do seu aparelho. Para montar o plano e o resumo do dia, enviamos números do seu desempenho (acertos, erros, matérias, metas e sequência de dias), sem nome, e-mail ou identificador da conta. Os arquivos de prova das escolas são enviados para leitura como foram carregados pelo professor. Também recebem dados: outros alunos e escolas, nos limites das seções 3 e 9, e autoridades públicas, quando houver ordem legal ou judicial.

12. Transferência internacional

Parte desses fornecedores guarda ou processa dados em servidores fora do Brasil, principalmente nos Estados Unidos e na União Europeia. Isso acontece para executar o serviço que você contratou. Esses fornecedores têm termos próprios de segurança e de proteção de dados. Ao usar o Códice, os seus dados podem ser tratados nesses países.

13. Por quanto tempo guardamos

• Conta, perfil, estudo, jogo, turmas e assinatura: enquanto a conta existir. • Depois do pedido de exclusão: 30 dias de carência e, em seguida, a exclusão descrita na seção 14. • Sessões de login: até você sair, trocar a senha ou a sessão expirar. • Aparelhos conhecidos (seção 4): até 180 dias depois do último uso de cada aparelho, ou até a exclusão da conta. • Contagem de senhas erradas na entrada: até 24 horas depois da última tentativa, ou até você entrar. Se o acesso por senha for bloqueado por excesso de tentativas, o bloqueio fica até você criar uma nova senha ou entrar com o Google, por no máximo 30 dias. A contagem é ligada a um código irreversível (hash) do e-mail digitado. • Marca de senha errada no navegador (seção 4): até 24 horas, ou até você entrar. • Registros de segurança e de acesso (data, hora, endereço IP, navegador e operação feita): no mínimo 6 meses, como exige o Marco Civil da Internet, e depois disso enquanto forem necessários para segurança, prevenção a fraude e defesa em processos. • Códigos antifraude (hash de e-mail, instalação e endereço IP): enquanto forem necessários para impedir abuso. Não permitem ler o dado original. • Registros que ficam sem identificar você depois da exclusão: veja a seção 14. • Cobranças no Asaas, no Mercado Pago e no Google Play: cada provedor guarda os próprios registros pelos prazos que a lei exige dele; não temos como apagá-los.

14. Exclusão da conta

Você pode pedir a exclusão da conta e dos dados a qualquer momento: no aplicativo ou no site, em Configurações → Privacidade → Solicitar exclusão da conta, ou por e-mail para contato@codicequestoes.com.br. O passo a passo está em https://app.codicequestoes.com.br/excluir-conta. Prazo: o pedido abre uma carência de 30 dias, em que a conta continua funcionando e você pode desistir. Passado esse prazo, a exclusão é feita automaticamente e não pode ser desfeita. Se houver duelo em andamento, aposta de XP sem resultado, reembolso em andamento, pagamento com cartão em andamento ou assinatura cuja renovação o provedor ainda não confirmou como cancelada, a exclusão espera esse assunto terminar. Contas da equipe do Códice e contas de embaixadores com indicações registradas não são excluídas automaticamente: para excluir uma conta dessas, escreva para contato@codicequestoes.com.br. O que é apagado: o acesso (e-mail, senha e vínculo com o Google), a lista de aparelhos conhecidos, o perfil e as preferências, o histórico de estudo, os flashcards com as imagens e os áudios que você enviou, as provas que só você usou, os comentários, o XP, a carteira, os minutos, a liga e as posições em rankings, as amizades, as notificações, os aparelhos e os apps de bloqueio registrados, os vínculos com escolas e turmas e o histórico de atividades nelas, os convites ainda não aceitos enviados ao seu e-mail, a assinatura, o histórico de pagamentos e o registro dos seus aceites. O que é mantido, sem nome, e-mail ou perfil: • Duelos contra outras pessoas: a partida, o placar e as respostas continuam para o adversário, que passa a ver “Usuário removido”. • Apostas de XP desses duelos: os registros ficam como prova da operação. • Pedidos de reembolso: valores, datas, situação e identificadores do provedor. O motivo escrito por você e os dados do pagador são apagados. • Indicação de embaixador: a indicação e a comissão já calculada continuam para o embaixador, sem o seu nome. • Conteúdo criado para uma escola (turmas, questões e provas): continua com a escola. • Provas que você criou fora de uma escola e que outras pessoas fizeram: continuam para quem fez, sem apontar para você. • Convite de escola que você aceitou: o registro continua no histórico da escola, sem o seu e-mail. • Pedidos de conteúdo que outras pessoas também fizeram: o pedido continua, sem apontar para você. • Registros de segurança e códigos antifraude: seguem os prazos da seção 13. Esses registros ficam por tempo indeterminado. São mantidos para não prejudicar outras pessoas, para comprovar operações financeiras e para prevenir fraude. Assinatura: ao pedir a exclusão, a renovação automática da sua assinatura é cancelada no provedor de pagamento: no Asaas, se você assinou pelo site, ou no Google Play, se assinou pelo aplicativo. O acesso pago continua até o fim do período já pago ou até a exclusão, o que vier primeiro. Se você desistir da exclusão, a assinatura continua cancelada e você pode assinar de novo. Se o provedor não confirmar o cancelamento, tentamos de novo e a conta não é excluída enquanto houver renovação ativa. Escola: se você é a única pessoa responsável por uma escola no Códice, o pedido de exclusão também cancela, no Asaas, a renovação da assinatura da escola e as faturas dela ainda não pagas. O que a escola já pagou vale até o fim do período pago, sem reembolso automático; depois disso a escola é suspensa. Se você desistir da exclusão, a assinatura da escola continua cancelada: para a escola voltar a ser cobrada, fale com o atendimento. Com a exclusão, a escola fica sem responsável até a equipe do Códice definir outro; professores, alunos, turmas e conteúdo continuam na escola. A conta não é excluída enquanto o Asaas não confirmar que a escola não tem mais cobrança recorrente. Para passar a escola a outra pessoa antes de excluir a conta, escreva para contato@codicequestoes.com.br.

15. Crianças e adolescentes

O Códice Questões não é direcionado a menores de 13 anos e não coleta dados deles de forma consciente. O cadastro não pede data de nascimento. Se soubermos que um menor de 13 anos criou uma conta, ela será excluída; pais e responsáveis podem nos avisar pelo e-mail de contato. Adolescentes de 13 a 17 anos usam o Códice com o conhecimento e a autorização do pai, da mãe ou do responsável legal. Quando a conta nasce de convite ou código de uma escola, é a escola que obtém essa autorização. O responsável pode pedir acesso, correção ou exclusão dos dados do adolescente pelo mesmo e-mail.

16. Seus direitos

A LGPD (art. 18) garante a você: confirmar se tratamos os seus dados e acessá-los; corrigir dados incompletos ou desatualizados; pedir anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos; pedir a portabilidade; pedir a eliminação dos dados tratados com consentimento; saber com quem compartilhamos; ser informado sobre o que acontece se não consentir; retirar o consentimento; e pedir a revisão de decisões tomadas só por meios automáticos, como a análise antifraude. Como exercer: • Corrigir nome, nome de usuário e biografia: Configurações → Conta. Trocar e-mail e senha: Configurações → Segurança. • Baixar uma cópia dos seus dados em arquivo: Configurações → Privacidade → Exportar meus dados. • Retirar o consentimento para e-mails de novidades: Configurações → Privacidade. • Excluir a conta: veja a seção 14. • Qualquer outro pedido: escreva para contato@codicequestoes.com.br, de preferência a partir do e-mail da conta. Respondemos em até 15 dias e podemos pedir uma confirmação de identidade. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

17. Segurança

• A comunicação com o site, o aplicativo e a API é cifrada (HTTPS). • A senha é guardada apenas como código irreversível (hash). • A entrada com senha é protegida por conta, e não pela rede de onde vem a tentativa: depois de 3 senhas erradas seguidas é preciso esperar 15 minutos, e depois de 5 o acesso por senha fica bloqueado até você criar uma nova senha pelo link enviado ao seu e-mail ou entrar com o Google. O aparelho em que você já entrou tem uma contagem própria. • Avisamos por e-mail quando a sua conta é acessada em um aparelho novo. • No site, o cadastro, o pedido de recuperação de senha e a entrada depois de uma senha errada podem exigir uma verificação contra robôs (seção 4). • No site, a sessão fica em um cookie que o código da página não consegue ler, e os dados da sessão ficam cifrados no servidor. No aplicativo, as credenciais ficam no armazenamento protegido do Android. • Cada aluno acessa somente os próprios dados: o banco aplica regras de acesso por usuário. • As chaves de pagamento, de inteligência artificial e de notificações ficam somente nos servidores. • Operações sensíveis são registradas para auditoria. Nenhum sistema é imune a falhas. Se houver incidente de segurança que possa causar risco ou dano relevante, avisaremos você e a ANPD, como manda a lei.

18. Mudanças nesta política

Quando esta política mudar, atualizamos a data no topo desta página. Mudanças relevantes serão avisadas no site, no aplicativo ou por e-mail antes de começarem a valer.

19. Contato

Dúvidas, pedidos e reclamações sobre dados pessoais: contato@codicequestoes.com.br. Responsável: CONCEITO TECH & DESIGN, INOVA SIMPLES (I.S.), CNPJ 65.153.954/0001-80, Araguari, MG.