Política de Privacidade

1. Quem é o responsável pelo tratamento

O Coursify.me (“Coursify”, “plataforma” ou “Serviço”) é operado por Envixo Products Studio LLC (“Envixo”, “nós”, “nos” ou “nosso”), com sede comercial em:

28 Geary St, Ste 650 #1712
San Francisco, CA 94108
Estados Unidos
Telefone: +1 (628) 333-3129

Coursify.me™ é uma marca da Envixo Products Studio LLC.

Para efeitos do Regulamento Geral sobre a Proteção de Dados (UE) 2016/679 (GDPR), da Lei Geral de Proteção de Dados brasileira (Lei n.º 13.709/2018 — LGPD) e, quando aplicável, da California Consumer Privacy Act / California Privacy Rights Act (CCPA/CPRA), a Envixo Products Studio LLC é:

• Controladora dos dados pessoais dos titulares das contas da plataforma (criadores, administradores de escolas e utilizadores da área de marketing/conta), dos dados de faturação das assinaturas Coursify e dos dados técnicos de utilização da plataforma necessários à prestação e segurança do Serviço; e
• Operadora / processadora dos dados pessoais dos alunos e outros titulares cujos dados a escola/criador carrega ou recolhe através da sua escola no Coursify — nesses casos, a escola/criador é a controladora e a Envixo trata esses dados apenas sob as instruções da escola, para hospedar e prestar o Serviço.

Contacto de privacidade
Pedidos relacionados com privacidade (acesso, correção, apagamento, reclamações ou outras questões) devem ser enviados para [email protected].
Correio: Envixo Products Studio LLC — Privacy Compliance Officer, 28 Geary St, Ste 650 #1712, San Francisco, CA 94108, United States.

2. Âmbito desta política

Esta política aplica-se a:

• o site marketing coursify.me e páginas relacionadas;
• a plataforma LMS Coursify (criação de escolas, cursos, alunos, pagamentos de planos);
• comunicações relacionadas com o Serviço (e-mail de suporte, avisos de conta, marketing próprio, quando aplicável).

Não se aplica a:

• sites ou serviços de terceiros ligados a partir do Coursify;
• políticas de privacidade próprias que cada escola publique aos seus alunos (a escola é responsável por informar os seus alunos);
• tratamento feito exclusivamente pela escola fora da plataforma.

3. Que dados recolhemos

3.1 Dados que nos fornece (conta e faturação — Envixo como controladora)

• Identificação e contacto: nome, e-mail, telefone (se fornecido), idioma.
• Dados da escola/organização: nome da escola, domínio personalizado (se houver), preferências de configuração.
• Dados de faturação da assinatura Coursify: endereço de faturação, país, identificadores de cliente no prestador de pagamento; não armazenamos o número completo do cartão (processado pelo Stripe).
• Conteúdo de suporte: mensagens que nos envia.

3.2 Dados de alunos e conteúdo da escola (Envixo como processadora)

Quando uma escola usa o Coursify, pode carregar ou recolher, entre outros:

• nome, e-mail e outros dados de perfil do aluno;
• matrículas, progresso, notas, comentários e entregas;
• conteúdos de cursos e materiais didáticos que identifiquem pessoas;
• dados de compra do curso pelo aluno junto da escola (quando a escola vende através da plataforma), tratados sob instruções da escola.

A escola define quais dados dos alunos são recolhidos e para que fins. A Envixo não usa esses dados para fins próprios de marketing.

3.3 Dados recolhidos automaticamente

• Endereço IP, tipo de dispositivo/navegador, sistema operativo, páginas visitadas, carimbos de data/hora, referenciador.
• Identificadores de sessão e cookies técnicos (ver secção 8).
• Registos de segurança e diagnóstico (logs) necessários à operação e à prevenção de abuso.

3.4 Dados que não recolhemos intencionalmente

Não pedimos categorias especiais de dados (origem racial, opinião política, saúde, etc.) para operar a conta Coursify. Se uma escola carregar tais dados nos conteúdos ou campos da sua escola, a escola é responsável por ter base legal e informar os titulares; a Envixo trata-os apenas como processadora.

4. Para que usamos os dados e com que bases legais

4.1 Quando a Envixo é controladora

Pode retirar o consentimento a qualquer momento e opor-se a tratamentos baseados no interesse legítimo da Envixo, incluindo o marketing direto, sem afetar a licitude do tratamento anterior (ver secções 4.3 e 10). O direito de oposição ao marketing direto é apresentado de forma clara e separada, no mais tardar na primeira comunicação (GDPR art. 21.º, n.os 2 a 4; LGPD art. 18.º, § 2.º), e pode ser exercido em um clique em cada e-mail ou nas preferências da conta.

4.2 Quando a Envixo é processadora (dados de alunos da escola)

Tratamos os dados dos alunos apenas para:

• hospedar a escola e prestar as funcionalidades do LMS pedidas pela escola;
• garantir segurança, cópias de segurança e continuidade do Serviço;
• cumprir instruções documentadas da escola e a lei aplicável.

A base legal perante o aluno é determinada pela escola (controladora). A Envixo e a escola devem celebrar (ou considerar celebrados nos Termos/DPA aplicável) os termos de tratamento exigidos pelo art. 28 do GDPR e pelo art. 39 da LGPD.

Os termos de tratamento dos dados dos alunos controlados pela escola fazem parte destes Termos de Serviço (incluindo esta Política de Privacidade, na parte em que descreve o papel de processadora da Envixo).

4.3 E-mails de dicas, novidades e ofertas (marketing próprio)

Enviamos e-mails de dicas, novidades e ofertas apenas sobre produtos e serviços semelhantes do próprio Coursify, com frequência de cerca de duas vezes por mês (no máximo dois e-mails de marketing por cada período de 30 dias). Não partilhamos a lista com terceiros para o marketing deles.

• Novos cadastros. A base legal é o consentimento (GDPR art. 6.º, n.º 1, al. a); LGPD art. 7.º, I), prestado numa caixa desmarcada e separada dos Termos e da Política de Privacidade. O cadastro funciona sem essa caixa marcada. O consentimento pode ser retirado a qualquer momento, com a mesma facilidade com que foi dado.
• Contactos já existentes sem opt-in registado. Onde a lei o permitir, a base é o interesse legítimo da Envixo em promover os seus próprios produtos e serviços semelhantes (GDPR art. 6.º, n.º 1, al. f), e considerando 47; LGPD art. 7.º, IX, e art. 10.º), com opt-out em cada mensagem. Na União Europeia e em Portugal, o envio por correio eletrónico a pessoas singulares segue também as regras da Diretiva 2002/58/CE, art. 13.º, e, em Portugal, da Lei n.º 41/2004, art. 13.º-A: o soft opt-in cobre quem forneceu o e-mail no contexto de uma venda, para produtos ou serviços análogos; fora dessa hipótese, não enviamos marketing com base no interesse legítimo.
• Direito de oposição. Pode opor-se a qualquer momento, de forma gratuita. O direito é apresentado de forma clara e separada, no mais tardar no primeiro e-mail (GDPR art. 21.º, n.os 2 a 4; LGPD art. 18.º, § 2.º). O opt-out é feito em um clique no próprio e-mail (ou nas preferências da conta) e tem efeito imediato. O endereço entra numa lista de supressão permanente, salvo nova manifestação expressa sua (por exemplo, nas preferências da conta), para e-mails de dicas, novidades e ofertas. Os e-mails de serviço sobre a conta, o acesso e a faturação continuam a ser enviados.
• Registo. Conservamos, para prova e accountability (incluindo LGPD art. 37.º), a base legal, a origem, a data e a versão do texto apresentado ao titular. O endereço IP, quando associado a este registo, é pseudonimizado com HMAC e sal secreto (não é guardado em claro). Esse registo continua a ser dado pessoal. O prazo de conservação está na secção 9.

5. Papéis: escola como controladora, Envixo como processadora

• A escola/criador decide a finalidade e os meios do tratamento dos dados dos seus alunos (quem convidar, que campos pedir, quanto tempo manter matrículas, etc.).
• A Envixo trata esses dados em nome da escola, não os vende e não os usa para marketing próprio.
• Pedidos de direitos dos alunos relativos a dados da escola devem, em regra, ser dirigidos primeiro à escola. Se nos contactar diretamente, poderemos encaminhar o pedido à escola ou responder na medida em que formos legalmente obrigados e tecnicamente capazes.
• Se a escola encerrar a conta ou passar ao plano Free, trataremos os dados dos alunos conforme as instruções da escola e a nossa política de retenção (secção 9).

6. Com quem partilhamos dados (suboperadores / categorias)

Partilhamos dados pessoais apenas com prestadores que nos ajudam a operar o Serviço, sob contrato e com obrigações de confidencialidade e segurança. Categorias atuais:

Não vendemos dados pessoais. Podemos divulgar dados se formos legalmente obrigados, ou se for necessário para proteger direitos, segurança ou investigar violações dos Termos.

7. Transferências internacionais

A Envixo está sediada nos Estados Unidos. Dados pessoais podem ser tratados nos EUA e noutros países onde os nossos prestadores operam.

Quando o GDPR ou a LGPD exigirem uma salvaguarda adicional para transferências a partir do EEE/Reino Unido/Brasil para países sem decisão de adequação, utilizamos, conforme aplicável:

• Cláusulas Contratuais-Tipo (SCCs) da Comissão Europeia (e o addendum do Reino Unido, quando aplicável) com os nossos processadores; e/ou
• outras mecanismos legalmente reconhecidos.

Quando as transferências dependem de salvaguardas contratuais, utilizamos Cláusulas Contratuais-Tipo (Standard Contractual Clauses) ou outros mecanismos legalmente reconhecidos, conforme aplicável.

8. Cookies e tecnologias semelhantes

Usamos cookies e tecnologias semelhantes nas categorias abaixo. Na UE, Reino Unido e Brasil, cookies de analítica e de publicidade (incluindo Google Tag Manager / GA4, Google Ads/DoubleClick e _rx_vid / _rx_sid) só são carregados após consentimento prévio (opt-in) através do nosso banner de consentimento. Pode retirar o consentimento a qualquer momento através das preferências de cookies ou contactando-nos.

Risenexa. Os cookies _rx_vid e _rx_sid são definidos pelo middleware de analítica Risenexa, outro produto da Envixo (ou afiliada). Em cada pedido (após consentimento, quando exigido), é enviado um pageview ao Risenexa com: URL sem query string, referrer, user agent, IP do cliente e parâmetros utm_*, quando existam.

Pode gerir ou retirar o consentimento no banner / ligação de preferências de cookies no rodapé e nas definições do browser. Bloquear cookies essenciais pode impedir login, pagamento ou funcionalidades básicas.

9. Conservação (retenção)

Conservamos dados pessoais apenas pelo tempo necessário às finalidades descritas, incluindo:

• Conta ativa em plano pago, e conta criada e mantida no plano Free sem cancelamento: enquanto a conta existir e for necessária à prestação do Serviço.
• Cancelamento ou encerramento da conta: o prazo de 180 dias conta-se a partir da data do cancelamento ou encerramento (pelo titular ou pela Envixo). No termo desses 180 dias, os dados da conta e da escola (incluindo conteúdos e, na ausência de instrução em contrário da escola, dados de alunos tratados como processadora) são eliminados ou anonimizados.
• Passagem ao plano Free (despromoção a partir de um plano pago — Starter, Pro ou Business — voluntária ou por falta de pagamento): o prazo de 180 dias conta-se a partir da data da passagem ao plano Free. No termo desses 180 dias, os mesmos dados são eliminados ou anonimizados. Se, antes do termo do prazo, a conta voltar a um plano pago, o prazo de 180 dias cessa e volta a aplicar-se a regra da conta ativa.
• Aviso prévio: avisaremos o administrador da escola por e-mail, com antecedência razoável, antes da eliminação ou anonimização, quando for razoavelmente possível.
• Exceções legais e fiscais: a faturação e os dados necessários ao cumprimento de obrigações legais ou fiscais são conservados pelos prazos legais aplicáveis nos EUA / Califórnia e, se relevante, noutras jurisdições onde tenhamos essas obrigações, mesmo após a eliminação ou anonimização dos restantes dados da conta.
• Cópias de segurança (backups): cópias residuais podem permanecer nos sistemas de backup até ao termo do ciclo de retenção dessas cópias. Não são usadas para prestar o Serviço nem para outras finalidades e são eliminadas ou sobrescritas quando esse ciclo termina.
• Logs de segurança: conservados durante 12 meses.
• Dados de alunos (como processadora): conforme instruções da escola e, na ausência de instrução, alinhados ao ciclo de vida da escola no Serviço, incluindo os prazos de 180 dias descritos acima.
• Lista de supressão de marketing: conservada pelo tempo necessário para honrar o pedido de não receber e-mails de dicas, novidades e ofertas, salvo nova manifestação expressa do titular.
• Registro de consentimento e de oposição: conservado durante a relação e por 5 anos após o seu termo, para prova e accountability (incluindo LGPD art. 8.º, § 2.º, e art. 37.º; GDPR art. 5.º, n.º 2, e art. 7.º, n.º 1). O termo da relação é a data de eliminação ou anonimização da conta, ou o fim dos 180 dias após o cancelamento ou a passagem ao plano Free, o que ocorrer primeiro.

10. Os seus direitos

Consoante a sua localização, pode ter direitos sob o GDPR, a LGPD e/ou a CCPA/CPRA, incluindo:

• Acesso aos dados que temos sobre si;
• Retificação de dados inexatos ou incompletos;
• Apagamento (“direito a ser esquecido”), nos termos da lei;
• Limitação ou oposição a certos tratamentos;
• Oposição a marketing direto: pode opor-se a qualquer momento, de forma gratuita, em um clique no e-mail ou nas preferências da conta; deixaremos de enviar dicas, novidades e ofertas de imediato (GDPR art. 21.º, n.os 2 e 3; LGPD art. 18.º, § 2.º). Os e-mails da conta e da faturação continuam a ser enviados;
• Portabilidade dos dados, quando aplicável;
• Retirada do consentimento, quando o tratamento se basear em consentimento;
• Decisões automatizadas / profiling: não efetuamos tomada de decisão automatizada nem profiling com efeitos jurídicos ou significativamente semelhantes sobre si;
• Sob a CCPA/CPRA (residentes da Califórnia): direito a saber, a apagar, a corrigir, a optar por não vender ou partilhar (“Do Not Sell or Share”) dados para publicidade comportamental cross-context, e a não ser discriminado pelo exercício dos direitos. Não vendemos dados pessoais no sentido da CCPA/CPRA. Partilhamos identificadores e dados de utilização com parceiros de publicidade (por exemplo Google Ads, via GTM) para publicidade comportamental cross-context. Para optar por não vender nem partilhar, use a ligação “Do Not Sell or Share My Personal Information” no rodapé do site, envie um e-mail para [email protected] com esse assunto, ou active o sinal Global Privacy Control (GPC) no seu browser — honramos pedidos GPC como um opt-out de venda/partilha.

Como exercer: contacte o Oficial de Conformidade de Privacidade no e-mail indicado na secção 1. Podemos pedir informações razoáveis para verificar a sua identidade. Responderemos nos prazos legais (em regra, até 30 dias no GDPR / prazos da LGPD e CCPA, conforme aplicável).

Alunos de uma escola: preferencialmente contacte a escola (controladora). Podemos ajudar a encaminhar.

11. Reclamações a autoridades

Tem o direito de apresentar reclamação a uma autoridade de controlo:

• EEE: a autoridade do seu Estado-Membro de residência habitual, local de trabalho ou local da alegada infração (lista da EDPB);
• Reino Unido: Information Commissioner’s Office (ICO);
• Brasil: Autoridade Nacional de Proteção de Dados (ANPD);
• Califórnia: California Privacy Protection Agency (CPPA) / Attorney General, conforme aplicável.

Pedimos que nos contacte primeiro para tentarmos resolver a questão.

12. Segurança

Adotamos medidas técnicas e organizativas adequadas ao risco, incluindo criptografia em trânsito (TLS/SSL), controlos de acesso, armazenamento em infraestrutura protegida e práticas alinhadas a padrões da indústria. Dados de cartão são tratados por prestadores compatíveis com PCI-DSS (Stripe); a Envixo não armazena o PAN completo.

Nenhum método de transmissão ou armazenamento eletrónico é 100% seguro. Em caso de incidente de segurança que afete os seus dados, notificaremos você e/ou as autoridades conforme a lei aplicável.

13. Crianças

Contas de criador/administrador exigem idade mínima de 18 anos.

Escolas que matriculem menores são responsáveis por obter o consentimento parental ou outra base legal exigida e por configurar a escola de forma adequada. Se soubermos que recolhemos dados de uma criança em violação desta política, tomaremos medidas para os apagar ou para pedir à escola que os corrija.

14. Alterações a esta política

Podemos atualizar esta Política de Privacidade periodicamente. A data de “Última atualização” no topo será revista. Se as alterações forem materiais, avisaremos por e-mail à conta administrativa e/ou por aviso destacado no Serviço, com a antecedência razoável exigida pela lei.

A versão publicada em https://coursify.me/privacy-policy é a versão vigente.

15. Contacto

Para exercer direitos, registar uma queixa ou colocar dúvidas sobre privacidade:

Envixo Products Studio LLC
Privacy Compliance Officer
28 Geary St, Ste 650 #1712
San Francisco, CA 94108
United States
Telefone: +1 (628) 333-3129
E-mail: [email protected]