Política de Privacidade (LGPD)
Última Atualização: Setembro de 2026 | Versão: 1.0 (PFC / UMC)
Esta Política de Privacidade descreve como a plataforma Vitrine Acadêmica coleta, utiliza, armazena, compartilha e protege os dados pessoais dos seus usuários, em total conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 - LGPD) e as diretrizes do Projeto Final de Curso (PFC/UMC).
1. Controladores e Responsáveis pelo Tratamento
1.1. No âmbito acadêmico deste Projeto Final de Curso da Universidade de Mogi das Cruzes (UMC), os desenvolvedores discentes e a instituição atuam como controladores simulados das operações de tratamento de dados pessoais.
1.2. Para questões relativas à proteção de dados e ao exercício dos seus direitos de titular, entre em contato através dos canais de atendimento disponíveis no painel da aplicação.
2. Inventário de Dados Pessoais Coletados
Em obediência ao princípio da minimização da LGPD, a plataforma coleta apenas as informações estritamente necessárias para a prestação dos serviços acadêmicos:
- Dados de Identificação e Acesso: Nome completo, endereço de e-mail, handle (username), foto de perfil e registros de consentimento da LGPD.
- Dados de Vínculo Institucional: Instituição de ensino vinculada, papel acadêmico (Aluno, Professor, Secretaria, Gerente), RGM/matrícula e comprovantes documentais em PDF/imagem enviados para validação.
- Dados de Conteúdo e Interação: Projetos criados, chamados publicados, candidaturas enviadas, avaliações atribuídas (estrelas e notas docentes), histórico do extrato de pontos, preferências de tags e inscrições em autores.
- Dados Técnicos e de Auditoria: Endereço IP de origem, user-agent do navegador, registros de sessão (sid), hashes dos códigos de acesso e logs imutáveis de auditoria.
3. Matriz de Finalidades, Hipóteses Legais e Retenção
Cada atividade de tratamento realizada na Vitrine Acadêmica possui respaldo em uma hipótese legal prevista no Art. 7º da LGPD:
| Categoria de Dado | Finalidade Concreta | Hipótese Legal (LGPD) | Retenção |
|---|---|---|---|
| E-mail e Username | Autenticação passwordless e emissão de sessões JWT. | Execução de Contrato (Art. 7º, V) | Até a exclusão da conta. |
| Comprovantes Institucionais | Homologação do papel de aluno/professor pela secretaria. | Execução de Contrato e Legítimo Interesse (Art. 7º, V e IX) | Privado no R2; descarte pós-análise. |
| Projetos e Chamados | Exposição do trabalho e recrutamento de colaboradores. | Execução de Contrato (Art. 7º, V) | Enquanto mantido publicado pelo autor. |
| Inscrições e Tags | Personalização do feed e envio de e-mails de acompanhamento. | Consentimento e Contrato (Art. 7º, I e V) | Até o cancelamento pelo usuário (opt-out). |
| Logs de Auditoria | Rastreabilidade de ações críticas e segurança do sistema. | Obrigação Legal e Legítimo Interesse (Art. 7º, II e IX) | Prazo legal imutável do Marco Civil. |
4. Compartilhamento e Fornecedores Externos (Operadores)
Para o correto funcionamento da infraestrutura em nuvem, a plataforma compartilha dados estritamente operacionais com os seguintes prestadores de serviços:
- Vercel Inc.: Hospedagem da aplicação front-end em Next.js.
- Render Services Inc.: Hospedagem da API back-end em Node.js/Fastify.
- Neon Inc.: Banco de dados relacional PostgreSQL serverless.
- Upstash Inc.: Banco de dados em memória Redis para controle de cache.
- Cloudflare Inc. (Cloudflare R2): Armazenamento de arquivos, imagens e comprovantes com acesso restrito.
- Resend Inc.: Serviço de disparo de e-mails para envio de códigos de acesso e notificações.
- OpenAlex API: Consulta externa de catalogação de trabalhos acadêmicos públicos (sem transmissão de dados pessoais).
5. Medidas Técnicas de Segurança da Informação
A proteção de dados é integrada à arquitetura da aplicação desde a concepção (Privacy by Design):
- Autenticação Passwordless: Não há armazenamento de senhas. Os códigos de acesso têm uso único e são armazenados com criptografia hash.
- Autorização Estrita no Back-End: As permissões são validadas na API por JWT e regras de propriedade/RBAC em cada requisição.
- Criptografia e Isolamento: Tráfego 100% protegido por HTTPS, uso de Drizzle ORM contra SQL Injection e buckets privados para comprovantes de verificação.
- Logs de Auditoria: Mutações administrativas e transações de pontos geram registros imutáveis protegidos contra adulteração.
6. Direitos dos Titulares e Procedimentos
Em conformidade com o Art. 18 da LGPD, os usuários podem exercer seus direitos de forma automatizada na página "Minha Conta":
- Acesso e Confirmação: Acesso imediato aos dados de perfil, preferências e histórico de atividades.
- Portabilidade dos Dados: Funcionalidade de download para exportação de todos os dados em formato JSON estruturado.
- Eliminação de Dados: Botão de exclusão de conta que executa a remoção permanente dos dados pessoais e a anonimização de registros públicos.
- Revogação de Consentimento: Desconexão imediata de acompanhamento de autores no perfil ou pelo link de opt-out no rodapé dos e-mails.
7. Tratamento de Dados Especiais e Inteligência Artificial
7.1. A plataforma não trata dados pessoais sensíveis de saúde, biometria, informações financeiras reais ou dados de crianças.
7.2. O uso previsto de modelos de Inteligência Artificial para sugestão de nomes de eventos e verificação de similaridade atuará exclusivamente como ferramenta de apoio técnico, sendo obrigatória a revisão humana antes de qualquer decisão com efeito para os usuários.
8. Plano de Resposta a Incidentes de Segurança
Na eventualidade de um incidente de segurança envolvendo dados pessoais, a equipe executará um protocolo estruturado em 4 etapas:
- Detecção e Contenção: Identificação e isolamento da vulnerabilidade técnica com preservação dos registros de log.
- Avaliação de Impacto: Análise do volume e da sensibilidade das informações afetadas.
- Notificação: Comunicação formal aos titulares afetados e autoridades competentes caso seja constatado risco relevante.
- Remediação: Aplicação de correções definitivas e auditoria pós-incidente.
9. Alterações desta Política
Esta Política de Privacidade poderá ser atualizada periodicamente para refletir evoluções técnicas ou regulatórias. Notificações sobre alterações relevantes serão exibidas na plataforma ou enviadas aos e-mails cadastrados.