Política de privacidade

A Colmora atua em dois papéis distintos sob a LGPD, conforme o tipo de dado:

• Controladora — para os dados de cadastro, cobrança e uso da plataforma pelos produtores (workspaces) e seus membros de equipe, e para os dados de conta de qualquer usuário da plataforma (e-mail, nome, credenciais). Nesses casos, a Colmora decide as finalidades do tratamento.
• Operadora — para os dados dos alunos e compradores tratados em nome de cada produtor (matrículas, progresso, compras de um produto, certificados, ingressos). O controlador desses dados é o produtor que vendeu o produto; a Colmora processa por conta dele, seguindo suas instruções e esta política. Pedidos de titulares sobre esses dados podem ser feitos ao produtor ou diretamente ao nosso encarregado (seção 9), que encaminhará quando necessário.

• Conta: nome, e-mail, senha (armazenada com hash) e preferências (tema, notificações).
• Compra: nome, e-mail, CPF/CNPJ quando exigido pelo gateway do produtor, itens, valores e status do pedido. Não armazenamos dados de cartão — o pagamento é processado pelo gateway conectado pelo produtor.
• Uso do produto: progresso nas aulas, anotações, comentários, participação em comunidade, certificados e ingressos.
• Cobrança do produtor: dados de faturamento do workspace (assinatura da plataforma e medição de alunos ativos).
• Técnicos: registros de acesso (IP, data/hora, dispositivo) exigidos pelo Marco Civil da Internet e usados em segurança e prevenção a fraude.

Cada finalidade tem a sua base legal correspondente:

• Execução de contrato (art. 7º, V): criar e manter sua conta, entregar o conteúdo comprado, emitir certificados e ingressos, processar a assinatura do produtor.
• Obrigação legal (art. 7º, II): guarda de registros de acesso, registros fiscais e contábeis da nossa própria receita.
• Legítimo interesse (art. 7º, IX): segurança da plataforma, prevenção a fraude, melhoria do produto e comunicações operacionais (ex.: confirmação de compra, avisos de acesso).
• Consentimento (art. 7º, I): cookies de medição e marketing (gerenciáveis no banner e em /cookies) e comunicações promocionais, sempre revogável.

Não vendemos dados pessoais. Compartilhamos apenas com operadores necessários à prestação do serviço, sob contrato:

• Supabase — banco de dados, autenticação e armazenamento.
• Resend — envio de e-mails transacionais.
• Bunny.net — hospedagem e streaming dos vídeos.
• Gateways de pagamento do produtor (ex.: Asaas) — o processamento da sua compra acontece na conta do próprio produtor; os dados de pagamento seguem a política do gateway.
• O produtor do conteúdo — que, como controlador dos dados dos próprios alunos, vê nome, e-mail, compras e progresso dos alunos dele.
• Autoridades, quando houver obrigação legal ou ordem judicial.

Alguns desses provedores podem processar dados fora do Brasil; nesses casos a transferência internacional segue os requisitos da LGPD (arts. 33 e seguintes).

Você pode solicitar, a qualquer momento:

• Confirmação da existência de tratamento e acesso aos seus dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• Portabilidade dos seus dados (exportação em formato estruturado — seção 6);
• Eliminação dos dados tratados com base no seu consentimento;
• Informação sobre com quem compartilhamos seus dados;
• Revogação do consentimento (ex.: cookies de marketing), sem afetar o tratamento anterior.

Respondemos às solicitações no prazo de até 15 (quinze) dias. Você também pode excluir a conta sozinho, sem abrir chamado — o botão está na seção 6; dados cuja guarda é obrigatória por lei (ex.: registros de transações e fiscais) são retidos pelo prazo legal mesmo após a exclusão.

Qualquer usuário logado pode baixar, em JSON, uma cópia dos próprios dados (perfil, compras, matrículas, progresso, anotações, comentários, certificados, ingressos, notificações e preferências) — sem abrir chamado.

Entre na sua conta para baixar seus dados. Produtores também encontram a exportação do workspace em Configurações → Dados e privacidade.

• Dados de conta: mantidos enquanto a conta existir e pelo prazo legal após a exclusão.
• Registros de acesso: mínimo de 6 meses (Marco Civil da Internet).
• Registros de transações e fiscais: 5 anos (obrigações fiscais e prescrição legal).
• Credenciais de gateways conectadas pelos produtores: criptografadas em repouso (AES-GCM).
• Acesso interno restrito por papéis e registrado em trilha de auditoria; comunicação sempre sob TLS.

Usamos cookies necessários (sessão, tema, registro da sua escolha de consentimento) e, somente com o seu consentimento, cookies de medição e marketing. A lista completa e o gerenciamento estão em /cookies.

O encarregado pelo tratamento de dados pessoais (DPO) da Colmora atende pelo e-mail contato@colmora.com (assunto sugerido: "LGPD"). Prazo de resposta: até 15 dias. Se não ficar satisfeito, você pode recorrer à Autoridade Nacional de Proteção de Dados (ANPD).