Política de Privacidade

Resumo rápido

O que coletamos	Por que	Base legal (LGPD)
Nome, e-mail, foto de perfil (Google OAuth)	Identificar e autenticar sua sessão	Execução de contrato — art. 7, V
Token OAuth do Google	Operar Google Drive em seu nome	Execução de contrato — art. 7, V
Metadados de arquivos (nome, tamanho, tipo)	Exibir sua biblioteca e sincronizar	Execução de contrato — art. 7, V
Logs de conexão (IP, timestamp)	Segurança e cumprimento legal	Obrigação legal — art. 7, II (Marco Civil, art. 13)
Métricas técnicas agregadas (Cloudflare Web Analytics)	Entender tráfego e desempenho da página, sem cookies, publicidade ou perfilamento	Legítimo interesse — art. 7, IX
Dados de cobrança (identificador do pagamento, valor, produto, data)	Conceder acesso ao conteúdo comprado e processar reembolsos	Execução de contrato — art. 7, V

1Quem somos

Controlador de dados: Lectorium, operado pelo responsável pelo serviço e pelas decisões sobre tratamento de dados pessoais nesta aplicação.

Encarregado (DPO): Para exercer seus direitos ou tirar dúvidas sobre privacidade, contate nosso canal dedicado: contato@lectorium.com.br. Respondemos em até 15 dias úteis, conforme exige o art. 18 §5 da LGPD.

2Dados que coletamos e por quê

2.1Conta Google (opcional para usar Google Drive)

Ao fazer login com o Google, o Lectorium recebe do Google OAuth:

Nome de exibição, endereço de e-mail e foto de perfil — para criar e identificar sua conta.
Token de acesso OAuth — para realizar operações no Google Drive em seu nome durante a sessão.

Base legal: execução de contrato (art. 7, V da Lei 13.709/2018). Esses dados são necessários apenas para autenticação e recursos conectados ao Google Drive; o workspace local pode ser usado sem conectar uma conta Google.

Retenção: enquanto você mantiver sua conta ativa. O token OAuth é armazenado localmente, criptografado no seu dispositivo, e eliminado ao deslogar.

Escopos Google Drive: drive.file (apenas arquivos criados ou abertos pelo app) e drive.appdata (manifesto privado da biblioteca).

2.2Arquivos e conteúdo

Edição, anotação e armazenamento de documentos ocorrem localmente no seu dispositivo. Para recursos de IA — incluindo OCR de PDFs digitalizados — o conteúdo vai diretamente do app para as APIs do Google (Gemini); não transita por servidores do Lectorium e não temos acesso a ele.

Base legal: execução de contrato (art. 7, V).

Retenção: o cache local fica no armazenamento do app até você limpar os dados ou deslogar.

2.3Dropbox (integração opcional)

Se você conectar o Dropbox, o Lectorium acessa apenas os arquivos que você selecionar explicitamente. O token Dropbox é armazenado localmente, criptografado. Nenhum dado do Dropbox é transmitido para nossos servidores.

Base legal: execução de contrato (art. 7, V).

2.4Logs de conexão

Nossa infraestrutura (Supabase) registra logs de acesso contendo endereço IP e timestamp, conforme exigido pelo art. 13 do Marco Civil da Internet (Lei 12.965/2014). Esses logs são mantidos por 12 meses e só são divulgados a terceiros mediante ordem judicial.

Base legal: obrigação legal (art. 7, II da LGPD).

2.5Dados de pagamento

Ao realizar uma compra (tema ou plano Pro), o Lectorium registra o identificador do pagamento, o valor, o produto adquirido e a data da transação. Esses dados são armazenados em nossa infraestrutura segura (Supabase com RLS) e são necessários para conceder o acesso ao produto comprado e para processar eventuais reembolsos pelo direito de arrependimento.

O processamento do pagamento é realizado integralmente pelo Mercado Pago — o Lectorium não armazena dados de cartão de crédito, dados bancários nem detalhes de instrumentos de pagamento.

Base legal: execução de contrato (art. 7, V da LGPD). Retenção: mantidos pelo prazo de 5 anos para fins fiscais e de suporte, conforme legislação brasileira aplicável.

2.6Métricas técnicas e telemetria

Usamos Cloudflare Web Analytics para métricas técnicas agregadas de tráfego e desempenho das páginas públicas. Segundo a Cloudflare, esse recurso não usa cookies, localStorage ou identificadores de usuário para coletar métricas. Não usamos Google Analytics, publicidade comportamental, retargeting ou perfilamento.

Eventos técnicos internos usados para diagnóstico no app não são enviados para servidores do Lectorium.

Base legal: legítimo interesse (art. 7, IX da LGPD), limitado à segurança, desempenho e melhoria do serviço.

3Com quem compartilhamos

Não vendemos, alugamos nem repassamos seus dados a corretores de dados ou anunciantes. Compartilhamos apenas com os seguintes subprocessadores, estritamente para operar o serviço:

Google LLC (Estados Unidos) — autenticação OAuth e Google Drive API. Transferência internacional amparada pelas Cláusulas Contratuais Padrão (SCCs) da Comissão Europeia, aceitas pelo Google no Google Cloud Data Processing Addendum.
Supabase Inc. (Estados Unidos / União Europeia) — infraestrutura de banco de dados e autenticação. Transferência amparada pelas SCCs e pelo DPA (Data Processing Agreement) da Supabase.
Cloudflare Inc. (Estados Unidos / rede global) — hospedagem, segurança, CDN e métricas técnicas agregadas de páginas públicas via Cloudflare Web Analytics.
Dropbox Inc. (Estados Unidos) — apenas se você conectar o Dropbox voluntariamente. Transferência amparada pelas SCCs do Dropbox.
Mercado Pago S.A. (Brasil / Argentina) — processamento de pagamentos para compras dentro do app. O Mercado Pago recebe os dados necessários para processar a transação e emite a confirmação de pagamento. O Lectorium não repassa dados de cartão ou dados bancários — esses dados trafegam diretamente entre você e o Mercado Pago. Sujeito às Políticas de Privacidade do Mercado Pago.

4Transferências internacionais de dados

Nossos subprocessadores (Google, Supabase, Cloudflare, Dropbox, Mercado Pago) estão sediados nos Estados Unidos, Brasil ou operam infraestrutura global. As transferências internacionais de dados pessoais são realizadas com base nas Cláusulas Contratuais Padrão (SCCs) adotadas pela Comissão Europeia, mecanismo reconhecido pelo art. 33 e seguintes da LGPD como salvaguarda adequada. Cada fornecedor mantém DPAs disponíveis publicamente em seus respectivos sites.

5Decisões automatizadas

O Lectorium não utiliza decisões automatizadas que produzam efeitos jurídicos ou que afetem significativamente você (art. 20 da LGPD). Os recursos de IA geram sugestões que dependem sempre de revisão e ação humana.

6Segurança

Tokens de acesso são armazenados criptografados no seu dispositivo (AES-GCM via WebCrypto API).
Toda comunicação com APIs externas usa HTTPS/TLS.
Nossa infraestrutura Supabase opera com RLS (Row-Level Security) — cada usuário acessa apenas seus próprios dados.
Em caso de incidente de segurança que possa afetar seus dados, notificaremos você e a ANPD conforme os prazos do art. 48 da LGPD.

7Seus direitos (LGPD — art. 18)

Você pode exercer os seguintes direitos a qualquer momento:

Confirmação e acesso: confirmar se tratamos dados seus e obter cópia.
Correção: corrigir dados incompletos, inexatos ou desatualizados.
Anonimização ou eliminação: solicitar anonimização ou exclusão de dados tratados com base em consentimento ou legítimo interesse.
Portabilidade: receber seus dados em formato estruturado para transferência a outro serviço.
Oposição: opor-se a tratamentos realizados com base em legítimo interesse.
Informação sobre compartilhamento: saber com quais entidades compartilhamos seus dados.
Revogação do consentimento: onde o consentimento for a base legal, retirar o consentimento a qualquer momento sem prejuízo dos tratamentos anteriores.

Para exercer qualquer direito, entre em contato com nosso Encarregado: contato@lectorium.com.br.
Respondemos em até 15 dias úteis, conforme art. 18 §5 da LGPD.

8Como revogar o acesso Google

A qualquer momento, você pode:

Sair da conta nas configurações do app — isso apaga o token local.
Revogar a autorização do Lectorium diretamente na página de permissões da sua Conta Google.
Limpar dados locais do app nas configurações do Android.

Seus arquivos no Drive permanecem na sua conta Google. Só você pode excluí-los por lá.

9Cookies e armazenamento local

O Lectorium não usa cookies de rastreamento ou publicidade. Usamos armazenamento local do app para manter sua sessão e cache de trabalho offline. O Cloudflare Web Analytics, quando ativo na infraestrutura, fornece métricas agregadas sem cookies ou localStorage. Os dados locais do workspace ficam no seu dispositivo e não são acessados remotamente por nós.

10Crianças e adolescentes

O Lectorium pode ser usado em contextos educacionais, inclusive por estudantes menores de idade, desde que com orientação de responsáveis, professores ou instituições de ensino. O tratamento de dados de crianças e adolescentes deve observar o melhor interesse do estudante e as autorizações exigidas pela legislação aplicável.

Se você acredita que uma criança usou o Lectorium sem a autorização necessária, entre em contato em contato@lectorium.com.br. Como o app é local-first, ajudaremos a orientar a exclusão de dados locais, a revogação de permissões e a remoção de dados que estejam sob nosso controle.

11Alterações a esta Política

Avisaremos sobre mudanças relevantes com pelo menos 30 dias de antecedência via interface do app ou e-mail. A data de vigência no topo deste documento indica a versão atual. O uso continuado após a data de vigência constitui aceite da versão atualizada.

12Contato e Encarregado (DPO)

Para dúvidas gerais: contato@lectorium.com.br
Para questões de privacidade e exercício de direitos LGPD: contato@lectorium.com.br