Política de Privacidade

A Xakar (a “Empresa”) trata dados pessoais para as seguintes finalidades. Os dados pessoais tratados não serão utilizados para nenhuma finalidade além das listadas abaixo; caso a finalidade mude, o consentimento prévio será obtido.

• Cadastro de usuários e verificação de identidade
• Prestação do Serviço e operação das funcionalidades de empacotamento de conteúdo
• Pagamentos de créditos e gerenciamento do histórico de transações
• Atendimento a consultas de clientes e resolução de disputas
• Melhoria do Serviço e análise estatística

Bases legais do tratamento (usuários do Espaço Econômico Europeu) — para usuários do EEE, a Empresa trata dados pessoais com as seguintes bases, nos termos do artigo 6 do GDPR.

• Cadastro e verificação de identidade, prestação do Serviço, pagamentos de créditos — execução de contrato (art. 6(1)(b))
• Retenção legal de registros de pagamento e transações — cumprimento de obrigação legal (art. 6(1)(c))
• Atendimento a solicitações, melhoria do serviço e estatísticas, segurança por meio de registros de acesso — legítimo interesse (art. 6(1)(f))

Dados obrigatórios

• Endereço de e-mail (para cadastro e verificação de identidade)
• Registros de uso do Serviço (histórico de empacotamento e registros de transações de créditos)
• IP de acesso, informações do navegador e data/hora de acesso

Dados coletados no momento do pagamento

• Informações do método de pagamento (processadas pela operadora do cartão ou pelo provedor de pagamentos; não armazenadas diretamente pela Empresa)
• Valor do pagamento e data/hora da transação

Dados coletados automaticamente

• Informações de cookies e sessão (para manter o estado de autenticação)

O endereço de e-mail é necessário para celebrar o contrato e prestar o Serviço. Se não for fornecido, o cadastro e o uso do Serviço não são possíveis. Os demais dados são gerados automaticamente durante o uso do Serviço ou coletados apenas no momento do pagamento.

Os dados pessoais são retidos e utilizados até o cancelamento da conta. No entanto, quando a legislação aplicável exigir um período de retenção específico, as informações são armazenadas separadamente pelos seguintes períodos.

• Registros de contratos e desistência: 5 anos (Lei de Comércio Eletrônico)
• Registros de pagamentos e fornecimento de bens/serviços: 5 anos (Lei de Comércio Eletrônico)
• Registros de reclamações de consumidores e resolução de disputas: 3 anos (Lei de Comércio Eletrônico)
• Registros de login: 3 meses (Lei de Proteção do Sigilo das Comunicações)
• Registros de aprendizagem: os resultados de conclusão (concluído / aprovado / reprovado) e o último progresso de cada aluno são mantidos até o término do contrato de serviço; os demais registros de atividade (reprodução, pausa etc.) de 24 a 36 meses conforme o plano

A Empresa não compartilha, em princípio, os dados pessoais dos usuários com terceiros. No entanto, os seguintes casos são exceções.

• Quando o usuário tiver dado consentimento prévio
• Quando exigido por lei ou mediante solicitação legítima de autoridade investigativa

A Empresa confia as seguintes tarefas de tratamento de dados pessoais para a operação do Serviço.

• Supabase Inc. — autenticação de usuários e operação de banco de dados
• Vercel Inc. — hospedagem do Serviço e operação de servidores
• Lemon Squeezy (Merchant of Record) — processamento de pagamentos, cálculo e recolhimento de impostos, e emissão de faturas. Dados pessoais relacionados ao pagamento (e-mail, país de cobrança, valor do pagamento) são compartilhados com o Lemon Squeezy na medida necessária para a conclusão da transação.
• Plus Five Five, Inc. (Resend) — envio de e-mails de notificação de contato. O nome, o endereço de e-mail, o telefone e a mensagem informados no formulário de contato são incluídos no e-mail de notificação.

Os usuários podem exercer os seguintes direitos a qualquer momento.

• Solicitar acesso aos dados pessoais
• Solicitar a correção de erros nos dados pessoais
• Solicitar a exclusão dos dados pessoais (cancelamento da conta)
• Solicitar a suspensão do tratamento de dados pessoais

Para exercer esses direitos, envie uma solicitação pelo nosso formulário de contato ou por e-mail para support@xakar.app, e a Empresa tomará as medidas necessárias sem demora.

Alguns direitos podem ser exercidos diretamente no Serviço. O histórico de empacotamento pode ser excluído a qualquer momento pelo botão «Limpar histórico» na tela Meus Pacotes, e o cancelamento da conta pode ser feito na tela de Configurações. Contudo, os registros de pagamento e de transações de créditos sujeitos a obrigação legal de retenção são armazenados separadamente das demais informações pelos períodos indicados no Artigo 3 e depois destruídos.

Direitos adicionais dos usuários do Espaço Econômico Europeu — além dos direitos acima, os usuários do EEE podem exercer os seguintes.

• Portabilidade dos dados — direito de receber os dados pessoais em formato estruturado, de uso comum e leitura automática (art. 20 do GDPR)
• Oposição ao tratamento — quando fundamentado em legítimo interesse (art. 21)
• Retirada do consentimento — a retirada não afeta a licitude do tratamento realizado anteriormente (art. 7(3))

A Empresa não realiza decisões automatizadas, incluindo definição de perfis, que produzam efeitos jurídicos sobre os usuários ou que os afetem significativamente de forma similar (art. 22).

Todos os pagamentos são processados pelo Lemon Squeezy, que atua como Merchant of Record. O Lemon Squeezy gerencia de forma independente o processamento de pagamentos, o cálculo de impostos e a emissão de faturas. A Empresa não armazena diretamente informações de pagamento sensíveis, como números de cartão. Os registros de transações de créditos (valor de recarga, histórico de descontos, saldo) são retidos com o objetivo de resolver disputas relacionadas ao uso do Serviço.

Via de regra, os créditos recarregados não são reembolsáveis após a conclusão da compra, e os registros de transações relacionados a esses pagamentos são retidos pelo período exigido por lei.

O Serviço utiliza apenas cookies essenciais necessários para a manutenção do estado de login e segurança. Nenhum cookie de marketing ou analítico é utilizado. Os cookies essenciais não podem ser desativados, pois são necessários para o funcionamento do Serviço.

A Empresa designa um responsável pela proteção de dados pessoais que supervisiona o tratamento geral dos dados.

• Fale conosco

Dúvidas sobre o tratamento de dados pessoais e pedidos de exercício de direitos podem ser enviados para o contato abaixo.

• Controlador: Xakar
• Contato: support@xakar.app

Em relação aos dados pessoais dos alunos (registros de conclusão, registros de atividade de aprendizagem e afins) gerados nos sites e conteúdos formativos que o Usuário opera por meio do Serviço, a Empresa atua como operadora, e o Usuário que opera o site é o controlador.

• As finalidades e os prazos de retenção são definidos pelo Usuário que opera o site, e a Empresa trata os dados conforme suas instruções.
• Os pedidos de acesso, correção, exclusão ou suspensão do tratamento feitos pelos alunos são recebidos pelo Usuário que opera o site. Se forem enviados diretamente à Empresa, esta os encaminhará a esse Usuário.
• A Empresa exclui registros de aprendizagem apenas a pedido ou por instrução do Usuário, não os alterando nem os excluindo por iniciativa própria.
• Mesmo que um aluno cancele sua conta na Empresa, os registros de aprendizagem que permanecerem em sites operados por outros Usuários são mantidos sob o controle destes. Para solicitar a exclusão, entre em contato com o operador do site em questão.
• Se o Usuário que opera um site cancelar sua conta, os registros de aprendizagem desse site são excluídos junto com o site e seu conteúdo.

A Empresa utiliza infraestrutura de fornecedores localizados fora da Coreia e, por isso, os dados pessoais são transferidos para o exterior conforme indicado abaixo. Essas transferências enquadram-se no artigo 28-8(1)3 da Lei de Proteção de Dados Pessoais como transferências necessárias à execução do contrato e à conveniência do usuário, e ocorrem sem consentimento separado por serem divulgadas nesta política.

Momento e método da transferência — transmitidos pela rede de forma contínua no momento em que o Serviço é utilizado.

• Supabase Inc. (Estados Unidos) — Finalidade: autenticação de usuários e operação do banco de dados / Dados: endereço de e-mail, registros de uso do serviço, IP de acesso, informações do navegador e data/hora de acesso / Retenção: até o cancelamento da conta ou o término do contrato de subcontratação / Contato: privacy@supabase.com
• Vercel Inc. (Estados Unidos · 440 N Barranca Avenue #4133, Covina, CA 91723) — Finalidade: hospedagem do serviço, operação de servidores e estatísticas agregadas de tráfego / Dados: IP de acesso, informações do navegador, data/hora de acesso / Retenção: até o término do contrato de subcontratação / Contato: privacy@vercel.com
• Sold Through Link, LLC (anteriormente Lemon Squeezy LLC, Estados Unidos · 222 South Main Street Suite 500, Salt Lake City, UT 84101) — Finalidade: processamento de pagamentos, cálculo e declaração de impostos, emissão de recibos / Dados: endereço de e-mail, país de cobrança, valor do pagamento / Retenção: pelo período exigido pela legislação aplicável / Contato: hello@lemonsqueezy.com
• Plus Five Five, Inc. (Resend, Estados Unidos · 2261 Market Street #5039, San Francisco, CA 94114) — Finalidade: envio de e-mails de notificação de contato / Dados: nome, endereço de e-mail, telefone, mensagem / Retenção: até o término do período de retenção do registro de envio ou do contrato de subcontratação / Contato: support@resend.com

Você pode recusar a transferência internacional dos seus dados pessoais. No entanto, como essas transferências são essenciais para a prestação do Serviço, recusá-las significa deixar de utilizá-lo cancelando sua conta.

A Empresa destrói sem demora os dados pessoais após o término do período de retenção ou o cumprimento da finalidade do tratamento.

• Procedimento de destruição — os dados pessoais cuja finalidade foi cumprida são classificados para destruição e destruídos. As informações que devem ser mantidas por força de outras normas são transferidas para um banco de dados separado, mantidas apartadas das demais pelos períodos indicados no Artigo 3 e depois destruídas.
• Método de destruição — os dados pessoais armazenados em arquivos eletrônicos são excluídos por meios técnicos que impedem a recuperação; os impressos em papel são triturados ou incinerados.
• Destruição automática — as informações mantidas separadamente cujo período de retenção expirou são destruídas automaticamente por rotinas de manutenção programadas.

A Empresa adota as seguintes medidas para manter os dados pessoais seguros.

• Controle de acesso — o número de pessoas com acesso a dados pessoais é mantido no mínimo e aplica-se segurança em nível de linha no banco de dados, de modo que cada usuário acesse apenas as suas próprias informações.
• Criptografia em trânsito — toda a comunicação entre os usuários e o Serviço é criptografada com HTTPS (TLS).
• Proteção de senhas — as senhas são armazenadas com funções hash unidirecionais e não podem ser descriptografadas; a Empresa não consegue conhecer os valores originais.
• Registros de acesso — os registros de acesso ao sistema de tratamento de dados pessoais são mantidos, e os registros de login são guardados por três meses nos termos da Lei de Proteção do Sigilo das Comunicações.
• Armazenamento separado — os registros de transações de membros que cancelaram a conta e que devem ser mantidos por lei são armazenados separadamente do banco de dados operacional.

Se você tiver alguma preocupação sobre o tratamento dos seus dados pessoais, informe-nos primeiro pelo formulário de contato. A Empresa analisará e responderá sem demora.

A Empresa está sediada na República da Coreia e trata dados pessoais conforme a legislação coreana. Por isso, os órgãos listados abaixo são coreanos e seus telefones só podem ser discados dentro da Coreia.

• Comitê de Mediação de Conflitos sobre Dados Pessoais — 1833-6972 (www.kopico.go.kr)
• Centro de Denúncias de Violação de Privacidade — 118 (privacy.kisa.or.kr)
• Procuradoria-Geral, Divisão de Investigação Cibernética — 1301 (www.spo.go.kr)
• Agência Nacional de Polícia, Departamento de Investigação Cibernética — 182 (ecrm.police.go.kr)

Se seus direitos ou interesses forem violados por ato ou omissão da Empresa em resposta a um pedido nos termos dos artigos 35 (acesso), 36 (correção ou exclusão) ou 37 (suspensão do tratamento) da Lei de Proteção de Dados Pessoais, você pode interpor recurso administrativo conforme previsto na Lei de Recursos Administrativos.

Se você residir fora da Coreia, poderá ainda ter, nos termos da lei do seu país, o direito de apresentar reclamação à autoridade local de proteção de dados.

Os usuários do Espaço Econômico Europeu têm o direito de apresentar reclamação a uma autoridade de controle, em especial no Estado-Membro de sua residência, local de trabalho ou do local da suposta infração, nos termos do artigo 77 do GDPR. A lista de autoridades está disponível no site do Comitê Europeu de Proteção de Dados (EDPB).

Esta Política pode ser revisada em conformidade com mudanças na legislação ou no Serviço. Em caso de revisão, será fornecido aviso dentro do Serviço com pelo menos 7 dias de antecedência à data de vigência.