Política de Privacidade

1. Introdução

O USMLE Brasil ("nós", "nosso" ou "site") está comprometido em proteger sua privacidade. Esta Política de Privacidade explica como coletamos, usamos, divulgamos e protegemos suas informações pessoais quando você visita nosso site em usmlebrasil.com.br, em conformidade com a Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018).

Quem decide sobre o tratamento dos seus dados (controlador): Christian Luis Rodrigues de Oliveira, pessoa física, CPF 031.616.480-13, endereço Rua Bispo Laranjeira, 54, Porto Alegre, RS, CEP 90840-230, contato contato@usmlebrasil.com.br.

2. Dados que Coletamos

Podemos coletar os seguintes tipos de informações:

• Dados de Identificação: endereço de e-mail, quando você se inscreve na newsletter ou na lista de espera da consultoria (o formulário da newsletter pede só o e-mail). Também guardamos o domínio do e-mail e, na inscrição da newsletter, o texto de identificação do seu navegador (user agent, até 512 caracteres), como registro de que a inscrição partiu do formulário do site.
• Dados de Compra: na compra pela Stripe, guardamos nome, e-mail, valor, moeda, situação do pagamento, o pacote escolhido e identificadores da Stripe. O cartão é tratado pela Stripe e os dados do cartão não chegam até nós; o endereço de cobrança e o campo opcional de etapa que o checkout pede ficam na Stripe e não são copiados para o nosso banco. Quem compra também tem o e-mail e o pacote contratado registrados na nossa tabela de contatos, sem ser inscrito na newsletter por isso.
• Contato e materiais: nome, e-mail e mensagem do formulário de contato, que ficam no nosso banco e também seguem por e-mail para nós. Os materiais da consultoria (por exemplo Personal Statement ou CV) chegam quando você responde ao e-mail de confirmação da compra, e ficam na nossa caixa de e-mail. Esses materiais podem conter dados pessoais sensíveis (por exemplo saúde, origem racial ou étnica, religião ou opinião política) se você os incluir. Inclua só o que for necessário para a revisão e omita os detalhes sensíveis que não precisem ser revisados. Se você mesmo decidir incluir dados sensíveis, o envio do material é o seu consentimento específico e em destaque (LGPD, art. 11, I) para que os usemos apenas para fazer a revisão que você contratou, e para nenhuma outra finalidade. Você pode revogar esse consentimento a qualquer momento escrevendo para contato@usmlebrasil.com.br. Apagamos os materiais recebidos e as versões revisadas entregues até 12 meses depois da entrega, um prazo separado do registro de pagamento (seção 7).
• Limitação de abuso: para limitar requisições em excesso, o site consulta um armazenamento de limites. O armazenamento de limites guarda seu endereço IP e, no limite de reenvio do e-mail de confirmação, um hash (HMAC-SHA256 com chave secreta nossa) do seu e-mail (o hash continua sendo dado pessoal, porque quem tem a chave e conhece o e-mail consegue recalcular o hash). Cada registro expira sozinho em até 2 horas e 1 segundo nos limites por IP, e em até 2 dias e 1 segundo no limite do e-mail, contados do primeiro pedido da janela. Não guardamos estatísticas de uso desse limitador.
• Relatórios de segurança do navegador (CSP): quando o navegador bloqueia um recurso da página, os relatórios de segurança que ele envia ao site são registrados com a regra violada, o endereço bloqueado, o endereço da página sem a parte da consulta (o que vem depois de "?") e o tipo de navegador.
• Dados de Uso: Informações sobre como você interage com nosso site, incluindo páginas visitadas, tempo de permanência e origem do tráfego.
• Dados Técnicos: Endereço IP, tipo de navegador, sistema operacional e informações do dispositivo. O endereço IP é usado também para limitar tentativas abusivas nos formulários e no checkout, por um serviço de limite de requisições (Upstash). No cadastro da newsletter, esse serviço guarda também uma versão codificada (hash) do e-mail, para limitar repetições.

Por quanto tempo guardamos: veja os prazos na seção 7. Quem cancela a newsletter continua no banco, marcado como descadastrado, para não receber e-mails de novo, até o fim do prazo da newsletter.

3. Como Usamos Seus Dados

Utilizamos suas informações para:

• Enviar nossa newsletter com conteúdo sobre USMLE (quando você se inscreve voluntariamente);
• Cadastrar e processar pedidos da consultoria, enviar a confirmação de pagamento e prestar o serviço contratado;
• Registrar as mensagens do formulário de contato e a lista de espera da consultoria;
• Limitar requisições em excesso, verificar que o formulário de inscrição é usado por uma pessoa e acompanhar erros do servidor;
• Melhorar nosso site e a experiência do usuário;
• Medir o tráfego e o desempenho do site (Vercel Analytics e Speed Insights, sem cookies; Google Analytics apenas se você aceitar os cookies);
• Responder a suas perguntas e solicitações;
• Guardar registros de pagamento e atender obrigações legais e regulatórias.

4. Base Legal para o Tratamento

Tratamos seus dados pessoais com base nas seguintes fundamentações legais previstas na LGPD:

• Consentimento: Para envio de newsletter e comunicações de marketing, e para os cookies do Google Analytics;
• Interesse Legítimo: Para as métricas agregadas e sem cookies de uso e performance do site, e para a segurança do site e a prevenção de abuso (limite de requisições, verificação anti-robô Cloudflare Turnstile e monitoramento de erros), com base no art. 7, IX da LGPD. Mantemos uma avaliação de balanceamento (teste de proporcionalidade) dessa finalidade, e você pode se opor a esse tratamento pelos canais da seção 9, nos termos do art. 18, §2º da LGPD;
• Execução de Contrato: Para fornecer os serviços solicitados por você.
• Consentimento específico e em destaque (art. 11, I): Para os dados pessoais sensíveis que você decidir incluir nos materiais da consultoria, somente para fazer a revisão contratada.

5. Cookies e Tecnologias de Rastreamento

Não veiculamos publicidade. Este site não utiliza nenhuma rede de anúncios e não possui cookies publicitários ou de perfilamento para marketing de terceiros.

O que efetivamente usamos:

• Vercel Analytics e Vercel Speed Insights (sem cookies): medem páginas visitadas e tempo de carregamento de forma agregada, sem cookies e sem identificador persistente no seu navegador. Por não identificarem você, funcionam para todos os visitantes com base em interesse legítimo.
• Google Analytics 4 (com cookies, apenas com seu consentimento): grava cookies próprios (_ga e _ga_*) com um identificador persistente. Só é carregado depois que você clica em "Aceitar" no aviso de cookies. Se você clicar em "Rejeitar", nenhum cookie do Google Analytics é criado e o site continua funcionando normalmente.
• Cloudflare Turnstile (onde aparece o formulário de inscrição): verificação anti-robô que roda no seu navegador, carregada de servidores da Cloudflare, que recebe seu endereço IP e dados do navegador. Se você não puder concluir a verificação, o formulário não envia a inscrição.
• Armazenamento local essencial: guardamos no seu navegador apenas a sua própria escolha sobre cookies (chave cookie_consent), para não repetir a pergunta a cada visita.
• Cloudflare Turnstile (verificação anti-robô): nos formulários de inscrição na newsletter e do checklist da Match Week, o navegador carrega um script da Cloudflare e o endereço IP é enviado à Cloudflare para confirmar que você não é um robô.
• Stripe (somente nas páginas de pagamento): processa pagamentos e define cookies próprios de prevenção a fraude quando você abre um checkout.

Você pode revogar o consentimento a qualquer momento apagando os cookies e o armazenamento local deste site nas configurações do seu navegador, o que fará o aviso aparecer de novo. Para saber como o Google trata esses dados, visite: Política de Privacidade do Google.

6. Seus Direitos (LGPD)

De acordo com a LGPD, você tem os seguintes direitos:

• Confirmar a existência de tratamento de dados;
• Acessar seus dados pessoais;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Solicitar a anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Solicitar a eliminação dos dados tratados com base no seu consentimento;
• Saber com quais entidades públicas e privadas compartilhamos seus dados (os operadores estão listados na seção 8);
• Ser informado sobre a possibilidade de não dar consentimento e sobre as consequências da recusa;
• Revogar o consentimento a qualquer momento (na newsletter, pelo link de cancelamento que vai em cada e-mail);
• Opor-se a um tratamento feito sem consentimento, quando houver descumprimento da LGPD;
• Solicitar a portabilidade dos dados;
• Peticionar à Agência Nacional de Proteção de Dados (ANPD).

Para exercer qualquer um desses direitos, escreva para contato@usmlebrasil.com.br ou use o formulário de contato. Respondemos nos prazos do art. 19 da LGPD.

7. Segurança e Retenção dos Dados

Implementamos medidas de segurança técnicas e organizacionais adequadas para proteger seus dados pessoais contra acesso não autorizado, alteração, divulgação ou destruição.

Prazos de guarda: assinantes da newsletter, por até 24 meses; mensagens do formulário de contato e da lista de espera, por até 12 meses; registros de compra e pagamento, por 5 anos contados do início do ano seguinte ao da compra, para cumprir obrigações fiscais. Os materiais da consultoria seguem o prazo próprio descrito na seção 2 (até 12 meses depois da entrega). Esses são os prazos máximos que adotamos. Hoje não existe uma rotina automática que apague os dados: ao fim de cada prazo, a eliminação é feita manualmente por nós. Você pode pedir a eliminação antes pelos canais da seção 9, e nós atendemos o pedido, salvo quando a lei exigir que o dado seja mantido (por exemplo, registros de pagamento).

8. Compartilhamento de Dados e Operadores

Não vendemos, alugamos ou comercializamos seus dados pessoais. Usamos prestadores de serviço (operadores) que tratam dados em nosso nome, apenas para o fim indicado:

• Vercel: hospedagem do site e métricas de uso sem cookies (Vercel Analytics e Speed Insights).
• Neon: banco de dados (e-mails de inscritos, pedidos, mensagens de contato, compras da Stripe).
• Upstash: armazenamento usado para limitar requisições em excesso. O armazenamento de limites guarda seu endereço IP e, no limite de reenvio do e-mail de confirmação, um hash (HMAC-SHA256 com chave secreta nossa) do seu e-mail (o hash continua sendo dado pessoal, porque quem tem a chave e conhece o e-mail consegue recalcular o hash). Cada registro expira sozinho em até 2 horas e 1 segundo nos limites por IP, e em até 2 dias e 1 segundo no limite do e-mail, contados do primeiro pedido da janela. Não guardamos estatísticas de uso desse limitador.
• Resend: envio de e-mails (newsletter, confirmações de compra, aviso das mensagens de contato e das compras para nós) e lista de contatos da newsletter (e-mail).
• Stripe: processamento de pagamentos; os dados do cartão são tratados pela Stripe. A Stripe trata os dados do pagamento em nosso nome (como operadora) e também para os seus próprios fins de prevenção a fraude e cumprimento legal (como controladora independente); veja a política de privacidade da Stripe.
• ImprovMX: serviço de encaminhamento de e-mail que recebe as mensagens enviadas a contato@usmlebrasil.com.br e as repassa à caixa de e-mail do controlador.
• Caixa de e-mail: as respostas e os materiais que você envia por e-mail chegam à caixa de e-mail do controlador, mantida em um provedor de e-mail comercial, que também trata esses dados em nosso nome.
• Cloudflare: verificação anti-robô (Turnstile) no formulário de inscrição; recebe seu endereço IP e dados do navegador.
• Sentry: monitoramento de erros do servidor, ativo. Corpo da requisição, cookies, cabeçalhos e e-mails são removidos das mensagens de erro por um filtro automático, que não garante a remoção de todo dado pessoal. Recebemos rastros de pilha (stack traces), o caminho da URL (sem parâmetros de consulta) e o texto do erro. O projeto fica na União Europeia (Alemanha) e os relatórios são guardados por 30 dias.
• Google: Google Analytics (somente com seu consentimento). O site também faz uma pré-conexão com servidores do Google ligados a fontes, o que expõe seu endereço IP ao Google, mas nenhum arquivo de fonte é baixado de lá (as fontes são servidas pelo próprio site).

Também podemos compartilhar dados com autoridades quando exigido por lei.

9. Controlador e Canal do Titular

O controlador dos dados pessoais é Christian Luis Rodrigues de Oliveira, pessoa física, CPF 031.616.480-13, com endereço em Rua Bispo Laranjeira, 54, Porto Alegre, RS, CEP 90840-230.

Encarregado pelo tratamento de dados pessoais (art. 41 da LGPD): o próprio controlador, Christian Luis Rodrigues de Oliveira. Para exercer seus direitos ou tirar dúvidas, escreva para contato@usmlebrasil.com.br ou use o formulário de contato.

10. Transferência Internacional

Alguns operadores tratam dados fora do Brasil, principalmente nos Estados Unidos. O art. 33 da LGPD exige um mecanismo para cada transferência. A tabela abaixo diz, para cada operador, o país, a finalidade e o mecanismo que conseguimos comprovar hoje. Não afirmamos que um mecanismo cobre uma transferência quando ainda não temos como comprovar isso.

Informações sobre a transferência (Resolução CD/ANPD nº 19/2024, art. 17, §2º):

• Forma: os dados seguem pela internet, quando você usa o site e os formulários, para os operadores da tabela acima.
• Duração: pelo mesmo tempo em que guardamos os dados (seção 7). Cada operador pode ter prazos próprios, descritos nos seus termos.
• Finalidade específica: a indicada para cada operador na tabela.
• País de destino: o indicado para cada operador na tabela.
• Controlador e compartilhamento: o controlador é identificado na seção 9, e os operadores com quem compartilhamos dados estão na seção 8.
• Responsabilidades: os operadores tratam os dados em nosso nome, e a Stripe também como controladora independente dos dados do pagamento (seção 8).
• Medidas de segurança: as descritas na seção 7.
• Seus direitos e como reclamar: os direitos estão na seção 6, e você pode reclamar à Agência Nacional de Proteção de Dados (ANPD).

11. Alterações nesta Política

Podemos atualizar esta política periodicamente. Quaisquer alterações serão publicadas nesta página com a data de atualização revisada.

12. Contato

Se você tiver dúvidas sobre esta Política de Privacidade ou sobre como tratamos seus dados, entre em contato conosco:

Contato: contato@usmlebrasil.com.br ou formulário de contato