Esta Política explica quais dados pessoais o PocketDocs coleta, por que coleta, com quem os compartilha, por quanto tempo os guarda e quais são os seus direitos. Ela vale para o site https://pocketdocs.dev, o painel de administração, a API de sincronização, a CLI e os sites públicos de documentação hospedados por nós. Seguimos a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) e o Marco Civil da Internet (Lei 12.965/2014). As regras de uso do Serviço estão nos Termos de Uso.
1. Quem é o responsável
O responsável pelo tratamento dos dados descritos nesta Política (o controlador, na LGPD) é Anderson Luis Polo Allgayer, CPF 038.323.940-01, com endereço em Rua Souza Doca, n. 69, bairro São Luiz, Sapiranga, RS, que atua sob o nome AlphaSystem.
O encarregado pelo tratamento de dados pessoais é Anderson Luis Polo Allgayer. Para falar sobre privacidade ou exercer seus direitos, escreva para support@alphasystem.dev.
2. Nosso papel em cada situação
- Dados da sua Conta, da cobrança, da segurança e do suporte. Aqui somos controladores: decidimos por que e como esses dados são tratados.
- Conteúdo das Organizações. O Conteúdo que uma Organização publica pode incluir dados pessoais de terceiros. Nesse caso, a Organização é a controladora, e nós atuamos como operadores, tratando esses dados em nome dela e apenas para prestar o Serviço. Pedidos de titulares sobre esse Conteúdo devem ser dirigidos à Organização, e nós a ajudamos quando necessário.
- Visitantes de sites públicos. Quando você visita um site público de documentação hospedado por nós, recebemos seu endereço IP e dados técnicos do navegador para entregar a página e proteger o Serviço. O conteúdo do site é de responsabilidade da Organização que o publica, que também pode carregar imagens ou outros recursos de outros sites (veja a seção 6).
3. Dados que coletamos
| Dados | De onde vêm | Para que usamos | Base legal (LGPD, art. 7) |
|---|---|---|---|
| Nome, e-mail e senha (guardamos apenas um hash da senha) | Você, no cadastro | Criar e autenticar sua Conta e enviar mensagens do Serviço | Execução de contrato (V) |
| Papel e participação em Organizações | Você, ou o Owner ou Admin que adicionou você | Controlar o acesso | Execução de contrato (V) |
| Conteúdo (projetos, versões, páginas, FAQ, changelogs, logotipos de projetos, ícone e configurações do site) | Você | Prestar o Serviço | Execução de contrato (V) |
| Tokens de acesso da API (guardamos apenas um hash, o nome, os últimos caracteres, a validade e a data do último uso) | Você | Permitir a CLI e a sincronização | Execução de contrato (V) |
| Dados de cobrança: o e-mail do Owner, o nome da Organização e o identificador da Organização enviados à Stripe, mais identificadores da Stripe, status, periodicidade e data de renovação da assinatura | Você e a Stripe | Cobrar, renovar, cancelar e mudar de plano | Execução de contrato (V) e obrigação legal (II) |
| Domínio próprio: nome do domínio, token de verificação e status | O Owner | Configurar e verificar o domínio | Execução de contrato (V) |
| Registros técnicos. No servidor web: endereço IP, data e hora, endereço acessado, resultado da requisição e navegador (user agent). Na aplicação: identificador da requisição, endereço acessado (sem os parâmetros de busca da URL), resultado, navegador, um endereço IP parcialmente mascarado quando um limite de uso é acionado e os identificadores da conta, da organização, do projeto ou da assinatura envolvidos em uma ação, com valores sensíveis mascarados. Quando uma busca em um site público falha, o termo buscado também é registrado | Gerados automaticamente | Segurança, prevenção de abuso e fraude, limitação de tentativas e diagnóstico de falhas | Legítimo interesse (IX) e, quando aplicável, obrigação legal (II) |
| Mensagens ao suporte e denúncias | Você | Responder e resolver o assunto | Execução de contrato (V), legítimo interesse (IX), obrigação legal (II) e exercício regular de direitos em processos (VI) |
Não pedimos dados pessoais sensíveis. Não coletamos dados bancários: o número do cartão é informado diretamente à Stripe.
4. Como usamos os dados
Usamos os dados para criar e proteger sua Conta, prestar o Serviço, cobrar o plano Pro, enviar mensagens necessárias (confirmação de e-mail, redefinição de senha e avisos sobre a Conta, a cobrança e estes documentos), responder ao suporte, cumprir a lei e defender nossos direitos.
Não vendemos dados pessoais, não os usamos para publicidade, não fazemos perfis comportamentais e não tomamos decisões automatizadas com efeito jurídico sobre você. Não enviamos newsletters nem mensagens de marketing.
5. Cookies e armazenamento local
Usamos apenas cookies essenciais ao funcionamento. Não usamos cookies de análise, de publicidade nem de rastreamento. Todos têm o atributo SameSite=Strict e, em produção, Secure. Os três primeiros da tabela também são HttpOnly, ou seja, os scripts da página não conseguem lê-los.
| Nome | Para que serve | Duração |
|---|---|---|
pd_auth |
Mantém você conectado | 7 dias |
pd_organization |
Lembra qual Organização você está usando | 1 ano |
pd_csrf |
Protege formulários contra requisições forjadas | Até você fechar o navegador |
pd_download |
Avisa o painel de que o download do ZIP que você pediu terminou | 1 minuto |
Os sites públicos de documentação não definem cookies para quem apenas lê.
Também usamos o armazenamento local do navegador, que não é enviado a nós: a chave pd_theme, que guarda sua escolha de tema claro ou escuro, e os rascunhos que o editor de Markdown salva automaticamente enquanto você escreve. Você pode apagar esses dados nas configurações do navegador.
6. Com quem compartilhamos
Compartilhamos dados apenas com quem precisa deles para prestar o Serviço:
- Stripe (pagamentos). Recebe o e-mail do Owner, o nome da Organização e o identificador da Organização e coleta diretamente os dados do cartão e informações do dispositivo para prevenção de fraude. A Stripe trata esses dados conforme a política de privacidade dela, em https://stripe.com/privacy.
- Resend (e-mails do Serviço). Recebe o e-mail do destinatário e o conteúdo da mensagem de confirmação de e-mail ou de redefinição de senha.
- Hostinger (hospedagem). Nossos servidores ficam nos Estados Unidos, e é lá que guardamos o banco de dados principal e os arquivos do Serviço. Os demais fornecedores desta lista tratam os dados que enviamos a eles na própria infraestrutura deles.
- jsDelivr (rede de distribuição de conteúdo, CDN). Carregamos de lá alguns arquivos: o estilo de realce de código nas páginas públicas, o editor de Markdown no painel e, quando uma página usa diagramas, a biblioteca Mermaid. Seu navegador pede esses arquivos diretamente ao CDN, que recebe seu endereço IP e dados técnicos básicos.
- Let's Encrypt (certificados HTTPS dos domínios próprios). O nome do domínio de uma Organização fica visível nos registros públicos de transparência de certificados.
- Cloudflare (Turnstile, proteção contra robôs). A página de criação de conta carrega um desafio da Cloudflare que distingue pessoas de programas automatizados. Seu navegador envia à Cloudflare seu endereço IP e dados técnicos do navegador, e nós enviamos à Cloudflare o resultado do desafio e seu endereço IP para confirmá-lo. A base legal é nosso legítimo interesse em proteger o cadastro contra abuso (art. 7, IX). A Cloudflare trata esses dados conforme a política de privacidade dela, em https://www.cloudflare.com/privacypolicy/.
- Sites escolhidos pelas Organizações. As Organizações podem incluir em suas páginas imagens hospedadas em outros sites. Quando você abre uma página assim, seu navegador pede a imagem diretamente a esse site, que recebe seu endereço IP, dados do navegador e o endereço da página. Não controlamos esses sites.
- Owners e Admins da mesma Organização, que veem seu nome e e-mail.
- Autoridades e terceiros, quando a lei ou uma ordem judicial exigir, ou para proteger direitos e segurança. Se houver uma reorganização societária, os dados podem seguir com o serviço, e você será avisado.
7. Transferências internacionais
Alguns desses fornecedores tratam dados fora do Brasil, inclusive nos Estados Unidos, e o CDN opera em vários países. Nossos próprios servidores ficam nos Estados Unidos. O CDN e o serviço de proteção contra robôs recebem dados diretamente do seu navegador. Nas transferências que fazemos, nos apoiamos no art. 33 da LGPD, principalmente na hipótese em que a transferência é necessária para executar o contrato e para exercer direitos em processos (art. 33, IX, com o art. 7, V e VI) e, quando o fornecedor as oferece em seus termos de tratamento de dados, em cláusulas contratuais (art. 33, II). Enviamos aos fornecedores somente os dados necessários.
8. Por quanto tempo guardamos os dados
| Dados | Prazo |
|---|---|
| Conta (nome, e-mail, hash da senha) | Enquanto a Conta existir. Depois do seu pedido de exclusão, apagamos ou anonimizamos em até 30 dias. Uma Conta cujo e-mail nunca foi confirmado não consegue entrar e fica em nossa base até você pedir a exclusão. |
| Conteúdo da Organização | Até a exclusão da Organização, que apaga seus projetos e configurações da base de produção. |
| Dados de cobrança em nossa base | Apagados junto com a Organização. A Stripe guarda os registros de pagamento pelo tempo que ela e a lei exigirem. |
| Tokens de acesso | Um token expirado não pode ser usado, mas o registro dele (hash e metadados) fica até ele ser revogado ou o projeto ou a Conta ser excluído. |
| Links de confirmação de e-mail e de redefinição de senha | Os links de confirmação expiram em 24 horas, e os de redefinição de senha, em 30 minutos. Links expirados não podem ser usados. A expiração não apaga o registro de confirmação de e-mail (e-mail, hash do token e datas e horários). Nós o guardamos até você confirmar ou um novo link substituí-lo. Quando excluímos ou anonimizamos a Conta, apagamos esse registro também. |
| Registros técnicos (seção 3) | 7 dias. |
| Backups | 7 dias. Dados apagados deixam de existir nos backups quando eles expiram. |
| Mensagens ao suporte | O tempo necessário para resolver o assunto e para exercermos direitos em processos. |
| Registros financeiros e fiscais exigidos por lei | O prazo legal, em geral até 5 anos. |
Depois desses prazos, apagamos ou anonimizamos os dados, salvo se a lei exigir que os guardemos por mais tempo.
9. Segurança
Adotamos medidas técnicas e organizacionais para proteger os dados:
- conexão criptografada por HTTPS em todo o Serviço;
- senhas e tokens de acesso guardados apenas como hash;
- cookies de sessão com HttpOnly, SameSite=Strict e Secure, e proteção contra requisições forjadas (CSRF);
- limitação de tentativas de acesso e de uso por endereço IP;
- controle de acesso por papéis nas Organizações;
- mascaramento de dados sensíveis nos registros da aplicação;
- backups para recuperação de desastres.
Nenhum sistema é totalmente seguro. Se ocorrer um incidente que possa causar risco ou dano relevante, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, como determina o art. 48 da LGPD.
10. Seus direitos
Nos termos do art. 18 da LGPD, você pode pedir, a qualquer momento:
- confirmação de que tratamos seus dados;
- acesso aos dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- portabilidade dos dados;
- eliminação dos dados tratados com base em consentimento;
- informação sobre com quem compartilhamos os dados;
- informação sobre a possibilidade de não consentir e suas consequências;
- revogação do consentimento, quando for essa a base legal;
- oposição a um tratamento feito com base em outra hipótese que não o consentimento, se houver descumprimento da lei.
Para exercer esses direitos, escreva para support@alphasystem.dev. Se você tem uma Conta, prefira escrever pelo e-mail cadastrado nela. Visitantes, outros titulares e seus representantes autorizados também podem nos escrever. Podemos pedir informações para confirmar sua identidade, de forma proporcional. Respondemos em até 15 dias. A exclusão da Conta é feita por esse pedido, e a exclusão da Organização, pelo painel, em Settings. Você também pode reclamar à ANPD em https://www.gov.br/anpd.
11. Crianças e adolescentes
O Serviço é destinado a maiores de 18 anos. Não coletamos intencionalmente dados de menores. Se soubermos que uma Conta pertence a um menor, vamos encerrá-la e apagar os dados.
12. Alterações desta Política
Podemos atualizar esta Política. Para mudanças relevantes, avisaremos os titulares de Conta por e-mail com pelo menos 30 dias de antecedência. A data de vigência aparece no início da página. Esta Política é publicada em português do Brasil e em inglês. Em caso de divergência, vale a versão em português.
13. Contato
- Anderson Luis Polo Allgayer, CPF 038.323.940-01
- Rua Souza Doca, n. 69, bairro São Luiz, Sapiranga, RS
- Encarregado: Anderson Luis Polo Allgayer
- E-mail: support@alphasystem.dev