Política de Privacidade

A INTELLICREATE LTDA (CNPJ 67.572.432/0001-48), operadora da plataforma IntelliCreate, é a controladora dos dados tratados nos serviços de Ferramenta de Autoria. Encarregado de Dados (DPO): lgpd@intellicreate.online.

A Ferramenta de Autoria trata duas categorias distintas, dependendo do modelo contratado:

A. Dados do Cliente (autor)

• Identificação: nome, email corporativo, cargo;
• Conteúdo criado: cursos, scripts de atividade, prompts enviados à IA;
• Operacionais: logs de uso, IP, browser, timestamps;
• Cobrança: razão social, CNPJ, endereço fiscal (via Cliente Contratante).

B. Dados do Aluno Final

Modelo Offline (SCORM): Nenhum dado do Aluno Final é tratado pela IntelliCreate. O pacote SCORM exportado roda exclusivamente no LMS do Cliente, e os dados de execução (score, completion, áudio) ficam no domínio do Cliente.

Modelo Live API: A IntelliCreate recebe, processa e descarta:

• Transcrição da fala do Aluno (gerada pelo Web Speech API no browser do Aluno — o áudio bruto nunca trafega para a IntelliCreate);
• Contexto da atividade (cenário, rubrica, keypoints — vindos do curso exportado);
• Metadados de sessão: session_token (JWT), tenantId, activityId, duração em segundos.

• Execução de contrato (Art. 7º V): tratamento dos dados do Cliente para fornecer a Ferramenta de Autoria;
• Legítimo interesse (Art. 7º IX): logs operacionais de segurança, anti-fraude, auditoria;
• Cumprimento de obrigação legal (Art. 7º II): retenção fiscal e previdenciária quando aplicável;
• Tratamento por Operador (Art. 39): no Modelo Live API, a IntelliCreate atua como Operador dos dados do Aluno Final — o Controlador é o Cliente.

A IntelliCreate compartilha dados estritamente operacionais com:

• Provedores de IA (OpenAI, Google Gemini, Anthropic) — para geração de conteúdo na autoria e avaliação no Live API. Sujeitos a SCC (Standard Contractual Clauses) e DPA das respectivas plataformas;
• Vercel Inc. (hospedagem frontend) — dados de browsing/CDN;
• Railway Corp. (hospedagem backend) — execução do servidor e banco PostgreSQL em região controlada;
• Hugging Face Inc. (CDN de modelos WASM) — apenas no Modelo Offline, quando o browser do Aluno baixa o modelo Whisper-tiny. Nenhum dado pessoal é enviado a esse CDN — só request HTTP GET pelo modelo.

A lista atualizada de sub-operadores está na Política de Privacidade da Plataforma, seção 5.

• Cursos do Cliente: durante a vigência do contrato e pelo período de transição definido em contrato, para portabilidade;
• Logs operacionais Live API: mantidos apenas pelo período necessário à operação e à depuração;
• Transcrições enviadas ao LLM: descartadas imediatamente após gerar a resposta. NÃO ficam em base de dados IntelliCreate;
• Métricas agregadas anônimas: até 5 anos para fins analíticos;
• Logs fiscais: conforme legislação tributária (mínimo 5 anos).

O Cliente e o Aluno Final podem exercer os seguintes direitos via lgpd@intellicreate.online, nos prazos do art. 19 da LGPD:

• Confirmação da existência de tratamento;
• Acesso aos dados tratados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação;
• Portabilidade (export de cursos em formato aberto);
• Informação sobre compartilhamento;
• Revogação do consentimento (quando aplicável).

• HTTPS/TLS 1.2+ em todas as comunicações;
• Bcrypt (rounds 12) para senhas;
• AES-256-GCM para chaves de IA armazenadas;
• Rate limiting estratificado em todos os endpoints públicos;
• Tenant isolation — middleware tenantGuard em 30+ rotas;
• Audit log granular de operações administrativas;
• JWT efêmero com rotation em refresh tokens.

A Ferramenta de Autoria é destinada a uso corporativo por pessoas naturais maiores de 18 anos. Cursos exportados podem ser usados para treinar adolescentes pelo Cliente, mas a IntelliCreate não tem visibilidade nesse uso pós-export.

Em caso de incidente de segurança envolvendo dados pessoais, a IntelliCreate comunicará o Cliente prontamente após a detecção, por e-mail ao contato designado e ao DPO, com detalhes técnicos e plano de remediação — em prazo que permita ao Cliente cumprir os deveres do art. 48. A ANPD é notificada em prazo razoável conforme orientação do DPO.

Mudanças materiais são comunicadas com antecedência razoável, por e-mail ao contato designado e por aviso no aplicativo. Versão e data de vigência constam no cabeçalho desta página.