Política de Privacidade

Última atualização: outubro de 2026

A steps academy ("nós", "nosso" ou "steps") leva sua privacidade a sério e adota as práticas exigidas pela Lei Geral de Proteção de Dados — Lei 13.709/2018 (LGPD). Esta Política descreve, de forma transparente, como coletamos, usamos, compartilhamos, armazenamos e protegemos seus dados pessoais ao utilizar nossa plataforma em stepsacademy.com.br e em nosso aplicativo.

1. Dados que coletamos

Coletamos as seguintes categorias de dados pessoais:

• Identificação: nome completo, e-mail, CPF, data de nascimento, telefone/WhatsApp.
• Contratuais: aceite do contrato, idioma escolhido, modalidade (Particular/Dupla/Turma), frequência semanal, horários comprometidos, plano contratado, IP e user-agent registrados no momento do aceite (exigência legal — Lei 14.063/2020 e MP 2.200-2/2001).
• Financeiros: status de pagamento, valor, vencimento, identificador de cobrança no gateway. Dados de cartão NÃO são armazenados por nós — são processados diretamente pelo gateway de pagamento.
• Pedagógicos: progresso por etapa/nível, aulas frequentadas, exercícios realizados, pontuação na gamificação, avaliações de aula que você fornece sobre o(a) professor(a).
• Comunicação interna: mensagens, arquivos e áudios trocados no chat in-app.
• Gravação de aula: o áudio do seu microfone durante as aulas síncronas, gravado em faixa separada por participante — sem vídeo, sem gravação de tela e sem captação da voz de terceiros presentes no seu ambiente —, a transcrição em texto desse áudio e o resumo pedagógico gerado a partir dela. Você pode desligar o próprio microfone a qualquer momento durante a aula; enquanto desligado, nada é captado. O áudio, a transcrição e o resumo são acessíveis a você, ao professor da aula e à administração da steps academy — não a outros alunos.
• Gravação de pronúncia (jogo “Fale a palavra”): quando você toca para gravar, o app grava só a palavra que você diz (até 15 segundos) para dar a nota da sua pronúncia, som por som. Nada é gravado sem o seu toque, e a gravação não fica guardada — veja a Microsoft na seção 3 e o prazo na seção 5.
• Imagem: foto de perfil (avatar), quando você opta por enviar.
• Uso do app: o que você faz dentro da plataforma — as telas que abre e por quanto tempo, os botões que toca e as ações que realiza (por exemplo, abrir um item da loja, começar ou sair de um jogo, remarcar uma aula) —, com o tipo de dispositivo, se o app está instalado e a versão do app. Nunca registramos o que você digita (mensagens, respostas, buscas, senhas). Esse registro é ligado à sua conta; a finalidade está na seção 2 e o prazo, na seção 5.
• Técnicos: sistema operacional, idioma do navegador, endereço IP e user-agent.
• Relatórios de erro do app: quando o app dá erro no seu aparelho, registramos a tela em que aconteceu, a mensagem técnica do erro, o tipo de aparelho (Android, iPhone ou computador) e a versão do app. E-mail, CPF e sequências longas de números são apagados da mensagem antes de ela sair do seu aparelho, e nunca vai o que você digitou. Se você estiver logado, o relatório fica ligado à sua conta; o prazo está na seção 5.
• Tentativas de acesso recusadas: quando o login ou a recuperação de senha não dá certo, registramos o que aconteceu (login recusado, recuperação pedida ou que falhou), o motivo técnico (por exemplo, senha incorreta ou link vencido), o tipo de aparelho e a versão do app, com um código calculado a partir do e-mail digitado — nunca o e-mail nem a senha. Serve para proteger as contas e ajudar quem não consegue entrar; o prazo está na seção 5.
• Pesquisas e captação: respostas ao quiz de descoberta, formulários de aula experimental e cotação corporativa.
• Candidatura para dar aula: quando você se candidata pelo “trabalhe conosco” do site, guardamos nome, WhatsApp, e-mail, cidade e estado, os idiomas que você ensina e o seu nível em cada um, formação, tempo de experiência e disponibilidade, as suas respostas às perguntas sobre aula, o currículo (arquivo PDF ou link), o link do vídeo de apresentação e o que mais você contar no formulário, além do endereço IP no momento em que você autorizou a guarda dos dados. O prazo está na seção 5.
• Notificações push: ao autorizar notificações, registramos o identificador (endpoint) do seu dispositivo, fornecido pelo seu sistema operacional, exclusivamente para entrega das notificações.

2. Finalidades e bases legais

Cada uso dos seus dados tem uma finalidade específica e uma base legal correspondente, conforme art. 7º da LGPD:

• Execução do contrato (art. 7º, V): cadastro, agendamento e ministração de aulas, gravação do áudio das aulas para geração automática do resumo pedagógico — parte do método de ensino contratado —, registro do seu uso do app (telas, toques e ações, nunca o que você digita) para acompanhamento pedagógico, suporte e evolução do serviço — também parte do método —, avaliação automática da pronúncia no jogo “Fale a palavra”, processamento de cobranças, suporte ao aluno, emissão de comunicações operacionais (lembretes de aula, avisos de pagamento).
• Obrigação legal e regulatória (art. 7º, II): conservação de dados contábeis e fiscais por 5 (cinco) anos, atendimento a requisições judiciais ou administrativas.
• Legítimo interesse (art. 7º, IX): análise de uso do produto pelo PostHog (eventos de navegação ligados a um identificador da sua conta, sem nome, e-mail ou CPF), prevenção de fraude e abuso (rate-limit, detecção de bots), relatórios de erro do app para encontrar e corrigir falhas, registro de tentativas de acesso recusadas para a segurança das contas, logs operacionais de auditoria. Você pode se opor a esse tratamento a qualquer momento; a análise pelo PostHog você desliga em Perfil → Privacidade.
• Consentimento (art. 7º, I): gravação de sessão para diagnóstico visual de bugs (PostHog Session Replay), pixel de marketing (Meta Ads) para mensuração de campanhas e remarketing, comunicações de marketing por e-mail/WhatsApp, guarda da candidatura para dar aula (trabalhe conosco), para a escola chamar você quando abrir vaga.

3. Com quem compartilhamos seus dados (sub-operadores)

Não vendemos nem alugamos seus dados. Para operar o serviço, contratamos prestadores ("operadores") que tratam dados pessoais em nosso nome, sob obrigações contratuais equivalentes às desta Política. São eles:

• Supabase, Inc. — infraestrutura de banco de dados, autenticação e armazenamento. Servidores em São Paulo/BR (região sa-east-1).
• Vercel, Inc. — hospedagem do aplicativo web.
• Cloudflare, Inc. — DNS, CDN e proteção contra ataques.
• Asaas IP S.A. — gateway de pagamento (PIX, boleto, cartão). Recebe nome, e-mail, CPF e valores para emissão de cobranças.
• Resend, Inc. — entrega de e-mails transacionais (boas-vindas, confirmação de contrato, recuperação de senha) e do aviso interno de candidatura nova do trabalhe conosco, que vai só para a escola. Recebe e-mail, nome e o conteúdo do próprio e-mail.
• Google LLC — fontes tipográficas (Google Fonts). Ao carregar a tipografia da plataforma, seu navegador informa ao Google o endereço IP e o user-agent. Nenhum dado da sua conta é enviado. As aulas ao vivo acontecem na sala de vídeo da própria plataforma, não em serviço de terceiros. O áudio das aulas é gravado e transcrito na nossa própria infraestrutura e não vai a terceiros; o texto da transcrição vai à Anthropic para o resumo (veja abaixo) — veja "Gravação de aula" na seção 1 e o prazo de guarda na seção 5. A única gravação de voz que vai a um terceiro é a do jogo “Fale a palavra” (veja Microsoft, abaixo).
• Anthropic PBC — inteligência artificial: na conversão de materiais didáticos, recebe só conteúdo pedagógico (slides, exercícios); no resumo pedagógico de cada aula, recebe o texto da transcrição da aula, o nome dos participantes e o histórico pedagógico do aluno (resumos anteriores e evolução), para escrever e revisar o resumo; na leitura semanal do uso do app, recebe números de uso trocados por um apelido (por exemplo, “Aluno A”), sem nome, e-mail, telefone ou identificador da sua conta.
• Microsoft Corporation (Azure AI Speech) — avaliação de pronúncia do jogo “Fale a palavra”. Recebe só a gravação da palavra que você disse e a palavra esperada — sem seu nome, e-mail ou qualquer identificador da sua conta —, pelo servidor da Azure no Brasil (região Brazil South), e devolve as notas. Segundo a documentação da Microsoft, o áudio da avaliação de pronúncia é processado só em memória e não é guardado por ela.
• Google (FCM), Apple (APNs) e Mozilla autopush — provedores de notificações push do seu dispositivo. Recebem o título e o corpo da notificação (que pode incluir, por exemplo, o nome do idioma da próxima aula).
• PostHog Inc. — análise de uso do produto. Recebe eventos de navegação ligados a um identificador da sua conta (sem nome, e-mail ou CPF) e, mediante seu consentimento, gravação de sessão com mascaramento automático de campos sensíveis.
• Meta Platforms, Inc. — somente mediante seu consentimento para fins de mensuração de campanhas publicitárias.

Alguns operadores podem realizar transferência internacional de dados (Google, Anthropic, Resend, PostHog, Meta, Vercel, Cloudflare). Em todos os casos, exigimos cláusulas contratuais adequadas (DPA) e só compartilhamos o mínimo necessário à finalidade.

Também podemos compartilhar dados por obrigação legal, quando exigido por lei, ordem judicial ou autoridade competente.

4. Armazenamento e segurança

Seus dados são armazenados em servidores Supabase no Brasil (região sa-east-1, São Paulo), com criptografia em trânsito (TLS 1.2+) e em repouso (AES-256). Segredos de integração com terceiros são armazenados com criptografia adicional na base.

Adotamos controles técnicos e organizacionais — Row Level Security no banco, autenticação multi-fator para acessos administrativos, trilhas de auditoria de mudanças críticas (contrato, agenda, pagamento) e revisão periódica de permissões. Mesmo assim, nenhum sistema é 100% imune. Em caso de incidente que possa gerar risco aos titulares, notificaremos você e a ANPD nos termos da LGPD.

5. Prazos de retenção

Mantemos seus dados pelos seguintes prazos, conforme a finalidade:

• Conta ativa: enquanto durar a relação contratual.
• Após cancelamento: anonimizamos nome, e-mail, telefone e CPF da sua conta. Dados pedagógicos podem ser preservados em forma agregada (sem identificar você) para estatística e melhoria do produto.
• Dados fiscais e contábeis: 5 anos após o término do contrato (obrigação legal — Código Tributário Nacional e CDC).
• Aceite contratual (snapshot, IP, user-agent, hash): 5 anos após o término do contrato, como prova legal da contratação.
• Áudio bruto das aulas: apagado em até 7 (sete) dias contados do fim da aula, por rotina automática que roda uma vez por dia.
• Transcrição da aula: mantida pelo período necessário à geração do resumo.
• Resumo da aula: disponível a você enquanto durar a relação contratual.
• Gravação do “Fale a palavra”: não é guardada — vai para a avaliação e é descartada. Ficam só o resultado da jogada (acertou ou não, como em qualquer jogo) e a duração da gravação, para controle da cota do serviço.
• Trilhas de auditoria operacional (mudanças de agenda, status, etc): 2 anos.
• Logs de tentativa de cadastro: 90 dias.
• Candidatura para dar aula, com o currículo: até 2 (dois) anos a partir do envio. Depois disso, uma rotina diária apaga a candidatura e o arquivo do currículo. Você pode pedir a exclusão antes pelo e-mail [email protected].
• Registro de uso do app: 13 meses.
• Relatórios de erro do app: 60 dias.
• Tentativas de acesso recusadas: 90 dias.
• Histórico de notificações enviadas: 90 dias.
• Notificações administrativas internas: 1 ano.
• Subscriptions de push inativas (sem entrega há mais de 60 dias): purgadas automaticamente.
• Mensagens do chat in-app: preservadas enquanto sua conta estiver ativa. Após anonimização (cancelamento ou pedido de exclusão), o conteúdo das suas mensagens é substituído por "[Mensagem excluída]" e os anexos são removidos. 2 (dois) anos após o cancelamento processado, as mensagens são deletadas em definitivo via cron mensal.

6. Cookies, analytics e marketing

Usamos as seguintes categorias de tecnologias de armazenamento e rastreamento:

• Essenciais (sempre ativos): autenticação, preferências de tema, rascunhos de formulário, service worker da PWA. Sem essas tecnologias o aplicativo não funciona.
• Medição de páginas vistas (interesse legítimo — LGPD art. 7º IX): nas páginas de campanha pública (landing pages de divulgação), o pixel da Meta dispara um único evento PageView com URL e referrer, mais um identificador pseudo-anônimo (cookie _fbp). Nenhum dado pessoal seu (nome, e-mail, telefone) é enviado nessa etapa. Esse rastreamento estatístico de visitas é necessário para que os anúncios pagos cheguem ao público adequado e a steps academy possa subsistir.
• Analytics e gravação de sessão: pelo PostHog, usamos (a) eventos de navegação ligados a um identificador da sua conta, para entender como melhorar o produto — ligados por padrão (legítimo interesse, seção 2), e você pode desligar em Perfil → Privacidade; e (b) gravação visual da sua sessão com mascaramento automático de campos sensíveis (PostHog Session Replay) — somente quando você ativa explicitamente. Você pode revisar ou revogar essas escolhas a qualquer momento em Perfil → Privacidade. O registro de uso do app (seção 1) é parte do serviço e não depende dessas escolhas.

Não usamos cookies para criar perfis publicitários sem o seu consentimento explícito.

7. Seus direitos como titular

A LGPD garante a você os seguintes direitos:

• Confirmar a existência de tratamento e acessar seus dados;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Solicitar anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Portabilidade dos seus dados para outro fornecedor;
• Eliminar dados tratados sob consentimento (observada a obrigação legal de retenção, p. ex. fiscal);
• Obter informação sobre compartilhamentos realizados;
• Revogar o consentimento a qualquer momento, sem afetar tratamentos anteriores;
• Opor-se a tratamentos baseados em legítimo interesse.

Você pode exercer estes direitos:

• Diretamente no aplicativo, em Perfil → Meus dados (exportação e solicitação de exclusão self-service);
• Por e-mail ao Encarregado: [email protected].

Prazo de resposta: até 15 (quinze) dias, conforme art. 19 da LGPD.

8. Menores de idade

A plataforma steps academy é destinada a pessoas maiores de 18 anos, que têm plena capacidade civil para contratar serviços.

Atendimento a menores de idade: quando o aluno beneficiário do serviço for menor de 18 anos, o cadastro e o contrato são realizados off-platform, via WhatsApp, diretamente com o responsável legal (pai, mãe ou tutor). É o responsável quem assina o contrato, assume as obrigações financeiras e autoriza o tratamento de dados do beneficiário menor, nos termos do art. 14 da LGPD.

Se constatarmos que alguém menor de 18 se cadastrou diretamente no aplicativo, o cadastro será interrompido e os dados serão excluídos.

9. Encarregado pelo Tratamento de Dados (DPO)

Conforme art. 41 da LGPD, indicamos o seguinte Encarregado para responder por questões relacionadas ao tratamento dos seus dados pessoais:

• Encarregado: Caio Henrique de Sant Anna Gomes
• E-mail: [email protected]

10. Alterações nesta Política

Podemos atualizar esta Política periodicamente. Quando houver alterações relevantes, notificaremos você no aplicativo ou por e-mail. O uso continuado da plataforma após a atualização representa concordância com a nova versão.

11. Contato

Para dúvidas sobre esta Política ou sobre o tratamento dos seus dados:

• Encarregado (DPO): [email protected]
• Suporte geral: [email protected]
• WhatsApp: (21) 96926-0979
• Site: stepsacademy.com.br