CCPA e privacidade nos EUA — Perguntas frequentes

O California Consumer Privacy Act (CCPA), com as alterações do California Privacy Rights Act (CPRA), é a lei da Califórnia que regula como as empresas tratam os dados pessoais dos residentes da Califórnia. É a lei de privacidade do consumidor mais abrangente dos Estados Unidos e o equivalente americano mais próximo do GDPR e da LGPD. Em linhas gerais: você é o dono dos seus dados pessoais, e nós somos os custódios temporários deles enquanto você usa a plataforma. Estendemos essas proteções a todos os nossos usuários nos Estados Unidos, não só aos californianos.

Coletamos apenas as categorias necessárias para fornecer o serviço:

• Identificadores: nome completo, e-mail, ORCID (opcional), instituição, especialidade.
• Conteúdo da plataforma: projetos de revisão sistemática que você cria, artigos PDF que você envia, critérios de inclusão/exclusão definidos por você, anotações.
• Atividade na internet: páginas visitadas, requisições à IA, timestamps de login, IP (anonimizado para /24 após 30 dias).
• Informações comerciais: a cobrança é gerenciada pelo Stripe, então recebemos apenas o status da assinatura, nunca dados de cartão.

Não coletamos dados pessoais sensíveis (categoria do CPRA, como dados de saúde ou geolocalização precisa). Nosso Termo de Uso proíbe enviar PHI (Protected Health Information) identificável para a plataforma.

Se você é residente nos Estados Unidos, tem o direito de:

• Saber: ver quais dados pessoais coletamos, usamos e divulgamos sobre você.
• Excluir: pedir que excluamos sua conta e os dados pessoais associados.
• Corrigir: corrigir dados pessoais imprecisos.
• Recusar venda ou compartilhamento: não vendemos nem compartilhamos seus dados pessoais, então não há nada do que se recusar.
• Limitar dados sensíveis: não usamos dados pessoais sensíveis além do necessário para operar o serviço.
• Não discriminação: nunca vamos cobrar mais ou piorar o serviço porque você exerceu um direito de privacidade.
• Informação sobre divulgação: a lista de terceiros com quem compartilhamos dados (subprocessadores).

Quase todos podem ser exercidos por autoatendimento, na própria conta:

• Baixar dados / gerenciar consentimento / excluir conta: /settings/privacy
• Auditar logins, exportações e mudanças: /settings/activity
• Corrigir nome / instituição / especialidade: /settings (perfil)

Casos especiais (sem acesso à conta, agentes autorizados, contestação, pedido em massa): escreva a admin@prolytiq.com. Respondemos em até 45 dias, como o CCPA exige.

Nossa equipe de privacidade, liderada por Joao Pedro de Britto. Detalhes completos em /legal/dpo. E-mail: admin@prolytiq.com.

Ao clicar em Excluir conta, dois movimentos acontecem:

1. Imediato: seus dados pessoais são mascarados (nome vira "Conta Removida", e-mail vira anônimo, avatar e links limpos). Você é deslogado e a conta não consegue mais entrar.
2. 30 dias depois: um job automático apaga as colunas restantes em definitivo. Apenas IDs e logs anônimos de auditoria permanecem (controle de fraudes e obrigação legal).

Durante a janela de 30 dias, você pode escrever à nossa equipe de privacidade para reverter. Depois disso, é irreversível.

Política de retenção (resumo):

• Conta ativa: enquanto você usar.
• Após exclusão: 30 dias mascarado, depois IDs anônimos para sempre (auditoria).
• Logs de auditoria com IP/userAgent: 30 dias com dados crus, depois anonimizados (/24 + browser family).
• Conta inativa por mais de 24 meses: política futura, e avisaremos por e-mail antes de qualquer movimento.
• Dados de cobrança: retidos pelo Stripe conforme obrigações fiscais e contábeis dos Estados Unidos. Nós só vemos o status.

Não. Nós não vendemos seus dados pessoais e não os compartilhamos para publicidade comportamental entre contextos (as definições de "venda" e "compartilhamento" do CCPA). Divulgamos dados apenas para os subprocessadores técnicos necessários para operar o serviço, todos auditados e listados em /legal/subprocessors. Como não há venda nem compartilhamento, um sinal de recusa de venda como o Global Privacy Control (GPC) não tem sobre o que agir.

Se identificarmos incidente de segurança que possa expor seus dados pessoais:

1. Comunicamos você diretamente por e-mail sem demora injustificada.
2. Notificamos as autoridades competentes, incluindo o Procurador-Geral da Califórnia (California Attorney General), conforme exigido por lei.
3. Publicamos detalhes técnicos em /legal.

Para reportar uma vulnerabilidade que você encontrou: escreva a admin@prolytiq.com. Detalhes no nosso security.txt.

Não. Usamos a API da Anthropic (Claude) para screening de artigos. Pela política vigente da Anthropic para uso comercial, inputs e outputs não são usados para treinar modelos. Nosso DPA com a Anthropic e a PIA (Privacy Impact Assessment) pública documentam esse compromisso.