Política de Privacidade

1. Definições

1.1. Para os fins desta Política, aplicam-se as definições constantes do artigo 5º da LGPD e do artigo 4º do GDPR, bem como as definições constantes dos Termos de Uso, destacando-se as seguintes:

1.2. “Dado pessoal”: informação relacionada a pessoa natural identificada ou identificável, direta ou indiretamente, inclusive por referência a um identificador, como nome, endereço de correio eletrônico, identificador on-line ou endereço de protocolo de internet (IP).

1.3. “Dado pessoal sensível”: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

1.4. “Titular”: a pessoa natural a quem se referem os dados pessoais objeto de tratamento, notadamente o Usuário da Plataforma.

1.5. “Controlador” ou “responsável pelo tratamento”: a pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais, identificada na cláusula 2.

1.6. “Operador” ou “subcontratante”: a pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome e por conta do Controlador, segundo as suas instruções documentadas.

1.7. “Encarregado” ou “Data Protection Officer (DPO)”: a pessoa indicada pelo Controlador para atuar como canal de comunicação entre o Controlador, os titulares e a autoridade de proteção de dados.

1.8. “Tratamento”: toda operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

1.9. “Anonimização”: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.

1.10. “Incidente de segurança”: qualquer evento adverso confirmado, relacionado à violação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade da segurança de dados pessoais.

1.11. “Autoridade de controle”: a Autoridade Nacional de Proteção de Dados (ANPD), no Brasil, e as autoridades de controle independentes instituídas pelos Estados-Membros da União Europeia nos termos do artigo 51 do GDPR.

2. Identificação do Controlador e do Encarregado

2.1. O Controlador dos dados pessoais tratados no âmbito da Plataforma é [A PREENCHER], inscrito(a) sob o número [A PREENCHER], com domicílio ou sede em [A PREENCHER].

2.2. O Encarregado pelo tratamento de dados pessoais pode ser contatado pelo endereço de correio eletrônico suporte@beedoit.app, nos termos do artigo 41 da LGPD e dos artigos 37 a 39 do GDPR, sendo as suas atividades as de aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências, receber comunicações da autoridade de controle, orientar os colaboradores e prestadores a respeito das práticas a serem adotadas em relação à proteção de dados pessoais e executar as demais atribuições determinadas pelo Controlador ou estabelecidas em normas complementares.

2.3. Na hipótese de o Controlador não possuir estabelecimento na União Europeia e tratar dados de titulares que nela se encontrem, será designado representante na União, nos termos do artigo 27 do GDPR, quando exigível, cuja identificação será incluída nesta Política.

2.4. Os Provedores de Infraestrutura e o Processador de Pagamentos não são controladores conjuntos com o Controlador em relação às finalidades descritas nesta Política, atuando como operadores, salvo nas atividades em que, nos termos da cláusula 8, atuem como controladores independentes.

3. Âmbito de aplicação

3.1. Esta Política aplica-se a todas as operações de tratamento de dados pessoais realizadas por meio da aplicação web, dos aplicativos para desktop destinados aos sistemas operacionais Microsoft Windows e Apple macOS, das funções executadas em nuvem e dos canais de atendimento relacionados à Plataforma.

3.2. Esta Política não se aplica ao tratamento de dados pessoais realizado por terceiros cujos serviços sejam acessados a partir da Plataforma, como o Processador de Pagamentos, no que se refere às atividades por ele desempenhadas na qualidade de controlador independente, e o provedor de identidade utilizado na autenticação com conta Google, os quais se sujeitam às suas próprias políticas de privacidade.

3.3. A versão de demonstração da Plataforma, quando disponibilizada, armazena os dados inseridos exclusivamente no dispositivo do Usuário, não os transmitindo aos servidores do Controlador.

4. Princípios aplicáveis ao tratamento

4.1. As atividades de tratamento de dados pessoais observam a boa-fé e os princípios previstos no artigo 6º da LGPD e no artigo 5º do GDPR, notadamente: (i) finalidade, com tratamento para propósitos legítimos, específicos, explícitos e informados ao titular; (ii) adequação, com compatibilidade do tratamento com as finalidades informadas; (iii) necessidade e minimização, com limitação do tratamento ao mínimo necessário para a realização das finalidades; (iv) livre acesso e transparência, com garantia de consulta facilitada e gratuita e de informações claras, precisas e facilmente acessíveis; (v) qualidade e exatidão dos dados; (vi) limitação da conservação; (vii) segurança, integridade e confidencialidade; (viii) prevenção; (ix) não discriminação; e (x) responsabilização e prestação de contas.

4.2. Em observância ao princípio da proteção de dados desde a concepção e por padrão (privacy by design e privacy by default), a Plataforma foi projetada para coletar apenas os dados estritamente necessários ao seu funcionamento, não incorporando rastreadores de publicidade, kits de desenvolvimento de redes de anúncios ou tecnologias de perfilamento comportamental para fins de marketing.

4.3. O Controlador mantém registro das operações de tratamento de dados pessoais que realiza, nos termos do artigo 37 da LGPD e do artigo 30 do GDPR, e elaborará relatório de impacto à proteção de dados pessoais ou avaliação de impacto sobre a proteção de dados sempre que o tratamento for suscetível de implicar risco elevado aos direitos e liberdades dos titulares ou quando exigido pela autoridade de controle.

5. Categorias de dados pessoais tratados

5.1. Dados cadastrais e de autenticação: nome ou primeiro nome; endereço de correio eletrônico; senha, armazenada exclusivamente sob a forma de resumo criptográfico (hash) gerado por algoritmo de derivação de chave com sal, não sendo possível a sua recuperação em texto claro pelo Controlador; data e hora de criação da Conta, de confirmação do endereço de correio eletrônico e do último acesso; e identificador único universal (UUID) atribuído à Conta.

5.2. Dados provenientes de autenticação federada: quando o Usuário opta pela autenticação com conta Google, o Controlador recebe do provedor de identidade o nome, o endereço de correio eletrônico, o identificador da conta no provedor e os demais dados básicos de perfil que o provedor disponibilizar no escopo autorizado pelo Usuário.

5.3. Conteúdo do Usuário: títulos e descrições de tarefas, datas de prazo, estimativas de duração, situação das tarefas, registros de início, pausa e conclusão, tempo efetivamente trabalhado, ordenação das listas, tarefas recorrentes e respectivas regras de periodicidade e datas de ocorrências excluídas.

5.4. Preferências e configurações: idioma da interface, tema visual, formato de exibição do horário, ativação de sons e notificações, configurações do modo Pomodoro (duração do foco e da pausa e modo de descanso), abertura automática da janela flutuante, ativação de tarefas recorrentes e indicador de conclusão das perguntas iniciais.

5.5. Dados de assinatura e faturamento: data de término do Período de Avaliação; situação da Assinatura; plano contratado; datas de início, renovação e término do Período de Faturamento; identificadores do cliente e da assinatura no sistema do Processador de Pagamentos. O Controlador não recebe nem armazena o número completo do cartão, o código de segurança ou a data de validade.

5.6. Dados técnicos e de registro: endereço IP, data e hora de acesso, tipo e versão do navegador ou do sistema operacional, versão do aplicativo e demais registros técnicos gerados automaticamente pelos Provedores de Infraestrutura no curso da prestação do serviço, inclusive para os fins de guarda de registros de acesso a aplicações de internet previstos no artigo 15 do Marco Civil da Internet, quando aplicável.

5.7. Comunicações: o conteúdo das mensagens trocadas com o canal de atendimento e os metadados correspondentes.

5.8. O Controlador não solicita nem trata intencionalmente dados pessoais sensíveis. O Usuário deve abster-se de inserir tais dados no Conteúdo do Usuário, nos termos dos Termos de Uso.

5.9. Os dados relativos à utilização do modo Pomodoro em curso, incluindo a fase do ciclo, o horário de término do bloco e a tarefa associada, são armazenados exclusivamente no dispositivo do Usuário e não são transmitidos aos servidores do Controlador, de modo que a troca de dispositivo durante um bloco de foco não transfere o ciclo em andamento.

5.10. A Plataforma não coleta dados de geolocalização precisa, contatos, fotografias, arquivos do dispositivo, gravações de áudio ou vídeo, nem dados de outros aplicativos instalados, e não realiza o monitoramento da atividade do Usuário fora da própria Plataforma, inclusive quando a janela flutuante permanece visível sobre outros aplicativos.

6. Origem dos dados

6.1. Os dados pessoais são obtidos: (i) diretamente do titular, no cadastro, na utilização das funcionalidades e nas comunicações com o atendimento; (ii) do provedor de identidade, quando o titular opta pela autenticação federada; (iii) do Processador de Pagamentos, por meio de notificações eletrônicas (webhooks) assinadas criptograficamente, relativas aos eventos da Assinatura; e (iv) de forma automática, pelos registros técnicos gerados durante a utilização da Plataforma.

7. Finalidades e bases legais do tratamento

7.1. Criação, autenticação e gestão da Conta; verificação do endereço de correio eletrônico; recuperação de senha; armazenamento, sincronização e exibição do Conteúdo do Usuário nos dispositivos em que a Conta é acessada; execução das funcionalidades de cronômetro, Pomodoro, tarefas recorrentes e janela flutuante; aplicação das preferências do Usuário. Base legal: execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular (artigo 7º, inciso V, da LGPD; artigo 6º, nº 1, alínea b, do GDPR).

7.2. Gestão do Período de Avaliação e da Assinatura, controle de acesso às funcionalidades conforme a situação contratual, processamento de pagamentos, emissão de recibos e atendimento a solicitações de cancelamento, arrependimento e reembolso. Base legal: execução de contrato (artigo 7º, inciso V, da LGPD; artigo 6º, nº 1, alínea b, do GDPR).

7.3. Cumprimento de obrigações legais e regulatórias, incluindo obrigações tributárias, contábeis e de guarda de registros, e atendimento a requisições de autoridades administrativas e judiciais. Base legal: cumprimento de obrigação legal ou regulatória (artigo 7º, inciso II, da LGPD; artigo 6º, nº 1, alínea c, do GDPR).

7.4. Garantia da segurança da Plataforma e dos titulares, prevenção e detecção de fraudes, abusos, acessos não autorizados e violações dos Termos de Uso, diagnóstico e correção de falhas técnicas e manutenção da integridade dos sistemas. Base legal: legítimo interesse do Controlador e dos titulares (artigo 7º, inciso IX, e artigo 10 da LGPD; artigo 6º, nº 1, alínea f, do GDPR), observados os direitos e liberdades fundamentais dos titulares, conforme avaliação de proporcionalidade realizada pelo Controlador.

7.5. Envio de comunicações de serviço, como avisos sobre o término do Período de Avaliação, alterações nos Termos de Uso, nesta Política ou nos preços, e notificações de incidentes de segurança. Base legal: execução de contrato e cumprimento de obrigação legal.

7.6. Exercício regular de direitos em processo judicial, administrativo ou arbitral. Base legal: artigo 7º, inciso VI, da LGPD; artigo 6º, nº 1, alínea f, e artigo 17, nº 3, alínea e, do GDPR.

7.7. Tratamento de dados de crianças, quando aplicável. Base legal: consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal (artigo 14, § 1º, da LGPD; artigo 8º do GDPR).

7.8. O Controlador não utiliza os dados pessoais para finalidades publicitárias, de marketing direto sem consentimento, de comercialização a terceiros, de criação de perfis comportamentais ou de treinamento de modelos de inteligência artificial. Eventual nova finalidade será precedida de comunicação ao titular e, quando exigível, da coleta de consentimento.

7.9. A avaliação de legítimo interesse mencionada no item 7.4 considerou: (i) a finalidade legítima de proteger a Plataforma e os próprios titulares contra fraudes e acessos indevidos; (ii) a necessidade e a minimização dos dados empregados, restritos a registros técnicos e de autenticação; (iii) a legítima expectativa dos titulares quanto à adoção de medidas de segurança por prestadores de serviços digitais; e (iv) a adoção de salvaguardas, como prazos curtos de conservação e acesso restrito, concluindo pela prevalência do interesse legítimo sem prejuízo aos direitos e liberdades fundamentais dos titulares.

7.10. O fornecimento dos dados cadastrais e de autenticação é requisito necessário para a celebração do contrato e a utilização da Plataforma. A recusa no fornecimento desses dados impossibilita a criação da Conta, não acarretando, contudo, qualquer outra consequência ao titular.

8. Compartilhamento de dados e operadores

8.1. O Controlador não vende, não aluga e não cede dados pessoais a terceiros para fins comerciais. Os dados pessoais são compartilhados exclusivamente com os operadores a seguir indicados, na estrita medida necessária à prestação do serviço, mediante instrumentos contratuais que lhes impõem obrigações de confidencialidade, de segurança e de tratamento conforme as instruções do Controlador, nos termos do artigo 39 da LGPD e do artigo 28 do GDPR:

8.2. Supabase, Inc. — hospedagem do banco de dados PostgreSQL, serviço de autenticação, armazenamento das sessões e execução das funções em nuvem (Edge Functions). Categorias de dados: dados cadastrais e de autenticação, Conteúdo do Usuário, preferências, dados de assinatura e registros técnicos.

8.3. Stripe, Inc. e sociedades do seu grupo — processamento de pagamentos, gestão de assinaturas, emissão de recibos, prevenção a fraudes e Portal do Cliente. Categorias de dados: nome, endereço de correio eletrônico, identificadores da Conta, dados de pagamento e registros técnicos. Para determinadas atividades, como a prevenção a fraudes e o cumprimento de obrigações regulatórias financeiras, a Stripe atua como controladora independente, nos termos da sua própria política de privacidade.

8.4. Google LLC — autenticação federada com conta Google, exclusivamente quando escolhida pelo Usuário, e entrega das fontes tipográficas da interface por meio do serviço Google Fonts, hipótese em que o endereço IP e o agente de usuário do dispositivo são transmitidos aos servidores do Google no momento do carregamento das fontes.

8.5. Microsoft Corporation — autenticação federada com conta Microsoft (pessoal, de trabalho ou de escola), exclusivamente quando escolhida pelo Usuário. Categorias de dados: nome, endereço de correio eletrônico e identificadores da conta Microsoft, recebidos pela Plataforma após a autorização do Usuário.

8.6. Resend, Inc. — envio das mensagens transacionais de correio eletrônico, como a confirmação do cadastro e a recuperação de senha. Categorias de dados: nome, endereço de correio eletrônico, conteúdo da mensagem e registros técnicos de entrega.

8.7. Cloudflare, Inc. — hospedagem e entrega do sítio eletrônico institucional da Plataforma (beedoit.app), incluindo as páginas dos Termos de Uso e desta Política, hipótese em que o endereço IP e o agente de usuário do dispositivo do visitante são tratados pelos servidores da Cloudflare para a entrega das páginas e a proteção contra abusos.

8.8. GitHub, Inc. — hospedagem e distribuição dos pacotes de instalação e de atualização do aplicativo para desktop e do respectivo manifesto de versões, hipótese em que o endereço IP e o agente de usuário do dispositivo são transmitidos aos servidores do GitHub no momento da verificação ou do download de atualizações.

8.9. Os dados pessoais poderão ainda ser comunicados: (i) a autoridades administrativas, judiciais ou policiais, mediante requisição fundamentada ou ordem judicial, nos termos da Legislação Aplicável; (ii) a assessores jurídicos, contábeis e de auditoria, sujeitos a dever de sigilo, para o exercício regular de direitos e o cumprimento de obrigações legais; e (iii) a eventual sucessor do Controlador, em caso de operação societária de fusão, cisão, incorporação ou alienação de estabelecimento, assegurada a continuidade das garantias previstas nesta Política e a comunicação prévia aos titulares.

8.10. A relação atualizada dos operadores e das respectivas localizações de tratamento poderá ser solicitada ao Encarregado a qualquer tempo. A inclusão de novo operador que trate categorias de dados não previstas nesta Política será precedida da sua atualização, nos termos da cláusula 20.

9. Transferência internacional de dados

9.1. Em razão da localização da infraestrutura dos operadores indicados na cláusula 8, os dados pessoais podem ser transferidos, armazenados e tratados em países distintos daquele de residência do titular, incluindo os Estados Unidos da América, cuja legislação pode não oferecer grau de proteção equivalente ao da LGPD ou do GDPR.

9.2. As transferências internacionais são realizadas com fundamento nos mecanismos previstos no artigo 33 da LGPD e no Capítulo V do GDPR, incluindo: (i) decisões de adequação, quando existentes, inclusive o Quadro de Privacidade de Dados UE–EUA (EU–U.S. Data Privacy Framework) em relação aos importadores certificados; (ii) cláusulas contratuais-padrão aprovadas pela Comissão Europeia por meio da Decisão de Execução (UE) 2021/914 e as cláusulas-padrão contratuais aprovadas pela ANPD; e (iii) quando necessário, a execução de contrato do qual o titular seja parte, a pedido deste.

9.3. O Controlador avalia, em relação a cada operador, as garantias de segurança e de proteção oferecidas, adotando medidas suplementares, como a criptografia em trânsito e em repouso e a minimização dos dados transferidos, quando necessárias para assegurar nível de proteção substancialmente equivalente. O titular poderá obter informações adicionais sobre as garantias adotadas mediante solicitação ao Encarregado.

10. Medidas de segurança

10.1. O Controlador adota medidas técnicas e organizacionais apropriadas, nos termos do artigo 46 da LGPD e do artigo 32 do GDPR, considerando o estado da técnica, os custos de aplicação, a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para os direitos e liberdades dos titulares, incluindo:

10.2. Criptografia de todas as comunicações entre os dispositivos dos titulares e os servidores por meio do protocolo TLS (Transport Layer Security), com o protocolo HTTPS; criptografia dos dados em repouso nos sistemas de armazenamento dos Provedores de Infraestrutura.

10.3. Controle de acesso no nível do banco de dados por meio de políticas de segurança em nível de linha (Row Level Security — RLS), habilitadas em todas as tabelas, de modo que cada Conta tenha acesso exclusivamente aos seus próprios registros, independentemente da camada de aplicação.

10.4. Armazenamento de senhas exclusivamente sob a forma de resumo criptográfico com sal; fluxo de autenticação OAuth 2.0 com PKCE; confirmação obrigatória do endereço de correio eletrônico; limitação de tentativas de autenticação; armazenamento do token de sessão no cofre de credenciais do sistema operacional, no aplicativo para desktop.

10.5. Segregação de credenciais: a aplicação cliente utiliza exclusivamente chaves públicas; as chaves de serviço, os segredos de integração e as chaves privadas de assinatura são mantidos exclusivamente em ambientes servidores ou em cofres de segredos, jamais no código-fonte ou em sistemas de controle de versão.

10.6. Validação da assinatura criptográfica das notificações eletrônicas recebidas do Processador de Pagamentos e tratamento idempotente dos eventos; assinatura digital dos pacotes de atualização do aplicativo para desktop e validação dessa assinatura antes da instalação.

10.7. Política de conteúdo (Content Security Policy — CSP) restritiva no aplicativo para desktop, limitando as origens das quais recursos podem ser carregados; validação dos limites de tamanho dos campos no próprio banco de dados; e cópias de segurança periódicas dos bancos de dados de produção.

10.8. Não obstante a adoção dessas medidas, nenhum método de transmissão ou de armazenamento eletrônico é absolutamente seguro, razão pela qual o Controlador não pode garantir a segurança absoluta dos dados pessoais, comprometendo-se a manter as medidas permanentemente atualizadas e a responder prontamente a incidentes.

10.9. O acesso administrativo aos sistemas de produção é restrito às pessoas estritamente necessárias à operação da Plataforma, protegido por autenticação forte e sujeito ao dever de confidencialidade, sendo vedado o acesso ao Conteúdo do Usuário para finalidades alheias à manutenção, à segurança, ao atendimento de solicitação do próprio titular ou ao cumprimento de obrigação legal.

11. Incidentes de segurança

11.1. O Controlador mantém procedimento de resposta a incidentes de segurança que contempla a detecção, a contenção, a avaliação de riscos, a mitigação de efeitos, a comunicação e o registro dos incidentes.

11.2. Na ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o Controlador comunicará a ANPD e os titulares afetados no prazo previsto na regulamentação vigente, nos termos do artigo 48 da LGPD e do Regulamento de Comunicação de Incidente de Segurança aprovado pela ANPD. Em relação aos titulares localizados na União Europeia, a violação de dados pessoais será notificada à autoridade de controle competente sem demora injustificada e, sempre que possível, até 72 (setenta e duas) horas após o conhecimento do fato, e comunicada aos titulares quando suscetível de implicar elevado risco para os seus direitos e liberdades, nos termos dos artigos 33 e 34 do GDPR.

11.3. A comunicação mencionará, no mínimo, a descrição da natureza dos dados afetados, as informações sobre os titulares envolvidos, as medidas técnicas e de segurança utilizadas para a proteção dos dados, os riscos relacionados ao incidente, as medidas adotadas ou que serão adotadas para reverter ou mitigar os seus efeitos e o contato do Encarregado.

11.4. O Controlador mantém registro dos incidentes de segurança, inclusive daqueles que não tenham sido objeto de comunicação à autoridade de controle ou aos titulares, contendo os fatos, os efeitos e as medidas de reparação adotadas, pelo prazo previsto na regulamentação aplicável.

12. Prazos de conservação e eliminação

12.1. Os dados pessoais são conservados apenas pelo período necessário ao cumprimento das finalidades para as quais foram coletados, observados os prazos a seguir e as hipóteses de conservação autorizadas pelo artigo 16 da LGPD e pelo artigo 17, nº 3, do GDPR.

12.2. Dados cadastrais, Conteúdo do Usuário e preferências: enquanto a Conta permanecer ativa, inclusive após o cancelamento da Assinatura, em Modo Somente Leitura, de modo a permitir ao titular a continuidade do acesso ao seu Conteúdo.

12.3. Exclusão da Conta pelo titular: os dados cadastrais, o Conteúdo do Usuário e as preferências são eliminados imediatamente dos sistemas de produção, e a Assinatura é cancelada automaticamente junto ao Processador de Pagamentos. As cópias de segurança que eventualmente contenham tais dados são eliminadas no prazo de até 30 (trinta) dias, de acordo com o ciclo regular de rotação, permanecendo, até então, protegidas e inacessíveis para qualquer outra finalidade.

12.4. Contas inativas: as Contas que permanecerem sem qualquer acesso por 2 (dois) anos consecutivos serão eliminadas, mediante aviso prévio enviado ao endereço de correio eletrônico cadastrado com antecedência mínima de 30 (trinta) dias, assegurada ao titular a possibilidade de manter a Conta por meio de novo acesso nesse intervalo.

12.5. Dados de faturamento e registros de transações: pelo prazo exigido pela legislação tributária, contábil e financeira aplicável, que pode alcançar 5 (cinco) anos ou mais conforme a jurisdição, sendo parte desses dados conservada pelo Processador de Pagamentos na qualidade de controlador independente.

12.6. Registros de acesso a aplicações de internet: pelo prazo de 6 (seis) meses, quando aplicável o artigo 15 do Marco Civil da Internet, ou pelo prazo definido pelos Provedores de Infraestrutura para fins de segurança.

12.7. Comunicações com o atendimento: pelo prazo necessário ao atendimento da demanda e, posteriormente, pelo prazo prescricional aplicável ao exercício regular de direitos.

12.8. Findos os prazos de conservação, os dados pessoais serão eliminados de forma segura ou anonimizados, de modo irreversível, podendo os dados anonimizados ser utilizados para fins estatísticos.

12.9. O bloqueio dos dados, quando requerido pelo titular ou determinado pela autoridade de controle, implicará a suspensão temporária de qualquer operação de tratamento, ressalvada a conservação, pelo prazo necessário à resolução da controvérsia que lhe deu causa.

13. Direitos do titular

13.1. Nos termos dos artigos 17 a 22 da LGPD, o titular tem direito a obter do Controlador, a qualquer momento e mediante requisição: (i) confirmação da existência de tratamento; (ii) acesso aos dados; (iii) correção de dados incompletos, inexatos ou desatualizados; (iv) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD; (v) portabilidade dos dados a outro fornecedor de serviço ou produto, observados os segredos comercial e industrial; (vi) eliminação dos dados pessoais tratados com o consentimento do titular; (vii) informação das entidades públicas e privadas com as quais o Controlador realizou uso compartilhado de dados; (viii) informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa; (ix) revogação do consentimento; (x) oposição a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento da LGPD; e (xi) revisão de decisões tomadas unicamente com base em tratamento automatizado.

13.2. Nos termos dos artigos 15 a 22 do GDPR, o titular localizado na União Europeia tem, ainda, os direitos de acesso, de retificação, de apagamento (“direito a ser esquecido”), de limitação do tratamento, de portabilidade dos dados em formato estruturado, de uso corrente e de leitura automática, de oposição ao tratamento baseado em interesses legítimos e de não ficar sujeito a decisões individuais automatizadas, bem como o direito de retirar o consentimento a qualquer momento, sem comprometer a licitude do tratamento efetuado com base no consentimento previamente dado.

13.3. Sem prejuízo de qualquer outra via de recurso administrativo ou judicial, o titular tem o direito de apresentar reclamação à autoridade de controle: no Brasil, à Autoridade Nacional de Proteção de Dados (ANPD), por meio do sítio eletrônico gov.br/anpd; na União Europeia, à autoridade de controle do Estado-Membro da sua residência habitual, do seu local de trabalho ou do local onde foi alegadamente praticada a infração, nos termos do artigo 77 do GDPR.

13.4. O direito à portabilidade abrange os dados pessoais fornecidos pelo próprio titular e tratados com fundamento na execução do contrato, incluindo o Conteúdo do Usuário, que serão disponibilizados em formato estruturado, de uso corrente e de leitura automática, como JSON ou CSV, mediante requisição ao Encarregado, até que funcionalidade de exportação seja disponibilizada diretamente na Plataforma.

13.5. O exercício dos direitos do titular é gratuito e não acarretará qualquer forma de discriminação, restrição de acesso às funcionalidades ou alteração das condições contratuais, ressalvadas as consequências inerentes ao próprio direito exercido, como a impossibilidade de prestação do serviço após a eliminação dos dados necessários à sua execução.

14. Procedimento para o exercício de direitos

14.1. Determinados direitos podem ser exercidos diretamente pela Plataforma, de forma autônoma e imediata: a correção do nome, em Configurações → Conta; a alteração da senha; e a eliminação integral dos dados, por meio da funcionalidade Configurações → Excluir conta.

14.2. Os demais direitos poderão ser exercidos mediante requisição expressa encaminhada ao Encarregado, pelo endereço suporte@beedoit.app, preferencialmente a partir do endereço de correio eletrônico vinculado à Conta. Para a proteção do próprio titular, o Controlador poderá solicitar informações adicionais razoáveis para a confirmação da sua identidade antes de atender à requisição.

14.3. O Controlador responderá às requisições de forma gratuita, em formato simplificado e imediato, quando possível, ou por meio de declaração clara e completa no prazo de até 15 (quinze) dias, nos termos do artigo 19 da LGPD, e, em relação aos titulares localizados na União Europeia, no prazo de 1 (um) mês, prorrogável por até 2 (dois) meses adicionais quando necessário, tendo em conta a complexidade e o número de pedidos, nos termos do artigo 12, nº 3, do GDPR, com informação ao titular sobre a prorrogação e os seus motivos.

14.4. Requisições manifestamente infundadas ou excessivas, nomeadamente pelo seu caráter repetitivo, poderão ser recusadas de forma fundamentada, nos termos da Legislação Aplicável.

14.5. Na impossibilidade de adoção imediata da providência requerida, o Controlador comunicará ao titular as razões de fato ou de direito que impedem a sua adoção ou, se for o caso, que não atua como agente de tratamento dos dados, indicando, sempre que possível, o agente responsável.

15. Decisões automatizadas e definição de perfis

15.1. O Controlador não toma decisões que produzam efeitos jurídicos ou que afetem significativamente os titulares com base unicamente em tratamento automatizado de dados pessoais, nem realiza a definição de perfis para fins publicitários, de crédito ou de avaliação de comportamento.

15.2. A ordenação automática das tarefas, a geração de ocorrências de tarefas recorrentes, o controle de acesso conforme a situação da Assinatura e os cálculos de tempo realizados pela Plataforma constituem operações técnicas destinadas exclusivamente à execução das funcionalidades contratadas, segundo regras transparentes e determinísticas definidas pelo próprio Usuário ou descritas nos Termos de Uso, e não configuram decisões automatizadas para os fins do artigo 20 da LGPD e do artigo 22 do GDPR.

15.3. Caso o Controlador venha a implementar funcionalidades baseadas em inteligência artificial ou em tratamento automatizado com potencial de produzir efeitos relevantes para os titulares, esta Política será previamente atualizada, com a descrição da lógica envolvida, da importância e das consequências previstas do tratamento, e com a indicação dos meios para a solicitação de revisão por pessoa natural.

16. Dados pessoais de crianças e adolescentes

16.1. O tratamento de dados pessoais de crianças e adolescentes é realizado em seu melhor interesse, nos termos do artigo 14 da LGPD e da Lei nº 8.069/1990 (Estatuto da Criança e do Adolescente).

16.2. O tratamento de dados pessoais de crianças, assim entendidas as pessoas com até 12 (doze) anos incompletos, somente será realizado com o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal, devendo o Controlador realizar todos os esforços razoáveis para verificar que o consentimento foi dado pelo responsável, consideradas as tecnologias disponíveis. Em relação aos titulares localizados na União Europeia, o tratamento de dados de menores abaixo da idade de consentimento digital fixada pela lei do respectivo Estado-Membro, entre 13 (treze) e 16 (dezesseis) anos, depende de consentimento dado ou autorizado pelo titular das responsabilidades parentais, nos termos do artigo 8º do GDPR.

16.3. Os pais ou responsáveis legais poderão exercer, em nome do menor, todos os direitos previstos na cláusula 13, inclusive a eliminação dos dados e a exclusão da Conta, mediante requisição encaminhada ao endereço suporte@beedoit.app, acompanhada de elementos que permitam a verificação razoável da sua condição.

16.4. As informações sobre o tratamento de dados de crianças são disponibilizadas de maneira simples, clara e acessível, consideradas as características físico-motoras, perceptivas, sensoriais, intelectuais e mentais do usuário, nos termos do artigo 14, § 6º, da LGPD.

17. Armazenamento local, cookies e tecnologias semelhantes

17.1. A Plataforma utiliza exclusivamente mecanismos de armazenamento local estritamente necessários ao seu funcionamento, os quais dispensam consentimento nos termos do artigo 5º, nº 3, da Diretiva 2002/58/CE (Diretiva ePrivacy) e das normas nacionais correspondentes, a saber:

17.2. (i) token de sessão de autenticação, armazenado no cofre de credenciais do sistema operacional, no aplicativo para desktop, ou no armazenamento local do navegador (localStorage), na aplicação web; (ii) preferência de idioma e de tema visual, para a correta exibição da interface antes da autenticação; (iii) estado do ciclo Pomodoro em curso, armazenado exclusivamente no dispositivo; e (iv) posição da janela flutuante na tela, no aplicativo para desktop.

17.3. A Plataforma não utiliza cookies de publicidade, cookies de terceiros para rastreamento entre sítios, pixels de rastreamento, impressão digital do dispositivo (fingerprinting) ou tecnologias de análise comportamental para fins de marketing.

17.4. O titular pode eliminar os dados armazenados localmente a qualquer tempo, por meio do encerramento da sessão na Plataforma, da limpeza dos dados de navegação do navegador ou da desinstalação do aplicativo para desktop, ciente de que tal providência poderá exigir nova autenticação e a reconfiguração de preferências locais.

17.5. O aplicativo para desktop registra, no próprio dispositivo, a posição da janela flutuante e a preferência de abertura automática, as quais são utilizadas exclusivamente para restaurar a interface no estado deixado pelo Usuário e não são associadas a qualquer finalidade de análise ou de rastreamento.

18. Comunicações eletrônicas

18.1. O Controlador envia ao titular exclusivamente comunicações transacionais e de serviço, necessárias à execução do contrato ou ao cumprimento de obrigações legais, tais como: mensagem de confirmação do endereço de correio eletrônico; mensagem de redefinição de senha; avisos sobre o término do Período de Avaliação; avisos sobre alterações nos Termos de Uso, nesta Política ou nos preços; avisos de exclusão de Conta inativa; e comunicações de incidentes de segurança. Os recibos de pagamento são enviados diretamente pelo Processador de Pagamentos.

18.2. O envio de comunicações de natureza promocional ou de marketing dependerá de consentimento prévio, livre, informado e inequívoco do titular, que poderá ser revogado a qualquer tempo, por meio de ligação de descadastramento incluída em cada mensagem ou mediante solicitação ao Encarregado.

18.3. As mensagens de correio eletrônico enviadas pelo Controlador não contêm pixels de rastreamento de abertura nem ligações com parâmetros de rastreamento individualizado para fins de marketing.

19. Serviços e sítios de terceiros

19.1. A Plataforma pode conter ligações ou redirecionamentos para serviços e sítios de terceiros, como a página de pagamento e o Portal do Cliente do Processador de Pagamentos, a página de autenticação do provedor de identidade e o repositório de distribuição de versões do aplicativo.

19.2. Ao acessar tais serviços, o titular fica sujeito às políticas de privacidade e aos termos de uso dos respectivos terceiros, que atuam, nessas hipóteses, como controladores independentes, não sendo o Controlador responsável pelas suas práticas de tratamento de dados. Recomenda-se ao titular a leitura atenta das respectivas políticas.

20. Atualizações desta Política

20.1. Esta Política poderá ser atualizada periodicamente, em decorrência de alterações legislativas ou regulatórias, de orientações das autoridades de controle, de alterações nos operadores contratados ou de evolução das funcionalidades da Plataforma, sendo a data da última atualização indicada no topo do documento.

20.2. As alterações relevantes, em especial aquelas que impliquem nova finalidade de tratamento, novas categorias de dados, novos compartilhamentos ou alterações nas bases legais, serão comunicadas ao titular com antecedência razoável, por correio eletrônico ou por aviso destacado na Plataforma, e, quando a nova operação depender de consentimento, este será solicitado previamente.

20.3. A ativação de eventuais novas funcionalidades que impliquem o tratamento adicional de dados pessoais, como a determinação do país do titular a partir do endereço IP para fins de exibição de preços, será precedida da atualização desta Política.

20.4. As versões anteriores desta Política poderão ser disponibilizadas ao titular mediante solicitação ao Encarregado, para fins de consulta e de comprovação das condições vigentes à época de determinado tratamento.

21. Contato e Encarregado

21.1. Para esclarecimentos sobre esta Política, para o exercício dos direitos de titular ou para qualquer comunicação relativa ao tratamento de dados pessoais, o titular poderá contatar o Encarregado pelo endereço suporte@beedoit.app.

21.2. Esta Política deverá ser interpretada em conjunto com os Termos de Uso e com a Legislação Aplicável, prevalecendo, em qualquer hipótese, as disposições de ordem pública que assegurem proteção mais ampla ao titular.