Política de Privacidade

O RetroDash (retrodash.com.br) é uma plataforma de retrospectiva em tempo real para equipes Scrum e Kanban. Esta Política de Privacidade explica quais informações pessoais coletamos, por que as coletamos, como as usamos, com quem as compartilhamos e os direitos disponíveis a você.

O RetroDash é um projeto pessoal mantido por Igor Patrick Ponticelli, sediado em Blumenau, Santa Catarina, Brasil. Para fins da LGPD (Art. 41), Igor Patrick Ponticelli atua como Controlador dos dados pessoais tratados pela plataforma. Por se tratar de projeto individual e não de pessoa jurídica, não há indicação formal de Encarregado de Dados (DPO) nos termos do Art. 41, §1º; o próprio controlador atende às solicitações de titulares através do e-mail patrickigor.ip@gmail.com.

Ao usar o RetroDash, você concorda com a coleta e uso das informações de acordo com esta política. Caso discorde de qualquer parte, por favor interrompa o uso da plataforma.

Coletamos as seguintes categorias de dados pessoais:

• Dados da conta (via Google Sign-In): seu nome de exibição, endereço de e-mail, URL da foto de perfil e ID de usuário do Google (UID). Não coletamos nem armazenamos sua senha do Google — a autenticação é gerenciada inteiramente pelo Google.
• Configuração de salas: nomes de salas, títulos de colunas e senhas de acesso (armazenadas como hashes SHA-256 — nunca em texto puro).
• Conteúdo gerado pelo usuário: textos digitados em cards de retrospectiva. Em salas anônimas, seu nome de exibição é ocultado na interface, mas seu ID de usuário é armazenado internamente para aplicar as regras de votação e para fins de moderação.
• Dados de participação e atividade: quando você entrou em uma sala, seu papel (facilitador ou membro) e seu histórico de votos — em quais cards você votou.
• Logs de segurança: o Firebase coleta automaticamente seu endereço IP, tipo de navegador, sistema operacional e identificadores de dispositivo para operar, proteger e melhorar o serviço.

As informações são coletadas das seguintes formas:

• Diretamente de você: quando você faz login com o Google, cria salas, escreve cards, vota ou configura as salas.
• Do Google: ao autorizar o login com Google, o Google nos fornece seus dados de perfil (nome, e-mail, foto) nos termos da política de privacidade do Google e de sua autorização.
• Automaticamente: o Firebase Authentication e o Firestore coletam metadados de dispositivo e rede (endereço IP, impressão digital do navegador) como parte de sua infraestrutura padrão de segurança.

Tratamos seus dados pessoais com base nas hipóteses legais a seguir. A tabela abaixo mapeia cada categoria de dado à sua base legal conforme a LGPD (Lei 13.709/2018, Art. 7º) e o GDPR (Regulamento (UE) 2016/679, Art. 6).

Para os tratamentos baseados em legítimo interesse, foi realizado teste de balanceamento (balancing test). Em cada caso, o tratamento é proporcional à finalidade, está alinhado às expectativas razoáveis do titular e conta com salvaguardas adequadas.

Utilizamos suas informações para:

• Autenticá-lo e manter sua sessão segura entre abas e dispositivos.
• Exibir seu nome e foto de perfil no quadro, dashboard e listas de participantes (exceto em salas configuradas como anônimas).
• Criar, gerenciar e exibir salas, colunas e cards em seu nome.
• Aplicar as regras de votação (impedindo votos duplicados e autovotos) rastreando quais usuários votaram em quais cards.
• Permitir que facilitadores vejam os participantes da sala e gerenciem a sessão de retrospectiva.
• Responder a solicitações de suporte ou comunicações que você nos enviar.
• Cumprir obrigações legais e fazer cumprir nossos Termos de Serviço.

O RetroDash inclui um botão opcional "Melhorar com IA" nos cards de retrospectiva. Ao clicar neste botão, o conteúdo textual daquele card específico é enviado à API do Google Gemini (modelo: gemini-flash-latest) para gerar uma versão aprimorada do texto.

Pontos importantes sobre este recurso:

• Apenas o texto do card é enviado — nenhum nome, e-mail, ID de usuário, nome da sala ou outro identificador pessoal é incluído na requisição.
• O envio é totalmente voluntário: só ocorre quando você clica em "Melhorar com IA". Não há envio automático ou em segundo plano do conteúdo dos cards.
• Se preferir não usar o recurso, simplesmente não clique no botão. O restante da plataforma funciona normalmente sem ele.
• Base legal (LGPD): legítimo interesse (Art. 7º, IX) — o tratamento é solicitado pelo próprio usuário para melhorar seu conteúdo, nenhum dado identificador é enviado, e o usuário mantém controle total sobre aceitar ou não a sugestão.
• Base legal (GDPR): legítimo interesse (Art. 6(1)(f)) — aplica-se o mesmo raciocínio.
• O Google declara que dados enviados via acesso pago à API Gemini não são usados para treinar modelos por padrão. O conteúdo enviado também está sujeito à Política de Privacidade do Google e aos termos de uso da API.

O conteúdo enviado ao Google Gemini é processado conforme a Política de Privacidade do Google, além desta política.

Não vendemos, alugamos nem comercializamos seus dados pessoais. Compartilhamos dados apenas com os prestadores de serviço estritamente necessários para operar a plataforma:

• Firebase (Google LLC, Mountain View, CA, EUA): utilizamos o Firebase Authentication para gerenciamento de identidade e o Cloud Firestore para armazenamento de banco de dados em tempo real. Todos os dados de usuários trafegam pela infraestrutura do Firebase. A Política de Privacidade do Google rege o processamento.
• Vercel Inc. (San Francisco, CA, EUA): utilizamos a Vercel para hospedar o aplicativo Next.js. A Vercel pode registrar endereços IP e metadados de requisições para fins de desempenho e segurança.
• API do Google Gemini (Google LLC): quando você clica voluntariamente em "Melhorar com IA", o texto daquele card é enviado à API Gemini. Nenhum identificador pessoal é incluído. Veja a Seção 6 para detalhes completos.

Também podemos divulgar suas informações quando exigido por lei, ordem judicial ou solicitação legítima de autoridade governamental, ou para proteger direitos, segurança ou propriedade do RetroDash, de nossos usuários ou do público.

A infraestrutura do RetroDash está localizada principalmente nos Estados Unidos. Se você acessa a plataforma do Brasil, da União Europeia ou de outra jurisdição com restrições a transferências de dados, suas informações pessoais são transferidas para e processadas nos Estados Unidos.

Para usuários no Brasil (LGPD): as transferências internacionais de dados são realizadas com base na necessidade da transferência para a prestação do serviço contratado, conforme o Art. 33, VIII, da Lei nº 13.709/2018.

Para usuários na UE/EEE (GDPR): as transferências para os EUA baseiam-se em Cláusulas Contratuais Padrão (SCCs) ou outros mecanismos adequados mantidos pelo Firebase e pela Vercel, em conformidade com o Capítulo V do GDPR.

Retemos dados pessoais pelo tempo necessário para fornecer o serviço e cumprir obrigações legais:

• Dados da conta (nome, e-mail, foto): retidos até que você solicite a exclusão da conta.
• Dados de salas e cards: retidos enquanto a sala existir na plataforma. O facilitador pode excluir a sala a qualquer momento.
• Dados excluídos: após exclusão de um card, sala ou conta, os dados são removidos do banco de dados ativo. Backups podem reter cópias por até 90 dias antes da exclusão permanente.
• Logs de segurança (IP, user-agent): retidos conforme as políticas padrão de retenção de logs do Firebase, tipicamente de 30 a 90 dias.

Dependendo da sua localização, você possui os seguintes direitos em relação aos seus dados pessoais. Para exercê-los, entre em contato diretamente com o Controlador: patrickigor.ip@gmail.com.

Direitos pela LGPD (usuários no Brasil)

• Confirmação e acesso (Art. 18, I–II): confirmar se seus dados são tratados e obter uma cópia.
• Retificação (Art. 18, III): corrigir dados imprecisos ou incompletos.
• Anonimização, bloqueio ou eliminação de dados desnecessários (Art. 18, IV).
• Portabilidade (Art. 18, V): receber seus dados em formato estruturado e interoperável.
• Eliminação de dados tratados com consentimento (Art. 18, VI).
• Informação sobre compartilhamento (Art. 18, VII): saber com quem seus dados são compartilhados.
• Revogação do consentimento (Art. 18, IX), quando o consentimento for a base legal aplicável.
• Oposição ao tratamento baseado em legítimo interesse (Art. 18, IX).
• Direito de petição à ANPD (Autoridade Nacional de Proteção de Dados).

Direitos pelo GDPR (usuários na UE/EEE)

• Direito de acesso (Art. 15): solicitar uma cópia dos dados pessoais que mantemos sobre você.
• Direito de retificação (Art. 16): corrigir informações imprecisas ou incompletas.
• Direito à eliminação / direito ao esquecimento (Art. 17): solicitar a exclusão dos seus dados.
• Direito à limitação do tratamento (Art. 18): pausar o tratamento enquanto uma reclamação está sendo analisada.
• Direito à portabilidade dos dados (Art. 20): receber seus dados em formato legível por máquina.
• Direito de oposição (Art. 21): opor-se ao tratamento baseado em legítimo interesse.
• Direito de reclamação junto à autoridade supervisora nacional.

Exclusão de Conta

A exclusão de conta é realizada atualmente mediante solicitação por e-mail para patrickigor.ip@gmail.com. O Controlador se compromete a processar as solicitações de exclusão em até 15 dias úteis após a verificação do recebimento, com confirmação enviada ao seu e-mail ao término.

A exclusão abrange: seus dados de perfil (nome, e-mail, foto), salas que você criou (com aviso aos co-participantes), seu histórico de votos e mensagens de feedback que você enviou. Logs de segurança e backups seguem o ciclo de retenção descrito na Seção 9 (até 90 dias) antes da exclusão permanente.

O roadmap da plataforma inclui um recurso de exclusão de conta em autoatendimento. Isso é reconhecido como meta futura e não está disponível atualmente na plataforma.

O RetroDash não usa cookies publicitários nem pixels de rastreamento de terceiros. Utilizamos apenas armazenamento local do navegador estritamente necessário para o funcionamento da plataforma — tokens do Firebase Authentication e estado temporário da interface.

Para detalhes completos sobre o que é armazenado, por quê, por quanto tempo e como limpar, consulte nossa Política de Cookies e Armazenamento Local.

Implementamos medidas de segurança compatíveis com os padrões da indústria para proteger seus dados:

• Criptografia em trânsito: todos os dados são transmitidos via HTTPS/TLS 1.2 ou superior.
• Criptografia em repouso: o Firestore criptografa todos os dados armazenados usando AES-256.
• Controles de acesso: regras de segurança do Firestore restringem o acesso para que usuários leiam e escrevam apenas os dados aos quais estão autorizados.
• Hash de senhas: as senhas de sala são armazenadas como hashes SHA-256 — nunca em texto puro nem transmitidas como tal.
• Sem manuseio de credenciais: a autenticação é delegada inteiramente ao Google OAuth 2.0 — nunca vemos nem armazenamos sua senha do Google.

Apesar dessas medidas, nenhum sistema é completamente seguro. Não podemos garantir a segurança absoluta dos seus dados. Se você identificar uma vulnerabilidade, reporte-a de forma responsável: patrickigor.ip@gmail.com.

O RetroDash não é direcionado a crianças menores de 13 anos (ou menores de 16 anos na União Europeia, conforme a legislação local aplicável). A plataforma é projetada para contextos profissionais de equipe — os usuários esperados e típicos são adultos em ambiente de trabalho.

Não há mecanismo técnico de verificação de idade. Ao fazer login com o Google e usar a plataforma, os usuários declaram que atendem ao requisito de idade mínima aplicável em sua jurisdição.

Se o Controlador for notificado de que um usuário abaixo da idade mínima aplicável criou uma conta, essa conta e todos os dados associados serão excluídos imediatamente. Para comunicar tal situação, entre em contato: patrickigor.ip@gmail.com.

Podemos atualizar esta Política de Privacidade para refletir mudanças em nossas práticas ou na legislação aplicável. Quando realizarmos alterações materiais:

• Atualizaremos a data de "Última atualização" no topo desta página.
• Publicaremos um aviso dentro do aplicativo RetroDash.
• Quando exigido pela legislação aplicável, notificaremos os usuários afetados por e-mail com pelo menos 30 dias de antecedência antes das alterações entrarem em vigor.

O uso continuado do RetroDash após a data de vigência constitui aceitação da política atualizada. Se você não concordar, deve interromper o uso da plataforma antes da data de vigência.

Para dúvidas sobre privacidade, solicitações de acesso a dados, reclamações ou para exercer seus direitos, entre em contato diretamente com o Controlador:

• E-mail: patrickigor.ip@gmail.com
• Controlador: Igor Patrick Ponticelli, Blumenau, Santa Catarina, Brasil.
• Por se tratar de projeto individual, não há DPO formalmente designado. O controlador atende pessoalmente todas as solicitações dos titulares. Nosso objetivo é responder em até 15 dias úteis.