Esta política explica quais dados pessoais o Mérito trata, para que, com quem eles são compartilhados, por quanto tempo ficam guardados e como você exerce os seus direitos. Ela vale para o site e para o aplicativo do Mérito e segue a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, a LGPD).
1. Quem é responsável pelos seus dados
O Mérito é um serviço de estudo para o Exame de Ordem da OAB oferecido pela IBEX APLICATIVOS DIGITAIS LTDA (a “Ibex”), inscrita no CNPJ sob o nº 51.863.221/0001-24, com sede na Av. Prefeito Osmar Cunha, 416, sala 1108, Centro, Florianópolis/SC, CEP 88015-100. A Ibex é a controladora dos dados pessoais descritos nesta política.
2. Os dados que tratamos
Quando você cria uma conta com e-mail e senha
- o seu nome, como você o informou;
- o seu e-mail;
- a sua senha — que nunca guardamos como você a digitou: guardamos só um resumo cifrado dela (hash), do qual não é possível recuperar a senha;
- a data de criação da conta.
Quando você entra com o Google
Se você escolher entrar com a sua conta Google, o Google nos informa o identificador da sua conta Google, o seu e-mail, se esse e-mail foi verificado pelo Google e o seu nome. Não recebemos a sua senha do Google, a sua foto, os seus contatos nem qualquer outro dado da sua conta Google. Guardamos o vínculo entre a conta Google e a sua conta no Mérito, o e-mail informado no momento do vínculo e a data do último acesso por esse caminho.
O seu estudo
- as questões que você respondeu, a resposta que deu, se acertou e quando respondeu;
- o agendamento das suas revisões: para cada questão, os números que o método de revisão espaçada usa para decidir quando ela volta para você (estabilidade, dificuldade, quantas vezes você a revisou e quantas vezes errou) e a próxima data de revisão;
- as lições concluídas, com acertos e pontos ganhos;
- as sessões de estudo do dia, com a ordem das questões e as respostas;
- os simulados: quando começou, o prazo, as respostas, as questões marcadas para revisar e o resultado;
- os pontos de experiência, a sua ofensiva (dias seguidos de estudo), a meta diária e o uso da proteção de ofensiva.
Quando você pede para redefinir a senha
Enviamos ao seu e-mail um link de uso único, que vale por 60 minutos. Do link, guardamos só um resumo cifrado (hash), com as datas de criação, de uso e de validade — o link em si existe apenas no e-mail. Para impedir pedidos em massa, o endereço IP de quem faz o pedido é usado para limitar quantos pedidos saem da mesma origem; ele fica só na memória do servidor, por 15 minutos, e não é gravado no banco de dados.
Registros de acesso
Como todo serviço na internet, a nossa infraestrutura registra cada requisição feita aos nossos servidores: o endereço IP, a data e a hora, o endereço acessado, o código de resposta, o tempo de resposta e a identificação do navegador ou do aplicativo (o chamado “user agent”). Usamos esses registros para manter o serviço seguro — por exemplo, para limitar tentativas repetidas de login vindas do mesmo endereço — e para investigar falhas.
O que fica no seu aparelho
No site, o navegador guarda no armazenamento local (o “localStorage”) os dados da sua sessão — as chaves que mantêm você conectado e o seu nome de exibição — e as respostas que você deu na apresentação inicial (o prazo até a prova e quantos minutos por dia pretende estudar). Essas respostas ficam só no seu navegador: não são enviadas a nós. No aplicativo para celular, os dados da sessão ficam no próprio aparelho.
Cookies, publicidade e medição de audiência
O Mérito não usa cookies próprios, não exibe publicidade e não usa ferramentas de medição de audiência, rastreamento ou pixels de terceiros. A única exceção é a tela de entrada: quando ela oferece o login com o Google, a página carrega o componente de login do próprio Google, que pode usar cookies do Google segundo a política de privacidade do Google.
O que não coletamos
Não pedimos CPF, telefone, endereço, localização, foto nem dados de pagamento. Quando a assinatura passar a existir, esta política será atualizada, antes de qualquer cobrança, com os dados que ela exigir.
3. Para que usamos os dados, e com qual base legal
- Criar e manter a sua conta, e permitir que você entre nela
- Dados de cadastro, vínculo com o Google e dados de sessão. Base legal: execução de contrato (art. 7º, V, da LGPD).
- Oferecer o estudo: trilha, revisão espaçada, simulados, ofensiva e pontos
- Dados do seu estudo. Base legal: execução de contrato (art. 7º, V).
- Recuperar o acesso à conta pelo e-mail
- E-mail, nome e o link de redefinição. Base legal: execução de contrato (art. 7º, V).
- Manter o serviço seguro, prevenir abusos e investigar falhas
- Registros de acesso e endereço IP. Base legal: legítimo interesse (art. 7º, IX) e cumprimento de obrigação legal (art. 7º, II), pelo dever de guarda dos registros de acesso do Marco Civil da Internet.
- Cumprir obrigações legais e defender direitos
- Os dados necessários em cada caso. Base legal: cumprimento de obrigação legal (art. 7º, II) e exercício regular de direitos (art. 7º, VI).
Hoje nenhum tratamento depende do seu consentimento. Se algum passar a depender — por exemplo, o envio de comunicações sobre novidades —, ele será pedido à parte, e você poderá retirá-lo quando quiser.
O único e-mail que enviamos hoje é o de redefinição de senha, quando você o pede. Ele sai de um endereço que não recebe respostas; para falar conosco, use o contato do item 12.
Não tomamos decisões automatizadas que afetem os seus interesses. O agendamento das revisões é automático, mas decide apenas quando uma questão volta para você estudar.
4. Com quem compartilhamos
Não vendemos os seus dados e não os compartilhamos para publicidade. Eles são tratados, em nosso nome, por estes fornecedores:
- Google Cloud — hospeda o nosso servidor, o banco de dados e o site, e protege o serviço contra abusos. Os servidores e o banco de dados ficam na região de São Paulo.
- Google, como provedor de login — só se você escolher entrar com a conta Google. Nesse caso, o Google trata os seus dados também segundo a política dele.
- Resend — envia o e-mail de redefinição de senha, e para isso recebe o seu e-mail, o seu nome e o link.
A nossa equipe usa um serviço de inteligência artificial (o Claude, da Anthropic) somente dentro de uma ferramenta interna, para redigir rascunhos de comentários das questões a partir do enunciado, das alternativas e do texto da lei. Nenhum dado seu é enviado a esse serviço.
Também podemos fornecer dados a autoridades públicas quando a lei ou uma ordem judicial exigir.
Quando a assinatura existir, o pagamento será processado pela Stripe, intermediária de pagamentos, e esta política será atualizada, antes da primeira cobrança, com os dados que a Stripe passar a receber.
5. Transferência internacional
Os nossos servidores, o banco de dados, as cópias de segurança dele e os registros de acesso ficam no Brasil, na região de São Paulo do Google Cloud. O e-mail de redefinição de senha também sai do Brasil, pela região de São Paulo do Resend. Os fornecedores, porém, são empresas com sede no exterior e podem tratar parte dos dados fora do Brasil — o Resend pode guardar registros dos envios nos Estados Unidos, e o Google, como provedor de login, trata os dados do login segundo a política dele. Nesses casos, a transferência segue o art. 33 da LGPD e se apoia nas cláusulas contratuais de proteção de dados que esses fornecedores assumem conosco.
6. Por quanto tempo guardamos
- Conta e estudo: enquanto a conta existir. Excluída a conta, o progresso é apagado junto, de forma definitiva — inclusive o histórico de revisões, que não pode ser recuperado.
- Conta desativada: o acesso é cortado, mas os dados continuam guardados, para que a conta possa ser reativada, por até 5 anos depois da desativação. Passado esse prazo, a conta é excluída, com todo o progresso.
- Links de redefinição de senha: o resumo cifrado de cada link é excluído em até 30 dias depois de ser usado ou de vencer.
- Registros de acesso: 6 meses, como exige o Marco Civil da Internet (art. 15). Depois disso, são excluídos.
- Registros de funcionamento do servidor (por exemplo, de erros): 30 dias.
- Cópias de segurança: o banco de dados tem cópias diárias, que são substituídas pelas mais novas em cerca de 14 dias. Um dado apagado da conta pode continuar nelas até lá.
Podemos guardar dados por mais tempo quando a lei exigir ou para exercer direitos em processos.
7. Os seus direitos
Pela LGPD (art. 18), você pode pedir, a qualquer momento:
- a confirmação de que tratamos dados seus, e o acesso a eles;
- a correção de dados incompletos, inexatos ou desatualizados;
- a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- a portabilidade dos seus dados a outro fornecedor;
- a eliminação dos dados tratados com o seu consentimento;
- a informação sobre com quem compartilhamos os seus dados;
- a informação sobre a possibilidade de não dar consentimento, e as consequências disso;
- a revogação do consentimento;
- a oposição a um tratamento que descumpra a lei;
- a exclusão da sua conta.
Para exercer qualquer um deles, escreva para privacidade@meritoconcursos.com.br, de preferência a partir do e-mail da sua conta. Podemos pedir que você confirme que a conta é sua antes de atender o pedido. Respondemos nos prazos da LGPD.
Hoje, a exclusão da conta e a correção do nome e do e-mail são feitas pela nossa equipe, a seu pedido: ainda não há um botão para isso no aplicativo. Lembre que excluir a conta apaga todo o seu progresso, sem volta.
Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).
8. Segurança
Toda comunicação com o Mérito é cifrada (HTTPS). Senhas e links de redefinição são guardados só como resumos cifrados. A sessão de acesso expira em 15 minutos e é renovada automaticamente; trocar a senha pelo link encerra, em até 15 minutos, as sessões que estavam abertas. Tentativas repetidas de login e de redefinição de senha são limitadas. Só pessoas da equipe que precisam, com perfil próprio, acessam a ferramenta interna. Nenhum sistema é totalmente imune a falhas; se ocorrer um incidente de segurança que possa causar risco ou dano relevante a você, avisaremos você e a ANPD, como a LGPD determina.
9. Menores de idade
O Mérito é feito para bacharéis em Direito que se preparam para o Exame de Ordem e não se destina a menores de 18 anos. Se identificarmos que uma conta pertence a um menor de 18 anos, avisaremos pelo e-mail da conta. Se a maioridade não for comprovada em 15 dias, a conta será desativada e os dados dela, excluídos.
10. Equipe do Mérito
Para as pessoas da nossa equipe que usam a ferramenta interna, registramos também as ações feitas nela — por exemplo, quem revisou ou publicou um comentário e quando —, para que cada decisão tenha autor.
11. Mudanças nesta política
Quando esta política mudar, publicaremos a nova versão nesta página, com a data de atualização. Mudanças relevantes serão avisadas com pelo menos 15 dias de antecedência, por um aviso no aplicativo e, para quem tem conta com e-mail, também por e-mail.
Leia também os Termos de uso.
12. Contato e encarregado
Encarregado pelo tratamento de dados pessoais: Everton Melo.
Contato para assuntos de privacidade e pedidos da LGPD: privacidade@meritoconcursos.com.br.