Política de Privacidade

O controlador dos dados pessoais tratados no MedProva é José Marcos Vinícius Andrade Gois, pessoa física, inscrito no CPF sob o nº 842.070.435-00, com endereço na Rua das Figueiras, 8, Residencial Henrique Baeta, Águas Claras Norte, Brasília-DF, CEP 71906-750.

O canal para assuntos de privacidade (encarregado, nos termos da LGPD) é contato@medprova.com.br — o mesmo endereço do suporte. Quem responde por ele é a pessoa acima: a MedProva é operada por uma pessoa só, e não há equipe separada de privacidade.

Esta política vale para a plataforma MedProva (site e API). Ela foi escrita para descrever o que a plataforma faz de fato, e não mais do que isso.

Dados que você informa:

• nome, e-mail e senha (a senha é guardada apenas como hash, com o algoritmo Argon2 — nem nós conseguimos lê-la);
• configurações de estudo: meta diária de questões, data da prova, instituição alvo e se a sua cidade é pública;
• o avatar que você monta, se montar: silhueta, tom de pele, forma e cor do cabelo, barba, óculos, corte do jaleco e manga;
• o brasão do avatar: duas cores e um símbolo;
• a sua escolha de mostrar o avatar aos colegas (ligada ou desligada), a data e a hora da última mudança e a versão do texto que você viu na hora;
• o código de convite que você informou no cadastro, se informou, e a data e a hora em que aceitou os Termos.

Sobre o avatar: o tom de pele é uma ilustração que você escolhe, e não é coletado como dado de raça ou etnia. O ponto de partida do editor ("com traços masculinos", "com traços femininos" ou "montar do zero") só adianta o cabelo e o jaleco: ele não é guardado, e não existe campo de gênero na conta.

Dados gerados pelo seu uso:

• cada questão que você responde: a alternativa marcada, se acertou, o tempo gasto e a data;
• cada sessão de estudo (treino, prova cronometrada ou simulado): questões, início, fim, pausas e resultado;
• questões marcadas para revisão, estatísticas por área e tema calculadas a partir das suas respostas;
• os "tijolos" e construções da sua cidade e a sequência de dias de estudo;
• a sua marcação no cartão do dia (a mesma pergunta de flashcard para todo mundo, por dia): qual cartão foi sorteado para você, a alternativa que você escolheu, se acertou — e daí sai a nota, lembrei ou não lembrei; a versão antiga do aplicativo ainda deixa você dar a nota direto (lembrei / quase / não lembrei) — e os dois instantes — quando o cartão foi aberto e quando você respondeu — que medem se você leu antes de responder;
• o seu código de convite (gerado pela plataforma) e a lista de contas que se cadastraram com ele;
• a data do último acesso e a data de criação da conta.

Dados técnicos:

• para manter você conectado, guardamos um token de sessão (o cookie "mp_rt") junto com o identificador do navegador (user agent) e o endereço IP de onde a sessão foi aberta;
• esse par (user agent e IP) é gravado DE NOVO a cada renovação da sessão, e não só na abertura: a renovação acontece sozinha enquanto você usa a plataforma, a cada 15 minutos mais ou menos. Cada renovação cria um registro novo, com o IP e o aparelho daquele momento, e o registro anterior fica guardado até expirar (30 dias) — na prática, isso forma um histórico de onde e de qual aparelho você usou o MedProva nesse período. É o que permite reconhecer uma sessão roubada, e é também mais do que "o IP de um login": dizemos assim porque é o que acontece;
• registros técnicos do servidor (logs): identificador da requisição, método, rota acessada e código de resposta, usados para manter o serviço no ar. Eles não guardam o corpo das requisições nem senhas;
• quando você pede uma senha nova: o endereço IP de quem fez o pedido, a hora do pedido e uma impressão do link (o link em si não fica guardado), com a hora em que ele vence e a hora em que foi usado. Esse registro é apagado pelo próprio banco em até 30 minutos.
• quando confirmamos o seu e-mail: enquanto ele não está confirmado, guardamos uma impressão do código que enviamos (o código em si não fica guardado nem aparece nos registros do servidor), a hora em que ele vence, quantas vezes ele foi digitado errado e a hora dos últimos envios, para respeitar a espera e os limites de envio. Tudo isso é apagado quando você confirma; depois, fica só a data e a hora da confirmação. Se você entrou por convite, guardamos também a data e a hora em que o benefício de boas-vindas foi aplicado à sua conta, para que ele não se repita.
• se você autorizar as notificações no aplicativo do iPhone, guardamos o endereço do seu aparelho para notificação — o "token de push", um código que o sistema do celular gera e que não diz nada sobre você — junto com a plataforma (iOS), a versão do app e a data do último aviso enviado. Esse endereço serve só para entregar três notificações: o aviso do cartão do dia, o aviso de prazo das provas que você marcou (se pediu no app) e o lembrete "sentimos sua falta" (seção 3 desta política), e nada é guardado antes de você autorizar: o próprio iPhone pede a sua permissão. Ele é apagado quando você desliga todas as notificações neste aparelho, quando você sai da conta neste aparelho, quando o envio mostra que o aparelho não existe mais (por exemplo, o app foi desinstalado) e quando a conta é encerrada. Guardamos também a sua escolha de receber ou não o aviso do cartão do dia, para que trocar de celular não religue o que você desligou. As notificações são entregues pelo serviço de notificação do Expo, que repassa a mensagem à Apple — eles recebem o endereço do aparelho e o texto de cada notificação. O do cartão do dia e o do lembrete são o mesmo para todas as pessoas e não trazem nome nem nada seu (o do cartão nunca traz a resposta do cartão, e o do lembrete só diz que sentimos sua falta e convida para uma questão); o do aviso de prazo traz o nome da prova e a data do prazo (por exemplo, "A inscrição da SES-DF 2027 fecha em 7 dias").

De onde você chegou, e os passos até assinar:

• os parâmetros de campanha que vierem na URL (os "utm"), o domínio do site que trouxe você (o domínio, não a página), a primeira página que você abriu aqui e a hora dessa primeira visita. Enquanto você não tem conta, isso fica guardado no seu próprio navegador, em "medprova.first_touch.v1"; ao criar a conta, passa a ficar junto dela;
• os passos do caminho até a assinatura (a página aberta, o cadastro começado, a conta criada, o pagamento), e os passos de uso da amostra gratuita (abrir a amostra, concluí-la e tocar no convite para assinar), que são medidos com a sua conta e seguem a mesma base, prazo e anonimização do funil: guardamos o nome do passo, a hora, um identificador de visita sorteado no seu navegador ("medprova.funnel_session.v1", que existe só enquanto a aba fica aberta e não carrega nome nem e-mail), a origem acima e, se você já tiver conta, o identificador dela. Serve para saber quantas pessoas chegam e por onde — não para montar um perfil seu nem para anúncios.
• se você quiser, a resposta à pergunta "Como você conheceu a MedProva?", que aparece no fim do cadastro: a opção que você escolheu na lista e, se escolheu "Outro", o texto curto que escreveu (até 60 caracteres), com a data e a hora em que você respondeu. A pergunta é opcional e o cadastro funciona igual sem ela: se você não responder, não guardamos nada. A resposta é gravada uma vez, no cadastro, e não muda sozinha; se quiser corrigi-la ou tirá-la, peça pelo contato da seção 10.

O reporte de questão e o feedback do app:

• quando você reporta que o gabarito de uma questão parece desatualizado pela medicina de hoje, guardamos o motivo escolhido e o texto que você escreveu, se escreveu;
• quando você manda um recado sobre a plataforma (sugestão, problema ou elogio), guardamos o tipo escolhido, o texto (esse é obrigatório) e o contexto que o próprio app anexa sozinho, sem você digitar nada: a tela de onde você mandou (só o caminho, como "/questoes/123" — nunca os parâmetros da URL), a largura da janela do seu navegador e a versão do app. É o que permite entender um problema de tela sem pedir print;
• nenhum dos dois canais pede ou guarda nome, e-mail ou IP junto do texto — quem escreve já está identificado pela sessão, e é por ela que o administrador chega ao nome e ao e-mail da sua conta quando for responder (seção 5). Por isso, NÃO escreva dado pessoal seu ou de outra pessoa no campo de texto: ele deve falar sobre a questão ou sobre o app, não sobre quem escreveu.

A resposta do atendimento por e-mail (só se a gente responder ao que você escreveu, ou se você pediu uma prova e ela entrou no acervo):

• o assunto e o texto de cada e-mail que enviamos a você, a data e a hora do envio e o endereço de e-mail para o qual ele foi enviado, ligados ao recado, ao pedido de prova ou ao reporte a que respondem;
• o e-mail vai para o endereço da sua conta. As respostas que você mandar a ele chegam à nossa caixa, contato@medprova.com.br (seção 10), e ficam lá, no provedor de e-mail da caixa, e não na plataforma.

O aviso de prazo das provas de residência pedido no site (só se você pedir, na página do calendário):

• o seu e-mail, guardado em letras minúsculas, e as provas que você marcou;
• a data e a hora do último pedido, em que você aceitou a caixa de consentimento, e a versão do texto dessa caixa;
• de onde veio o pedido, se o endereço que você abriu trazia essa informação (fonte, meio e campanha do link, como "calendário" ou "grupo de estudo"); o formulário não pede isso a você;
• a data e a hora em que você confirmou o e-mail pelo link que enviamos e, se cancelou, a data e a hora do cancelamento;
• uma impressão do link de confirmação, com a hora em que ele vence, e uma impressão do link de cancelamento: os links em si não ficam guardados;
• o registro dos avisos que já saíram para você (qual prova, qual prazo, qual aviso e quando saiu), para não repetir nenhum;
• o registro do aviso não guarda o seu endereço IP, e o formulário não pede o seu nome.

O aviso de prazo pedido no app (só se você pedir, na tela "Avisos de prazo"):

• a sua conta (o identificador dela) e as provas que você marcou. O e-mail não é copiado para o pedido: na hora de mandar um aviso por e-mail, usamos o e-mail que a sua conta tiver naquele dia;
• por onde você quer ser avisado: e-mail, notificação no app, ou os dois;
• a data e a hora do último pedido, em que você aceitou a caixa de consentimento, e a versão do texto dessa caixa;
• se cancelou, a data e a hora do cancelamento;
• uma impressão do link de cancelamento que vai nos e-mails: o link em si não fica guardado;
• o registro dos avisos que já saíram para você (qual prova, qual prazo, qual aviso, por qual canal e quando saiu), para não repetir nenhum;
• o pedido feito no app não guarda o seu endereço IP, nem de onde veio o pedido.

O lembrete "sentimos sua falta" (só para quem ficou 7 dias ou mais sem usar a MedProva):

• o e-mail da sua conta, em letras minúsculas, usado só para mandar este lembrete;
• o seu primeiro nome, para a saudação do e-mail (não vai à notificação);
• a data em que a conta foi criada, a data do seu último acesso e a data da sua última resposta a uma questão: são as mesmas datas que já existem na conta, e servem para saber se você está há 7 dias sem usar;
• se você já respondeu alguma questão, para escolher a mensagem;
• a data do último lembrete que saiu para você, para não repetir no mesmo período e não mandar mais de um a cada 30 dias;
• a data em que você pediu para não receber mais (o link do e-mail), se pediu;
• não guardamos o texto do e-mail, o link de cancelar nem a notificação enviada: o link é refeito quando é preciso.

O que NÃO coletamos: não usamos ferramentas de rastreamento de terceiros nem publicidade — a medição descrita acima é nossa, roda no nosso próprio servidor e não alimenta rede de anúncios nenhuma; não lemos dados do seu dispositivo além dos descritos acima; não pedimos nem guardamos dados de pagamento — o pagamento acontece no site do provedor de pagamentos Stripe, sob a política de privacidade dele; nós só vemos, no painel do provedor, que o pagamento foi feito, para liberar o seu acesso à mão.

• prestar o serviço: entregar as questões, corrigir as respostas, montar as estatísticas, a cidade e o histórico;
• manter a sua conta e a sua sessão seguras (é para isso que servem o token, o user agent e o IP);
• confirmar que o e-mail da conta é seu (seção 2 dos Termos);
• montar a parte social descrita na seção 5 — hoje, a cidade pública e a lista "Meus convites";
• guardar e mostrar a você o avatar que você montou;
• mostrar o avatar que você montou aos seus colegas, só se você ligar "Mostrar meu avatar aos meus colegas";
• liberar e controlar o prazo do acesso premium;
• atender pedidos seus (redefinição de senha, arrependimento, encerramento de conta);
• responder por e-mail ao recado, ao pedido de prova ou ao reporte de questão que você mandou, e avisar você quando a prova que você pediu entrar no acervo; o histórico desses e-mails existe para a gente saber o que já respondeu e não repetir nem se contradizer;
• melhorar o conteúdo: comentários errados ou questões com problema são identificados a partir do padrão de respostas, sempre de forma agregada;
• saber por onde as pessoas chegam e onde elas param no caminho da assinatura, para não gastar esforço num canal que não traz ninguém. Os números são lidos por semana e por canal; a origem de cada conta (e a resposta de "Como você conheceu a MedProva?", se você deu) só aparece na lista de contas e na ficha de cada uma, que o administrador vê (seção 5).
• entregar, no aparelho que você autorizou, o aviso do cartão do dia — um por dia, o mesmo convite para todas as pessoas, sem a resposta do cartão e sem nenhum número seu. Desligar é no próprio app, e vale para a conta.
• se você pediu, enviar os avisos das provas de residência que você marcou: pelo site, um e-mail para confirmar o pedido e, para cada prova, o aviso do próximo prazo (primeiro o fim da inscrição, depois a data da prova), quando faltam até 7 dias e de novo quando falta 1 dia ou é o próprio dia. Cada aviso sai uma só vez, e só depois que você confirmar o e-mail. Pelo app, os mesmos avisos, nos mesmos dias, pelos canais que você escolheu: por e-mail, para o e-mail da conta, e por notificação no iPhone. Cada aviso sai uma só vez por canal. Se o e-mail da sua conta também tem um pedido feito pelo site, o mesmo aviso não chega duas vezes nesse e-mail;
• se você ficou 7 dias ou mais sem usar a MedProva, enviar, uma vez por período de ausência, o lembrete "sentimos sua falta": um e-mail para o endereço da sua conta e, no iPhone, uma notificação, se você não desligou as notificações do cartão do dia. Para quem já respondeu, o convite é para a próxima questão; para quem nunca respondeu, o convite é para as 5 questões gratuitas de boas-vindas. Não mandamos mais de um lembrete a cada 30 dias, e não mandamos nada a quem pediu para não receber mais;
• dar ao administrador a lista dos pedidos de aviso, para três usos e nenhum outro: operar o serviço (saber quantos pedidos há e por qual prova), apagar o seu pedido quando você pedir, e conferir se os avisos saíram;

Não usamos os seus dados para publicidade, não os vendemos e não os cruzamos com bases externas. O lembrete "sentimos sua falta" (item acima) não é publicidade no sentido desta frase: é uma mensagem sobre o próprio MedProva, enviada a quem já tem conta, sem anúncio nem produto de outra empresa, e que convida a voltar ao que a pessoa já usa.

Tratamos os seus dados com base na execução do contrato que você aceita ao criar a conta (art. 7º, V, da LGPD): sem nome, e-mail, senha e o registro das suas respostas, o serviço não existe. O avatar que você monta é guardado para cumprir o que você pediu ao usar essa função: é execução do contrato.

MOSTRAR O SEU AVATAR AOS COLEGAS tem como base o seu consentimento (art. 7º, I): você o dá ao ligar "Mostrar meu avatar aos meus colegas", em Perfil, e a opção nasce desligada. Sem ligar, ninguém além de você vê o que montou. Você retira o consentimento quando quiser, desligando a mesma opção: o avatar padrão volta para os seus colegas na hora. Retirar não apaga o avatar da sua conta nem os seus outros dados.

O registro de quem indicou você e o do aceite destes documentos também são execução do contrato (art. 7º, V) — e não consentimento. O código de convite é o que abre o cadastro quando ele está fechado, então de quem veio a chave é parte de como a sua conta passou a existir; por isso esse registro é permanente e não existe "revogar" aqui (o que se revoga é consentimento, e não é esta a base). Se você não quer esse registro, o caminho é o encerramento da conta, na seção 8.

A exibição do seu nome curto (primeiro nome e inicial do sobrenome) na página do seu link de convite também é execução do contrato (art. 7º, V): o convite é uma função do contrato que você usa para trazer colegas, e o link que você compartilha é seu — mostrar de quem veio o convite é parte de como essa função funciona, inclusive para quem abre o link sem ainda ter conta na MedProva. Não é consentimento de quem abre o link, porque quem compartilha o link é você, não quem o recebe. Se você não quer esse nome exibido, não precisa encerrar a conta: trocar o seu código em "Meus convites", no Perfil, tira o link antigo de circulação na hora, e quem abrir o endereço velho não vê mais o seu nome. A prévia de um link que você já mandou (no WhatsApp, por exemplo) pode continuar mostrando o seu primeiro nome, porque fica guardada no aplicativo de quem recebeu: trocar o código vale dali para frente, e não apaga o que já foi enviado. O encerramento da conta, na seção 8, continua sendo o caminho definitivo.

O RANKING POR PROVA ESTÁ DESLIGADO, e por isso não há base legal a declarar para ele: nenhuma nota sua é publicada para ninguém. A lista de classificação de cada prova responde vazia, e terminar uma prova cronometrada não cria linha pública nenhuma. Se o ranking voltar, a base será a execução do contrato (art. 7º, V) e a seção 5 desta política dirá, campo por campo, o que a lista mostra — antes de ela aparecer.

Descartar uma tentativa é seu e é livre: você descarta quando quiser, sem pedir a ninguém e sem depender de o ranking existir. A tentativa sai do seu histórico; as respostas que você já deu CONTINUAM contando nas suas estatísticas e na sua cidade — você estudou aquilo, e descartar a tentativa não apaga o estudo.

A exibição da sua CIDADE a outras pessoas tem como base o nosso legítimo interesse (art. 7º, IX), e não o seu consentimento: a conta nasce com a cidade pública, ou seja, não pedimos a sua manifestação antes — chamar isso de consentimento seria falso. Na ponderação (art. 10): o que aparece não é sensível (construções e totais de estudo, sem as suas respostas, sem o seu e-mail), só alcança outras pessoas com conta, serve ao estudo em grupo que é a razão da parte social, e desligar é imediato e definitivo — "Mostrar minha cidade no Ranking", em Perfil. A seção 5 lista, campo por campo, o que a sua cidade mostra: é mais do que a miniatura, e você tem de saber disso para decidir. Você pode se opor a esse tratamento a qualquer momento (art. 18, § 2º), e desligar essa opção é exatamente exercer essa oposição: a partir dali ninguém além de você e do administrador vê a sua cidade.

AS LIGAS SEMANAIS têm como base o nosso legítimo interesse (art. 7º, IX), e não o seu consentimento: a conta nasce participando, ou seja, não pedimos a sua manifestação antes — chamar isso de consentimento seria falso. Na ponderação (art. 10): o que aparece é esforço de estudo (nome curto e tijolos da semana), nunca nota, acerto nem percentual; só alcança outras pessoas com conta; serve ao estudo em grupo, que é a razão da parte social; e sair é imediato — "Aparecer nas ligas", em Perfil. Diferente da cidade, aqui o seu nome curto aparece também para pessoas que NÃO são suas colegas, e é por isso que dizemos com todas as letras. Você pode se opor a esse tratamento a qualquer momento (art. 18, § 2º), e desligar essa opção é exatamente exercer essa oposição: você sai da classificação na hora e deixa de ver as ligas.

A ORIGEM DA SUA VISITA, a sua resposta à pergunta "Como você conheceu a MedProva?" e os passos até a assinatura têm como base o nosso legítimo interesse (art. 7º, IX): sem saber por onde as pessoas chegam, cada divulgação é aposta no escuro. Na ponderação (art. 10): o dado não é sensível; a origem automática vem do endereço que você clicou, e a resposta só existe se você der — é opcional e vem de você; nada disso é vendido, cruzado com base externa ou usado em rede de anúncios; os números são lidos por semana e por canal, e quem vê a origem e a resposta de uma conta, na lista de contas e na ficha de cada uma, é só o administrador (seção 5); e nada disso muda o que você vê na plataforma, nem preço, nem conteúdo. Você pode se opor a esse tratamento (art. 18, § 2º) pelo contato da seção 10 — inclusive pedindo que tiremos a sua resposta sem encerrar a conta —, e o identificador de visita depende do armazenamento do seu navegador: bloqueá-lo, ou usar uma aba privada, já impede a medição do lado do cliente.

A BASE DO AVISO DE PRAZO é o seu consentimento (art. 7º, I, da LGPD): você o dá ao marcar a caixa "Quero receber avisos por e-mail antes das datas destas provas. Posso cancelar quando quiser." e pedir o aviso. Os avisos só saem depois que você confirma o e-mail pelo link que enviamos. O link de confirmação vale por 48 horas e funciona uma vez só. Você pode retirar o consentimento quando quiser, pelo link de cancelamento que vem em todo e-mail, sem precisar entrar na conta; retirar o consentimento para o aviso não apaga os dados da sua conta, se você tiver uma. Quem não tem conta na MedProva também pode pedir o aviso: a inscrição é do e-mail, não da conta. A caixa de consentimento passa a dizer que o administrador vê o seu pedido (a partir da vigência desta versão, 05/11/2026). Quem já tinha pedido antes disso pode cancelar pelo link de cancelamento, como sempre.

O AVISO DE PRAZO PEDIDO NO APP também tem como base o seu consentimento (art. 7º, I): você o dá ao marcar a caixa "Quero receber avisos antes das datas destas provas, pelos canais que marquei. Posso cancelar quando quiser." e salvar o pedido. Esse pedido é da sua conta, e não precisa de link de confirmação: você já entrou na conta, e o e-mail dela já é confirmado. Se o e-mail da conta ainda não está confirmado, só a notificação pode ser escolhida. Você retira o consentimento quando quiser: no app, desligando um canal ou cancelando o pedido inteiro; e, para os e-mails, também pelo link de cancelamento que vem em todo e-mail de aviso, sem precisar entrar na conta. Esse link desliga todos os avisos por e-mail para aquele endereço, os do pedido feito pelo site e os do pedido feito no app; a notificação continua até você desligá-la no app. Fora isso, um pedido feito pelo site com o mesmo e-mail não é ligado ao pedido do app.

O LEMBRETE "SENTIMOS SUA FALTA" tem como base o nosso legítimo interesse (art. 7º, IX, da LGPD) em manter o contato com quem tem conta e parou de usar o serviço. Ele não depende de nenhum pedido seu, por isso não há consentimento para retirar nesse caso; o que você pode fazer é pedir para não receber mais, e esse pedido vale enquanto a conta existir. Fizemos a ponderação prevista no art. 10 da LGPD: (a) a mensagem é sobre o próprio serviço que você já usa, sem publicidade de terceiro; (b) usamos só os dados necessários para o envio (lista da seção 2), e nenhum deles é de publicidade; (c) sai no máximo uma vez por período de ausência e nunca mais de uma vez a cada 30 dias; (d) você para com um clique: no link do e-mail, sem login, ou desligando as notificações do cartão do dia no app. Você também pode se opor a esse tratamento (art. 18, § 2º) pelo contato da seção 10. Nenhum lembrete sai para conta sem e-mail confirmado.

A RESPOSTA DO ATENDIMENTO e o AVISO DE QUE A PROVA QUE VOCÊ PEDIU ENTROU têm como base a execução do contrato (art. 7º, V): você escreveu para a gente ou pediu a prova, e responder é parte de atender o que você pediu. Não são mensagem de divulgação, e o histórico dos envios é o que impede de responder duas vezes à mesma coisa. Se você não quiser receber esses e-mails, escreva para o contato da seção 10 e deixamos de mandar.

Os registros técnicos (logs, IP e dispositivo do token) têm como base o nosso legítimo interesse em manter o serviço seguro (art. 7º, IX), limitado ao mínimo necessário. O IP e o dispositivo são gravados na abertura da sessão e a cada renovação dela, não uma única vez.

Esta é a parte que mais importa, então ela vem campo por campo — e não em resumo: resumo de política de privacidade é onde mora a subdeclaração. O que a plataforma entrega a outras pessoas é a lista abaixo, e nada fora dela.

RANKING POR PROVA: DESLIGADO. Hoje a lista de classificação de qualquer prova responde vazia — nenhuma nota, posição ou nome seu é publicado por essa via, e terminar uma prova cronometrada não muda isso. Quando o ranking for religado, cada linha da lista passará a mostrar, para qualquer pessoa com conta:

• a sua posição na lista;
• o seu nome curto (primeiro nome e inicial do sobrenome);
• a sua nota em percentual de acerto;
• quantas questões você acertou;
• de quantas questões a prova tinha;
• quanto tempo você levou para terminar;
• a data e a hora em que você terminou;
• o identificador interno da sua conta, que é a chave para abrir a sua cidade;
• a marca de qual linha é a sua (só você recebe essa marca);
• a miniatura da sua cidade, quando ela está pública.

A MINIATURA da cidade, que é o que vai dentro dessa linha, mostra quatro coisas:

• o total de tijolos da sua cidade;
• o nível da sua maior construção;
• os tijolos das 8 construções mais recentes;
• quantos adereços de cada tipo a sua cidade tem.

ADEREÇOS são conquistas da cidade (farol, praça, estátua e biblioteca). Eles nascem de você ter acertado questões, mas o que circula é a CONTAGEM — "3 faróis" —, nunca o seu percentual de acerto, que continua sendo só seu.

CIDADE PÚBLICA: LIGADA, e é assim que a conta nasce ("Mostrar minha cidade no Ranking", em Perfil). Com ela ligada, qualquer pessoa com conta que tenha o identificador da sua conta abre a sua cidade INTEIRA — a mesma resposta que você vê em "Cidade", não uma miniatura. O que ela mostra, para o período que a pessoa escolher (dia, semana, mês ou ano, inclusive períodos passados):

• o período que está sendo mostrado;
• o primeiro dia desse período;
• o último dia desse período;
• o nome do período;
• cada construção do período, com o dia, os tijolos e o nível — a área de cada construção só aparece para você;
• as árvores, que são os dias da sua sequência de estudo;
• o seu dia de hoje: tijolos, nível, se a meta foi batida e o identificador da sessão de hoje;
• os totais do período: tijolos, construções, dias de meta batida e a sua maior sequência;
• o gráfico de tijolos por dia;
• a sua meta diária de questões;
• os seus totais de sempre: tijolos, construções, alas completas e o maior nível;
• os adereços da sua cidade um por um: o tipo de cada um e quando você conquistou — a que cada adereço se refere só aparece para você.

Sim, a sua META DIÁRIA e as suas SEQUÊNCIAS estão nessa lista, e o gráfico diz em que dias você estudou e em que dias não estudou. É bastante sobre a sua rotina. Se não quiser isso visível, desligue "Mostrar minha cidade no Ranking" em Perfil: a partir dali a sua cidade responde "não encontrada" para qualquer outra pessoa.

LIGAS SEMANAIS: LIGADAS, e é assim que a conta nasce ("Aparecer nas ligas", em Perfil). Toda semana, de segunda a domingo (horário de Brasília), quem estudou entra numa liga de até 30 pessoas — que podem ser desconhecidas para você — ordenada pelos tijolos da semana. No domingo à noite os primeiros sobem de liga e os últimos descem. Cada linha da liga mostra, para qualquer pessoa da mesma liga:

• a sua posição na liga da semana;
• o seu nome curto, com o primeiro nome e a inicial do sobrenome;
• os tijolos que você colocou na semana;
• se a sua posição sobe, fica ou desce no fechamento de domingo;
• a miniatura da sua cidade, só quando ela está pública;
• a marca de qual linha é a sua, que só você recebe.

Nenhuma nota, acerto ou percentual aparece na liga: a régua é quanto você estudou, não quanto acertou. Guardamos, por semana, em qual liga você jogou, a sua posição e os seus tijolos, e o nível em que você está, para a liga poder subir e descer quem estudou; esse registro sai com a conta (seção 8). Desligar "Aparecer nas ligas" tira você da classificação na hora.

CONVITES: quem indicou você vê, em "Meus convites", o seu nome curto e a data em que você entrou. Você, por sua vez, vê a mesma coisa de quem entrou com o seu código. Nada além disso por essa via — nem e-mail, nem plano, nem desempenho.

Antes mesmo do cadastro, a página do seu link de convite (medprova.com.br/c/<seu código>) mostra o seu primeiro nome e a inicial do seu sobrenome para qualquer pessoa que abrir esse link — com conta na MedProva ou sem conta nenhuma. É o mesmo nome curto que já aparece em "Meus convites": ninguém vê o seu nome completo, o seu e-mail ou qualquer outro dado seu por essa via.

AVATAR: DESLIGADO, e é assim que a conta nasce ("Mostrar meu avatar aos meus colegas", em Perfil). Desligado, as outras pessoas veem o avatar padrão, igual para todo mundo, e nada do que você montou sai da sua conta. Ligado, só quem aceitou ser seu colega vê, na lista de Colegas e na sua cidade:

• o visual que você montou: silhueta, tom de pele, cabelo, barba, óculos, jaleco e manga;
• as duas cores e o símbolo do brasão.

Nunca aparecem sigla nem faculdade. O avatar também não aparece nas ligas, no ranking, na cidade pública para quem não é seu colega, na página do seu link de convite, na prévia do convite nem em nenhuma tela de quem não está logado. Se a pessoa deixa de ser sua colega (a amizade é desfeita ou bloqueada), ela volta a ver o avatar padrão na hora. Quem já viu o seu avatar pode ter feito uma captura de tela: isso está fora do nosso alcance.

Fora o que está listado acima, ninguém vê o seu e-mail, as suas respostas, as suas estatísticas por área e tema, o seu histórico de sessões nem o seu plano.

O administrador da plataforma vê a sua conta inteira: nome, e-mail, plano e prazo, atividade, sessões e respostas, de onde a conta veio (a origem da visita), o que você respondeu em "Como você conheceu a MedProva?", se respondeu, e a árvore de convites (quem indicou você e quem você indicou). É o que permite liberar o acesso, redefinir senha e atender os seus pedidos. Quando o administrador abre um recado, um pedido de prova ou um reporte seu para responder, ele vê o nome e o e-mail da conta que escreveu e o histórico dos e-mails que já mandamos a você sobre aquilo.

O AVISO DE PRAZO só é visto pelo administrador: o seu e-mail, as provas que você marcou e as datas de confirmação e de cancelamento não entram na cidade, nas ligas, nos convites nem em nenhuma lista pública. O administrador tem uma tela só dele, com os totais (pedidos pendentes, ativos e cancelados, por prova, por origem e por semana, e quantos avisos saíram) e uma lista dos pedidos. Na lista, o seu e-mail aparece escondido em parte; o administrador precisa clicar para ver o endereço inteiro, e cada vez que clica fica anotado quem pediu e qual pedido, sem o e-mail. A lista mostra também as provas, as datas, de onde veio o pedido, quantos avisos já saíram para você, se o e-mail tem conta no MedProva e se essa conta é assinante. Os pedidos cancelados continuam na lista até serem apagados (seção 7). A página de cancelar só diz se o link ainda vale, sem mostrar o seu e-mail. O pedido feito no app aparece só para você, na tela "Avisos de prazo" do app: as provas, os canais e a data do pedido não entram na cidade, nas ligas, nos convites nem em nenhuma lista, e a tela do administrador mostra só os pedidos feitos pelo site. O lembrete "sentimos sua falta" não aparece para ninguém: não entra na cidade, nas ligas, nos convites nem em nenhuma lista, e a tela do administrador não mostra a data do último lembrete nem a do pedido de não receber mais.

Só com quem precisa para o serviço funcionar, sempre sob contrato:

• Vercel — servidores onde o site roda;
• Render — servidores onde a API roda;
• MongoDB Atlas — onde os dados são guardados;
• Stripe — recebe apenas o que você informa a ele no pagamento; nós não vemos dados de cartão;
• Resend — entrega os e-mails da conta (o código de confirmação do e-mail e o link de recuperação de senha), que recebem o endereço de e-mail, o nome da conta e o texto da mensagem; e, só para quem pediu o aviso de prazo, a confirmação do pedido feito pelo site e os avisos, que recebem o endereço de e-mail e o texto da mensagem, sem o nome da conta; e, para quem ficou 7 dias ou mais sem usar, o lembrete "sentimos sua falta", que recebe o endereço de e-mail, o primeiro nome da conta (na saudação do texto) e o texto da mensagem; e, só para quem escreveu ou pediu uma prova, a resposta do atendimento e o aviso de que a prova entrou, que recebem o endereço de e-mail e o texto da mensagem;
• Expo (650 Industries) — entrega as notificações do app; recebe o endereço de notificação do aparelho e o texto de cada notificação: o do cartão do dia é o mesmo para todas as pessoas, e o do lembrete só diz que sentimos sua falta e convida para uma questão; nenhum dos dois traz nome nem nada seu; o do aviso de prazo, com o nome da prova e a data;
• Apple — leva a notificação até o iPhone;
• Google (Gemini) — processa o conteúdo das questões na preparação do acervo, antes de qualquer pessoa se cadastrar. Os seus dados pessoais não são enviados a ele.

Vercel, Render, Stripe, Resend, MongoDB (Atlas), Expo e Apple são empresas sediadas nos Estados Unidos, e os seus dados podem ser tratados em servidores fora do Brasil. Essa transferência internacional segue o art. 33 da LGPD.

Podemos ser obrigados a compartilhar dados por ordem judicial ou de autoridade competente; nesse caso, compartilhamos só o que for exigido.

• dados da conta, respostas, sessões, estatísticas e cidade: enquanto a conta existir;
• o avatar e o brasão: enquanto a conta existir. Ao trocar o avatar ou voltar ao padrão, o que estava guardado é substituído;
• a sua escolha de mostrar o avatar aos colegas: enquanto a conta existir. Guardamos o estado de agora, a data da última mudança e a versão do texto; não guardamos o histórico de quando você ligou e desligou;
• tokens de sessão (com user agent e IP): até 30 dias, ou menos se forem revogados antes — trocar a senha encerra todos; tokens expirados são apagados automaticamente do banco;
• pedido de senha nova (IP de quem pediu e a impressão do link): até 30 minutos, apagado automaticamente pelo banco — e na hora, se você encerrar a conta antes disso;
• confirmação do e-mail: a data e a hora da confirmação, e a do benefício de boas-vindas do convite, ficam enquanto a conta existir. Da impressão do código, da validade, das tentativas e da hora dos envios, só a impressão é guardada, nunca o código: ela fica na conta até você confirmar o e-mail (quando é apagada) ou encerrar a conta, e um código novo substitui o anterior. O código para de valer em 30 minutos, mas esse registro não some sozinho nesse prazo. Se a conta nunca confirma, ele fica enquanto ela existir: não há exclusão automática por prazo;
• os passos do funil e a origem da visita: ficam sem prazo, porque são a contagem histórica de quantas pessoas chegaram e por onde. Encerrada a conta, eles continuam — mas anonimizados, sem nada que aponte para você (explicado na seção 8);
• a sua resposta à pergunta "Como você conheceu a MedProva?": enquanto a conta existir. Ela mora no cadastro, e não no funil: encerrada a conta, é apagada junto com ela, sem anonimizar;
• o aviso de prazo: quem não confirma o e-mail tem o registro apagado 7 dias depois do último pedido; quem cancela, 30 dias depois do cancelamento; quem confirma e não cancela não tem prazo, e o registro fica até você cancelar. O histórico dos avisos segue o mesmo prazo. Se você tem conta e a encerra, o registro com o mesmo e-mail é apagado junto com ela. O pedido feito no app segue a mesma regra: enquanto houver um canal ligado, fica até você cancelar; cancelado (no app, ou pelo link quando era o único canal ligado), é apagado 30 dias depois; e é apagado junto com a conta, se ela for encerrada;
• o lembrete "sentimos sua falta": a data do último lembrete e a do pedido de não receber mais ficam no seu cadastro, enquanto a conta existir. Não há histórico separado dos lembretes. Se a conta é encerrada, essas datas saem com ela;
• o histórico dos e-mails de resposta do atendimento e do aviso de prova (assunto, texto, data e endereço usado): enquanto a conta existir, para sabermos o que já foi respondido. Encerrada a conta, é apagado junto com ela, sem anonimizar — diferente do recado e do reporte, o e-mail que mandamos a você traz o seu endereço e, muitas vezes, o seu nome;
• o reporte de questão e o feedback do app: também ficam sem prazo. O reporte é informação sobre a QUESTÃO — se a revisão médica concluiu que o gabarito mudou, isso continua verdade depois de você sair — e o recado é um fato sobre o PRODUTO, cuja lista de problemas conhecidos não pode esvaziar sozinha a cada conta excluída. Encerrada a conta, o texto continua — mas anonimizado, sem nada que aponte para você (explicado na seção 8);
• registros técnicos (logs): ficam com os provedores de hospedagem (Vercel e Render), pelo prazo de cada um. A MedProva não mantém um arquivo próprio de logs;
• registro do aceite dos Termos (data, hora e versão aceita) e de quem indicou você: enquanto a conta existir, por ser prova do contrato e da origem da conta.

Depois do encerramento da conta, apagamos os seus dados pessoais — com uma exceção que não depende de nós: o registro do seu pagamento fica com o provedor de pagamentos e com a nossa contabilidade pelo prazo que a lei fiscal exige, e por isso não some a pedido. Podemos manter dados anonimizados (por exemplo, o padrão agregado de acertos por questão), que não identificam você, para melhorar o conteúdo.

Você pode, a qualquer momento: confirmar se tratamos os seus dados, acessá-los, corrigi-los, pedir a anonimização ou a exclusão, pedir a portabilidade, saber com quem compartilhamos e opor-se aos tratamentos que fazemos por legítimo interesse — no caso da cidade pública, a oposição é o próprio botão: desligue "Mostrar minha cidade no Ranking" em Perfil e ela deixa de aparecer para qualquer outra pessoa. O consentimento do avatar você retira do mesmo jeito: desligue "Mostrar meu avatar aos meus colegas" em Perfil.

Nome, meta, data da prova, instituição e cidade pública você altera em Perfil; a senha também. O avatar você monta, troca ou volta ao padrão em Perfil, no site do MedProva. A exclusão da conta também é sua, em Perfil → Excluir minha conta: o botão pede a senha atual e o e-mail da conta digitado, e a exclusão acontece na hora, inclusive com a conta bloqueada por falta de confirmação do e-mail. Os demais pedidos — e a exclusão de quem não consegue entrar na conta — são feitos por pedido ao administrador, pelo canal da seção 10, a partir do e-mail cadastrado.

Pelo botão não há espera: a exclusão acontece na hora. Já nos pedidos feitos pelo canal de contato, são dois prazos diferentes, e é importante saber qual é qual: a primeira resposta sai em até 5 dias úteis (seção 10) — é o tempo até você ter um retorno nosso sobre o pedido. A CONCLUSÃO da exclusão tem prazo próprio: até 15 dias corridos contados do pedido, que é o prazo que a LGPD dá para o atendimento completo. O prazo de resposta cabe dentro desses 15 dias.

A exclusão apaga, item por item:

• a sua conta: nome, e-mail, senha, o avatar e a sua escolha de mostrá-lo aos colegas;
• a sua resposta à pergunta "Como você conheceu a MedProva?", se você deu;
• o seu pedido de aviso de prazo feito pelo site, se houver um com o e-mail da conta: o e-mail, as provas, as datas e o histórico dos avisos;
• o seu pedido de aviso de prazo feito no app: as provas, os canais, as datas e o histórico dos avisos;
• as sessões abertas, com o user agent e o IP guardados nelas;
• o pedido de senha nova que estiver em aberto, com o IP de quem pediu e a impressão do link;
• a confirmação do seu e-mail: a data em que você confirmou e, se ainda estiver na conta, a impressão do código, a validade, as tentativas e a hora dos envios;
• a marca de que o benefício de boas-vindas do convite já foi aplicado;
• as suas respostas, uma a uma;
• as suas sessões de estudo, inclusive as que você não terminou;
• o que guardamos sobre cada questão que você respondeu;
• os seus totais por dia;
• os seus totais por área e tema;
• as construções da sua cidade de tijolos;
• os adereços que a sua cidade conquistou;
• os seus resultados de prova, que é o que alimenta a classificação;
• os vínculos com os seus colegas, inclusive os pedidos ainda não respondidos;
• a sua marcação do cartão do dia: a alternativa que você escolheu, a nota e quando você respondeu;
• o endereço do seu aparelho para receber as notificações do app (o "token de push");
• a sua escolha de receber ou não a notificação do cartão do dia;
• as datas do último lembrete "sentimos sua falta" e do pedido de não receber mais;
• as suas participações nas ligas semanais: a liga, a sua posição e os seus tijolos de cada semana;
• o seu nível nas ligas.

Quem não tem conta não tem o botão de exclusão, porque o pedido de aviso é do e-mail, e não da conta. Para apagar esse registro antes do prazo da seção 7, peça pelo canal da seção 10, a partir do e-mail que você informou. O administrador apaga o pedido na tela dele e escreve o motivo. Ficam anotados quem apagou, quando e o motivo, sem o seu e-mail; essa anotação fica nos registros técnicos do servidor (seção 7), não na lista de pedidos, e a lista deixa de ter o seu pedido na hora.

Os passos do funil também não são apagados: eles são ANONIMIZADOS. O registro perde o identificador da sua conta, o identificador da visita e qualquer referência a você como quem indicou alguém. Fica só a contagem — "uma pessoa chegou nesta semana, por este canal, e criou conta" — sem nada que leve de volta a você. Dizemos isso em vez de prometer apagamento total porque é o que o sistema faz: a contagem de quantas pessoas chegaram não pode ser desfeita sem reescrever o histórico do negócio, e ela não precisa saber quem você era.

O mesmo vale para o reporte de questão e para o feedback do app: eles também NÃO são apagados, são ANONIMIZADOS. O registro perde o identificador da sua conta; o texto que você escreveu continua, porque ele é informação sobre a questão que você reportou ou sobre o app, não sobre quem escreveu. É a mesma razão do funil: apagar o reporte apagaria o motivo de uma revisão médica já feita, e apagar o recado esvaziaria sozinha a lista de problemas conhecidos do produto a cada conta excluída.

O histórico dos e-mails de resposta do atendimento e do aviso de prova, ao contrário do recado e do reporte, é APAGADO: o assunto, o texto, a data e o endereço de e-mail saem junto com a conta. A sua resposta a esses e-mails, se você mandou, ficou na caixa contato@medprova.com.br, fora da plataforma: para apagá-la, peça pelo contato da seção 10.

Quem entrou pelo seu código de convite continua com a conta, sem nenhum vínculo com a sua. Não há como desfazer, e o acesso termina na mesma hora.

Se você tem assinatura paga pelo site, ela é encerrada no Stripe antes de a conta ser apagada (dentro dos 7 dias do primeiro pagamento, com pedido de estorno integral; depois, na hora e sem reembolso do período restante); se isso falhar, nada é apagado. A exclusão não cancela uma assinatura feita pela App Store: essa você cancela nos ajustes do iPhone.

Há uma exceção, que vale em qualquer dia: se você pagou antes de confirmar o e-mail e o pagamento ainda não virou acesso premium, a exclusão devolve o valor pago por inteiro, mesmo passados os 7 dias. Quem já recebeu o acesso premium segue a regra do parágrafo anterior. Quanto tempo o valor leva para aparecer no cartão ou na fatura depende do banco.

A exclusão NÃO apaga o registro do pagamento, pelo motivo da seção 7: é obrigação fiscal, e o registro que fica no provedor de pagamentos não é nosso para apagar. Ele guarda o valor, a data e a conta a que se referia — nunca os seus dados de estudo.

Se entender que não atendemos um direito seu, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Senhas são guardadas como hash (Argon2). A sessão usa um token de curta duração em memória e um token de renovação em cookie httpOnly, restrito ao próprio site; trocar a senha revoga todas as sessões. O código de confirmação do e-mail é guardado só como impressão, vale 30 minutos e deixa de valer depois de 5 tentativas erradas. O acesso administrativo é restrito a contas com esse papel. A comunicação é feita por HTTPS.

Nenhum sistema é infalível. Se houver um incidente de segurança que afete os seus dados, comunicaremos a ANPD, como manda a LGPD, e avisaremos você pelos meios que temos: um aviso na própria plataforma e, se você tiver deixado outro canal de contato com a gente, também por ele. Os links dos avisos de prazo ficam guardados só como impressão. A plataforma manda para você só estes e-mails: o código de confirmação do e-mail e o link de recuperação de senha (seção 2 dos Termos) e, se você pediu o aviso de prazo, a confirmação do pedido (só no pedido feito pelo site) e os avisos; e, se você ficou 7 dias ou mais sem usar a MedProva, o lembrete "sentimos sua falta", que você não precisa pedir e que para com o link que vem nele. Os avisos de prazo não têm imagem nem pixel de abertura. O lembrete também não tem: a única imagem é a ilustração da Jujuba, servida do próprio site da MedProva. Além deles, o atendimento escreve a você quando responde ao que você mandou (recado, pedido de prova ou reporte) e quando a prova que você pediu entra no acervo; esses e-mails vão para o endereço da sua conta, e a sua resposta cai em contato@medprova.com.br.

Para exercer direitos ou tirar dúvidas: contato@medprova.com.br. A primeira resposta sai em até 5 dias úteis. Quando o pedido exige execução — apagar a conta, por exemplo —, a conclusão tem prazo próprio: até 15 dias corridos contados do pedido, como diz a seção "Seus direitos e como exercê-los".

Esta política pode mudar quando o produto mudar. Mudanças relevantes serão avisadas na plataforma com antecedência mínima de 15 dias; a data da versão vigente está no topo desta página.

Dois itens nesta versão.

1. Plano gratuito com amostra. Todas as provas ficam abertas para quem não assina: em cada prova paga, 5 questões de amostra (6 nas provas só com casos clínicos em grupo), iguais para todo mundo e espalhadas pelas grandes áreas. As provas gratuitas inteiras (ENARE 2022, AMRIGS 2024 e a de boas-vindas) continuam como estavam, e a prova offline do plano gratuito baixa só a amostra.

2. Medição da amostra. Abrir a amostra, concluí-la e tocar no convite para assinar passam a ser contados com a sua conta, com a mesma base, prazo e anonimização do funil de cadastro.