Política de privacidade da PAPYRO · Leitura Atômica

Versão: em revisão, texto de 21/10/2026

Quem cuida dos seus dados

• Controlador: em revisão: razão social, CNPJ e endereço da empresa responsável pela PAPYRO.
• Contato para qualquer assunto de dados: suporte@opapyro.com. É também o canal para exercer os seus direitos (LGPD, art. 41, § 2º, I): a empresa é agente de tratamento de pequeno porte e, por isso, não é obrigada a indicar um encarregado (Resolução CD/ANPD nº 2/2022, art. 11); quem responde por esse e-mail cumpre esse papel.
• Operadores: a Cloudflare, onde o site e o banco de dados rodam, e a Resend, que entrega os e-mails da conta (confirmação, senha nova, exclusão, aviso de entrada). A Resend recebe o seu endereço de e-mail e o texto da mensagem, e nada mais.
• Aviso de entrada: a cada entrada na sua conta, você recebe um e-mail com a data, o país aproximado (pelo endereço de internet) e o navegador da entrada, para saber se foi você. Esses dados vão só no e-mail; a PAPYRO não os guarda.
• Consulta de senhas vazadas: ao criar ou trocar a senha, o servidor pergunta ao serviço Have I Been Pwned se ela já apareceu em vazamentos de outros sites, mandando só os 5 primeiros caracteres de um resumo (SHA-1) dela. A senha, o seu e-mail e o seu endereço de internet não saem.

O que a PAPYRO NÃO guarda

• A sua senha. Guardamos só um resumo dela (PBKDF2-SHA256, 100 000 rodadas, com sal próprio e com uma "pimenta", um segredo que fica fora do banco), que serve para conferir a senha que você digita e não permite recuperá-la.
• Nome, telefone, endereço, CPF, foto, escola.
• Da criança: nome completo, e-mail, foto, escola, endereço ou data de nascimento inteira.
• Nada no seu navegador além dos cookies descritos abaixo. O programa de leitura (o "motor") não usa armazenamento do navegador nem fala com a internet.
• Anúncios, rastreadores ou análise de terceiros: não há.

O que a PAPYRO guarda, exatamente

Cada tabela do banco, com cada coluna. A bateria de testes da borda confere que toda coluna do banco está listada aqui: coluna nova sem explicação nesta política reprova o teste.

duelos_adesoes — participação voluntária nos duelos privados

Os duelos privados são opcionais, por convite, para quem declara ter 18 anos ou mais e está usando sua própria conta, sem perfil de criança ativo. Esta declaração não é uma verificação de idade. Não há busca de pessoas nem mensagens. O adversário vê apenas o símbolo Âmbar ou Safira, o estado de entrega e, depois das duas entregas, os acertos de ambos, a escolha de cada um em cada questão e a série entre as duas contas (vitórias, empates e derrotas das rodadas já encerradas). Nome e e-mail não são compartilhados.

duelos — rodadas privadas entre duas contas

O prazo de 48 horas fecha o convite e as entregas; não apaga o histórico. As escolhas e o resultado ficam disponíveis para exportação da própria conta. Excluir qualquer uma das duas contas apaga a partida inteira, inclusive da lista do outro participante. Uma rodada incompleta não declara vencedor. O convite permite ocupar uma única cadeira. Compartilhe somente com quem deseja convidar. Para não repetir histórias, quando a segunda pessoa entra o servidor confere os cadernos das rodadas que as duas contas já jogaram e sorteia primeiro os textos menos vistos. Nenhum dado novo é guardado. O desempate (acertos nas duas últimas questões, as pistas de ouro) e a série entre as duas contas são calculados na hora, das rodadas já guardadas: também não guardam dado novo.

duelos_limites — limites de pedidos por conta

usuarios — a sua conta

perfis — os perfis de criança dentro da conta

consentimentos — a prova do consentimento do responsável

Apagar um perfil revoga o consentimento. A linha fica, sem nenhum dado da criança, como prova de que o consentimento existiu e de quando acabou. Excluir a conta apaga também essas linhas.

tokens — os links de uso único dos e-mails

envios — o limite de e-mails

Serve para impedir que alguém use a PAPYRO para mandar e-mails em massa a uma pessoa. Conta também pedidos para e-mails que não têm conta. Não está ligada à conta, e por isso a exclusão da conta não a apaga: ela some sozinha em até 24 h.

convites — quem pode criar conta

O cadastro é só por convite. O convite serve uma vez: quando a conta é criada, ele sai desta tabela. Não guarda nome nem quem convidou.

progresso_eventos — o progresso de leitura

Respostas do quiz e textos lidos não são enviados ao servidor. A velocidade de leitura vai na marca do Diagnóstico (a tabela progresso_diagnostico, abaixo) e, quando o exercício a mede, nos resultados dos módulos (a tabela progresso_resultado, abaixo).

progresso_caderno — as folhas dos cadernos

As respostas dadas na folha e o que foi escrito nela não são enviados ao servidor.

progresso_diagnostico — as marcas do Diagnóstico

O texto lido e as respostas dadas no quiz não são enviados ao servidor.

progresso_resultado — os resultados dos exercícios dos módulos

O texto lido, as palavras escritas e as respostas dadas no exercício não são enviados ao servidor: só os números que ele mede. Na Expedição da Biblioteca, esses números incluem a edição semanal, os acertos e o total de perguntas. A edição permite identificar a história do catálogo que foi explorada; as alternativas escolhidas e o texto não são enviados. O resumo usa a primeira passagem da semana. As missões e a constelação são calculadas a partir do progresso do perfil.

No Atlas das Histórias, são guardados o número do percurso, a versão do catálogo, os acertos, o total de encontros e a duração. Percurso e versão identificam quais desafios foram apresentados (a versão também diz a faixa dos textos: 1 juvenil, 2 infantil, 3 universitário). O Atlas mostra a melhor passagem completa de cada percurso. A ordem escolhida para os trechos, as alternativas marcadas e o uso de dicas não são enviados ao servidor. Ao voltar ao mapa, um marcador mantém a questão, as escolhas e as pistas abertas na memória da página. Há no máximo um marcador por percurso; ele desaparece ao concluir, recarregar ou fechar a página. Os marcadores não são enviados ao servidor. No Rolo Selado (o desafio final de cada temporada do Atlas), são guardados a temporada, a versão do catálogo, os acertos (de 5), a velocidade de leitura em palavras por minuto, o número de palavras do texto e a duração. As respostas escolhidas não são enviadas ao servidor. As relíquias da Biblioteca (um achado por dia de treino) são calculadas a partir dos dias de treino já registrados; o achado de cada dia depende só da data. Nenhum dado novo é guardado para elas. A Ficha do Leitor usa as marcas do Diagnóstico, a melhor leitura e o grau da Memória já registrados; ela é calculada na hora e nenhum dado novo é guardado para ela.

A Oficina do Leitor mantém, apenas na memória da página aberta, até 16 questões erradas de Gêmeas e Golpe de Vista e sequências do Eco, com pistas para revisão. Essa fila não é enviada ao servidor e desaparece ao recarregar ou fechar a página.

Cookies

Todos têm o prefixo __Host- (o navegador só os aceita vindos do próprio site) e são HttpOnly, Secure e SameSite=Strict, e nenhum leva marca, velocidade, compreensão ou progresso (decisão D-17).

Registros do servidor

O Worker registra o desfecho de cada e-mail ("enviado" ou o motivo de não ter saído), sem o endereço e sem o link. A Cloudflare mantém os próprios registros de acesso, segundo a política dela.

Esses registros do Worker ficam no painel da Cloudflare por até 7 dias e depois são apagados. Eles não guardam o endereço das páginas pedidas nem os links que vão nos e-mails. Servem para achar defeitos, e não são usados para mais nada.

Dados fora do Brasil

A Cloudflare e a Resend podem tratar dados em servidores fora do Brasil, inclusive nos Estados Unidos. Essa transferência é necessária para prestar o serviço que você contratou ao criar a conta (LGPD, art. 33, IX, com o art. 7º, V). em revisão: confirmar com a revisão jurídica se esta base basta ou se é preciso firmar as cláusulas-padrão da Resolução CD/ANPD nº 19/2024 com os dois fornecedores

Seus direitos, e como exercê-los (LGPD, art. 18)

Tudo em "Seus dados" (/conta/dados), com a conta aberta:

• Ver e levar tudo (acesso e portabilidade): "Baixar os meus dados" gera um arquivo .json com a conta (sem o resumo da senha), os perfis, os consentimentos com versão e data, e o progresso de cada um.
• Excluir (eliminação): "Excluir a conta" pede a senha atual e a palavra EXCLUIR escrita, e a exclusão acontece na hora. Quem preferir confirmar por e-mail pede, com a senha atual, um link; aí a exclusão acontece quando você abre o link. Nos dois caminhos, ela apaga a conta, os perfis, os consentimentos, os links pendentes e todo o progresso, de uma vez.
• Revogar o consentimento de uma criança: apagar o perfil em "Perfis".
• Apagar só o progresso: "Apagar o progresso" em "Perfis".
• Corrigir: o apelido e a faixa de um perfil se corrigem em "Perfis", em "Editar o apelido ou a faixa". Trocar o e-mail da conta ainda não tem tela; até existir, peça pelo e-mail de contato indicado em "Quem cuida dos seus dados".

O arquivo de progresso que você exporta, ou que o programa de leitura salva no seu computador, é seu. Nada que você apagar aqui alcança esse arquivo.

Pontos para a revisão jurídica

1. Base legal. Conta de adulto: execução de contrato (art. 7º, V)? Perfil de criança: consentimento específico do responsável (art. 14, §1º). Confirmar.
2. envios depois da exclusão. A tabela do limite não é apagada junto com a conta. Os dados são resumos e somem em até 24 h. Isso é aceitável ou precisa ser dito na tela da exclusão?
3. Prova do consentimento depois da revogação: o mesmo ponto 2 de docs/CONSENTIMENTO_PERFIL_CRIANCA.md.
4. Transferência internacional. O aditivo de proteção de dados da Cloudflare (versão 6.4, de 03/04/2026) trata da Europa, do Reino Unido, da Suíça e dos EUA, e não menciona LGPD, ANPD nem as cláusulas-padrão da Resolução CD/ANPD nº 19/2024 (obrigatórias para quem usa cláusulas desde 23/08/2025). O da Resend não foi conferido. O texto acima usa o art. 33, IX (execução do contrato com o titular): confirmar se basta, inclusive para os perfis de criança, cuja base é o consentimento do responsável.
5. Encarregado. O texto acima usa a dispensa do art. 11 da Resolução CD/ANPD nº 2/2022. Ela vale se a empresa for ME, EPP ou startup dentro dos limites do art. 3º e se o tratamento não for de alto risco (art. 4º: dados de criança são critério específico, mas pedem também larga escala ou impacto significativo). Confirmar o porte da empresa e reavaliar se o número de perfis de criança crescer.
6. Assinatura paga. Quando a cobrança existir, entram nesta política a empresa de pagamento (operadora), os dados de cobrança (nome, CPF para a nota fiscal, endereço de cobrança) e o prazo de guarda fiscal (5 anos, CTN art. 173). Hoje o site não cobra nada e não guarda nenhum desses dados.