Como o Piloty trata seus dados

1. Dados Coletados

Dados de Cadastro: nome, apelido do ranking, e-mail e provedor de login (Google, Apple ou e-mail). Quando você entra com o Google, a foto do perfil é a dele, e só você a vê.

Cadastro Completo e de Instrutor: quem faz o cadastro completo, hoje exigido para se cadastrar como instrutor, informa também data de nascimento, estado, cidade e CPF. O cadastro de instrutor inclui ainda os dados da seção 8.5.

Dados de Estudo: progresso, respostas, desempenho nos simulados, pontuação, sequência de estudo, preferências de uso e os flash cards que você cria, com as imagens que você anexar.

Dados do Aparelho: modelo, sistema operacional, versão do app, endereço IP, relatórios de erro, token de notificações e identificadores técnicos, como o identificador de publicidade no Android.

Registros de Acesso: identificador da sua conta, endereço IP, data e hora de cada abertura de sessão no app (seção 8).

O Piloty não recebe dados de cartão. As compras são processadas pela Google Play ou pela App Store e validadas pela RevenueCat.

2. Finalidade do Tratamento

Usamos seus dados para: criar e manter sua conta; salvar e personalizar sua jornada de estudos; mostrar o ranking; liberar e gerenciar o Piloty Pro; analisar cadastros de instrutor; exibir anúncios na versão gratuita do Android; enviar notificações; entender o uso do app, corrigir falhas e medir campanhas; manter a segurança e prevenir fraude; e cumprir obrigações legais, como a guarda dos registros de acesso.

3. Análise de Uso e Medição de Campanhas

Usamos o Firebase Analytics e o Firebase Crashlytics, serviços do Google, para entender como o app é usado, identificar falhas e priorizar melhorias. Os eventos e os relatórios de erro ficam associados ao identificador da sua conta no app, sem nome ou e-mail, e cobrem telas visitadas, ações executadas e desempenho técnico. Não coletamos fotos ou dados sensíveis nesses eventos. Os dados de uso ficam no Google Analytics por até 14 meses depois da sua última atividade, e os relatórios de erro, por até 90 dias. Nos perfis identificados como menores de 18 anos em versões anteriores do app, a análise de uso, os relatórios de erro e a medição de campanhas ficam desligados. O cadastro atual não pede a sua idade.

Para medir campanhas de divulgação do app, podemos compartilhar com a Meta Platforms eventos pseudonimizados de instalação, ativação, assinatura e uso, com o identificador de publicidade no Android. No iOS, pedimos a autorização de Rastreamento da Apple antes de iniciar Meta App Events, acessar o IDFA ou sincronizar identificadores de atribuição com a RevenueCat. Se você negar, Meta, IDFA e a sincronização de atribuição permanecem desligados; eventos próprios podem continuar no Firebase Analytics. O iOS não exibe anúncios.

A base legal é o legítimo interesse do controlador (Art. 7º, IX da LGPD), para operar, proteger e melhorar o app e medir campanhas. No iOS, o rastreamento depende da sua autorização e pode ser revogado nos Ajustes. Para se opor aos demais tratamentos, escreva para contato@piloty.com.br, com retorno em até 15 dias (Art. 19 LGPD), ou use a opção Excluir Minha Conta em Perfil.

4. Bases Legais do Tratamento

Tratamos dados pessoais com base na execução do contrato (conta, estudos, ranking, Piloty Pro e cadastro de instrutor), no cumprimento de obrigação legal (registros de acesso), no exercício regular de direitos (registros de aceite e de compras), no legítimo interesse (análise de uso, medição de campanhas, publicidade, segurança e prevenção à fraude) e no consentimento, quando ele for exigido, como a selfie de verificação do instrutor e o Rastreamento no iOS.

5. Compartilhamento de Dados

Compartilhamos dados com os fornecedores e parceiros descritos nesta política para operar o serviço, gerenciar assinaturas, exibir publicidade, medir resultados e prevenir fraude. Dependendo do serviço e do tratamento realizado, esses destinatários podem atuar como operadores ou como controladores de dados, conforme os contratos e suas próprias políticas de privacidade.

Operadores de Infraestrutura: Google Cloud / Firebase (Auth, Firestore, Cloud Functions, Cloud Messaging, App Check, Storage), para hospedagem, autenticação, notificações e processamento no servidor, com criptografia em trânsito e em repouso.

Operadores de Análise e Diagnóstico: Firebase Analytics e Firebase Crashlytics (seção 3).

Operador de Assinaturas: RevenueCat, que gerencia as assinaturas, os passes e as compras vitalícias do Piloty Pro e valida os recibos da App Store e da Google Play. Compartilhamos o identificador da sua conta no app, o plano, os dados do recibo da loja e, para medir campanhas, identificadores do aparelho (identificador de publicidade, IP e, conforme o sistema, o Android ID ou o identificador de fornecedor do iOS), o identificador de instalação da Meta e o do Firebase. Quem usa o app sem conta aparece na RevenueCat com um identificador anônimo gerado pelo app.

Parceiros de Publicidade: no Android, usamos Google AdMob para organizar a entrega de anúncios. A Meta Platforms também pode fornecer anúncios nativos e intersticiais pelo Meta Audience Network, integrado à mediação do AdMob. A Unity Ads também pode fornecer anúncios intersticiais e recompensados pela mediação do AdMob. A Liftoff Monetize (antiga Vungle) também pode fornecer anúncios de abertura do app, intersticiais, recompensados e nativos pela mediação do AdMob. Esse uso é separado da medição de campanhas com Facebook App Events. O iOS não inicializa AdMob nem exibe anúncios. Ver seção 7.

Parceiro de Medição de Campanhas: Meta Platforms (Facebook App Events), para medição e atribuição de campanhas de aquisição (seção 3).

Cadastro de Instrutor: os dados ficam restritos à equipe de verificação do Piloty e não são compartilhados com alunos, parceiros ou terceiros, salvo ordem judicial. Depois da aprovação, só o selo de instrutor verificado aparece no ranking (seções 8.5 a 8.7).

Outros usuários: no ranking, os outros usuários veem o seu apelido (ou um codinome automático, se você não tiver apelido), a sua pontuação, a categoria da habilitação que você estuda, os seus escudos de sequência, o selo do Piloty Pro quando ele estiver ativo e, se o seu cadastro de instrutor for aprovado, o selo de instrutor verificado.

Obrigações Legais: mediante ordem judicial ou solicitação de autoridade competente.

6. Transferência Internacional de Dados

Os serviços do Google (incluindo Firebase e AdMob), RevenueCat, Meta Platforms, Unity e Liftoff podem armazenar e processar dados fora do Brasil, incluindo nos Estados Unidos. A Meta pode receber dados para publicidade no Android e para medição de campanhas, conforme as finalidades e escolhas descritas nesta política. No iOS, o compartilhamento para rastreamento depende da autorização da Apple. As transferências internacionais estão sujeitas às regras da LGPD e aos mecanismos aplicáveis a cada serviço. Você pode solicitar informações sobre os destinatários e as garantias aplicáveis pelo nosso canal de privacidade.

7. Publicidade e Anúncios

No Android, usuários do plano gratuito podem ver anúncios nativos incorporados às telas, anúncios de tela cheia em transições, anúncios na abertura do app e formatos com recompensa. Vídeos recompensados opcionais são apresentados quando você escolhe assistir para acessar um benefício; outros formatos podem aparecer durante a navegação. Usuários Piloty Pro não veem anúncios. No iOS, não há anúncios nem espaços reservados para anúncios.

A entrega é organizada pelo Google AdMob e pode incluir anúncios nativos e intersticiais do Meta Audience Network, anúncios intersticiais e recompensados da Unity Ads e anúncios de abertura do app, intersticiais, recompensados e nativos da Liftoff Monetize (Liftoff Mobile, Inc. e afiliadas). Os parceiros podem tratar endereço IP e localização aproximada derivada dele, dados técnicos do dispositivo, identificadores de publicidade e de instalação, diagnósticos, eventos de compra relacionados à publicidade e informações sobre solicitações, exibições e interações com anúncios para entregar publicidade, medir resultados e prevenir fraude. As políticas dos parceiros estão disponíveis em https://policies.google.com/privacy, https://www.facebook.com/privacy/policy/, https://unity.com/legal/privacy-policy e https://liftoff.ai/privacy-policy/.

Aplicamos ao AdMob o teto de classificação de conteúdo T (adolescentes). Nos perfis identificados como menores de 18 anos, enviamos ao AdMob a marcação de idade (tagForUnderAgeOfConsent), sinalizamos a restrição também à Unity Ads e à Liftoff e os anúncios não são personalizados.

Os anúncios podem ser personalizados com base nos identificadores de publicidade e nos dados técnicos descritos acima. Tratamos esses dados com base no legítimo interesse em sustentar a versão gratuita do app (Art. 7º, IX da LGPD), conforme a seção 4, e você pode se opor na forma da seção 9.

Você pode se opor à personalização excluindo ou redefinindo o identificador de publicidade nas configurações do Android, ou assinando o Piloty Pro, que remove os anúncios. Se precisar de ajuda, escreva para o nosso canal de privacidade, que responde em até 15 dias. Quando o fluxo de privacidade do AdMob exigir um formulário de escolhas na sua região, ele também fica disponível nas opções de privacidade do app. A recusa da personalização não significa, por si só, ausência de anúncios ou de todo tratamento de dados técnicos.

8. Retenção e Segurança

Mantemos seus dados pelo tempo necessário para cumprir as finalidades descritas nesta Política, ou até que você solicite a exclusão. Empregamos criptografia em trânsito e em repouso, controle de acesso baseado em funções e Firebase App Check para proteção contra acessos não autorizados.

Guardamos os registros de acesso ao app (identificador da conta, endereço IP, data e hora) por 6 meses, conforme o Art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet).

Depois da exclusão da conta (seção 9), ficam só os registros que a lei ou a defesa de direitos exigem, cada um com prazo próprio, como os registros de acesso (6 meses), os registros de compra sem o identificador da conta (3 anos) e os registros de aceite desta Política e dos Termos (5 anos). A lista completa está em https://piloty-legal.web.app/account-deletion.

8.5 Cadastro de Instrutor

Se você se cadastrar como instrutor, tratamos também: nome como consta na credencial, e-mail, celular, data de nascimento, estado e cidade, CPF, dados e fotos da credencial de instrutor do Detran, perfil profissional (como experiência, formas de pagamento aceitas e fotos do veículo), documentos de adaptação para pessoas com deficiência quando você os enviar, a declaração de responsabilidade, uma selfie de verificação (seção 8.6) e a chave PIX (seção 8.7).

Usamos esses dados para analisar o cadastro, conferir os requisitos da Resolução CONTRAN nº 1.020/2025, como a idade mínima de 21 anos e a credencial válida, e prevenir fraude. A análise é feita por pessoas da equipe Piloty e você pode pedir revisão de uma reprovação. A única ação automática é a suspensão do cadastro quando vence a validade informada da credencial: ela vale até você enviar a credencial renovada, e você pode pedir revisão pelo contato@piloty.com.br. Bases legais: procedimentos preliminares e execução de contrato (Art. 7º, V), prevenção à fraude (Art. 7º, IX) e, para a selfie, que é dado pessoal sensível, o seu consentimento específico (Art. 11, I). Os documentos de adaptação do veículo servem só para conferir a adaptação declarada.

O CPF é processado no envio e guardado apenas como hash SHA-256 calculado com uma chave secreta, que fica somente nos servidores do Piloty. Sem essa chave, não é possível recuperar o CPF a partir do hash; por isso o hash é um dado pseudonimizado e segue todas as regras desta Política. A exceção é a chave PIX, quando você escolhe o CPF como chave (seção 8.7).

Enquanto o marketplace de instrutores estiver fechado, o seu perfil não é exibido a alunos. Depois da aprovação, só o selo de instrutor verificado aparece no ranking; os demais dados do cadastro ficam restritos à equipe de verificação do Piloty.

Os dados do cadastro ficam enquanto a conta existir. As fotos da credencial e os documentos de adaptação são apagados até 4 meses depois da aprovação. Na exclusão da conta, apagamos o hash do CPF, a chave PIX e os documentos; ficam por 5 anos o resultado da verificação, a declaração, o registro do consentimento e o registro dos acessos da equipe a esses dados, sem a selfie e sem os documentos, como prova e para o exercício regular de direitos.

8.6 Verificação por Selfie (biometria)

A selfie é um dado biométrico, categoria de dado pessoal sensível (Art. 5º, II da LGPD). Ela serve só para confirmar que quem se cadastra é o titular da credencial do Detran e é tratada com base no seu consentimento específico e destacado (Art. 11, I). Uma pessoa da equipe Piloty compara a selfie com a foto da credencial, sem decisão automatizada nem inteligência artificial.

A imagem fica restrita à equipe de verificação e é apagada até 90 dias depois da aprovação, até 30 dias depois de uma reprovação ou de um pedido de correção, ou assim que você revogar o consentimento pelo contato@piloty.com.br. Você pode recusar a selfie: sem ela o cadastro de instrutor não é concluído, e você continua usando o app normalmente. Se revogar o consentimento depois do envio, apagamos a selfie e o cadastro de instrutor é encerrado.

8.7 Chave PIX do Instrutor

A chave PIX (CPF, e-mail, celular ou chave aleatória) serve para conferir se a conta de recebimento é compatível com o documento profissional, para prevenir fraude. Hoje o Piloty não recebe nem repassa pagamentos de aulas; se isso mudar, avisamos antes de usar a chave para repasses. Bases legais: procedimentos preliminares e execução de contrato (Art. 7º, V) e prevenção à fraude (Art. 7º, IX).

A chave fica criptografada (AES-256), e não como hash, porque precisa poder ser lida pela equipe na conferência. Só pessoas autorizadas da equipe Piloty conseguem lê-la, e cada leitura fica registrada. Ela não é compartilhada com alunos, parceiros ou terceiros, salvo ordem judicial, e é apagada quando você pede a exclusão dos dados de verificação e no expurgo da conta, 30 dias depois do pedido de exclusão. Sem a chave PIX, o cadastro de instrutor não é concluído.

9. Seus Direitos (LGPD)

Confirmação e Acesso: Você pode solicitar confirmação da existência de tratamento e acesso aos seus dados pessoais.

Correção: Atualize suas informações na aba "Perfil" do aplicativo ou solicite correção por e-mail.

Revogação de Consentimento: Quando o tratamento se apoiar em consentimento, você pode revogá-lo pelos canais do app ou pelo e-mail de contato, sem afetar a legalidade do tratamento realizado anteriormente.

Portabilidade: Solicite cópia dos seus dados pessoais por e-mail.

Excluir Conta: Ao solicitar a exclusão pelo app (Perfil > Excluir Minha Conta) ou por e-mail, sua conta será desativada imediatamente. Seus dados elegíveis ficarão retidos por até 30 dias para possível reativação. Após esse prazo, a exclusão será permanente, ressalvados os dados cuja retenção seja necessária por obrigação legal, regulatória, prevenção à fraude ou exercício regular de direitos. A retenção por 30 dias se fundamenta no legítimo interesse (Art. 7º, IX da LGPD) de permitir a reativação em caso de arrependimento e de prevenir o sequestro de conta.

Oposição, Anonimização, Bloqueio ou Eliminação: Você pode contestar tratamentos indevidos e solicitar as medidas cabíveis nos termos da LGPD.

Revisão e Reclamação: Você pode pedir revisão de decisões automatizadas quando aplicável e, se não houver solução adequada pelos nossos canais, poderá peticionar perante a ANPD, nos termos da regulamentação aplicável.

Responderemos sua solicitação em até 15 dias corridos da data de recebimento, conforme o Art. 19 da LGPD.

10. Alterações nesta Política

Podemos atualizar esta Política periodicamente. Avisaremos sobre alterações significativas por notificação no app ou e-mail cadastrado.