Política de privacidade
Atualizado em 8 de setembro de 2026
Esta Política descreve como o Test First trata dados pessoais, em conformidade com a Lei nº 13.709/2018 (LGPD) e com o Marco Civil da Internet. Ela complementa os Termos de Uso. O aceite no cadastro inclui o consentimento para o tratamento descrito aqui, inclusive de dados de saúde quando você os registrar.
1. Quem controla os dados
O controlador é o operador do serviço Test First (nome fantasia). A identificação completa da pessoa jurídica (razão social, CNPJ, endereço e encarregado, quando designado) será publicada nesta Política quando a operação comercial estiver formalizada.
Enquanto isso, o canal oficial do titular é a área Conta no próprio serviço. Solicitações de acesso, correção, exclusão e demais direitos do art. 18 da LGPD devem ser feitas por esse canal.
2. Quais dados coletamos
Coletamos apenas o necessário para operar a conta e os experimentos:
- Cadastro: nome ou apelido, e-mail e senha (esta última armazenada apenas como hash).
- Sessão: identificador de sessão em cookie HTTP-only, com prazo de validade.
- Experimentos: questão, escopo, metodologia, critério de sucesso, previsão pré-registrada (se houver), métricas, check-ins, origem de cada medida, veredito e eventos de status.
- Conexões de saúde (quando você conectar): métricas autorizadas provenientes do provedor (por exemplo, Apple Saúde ou Samsung Health).
- Uso técnico: registros de segurança, diagnóstico de falhas e controle de limite de uso da IA, sem perfil publicitário.
- IA (somente se você solicitar sugestão): trechos da questão ou da metodologia enviados ao modelo para estruturar uma resposta.
Não pedimos CPF, dados bancários ou geolocalização contínua no estado atual do produto. Pagamentos, se habilitados, poderão envolver dados de cobrança tratados por intermediário de pagamento, o que será atualizado nesta Política.
3. Dados sensíveis de saúde
Métricas e relatos que você registra (sono, alimentação, humor, treino, sintomas percebidos e similares) podem constituir dados pessoais sensíveis relativos à saúde, nos termos do art. 5º, II, da LGPD.
Esses dados são tratados com seu consentimento específico, destacado no aceite do cadastro, para a finalidade de conduzir os experimentos que você criar. Sem esse consentimento não é possível operar o laboratório. Você pode revogar o consentimento, ciente de que isso pode impedir a continuidade do serviço.
4. Bases legais
Tratamos dados pessoais com as seguintes bases, conforme o caso:
- Execução de contrato (art. 7º, V, da LGPD): criar conta, autenticar, manter experimentos e calcular vereditos.
- Consentimento (art. 7º, I, e art. 11, I): dados sensíveis de saúde, sugestões de IA e conexões com wearables.
- Cumprimento de obrigação legal ou regulatória (art. 7º, II): quando a lei exigir retenção ou resposta a autoridade.
- Legítimo interesse (art. 7º, IX), com avaliação de impacto quando cabível: segurança da conta, prevenção a abuso e melhoria pontual da estabilidade do serviço — nunca para vender dados ou criar ranking entre usuários.
5. Finalidades
Usamos os dados para:
- Prestar o serviço de experimentos pessoais e exibir resultados só para você.
- Autenticar a sessão e proteger a conta.
- Gerar sugestões de IA sob demanda.
- Importar métricas de conexões de saúde que você autorizar, só nos experimentos que você indicar.
- Cumprir deveres legais e responder a pedidos do titular.
Não publicamos resultados, não comparamos você com outras pessoas e não transformamos experimentos em ranking. Não vendemos dados pessoais.
6. Compartilhamento e operadores
Não compartilhamos dados com outros usuários. Podemos utilizar operadores (subprocessadores) estritamente para prestar o serviço:
- Infraestrutura de hospedagem e banco de dados (armazenamento da conta e dos experimentos).
- Google (API Gemini), quando você pede sugestão de IA: envio do trecho necessário à estruturação.
- Provedores de saúde/wearable, somente se você conectar a conta e na medida da autorização.
- Autoridades públicas, quando houver obrigação legal ou ordem válida.
Operadores ficam adstritos às finalidades desta Política e a obrigações de confidencialidade e segurança.
7. Transferência internacional
O uso de IA (Google Gemini) e, conforme a hospedagem adotada, o armazenamento podem ocorrer em servidores fora do Brasil, inclusive nos Estados Unidos. Nesses casos, a transferência observa o art. 33 da LGPD — por exemplo, cláusulas contratuais, normas corporativas ou outras hipóteses legais cabíveis.
Ao solicitar sugestão de IA, você consente com esse envio internacional na medida necessária à sugestão. Você pode não usar a IA e continuar o experimento manualmente.
8. Retenção e exclusão
- Dados da conta e dos experimentos: enquanto a conta existir e o tratamento for necessário ao serviço.
- Sessões: até o vencimento (cerca de 30 dias) ou até o logout, o que ocorrer primeiro.
- Logs de segurança: pelo prazo necessário à investigação de incidentes e a deveres legais, de forma minimizada.
Quando você solicitar exclusão da conta, eliminaremos ou anonimizaremos os dados pessoais, salvo retenção exigida por lei (por exemplo, obrigações fiscais se houver pagamento, ou defesa em processo). Experimentos interrompidos ou concluídos permanecem no seu histórico enquanto a conta existir, a menos que você peça exclusão.
9. Segurança
Adotamos medidas técnicas e administrativas razoáveis: senha com hash (argon2), cookie de sessão HTTP-only e SameSite, controle de acesso por usuário e cabeçalhos de segurança HTTP. Nenhum sistema é isento de risco. Se ocorrer incidente com risco ou dano relevante, adotaremos os procedimentos da LGPD, inclusive comunicação quando exigida.
10. Direitos do titular
Nos termos do art. 18 da LGPD, você pode solicitar:
- Confirmação da existência de tratamento e acesso aos dados.
- Correção de dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade.
- Portabilidade, observadas a regulamentação e os segredos comercial e industrial.
- Informação sobre entidades públicas e privadas com as quais compartilhamos dados.
- Informação sobre a possibilidade de não consentir e as consequências.
- Revogação do consentimento.
- Revisão de decisões unicamente automatizadas que afetem seus interesses, se vierem a existir. O veredito do experimento não é decisão de crédito ou equivalente: é cálculo sobre os dados que você registrou, segundo o critério que você definiu.
Para exercer direitos, use a área Conta. Responderemos no prazo legal. Você também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD).
12. Crianças e adolescentes
O Test First não se destina a menores de 18 anos. Não coletamos intencionalmente dados de crianças. Se identificarmos cadastro nessa condição, encerraremos a conta e eliminaremos os dados, salvo obrigação legal de retenção.
13. Alterações desta Política
A versão vigente é a publicada nesta página, com a data de atualização. Mudanças materiais — especialmente novas finalidades, novos tipos de dados sensíveis ou novos compartilhamentos — serão comunicadas e, quando a LGPD exigir, submetidas a novo consentimento.
14. Contato do titular
Canal do titular: área Conta no Test First. Pedidos de privacidade devem identificar o e-mail da conta para localizarmos o tratamento. O encarregado pelo tratamento de dados pessoais (DPO), quando designado, será nomeado nesta seção.