Política de Privacidade

1. Quem somos

O UXTap é uma plataforma de pesquisa com usuários operada pela Qualitap Soluções e Serviços Ltda. (QualiTAP), CNPJ 59.701.681/0001-68, com sede em Osasco/SP. Esta política explica quais dados tratamos, com que finalidade, com qual base legal, por quanto tempo e com quem compartilhamos.

1. 1.1Encarregado pelo tratamento de dados: contato pelo e-mail contato@paineltap.com.br.
2. 1.2Canal do titular: o mesmo e-mail, ou o formulário público disponível em uxtap.app/privacidade/meus-dados.
3. 1.3Prazo de resposta: confirmação de existência ou acesso em formato simplificado, de imediato; declaração completa, em até 15 dias do requerimento, conforme o artigo 19 da Lei Geral de Proteção de Dados.

2. Dois papéis diferentes, e por que isso importa

A distinção abaixo é a espinha dorsal desta política. Ela define quem decide o que acontece com cada dado e a quem o titular deve recorrer.

1. 2.1Somos controladores dos dados de quem contrata: cadastro do usuário, workspace, dados de cobrança, registros de uso e suporte. Aqui, nós definimos as finalidades.
2. 2.2Somos operadores dos dados de quem participa das pesquisas. O cliente que criou o estudo é o controlador: ele decide as perguntas, quem é convidado, se haverá gravação e por quanto tempo os dados serão usados. Nós tratamos esses dados conforme as instruções dele e o Contrato de Tratamento de Dados.
3. 2.3Se você participou de uma pesquisa e quer exercer direitos, pode nos procurar: encaminhamos ao cliente controlador e, quando a solicitação puder ser atendida diretamente por nós, executamos a exclusão.

3. Dados de quem contrata, e para quê

1. 3.1Cadastro: nome, e-mail, senha guardada apenas como resumo criptográfico (bcrypt), idioma preferido e papel no workspace. Finalidade: criar e operar a conta. Base legal: execução de contrato.
2. 3.2Aceite dos documentos: data, hora e versão dos Termos de Uso e da Política de Privacidade aceitos no cadastro. Finalidade: comprovar a contratação. Bases legais: execução de contrato e exercício regular de direitos.
3. 3.3Autenticação corporativa (SSO), quando o seu workspace a usa: identificador fornecido pelo provedor de identidade e o e-mail informado por ele. Base legal: execução de contrato.
4. 3.4Uso da plataforma: estudos criados, ações no painel, registros técnicos de acesso e erros. Finalidade: operar, dar suporte e melhorar o serviço, além de segurança. Bases legais: execução de contrato e legítimo interesse. Guardamos também eventos de uso do próprio UXTap (qual tela foi aberta, qual ação foi feita) por até dezoito meses, sempre com identificadores e metadados curtos, nunca com conteúdo de estudo ou resposta de participante.
5. 3.5Registros de acesso à aplicação: data, hora e endereço IP de cada acesso, vinculados à conta. Finalidade: cumprir o artigo 15 do Marco Civil da Internet e proteger a conta. Base legal: cumprimento de obrigação legal.
6. 3.6Chaves de API e conexões de ferramentas de IA (MCP): registro das chaves, escopos concedidos e trilha de uso, inclusive endereço IP. Bases legais: execução de contrato e legítimo interesse, para segurança.
7. 3.7Cobrança: nome, e-mail, documento e dados de pagamento tratados diretamente pela Stripe. Não armazenamos número de cartão. Finalidade: faturamento. Bases legais: execução de contrato e cumprimento de obrigação legal e fiscal.
8. 3.8Créditos de recrutamento: pedidos, pagamentos e movimentações da carteira do workspace. Bases legais: execução de contrato e cumprimento de obrigação legal.
9. 3.9Comunicação: e-mails transacionais de convite, cota, redefinição de senha e resumos. Finalidade: operar o serviço. Bases legais: execução de contrato e legítimo interesse. Os resumos podem ser desligados nas configurações.
10. 3.10Integração com o Figma, quando você conecta sua conta: guardamos um token de acesso criptografado com AES-256-GCM, usado apenas para importar as telas que você indicar.
11. 3.11Pedidos de titular: e-mail, referência, endereço IP e navegador de quem envia, guardados por 5 anos como prova de atendimento. Bases legais: cumprimento de obrigação legal e exercício regular de direitos.
12. 3.12Visitas ao site público, com sua autorização: identificadores aleatórios, páginas, cliques e rolagem; sessões por até 30 dias e agregados por até 90 dias.
13. 3.13Contato pelo site: nome, e-mail, empresa, WhatsApp e mensagem, para responder, guardados por 12 meses; endereço IP e navegador, para prevenir abuso, guardados por 30 dias. Base: legítimo interesse/procedimentos preliminares a contrato. Os dados enviados pelo formulário também são registrados no CRM do grupo Painel TAP.

4. Dados de quem participa de uma pesquisa

O que é coletado depende de como o cliente montou o estudo. A lista abaixo é o máximo que a plataforma é capaz de coletar.

1. 4.1Respostas às perguntas do estudo, inclusive respostas abertas escritas pelo participante.
2. 4.2Comportamento durante a tarefa: cliques com coordenadas, telas visitadas, rolagem, tempo por tela, caminho percorrido e desistência.
3. 4.3Dados técnicos: tipo de dispositivo, navegador, sistema, idioma e dimensões da tela. Não usamos cookies de rastreamento na tela de resposta.
4. 4.4Quando o estudo vem de um painel de recrutamento: um identificador opaco enviado na URL e as variáveis que o cliente configurou, como faixa etária ou estado. Esse identificador é fornecido pelo painel e não contém, por si só, nome ou contato.
5. 4.5Quando o recrutamento é feito por painel parceiro: a situação da participação (concluída, desqualificada, cota encerrada) e, se for o caso, o motivo codificado de indisponibilidade da gravação, enviados ao painel.
6. 4.6Gravação de tela da aba da pesquisa, quando o participante consente de forma específica.
7. 4.7Imagem da câmera, quando o estudo ou a entrevista moderada a solicita e o participante consente.
8. 4.8Áudio do microfone, quando o estudo pede que a pessoa pense em voz alta ou quando há entrevista por voz, sempre com consentimento específico.
9. 4.9Em entrevistas agendadas: nome, e-mail, fuso horário e respostas às perguntas de seleção definidas pelo cliente. O participante recebe por e-mail a confirmação e o convite.
10. 4.10Em entrevistas moderadas: áudio e vídeo da conversa, tela compartilhada e nome exibido na sala. Pessoas da equipe do cliente podem assistir como observadoras.
11. 4.11Em estudos em site real: páginas visitadas, cliques, rolagem e capturas de tela do site indicado. Nunca capturamos teclas digitadas nem conteúdo de campos de texto.
12. 4.12Pesquisa no site do cliente e medição de comportamento: página de origem, identificador pseudônimo do visitante, país aproximado inferido pela rede e, no coletor de comportamento, páginas, cliques e rolagem, sem texto digitado nem conteúdo de formulário.

Voz, imagem da câmera e imagem de tela merecem cuidado reforçado porque podem revelar mais do que a pergunta pedia. Por isso exigem consentimento separado, ficam em armazenamento privado com acesso por link assinado de curta duração e são apagadas ao fim do prazo de retenção do plano. O compartilhamento de trechos por link público é decisão do cliente controlador, que declara ter a autorização do participante para o uso de imagem e voz fora da finalidade da pesquisa.

5. Consentimento do participante

1. 5.1Antes de começar, o participante vê um aviso claro sobre o que será coletado, por quem e para quê, com link para esta política e para a lista de subprocessadores.
2. 5.2Gravação de tela, câmera e microfone exigem um segundo consentimento, explícito e separado, com a opção de recusar e continuar sem gravação, salvo quando o estudo exigir gravação: nesse caso, isso é informado em destaque antes do início, e a pessoa pode não participar, sem outra consequência além de não receber o incentivo da participação, se houver.
3. 5.3O participante pode interromper a qualquer momento, inclusive parando o compartilhamento pela própria interface do navegador, sem prejuízo das respostas já dadas.
4. 5.4O consentimento é registrado com data e hora e com a versão do texto apresentado.

6. Crianças e adolescentes

1. 6.1O UXTap não se destina a menores de 18 anos.
2. 6.2Se o cliente realizar pesquisa com menores, declara ter obtido o consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal, na forma do artigo 14 da Lei Geral de Proteção de Dados, e é o responsável por obtê-lo, comprová-lo e guardá-lo.
3. 6.3Se tomarmos conhecimento de coleta de dados de menor sem esse consentimento, podemos suspender o estudo e excluir os dados.

7. Com quem compartilhamos

1. 7.1Com prestadores de serviço necessários à operação, listados na página de subprocessadores com finalidade, dado tratado e país. Os provedores de inteligência artificial aparecem agrupados por função; a lista nominal completa é fornecida ao cliente controlador mediante solicitação.
2. 7.2Com o cliente controlador do estudo, no que se refere aos dados dos participantes dele.
3. 7.3Com o painel de recrutamento indicado pelo cliente, na medida necessária para confirmar a participação.
4. 7.4Com ferramentas que o próprio cliente conectar por API ou MCP, por instrução dele.
5. 7.5Com autoridades, quando houver requisição legal ou ordem judicial, na medida estrita do pedido.
6. 7.6Em caso de reorganização societária, com o sucessor, mantidas as condições desta política.
7. 7.7Não vendemos dados pessoais e não os usamos para publicidade de terceiros.

8. Inteligência artificial

1. 8.1Usamos provedores de inteligência artificial contratados para transcrever áudio, sintetizar a voz da entrevistadora, identificar temas, gerar relatórios, analisar imagens das telas e conduzir a entrevistadora automatizada. Eles aparecem agrupados por função na página de subprocessadores.
2. 8.2Enviamos apenas o conteúdo necessário à tarefa: trechos de respostas, transcrições, imagens das telas do estudo e, no modo de voz em tempo real, o áudio da conversa.
3. 8.3Contratamos esses provedores em modalidade empresarial paga e não autorizamos o uso dos dados enviados para treinamento de modelos.
4. 8.4Os resultados são probabilísticos e podem conter erro. Não tomamos decisão automatizada com efeito jurídico sobre participantes.
5. 8.5O participante é informado quando conversa com uma entrevistadora automatizada.

9. Transferência internacional

1. 9.1Parte dos fornecedores trata dados fora do Brasil, nos Estados Unidos e na União Europeia, conforme indicado na página de subprocessadores. Desde 29 de setembro de 2026, os servidores da aplicação e o banco de dados ficam nos Estados Unidos (região da Virgínia).
2. 9.2Essas transferências são realizadas com base no artigo 33 da Lei Geral de Proteção de Dados, sob as garantias contratuais de proteção de dados oferecidas por cada fornecedor.
3. 9.3A QualiTAP adotará as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024 conforme o prazo regulatório e informa, a quem solicitar pelo canal do titular, como cada transferência é feita.

10. Por quanto tempo guardamos

1. 10.1Gravações de tela, câmera e áudio: conforme o plano do cliente. No plano gratuito, 30 dias; no Starter, 90 dias; no Pro, 180 dias; no Business, 365 dias; ou prazo diverso ajustado em contrato. Findo o prazo, o arquivo é apagado do armazenamento e a gravação fica marcada como expirada.
2. 10.2Respostas, eventos de navegação e resultados agregados: enquanto o estudo existir na conta do cliente, salvo pedido de exclusão.
3. 10.3Transcrições de gravações e áudios de turnos de entrevista seguem o prazo da gravação. O texto das respostas da entrevista com IA, por ser resposta ao estudo, permanece enquanto o estudo existir.
4. 10.4Dados de cadastro e faturamento: durante a relação contratual e, depois dela, pelos prazos legais de guarda fiscal e de prescrição.
5. 10.5Registros de acesso à aplicação: 6 meses, conforme o artigo 15 do Marco Civil da Internet.
6. 10.6Pedidos de titular: 5 anos, como prova de atendimento. Eventos de uso do próprio UXTap: até 18 meses.
7. 10.7Mensagens do formulário de contato do site: 12 meses; depois são apagadas automaticamente, junto com os e-mails que as reproduzem. O endereço IP e o navegador de quem enviou: 30 dias.
8. 10.8Cópias de segurança podem reter dados por período adicional limitado e são eliminadas em até 30 dias.
9. 10.9Contas gratuitas sem acesso por 24 meses serão avisadas por e-mail e, sem manifestação em 30 dias, eliminadas com seus dados.
10. 10.10Cancelar a assinatura não elimina dados: a conta passa ao plano gratuito. O encerramento da conta segue a Política de Cancelamento e Reembolso.

11. Segurança

As medidas abaixo estão implementadas hoje. A Política de Segurança da Informação, em página própria, traz o detalhe e o que ainda está em evolução.

1. 11.1Tráfego cifrado em trânsito por HTTPS, com HSTS para que o navegador nunca tente conexão não cifrada.
2. 11.2Senhas guardadas apenas como resumo criptográfico com bcrypt; nunca em texto claro.
3. 11.3Gravações e áudios em armazenamento privado, sem URL pública, acessíveis apenas por link assinado com validade de 1 hora.
4. 11.4Tokens de integração de terceiros cifrados com AES-256-GCM antes de gravados.
5. 11.5Controle de acesso por papel dentro do workspace, verificado no servidor a cada requisição.
6. 11.6Limitação de requisições por endereço e por sessão nas rotas públicas, e tetos diários de uso de recursos por conta.
7. 11.7Monitoramento de erros com remoção de corpo de requisição e de conteúdo de resposta antes do envio ao provedor.

12. Incidentes de segurança

1. 12.1Mantemos plano interno de resposta a incidente, com responsáveis, prazos e registro.
2. 12.2Quando atuamos como operadores, comunicamos o cliente controlador sem demora injustificada assim que tomamos conhecimento de incidente que possa afetar os dados sob a responsabilidade dele.
3. 12.3Quando atuamos como controladores, comunicamos a ANPD e os titulares, nos casos exigidos, no prazo de 3 dias úteis contados do conhecimento de que o incidente afetou dados pessoais, ou no prazo diferenciado aplicável ao agente de tratamento de pequeno porte, quando cabível, conforme a Resolução CD/ANPD nº 15/2024.

13. Cookies e armazenamento no navegador

1. 13.1No painel, usamos um cookie de sessão, estritamente necessário para manter você autenticado, e um identificador técnico da aba, em armazenamento de sessão do navegador, para medir o uso das funções do produto, sem conteúdo de estudo. Sem o cookie de sessão, o login não funciona.
2. 13.2Na tela de resposta, usamos armazenamento local do navegador apenas para permitir retomar a pesquisa do ponto em que parou e para guardar eventos enquanto a conexão estiver instável.
3. 13.3Nas páginas públicas, com sua autorização, o próprio UXTap mede páginas visitadas, cliques e rolagem com identificadores aleatórios do navegador, sem texto digitado ou parâmetros das URLs.
4. 13.4Com autorização separada da análise do site, usamos Google Ads para medir contas com cadastro completo, ativação profissional após a publicação de um estudo e pedidos de demonstração atribuídos a anúncios, sem personalização.
5. 13.5O Google Ads só é carregado após sua autorização específica. Recebe o tipo de conversão, um identificador opaco para evitar duplicatas, identificadores de clique do anúncio e informações técnicas da conexão, como IP e navegador. Não enviamos nome, e-mail, texto digitado, conteúdo de estudos ou URLs privadas.
6. 13.6As conversões de cadastro e ativação profissional ocorrem em documento separado e vazio, apenas ao abrir a página inicial do painel sem parâmetros ou fragmentos no endereço. O cadastro exige contexto completo e conta criada há até 24 horas; a ativação exige intenção profissional informada no cadastro e publicação de um estudo no workspace original, em até 90 dias da criação da conta. Criar um rascunho de exemplo não basta. Não habilitamos conversões otimizadas ou personalização de anúncios.
7. 13.7A autorização de anúncios fica no navegador por até 180 dias. Os identificadores de clique e cookies próprios de atribuição duram até 90 dias; os recibos opacos usados contra duplicatas, até 180 dias. Ao recusar ou revogar, interrompemos a medição e apagamos esses dados locais. O Google trata os dados já recebidos conforme sua política de privacidade (policies.google.com/privacy), inclusive fora do Brasil.
8. 13.8Você pode permitir ou recusar cada medição separadamente e revogar a escolha em Preferências de privacidade, no rodapé. DNT e GPC impedem a medição de anúncios.
9. 13.9Você pode recusar ou revogar a análise em Preferências de privacidade no rodapé. Sessões são mantidas por até 30 dias e agregados por até 90 dias; sinais DNT e GPC são respeitados.
10. 13.10Quando o cliente instala a tag ou o coletor do UXTap no próprio site, ele é o controlador dos dados dos visitantes desse site, conforme o Aviso de Cookies.

14. Seus direitos

A Lei Geral de Proteção de Dados assegura ao titular os direitos abaixo, exercidos gratuitamente.

1. 14.1Confirmação da existência de tratamento e acesso aos dados.
2. 14.2Correção de dados incompletos, inexatos ou desatualizados.
3. 14.3Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade.
4. 14.4Portabilidade e informação sobre compartilhamento.
5. 14.5Revogação do consentimento e informação sobre a possibilidade de não consentir e as consequências.
6. 14.6Oposição a tratamento fundado em legítimo interesse.
7. 14.7Para exercer, use uxtap.app/privacidade/meus-dados ou escreva para contato@paineltap.com.br. Respondemos em até 15 dias. Quando o pedido se referir a dados de um estudo de cliente, encaminhamos ao controlador e apoiamos tecnicamente o atendimento.

15. Alterações desta política

1. 15.1Podemos atualizar esta política. Alterações relevantes são comunicadas por e-mail ou no painel com 30 dias de antecedência.
2. 15.2A versão vigente fica sempre nesta página, com número de versão, data e histórico.