Política de Privacidade

1. Quem somos

O UXTap é uma plataforma de pesquisa com usuários operada pela Painel TAP, CNPJ 59.701.681/0001-68. Esta política explica quais dados tratamos, com que finalidade, com qual base legal, por quanto tempo e com quem compartilhamos.

1. 1.1Canal do titular: privacidade@uxtap.app, ou o formulário público disponível em uxtap.app/privacidade/meus-dados.
2. 1.2Prazo de resposta: até 15 dias, conforme o artigo 18 da Lei Geral de Proteção de Dados.

2. Dois papéis diferentes, e por que isso importa

A distinção abaixo é a espinha dorsal desta política. Ela define quem decide o que acontece com cada dado e a quem o titular deve recorrer.

1. 2.1Somos controladores dos dados de quem contrata: cadastro do usuário, workspace, dados de cobrança, registros de uso e suporte. Aqui, nós definimos as finalidades.
2. 2.2Somos operadores dos dados de quem participa das pesquisas. O cliente que criou o estudo é o controlador: ele decide as perguntas, quem é convidado, se haverá gravação e por quanto tempo os dados serão usados. Nós tratamos esses dados conforme as instruções dele e o Contrato de Tratamento de Dados.
3. 2.3Se você participou de uma pesquisa e quer exercer direitos, pode nos procurar: encaminhamos ao cliente controlador e, quando a solicitação puder ser atendida diretamente por nós, executamos a exclusão.

3. Dados de quem contrata, e para quê

1. 3.1Cadastro: nome, e-mail, senha guardada apenas como resumo criptográfico (bcrypt), idioma preferido e papel no workspace. Finalidade: criar e operar a conta. Base legal: execução de contrato.
2. 3.2Uso da plataforma: estudos criados, ações no painel, registros técnicos de acesso e erros. Finalidade: operar, dar suporte e melhorar o serviço, além de segurança. Bases legais: execução de contrato e legítimo interesse. Guardamos também eventos de uso do próprio UXTap (qual tela foi aberta, qual ação foi feita) por até dezoito meses, sempre com identificadores e metadados curtos, nunca com conteúdo de estudo ou resposta de participante.
3. 3.3Cobrança: nome, e-mail, documento e dados de pagamento tratados diretamente pela Stripe. Não armazenamos número de cartão. Finalidade: faturamento. Bases legais: execução de contrato e cumprimento de obrigação legal e fiscal.
4. 3.4Comunicação: e-mails transacionais de convite, cota, redefinição de senha e resumos. Finalidade: operar o serviço. Bases legais: execução de contrato e legítimo interesse. Os resumos podem ser desligados nas configurações.
5. 3.5Integração com o Figma, quando você conecta sua conta: guardamos um token de acesso criptografado com AES-256-GCM, usado apenas para importar as telas que você indicar.

4. Dados de quem participa de uma pesquisa

O que é coletado depende de como o cliente montou o estudo. A lista abaixo é o máximo que a plataforma é capaz de coletar.

1. 4.1Respostas às perguntas do estudo, inclusive respostas abertas escritas pelo participante.
2. 4.2Comportamento durante a tarefa: cliques com coordenadas, telas visitadas, rolagem, tempo por tela, caminho percorrido e desistência.
3. 4.3Dados técnicos: tipo de dispositivo, navegador, sistema, idioma e dimensões da tela. Não usamos cookies de rastreamento na tela de resposta.
4. 4.4Quando o estudo vem de um painel de recrutamento: um identificador opaco enviado na URL e as variáveis que o cliente configurou, como faixa etária ou estado. Esse identificador é fornecido pelo painel e não contém, por si só, nome ou contato.
5. 4.5Gravação de tela da aba da pesquisa, quando o participante consente de forma específica.
6. 4.6Áudio do microfone, quando o estudo pede que a pessoa pense em voz alta ou quando há entrevista por voz, sempre com consentimento específico.
7. 4.7Em estudos em site real: páginas visitadas, cliques, rolagem e capturas de tela do site indicado. Nunca capturamos teclas digitadas nem conteúdo de campos de texto.

Voz e imagem de tela merecem cuidado reforçado porque podem revelar mais do que a pergunta pedia. Por isso exigem consentimento separado, ficam em armazenamento privado com acesso por link assinado de curta duração e são apagadas ao fim do prazo de retenção do plano.

5. Consentimento do participante

1. 5.1Antes de começar, o participante vê um aviso claro sobre o que será coletado, por quem e para quê, com link para esta política e para a lista de subprocessadores.
2. 5.2Gravação de tela e microfone exigem um segundo consentimento, explícito e separado, com a opção de recusar e continuar sem gravação, salvo quando o estudo exigir gravação, hipótese informada antes do início.
3. 5.3O participante pode interromper a qualquer momento, inclusive parando o compartilhamento pela própria interface do navegador, sem prejuízo das respostas já dadas.
4. 5.4O consentimento é registrado com data e hora e com a versão do texto apresentado.

6. Crianças e adolescentes

1. 6.1A plataforma não é destinada a menores como contratantes.
2. 6.2Estudos com participantes menores de idade só podem ser conduzidos com o consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal, na forma do artigo 14 da Lei Geral de Proteção de Dados. Obter e comprovar esse consentimento é responsabilidade do cliente que criou o estudo.
3. 6.3Se tomarmos conhecimento de coleta de dados de menor sem esse consentimento, podemos suspender o estudo e excluir os dados.

7. Com quem compartilhamos

1. 7.1Com prestadores de serviço necessários à operação, listados de forma completa e atualizada na página de subprocessadores, com finalidade, dado tratado e país.
2. 7.2Com o cliente controlador do estudo, no que se refere aos dados dos participantes dele.
3. 7.3Com autoridades, quando houver requisição legal ou ordem judicial, na medida estrita do pedido.
4. 7.4Em caso de reorganização societária, com o sucessor, mantidas as condições desta política.
5. 7.5Não vendemos dados pessoais e não os usamos para publicidade de terceiros.

8. Inteligência artificial

1. 8.1Usamos modelos de terceiros para transcrever áudio, identificar temas, gerar relatórios e conduzir a entrevistadora automatizada. Os provedores estão na página de subprocessadores.
2. 8.2Enviamos apenas o conteúdo necessário à tarefa: trechos de respostas, transcrições, imagens das telas do estudo e, no modo de voz em tempo real, o áudio da conversa.
3. 8.3Contratamos esses provedores em modalidade paga, cujos termos não autorizam o uso do conteúdo enviado para treinar ou ajustar modelos sem instrução do cliente.
4. 8.4Os resultados são probabilísticos e podem conter erro. Não tomamos decisão automatizada com efeito jurídico sobre participantes.
5. 8.5O participante é informado quando conversa com uma entrevistadora automatizada.

A garantia de não uso para treinamento depende do plano contratado junto ao provedor. Ver "Definições pendentes" ao fim desta página.

9. Transferência internacional

1. 9.1Parte dos provedores está fora do Brasil, principalmente nos Estados Unidos e na União Europeia, conforme indicado na página de subprocessadores.
2. 9.2Essas transferências se apoiam nos mecanismos da Lei Geral de Proteção de Dados, em especial as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024, cuja adoção passou a ser exigida a partir de agosto de 2025.
3. 9.3Mantemos com esses fornecedores instrumentos contratuais de proteção de dados e revisamos essa lista periodicamente.

10. Por quanto tempo guardamos

1. 10.1Gravações de tela e áudio: conforme o plano do cliente. No plano gratuito, 30 dias; no Starter, 90 dias; no Pro, 180 dias; no Business, prazo estendido definido em contrato. Findo o prazo, o arquivo é apagado do armazenamento e a gravação fica marcada como expirada.
2. 10.2Respostas, eventos de navegação e resultados agregados: enquanto o estudo existir na conta do cliente, salvo pedido de exclusão.
3. 10.3Transcrições e áudios de entrevista seguem o mesmo prazo da gravação a que se referem.
4. 10.4Dados de cadastro e faturamento: durante a relação contratual e, depois dela, pelos prazos legais de guarda fiscal e de prescrição.
5. 10.5Registros de acesso à aplicação: 6 meses, conforme o artigo 15 do Marco Civil da Internet.
6. 10.6Cópias de segurança podem reter dados por período adicional limitado, sendo eliminadas no ciclo normal de rotação.

11. Segurança

As medidas abaixo estão implementadas hoje. A Política de Segurança da Informação, em página própria, traz o detalhe e o que ainda está em evolução.

1. 11.1Tráfego cifrado em trânsito por HTTPS, com HSTS para que o navegador nunca tente conexão não cifrada.
2. 11.2Senhas guardadas apenas como resumo criptográfico com bcrypt; nunca em texto claro.
3. 11.3Gravações e áudios em armazenamento privado, sem URL pública, acessíveis apenas por link assinado com validade de 1 hora.
4. 11.4Tokens de integração de terceiros cifrados com AES-256-GCM antes de gravados.
5. 11.5Controle de acesso por papel dentro do workspace, verificado no servidor a cada requisição.
6. 11.6Limitação de requisições por endereço e por sessão nas rotas públicas, e tetos diários de uso de recursos por conta.
7. 11.7Monitoramento de erros com remoção de corpo de requisição e de conteúdo de resposta antes do envio ao provedor.

12. Incidentes de segurança

1. 12.1Mantemos plano interno de resposta a incidente, com responsáveis, prazos e registro.
2. 12.2Quando atuamos como operadores, comunicamos o cliente controlador sem demora injustificada assim que tomamos conhecimento de incidente que possa afetar os dados sob a responsabilidade dele.
3. 12.3Quando atuamos como controladores, comunicamos a ANPD e os titulares nos prazos da Resolução CD/ANPD nº 15/2024, que fixa 3 dias úteis, dobrados para 6 dias úteis no caso de agente de tratamento de pequeno porte.

13. Cookies e armazenamento no navegador

1. 13.1No painel, usamos apenas um cookie de sessão, estritamente necessário para manter você autenticado. Sem ele, o login não funciona.
2. 13.2Na tela de resposta, usamos armazenamento local do navegador apenas para permitir retomar a pesquisa do ponto em que parou e para guardar eventos enquanto a conexão estiver instável.
3. 13.3Não usamos cookies de publicidade nem rastreamento entre sites. Nas páginas públicas, com sua autorização, o próprio UXTap mede páginas visitadas, cliques e rolagem com identificadores aleatórios do navegador, sem texto digitado ou parâmetros das URLs.
4. 13.4Você pode recusar ou revogar a análise em Preferências de privacidade no rodapé. Sessões são mantidas por até 30 dias e agregados por até 90 dias; sinais DNT e GPC são respeitados.

14. Seus direitos

A Lei Geral de Proteção de Dados assegura ao titular os direitos abaixo, exercidos gratuitamente.

1. 14.1Confirmação da existência de tratamento e acesso aos dados.
2. 14.2Correção de dados incompletos, inexatos ou desatualizados.
3. 14.3Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade.
4. 14.4Portabilidade e informação sobre compartilhamento.
5. 14.5Revogação do consentimento e informação sobre a possibilidade de não consentir e as consequências.
6. 14.6Oposição a tratamento fundado em legítimo interesse.
7. 14.7Para exercer, use uxtap.app/privacidade/meus-dados ou escreva para privacidade@uxtap.app. Respondemos em até 15 dias. Quando o pedido se referir a dados de um estudo de cliente, encaminhamos ao controlador e apoiamos tecnicamente o atendimento.

15. Alterações desta política

1. 15.1Podemos atualizar esta política. Alterações relevantes são comunicadas por e-mail ou no painel com 30 dias de antecedência.
2. 15.2A versão vigente fica sempre nesta página, com número de versão, data e histórico.