Versão: 2026-11-08.v1 · Publicação: 08/11/2026
Em outras palavras
A Kuberdata é controladora dos dados da conta do Cliente, como e-mail, empresa, uso e cobrança. Os dados dos alunos pertencem ao contexto do Cliente: a Kuberdata não os recebe nem acessa. Segurança, retenção e fornecedores são descritos aqui de forma aberta. Se houver incidente relevante, o caso será avaliado e tratado conforme a LGPD. Ainda falta definir o encarregado e alguns prazos formais de retenção.
1. Papéis e escopo
Para os dados da conta do Cliente, a Kuberdata atua como controladora, pois define as finalidades de autenticação, prestação do serviço, cobrança, segurança, prevenção de fraude, suporte e comunicações transacionais.
Para os dados dos alunos do Cliente, o Cliente é o controlador em seu próprio ambiente.
A Kuberdata não tem acesso aos dados dos alunos dos clientes.
A arquitetura atualmente verificada não recebe dados de alunos nas rotas de catálogo, questões, busca, plataforma, cobrança ou playground. Por isso, a Kuberdata não se apresenta como operadora desses dados no fluxo normal do produto. Qualquer integração futura que trate dados de aluno exigirá contrato de tratamento de dados, avaliação de segurança e especificação técnica antes de entrar em operação.
2. Categorias, bases legais e instruções
Tratamos dados de identificação e contato da conta, dados de organização, registros de sessão e autenticação, IP de origem do aceite contratual, dados de uso e de chaves, dados de cobrança, recibos e comunicações transacionais. As bases legais podem incluir execução de contrato, obrigação legal ou regulatória, exercício regular de direitos, prevenção à fraude, segurança e legítimo interesse, observados os requisitos da LGPD.
Não é autorizado usar a plataforma para inserir dados pessoais de alunos. O Cliente deve manter seus próprios controles de minimização, transparência, base legal e atendimento a titulares no seu ambiente.
3. Segurança
As medidas verificadas no código incluem chaves de API armazenadas como hash, tokens de sessão e códigos de e-mail armazenados como hash, cookie de sessão HTTP-only/Secure/SameSite=Lax, rate limits, idempotência, segregação das consultas por cliente, verificação da assinatura do webhook da Stripe e validação de IP encaminhado por proxy com HMAC quando configurado.
A Kuberdata e o Cliente devem manter controles de acesso compatíveis com seu papel. O Cliente deve limitar quem pode ver ou usar chaves e revogá-las diante de suspeita de exposição.
4. Suboperadores e transferências
Os fornecedores identificados pela implementação ou configuração são: Stripe para pagamentos; Azure para armazenamento de assets e backups; Resend ou SendGrid para e-mail transacional, conforme o driver escolhido; e Vercel para hospedagem da plataforma web. Cloudflare foi indicado como DNS e e-mail de teste operacional, mas a ativação e o papel em produção devem ser confirmados em [A PREENCHER: inventário de suboperadores de produção].
O uso desses fornecedores pode envolver tratamento fora do Brasil. Antes da produção, a Kuberdata deve documentar as garantias de transferência internacional aplicáveis a cada fornecedor em [A PREENCHER: registro de transferências internacionais].
5. Retenção, eliminação e incidentes
As sessões públicas de playground expiradas são removidas pelo serviço após 24 horas adicionais; tokens de onboarding expiram e tokens usados ou inativos são removidos após 7 dias. Para dados de conta, cobrança, recibos, logs de uso, e-mails e backups, os prazos aplicáveis são [A PREENCHER: política de retenção aprovada], sem prejuízo de obrigações legais e defesa de direitos.
Em caso de incidente de segurança, a Kuberdata avaliará impacto, conterá e registrará o evento, adotará medidas de correção e comunicará titulares e ANPD quando a legislação exigir. O canal para relato é [A PREENCHER: canal de segurança].
6. Direitos e contato do encarregado
O titular de dados da conta pode exercer os direitos previstos na LGPD pelo canal [A PREENCHER: e-mail do encarregado]. O encarregado responsável é [A PREENCHER: nome do encarregado/DPO].
É proibido usar os dados, questões, conteúdos ou respostas da Kuberdata para treinar, ajustar ou avaliar modelos de inteligência artificial.
Essa proibição vale também para dados derivados e conjuntos de avaliação. A infração pode resultar em suspensão, revogação de chave, cobrança de perdas e danos aplicáveis e rescisão.