Política de Privacidade

Tratamos apenas o necessário para o Xquad funcionar:

• Conta: nome, e-mail e, se você enviar, foto de perfil. A senha nunca é guardada como texto: armazenamos apenas um resumo criptográfico (hash) dela.
• Login com Google ou GitHub: o identificador da sua conta no provedor, nome, e-mail e foto. No GitHub, consultamos o seu e-mail verificado (inclusive quando ele é privado) no momento do login. Não guardamos as suas senhas nem os tokens de acesso desses provedores.
• Conteúdo que você cria: espaços, quadros, cards, descrições, comentários, menções, checklists, etiquetas, versões, páginas de documentação, anexos e imagens.
• Registros de uso dentro do app: histórico de atividades (quem fez o quê e quando, pela tela ou por um agente de IA), tempo registrado nos cronômetros dos cards e notificações.
• Sessão e segurança: endereço IP, navegador e dispositivo (user agent) e datas de cada sessão aberta, além dos registros técnicos do servidor.
• Tokens de API: nome, início do token (para você reconhecê-lo), datas de criação, de último uso e de expiração. O token completo aparece só uma vez, na criação; guardamos apenas o hash dele.

Não usamos ferramentas de análise de navegação, não exibimos publicidade e não montamos perfis de comportamento.

• Prestar o serviço que você pediu: criar a conta, autenticar, guardar e mostrar o seu conteúdo, colaborar com outras pessoas, enviar notificações e atualizar o quadro em tempo real (base legal: execução de contrato, art. 7º, V, da LGPD).
• Manter a segurança: impedir acessos indevidos, limitar tentativas de login, investigar abusos e corrigir falhas (base legal: legítimo interesse, art. 7º, IX).
• Cumprir obrigações legais e atender a ordens de autoridades competentes, quando houver (base legal: art. 7º, II).

Não vendemos nem alugamos dados pessoais. Eles só chegam a terceiros nestes casos:

• Pessoas dos seus espaços: quem participa de um espaço com você vê o seu nome, foto e e-mail, além do que você publica nele, conforme o papel de cada um (dono, administrador, membro ou leitor).
• Google (Firebase Authentication) e GitHub: só se você escolher entrar por eles. Nesse caso, o login acontece no provedor, que segue a sua própria política de privacidade.
• Hospedagem: o Xquad roda em um servidor contratado de um provedor de infraestrutura, que armazena os dados em nosso nome e não pode usá-los para outros fins.
• Agentes de IA e integrações que você conectar: ao criar um token de API e entregá-lo a um agente (por exemplo, pelo MCP), você autoriza esse agente a ler e alterar o que você pode ver e fazer no Xquad. O que o agente faz com esses dados segue as regras do serviço de IA escolhido por você.
• Autoridades: quando houver obrigação legal ou ordem judicial.

O Google e o GitHub podem tratar dados fora do Brasil. Isso só acontece quando você escolhe entrar com uma dessas contas, e segue as garantias previstas no art. 33 da LGPD adotadas por esses provedores.

Usamos apenas o que é necessário para o funcionamento, sem cookies de rastreamento:

• Cookie de sessão: mantém você conectado com segurança. Sem ele não é possível usar o Xquad logado.
• Preferências no navegador (armazenamento local): tema claro ou escuro, último espaço aberto, cards minimizados e páginas expandidas na árvore de documentação. Ficam só no seu dispositivo e você pode apagá-las limpando os dados do site.

• Conta e conteúdo: enquanto a conta existir. O que você exclui (cards, páginas, anexos, espaços) é removido do banco de dados e do armazenamento de arquivos. Ao excluir a conta, os dados pessoais são apagados e o conteúdo em espaços de outras pessoas fica anonimizado.
• Sessões: expiram sozinhas depois de um período sem uso e são encerradas quando você sai ou troca a senha (as outras sessões são desconectadas).
• Registros técnicos do servidor: são rotacionados e mantidos por pouco tempo, apenas para segurança e correção de falhas.
• Tokens de API: até você revogá-los ou até a data de expiração escolhida.

• Conexão sempre criptografada (HTTPS, com HSTS).
• Senhas e tokens de API guardados apenas como hash.
• Permissões por papel em cada espaço: cada pessoa só vê e altera o que o seu papel permite, inclusive pelos agentes de IA.
• Limite de tentativas no login e nas chamadas por token.
• Banco de dados sem acesso direto pela internet.

Pela LGPD (art. 18), você pode:

• confirmar se tratamos seus dados e acessá-los;
• corrigir dados incompletos ou desatualizados, o que já pode ser feito em Perfil (nome e foto);
• excluir a conta e os dados pessoais, você mesmo, em Perfil → Excluir conta;
• pedir a portabilidade dos dados;
• saber com quem os dados são compartilhados;
• revogar autorizações, como tokens de API (em Integrações, no menu da sua conta) e o login pelo Google ou GitHub (nas configurações da sua conta no provedor).

Ao excluir a conta, seu nome, e-mail, foto, formas de acesso, sessões, tokens e notificações são apagados na hora. Espaços só seus são excluídos; nos compartilhados, você escolhe para quem passar a posse. O que você publicou em espaços de outras pessoas continua lá para o time, sem identificação, como “Pessoa removida”. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

O Xquad é uma ferramenta de trabalho e não se destina a menores de 18 anos sem a autorização e o acompanhamento dos pais ou responsáveis.

Podemos atualizar esta política quando o Xquad mudar. A data no topo indica a versão em vigor e, em mudanças relevantes, avisaremos dentro do app.