Política de Privacidade — v2

Versão 2, vigente a partir de 04/11/2026.

1. Empresa e contato

A Hero Academy é oferecida por ARCODE LTDA, CNPJ 58.506.666/0001-04, a mesma pessoa jurídica da operação Arcode e controladora dos dados pessoais tratados pela Hero Academy.

A encarregada pelo tratamento de dados pessoais é Camile Santana. O canal oficial de privacidade é privacidade@heroacademy.gg, que encaminha os pedidos à encarregada. Os pedidos enviados a suporte@heroacademy.gg também são recebidos e encaminhados. Você pode utilizar esses canais para pedir informação sobre seus dados, exercer seus direitos ou comunicar uso indevido. Não envie senhas ou códigos de acesso.

2. Dados e finalidade

Cadastro, compra, pagamento, acesso, segurança, atendimento e progresso educacional têm finalidades distintas. Os dados necessários a cada finalidade incluem informações de conta e contato, referências da compra e do acesso, registros de segurança e progresso nas aulas. A operação utiliza provedores de hospedagem e e-mail; contratos e configurações delimitam os tratamentos e locais aplicáveis.

Conferimos a maioridade do comprador por consulta a base oficial (Serpro, com CPF e data de nascimento) ou por autodeclaração de maioridade, conforme o fluxo de compra vigente, sempre com conta autenticada e controles. O CPF é usado para o pagamento e, quando aplicável, para a emissão de nota fiscal; quando a conferência for por base oficial, também nessa consulta. Nenhum desses métodos comprova sozinho parentesco ou presença física do titular.

O Asaas é o fornecedor selecionado para novos pagamentos, com uso dos dados necessários do comprador, do pedido e da cobrança para processamento e conciliação.

No login com Google, os dados solicitados são identificação básica, e-mail e perfil, sem permissão de leitura da conta pessoal YouTube. Permissões antigas podem ser consultadas e revogadas na sua conta Google.

No checkout, coletamos também o endereço necessário ao pedido e consultamos o CEP no ViaCEP para auxiliar o preenchimento. A consulta envolve o CEP informado e os dados técnicos da conexão com esse serviço.

Na área do aluno, o perfil pede data de nascimento, WhatsApp e endereço, e permite foto e imagem de capa. O CEP digitado no perfil também é consultado no ViaCEP. Se o aluno for menor de 18 anos, o perfil pede ainda o nome e o e-mail do responsável legal, para contato e vínculo familiar. Esses dados servem à conta, ao atendimento, à segurança e ao vínculo com o responsável, não à publicidade.

Quando a loja estiver fechada, você pode deixar seu nome e número de WhatsApp na lista de espera. Registramos esses dados, a oferta ou produto de interesse e, se você tiver aceitado a medição, a origem da campanha no nosso CRM para guardar seu interesse e avisar pelo WhatsApp quando as vendas reabrirem. O pedido de aviso não autoriza o compartilhamento para anúncios. Você pode pedir exclusão a qualquer momento pelos canais da seção 1. O pedido é registrado e atendido no prazo de até 15 dias, inclusive por procedimento manual nos registros sob nosso controle; quando algum registro precisar ser preservado por obrigação legal ou defesa, informaremos o motivo e o que foi mantido. Os critérios de conservação estão na seção 5.

Ao preencher a compra ou o pedido de aula-amostra, o nome, o e-mail e o telefone já digitados podem ser registrados no nosso CRM antes do envio do formulário, junto com o aviso exibido e, se você tiver aceitado a medição, a origem da campanha. A finalidade é retomar o atendimento de uma compra ou amostra iniciada e não concluída, por e-mail ou WhatsApp. Não registramos CPF ou data de nascimento nesse momento. No pedido de aula-amostra, esse registro só acontece depois que você declara ter 18 anos ou mais. Você pode pedir a exclusão pelos canais da seção 1.

Lembretes e ofertas por WhatsApp. Quando disponível no checkout, uma caixa opcional, desmarcada, permite receber pelo WhatsApp lembretes da compra e ofertas da Hero Academy. Registramos o número, a versão do texto aceito e a data. A base é o seu consentimento (art. 7º, I), e a compra não depende dele. Para sair, responda SAIR a qualquer mensagem ou escreva para privacidade@heroacademy.gg; a saída vale para todas as mensagens promocionais por WhatsApp. Guardamos o registro do aceite e da saída enquanto for necessário para comprovar a escolha. Os dados não são usados para publicidade de terceiros. Essa opção é só para comprador adulto, nunca para aluno menor.

Clientes e contatos no CRM. Os dados de contato do comprador e o andamento do pedido, pago ou pendente, inclusive oferta e valor, podem ser registrados no nosso CRM para atendimento, cobrança e acompanhamento da compra (art. 7º, V). Mensagens e comentários enviados aos perfis da Hero Academy no Instagram, quando esse atendimento estiver ativo, são recebidos pela Meta e podem ser registrados no CRM, com o identificador da conta no Instagram e o conteúdo, para responder e atender (art. 7º, IX). Responder "parar" ou "sair" encerra as abordagens. Contatos de bases próprias anteriores só recebem campanhas de WhatsApp quando há registro de consentimento, individual ou declarado para a base de origem, e quem responder SAIR deixa de recebê-las. Não enviamos campanhas a menores de idade.

A importação de contatos de bases próprias para campanhas usa o registro de consentimento de cada contato ou, para uma base de origem identificada, uma declaração registrada pela Hero Academy, como controladora, de que os contatos dessa base deram opt-in para WhatsApp promocional e são adultos. Nesse caso, a maioridade não é verificada individualmente; a declaração é conservada como prova. Contatos com indicação de menoridade, idade não verificável ou que responderam SAIR não recebem campanhas, e os dados de contato de quem tiver indicação de menoridade são eliminados pelo procedimento de exclusão descrito na seção 5.

Bases legais por finalidade

Dados de crianças e adolescentes exigem a observância do seu melhor interesse e das salvaguardas do art. 14 da LGPD, além da base legal aplicável à finalidade. Quando o tratamento de dados de criança se apoiar em consentimento, este deve ser específico e em destaque, dado por pelo menos um dos pais ou responsável legal. A autorização familiar não substitui esses requisitos nem autoriza perfilamento publicitário de menores.

CPF e data de nascimento não são, por si, dados pessoais sensíveis. Se uma finalidade exigir dado sensível, será necessária uma hipótese específica do art. 11 da LGPD e informação própria sobre necessidade e proteção; o aceite geral desta política não supre essa exigência.

Com quem os dados são compartilhados

Compartilhamos somente o necessário à finalidade e às condições descritas nesta política. Os destinatários incluem:

• Asaas, para pagamento, cobrança e conciliação; Serpro, quando a maioridade for conferida por consulta a base oficial; e ViaCEP, para consulta de CEP no checkout e no perfil da área do aluno.
• Google, para login, serviços de e-mail utilizados na operação e, havendo o consentimento de medição aplicável, Google Analytics 4 e Google Ads.
• Meta, para WhatsApp nas comunicações e Instagram, para receber e responder mensagens e comentários enviados aos nossos perfis. Havendo consentimento de medição aplicável, também para Meta Pixel e conversões de anúncios. Receber uma mensagem de WhatsApp ou responder no Instagram não significa autorizar uso dos dados para anúncios.
• Stape, como operadora da infraestrutura do servidor de medição GTM em https://orion.heroacademy.gg, para encaminhar as conversões autorizadas ao Google e à Meta.
• Cloudflare, para proteção da infraestrutura e de formulários, incluindo Turnstile; e os provedores de hospedagem e e-mail utilizados para executar a operação e o atendimento. O e-mail operacional envolve serviços do Google, e o WhatsApp envolve a infraestrutura da Meta.

Esses serviços podem tratar dados fora do Brasil. As transferências devem observar as hipóteses e salvaguardas aplicáveis da LGPD, com contratos e configurações que delimitem finalidade, acesso e proteção. Informações sobre os destinatários e os fluxos aplicáveis ao seu caso podem ser solicitadas à encarregada. Pertencer ao grupo HB&CO não concede a outras empresas acesso automático a dados da Academy.

3. Comprador, responsável e aluno

O vínculo familiar descrito nesta seção é distinto do preenchimento do perfil pelo próprio aluno descrito na seção 2.

O comprador, o responsável legal e o aluno podem ser pessoas diferentes. Nas compras atuais, o comprador adulto é registrado automaticamente como aluno da própria compra ("Para mim"). Em breve, a compra poderá ser destinada a outra pessoa, inclusive como presente ou para um aluno menor vinculado ao responsável legal. Quando isso estiver disponível, valerão estas regras: a gestão familiar é aceita pelo responsável legal indicado, na própria conta, com declaração de autoridade e controles de vinculação; o presente depende da indicação pelo comprador e do aceite do responsável na própria conta, com confirmação do aluno; a data de nascimento do dependente é declarada pelo adulto responsável com maioridade conferida, com aceite do termo de veracidade, e o registro inclui a conta declarante, a data e a hora do aceite e a versão do termo; essa idade é declarada, sem verificação documental da idade ou da identidade do menor, e serve à elegibilidade familiar e aos requisitos etários das atividades, sem divulgação ao comprador que não é o responsável; o responsável acompanha o progresso factual dos próprios dependentes vinculados; e o comprador que não é o aluno acompanha pedido, pagamento e estado da licença, sem acesso às aulas, ao progresso ou ao histórico educacional do aluno. Documento de parentesco não é exigido de todas as famílias por padrão; inconsistências, contestações ou riscos concretos podem exigir comprovação proporcional. O aluno não recebe os dados financeiros do comprador. Compra, vínculo familiar e escolhas promocionais são atos distintos. Uma compra não equivale a autorização genérica para outros usos dos dados, publicidade ou treinamento de modelos de IA.

4. Divulgação opcional de projetos

Uma única caixa opcional, desmarcada por padrão, permite autorizar o uso comercial do projeto ou criação publicado na plataforma, inclusive em tráfego pago e impulsionamento, no site e nas redes sociais da Hero Academy. Para aluno menor de 18 anos, a caixa só pode ser marcada pelo responsável legal na própria conta. Registramos a escolha, a pessoa que autorizou, o projeto, a versão do texto e a data da autorização. Sem a caixa marcada e esse registro, não usamos o projeto comercialmente. A licença é não exclusiva, específica para o projeto, opcional e revogável para usos futuros; não transfere sua propriedade nem condiciona curso, envio educacional, galeria ou atendimento. A autorização pode ser retirada pelo atendimento ou desmarcando a caixa e salvando a escolha. Imagem, voz e nome do aluno ficam fora dessa caixa e de qualquer caixa no cadastro: somente mediante convite específico da Hero Academy e autorização específica, dada pelo responsável legal quando menor de 18 anos, revogável para usos futuros. Não use a caixa do projeto para autorizar conteúdo que identifique o aluno. A retirada encerra novos usos e impulsionamentos e permite remover materiais promocionais sob controle da Academy, sem promessa de apagar universalmente cópias de terceiros. Dados do aluno não são destinados à segmentação de anúncios.

5. Finalidades e conservação

Conservamos cada categoria pelo tempo necessário à sua finalidade e às obrigações aplicáveis. Os critérios abaixo substituem prazos fixos gerais e a guarda permanente de conversas:

• Leads e lista de espera: enquanto houver interesse comercial legítimo ou até a pessoa pedir exclusão. Você pode pedir exclusão a qualquer momento. O pedido é registrado e atendido no prazo de até 15 dias, inclusive por procedimento manual nos registros sob nosso controle; quando algum registro precisar ser preservado por obrigação legal ou defesa, informaremos o motivo e o que foi mantido. O interesse precisa continuar justificável; a ausência de pedido não autoriza guardar dados sem necessidade.
• Consentimento de WhatsApp promocional: até a retirada. Depois, guardamos só o registro da escolha e da saída, para não enviar novas mensagens, salvo se você pedir a exclusão completa dos seus dados; nesse caso, o registro da saída também é eliminado.
• Conferência de maioridade do comprador (dados informados e resultado da conferência): pelo tempo da conta e da compra e pelo prazo de defesa, inclusive para impedir uso do mesmo CPF em outra conta; não usamos esses dados para marketing.
• Conta, compra, contrato e notas fiscais: pelo prazo legal ou fiscal aplicável e pelo tempo necessário à defesa em processos. A conservação de prova deve ser justificada e delimitada ao motivo correspondente.
• Rastreamento da compra pelo servidor — cookies, IP e identificadores de anúncio: pelo tempo necessário para medir e atribuir a conversão e auditar o envio. Depois, esses dados são eliminados ou anonimizados; a pessoa pode pedir sua exclusão antes. O vínculo com uma compra não autoriza sua conservação indefinida para anúncios.
• Dados de menor e da família: enquanto o acesso estiver ativo. Depois, conservamos somente o mínimo exigido por lei, sem manter dados educacionais ou familiares para publicidade.

As conversas com suporte humano, suporte por IA e WhatsApp são usadas para acompanhar o caso e comprovar o atendimento. Os trechos necessários a obrigações legais ou à defesa em processos seguem esses critérios; os demais dados deixam de ser conservados quando não forem mais necessários. As conversas não têm conservação permanente por padrão. O histórico de atendimento não autoriza uso para anúncios ou treinamento de IA.

Os registros de origem de campanha no CRM seguem o critério do relacionamento correspondente: lead ou lista de espera, enquanto houver interesse comercial legítimo ou até o pedido de exclusão; quando vinculados à compra, a conservação deve ter finalidade própria e necessidade demonstrável. Uma obrigação fiscal não justifica guardar todos os identificadores de anúncios. A duração de um cookie no navegador não determina o prazo de conservação de uma cópia no CRM.

A encarregada coordena os pedidos com as equipes responsáveis. A execução deve alcançar os registros pertinentes e as cópias sob controle da Academy, com registro do atendimento, inclusive quando depender de procedimento manual. Não afirmamos que todos os sistemas tenham uma rotina automática de eliminação. Se houver preservação legal necessária, informamos a finalidade e delimitamos o mínimo conservado, sem manter o uso promocional.

Anonimizar significa impedir a identificação da pessoa pelos meios razoavelmente disponíveis. Trocar nome por um identificador reversível ou transformar dados em hash não é, por si, anonimização.

Pedidos de correção, eliminação, oposição e outros direitos são analisados conforme a finalidade e as hipóteses legais aplicáveis. Conservar uma prova não torna uma autorização promocional irrevogável. Compartilhar um projeto por iniciativa própria não concede à Academy autorização para utilizá-lo em campanhas.

Medição e proteção contra abuso

Nas páginas públicas de venda, usamos o Google Tag Manager para carregar o Google Analytics 4, o Google Ads e o Meta Pixel, além de um servidor de medição operado pela Stape, para medir visitas e resultados das campanhas.

Com seu aceite de medição, medimos também pedidos de amostra e cadastros, inclusive pelos eventos técnicos generate_lead e sign_up, a confirmação de compra e as páginas de privacidade, termos e contrato. Esses eventos não autorizam o envio de conteúdo de formulários ou de dados do aluno para anúncios.

Você pode aceitar ou recusar no aviso de cookies. A recusa não impede comprar ou estudar. O compartilhamento de dados codificados para correspondência de anúncios exige um aceite novo, dado no aviso de cookies atual, cujo texto menciona expressamente esse compartilhamento; registramos a versão do aviso e a data. O mesmo aceite cobre a medição, a origem de campanha no CRM e esse compartilhamento, e recusar recusa todos. O aceite anterior de cookies não substitui o aceite atual. Aceitar contrato, pedir uma amostra, cadastrar-se ou entrar na lista de espera também não a substitui.

Se você der essa autorização e fizer uma compra, a confirmação pode ser enviada pelo nosso servidor ao servidor de medição GTM em https://orion.heroacademy.gg, para encaminhamento ao Google e à Meta. Esse envio é restrito ao comprador adulto, com maioridade conferida e consentimento específico registrado e válido. A conferência de maioridade é usada apenas para impedir o envio quando não houver comprador adulto confirmado; CPF, data de nascimento e o resultado da conferência não são enviados.

Nesse envio, e-mail, telefone, nome e identificador da conta do comprador são transformados em códigos por SHA-256 (hash). Essa codificação ajuda o Google e a Meta a comparar os dados com os que já possuem; ela não torna os dados anônimos.

Podemos usar também informações dos cookies de anúncio e medição _fbp, _fbc e _ga, identificadores de clique como gclid, gbraid e wbraid, o número e o valor do pedido, o produto comprado e dados técnicos como IP e navegador, quando disponíveis. A finalidade é atribuir compras às campanhas e melhorar sua medição, nos limites da autorização específica. Google, Meta e a infraestrutura Stape podem tratar esses dados fora do Brasil.

Atribuição própria e CRM

Também registramos a primeira e a última origem do contato e da campanha no CRM, por cookies próprios de atribuição. Isso pode incluir UTMs, identificadores de clique fbclid, gclid e ttclid, referência de origem, página de entrada, data e hora. A finalidade é entender por qual contato ou campanha a pessoa chegou e relacionar essa origem ao atendimento e à oferta de interesse.

O cookie academy_touch_first guarda a primeira origem por até 90 dias no navegador; academy_touch_last é um cookie de sessão e guarda a origem mais recente. Essas durações técnicas não autorizam retenção ilimitada no CRM. A atribuição por esses cookies depende da escolha de consentimento aplicável à medição e pode ser recusada ou retirada; não é dispensada de escolha apenas por usar cookies próprios.

Primeiro acesso e retirada

Hoje nada da área do aluno é enviado para anúncios. Se passarmos a medir a abertura de /primeiro-acesso (evento first_access), isso valerá só para comprador adulto identificado, com prova vigente de maioridade e autorização específica pedida nessa página; para menores ou sem prova, as tags não são carregadas.

Se esse evento vier a ser habilitado, seu conteúdo será somente o nome técnico first_access, sem atributos pessoais do formulário, da conta ou do aluno. A conexão com os serviços de medição pode envolver IP, navegador e cookies; não é uma conexão anônima. A hipótese de ativação não abrange outros caminhos da área do aluno.

Não enviamos CPF, data de nascimento nem dados de crianças e adolescentes na conversão de compra pelo servidor. Essa conversão usa os dados do comprador adulto, nunca os dados do aluno ou do dependente.

Você pode retirar o consentimento em Gerenciar cookies, no rodapé das páginas públicas. A retirada bloqueia novos envios que dependam desse consentimento, inclusive de compras pendentes, e encerra a coleta por cookies próprios de atribuição para essa finalidade. Para dados já tratados ou sua exclusão, use os canais da seção 1.

As escolhas ficam neste navegador. A recusa feita em heroacademy.gg ou em plataforma.heroacademy.gg vale para os dois; o aceite precisa ser dado em cada um. A retirada bloqueia no servidor os envios das compras iniciadas neste navegador. Em outro aparelho, retire também por lá ou escreva para privacidade@heroacademy.gg.

Proteção contra abuso

O Cloudflare Turnstile ajuda a proteger formulários contra abuso e pode tratar informações técnicas da interação para essa finalidade de segurança. Saiba mais no Cloudflare Turnstile Privacy Addendum.

6. Informação e escolhas

Para exercer os direitos do art. 18 da LGPD, utilize privacidade@heroacademy.gg, aos cuidados da encarregada Camile Santana. Pedidos enviados a suporte@heroacademy.gg também são recebidos e encaminhados. Respondemos em até 15 dias contados do pedido (art. 19, II, da LGPD). Se a confirmação for simplificada, ela será imediata.

Você pode pedir confirmação do tratamento, acesso aos dados, correção de dados incompletos, inexatos ou desatualizados, anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade, portabilidade nos termos da regulamentação, eliminação de dados tratados com consentimento ressalvadas as hipóteses legais de conservação, informação sobre compartilhamento, informação sobre a possibilidade de não consentir e suas consequências e revogação do consentimento. Você também pode apresentar oposição nos casos previstos em lei e peticionar à ANPD.

A identificação do solicitante e de sua autoridade sobre os dados de um dependente será conferida de forma proporcional ao pedido. O pedido precisa se referir à pessoa e ao escopo corretos, sem expor dados de terceiros.

A política da Academy mantém marketing e divulgação de projetos separados da compra e do atendimento. O eventual suporte por IA tem a finalidade de atendimento, e sua conversa segue os critérios de conservação da seção 5. A compra de um curso não autoriza usar as conversas do aluno para treinamento de modelos.