Política de privacidade

1. Quem é o controlador

O controlador dos dados é a equipe voluntária do ifsp.dev, sediada no Brasil. Contato: contato@ifsp.dev. Este não é um serviço oficial do IFSP — o IFSP não é controlador nem operador.

2. Quais dados coletamos

O mínimo necessário pra plataforma funcionar:

• Email (fornecido pelo seu GitHub no login).
• Nome público e username do GitHub (githubLogin).
• Foto de perfil do GitHub (para exibir em /projetos e em páginas de portfólio).
• Curso (ADS/BCC) e semestre, se você escolher preencher no perfil.
• Metadados dos projetos que você submete: URL do repositório, slug escolhido, stack, descrição.
• Log de auditoria: eventos administrativos (aprovação, rejeição, suspensão) com timestamp e ator.
• Logs técnicos (IP, user-agent, timestamp) por até 30 dias — usados só para debugar incidentes de segurança.

Não usamos cookies de marketing. Não temos Google Analytics, Meta Pixel, ou trackers de terceiros.

3. Base legal

• Execução de contrato (LGPD art. 7º, V) — para identificar você como titular do seu projeto hospedado.
• Legítimo interesse (art. 7º, IX) — para logs técnicos anti-abuso.
• Consentimento (art. 7º, I) — para exibir seu projeto e foto na vitrine pública /projetos. Você pode tornar o projeto privado a qualquer momento em /me — nesse caso ele some da vitrine mas continua rodando no seu subdomínio.

4. Onde os dados ficam

• VPS no Brasil. Toda a infraestrutura roda em servidor brasileiro.
• Banco de dados: Postgres em container dedicado na mesma VPS, com backup diário em disco local.
• Sem processadores internacionais. Só o GitHub (origem do login) recebe a operação — você já concordou com a política dele ao ter conta GitHub.
• Sem compartilhamento com terceiros. Nunca vendemos, alugamos, ou cedemos dados.

5. Por quanto tempo retemos

• Conta ativa: enquanto você estiver usando.
• Conta inativa: após 24 meses sem login e sem projeto rodando, podemos remover a conta. Enviamos aviso por email antes.
• Projeto removido: containers + volumes apagados em até 7 dias. Metadados (linha em Project com status=removed) ficam retidos para auditoria por até 5 anos — sem conteúdo, só o registro da ação.
• Logs técnicos: rotacionados em 30 dias.
• Backups: retenção local de 14 dias.

6. Seus direitos (LGPD art. 18)

Como titular dos dados, você pode solicitar:

• Confirmação / acesso aos dados que temos sobre você.
• Correção de dados incompletos ou inexatos (maior parte você edita direto em /me).
• Anonimização ou eliminação dos dados tratados por consentimento.
• Portabilidade: exportação dos seus dados em formato estruturado (JSON). Também disponível publicamente em /api/users/<seu-login>.
• Revogação do consentimento a qualquer momento — torne o projeto privado em /me ou remova a conta (pedir via email).

Pedidos via contato@ifsp.dev — respondemos em até 15 dias.

7. Segurança

• Tráfego 100% HTTPS com certificados Let's Encrypt.
• Acesso administrativo atrás de Cloudflare Access.
• SSH só por chave, com fail2ban e firewall.
• Isolamento por container, sem capabilities, rede por projeto.
• Backups diários locais.

Em caso de incidente de segurança com impacto a titulares, notificamos por email em até 72 horas e seguimos o fluxo de registro, contenção e comunicação inspirado na Portaria Normativa nº 63/IFSP, de 10 de agosto de 2022, que estabelece o plano interno de tratamento de incidentes de segurança com dados pessoais do IFSP.

8. Mudanças

Mudanças materiais nesta política são comunicadas por email e exigem novo consentimento quando aplicável. A versão vigente é sempre esta página.

9. Contato

Encarregado de dados (DPO): contato@ifsp.dev. Ver também os Termos de uso.