Pular para o conteúdo
Você está visualizando o novo Puzzel.org Voltar para o site atual
Jurídico

Tudo o que um departamento de TI pergunta, respondido a partir do código em produção.

Hospedagem, subprocessadores, os domínios a liberar, quais dados são armazenados e onde ficam. O questionário de aquisição na íntegra está a um clique de distância.

Ficha do fornecedor · atualizada em agosto de 2026
Em uma linha
Um site, não uma instalação
Qualquer navegador moderno, qualquer dispositivo. Sem plugin, sem aplicativo, sem necessidade de conta para jogar.
Hospedagem
Vercel na frente, Google Firebase por trás
A Vercel entrega a aplicação; contas, atividades e resultados ficam em um banco de dados em tempo real do Firebase.
Localização dos dados
Estados Unidos por padrão, UE disponível
Arquivos e dados da conta são duas configurações de região separadas. Os arquivos enviados podem ser redirecionados por qualquer conta; mover os dados da conta em si exige uma assinatura ativa.
Firewall
Uma lista de permissões curta — websocket incluído
O banco de dados se comunica por wss://, que é a regra que os filtros escolares rígidos mais costumam quebrar.
1

De quem você está comprando

A Puzzel.org é uma empresa holandesa de uma pessoa só, então o contato de vendas, o contato técnico e a pessoa que escreve o código são a mesma pessoa. Estes são os dados que um departamento de compras precisa para registrar o fornecedor.

O suporte é ilimitado e funciona por e-mail — as respostas vêm do desenvolvedor, não de uma fila de tickets.
O contato abaixo também é o contato de segurança e de violação de dados; não existe um caminho de escalonamento separado.
Razão social
Puzzel.org
Contato e ponto de contato
Daan Weustenraad
Endereço
Sneekermeer 13, 3825XT Amersfoort, The Netherlands
Junta Comercial (KvK)
66090091
Número de IVA
NL002191535B44
Suporte
Ilimitado, por e-mail, das 09:00 às 22:00 CET
2

O que uma escola realmente instala

Nada é instalado. Os professores abrem o puzzel.org no navegador que já têm, e os jogadores abrem um link ou uma atividade incorporada na sua própria página — sem conta, sem download, sem direitos de administrador.

Chrome, Firefox, Safari e Edge são compatíveis; o Internet Explorer não é.
Não envolve Flash, Java ou extensão de navegador, e nada é armazenado no dispositivo.
As páginas são pequenas — normalmente bem abaixo de 1 MB — então uma conexão sem fio é suficiente; não é preciso conexão cabeada.
Jogar funciona em celulares e tablets; criar uma atividade é mais confortável em um tablet ou em um computador.
Chromebooks e dispositivos gerenciados bloqueados funcionam bem: tudo roda dentro do navegador.
3

Firewall, lista de permissões e cabeçalhos de página

Desbloqueie os domínios abaixo. O banco de dados em tempo real se conecta por meio de um websocket, que é o que um filtro de conteúdo rígido costuma bloquear silenciosamente — se as atividades abrem mas os resultados nunca são salvos, essa é a regra a verificar primeiro.

Só é preciso liberar a região que sua conta usa: uma conta dos EUA nunca contata o banco de dados da UE, e vice-versa.
O Stripe só é contatado durante a compra ou renovação de uma assinatura — ele pode continuar bloqueado nos dispositivos da sala de aula.
Domínios para liberar no filtro
puzzel.org A própria aplicação
puzzelorg-cdn.s3.us-west-1.amazonaws.com Imagens e áudios enviados por contas armazenadas nos EUA
puzzelorg-image-cdn.s3.eu-north-1.amazonaws.com Imagens e áudios enviados por contas armazenadas na UE
*.googleapis.com Acesso e renovação de token (Firebase Authentication)
puzzelorg.firebaseapp.com A janela pop-up de acesso para contas do Google e da Microsoft
wss://puzzelorg.firebaseio.com Banco de dados em tempo real — contas armazenadas nos EUA wss
wss://puzzelorg-2.europe-west1.firebasedatabase.app Banco de dados em tempo real — contas armazenadas na UE wss
fonts.googleapis.com, fonts.gstatic.com Fontes da web
checkout.stripe.com Somente durante a compra ou renovação de uma assinatura

Os curingas são os próprios hosts do Google para o Firebase Authentication; o resto é exato.

Cabeçalhos de resposta definidos em cada página
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
Força HTTPS por um ano, incluindo subdomínios
X-Content-Type-Options: nosniff
Impede que o navegador adivinhe os tipos de conteúdo
Referrer-Policy: strict-origin-when-cross-origin
Envia apenas a origem, nunca a URL completa, para outros sites
X-Frame-Options: SAMEORIGIN
Bloqueia que a plataforma seja carregada em frames — as atividades incorporadas são a exceção deliberada
Content-Security-Policy: frame-ancestors 'self'; upgrade-insecure-requests;
Repete a regra de frames e converte qualquer solicitação em http simples para https
4

Acessos, papéis e login único

Os professores entram com um endereço de e-mail e senha, ou com a conta do Google ou da Microsoft que sua escola já gerencia. Os jogadores permanecem anônimos, a menos que um professor ative deliberadamente o cadastro para uma atividade.

Cada professor tem seu próprio acesso; o proprietário da conta da escola convida colegas para ela e pode retirar uma vaga.
Os papéis são propositalmente simples: o proprietário gerencia as vagas, e cada professor só vê suas próprias atividades.
As atividades incorporadas oferecem suporte a login único (SSO) via OIDC: seu portal envia um token assinado, que é verificado com as chaves publicadas do seu provedor de identidade antes de permitir a entrada do jogador. Os emissores são liberados por conta, configurados sob solicitação.
Ainda não há conector para Clever, ClassLink ou SAML — pergunte antes de presumir que existe.
5

Quais dados a plataforma armazena

Por padrão, uma atividade não registra nada sobre o jogador: sem conta, sem nome, sem pontuação. Registrar resultados e pedir a identificação do jogador são duas configurações separadas que o professor ativa por atividade, e cada campo solicitado é escolhido manualmente na lista abaixo.

Conta do professor: endereço de e-mail, nome, as atividades criadas e quaisquer imagens ou áudios enviados.
Dados do jogador: apenas os campos de cadastro que o professor escolheu, além das respostas dadas naquela atividade específica.
Nenhum rastreador de publicidade ou de análise em nenhum lugar da plataforma, e nenhum script de terceiros na tela de jogo.
O assistente de IA é usado por consulta: o que um professor digita é enviado à OpenAI para gerar conteúdo. Os dados do jogador nunca são enviados.
Campos que um professor pode optar por pedir ao jogador
NomePrimeiro nomeSobrenomeE-mailNúmero de telefoneMatrícula do alunoMatrícula do funcionárioOrganizaçãoTurmaPaísOutras informaçõesSenhaUma pergunta que você mesmo escreve

Nenhum deles é solicitado, a menos que o professor o adicione àquela atividade específica.

6

Isolamento, criptografia e quem pode ver seus dados

Toda leitura e escrita passa pelas Firebase Security Rules: uma conta só consegue acessar seus próprios dados e os resultados enviados às suas próprias atividades. Essa verificação roda nos servidores do Google, não no navegador, então ela vale mesmo para quem reescreve a página diante de si.

O tráfego é HTTPS de ponta a ponta, e os dados são criptografados em trânsito e em repouso pelo Google Firebase.
Imagens e áudios enviados são servidos a partir de uma URL pública do S3. Trate-os como públicos: mantenha qualquer conteúdo confidencial fora da mídia das atividades.
A Puzzel.org só acessa uma conta quando o proprietário pede ajuda com algo nela.
Subprocessadores
Vercel Hospedagem e entrega da aplicação
Google Firebase Autenticação e o banco de dados em tempo real que armazena os dados da conta
Amazon S3 Armazenamento de imagens e áudios enviados
Stripe Pagamentos de assinatura e faturamento
OpenAI Gera conteúdo quando um professor usa o assistente de IA

Tudo de que a plataforma depende. Nenhuma outra parte recebe dados de conta ou de jogador.

7

Onde os dados são armazenados

Duas configurações, propositalmente independentes: uma decide qual região do S3 armazena os arquivos enviados, a outra qual região de banco de dados armazena os dados da conta. Uma conta nova começa na região sugerida pelo fuso horário do navegador — Europa e África recebem o banco de dados da UE — e ambas podem ser alteradas depois.

Dados da conta: um banco de dados em tempo real do Google Firebase nos Estados Unidos (o padrão) ou em europe-west1, na Bélgica.
Arquivos: um bucket do Amazon S3 em us-west-1 (Califórnia) ou eu-north-1 (Estocolmo). Os arquivos existentes continuam funcionando após a troca.
Mover os dados da conta para a outra região roda como uma migração em segundo plano e exige uma assinatura paga.
8

Exclusão, retenção e aviso de violação

Tudo o que um professor cria, esse professor pode excluir — imediatamente, sem precisar abrir um chamado de suporte. Excluir uma atividade também exclui o que os jogadores enviaram a ela.

Exclua um resultado e ele desaparece; exclua uma atividade e seu conteúdo, estatísticas e cadastros de jogadores vão junto.
Excluir a conta remove suas atividades, pastas, predefinições, registros de pagamento e o próprio acesso.
Não há um período de retenção fixo: os dados permanecem até que o titular da conta os remova.
Após uma violação, os titulares de conta recebem um e-mail do contato acima com o que aconteceu, quem foi afetado e o que isso significa para eles.
9

Incorporação, LMS e a API

A maioria das escolas usa a Puzzel.org incorporada em algo que já usam — uma página do Canvas, o site da escola, um blog. As páginas de atividades são as únicas que outro site tem permissão para carregar em um frame; o restante da plataforma recusa o enquadramento por completo.

Canvas: um lançamento LTI permite que o professor escolha uma de suas próprias atividades e a insira na página como um elemento incorporado.
Qualquer outro caso: copie o código de incorporação e cole em qualquer página — sem necessidade de trabalho de integração.
Uma API REST pode criar atividades a partir dos seus próprios sistemas, com um limite de 10 solicitações por dia por chave.
Não é preciso importar nada para a Puzzel.org antes — sem sincronização de turmas, sem envio de lista de alunos.
10

Licenciamento, compras e pagamento

A assinatura escolar é uma licença anual para uma conta de escola com espaço para colegas, dimensionada pelo número de sessões de jogo esperadas por mês. Ela nunca aumenta sozinha para gerar uma cobrança extra: você escolhe o tamanho e pode aumentá-lo sempre que precisar.

Um pedido de compra funciona quando pode ser pago por cartão ou transferência bancária. Cheques não podem ser aceitos — a empresa não está sediada nos EUA.
Os pagamentos passam pelo Stripe, então os dados do cartão nunca chegam aos sistemas da Puzzel.org.
Precisa de um documento formal antes de fazer o pedido? O gerador de orçamentos produz um orçamento em PDF com os dados da sua escola.
A assinatura escolar em resumo
Preço por ano
€125 / $150
Contas de professor incluídas
5
Sessões de jogo por mês
5.000
Aumentar a capacidade
Mais 1.000 sessões por mês por €25 / $30 por ano
Sem assinatura
2 atividades e 60 sessões de jogo por mês, grátis
Algo aqui ainda não ficou claro? Pergunte diretamente — páginas jurídicas que exigem um e-mail de acompanhamento estão mal escritas.