Política de privacidade
Como tratamos seus dados pessoais no eFlow. A empresa responsável tem sede no Brasil e presta o serviço a clientes na União Europeia, então aplicam-se em conjunto a Lei n.º 13.709/2018 (LGPD) e o Regulamento (UE) 2016/679 (RGPD), com a Lei n.º 58/2019 de Portugal quando você morar lá.
Última atualização: [EFFECTIVE DATE]
Os campos entre colchetes ([…]) aguardam os dados oficiais da empresa e são preenchidos antes da abertura ao público.
Controlador
[COMPANY LEGAL NAME], sociedade brasileira com sede em [ADDRESS], Rio de Janeiro, Brasil, CNPJ [CNPJ]. É o controlador para efeitos da LGPD e o responsável pelo tratamento para efeitos do RGPD. Representante na União Europeia (artigo 27 do RGPD): [EU REPRESENTATIVE]. Encarregado pelo tratamento de dados pessoais, previsto no artigo 41 da LGPD, que acumula a função de data protection officer do RGPD: [DPO NAME]. Contato para assuntos de privacidade: [PRIVACY EMAIL].
Como coletamos os dados
Diretamente de você, quando cria a conta, escreve instruções, envia fotos, fala com o suporte ou compra créditos. Automaticamente, quando você usa o aplicativo: endereço IP, data e hora, páginas e operações, tipo de dispositivo e navegador, registros de erro. De terceiros: da Stripe recebemos o estado do pagamento e identificadores da transação, nunca o número do cartão; da Google, se você optar por entrar com essa conta, recebemos seu nome, endereço de e-mail e identificador da conta.
Que dados tratamos
Conta: nome, endereço de e-mail, senha cifrada, idioma, profissão indicada, papel na plataforma, estado de confirmação do e-mail. Conteúdo: fotos e textos que você envia, instruções que escreve, resultados gerados, projetos e conversas com o assistente. As fotos de imóveis podem conter pessoas identificáveis, placas de veículo e sinalização; é você quem decide o que envia. Faturamento: plano, histórico de assinatura, faturas e identificadores da Stripe. Não recebemos o número do cartão. Segurança: prefixo da rede de onde você entra, usado para reconhecer conexões já aprovadas, e o histórico de aprovações de acesso. Técnicos: endereço IP, registros de acesso e de erro, data e hora das operações, tipo de dispositivo e navegador.
Finalidades e bases legais
Prestação do serviço, gestão da conta e processamento de gerações: execução do contrato (artigo 6.º, n.º 1, alínea b do RGPD; artigo 7.º, V da LGPD). Confirmação do e-mail e aprovação de acessos de redes novas: execução do contrato e legítimo interesse na segurança da conta (alínea f do RGPD; artigo 7.º, IX da LGPD). Faturamento, contabilidade e obrigações fiscais: cumprimento de obrigação legal (alínea c do RGPD; artigo 7.º, II da LGPD). Segurança, prevenção de fraude e melhoria do serviço: legítimo interesse (alínea f do RGPD; artigo 7.º, IX da LGPD). Cookies não essenciais e comunicações de marketing: consentimento (alínea a do RGPD; artigo 7.º, I da LGPD), revogável a qualquer momento.
Operadores e destinatários
Stripe Payments Europe e empresas do grupo Stripe: processamento de pagamentos e emissão de faturas. Recebem seu nome, e-mail e dados da transação. Amazon Web Services: hospedagem do aplicativo, banco de dados e armazenamento dos arquivos, em região da União Europeia. Recebe todos os dados na qualidade de operador. Resend: envio dos e-mails transacionais (confirmação de e-mail, aprovação de acesso, redefinição de senha, avisos de cobrança). Recebe seu endereço de e-mail e o conteúdo da mensagem. OpenRouter: geração e tratamento de imagem e vídeo, e encaminhamento das mensagens do eFlow Assistant para os modelos de linguagem. Recebe as fotos que você envia, as instruções que escreve e o texto da conversa, e os encaminha aos modelos que produzem o resultado. Leia esta parte com atenção: suas fotos saem da nossa infraestrutura e são transmitidas a esse fornecedor para produzir o resultado que você pediu. Google: se você escolher entrar com o Google, e — apenas com seu consentimento para cookies opcionais — o Google Analytics 4, que recebe as páginas que você vê, o endereço IP truncado e dados do dispositivo e do navegador. Sem esse consentimento não é carregado. PostHog: análise de uso do produto, hospedado nos Estados Unidos, e apenas com seu consentimento para cookies opcionais. Recebe as páginas que você vê e as ações que realiza (criar projeto, pedir um plano, iniciar um pagamento), seu identificador interno de usuário e o da sua conta de cobrança, o plano e dados do dispositivo e do navegador. Nunca recebe seu nome, seu e-mail, seus briefings nem suas fotos. Todos atuam como operadores, na aceção da LGPD, e como subcontratantes na aceção do RGPD, sob contratos de tratamento de dados. Não vendemos nem compartilhamos dados pessoais para publicidade, e não usamos seu conteúdo para treinar modelos próprios.
Transferências internacionais
A empresa responsável tem sede no Brasil. Os dados de clientes na União Europeia são, por isso, transferidos para fora do Espaço Econômico Europeu. O Brasil não é objeto de decisão de adequação da Comissão Europeia. Essa transferência se apoia nas cláusulas contratuais-padrão aprovadas pela Decisão de Execução (UE) 2021/914, acompanhadas de uma avaliação de impacto da transferência e das medidas técnicas descritas na seção de segurança. A hospedagem principal e o armazenamento dos arquivos ficam em região da União Europeia da Amazon Web Services. Alguns fornecedores tratam dados fora da União Europeia e do Brasil, com base em decisão de adequação ou nas mesmas cláusulas contratuais-padrão. Do lado brasileiro, as transferências internacionais seguem os artigos 33 a 36 da LGPD e as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD n.º 19/2024.
Prazos de conservação
Conta e conteúdos: enquanto a conta existir. Você pode pedir a exclusão dentro do aplicativo. Após o pedido existe um período de tolerância de 7 dias, findo o qual o conteúdo é apagado e a conta anonimizada. Registros de faturamento e pagamento: 5 anos, pelos prazos de decadência e prescrição do Código Tributário Nacional. Os registros das vendas declaradas no regime de balcão único da União Europeia são conservados 10 anos, por exigência do artigo 63.º-C do Regulamento de Execução (UE) n.º 282/2011. Registros técnicos de segurança e de acesso: até 12 meses. Os registros de aplicação exigidos pelo artigo 15 do Marco Civil da Internet são conservados 6 meses. Findos os prazos, os dados são eliminados ou anonimizados de forma irreversível.
Seus direitos
Pela LGPD você tem direito à confirmação da existência de tratamento, ao acesso, à correção, à anonimização, ao bloqueio ou à eliminação de dados desnecessários, à portabilidade, à informação sobre com quem compartilhamos os dados, à revisão de decisões automatizadas e à informação sobre a possibilidade de não consentir (artigo 18). Pelo RGPD você tem ainda direito à limitação do tratamento e à oposição, e a retirar o consentimento a qualquer momento sem afetar a licitude do tratamento anterior (artigos 15 a 22). Você exerce qualquer um deles por e-mail para [PRIVACY EMAIL]. Respondemos aos pedidos da LGPD em 15 dias e aos do RGPD no prazo de um mês, prorrogável por dois meses em casos complexos. Você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) no Brasil, à Comissão Nacional de Proteção de Dados (CNPD) em Portugal ou à autoridade de controle do seu Estado-Membro.
Segurança
A sessão é mantida por um cookie HttpOnly, o tráfego é servido por HTTPS e as senhas são guardadas com funções de derivação de chave. Os arquivos são servidos por links assinados de validade limitada. O endereço de e-mail é confirmado por um link com validade de 24 horas. O login a partir de uma rede que a conta nunca usou exige uma aprovação por e-mail, válida 30 minutos. Ambos os pedidos têm limite de frequência. Nenhum sistema é totalmente seguro. Em caso de incidente de segurança com risco relevante, comunicamos você e as autoridades competentes, a ANPD e a CNPD, nos prazos legais.
Inteligência artificial e decisões automatizadas
O conteúdo é gerado automaticamente por modelos de terceiros a partir do que você envia. Isso não constitui decisão automatizada com efeitos jurídicos ou impacto significativo sobre você na aceção do artigo 20 da LGPD nem do artigo 22 do RGPD. Não fazemos perfilamento para publicidade. Se algum dia introduzirmos tratamento automatizado com efeitos sobre você, avisamos e garantimos revisão humana.
Menores
O serviço se destina a profissionais e não é dirigido a menores de 18 anos. Não coletamos conscientemente dados de menores. Se você souber que um menor criou uma conta, escreva para [PRIVACY EMAIL] e apagamos os dados. Se você enviar fotos em que apareçam crianças ou adolescentes, aplica-se o artigo 14 da LGPD e o melhor interesse da criança: garanta que tem autorização para isso.
Alterações desta política
Podemos atualizar esta política. Alterações relevantes são comunicadas por e-mail ou dentro do aplicativo com pelo menos 30 dias de antecedência, e a data da última atualização no topo da página sempre muda. Se a alteração implicar um novo tratamento baseado no seu consentimento, pedimos esse consentimento antes de começar.
Contato e reclamações
Privacidade: [PRIVACY EMAIL]. Suporte geral: [SUPPORT EMAIL]. Endereço postal: [ADDRESS], Rio de Janeiro, Brasil. Representante na União Europeia: [EU REPRESENTATIVE].