Política de Privacidade do ArchGenerator

1. Responsável e alcance

Esta Política descreve como a operação brasileira do ArchGenerator trata dados pessoais de visitantes, Clientes, Usuários e outras pessoas cujas informações sejam recebidas na prestação do serviço.

A responsável é DESIGN STRATEGY TREINAMENTOS E CONSULTORIA LTDA., nome fantasia Design Strategy, CNPJ 57.215.461/0001-07, com sede na Rua Pais Leme, nº 215, Conjunto 1713, 17º andar, Pinheiros, São Paulo/SP, CEP 05424-150.

Aplicamos a Lei Geral de Proteção de Dados Pessoais (LGPD), o Marco Civil da Internet e as demais normas pertinentes. A escolha do idioma da interface não muda a entidade que trata os dados nem afasta a aplicação dessas normas. A operação internacional da DSTRATEGY LLC possui política própria e é independente da operação brasileira. Em relação à operação brasileira, a DSTRATEGY LLC atua exclusivamente como licenciante da tecnologia, sem prestar serviços operacionais ou receber ou acessar dados dos Clientes dessa operação.

2. Retenção zero de código

O código-fonte é acessado temporariamente em memória volátil, em ambiente isolado e descartável, somente durante a análise solicitada. Encerrado o processamento, inclusive por cancelamento ou falha, o ambiente é destruído e o código é imediatamente descartado.

Não armazenamos código em disco, banco de dados, armazenamento de objetos, backups, snapshots ou outro meio persistente. Não registramos conteúdo do código em logs, e os laudos não reproduzem trechos literais. A arquitetura é projetada sem caminho de persistência do código após a execução.

Não utilizamos código para treinar modelos de inteligência artificial ou aprendizado de máquina e não compartilhamos acesso ao código com terceiros, parceiros ou subprocessadores. A proibição de treinamento também abrange as demais informações recebidas do Cliente ou geradas a partir delas, nos termos da seção 7.

Os laudos, as métricas e os metadados estruturais disponibilizados ao Cliente permanecem na instância de banco de dados associada a ele, para consulta e utilização no serviço, conforme os critérios da seção 9. Não contêm código literal nem representações que permitam reconstruí-lo. A retenção dos resultados é distinta do processamento temporário do código.

3. Dados pessoais tratados

Conforme a interação e os recursos utilizados, tratamos as seguintes categorias:

O código não é necessariamente dado pessoal, mas pode conter informações sobre pessoas. O processamento temporário dessas informações continua sujeito à LGPD. Metadados e resultados também serão protegidos como dados pessoais quando permitirem identificar alguém.

4. Finalidades e fundamentos legais

Tratamos dados para prestar e administrar o serviço, elaborar análises, laudos e recomendações, inclusive com apoio de inteligência artificial, autenticar acessos, processar cobranças, responder solicitações, enviar comunicações operacionais, prevenir fraudes e cumprir obrigações legais.

Dados recebidos nos materiais de um Cliente são tratados conforme suas instruções lícitas e a base legal aplicável à operação. Dados sensíveis não serão tratados com fundamento apenas em legítimo interesse; quando admitidos e necessários, dependerão de hipótese legal própria e de condições adequadas.

5. Controladora e operadora

Atuamos como controladora quando determinamos finalidades e meios essenciais, como na administração de contas, faturamento, atendimento e segurança.

Quando processamos dados pessoais contidos nos materiais exclusivamente sob instruções do Cliente, atuamos como operadora ou suboperadora, conforme a relação contratual. Se o Cliente for controlador, deverá definir as finalidades, o fundamento legal e as instruções pertinentes. Se for operador, deverá transmitir as instruções lícitas e documentadas do controlador responsável. Permanecemos responsáveis pelas obrigações que a legislação atribui à nossa atuação.

Se recebermos solicitação relacionada a dados tratados sob instruções de um Cliente, auxiliaremos no encaminhamento ao controlador responsável e no atendimento cabível.

6. Métricas e melhoria do serviço

Podemos utilizar métricas agregadas e efetivamente anonimizadas para avaliar e melhorar a Plataforma. Elas não poderão identificar pessoas ou Clientes, revelar informações confidenciais ou conter conteúdo que permita reconstruir o código.

Não tentaremos reidentificar pessoas a partir dessas métricas. A retirada de um nome, isoladamente, não torna a informação anônima: se a identificação continuar razoavelmente possível, aplicaremos as regras de proteção de dados pessoais. A avaliação estatística e a melhoria do serviço não autorizam treinamento ou ajuste de modelos de IA com informações recebidas dos Clientes ou geradas a partir delas. Não utilizaremos dados identificáveis ou informações confidenciais para comparar Clientes.

7. Compartilhamento e prestadores

Não vendemos, alugamos ou comercializamos dados pessoais e não os compartilhamos para publicidade comportamental. Não submetemos Usuários a decisões exclusivamente automatizadas com efeitos jurídicos ou similarmente significativos.

Podemos compartilhar dados permitidos, limitados ao necessário, com prestadores de hospedagem e infraestrutura, autenticação, pagamentos, comunicação transacional e serviços de inteligência artificial. Esse compartilhamento não inclui acesso ao código-fonte.

Para executar as análises solicitadas, poderão ser enviados a modelos e provedores de inteligência artificial dados como contexto técnico, métricas, metadados e achados, limitados ao necessário. Não serão enviados código-fonte integral, trechos literais ou representações que permitam reconstruí-lo. Credenciais e outras informações desnecessárias ao processamento não deverão integrar o conteúdo enviado.

Esses dados não serão considerados automaticamente anônimos. Se contiverem informações sobre pessoas identificadas ou identificáveis, serão tratados conforme as finalidades, os fundamentos legais e as medidas de proteção desta Política. O envio destina-se exclusivamente à prestação do serviço solicitado. Não utilizaremos nem permitiremos que nossos prestadores utilizem informações recebidas dos Clientes ou geradas a partir delas, incluindo dados pessoais, contexto técnico, laudos, metadados e resultados intermediários, para treinamento, ajuste fino ou aperfeiçoamento de modelos de inteligência artificial ou aprendizado de máquina, nem para exploração independente dessas informações. A utilização de um modelo para produzir a análise solicitada não constitui autorização para treinamento. Os critérios da seção 9 regem a conservação de informações sem código.

A Design Strategy responde pela seleção dos prestadores que utiliza e pelo cumprimento das obrigações que lhe cabem na prestação do serviço. Os prestadores estarão sujeitos às restrições de finalidade, confidencialidade, segurança, proteção de dados e vedação de treinamento aplicáveis à atividade. Obrigações e funções serão definidas conforme o tratamento realizado; nem todo destinatário atua necessariamente como operador. A contratação de prestadores não afasta os direitos dos titulares nem as responsabilidades atribuídas por lei a cada agente.

Também poderemos fornecer informações quando exigido por lei ou determinação válida de autoridade, limitando a divulgação ao necessário.

As categorias de prestadores e os dados que poderão receber, conforme a atividade necessária à prestação do serviço, são:

A DSTRATEGY LLC atua exclusivamente como licenciante da tecnologia utilizada pela empresa brasileira. Não presta serviços operacionais à operação brasileira nem recebe ou acessa dados pessoais, laudos ou código-fonte dos Clientes dessa operação. O licenciamento não lhe atribui a função de controladora, operadora ou suboperadora desses dados. A empresa brasileira permanece responsável pela prestação do serviço e pelo uso dos prestadores independentes descritos nesta seção, conforme suas atribuições e os limites desta Política.

Esta Política apresenta os prestadores por categorias e funções. O titular poderá obter, pelo canal [email protected], informações sobre as entidades com as quais seus dados pessoais tenham sido compartilhados, as respectivas finalidades e os países de tratamento. A proteção de segredos comerciais e de detalhes internos da arquitetura não será utilizada para impedir o exercício desses direitos. As informações cuja divulgação pública seja obrigatória serão disponibilizadas independentemente de solicitação, na forma da legislação aplicável.

8. Transferências internacionais

Não há transferência de dados dos Clientes da operação brasileira para a DSTRATEGY LLC. Entretanto, provedores independentes de inteligência artificial poderão processar ou acessar, no exterior, os dados sem código descritos na seção 7. Quando essa disponibilização envolver dados pessoais e caracterizar transferência internacional, serão aplicadas as exigências da LGPD e da regulamentação da ANPD. A ausência de compartilhamento com a empresa americana não equivale à ausência de transferência para esses provedores.

Antes de realizar uma transferência sujeita à LGPD, a empresa deverá identificar os destinatários, os países de destino, os dados, as finalidades, a forma e a duração do tratamento e estabelecer um mecanismo jurídico válido para o fluxo. A transferência ficará limitada à prestação do serviço solicitado e não incluirá código-fonte. Os critérios de conservação da seção 9 também se aplicam aos dados transferidos.

Conforme o fluxo, o mecanismo poderá ser uma decisão de adequação da ANPD, cláusulas-padrão contratuais ou outra hipótese prevista na LGPD, desde que seus requisitos sejam efetivamente atendidos. O aceite desta Política, a localização de um servidor ou a simples menção a cláusulas-padrão não substituem a adoção válida do mecanismo necessário.

A identificação dos destinatários e países, as finalidades e as garantias efetivamente utilizadas deverão ser divulgadas na forma exigida pela regulamentação aplicável. O titular também poderá solicitar essas informações pelo canal de privacidade. Quando forem utilizadas cláusulas-padrão contratuais da ANPD, poderá solicitar cópia, observados o prazo aplicável de até 15 dias e a proteção de segredos comerciais.

9. Conservação, revogação e exclusão

Os conteúdos e resultados técnicos que conservamos para consulta e utilização pelo Cliente ficam na instância de banco de dados associada a ele. Incluem as informações que o Cliente visualiza e utiliza no serviço, como laudos, achados, métricas e metadados. O Cliente pode excluí-los pelos recursos disponibilizados na Plataforma. A exclusão definitiva desses dados nessa instância é concluída em até 24 horas corridas contadas da exclusão efetuada pelo Cliente. O encerramento da conta pelo Cliente inicia esse mesmo prazo para os conteúdos e resultados ainda existentes nessa instância. Durante esse intervalo, o conteúdo excluído não será reutilizado para novas análises ou finalidades.

O prazo de 24 horas refere-se ao conteúdo sem código da instância de banco de dados associada ao Cliente. Não altera o descarte imediato do código ao término ou à interrupção da execução. Registros administrativos, fiscais, de segurança e necessários ao exercício de direitos possuem os critérios específicos abaixo e não poderão ser usados para conservar indevidamente o conteúdo técnico excluído.

Contexto técnico, resumos e outros artefatos intermediários não recebem autorização autônoma de retenção por serem derivados de uma análise. Sua conservação pelo ArchGenerator deverá corresponder ao conteúdo ou resultado disponibilizado ao Cliente e à finalidade informada. A conservação de informações recebidas por prestadores deve observar a necessidade do serviço, as instruções aplicáveis, as restrições da seção 7 e as obrigações legais. A proibição de treinamento, por si só, não significa retenção zero nos sistemas dos prestadores. Informações sobre a forma e a duração do tratamento serão fornecidas na forma das seções 7, 8 e 12.

O Cliente poderá revogar diretamente as autorizações de integração, com efeito imediato sobre o acesso abrangido, impedindo novas leituras e novas análises nesse escopo. Processamentos em andamento que dependam da autorização revogada serão encerrados sem demora injustificada, com descarte imediato do código ao encerramento. Os meios de revogação serão informados na conexão. Credenciais persistentes serão desativadas quando revogadas; tokens temporários serão revogados ou expirarão conforme a modalidade. A revogação não implica exclusão dos laudos já concluídos nem cancelamento da assinatura. O Cliente poderá utilizar os meios próprios para também solicitar essas providências.

Pedidos de titulares relativos a dados pessoais serão atendidos nos prazos e condições legais, após as verificações proporcionais de identidade e legitimidade quando necessárias. O prazo operacional de exclusão pelo Cliente não reduz os direitos dos titulares. Quando a conservação for obrigatória ou necessária a uma finalidade legal específica, informaremos a justificativa quando permitido e restringiremos a utilização ao estritamente necessário. Isso não autoriza reter código-fonte.

Após a exclusão dos sistemas ativos, cópias residuais em backups seguem o ciclo programado de expiração ou substituição da cópia correspondente. O prazo de 24 horas indicado para a instância de banco de dados não representa, por si só, um prazo de expiração dessas cópias. Os backups permanecem com acesso restrito, destinados exclusivamente à recuperação de desastres e à integridade das operações de restauração. O conteúdo excluído não retornará ao uso normal; eventual restauração deverá reaplicar a exclusão antes da retomada do tratamento ordinário. O titular poderá obter informações sobre o ciclo aplicável aos seus dados pelo canal de privacidade. Nenhum backup conterá código-fonte.

As regras de exclusão dos ambientes administrados pelo ArchGenerator não apagam cópias que o próprio Cliente tenha exportado e mantenha de forma independente.

10. Medidas de segurança

Adotamos criptografia em trânsito com TLS 1.3 e, para dados armazenados, criptografia em repouso com AES-256; isolamento dos ambientes de processamento; controle de acesso baseado em função (RBAC); monitoramento contínuo de intrusão; e revisões periódicas de segurança.

O acesso interno é limitado às atribuições necessárias. Mantemos registros de eventos pertinentes à segurança e à comprovação das operações, incluindo acessos, autorizações, revogações e encerramento das execuções. Esses registros não incluem código-fonte, representações que permitam reconstruí-lo ou credenciais em texto aberto, e seguem os critérios de necessidade e conservação desta Política. As medidas de segurança não constituem promessa de inexistência de incidentes e não afastam as obrigações de proteção e resposta previstas em lei.

O Usuário deverá proteger suas credenciais e comunicar suspeitas de acesso indevido. Essa colaboração não transfere a ele as obrigações que cabem ao ArchGenerator.

11. Incidentes

Comunicaremos ao Cliente, sem demora injustificada e em até 24 horas corridas da ciência, incidentes de segurança que afetem seus dados ou informações confidenciais. Quando atuarmos como operadora ou suboperadora, informaremos o Cliente que nos transmitiu as instruções de tratamento e cooperaremos com o controlador responsável. A comunicação inicial utilizará as informações disponíveis e poderá ser complementada, sem aguardar a conclusão da investigação.

Quando atuarmos como controladora e um incidente puder acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados nos prazos legais. A regra geral é de três dias úteis contados da ciência de que o incidente afetou dados pessoais, ressalvados prazos específicos e o regime diferenciado quando todos os seus requisitos estiverem atendidos. O eventual prazo regulatório diferenciado não amplia o compromisso de aviso ao Cliente em até 24 horas.

As comunicações descreverão os fatos conhecidos, as categorias de dados afetados, os possíveis impactos, as medidas de contenção e os meios de contato cabíveis. Adotaremos as medidas necessárias para conter o incidente, mitigar seus efeitos e prevenir recorrências, com atualizações relevantes aos destinatários. Preservaremos registros necessários à apuração e ao cumprimento de obrigações legais, sem conservar código-fonte.

12. Direitos dos titulares

Nos termos da LGPD, o titular poderá solicitar confirmação de tratamento; acesso; correção; anonimização, bloqueio ou eliminação de dados excessivos, desnecessários ou tratados irregularmente; portabilidade conforme a regulamentação; eliminação de dados tratados com consentimento, ressalvadas as exceções legais; informação sobre compartilhamento; informação sobre a possibilidade de não consentir e suas consequências; revogação do consentimento; e oposição nas hipóteses legais.

Quando houver decisão tomada unicamente por tratamento automatizado que afete seus interesses, poderá solicitar sua revisão e as informações cabíveis. Também poderá apresentar petição à ANPD e aos órgãos de defesa do consumidor.

Envie pedidos para [email protected]. O exercício de direitos é gratuito e não exige criação de conta. Poderemos verificar a identidade e a representação de forma proporcional, para evitar acesso indevido.

A confirmação e o acesso serão fornecidos imediatamente em formato simplificado ou por declaração completa em até 15 dias, ressalvado regime legal específico. Os demais direitos seguirão os prazos e condições pertinentes. Informaremos os motivos de eventual impossibilidade de atendimento e as alternativas cabíveis.

13. Cookies

Usamos cookies para autenticação e conservação de preferências solicitadas pelo Usuário. Cookies de sessão duram a sessão do navegador; cookies de idioma e configurações podem permanecer por até 12 meses.

Não utilizamos cookies de rastreamento, publicidade ou análise de terceiros que identifiquem individualmente o Usuário. O bloqueio de cookies necessários poderá afetar a autenticação e outras funcionalidades. Preferências podem ser gerenciadas pelo navegador e pelos controles disponibilizados.

A adoção de novas finalidades dependerá das informações e dos mecanismos de escolha exigidos pela legislação, inclusive consentimento quando aplicável.

14. Menores de idade

A Plataforma não se destina a Usuários menores de 18 anos. Não solicitamos intencionalmente seus dados para abertura de contas. Se identificarmos coleta inadequada, interromperemos o tratamento e adotaremos as medidas cabíveis de eliminação, ressalvadas obrigações legais.

Dados de crianças ou adolescentes eventualmente presentes nos materiais de um Cliente deverão ser necessários e tratados conforme a legislação e seu melhor interesse, sob as instruções e responsabilidades pertinentes.

15. Contato de privacidade e atualizações

Responsável pela operação e pelo canal de privacidade: DESIGN STRATEGY TREINAMENTOS E CONSULTORIA LTDA., empresa de pequeno porte, identificada na seção 1.

Canal de privacidade e exercício de direitos: [email protected].

A Design Strategy recebe solicitações de titulares, presta esclarecimentos, encaminha providências e atende comunicações das autoridades por esse canal. O canal poderá ser utilizado independentemente de indicação de encarregado.

A aplicação das dispensas e dos procedimentos diferenciados previstos para agentes de tratamento de pequeno porte depende do cumprimento dos requisitos da regulamentação da ANPD. O enquadramento empresarial como EPP, isoladamente, não dispensa obrigações. Quando houver obrigação de indicar encarregado, sua identidade e seus contatos serão divulgados de forma pública e acessível; a identificação da empresa como responsável pelo canal não substitui essa indicação.

Alterações materiais serão comunicadas com pelo menos 15 dias de antecedência. Mudanças imediatamente exigidas por lei ou por risco de segurança serão informadas assim que possível, sem redução de direitos obrigatórios. Novas finalidades que dependam de consentimento exigirão manifestação específica. Uma atualização desta Política não autoriza retenção do código.