Informações legais
Política de Privacidade do ArchGenerator
1. Responsável e alcance
Esta Política descreve como a operação brasileira do ArchGenerator trata dados pessoais de visitantes, Clientes, Usuários e outras pessoas cujas informações sejam recebidas na prestação do serviço.
A responsável é DESIGN STRATEGY TREINAMENTOS E CONSULTORIA LTDA., nome fantasia Design Strategy, CNPJ 57.215.461/0001-07, com sede na Rua Pais Leme, nº 215, Conjunto 1713, 17º andar, Pinheiros, São Paulo/SP, CEP 05424-150.
Aplicamos a Lei Geral de Proteção de Dados Pessoais (LGPD), o Marco Civil da Internet e as demais normas pertinentes. A escolha do idioma da interface não muda a entidade que trata os dados nem afasta a aplicação dessas normas. A operação internacional da DSTRATEGY LLC possui política própria e é independente da operação brasileira. Em relação à operação brasileira, a DSTRATEGY LLC atua exclusivamente como licenciante da tecnologia, sem prestar serviços operacionais ou receber ou acessar dados dos Clientes dessa operação.
2. Retenção zero de código
O código-fonte é acessado temporariamente em memória volátil, em ambiente isolado e descartável, somente durante a análise solicitada. Encerrado o processamento, inclusive por cancelamento ou falha, o ambiente é destruído e o código é imediatamente descartado.
Não armazenamos código em disco, banco de dados, armazenamento de objetos, backups, snapshots ou outro meio persistente. Não registramos conteúdo do código em logs, e os laudos não reproduzem trechos literais. A arquitetura é projetada sem caminho de persistência do código após a execução.
Não utilizamos código para treinar modelos de inteligência artificial ou aprendizado de máquina e não compartilhamos acesso ao código com terceiros, parceiros ou subprocessadores. A proibição de treinamento também abrange as demais informações recebidas do Cliente ou geradas a partir delas, nos termos da seção 7.
Os laudos, as métricas e os metadados estruturais disponibilizados ao Cliente permanecem na instância de banco de dados associada a ele, para consulta e utilização no serviço, conforme os critérios da seção 9. Não contêm código literal nem representações que permitam reconstruí-lo. A retenção dos resultados é distinta do processamento temporário do código.
3. Dados pessoais tratados
Conforme a interação e os recursos utilizados, tratamos as seguintes categorias:
| Categoria | Exemplos e finalidade principal |
|---|
| Cadastro e contato | Nome, e-mail, organização e informações de atendimento, para identificar Usuários e responder solicitações. |
| Conta e autorizações | Identificador, permissões, vínculo com a organização e histórico de serviços, para administrar acessos. |
| Contratação e cobrança | Identificação fiscal, plano, pedidos, pagamentos e comprovantes, para executar e documentar a contratação. Não armazenamos dados completos de cartões. |
| Integrações | URL de repositório, identificadores e credenciais da conexão autorizada, para executar o serviço solicitado. |
| Uso e segurança | IP, data e hora de acesso, eventos de autenticação e identificadores legalmente exigidos, para proteger a Plataforma e cumprir obrigações de registros. |
| Resultados da análise | Nomes de arquivos, contagens de linhas, métricas, grafos, achados e laudos, para apresentar e disponibilizar resultados, sem código literal. |
| Contexto do serviço | Informações descritivas sobre projetos, requisitos e problemas apresentados pelo Cliente, na medida necessária à análise e à elaboração de recomendações, inclusive com apoio de inteligência artificial. |
| Informações presentes nos materiais | Nomes, e-mails de autores ou outros dados pessoais eventualmente incluídos pelo Cliente, durante o processamento autorizado. |
O código não é necessariamente dado pessoal, mas pode conter informações sobre pessoas. O processamento temporário dessas informações continua sujeito à LGPD. Metadados e resultados também serão protegidos como dados pessoais quando permitirem identificar alguém.
4. Finalidades e fundamentos legais
Tratamos dados para prestar e administrar o serviço, elaborar análises, laudos e recomendações, inclusive com apoio de inteligência artificial, autenticar acessos, processar cobranças, responder solicitações, enviar comunicações operacionais, prevenir fraudes e cumprir obrigações legais.
| Operação | Fundamento e condições |
|---|
| Contratação com o próprio titular e providências por ele solicitadas | Execução de contrato ou procedimentos preliminares, quando atendidos os requisitos do art. 7º, V, da LGPD. |
| Administração de representantes e Usuários de empresas clientes | Legítimo interesse, quando necessário e proporcional, mediante avaliação de impacto sobre os direitos do titular. O contrato com a empresa não fundamenta automaticamente todo tratamento de seus empregados. |
| Segurança, autenticação e prevenção de abuso | Legítimo interesse, quando atendidos seus requisitos, e cumprimento de obrigações legais quando pertinente. |
| Documentação fiscal e registros obrigatórios | Cumprimento de obrigação legal ou regulatória, conforme a informação e a finalidade. |
| Defesa em processos | Exercício regular de direitos, restrito ao necessário para a controvérsia. |
| Atividades facultativas que dependam de consentimento | Consentimento específico, informado e revogável, sem condicionamento de funcionalidades independentes dessa atividade. |
Dados recebidos nos materiais de um Cliente são tratados conforme suas instruções lícitas e a base legal aplicável à operação. Dados sensíveis não serão tratados com fundamento apenas em legítimo interesse; quando admitidos e necessários, dependerão de hipótese legal própria e de condições adequadas.
5. Controladora e operadora
Atuamos como controladora quando determinamos finalidades e meios essenciais, como na administração de contas, faturamento, atendimento e segurança.
Quando processamos dados pessoais contidos nos materiais exclusivamente sob instruções do Cliente, atuamos como operadora ou suboperadora, conforme a relação contratual. Se o Cliente for controlador, deverá definir as finalidades, o fundamento legal e as instruções pertinentes. Se for operador, deverá transmitir as instruções lícitas e documentadas do controlador responsável. Permanecemos responsáveis pelas obrigações que a legislação atribui à nossa atuação.
Se recebermos solicitação relacionada a dados tratados sob instruções de um Cliente, auxiliaremos no encaminhamento ao controlador responsável e no atendimento cabível.
6. Métricas e melhoria do serviço
Podemos utilizar métricas agregadas e efetivamente anonimizadas para avaliar e melhorar a Plataforma. Elas não poderão identificar pessoas ou Clientes, revelar informações confidenciais ou conter conteúdo que permita reconstruir o código.
Não tentaremos reidentificar pessoas a partir dessas métricas. A retirada de um nome, isoladamente, não torna a informação anônima: se a identificação continuar razoavelmente possível, aplicaremos as regras de proteção de dados pessoais. A avaliação estatística e a melhoria do serviço não autorizam treinamento ou ajuste de modelos de IA com informações recebidas dos Clientes ou geradas a partir delas. Não utilizaremos dados identificáveis ou informações confidenciais para comparar Clientes.
7. Compartilhamento e prestadores
Não vendemos, alugamos ou comercializamos dados pessoais e não os compartilhamos para publicidade comportamental. Não submetemos Usuários a decisões exclusivamente automatizadas com efeitos jurídicos ou similarmente significativos.
Podemos compartilhar dados permitidos, limitados ao necessário, com prestadores de hospedagem e infraestrutura, autenticação, pagamentos, comunicação transacional e serviços de inteligência artificial. Esse compartilhamento não inclui acesso ao código-fonte.
Para executar as análises solicitadas, poderão ser enviados a modelos e provedores de inteligência artificial dados como contexto técnico, métricas, metadados e achados, limitados ao necessário. Não serão enviados código-fonte integral, trechos literais ou representações que permitam reconstruí-lo. Credenciais e outras informações desnecessárias ao processamento não deverão integrar o conteúdo enviado.
Esses dados não serão considerados automaticamente anônimos. Se contiverem informações sobre pessoas identificadas ou identificáveis, serão tratados conforme as finalidades, os fundamentos legais e as medidas de proteção desta Política. O envio destina-se exclusivamente à prestação do serviço solicitado. Não utilizaremos nem permitiremos que nossos prestadores utilizem informações recebidas dos Clientes ou geradas a partir delas, incluindo dados pessoais, contexto técnico, laudos, metadados e resultados intermediários, para treinamento, ajuste fino ou aperfeiçoamento de modelos de inteligência artificial ou aprendizado de máquina, nem para exploração independente dessas informações. A utilização de um modelo para produzir a análise solicitada não constitui autorização para treinamento. Os critérios da seção 9 regem a conservação de informações sem código.
A Design Strategy responde pela seleção dos prestadores que utiliza e pelo cumprimento das obrigações que lhe cabem na prestação do serviço. Os prestadores estarão sujeitos às restrições de finalidade, confidencialidade, segurança, proteção de dados e vedação de treinamento aplicáveis à atividade. Obrigações e funções serão definidas conforme o tratamento realizado; nem todo destinatário atua necessariamente como operador. A contratação de prestadores não afasta os direitos dos titulares nem as responsabilidades atribuídas por lei a cada agente.
Também poderemos fornecer informações quando exigido por lei ou determinação válida de autoridade, limitando a divulgação ao necessário.
As categorias de prestadores e os dados que poderão receber, conforme a atividade necessária à prestação do serviço, são:
| Serviço ou função | Dados compartilhados, limitados ao necessário e sem código-fonte |
|---|
| Hospedagem e infraestrutura | Dados de conta, laudos, metadados estruturais e registros técnicos permitidos. |
| Autenticação e controle de acesso | Identificadores de conta, e-mail e informações necessárias à autenticação e à segurança do acesso. |
| Processamento de pagamentos | Dados cadastrais e de faturamento, identificação fiscal, valores e situação das transações. |
| Comunicação transacional e atendimento | Nome, e-mail e conteúdo necessário às mensagens operacionais e ao atendimento solicitado. |
| Modelos e serviços de inteligência artificial | Contexto técnico, métricas, metadados e achados necessários à análise e à elaboração de recomendações, sem código-fonte ou representações que permitam reconstruí-lo. |
A DSTRATEGY LLC atua exclusivamente como licenciante da tecnologia utilizada pela empresa brasileira. Não presta serviços operacionais à operação brasileira nem recebe ou acessa dados pessoais, laudos ou código-fonte dos Clientes dessa operação. O licenciamento não lhe atribui a função de controladora, operadora ou suboperadora desses dados. A empresa brasileira permanece responsável pela prestação do serviço e pelo uso dos prestadores independentes descritos nesta seção, conforme suas atribuições e os limites desta Política.
Esta Política apresenta os prestadores por categorias e funções. O titular poderá obter, pelo canal [email protected], informações sobre as entidades com as quais seus dados pessoais tenham sido compartilhados, as respectivas finalidades e os países de tratamento. A proteção de segredos comerciais e de detalhes internos da arquitetura não será utilizada para impedir o exercício desses direitos. As informações cuja divulgação pública seja obrigatória serão disponibilizadas independentemente de solicitação, na forma da legislação aplicável.
8. Transferências internacionais
Não há transferência de dados dos Clientes da operação brasileira para a DSTRATEGY LLC. Entretanto, provedores independentes de inteligência artificial poderão processar ou acessar, no exterior, os dados sem código descritos na seção 7. Quando essa disponibilização envolver dados pessoais e caracterizar transferência internacional, serão aplicadas as exigências da LGPD e da regulamentação da ANPD. A ausência de compartilhamento com a empresa americana não equivale à ausência de transferência para esses provedores.
Antes de realizar uma transferência sujeita à LGPD, a empresa deverá identificar os destinatários, os países de destino, os dados, as finalidades, a forma e a duração do tratamento e estabelecer um mecanismo jurídico válido para o fluxo. A transferência ficará limitada à prestação do serviço solicitado e não incluirá código-fonte. Os critérios de conservação da seção 9 também se aplicam aos dados transferidos.
Conforme o fluxo, o mecanismo poderá ser uma decisão de adequação da ANPD, cláusulas-padrão contratuais ou outra hipótese prevista na LGPD, desde que seus requisitos sejam efetivamente atendidos. O aceite desta Política, a localização de um servidor ou a simples menção a cláusulas-padrão não substituem a adoção válida do mecanismo necessário.
A identificação dos destinatários e países, as finalidades e as garantias efetivamente utilizadas deverão ser divulgadas na forma exigida pela regulamentação aplicável. O titular também poderá solicitar essas informações pelo canal de privacidade. Quando forem utilizadas cláusulas-padrão contratuais da ANPD, poderá solicitar cópia, observados o prazo aplicável de até 15 dias e a proteção de segredos comerciais.
9. Conservação, revogação e exclusão
Os conteúdos e resultados técnicos que conservamos para consulta e utilização pelo Cliente ficam na instância de banco de dados associada a ele. Incluem as informações que o Cliente visualiza e utiliza no serviço, como laudos, achados, métricas e metadados. O Cliente pode excluí-los pelos recursos disponibilizados na Plataforma. A exclusão definitiva desses dados nessa instância é concluída em até 24 horas corridas contadas da exclusão efetuada pelo Cliente. O encerramento da conta pelo Cliente inicia esse mesmo prazo para os conteúdos e resultados ainda existentes nessa instância. Durante esse intervalo, o conteúdo excluído não será reutilizado para novas análises ou finalidades.
O prazo de 24 horas refere-se ao conteúdo sem código da instância de banco de dados associada ao Cliente. Não altera o descarte imediato do código ao término ou à interrupção da execução. Registros administrativos, fiscais, de segurança e necessários ao exercício de direitos possuem os critérios específicos abaixo e não poderão ser usados para conservar indevidamente o conteúdo técnico excluído.
| Categoria | Prazo ou critério |
|---|
| Código-fonte e representações que permitam reconstruí-lo | Somente durante o processamento temporário autorizado, sem armazenamento persistente e com descarte imediato ao término ou à interrupção da execução. |
| Conteúdos e resultados disponíveis ao Cliente na instância de banco de dados associada a ele | Enquanto necessários à utilização do serviço e mantidos pelo Cliente. Eliminação definitiva nessa instância em até 24 horas corridas contadas da exclusão do conteúdo ou do encerramento da conta efetuado pelo Cliente. |
| Dados cadastrais e administrativos | Enquanto necessários à conta e por até seis meses após seu encerramento, limitados ao necessário para segurança, atendimento e comprovação de operações. Informações dispensáveis serão eliminadas antes. |
| Registros de acesso à aplicação | Seis meses, conforme o Marco Civil da Internet, ressalvadas hipóteses legais de preservação por prazo maior. |
| Dados fiscais e de pagamento | Pelos períodos exigidos pela legislação aplicável. |
| Dados necessários ao exercício de direitos | Pelo prazo pertinente à finalidade, restritos ao necessário. |
| Registros de incidentes com dados pessoais | Pelo prazo mínimo exigido pela regulamentação da ANPD, atualmente de cinco anos, sem inclusão de código. |
Contexto técnico, resumos e outros artefatos intermediários não recebem autorização autônoma de retenção por serem derivados de uma análise. Sua conservação pelo ArchGenerator deverá corresponder ao conteúdo ou resultado disponibilizado ao Cliente e à finalidade informada. A conservação de informações recebidas por prestadores deve observar a necessidade do serviço, as instruções aplicáveis, as restrições da seção 7 e as obrigações legais. A proibição de treinamento, por si só, não significa retenção zero nos sistemas dos prestadores. Informações sobre a forma e a duração do tratamento serão fornecidas na forma das seções 7, 8 e 12.
O Cliente poderá revogar diretamente as autorizações de integração, com efeito imediato sobre o acesso abrangido, impedindo novas leituras e novas análises nesse escopo. Processamentos em andamento que dependam da autorização revogada serão encerrados sem demora injustificada, com descarte imediato do código ao encerramento. Os meios de revogação serão informados na conexão. Credenciais persistentes serão desativadas quando revogadas; tokens temporários serão revogados ou expirarão conforme a modalidade. A revogação não implica exclusão dos laudos já concluídos nem cancelamento da assinatura. O Cliente poderá utilizar os meios próprios para também solicitar essas providências.
Pedidos de titulares relativos a dados pessoais serão atendidos nos prazos e condições legais, após as verificações proporcionais de identidade e legitimidade quando necessárias. O prazo operacional de exclusão pelo Cliente não reduz os direitos dos titulares. Quando a conservação for obrigatória ou necessária a uma finalidade legal específica, informaremos a justificativa quando permitido e restringiremos a utilização ao estritamente necessário. Isso não autoriza reter código-fonte.
Após a exclusão dos sistemas ativos, cópias residuais em backups seguem o ciclo programado de expiração ou substituição da cópia correspondente. O prazo de 24 horas indicado para a instância de banco de dados não representa, por si só, um prazo de expiração dessas cópias. Os backups permanecem com acesso restrito, destinados exclusivamente à recuperação de desastres e à integridade das operações de restauração. O conteúdo excluído não retornará ao uso normal; eventual restauração deverá reaplicar a exclusão antes da retomada do tratamento ordinário. O titular poderá obter informações sobre o ciclo aplicável aos seus dados pelo canal de privacidade. Nenhum backup conterá código-fonte.
As regras de exclusão dos ambientes administrados pelo ArchGenerator não apagam cópias que o próprio Cliente tenha exportado e mantenha de forma independente.
10. Medidas de segurança
Adotamos criptografia em trânsito com TLS 1.3 e, para dados armazenados, criptografia em repouso com AES-256; isolamento dos ambientes de processamento; controle de acesso baseado em função (RBAC); monitoramento contínuo de intrusão; e revisões periódicas de segurança.
O acesso interno é limitado às atribuições necessárias. Mantemos registros de eventos pertinentes à segurança e à comprovação das operações, incluindo acessos, autorizações, revogações e encerramento das execuções. Esses registros não incluem código-fonte, representações que permitam reconstruí-lo ou credenciais em texto aberto, e seguem os critérios de necessidade e conservação desta Política. As medidas de segurança não constituem promessa de inexistência de incidentes e não afastam as obrigações de proteção e resposta previstas em lei.
O Usuário deverá proteger suas credenciais e comunicar suspeitas de acesso indevido. Essa colaboração não transfere a ele as obrigações que cabem ao ArchGenerator.
11. Incidentes
Comunicaremos ao Cliente, sem demora injustificada e em até 24 horas corridas da ciência, incidentes de segurança que afetem seus dados ou informações confidenciais. Quando atuarmos como operadora ou suboperadora, informaremos o Cliente que nos transmitiu as instruções de tratamento e cooperaremos com o controlador responsável. A comunicação inicial utilizará as informações disponíveis e poderá ser complementada, sem aguardar a conclusão da investigação.
Quando atuarmos como controladora e um incidente puder acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados nos prazos legais. A regra geral é de três dias úteis contados da ciência de que o incidente afetou dados pessoais, ressalvados prazos específicos e o regime diferenciado quando todos os seus requisitos estiverem atendidos. O eventual prazo regulatório diferenciado não amplia o compromisso de aviso ao Cliente em até 24 horas.
As comunicações descreverão os fatos conhecidos, as categorias de dados afetados, os possíveis impactos, as medidas de contenção e os meios de contato cabíveis. Adotaremos as medidas necessárias para conter o incidente, mitigar seus efeitos e prevenir recorrências, com atualizações relevantes aos destinatários. Preservaremos registros necessários à apuração e ao cumprimento de obrigações legais, sem conservar código-fonte.
12. Direitos dos titulares
Nos termos da LGPD, o titular poderá solicitar confirmação de tratamento; acesso; correção; anonimização, bloqueio ou eliminação de dados excessivos, desnecessários ou tratados irregularmente; portabilidade conforme a regulamentação; eliminação de dados tratados com consentimento, ressalvadas as exceções legais; informação sobre compartilhamento; informação sobre a possibilidade de não consentir e suas consequências; revogação do consentimento; e oposição nas hipóteses legais.
Quando houver decisão tomada unicamente por tratamento automatizado que afete seus interesses, poderá solicitar sua revisão e as informações cabíveis. Também poderá apresentar petição à ANPD e aos órgãos de defesa do consumidor.
Envie pedidos para [email protected]. O exercício de direitos é gratuito e não exige criação de conta. Poderemos verificar a identidade e a representação de forma proporcional, para evitar acesso indevido.
A confirmação e o acesso serão fornecidos imediatamente em formato simplificado ou por declaração completa em até 15 dias, ressalvado regime legal específico. Os demais direitos seguirão os prazos e condições pertinentes. Informaremos os motivos de eventual impossibilidade de atendimento e as alternativas cabíveis.
13. Cookies
Usamos cookies para autenticação e conservação de preferências solicitadas pelo Usuário. Cookies de sessão duram a sessão do navegador; cookies de idioma e configurações podem permanecer por até 12 meses.
Não utilizamos cookies de rastreamento, publicidade ou análise de terceiros que identifiquem individualmente o Usuário. O bloqueio de cookies necessários poderá afetar a autenticação e outras funcionalidades. Preferências podem ser gerenciadas pelo navegador e pelos controles disponibilizados.
A adoção de novas finalidades dependerá das informações e dos mecanismos de escolha exigidos pela legislação, inclusive consentimento quando aplicável.
14. Menores de idade
A Plataforma não se destina a Usuários menores de 18 anos. Não solicitamos intencionalmente seus dados para abertura de contas. Se identificarmos coleta inadequada, interromperemos o tratamento e adotaremos as medidas cabíveis de eliminação, ressalvadas obrigações legais.
Dados de crianças ou adolescentes eventualmente presentes nos materiais de um Cliente deverão ser necessários e tratados conforme a legislação e seu melhor interesse, sob as instruções e responsabilidades pertinentes.
15. Contato de privacidade e atualizações
Responsável pela operação e pelo canal de privacidade: DESIGN STRATEGY TREINAMENTOS E CONSULTORIA LTDA., empresa de pequeno porte, identificada na seção 1.
Canal de privacidade e exercício de direitos: [email protected].
A Design Strategy recebe solicitações de titulares, presta esclarecimentos, encaminha providências e atende comunicações das autoridades por esse canal. O canal poderá ser utilizado independentemente de indicação de encarregado.
A aplicação das dispensas e dos procedimentos diferenciados previstos para agentes de tratamento de pequeno porte depende do cumprimento dos requisitos da regulamentação da ANPD. O enquadramento empresarial como EPP, isoladamente, não dispensa obrigações. Quando houver obrigação de indicar encarregado, sua identidade e seus contatos serão divulgados de forma pública e acessível; a identificação da empresa como responsável pelo canal não substitui essa indicação.
Alterações materiais serão comunicadas com pelo menos 15 dias de antecedência. Mudanças imediatamente exigidas por lei ou por risco de segurança serão informadas assim que possível, sem redução de direitos obrigatórios. Novas finalidades que dependam de consentimento exigirão manifestação específica. Uma atualização desta Política não autoriza retenção do código.
Política de Privacidade · br-2026-09-25-r3
ArchGenerator Privacy Policy
1. Scope and responsible company
DSTRATEGY LLC, located at 13809 Research Blvd. Suite 500 Room 575 Austin, TX 78750 - USA, operates ArchGenerator and is responsible for the personal information described in this Policy. “We” and “us” mean DSTRATEGY LLC.
This global notice covers the DSTRATEGY LLC offering outside Brazil. In relation to the Brazilian offering, DSTRATEGY LLC acts solely as a technology licensor. That licensing role does not include operational services or receipt of or access to Brazilian customers' data. The dedicated Brazilian Privacy Policy covers that offering and identifies its responsible entity. Language choice does not change the company identified in your order or remove protections under applicable law.
We determine the purposes of account administration, billing, and security. For personal information processed solely on a business customer's analysis instructions, we may act as its processor, depending on the activity and applicable law. This notice does not replace a required data-processing agreement.
Privacy questions and requests: [email protected].
2. Source code is processed without retention
Source code is processed exclusively in isolated, volatile memory within an ephemeral analysis environment. Code is never written to persistent disks, databases, object storage, persistent caches, backups, snapshots, system logs, support tickets, or other persistent repositories. When processing finishes, is canceled, or fails, the code is immediately discarded and the environment destroyed. There is no additional code-retention period following interruption.
Reports contain findings, paths, line references, dependencies, and metrics, never literal code snippets. Reports, structural metadata, and other retained information must not contain literal source code or representations that permit its reconstruction. Outputs can still contain confidential or personal information and are protected accordingly.
We never use your source code to train or improve AI or machine-learning models. We do not give third parties, partners, or subprocessors access to it. The training prohibition also covers all other information received from customers or generated from it, as described in Sections 2 and 5. Providers receive only the limited non-code information needed for their services.
For the requested analysis, we may submit limited non-code information to AI models and their providers, such as necessary technical context, structural metadata, and findings. Inputs must exclude literal code, representations that permit code reconstruction, access credentials, and unnecessary secrets. This processing is exclusively for the requested service. We will not use, or permit our providers to use, information received from customers or generated from it, including personal information, technical context, reports, metadata, and intermediate results, for training, fine-tuning, or improving AI or machine-learning models or for independent exploitation. Using a model to produce the requested analysis does not authorize training. Retention of non-code information follows Section 6.
Non-code information is not necessarily anonymous. Depending on its content, it may include personal or confidential information and must receive the applicable confidentiality, security, and data-protection safeguards, including an appropriate legal basis where required.
Temporary repository tokens expire or are revoked after authorized processing. An ongoing integration may require credentials to remain securely available only for its authorized duration and scope, as described in the connection settings or contracted service. These credentials are not retained code. You may directly revoke the authorization with immediate effect for the access concerned, as detailed in Section 6.
Reports, metrics, and structural metadata made available to a customer are kept in the database instance associated with that customer for consultation and use of the service, under Section 6's criteria. They do not contain literal code or representations that permit its reconstruction. Retaining results is distinct from temporary code processing and from retention of account details and administrative records.
3. Information, sources, and purposes
Sources are you, your account administrator, authorized repository integrations, payment providers, and Platform interactions. Collection is limited to the relevant purpose.
| Category | Examples and purpose |
|---|
| Account and organization | Name, email, organization, account settings, and authentication information used to create, authenticate, administer, and support the account. |
| Billing and purchases | Plan, transaction status, invoices, and billing details used for purchases, renewals, credits, and required records. Payment providers handle payment credentials; we do not store full payment-card details. |
| Analysis inputs | Repository content accessed temporarily to perform the requested analysis, under the zero-retention safeguards in Section 2. |
| Reports and structural metadata | Findings, file and line references, dependency information, and metrics used to deliver results and maintain your report history, without literal code. |
| Access and security records | IP address, timestamps, authentication events, and necessary technical events used to secure the service, investigate misuse, and maintain access records. Logs do not contain source code. |
| Communications and preferences | Support messages, service-notification details, language settings, and similar information used to respond and operate the service. Do not include code or credentials in support messages. |
We also use aggregated, effectively anonymized metrics for statistical assessment and improvement of the service. They must not identify an individual, customer, organization, or a customer's code; allow code reconstruction; or reveal confidential information or trade secrets. We will not attempt to reidentify individuals from these metrics. Replacing a name with an identifier alone does not make information anonymous: where identification remains reasonably possible, data-protection rules apply. Statistical assessment and service improvement do not authorize training or fine-tuning AI models with information received from customers or generated from it. We will not use identifiable data or confidential information to compare customers.
We do not sell or rent personal information, use it for targeted advertising, share it for cross-context behavioral advertising, or conduct profiling to make decisions producing legal or similarly significant effects concerning individuals.
4. Legal grounds where required
The following grounds concern processing for which we act as controller. When we act as a processor or subprocessor, we follow lawful, documented instructions. A customer that is the controller determines the relevant purposes and legal basis; a customer that is itself a processor must convey the responsible controller's authorized instructions.
Under the GDPR or UK GDPR, where applicable, account operation and requested services rely on a contract with the individual or requested precontractual steps. Required records may rely on legal obligations recognized by the applicable framework: EU or Member State law under the GDPR, and UK law under the UK GDPR.
Security, fraud prevention, and administration for business representatives may rely on legitimate interests, after considering individuals' rights and reasonable expectations. Consent is used where required and can be withdrawn without affecting previously lawful processing. Accepting the Terms is not consent for unrelated uses.
We do not request sensitive personal information for ordinary accounts. Avoid unnecessary personal information in submitted material. If present in code, the zero-retention rules apply, and additional legal requirements must be addressed before processing.
5. Limited disclosure of non-code information
We disclose non-code information only as needed for the purposes described here, including to service providers supporting the following functions:
| Function | Information involved |
|---|
| Platform hosting and storage | Account information, reports, and permitted non-code records. |
| Payment processing | Required billing and transaction information for payments to DSTRATEGY LLC. |
| Transactional email | Recipient name, email, and necessary service-message content. |
| AI model providers | Limited non-code technical context, structural metadata, and findings needed to perform the requested analysis, subject to Section 2's restrictions. This information may include personal or confidential information depending on its content. |
DSTRATEGY LLC is responsible for selecting the providers it uses and fulfilling its own obligations in providing the service. Providers are subject to the purpose limitations, confidentiality, security, data-protection, and training prohibitions applicable to their activities. Their obligations and roles depend on the processing performed; not every recipient necessarily acts as a processor. Engaging providers does not remove individuals' rights or each party's responsibilities under applicable law. No provider receives code access. We identify additional relevant provider categories if actual processing changes.
This Policy describes providers by category and function. You may obtain information about the entities with which your personal information has been shared, their purposes, and the countries of processing at [email protected]. Protection of trade secrets or internal architecture details will not be used to prevent the exercise of those rights. Information that must be disclosed publicly or directly under applicable law will be provided as required, independently of a request.
We may disclose necessary non-code records to comply with a binding legal obligation or protect rights through a legally permitted process. Such disclosure is limited to what is required or justified. This provision does not establish a right to retain source code.
6. Retention, revocation, and deletion
Technical content and results retained for the customer's consultation and use are kept in the database instance associated with that customer. They include information the customer views and uses in the service, such as reports, findings, metrics, and metadata. The customer may delete them using the Platform's available controls. Permanent deletion of that data from the associated database instance is completed within 24 consecutive hours after the customer deletes it. Account closure by the customer starts the same period for content and results still present in that instance. During that interval, deleted content will not be reused for new analyses or purposes.
The 24-hour period concerns non-code content in the database instance associated with the customer. It does not change immediate code disposal when processing ends or is interrupted. Administrative, tax, security, and legally necessary records follow the specific criteria below and may not be used to improperly retain deleted technical content.
| Information | Retention rule |
|---|
| Source code and representations permitting its reconstruction | Only during authorized temporary processing, without persistent retention and with immediate disposal when processing ends or is interrupted. |
| Account information | While the account is active and for up to six months after deletion, only to the extent necessary for the remaining purpose. |
| Content and results available in the database instance associated with the customer | While necessary to use the service and retained by the customer. Permanent deletion from that instance within 24 consecutive hours after deletion of the content or account closure by the customer. |
| Access records | Six months as the service's access-record policy. A legal basis tied to Brazil's Internet Civil Rights Framework applies only where that law actually applies. |
| Payment, tax, and accounting records | For the period required by the laws applicable to the particular record. |
| Authorized integration credentials | Only for the duration and scope of the active integration; temporary tokens expire or are revoked at the end of their authorized use. |
| Backups containing permitted non-code information | After deletion from active systems, the information is removed during the next scheduled backup expiration or overwrite cycle. Temporary backup retention is limited to what is necessary for recovery and integrity. No backup contains code. |
Technical context, summaries, and other intermediate artifacts do not receive independent authorization for retention merely because they derive from an analysis. Their retention by ArchGenerator must correspond to the content or result made available to the customer and the disclosed purpose. Providers' retention of received information must comply with service necessity, applicable instructions, Section 5's restrictions, and legal obligations. The training prohibition does not by itself mean zero retention in providers' systems. Information about the manner and duration of processing will be provided under Sections 5, 8, and 9.
The customer may directly revoke integration authorizations, with immediate effect for the access concerned, preventing new reads and analyses within that scope. Ongoing processing depending on revoked authorization will end without unjustified delay, with immediate code disposal when it ends. The connection identifies the means of revocation. Persistent credentials will be disabled when revoked; temporary tokens will be revoked or expire according to the connection method. Revocation does not delete completed reports or cancel the subscription; the customer may use the separate controls to request those actions as well.
Individuals' requests concerning personal information will be handled under the applicable legal conditions and deadlines, following proportionate identity and authority checks where necessary. The operational deadline for customer-initiated deletion does not reduce individuals' rights. Where retention is mandatory or necessary for a specific legal purpose, we will explain the justification when permitted and restrict use to what is strictly necessary. Those records will be deleted when the requirement ends. This does not authorize retention of source code.
After deletion from active systems, residual backup copies follow the scheduled expiration or replacement cycle of the relevant copy. The 24-hour deadline for the customer-associated database instance does not itself set the expiration deadline for those copies. Backups remain access-restricted and dedicated exclusively to disaster recovery and the integrity of restoration operations. Deleted content will not return to ordinary use; any restoration must reapply deletions before ordinary processing resumes. Individuals may request information about the cycle applicable to their data through the privacy contact. No backup contains source code.
Deletion rules for environments administered by ArchGenerator do not erase copies that customers have exported and maintain independently.
Use the available controls or our privacy email for report deletion or account closure. Subscription cancellation stops renewal and does not automatically delete the account, results, or integrations. Customer deletion through Platform controls starts the operational period described above; other personal-information requests follow the applicable legal rules.
7. Security
We use TLS 1.3 for data in transit and AES-256 for retained data at rest, together with isolated analysis environments, role-based access controls, continuous intrusion monitoring, and periodic security reviews. Retained-data encryption applies to permitted non-code information; it does not imply that encrypted source code is stored. Access is limited according to assigned responsibilities. No technical measure eliminates every security risk.
We maintain event records relevant to security and evidence of operations, including access, authorizations, revocations, and the ending of processing runs. These records contain no source code, representations permitting its reconstruction, or plaintext credentials, and follow this Policy's necessity and retention criteria. Security measures do not remove our legal protection and response obligations.
8. International processing
Non-code information may be processed outside your country, under different privacy laws. We commit to establishing a valid legal mechanism before making any international transfer for which applicable law requires one.
For transfers subject to the GDPR, we must use a mechanism recognized by its international-transfer rules. For transfers subject to the UK GDPR, we must meet the corresponding UK requirements. Other regulated transfers must satisfy the requirements of the jurisdiction that governs them. Where required, we must assess the transfer and implement additional safeguards before it occurs.
The mechanism must be valid for the actual destination, recipient, information, and purpose. A provider's location or general security measures alone do not establish a lawful transfer mechanism.
You may request information about processing destinations, recipients, and the mechanisms that apply to your information, including access to the relevant safeguards where required by law, at [email protected]. We will also make any directly required or public disclosures in the manner prescribed by applicable law.
9. Requesting privacy rights
Email [email protected] to exercise applicable rights. No account creation is required. We may seek proportionate identity or authority verification, but never source code.
Legal conditions and exceptions may apply. We explain refusals and available appeals without unlawful discrimination. Requests involving your organization's controlled information may require its involvement.
9.1. Texas residents
Where the Texas Data Privacy and Security Act applies to our processing, a Texas resident acting in an individual or household capacity may confirm processing, access personal data, correct inaccuracies, delete covered personal data, and obtain a portable copy where required. The Act's definition of consumer excludes individuals acting in a commercial or employment context.
Covered consumers may opt out of sale, targeted advertising, and profiling for decisions producing legal or similarly significant effects. We do not conduct those activities. An authorized agent may submit an opt-out request through a legally recognized method, subject to the Act's authorization and verification rules.
We respond without undue delay and within 45 calendar days. When reasonably necessary, we may extend that period once by 45 additional calendar days, notifying you of the extension and its reason within the initial period. Requests are handled without charge to the extent the Act requires.
You may appeal a refusal by emailing our privacy address with the subject “Privacy appeal.” We provide a written decision and explanation within 60 days after receiving the appeal. If it is denied, you may submit a complaint to the Texas Attorney General.
9.2. European Economic Area and United Kingdom
Where the GDPR or UK GDPR applies, rights include access, rectification, erasure, restriction, portability, withdrawal of consent, objection including to legitimate-interest processing and direct marketing, and applicable protections concerning automated decisions. Legal conditions and exceptions apply. You may complain to the competent EEA supervisory authority or the UK Information Commissioner's Office.
We respond without undue delay and generally within one calendar month. Where permitted because of complexity or the number of requests, that period may be extended by two further months; we notify you and explain the reason within the initial month. Information about the applicable international-transfer safeguards can be requested at our privacy address.
Where applicable law requires a representative in the EEA or the UK, we must appoint that representative in writing and disclose their identity and contact details as required. We must fulfill those obligations before carrying out processing for which representation is required. Our privacy email does not replace a legally required local representative.
9.3. Other applicable jurisdictions
Other jurisdictions may provide additional or different rights, response periods, or complaint procedures. We apply the requirements that govern the particular processing and individual; listing Texas rights does not make that statute the sole privacy law. Where applicable California privacy law covers our processing, its rights to know, access, correct, delete, obtain portability, use an authorized agent, and exercise applicable sale, sharing, or sensitive-information choices remain available.
Where Brazil's LGPD applies, you may seek confirmation, access, correction, legally available portability, anonymization, blocking or deletion of unnecessary or unlawful data, and information about sharing and consent choices. You may withdraw consent, request deletion of consent-based data subject to legal exceptions, object to noncompliant processing, seek review of covered automated decisions, and petition the ANPD. Confirmation and access are provided immediately in simplified form or through a complete statement within 15 days of the request. That deadline does not automatically govern every other right.
10. Cookies
Session cookies maintain authentication and last for the browser session. Preference cookies retain language and settings for up to 12 months. We do not use advertising or tracking cookies or third-party analytics cookies that individually identify users. Where local law requires consent for a preference cookie, we obtain it before setting that cookie. Browser controls may limit cookies, although disabling necessary session cookies can prevent sign-in.
11. Minors and incidents
The Platform is not intended for people under 18. We do not knowingly collect their personal information. If identified, it will be promptly deleted; a parent or guardian may contact our privacy address.
We will notify the customer without unjustified delay and within 24 consecutive hours after becoming aware of security incidents affecting its data or confidential information, including information that is not personal data. When acting as a processor or subprocessor, we will notify the customer that provided processing instructions and cooperate with the responsible controller. The initial notice will use available information and may be supplemented without waiting for the investigation to conclude.
We investigate incidents, take containment measures, and provide legally required notices when acting as controller. In the United States, applicable state breach-notification rules determine duties and deadlines. Where Brazilian rules apply to a qualifying personal-data incident, the ANPD rule requires communication to the authority and affected individuals within three business days of the controller's knowledge that the incident affected personal data, subject to the rule's conditions and any specific statutory period. A jurisdiction's deadline does not replace another applicable requirement. Any different regulatory deadline does not extend the contractual commitment to notify the customer within 24 hours.
Notices will describe the known facts, affected data categories, possible impacts, containment measures, and appropriate contact channels. We will take necessary measures to contain the incident, mitigate its effects, and prevent recurrence, providing relevant updates to recipients. We will preserve records needed for investigation and legal compliance, without retaining source code.
12. Changes and contact
Material changes are communicated by email or a Platform notice at least 15 days before taking effect, subject to any longer legally required period. We obtain consent where a new use requires it. The publication date identifies the version made available; material changes follow the notice periods described above.
DSTRATEGY LLC 13809 Research Blvd. Suite 500 Room 575 Austin, TX 78750 - USA Privacy contact: [email protected].
DSTRATEGY LLC is responsible for the privacy channel. Through it, we receive individuals' requests, provide explanations, arrange appropriate action, and respond to communications from authorities. The channel may be used whether or not a data protection officer has been appointed. Where applicable law requires such an appointment, the officer's identity and contact details will be publicly and accessibly disclosed; identifying the company as responsible for this channel does not replace that appointment. Any legally required local representative remains subject to Section 9.2.
Privacy Policy · en-2026-09-25-r3
Política de Privacidad de ArchGenerator
1. Alcance y empresa responsable
DSTRATEGY LLC, con domicilio en 13809 Research Blvd. Suite 500 Room 575 Austin, TX 78750 - USA, opera ArchGenerator y es responsable de la información personal descrita en esta Política. «Nosotros» se refiere a DSTRATEGY LLC.
Este aviso global se aplica a la oferta de DSTRATEGY LLC fuera de Brasil. En relación con la oferta brasileña, DSTRATEGY LLC actúa exclusivamente como licenciante de tecnología. Ese papel de licenciante no comprende la prestación de servicios operativos ni la recepción o el acceso a datos de los clientes brasileños. La Política de Privacidad para Brasil se aplica a esa oferta e identifica a su entidad responsable. Elegir un idioma no cambia la empresa indicada en su pedido ni elimina las protecciones de la legislación aplicable.
Determinamos los fines de la administración de cuentas, la facturación y la seguridad. Respecto de la información personal tratada únicamente siguiendo las instrucciones de análisis de un cliente empresarial, podemos actuar como su encargado del tratamiento, según la actividad y la legislación aplicable. Este aviso no sustituye un acuerdo de tratamiento de datos cuando sea obligatorio.
Consultas y solicitudes de privacidad: [email protected].
2. El código fuente se procesa sin retención
El código fuente se procesa exclusivamente en memoria volátil y aislada, dentro de un entorno de análisis efímero. El código nunca se escribe en discos persistentes, bases de datos, almacenamiento de objetos, cachés persistentes, copias de seguridad, instantáneas, registros del sistema, solicitudes de soporte ni otros repositorios persistentes. Cuando el procesamiento finaliza, se cancela o falla, el código se descarta inmediatamente y se destruye el entorno. No existe un período adicional de retención de código tras una interrupción.
Los informes contienen hallazgos, rutas, referencias a líneas, dependencias y métricas, nunca fragmentos literales de código. Los informes, los metadatos estructurales y la demás información conservada no podrán contener código fuente literal ni representaciones que permitan reconstruirlo. Los resultados pueden seguir conteniendo información confidencial o personal y se protegen en consecuencia.
Nunca utilizamos su código fuente para entrenar ni mejorar modelos de inteligencia artificial o aprendizaje automático. No damos acceso a él a terceros, socios ni subencargados del tratamiento. La prohibición de entrenamiento también abarca toda la demás información recibida de los clientes o generada a partir de ella, conforme a las Secciones 2 y 5. Los proveedores reciben únicamente la información limitada que no es código y que necesitan para prestar sus servicios.
Para el análisis solicitado, podemos enviar información limitada que no sea código a modelos de IA y a sus proveedores, como el contexto técnico, los metadatos estructurales y los hallazgos necesarios. Los datos de entrada deben excluir el código literal, las representaciones que permitan reconstruirlo, las credenciales de acceso y los secretos innecesarios. Este tratamiento se destina exclusivamente al servicio solicitado. No utilizaremos ni permitiremos que nuestros prestadores utilicen información recibida de los clientes o generada a partir de ella, incluidos datos personales, contexto técnico, informes, metadatos y resultados intermedios, para entrenamiento, ajuste fino o mejora de modelos de inteligencia artificial o aprendizaje automático ni para explotación independiente. Utilizar un modelo para producir el análisis solicitado no autoriza el entrenamiento. La conservación de información que no es código sigue la Sección 6.
La información que no es código no es necesariamente anónima. Según su contenido, puede incluir información personal o confidencial y debe recibir las garantías de confidencialidad, seguridad y protección de datos aplicables, incluida una base jurídica adecuada cuando sea necesaria.
Los tokens temporales de acceso al repositorio caducan o se revocan después del procesamiento autorizado. Una integración continua puede requerir que las credenciales sigan disponibles de forma segura únicamente durante el período y dentro del alcance autorizados, según la configuración de la conexión o el servicio contratado. Esas credenciales no son código retenido. Puede revocar directamente la autorización con efecto inmediato sobre el acceso afectado, conforme a la Sección 6.
Los informes, las métricas y los metadatos estructurales puestos a disposición del cliente se conservan en la instancia de base de datos asociada al cliente para su consulta y utilización del servicio, conforme a los criterios de la Sección 6. No contienen código literal ni representaciones que permitan reconstruirlo. Conservar resultados es distinto del procesamiento temporal del código y de la conservación de datos de cuenta y registros administrativos.
3. Información, fuentes y finalidades
Las fuentes son usted, el administrador de su cuenta, las integraciones autorizadas con repositorios, los proveedores de pagos y las interacciones con la Plataforma. La recopilación se limita a la finalidad pertinente.
| Categoría | Ejemplos y finalidad |
|---|
| Cuenta y organización | Nombre, correo electrónico, organización, configuración de cuenta e información de autenticación utilizados para crear, autenticar y administrar la cuenta y prestar soporte. |
| Facturación y compras | Plan, estado de transacciones, facturas y datos de facturación utilizados para compras, renovaciones, créditos y registros obligatorios. Los proveedores de pagos gestionan las credenciales de pago; no almacenamos los datos completos de las tarjetas. |
| Datos de entrada del análisis | Contenido del repositorio al que se accede temporalmente para realizar el análisis solicitado, con las garantías de ausencia de retención de la Sección 2. |
| Informes y metadatos estructurales | Hallazgos, referencias a archivos y líneas, información de dependencias y métricas utilizados para entregar resultados y mantener su historial de informes, sin código literal. |
| Registros de acceso y seguridad | Dirección IP, marcas de tiempo, eventos de autenticación y eventos técnicos necesarios para proteger el servicio, investigar usos indebidos y mantener registros de acceso. Los registros no contienen código fuente. |
| Comunicaciones y preferencias | Mensajes de soporte, datos para notificaciones del servicio, configuración de idioma e información similar utilizada para responder y operar el servicio. No incluya código ni credenciales en mensajes de soporte. |
También utilizamos métricas agregadas y efectivamente anonimizadas para la evaluación estadística y la mejora del servicio. No deben identificar a una persona, cliente u organización, ni al código de un cliente; permitir reconstruir el código; ni revelar información confidencial o secretos empresariales. No intentaremos reidentificar personas a partir de estas métricas. Sustituir un nombre por un identificador no convierte por sí solo la información en anónima: si la identificación sigue siendo razonablemente posible, se aplican las reglas de protección de datos. La evaluación estadística y la mejora del servicio no autorizan el entrenamiento ni el ajuste fino de modelos de IA con información recibida de los clientes o generada a partir de ella. No utilizaremos datos identificables ni información confidencial para comparar clientes.
No vendemos ni alquilamos información personal, no la utilizamos para publicidad dirigida, no la compartimos para publicidad conductual entre distintos contextos ni elaboramos perfiles para tomar decisiones que produzcan efectos jurídicos o de importancia similar sobre las personas.
4. Bases jurídicas cuando sean necesarias
Las siguientes bases se refieren al tratamiento en el que actuamos como responsables. Cuando actuamos como encargados o subencargados del tratamiento, seguimos instrucciones lícitas y documentadas. Un cliente que sea responsable del tratamiento determina las finalidades y la base jurídica pertinentes; un cliente que actúe a su vez como encargado debe transmitir las instrucciones autorizadas del responsable del tratamiento.
Conforme al RGPD o al RGPD del Reino Unido, cuando sean aplicables, la gestión de la cuenta y los servicios solicitados se basan en un contrato con la persona o en medidas precontractuales solicitadas por ella. Los registros obligatorios pueden basarse en obligaciones legales reconocidas por el marco aplicable: el Derecho de la Unión Europea o de un Estado miembro en el caso del RGPD, y el Derecho del Reino Unido en el caso del RGPD del Reino Unido.
La seguridad, la prevención del fraude y la gestión de la relación con representantes de empresas pueden basarse en intereses legítimos, tras considerar los derechos y las expectativas razonables de las personas. Utilizamos el consentimiento cuando es necesario; puede retirarse sin afectar a la licitud del tratamiento realizado anteriormente. Aceptar los Términos no constituye consentimiento para usos ajenos a esos fines.
No solicitamos información personal sensible para las cuentas ordinarias. Evite incluir información personal innecesaria en el material enviado. Si aparece en el código, se aplican las reglas de ausencia de retención y deben atenderse los requisitos legales adicionales antes del procesamiento.
5. Comunicación limitada de información que no es código
Solo comunicamos información que no es código en la medida necesaria para las finalidades descritas aquí, incluidos los proveedores que prestan apoyo en las siguientes funciones:
| Función | Información implicada |
|---|
| Alojamiento y almacenamiento de la Plataforma | Información de cuenta, informes y registros permitidos que no contienen código. |
| Procesamiento de pagos | Información de facturación y transacciones necesaria para los pagos a DSTRATEGY LLC. |
| Correo electrónico transaccional | Nombre del destinatario, correo electrónico y contenido necesario de los mensajes del servicio. |
| Proveedores de modelos de IA | Contexto técnico, metadatos estructurales y hallazgos limitados que no sean código y que se necesiten para realizar el análisis solicitado, sujetos a las restricciones de la Sección 2. Esta información puede incluir información personal o confidencial según su contenido. |
DSTRATEGY LLC responde de la selección de los prestadores que utiliza y del cumplimiento de sus propias obligaciones al prestar el servicio. Los prestadores están sujetos a las restricciones de finalidad, confidencialidad, seguridad, protección de datos y prohibición de entrenamiento aplicables a su actividad. Sus obligaciones y funciones dependen del tratamiento realizado; no todo destinatario actúa necesariamente como encargado. Contratar prestadores no elimina los derechos de las personas ni las responsabilidades que la legislación aplicable atribuye a cada parte. Ningún proveedor recibe acceso al código. Identificaremos las categorías adicionales pertinentes si cambia el tratamiento real.
Esta Política presenta los prestadores por categorías y funciones. Puede obtener información sobre las entidades con las que se haya compartido su información personal, sus finalidades y los países de tratamiento a través de [email protected]. La protección de secretos empresariales o detalles internos de la arquitectura no se utilizará para impedir el ejercicio de esos derechos. La información cuya divulgación pública o directa exija la legislación aplicable se facilitará en la forma exigida, independientemente de una solicitud.
Podemos comunicar los registros necesarios que no contengan código para cumplir una obligación legal vinculante o proteger derechos mediante un procedimiento legalmente permitido. Esa comunicación se limita a lo exigido o justificado. Esta disposición no establece un derecho a conservar código fuente.
6. Conservación, revocación y eliminación
Los contenidos y resultados técnicos conservados para la consulta y utilización del cliente se encuentran en la instancia de base de datos asociada al cliente. Incluyen la información que este visualiza y utiliza en el servicio, como informes, hallazgos, métricas y metadatos. El cliente puede eliminarlos mediante los controles disponibles en la Plataforma. La eliminación definitiva de esos datos en la instancia asociada se completa en un máximo de 24 horas corridas desde que el cliente los elimina. El cierre de la cuenta por el cliente inicia el mismo plazo para los contenidos y resultados que aún existan en esa instancia. Durante ese intervalo, el contenido eliminado no se reutilizará para nuevos análisis ni finalidades.
El plazo de 24 horas se refiere al contenido sin código de la instancia de base de datos asociada al cliente. No modifica el descarte inmediato del código al terminar o interrumpirse el procesamiento. Los registros administrativos, fiscales, de seguridad y legalmente necesarios siguen los criterios específicos siguientes y no podrán utilizarse para conservar indebidamente contenido técnico eliminado.
| Información | Regla de conservación |
|---|
| Código fuente y representaciones que permitan reconstruirlo | Únicamente durante el procesamiento temporal autorizado, sin retención persistente y con descarte inmediato al terminar o interrumpirse el procesamiento. |
| Información de cuenta | Mientras la cuenta esté activa y durante un máximo de seis meses después de su eliminación, únicamente en la medida necesaria para la finalidad restante. |
| Contenidos y resultados disponibles en la instancia de base de datos asociada al cliente | Mientras sean necesarios para utilizar el servicio y los conserve el cliente. Eliminación definitiva en esa instancia en un máximo de 24 horas corridas desde la eliminación del contenido o el cierre de la cuenta efectuados por el cliente. |
| Registros de acceso | Seis meses conforme a la política de registros de acceso del servicio. Una base jurídica vinculada al Marco Civil de Internet de Brasil solo se aplica cuando esa ley resulte efectivamente aplicable. |
| Registros de pago, fiscales y contables | Durante el período exigido por las leyes aplicables al registro concreto. |
| Credenciales de integración autorizadas | Únicamente durante el período y dentro del alcance de la integración activa; los tokens temporales caducan o se revocan al finalizar su uso autorizado. |
| Copias de seguridad que contienen información permitida que no es código | Tras eliminarse de los sistemas activos, la información se elimina durante el siguiente ciclo programado de caducidad o sobrescritura de las copias de seguridad. La conservación temporal en estas copias se limita a lo necesario para la recuperación y la integridad. Ninguna copia de seguridad contiene código. |
El contexto técnico, los resúmenes y los demás artefactos intermedios no reciben una autorización independiente de conservación por derivarse de un análisis. Su conservación por ArchGenerator debe corresponder al contenido o resultado puesto a disposición del cliente y a la finalidad informada. La conservación de información recibida por prestadores debe respetar la necesidad del servicio, las instrucciones aplicables, las restricciones de la Sección 5 y las obligaciones legales. La prohibición de entrenamiento no significa por sí sola retención cero en los sistemas de los prestadores. La información sobre la forma y la duración del tratamiento se facilitará conforme a las Secciones 5, 8 y 9.
El cliente puede revocar directamente las autorizaciones de integración, con efecto inmediato sobre el acceso afectado, impidiendo nuevas lecturas y análisis dentro de ese alcance. Los procesamientos en curso que dependan de la autorización revocada finalizarán sin demora injustificada, con descarte inmediato del código al finalizar. La conexión informa de los medios de revocación. Las credenciales persistentes se desactivarán al revocarse; los tokens temporales se revocarán o caducarán según la modalidad de conexión. La revocación no elimina informes ya terminados ni cancela la suscripción; el cliente puede utilizar los medios independientes para solicitar también esas actuaciones.
Las solicitudes de las personas relativas a información personal se atenderán conforme a las condiciones y plazos legales aplicables, tras verificaciones proporcionales de identidad y legitimidad cuando sean necesarias. El plazo operativo de eliminación por el cliente no reduce los derechos de las personas. Cuando la conservación sea obligatoria o necesaria para una finalidad legal específica, explicaremos la justificación cuando esté permitido y restringiremos el uso a lo estrictamente necesario. Esos registros se eliminarán cuando termine la obligación. Esto no autoriza conservar código fuente.
Tras la eliminación de los sistemas activos, las copias residuales de seguridad siguen el ciclo programado de caducidad o sustitución de la copia correspondiente. El plazo de 24 horas para la instancia de base de datos asociada al cliente no fija por sí solo el plazo de caducidad de esas copias. Las copias de seguridad permanecen con acceso restringido, destinadas exclusivamente a la recuperación ante desastres y a la integridad de las operaciones de restauración. El contenido eliminado no volverá al uso ordinario; cualquier restauración deberá volver a aplicar las eliminaciones antes de reanudar el tratamiento ordinario. Las personas podrán obtener información sobre el ciclo aplicable a sus datos a través del canal de privacidad. Ninguna copia de seguridad contendrá código fuente.
Las reglas de eliminación de los entornos administrados por ArchGenerator no borran copias que los propios clientes hayan exportado y conserven de forma independiente.
Utilice los controles disponibles o nuestro correo de privacidad para eliminar informes o cerrar la cuenta. Cancelar la suscripción detiene la renovación y no elimina automáticamente la cuenta, los resultados ni las integraciones. La eliminación por el cliente mediante los controles de la Plataforma inicia el plazo operativo descrito anteriormente; las demás solicitudes sobre información personal siguen las reglas legales aplicables.
7. Seguridad
Utilizamos TLS 1.3 para los datos en tránsito y AES-256 para los datos conservados en reposo, junto con entornos de análisis aislados, controles de acceso basados en funciones, supervisión continua de intrusiones y revisiones periódicas de seguridad. El cifrado de datos conservados se aplica a la información permitida que no es código; no implica que se almacene código fuente cifrado. El acceso se limita conforme a las responsabilidades asignadas. Ninguna medida técnica elimina todos los riesgos de seguridad.
Mantenemos registros de eventos pertinentes para la seguridad y la acreditación de las operaciones, incluidos accesos, autorizaciones, revocaciones y finalización de las ejecuciones. Esos registros no contienen código fuente, representaciones que permitan reconstruirlo ni credenciales en texto abierto, y siguen los criterios de necesidad y conservación de esta Política. Las medidas de seguridad no eliminan nuestras obligaciones legales de protección y respuesta.
8. Tratamiento internacional
La información que no es código puede tratarse fuera de su país, bajo leyes de privacidad diferentes. Nos comprometemos a establecer un mecanismo jurídico válido antes de realizar cualquier transferencia internacional para la que la legislación aplicable lo exija.
Para las transferencias sujetas al RGPD, debemos utilizar un mecanismo reconocido por sus normas sobre transferencias internacionales. Para las transferencias sujetas al RGPD del Reino Unido, debemos cumplir los requisitos correspondientes del Reino Unido. Las demás transferencias reguladas deben cumplir los requisitos de la jurisdicción que las rija. Cuando sea obligatorio, debemos evaluar la transferencia e implantar garantías adicionales antes de realizarla.
El mecanismo debe ser válido para el destino, el destinatario, la información y la finalidad reales. La ubicación de un proveedor o sus medidas generales de seguridad, por sí solas, no establecen un mecanismo de transferencia lícito.
Puede solicitar información sobre los destinos del tratamiento, los destinatarios y los mecanismos aplicables a su información, incluido el acceso a las garantías pertinentes cuando lo exija la ley, a través de [email protected]. También facilitaremos cualquier información que deba comunicarse directamente o hacerse pública en la forma prescrita por la legislación aplicable.
9. Ejercicio de los derechos de privacidad
Escriba a [email protected] para ejercer los derechos aplicables. No es necesario crear una cuenta. Podemos solicitar una verificación proporcionada de su identidad o facultades de representación, pero nunca código fuente.
Pueden aplicarse condiciones y excepciones legales. Explicamos las denegaciones y los recursos disponibles, sin discriminación ilícita. Las solicitudes relativas a información bajo la responsabilidad de su organización pueden requerir su participación.
9.1. Residentes de Texas
Cuando la Texas Data Privacy and Security Act se aplique a nuestro tratamiento, una persona residente en Texas que actúe a título individual o doméstico puede confirmar el tratamiento, acceder a sus datos personales, corregir inexactitudes, eliminar los datos personales comprendidos por la ley y obtener una copia portátil cuando corresponda. La definición de consumidor de esa ley excluye a las personas que actúan en un contexto comercial o laboral.
Los consumidores amparados pueden oponerse a la venta de datos, la publicidad dirigida y la elaboración de perfiles para decisiones que produzcan efectos jurídicos o de importancia similar. No realizamos esas actividades. Un representante autorizado puede presentar una solicitud de exclusión mediante un método legalmente reconocido, sujeto a las reglas de autorización y verificación de esa ley.
Respondemos sin demora indebida y dentro de 45 días naturales. Cuando sea razonablemente necesario, podemos ampliar ese plazo una sola vez por otros 45 días naturales, informándole de la ampliación y sus motivos dentro del plazo inicial. Las solicitudes se atienden gratuitamente en la medida exigida por la ley.
Puede recurrir una denegación escribiendo a nuestro correo de privacidad con el asunto «Privacy appeal». Facilitamos una decisión por escrito y su explicación dentro de los 60 días siguientes a la recepción del recurso. Si se deniega, puede presentar una reclamación ante el Fiscal General de Texas.
9.2. Espacio Económico Europeo y Reino Unido
Cuando se apliquen el RGPD o el RGPD del Reino Unido, los derechos incluyen acceso, rectificación, supresión, limitación del tratamiento, portabilidad, retirada del consentimiento, oposición —incluido el tratamiento basado en intereses legítimos y la mercadotecnia directa— y las protecciones aplicables frente a decisiones automatizadas. Se aplican las condiciones y excepciones legales. Puede presentar una reclamación ante la autoridad de control competente del EEE o la Information Commissioner's Office del Reino Unido.
Respondemos sin demora indebida y, por regla general, dentro de un mes natural. Cuando esté permitido por la complejidad o el número de solicitudes, ese plazo puede ampliarse por otros dos meses; se lo notificamos y explicamos el motivo dentro del primer mes. Puede solicitar información sobre las garantías aplicables a las transferencias internacionales a través de nuestro correo de privacidad.
Cuando la legislación aplicable exija un representante en el EEE o en el Reino Unido, debemos designarlo por escrito y divulgar su identidad y sus datos de contacto según lo exigido. Debemos cumplir esas obligaciones antes de realizar tratamientos para los que sea obligatoria la representación. Nuestro correo de privacidad no sustituye a un representante local legalmente obligatorio.
9.3. Otras jurisdicciones aplicables
Otras jurisdicciones pueden reconocer derechos, plazos de respuesta o procedimientos de reclamación adicionales o diferentes. Aplicamos los requisitos que rijan para el tratamiento y la persona concretos; mencionar los derechos de Texas no convierte esa ley en la única norma de privacidad aplicable. Cuando la legislación de privacidad de California resulte aplicable a nuestro tratamiento, siguen disponibles sus derechos a saber, acceder, corregir, eliminar, obtener la portabilidad, actuar mediante un representante autorizado y ejercer las opciones aplicables sobre venta, comunicación o información sensible.
Cuando se aplique la LGPD de Brasil, puede solicitar confirmación, acceso, corrección, la portabilidad legalmente disponible, anonimización, bloqueo o eliminación de datos innecesarios o tratados ilícitamente, e información sobre comunicación de datos y opciones de consentimiento. Puede retirar el consentimiento, solicitar la eliminación de datos tratados con consentimiento, con las excepciones legales, oponerse al tratamiento contrario a la ley, solicitar la revisión de decisiones automatizadas comprendidas por la norma y presentar una petición ante la ANPD. La confirmación y el acceso se facilitan inmediatamente en formato simplificado o mediante una declaración completa dentro de los 15 días siguientes a la solicitud. Ese plazo no se aplica automáticamente a todos los demás derechos.
10. Cookies
Las cookies de sesión mantienen la autenticación y duran lo mismo que la sesión del navegador. Las cookies de preferencias conservan el idioma y la configuración durante un máximo de 12 meses. No utilizamos cookies publicitarias o de seguimiento ni cookies de análisis de terceros que identifiquen individualmente a los usuarios. Cuando la legislación local exige consentimiento para una cookie de preferencias, lo obtenemos antes de instalarla. Los controles del navegador pueden limitar las cookies, aunque desactivar las cookies de sesión necesarias puede impedir el inicio de sesión.
11. Menores e incidentes
La Plataforma no está destinada a menores de 18 años. No recopilamos deliberadamente su información personal. Si la identificamos, la eliminaremos sin demora; sus padres o tutores pueden ponerse en contacto con nuestro correo de privacidad.
Comunicaremos al cliente, sin demora injustificada y dentro de 24 horas corridas desde que tengamos conocimiento, los incidentes de seguridad que afecten a sus datos o información confidencial, incluida información que no sea personal. Cuando actuemos como encargados o subencargados del tratamiento, informaremos al cliente que haya transmitido las instrucciones de tratamiento y cooperaremos con el responsable correspondiente. La comunicación inicial utilizará la información disponible y podrá complementarse sin esperar a que concluya la investigación.
Investigamos los incidentes, adoptamos medidas de contención y realizamos las notificaciones legalmente exigidas cuando actuamos como responsables del tratamiento. En Estados Unidos, las normas estatales aplicables sobre notificación de brechas de seguridad determinan las obligaciones y los plazos. Cuando las normas brasileñas se apliquen a un incidente de datos personales sujeto a comunicación, la regla de la ANPD exige notificar a la autoridad y a las personas afectadas dentro de los tres días hábiles siguientes al conocimiento del responsable de que el incidente afectó a datos personales, con sujeción a las condiciones de esa regla y a cualquier plazo legal específico. El plazo de una jurisdicción no sustituye otra obligación aplicable. Un plazo regulatorio diferente no amplía el compromiso contractual de avisar al cliente dentro de 24 horas.
Las comunicaciones describirán los hechos conocidos, las categorías de datos afectadas, los posibles impactos, las medidas de contención y los canales de contacto pertinentes. Adoptaremos las medidas necesarias para contener el incidente, mitigar sus efectos y prevenir su repetición, facilitando actualizaciones relevantes a los destinatarios. Conservaremos los registros necesarios para la investigación y el cumplimiento legal, sin retener código fuente.
12. Cambios y contacto
Los cambios sustanciales se comunican por correo electrónico o mediante un aviso en la Plataforma al menos 15 días antes de su entrada en vigor, sujeto a cualquier plazo mayor exigido por la ley. Obtenemos el consentimiento cuando un nuevo uso lo requiere. La fecha de publicación identifica la versión puesta a disposición; los cambios sustanciales siguen los plazos de aviso descritos anteriormente.
DSTRATEGY LLC 13809 Research Blvd. Suite 500 Room 575 Austin, TX 78750 - USA Contacto de privacidad: [email protected].
DSTRATEGY LLC es responsable del canal de privacidad. Por ese canal recibimos solicitudes de las personas, facilitamos aclaraciones, tramitamos las actuaciones pertinentes y atendemos comunicaciones de las autoridades. El canal puede utilizarse con independencia de que se haya designado un delegado de protección de datos. Cuando la legislación aplicable exija esa designación, su identidad y sus datos de contacto se divulgarán de forma pública y accesible; identificar a la empresa como responsable del canal no sustituye esa designación. Cualquier representante local legalmente obligatorio sigue sujeto a la Sección 9.2.
Política de Privacidad · es-2026-09-25-r3