Segurança e Privacidade

Onde seus dados ficam

Todo o processamento e armazenamento principal acontece no Microsoft Azure, na região Sweden Central, dentro do Espaço Econômico Europeu. Nosso banco de dados, armazenamento de blobs, telemetria de aplicação e computação (Azure App Services + AKS) ficam todos no EEE.

Criptografia

Em repouso: AES-256 (chaves gerenciadas pelo Azure) no banco de dados e em todo o armazenamento de blobs.

Em trânsito: TLS 1.2 ou superior em todas as conexões — APIs, WebSockets, downloads de blobs e chamadas entre serviços.

Treinamento de IA

Não treinamos modelos de IA com os seus dados. Os grandes modelos de linguagem, os modelos de fala e os modelos de visão computacional por trás do serviço são operados pela Microsoft Azure (Azure OpenAI, Speech, Cognitive Search, Vision) e pelo Google Cloud (Vertex AI / Gemini, Cloud Speech) em seus planos empresariais, que proíbem contratualmente o treinamento com conteúdo de clientes.

O que enviamos aos provedores de IA

Enviado para processamento: o texto da conversa, os prompts de sistema, os documentos de conhecimento que o dono da persona escolheu disponibilizar para consulta e o áudio de voz (para o provedor de conversão de fala em texto, para transcrição).

Nunca enviado: endereços de e-mail, senhas, informações de pagamento, endereços IP ou identificadores anônimos de usuários.

O que não guardamos

Áudio de voz. Transmitido ao provedor de conversão de fala em texto, transcrito e descartado. Não guardamos gravações de áudio brutas.

Imagens da câmera. Processadas em tempo real pelo provedor de visão computacional e descartadas. A câmera só é ativada depois que o visitante concede permissão explícita no sistema operacional.

Suboperadores

Compartilhamos dados apenas com os provedores abaixo, que os tratam em nosso nome de acordo com suas próprias práticas de privacidade e acordos de tratamento de dados:

• IA e modelos de linguagem — Microsoft Azure (Azure OpenAI, Speech, Cognitive Search, Vision) em Sweden Central (EEE); Google Cloud (Vertex AI / Gemini, Cloud Speech) na Holanda (EEE)
• Busca na web e reordenação — Brave Search e Cohere (Estados Unidos)
• Imagens de banco — Freepik (União Europeia)
• Geração de imagens — OpenAI DALL-E (Estados Unidos)
• Autenticação — Google OAuth (para "Fazer login com o Google")
• Cobrança — Flitt, um produto de pagamento do TBC Bank (Geórgia)
• Infraestrutura — Microsoft Azure (Sweden Central, EEE)

Para provedores sediados nos EUA, usamos Cláusulas Contratuais Padrão ou salvaguardas de transferência equivalentes, conforme exigido pelo GDPR.

Seus direitos (GDPR)

Você pode acessar, corrigir, exportar, excluir, restringir ou se opor ao tratamento dos seus dados pessoais. Para exercer qualquer direito, envie um e-mail para privacy@personaizer.com a partir do endereço cadastrado. O prazo padrão de resposta é de 30 dias.

Para excluir a conta especificamente, veja a página Excluir conta com o procedimento completo.

Por quanto tempo guardamos os dados

Informações da conta: enquanto a conta estiver ativa. Transcrições de conversas: pelo período necessário para operar e melhorar o serviço. Registros de consentimento de usuários finais: 30 dias. Tokens de atualização de autenticação: 14 dias. Telemetria operacional: 90 dias, com endereços IP mascarados.

Cookies e rastreamento

Usamos um único cookie HTTP-only que armazena um identificador anônimo para os usuários finais de personas de IA públicas, usado para limitar a taxa de uso e prevenir abusos. Ele expira após aproximadamente 30 dias. Não usamos cookies para publicidade, rastreamento comportamental ou criação de perfis entre sites, e não vendemos seus dados.

Incidentes de segurança

Se dados pessoais forem afetados por um incidente de segurança, nos comprometemos a notificar a autoridade de supervisão competente em até 72 horas e, quando o incidente representar um risco elevado para os titulares dos dados, a notificar os usuários afetados sem demora injustificada, de acordo com o Artigo 33 do GDPR.

Dados biométricos e menores

Não armazenamos impressões de voz, modelos faciais nem outros identificadores biométricos. Os dados de voz e de câmera são transitórios, como descrito acima.

O serviço não se destina a crianças menores de 13 anos (ou da idade mínima mais alta exigida na sua jurisdição). Não coletamos intencionalmente informações pessoais de menores.

Empresas e due diligence

Para clientes empresariais, assinamos acordos de tratamento de dados (DPAs) mediante solicitação — fale com legal@personaizer.com.

Também respondemos com prazer aos questionários de segurança e privacidade da sua equipe de compras — no mesmo endereço.

Contato

Dúvidas sobre privacidade: privacy@personaizer.com
Jurídico / DPA / contratos: legal@personaizer.com