Política de privacidade

1. Dados que coletamos

• Dados da conta — nome, e-mail e detalhes de perfil, tratados por meio do nosso provedor de autenticação (Clerk). Armazenamos um id interno de usuário, as associações a espaços de trabalho e os papéis.
• Dados do espaço de trabalho e conteúdo — os prompts, arquivos, imagens, áudio, vídeo, transcrições, conversas e canvas que você envia ou gera, além dos respectivos metadados (títulos, marcações de tempo, visibilidade).
• Dados de faturamento — plano, status da assinatura, consumo de créditos e registros de transações. Os dados do cartão são coletados e armazenados pelo nosso processador de pagamentos (Stripe), não por nós.
• Dados de uso e do dispositivo — dados de log, localização aproximada derivada do IP, tipo de dispositivo e navegador, e eventos de analytics de produto sobre como o Serviço é usado.
• Atividade da sessão — quando você consente, gravamos repetições das suas interações com o Serviço (cliques, navegação e conteúdo da página) por meio do nosso provedor de analytics de produto para diagnosticar problemas e melhorar a usabilidade, com os campos sensíveis mascarados.
• Comunicações — mensagens que você nos envia (por exemplo, solicitações de suporte) e eventos de entrega de e-mail transacional.

2. Como usamos seus dados

Usamos dados pessoais para:

• Fornecer, proteger e manter o Serviço, incluindo autenticação, armazenamento e geração com IA.
• Processar pagamentos, medir créditos e aplicar os limites de plano e de gasto.
• Comunicar com você sobre sua conta, segurança e mudanças no serviço.
• Entender e melhorar como o Serviço é usado, e desenvolver novos recursos.
• Detectar, prevenir e responder a fraude, abuso e incidentes de segurança.
• Cumprir obrigações legais e fazer valer nossos termos.

Não vendemos seus dados pessoais. Não usamos seu conteúdo para treinar, ajustar (fine-tune) nem melhorar de qualquer outra forma qualquer modelo de aprendizado de máquina ou de inteligência artificial, seja desenvolvido por terceiros ou por nós, e não permitimos que outros o façam. Quando seu conteúdo é processado pelos provedores de IA terceiros listados na nossa página de Subprocessadores para gerar o resultado que você solicita, esses provedores atuam como nossos subprocessadores e podem processar seu conteúdo exclusivamente para fornecer esse resultado; selecionamos provedores que oferecem termos protetivos da privacidade e habilitamos opções de não treinamento e, quando oferecidas, de retenção zero com esses provedores.

3. Bases legais (GDPR)

Quando o GDPR se aplica, baseamo-nos nas seguintes bases legais:

• Execução de contrato — para fornecer o Serviço que você contratou e processar o faturamento.
• Legítimo interesse — para proteger, analisar e melhorar o Serviço, desde que seus interesses e direitos não prevaleçam sobre os nossos.
• Consentimento — para cookies e analytics opcionais quando exigido, e para determinadas comunicações de marketing; você pode retirar o consentimento a qualquer momento.
• Obrigação legal — para manter registros (por exemplo, fiscais e contábeis) e responder a solicitações legítimas.

4. Como compartilhamos dados

Compartilhamos dados pessoais com subprocessadores que nos ajudam a operar o Serviço — hospedagem, autenticação, pagamentos, armazenamento, e-mail, inferência de IA e analytics. Cada um está vinculado por um acordo de tratamento de dados e só pode tratar dados conforme nossas instruções. A lista atual está na nossa página de Subprocessadores.

Também podemos compartilhar dados com os administradores do seu espaço de trabalho (que podem gerenciar sua associação e seu conteúdo nesse espaço de trabalho) e com autoridades ou assessores quando exigido por lei ou para proteger nossos direitos, os usuários ou o Serviço. Se a Endless estiver envolvida em uma fusão ou aquisição, os dados poderão ser transferidos como parte dessa operação, sujeitos a esta política.

5. Transferências internacionais de dados

A Endless e vários dos nossos subprocessadores estão localizados nos Estados Unidos e em outros países fora do EEE/Reino Unido. Quando transferimos dados pessoais internacionalmente, apoiamo-nos em salvaguardas adequadas — o EU-U.S. Data Privacy Framework quando o provedor é certificado, e/ou as Cláusulas Contratuais Padrão (SCCs) da Comissão Europeia (com o Adendo do Reino Unido quando aplicável) — junto com medidas técnicas e organizacionais adicionais.

6. Retenção e exclusão de dados

Mantemos os dados pessoais enquanto sua conta estiver ativa e conforme necessário para fornecer o Serviço. Você pode mover conteúdo para a lixeira e restaurá-lo dentro de um prazo limitado; os assets na lixeira são automaticamente expurgados após 30 dias.

Quando você exclui sua conta, aplicamos uma exclusão lógica (soft-delete): a conta é desativada, recebe um identificador anonimizado aleatório (um id “del_”) e os dados pessoais são excluídos ou anonimizados de forma irreversível. Podemos reter registros limitados quando exigido para fins legais, fiscais ou de segurança, e os backups são substituídos de forma rotativa.

7. Seus direitos

Dependendo de onde você mora, você pode ter o direito de:

• Acesso — obter uma cópia dos dados pessoais que mantemos sobre você.
• Retificação — corrigir dados imprecisos ou incompletos.
• Eliminação — solicitar a exclusão dos seus dados pessoais (o “direito ao esquecimento”).
• Portabilidade — receber seus dados em um formato estruturado e legível por máquina.
• Restrição e oposição — limitar ou se opor a determinados tratamentos, incluindo definição de perfil e marketing direto.
• Retirar o consentimento — quando o tratamento se basear no consentimento, sem afetar o tratamento anterior.

Para exercer qualquer um desses direitos, entre em contato pelo privacy@endless.app. Responderemos dentro do prazo exigido por lei. Você também tem o direito de apresentar uma reclamação à sua autoridade local de proteção de dados.

8. Cookies e analytics

Usamos cookies estritamente necessários para manter você conectado e proteger o Serviço. Com o seu consentimento, também usamos cookies de analytics — para analytics de produto e repetição de sessão (PostHog) e, quando habilitado, medição de site e marketing (Google Analytics). Nas regiões em que o consentimento é exigido (como o EEE, o Reino Unido e a Califórnia), um banner permite que você aceite ou rejeite cookies não essenciais, ou escolha por categoria; em qualquer lugar, você pode alterar sua escolha a qualquer momento em “Configurações de cookies” no rodapé, e respeitamos o Global Privacy Control como uma solicitação de rejeição de cookies não essenciais.

9. Segurança

Usamos medidas técnicas e organizacionais para proteger os dados pessoais, incluindo criptografia em trânsito, controles de acesso delimitados e credenciais de serviço de privilégio mínimo. Nenhum sistema é perfeitamente seguro, mas trabalhamos para proteger seus dados e para notificar você e as autoridades competentes sobre violações qualificadas, conforme exigido por lei.

10. Crianças

O Serviço não é direcionado a crianças menores de 16 anos, e não coletamos conscientemente seus dados pessoais. Se você acredita que uma criança nos forneceu dados, entre em contato conosco e nós os excluiremos.

11. Alterações nesta política

Podemos atualizar esta política conforme o Serviço evolui ou a lei muda. Publicaremos a política atualizada com uma nova data de vigência e, para mudanças relevantes, forneceremos aviso adicional no Serviço.

12. Lei aplicável

Esta política e qualquer disputa relacionada a ela são regidas pelas leis do Estado de Delaware, Estados Unidos, sem consideração às suas normas de conflito de leis. Isso não priva você de quaisquer direitos imperativos de proteção de dados previstos na lei do seu país de residência, incluindo o direito de apresentar uma reclamação à sua autoridade supervisora local.

13. Fale conosco

Para qualquer dúvida ou solicitação de privacidade, entre em contato pelo privacy@endless.app.