Política de Privacidade

Última atualização: [DATA DE PUBLICAÇÃO]

1. Quem somos

Esta Política de Privacidade explica como o Asterion ("Plataforma", "nós") trata dados pessoais. A Plataforma é operada por:

• Razão social: [RAZÃO SOCIAL]
• CNPJ: [CNPJ]
• Endereço: [ENDEREÇO COMPLETO]
• Contato de privacidade: [E-MAIL DE PRIVACIDADE]
• Encarregado pelo tratamento de dados (DPO): [NOME DO ENCARREGADO OU "Canal de comunicação: E-MAIL"]

2. A quem esta política se aplica

A Plataforma é um serviço B2B: empresas ("Clientes") a utilizam para enviar arquivos, conectar bancos de dados e consultar essas informações com apoio de inteligência artificial. Por isso, tratamos dados em dois papéis diferentes:

Esta Política descreve principalmente o tratamento em que somos controladores. O tratamento do conteúdo do Cliente é regido pelos Termos de Uso e pelo Acordo de Tratamento de Dados. Se os seus dados pessoais estão em um arquivo ou banco de dados que um Cliente conectou à Plataforma, o responsável por esse tratamento é o Cliente, e solicitações sobre esses dados devem ser dirigidas a ele. Repassaremos ao Cliente qualquer pedido que recebermos nesse sentido.

3. Dados que coletamos (como controlador)

3.1 Dados que você nos fornece

• Cadastro e conta: nome, e-mail corporativo, senha (armazenada apenas na forma de hash), nome da organização e função.
• Formulário de interesse e contato: nome, e-mail, empresa, cargo e mensagem.
• Suporte: conteúdo das mensagens trocadas conosco.
• Faturamento (quando houver planos pagos): dados da empresa contratante e dados necessários à cobrança. [DEFINIR PROCESSADOR DE PAGAMENTO, SE HOUVER]

3.2 Dados gerados pelo uso

• Registros de acesso: endereço IP, data e hora, navegador e sistema operacional.
• Registros de segurança e auditoria: login, falhas de autenticação, criação e exclusão de fontes de dados, convites de usuários.
• Métricas de uso: quantidade de arquivos, consultas, tokens de IA consumidos e relatórios gerados, usadas para controle de limites e custos.

Os registros técnicos são configurados para não armazenar senhas, credenciais de banco de dados, tokens de acesso ou o conteúdo dos arquivos do Cliente.

3.3 Cookies

Usamos apenas cookies estritamente necessários para manter a sessão autenticada e proteger contra ataques (por exemplo, CSRF). [ATUALIZAR ESTA SEÇÃO SE FOREM ADOTADAS FERRAMENTAS DE ANÁLISE, COMO POSTHOG OU SIMILARES.]

4. Para que usamos os dados e com qual base legal

Não vendemos dados pessoais e não usamos o conteúdo dos Clientes para treinar modelos de IA próprios ou de terceiros.

5. Inteligência artificial e provedores externos

Algumas funcionalidades, como o chat com fontes e a geração de resumos, dependem de modelos de linguagem. Funcionamos assim:

• Envio somente quando configurado. Trechos de documentos, metadados de tabelas e resultados de consultas só são enviados a um provedor de IA externo quando o administrador da organização ativou essa integração e escolheu o provedor.
• Envio mínimo. Enviamos apenas os trechos necessários para responder à pergunta feita, não os arquivos completos ou o banco inteiro.
• Sem treinamento. Utilizamos provedores e modalidades de contratação (API empresarial) que, segundo seus termos, não usam os dados enviados para treinar modelos. [LISTAR PROVEDORES EFETIVAMENTE UTILIZADOS E LINKS PARA SEUS TERMOS]
• Alternativa local. A arquitetura permite usar modelos executados em infraestrutura própria, sem envio a terceiros. [CONFIRMAR SE ESTA OPÇÃO ESTARÁ DISPONÍVEL NO LANÇAMENTO]
• Respostas com fontes. As respostas indicam de qual arquivo ou tabela a informação veio. Cálculos numéricos são feitos por consulta estruturada, não estimados pelo modelo. Ainda assim, respostas geradas por IA podem conter erros e devem ser conferidas.

6. Com quem compartilhamos

Compartilhamos dados apenas com:

• Provedores de infraestrutura (hospedagem, banco de dados, armazenamento de arquivos, envio de e-mails): [LISTAR, EX.: PROVEDOR DE VM, ARMAZENAMENTO S3-COMPATÍVEL, SERVIÇO DE E-MAIL TRANSACIONAL].
• Provedores de IA, nos termos da seção 5.
• Processador de pagamentos, quando houver planos pagos.
• Autoridades públicas, quando houver obrigação legal ou ordem judicial.
• Sucessores, em caso de fusão, aquisição ou reorganização societária, mantidas as garantias desta Política.

Mantemos a lista atualizada de suboperadores em [LINK PARA PÁGINA DE SUBOPERADORES].

7. Transferência internacional

Alguns fornecedores podem armazenar ou processar dados fora do Brasil, por exemplo, nos Estados Unidos ou na União Europeia. Quando isso ocorrer, adotaremos os mecanismos previstos no art. 33 da LGPD. [DEFINIR LOCAL DE HOSPEDAGEM E MECANISMO]

8. Por quanto tempo guardamos

Quando um arquivo é excluído na Plataforma, também são excluídos os dados derivados: texto extraído, trechos, embeddings, prévias e tabelas geradas a partir dele. As respostas do assistente que citavam trechos do arquivo ou mostravam valores de suas tabelas têm o conteúdo, as citações e os resultados apagados (fica um aviso no lugar; a pergunta escrita pelo usuário é mantida), e os relatórios salvos cujos dados vinham do arquivo são excluídos por inteiro. O registro de auditoria guarda apenas que a exclusão ocorreu e quantos itens foram afetados, sem conteúdo do arquivo. Cópias de backup seguem o prazo da tabela acima. Quando uma conexão de banco de dados é removida, as credenciais e os metadados descobertos são apagados.

9. Segurança

Adotamos medidas técnicas e administrativas proporcionais ao estágio do produto, incluindo:

• Isolamento lógico dos dados por organização e verificação de autorização em cada recurso no servidor.
• Senhas armazenadas com algoritmo de hash forte.
• Credenciais de bancos de dados conectados criptografadas em repouso, e nunca exibidas após o cadastro.
• Conexões a bancos externos em modo somente leitura, com limites de tempo e de linhas.
• Comunicação criptografada (HTTPS/TLS).
• Validação de tipo e tamanho de arquivos e sanitização de nomes.
• Limites de requisições e de consumo de IA.
• Registros sem senhas, tokens ou credenciais.

Nenhum sistema é totalmente imune a incidentes. Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos a ANPD e os titulares afetados, nos termos do art. 48 da LGPD, e, quando atuarmos como operadores, o Cliente controlador.

10. Seus direitos

Nos termos do art. 18 da LGPD, você pode solicitar:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade;
• eliminação dos dados tratados com base em consentimento;
• informação sobre com quem compartilhamos seus dados;
• informação sobre a possibilidade de não fornecer consentimento e suas consequências;
• revogação do consentimento;
• revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20).

Para exercer seus direitos, escreva para [E-MAIL DE PRIVACIDADE]. Podemos pedir informações para confirmar sua identidade. Responderemos em até [15] dias. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

Administradores de organização podem, a qualquer momento, excluir arquivos, conexões e a organização inteira diretamente nas configurações da Plataforma.

11. Crianças e adolescentes

A Plataforma é destinada a uso profissional por maiores de 18 anos e não é direcionada a crianças ou adolescentes. Se o Cliente enviar conteúdo com dados de crianças ou adolescentes, cabe a ele garantir a conformidade com o art. 14 da LGPD.

12. Ambiente de demonstração

O ambiente de demonstração pública usa exclusivamente dados sintéticos (planilha de vendas, banco PostgreSQL e documento PDF fictícios). Não envie dados reais ao ambiente de demonstração. Perguntas feitas no ambiente de demonstração podem ser registradas para fins de segurança e melhoria do produto.

13. Alterações desta Política

Podemos atualizar esta Política. Mudanças relevantes serão comunicadas por e-mail ou aviso na Plataforma com antecedência razoável. A data da última atualização aparece no topo deste documento.

14. Contato

Dúvidas sobre esta Política: [E-MAIL DE PRIVACIDADE].

---

*Versão preliminar 0.1. Documento sujeito a revisão jurídica.*