POLÍTICA DE PRIVACIDADE

1. CONTROLADOR DOS DADOS

O controlador dos seus dados pessoais é:

Sem Encarregado de Proteção de Dados (DPO) designado. As atividades principais da Vervox não atendem aos critérios que exigem a designação obrigatória de um DPO conforme o artigo 37(1) do GDPR (sem missão de autoridade pública, sem monitoramento regular e sistemático em larga escala, sem tratamento em larga escala de categorias especiais). Para qualquer questão sobre proteção de dados, entre em contato com o email indicado acima.

2. DADOS COLETADOS

2.1 Dados que você nos fornece

2.2 Dados coletados automaticamente

2.3 Dados de pagamento e de assinatura

Os dados bancários (número do cartão, CVV, data de validade) são coletados e processados exclusivamente pela Stripe. Nunca temos acesso aos seus dados bancários completos. Conservamos os registros de faturamento (faturas, identificadores de cliente Stripe, histórico de transações) por dez (10) anos conforme exigido pela legislação fiscal e contábil francesa (Code de commerce art. L123-22 e CGI art. L102 B).

No âmbito do modelo de assinatura Vervox, também tratamos os seguintes dados:

• Plano assinado (Creator, Pro ou Business) e periodicidade (mensal ou anual);
• Data de assinatura, data de renovação, status da assinatura (ativa, suspensa, cancelada) e eventual benefício da Oferta fundadores (artigo 7.1bis dos Termos);
• Número e identificadores dos Perfis criados dentro do seu Espaço;
• Créditos IA consumidos por Perfil (alocação mensal do Plano + Recargas eventuais), com marca temporal por funcionalidade utilizada;
• Recargas adquiridas (valor, data, Perfil beneficiário);
• Créditos contábeis Stripe gerados em caso de exclusão proporcional de Perfil.

Esses dados são tratados com base na execução do contrato (art. 6.1.b RGPD/LGPD) para o faturamento e a prestação do Serviço, e no interesse legítimo (art. 6.1.f RGPD) para a detecção de usos abusivos ou fraudulentos (consumo anormal de Créditos, multi-contas não autorizadas, compartilhamento de credenciais). Os rastros de consumo de Créditos também servem como prova em caso de contestação de pagamento, conforme o artigo 7.13 dos Termos. A retenção segue o período de retenção dos dados de faturamento (10 anos).

2.4 Dados do YouTube / Google API Services

Se você optar por conectar seu canal do YouTube à Vervox, acessamos os seguintes dados via YouTube API Services:

Compartilhamento e transferência: seus dados do YouTube não são compartilhados com nenhum terceiro. São utilizados exclusivamente para operar o Serviço (exibição na interface, publicação de vídeos no seu próprio canal). Não são vendidos, alugados nem transferidos a terceiros para publicidade, perfilamento ou qualquer outra finalidade não descrita acima.

Armazenamento: os tokens de acesso e refresh do YouTube são criptografados (AES-256-GCM) antes do armazenamento em nosso banco de dados. Apenas o Serviço acessa esses tokens para realizar as ações que você solicita.

Revogação: você pode desconectar seu canal do YouTube a qualquer momento na seção Privacidade das configurações da sua conta. A desconexão remove imediatamente os tokens armazenados. Você também pode revogar o acesso da Vervox em sua página de gerenciamento de permissões do Google.

Conformidade: o uso pela Vervox dos dados recebidos via Google APIs está em conformidade com a Google API Services User Data Policy, incluindo os Limited Use Requirements.

2.5 Dados do TikTok

Se você optar por conectar sua conta do TikTok à Vervox, acessamos os seguintes dados via API do TikTok:

Compartilhamento e transferência: seus dados do TikTok não são compartilhados com nenhum terceiro. São utilizados exclusivamente para operar o Serviço. Não são vendidos, alugados nem transferidos a terceiros para publicidade ou qualquer outra finalidade não descrita acima.

Armazenamento: os tokens de acesso e refresh do TikTok são criptografados (AES-256-GCM) antes do armazenamento. As estatísticas dos seus vídeos são armazenadas em nosso banco de dados para permitir o acompanhamento de progresso ao longo do tempo.

Revogação: você pode desconectar sua conta do TikTok a qualquer momento na seção Privacidade das configurações da sua conta. A desconexão revoga os tokens e remove o acesso da Vervox aos seus dados do TikTok.

Troca de conta do TikTok: quando você substitui a conta do TikTok vinculada ao seu perfil Vervox por outra conta, seus dados anteriores (vídeos, estatísticas, snapshots de progressão) são preservados em forma arquivada — não são mais exibidos no seu painel, mas permanecem armazenados em nosso banco de dados para duas finalidades: (i) sua restauração automática se você reconectar essa mesma conta do TikTok mais tarde; (ii) análise agregada e anonimizada para melhorar nossos modelos de recomendação e previsão de viralidade. Essa retenção baseia-se no interesse legítimo (artigo 6.1.f do GDPR). Você pode solicitar a exclusão definitiva desses dados arquivados a qualquer momento por meio do botão «Apagar meus dados» nas configurações da sua conta (seção Privacidade) ou escrevendo para contact@vervox.app.

2.6 Dados públicos de contas de concorrentes

Quando você executa uma análise de concorrência sobre uma conta do TikTok que não é sua, a Vervox processa apenas dados publicamente disponíveis dessa conta (perfil público, métricas de vídeos públicos). Não coletamos dados privados ou não públicos. Os dados do criador terceiro são processados com base no nosso interesse legítimo em fornecer benchmarking competitivo (GDPR art. 6(1)(f)), não são retidos além da análise e não são utilizados para marketing direto ou perfilamento desses terceiros.

2.7 Correspondência por email com o suporte

Quando você nos escreve para contact@vervox.app (antes ou depois do cadastro), coletamos e armazenamos:

• seu endereço de email remetente e nome de exibição (se presente no header From)
• o assunto da mensagem, corpo de texto, corpo HTML e quaisquer anexos
• os headers técnicos necessários para o threading (Message-ID, In-Reply-To, References)
• o timestamp de recepção

Processamento por IA — Alice: cada email recebido é analisado pela nossa ferramenta interna de suporte (“Alice”). O assunto e corpo da mensagem são transmitidos para a Anthropic (Claude Haiku) para (1) classificá-lo automaticamente (categoria, sentimento, urgência, idioma, tópicos, resumo curto), e (2) sob demanda da equipe de suporte, redigir uma sugestão de resposta escrita no seu idioma. Se você escrever em um idioma diferente do francês, o conteúdo também pode ser transmitido para o Claude Sonnet apenas para traduzir entre seu idioma e o francês, para que a equipe de suporte (francófona) possa revisar a sugestão antes do envio. A Anthropic está vinculada por um DPA (GDPR art. 28(3)) e não utiliza seus dados para treinar seus modelos.

Agente conversacional Telegram (interno ao fundador): para gerenciar o suporte em mobilidade, o fundador interage com Alice através de um bot privado do Telegram. Durante essas conversas, o conteúdo do seu email pode ser transmitido para a Anthropic (Claude Haiku) para que Alice possa raciocinar e redigir sugestões de resposta. Alice dispõe de ferramentas de curadoria manual (busca full-text de emails por palavra-chave, atualização da categoria / urgência / kind de uma thread, arquivamento) que permanecem dentro do escopo interno do suporte; todas essas operações são auditadas em inbound_email_events. Se o fundador grava suas instruções por voz, o áudio é transmitido para o OpenAI (Whisper) para transcrição em texto antes do processamento pela Anthropic. A transcrição contém apenas as instruções do fundador (nunca o conteúdo do seu email). Nenhum dado sobre você é compartilhado publicamente; o Telegram FZ-LLC recebe apenas notificações operacionais já pseudonimizadas (hash do remetente, assunto truncado, resumo IA), veja a seção 5. A conversa do Telegram nunca é lida ou usada para fins de marketing.

Base legal: execução de um contrato (art. 6.1.b) quando você é Usuário cadastrado, caso contrário interesse legítimo em fornecer atendimento ao cliente de qualidade (art. 6.1.f). Você pode se opor ao processamento por Alice a qualquer momento escrevendo para o mesmo endereço; sua solicitação será então tratada manualmente.

Sem tomada de decisão automatizada no sentido do GDPR art. 22: a classificação de Alice roteia sua mensagem em nossas filas de suporte; não produz decisão jurídica nem efeito significativo similar. A resposta é sempre enviada por um humano (neste caso o fundador).

Retenção: 24 meses a partir da recepção, em seguida apagamento total 6 meses depois (ou seja, 30 meses no máximo). Veja a seção 6.

Pseudonimização ao excluir a conta: se você excluir sua conta Vervox, seus emails de suporte são pseudonimizados (seu endereço de email + nome substituídos por um identificador hashed, conteúdo substituído por um marcador de apagamento) em vez de excluídos definitivamente. Isso preserva a coerência das threads de conversa nas quais você possa ter participado com outros usuários sem reter informações que possam identificá-lo.

2.8 Caráter obrigatório ou opcional

Os dados marcados como obrigatórios no cadastro (email, senha ou login Google) são necessários para a execução do contrato. Sem eles, você não pode criar uma conta nem acessar o Serviço.

Os dados de perfilamento (nicho, identificador TikTok, preferências) são opcionais mas melhoram a relevância dos conteúdos gerados. Os cookies analíticos são opcionais e estão sujeitos ao seu consentimento.

3. COOKIES E RASTREADORES

3.1 Cookies estritamente necessários

O Serviço utiliza um cookie de sessão de autenticação (authjs.session-token) essencial ao seu funcionamento, bem como um cookie de atribuição (__vx_utm, duração: 1 hora) que nos permite vincular seu cadastro à sua fonte de aquisição. Esses cookies não exigem seu consentimento.

3.2 Cookies analíticos

Com seu consentimento, utilizamos o PostHog para analisar o uso do Serviço (páginas visitadas, cliques, jornada do usuário). O PostHog também pode gravar sessões de navegação (com inputs mascarados) para melhorar a experiência do usuário. Quando você está logado, seus dados analíticos podem ser associados à sua conta (email, nome, plano) para personalizar nosso acompanhamento de produto.

3.3 Medição de audiência (Vercel Analytics)

Utilizamos o Vercel Analytics para medir o desempenho e o tráfego do Site. Este serviço coleta dados agregados e anonimizados (páginas visitadas, duração da visita, país de origem) sem usar cookies e sem coletar dados pessoais identificáveis. De acordo com as orientações das autoridades de proteção de dados (em particular a CNIL francesa), este rastreador não exige consentimento prévio.

3.4 Cookies de monitoramento

O Sentry coleta informações técnicas em caso de erro (stack traces, contexto de navegação) para manter a estabilidade do Serviço. Em caso de erro, uma gravação de sessão pode ser capturada para facilitar o diagnóstico.

3.5 Rastreamento de eventos de produto do lado servidor

Certos eventos relacionados ao funcionamento do Serviço (cadastro, verificação de email, onboarding, pagamento, cancelamento) são registrados do lado servidor via PostHog com base no interesse legítimo (GDPR art. 6.1.f). Esses eventos não dependem de cookies e servem exclusivamente para melhorar a jornada do usuário e garantir o funcionamento adequado do Serviço.

3.6 Gerenciar suas preferências

Você pode aceitar ou recusar os cookies não essenciais através do banner de consentimento exibido na sua primeira visita. Você pode alterar suas preferências a qualquer momento na seção Privacidade das configurações da sua conta. Sua escolha é mantida por seis (6) meses, após o que o banner será apresentado a você novamente.

4. FINALIDADES E BASES LEGAIS

Para residentes brasileiros, as bases legais sob a LGPD art. 7 seguem o mesmo mapeamento (execução de contrato, interesse legítimo, consentimento, e cumprimento de obrigação legal).

5. SUBOPERADORES E TRANSFERÊNCIAS INTERNACIONAIS

Seus dados podem ser transmitidos aos seguintes suboperadores, cada um vinculado por um Acordo de Processamento de Dados (DPA) assinado em conformidade com o GDPR art. 28(3):

As transferências para os Estados Unidos são regidas pelo EU-US Data Privacy Framework (decisão de adequação da Comissão Europeia de 10 de julho de 2023) para os suboperadores certificados DPF, e pelas Cláusulas Contratuais Padrão (SCCs) da Comissão Europeia (decisão de execução 2021/914) como salvaguarda adicional em todos os casos.

Para residentes do Reino Unido, as transferências são regidas pelo UK International Data Transfer Agreement (IDTA) ou pelo UK Addendum às SCCs da UE.

Você pode obter uma cópia das salvaguardas aplicáveis (SCCs, DPAs) escrevendo para contact@vervox.app.

6. PERÍODOS DE RETENÇÃO

Após a exclusão da sua conta, todos os seus dados pessoais e conteúdos gerados são removidos do nosso banco de dados, exceto os registros de faturamento que somos obrigados a manter por 10 anos sob a legislação fiscal e contábil francesa. Os dados detidos pelos nossos suboperadores são excluídos conforme suas próprias políticas de retenção.

Caso especial dos emails de suporte: os emails que você enviou para contact@vervox.app são pseudonimizados ao excluir a conta (seu endereço + nome substituídos por um identificador hashed, conteúdo substituído por um marcador de apagamento) em vez de excluídos definitivamente, a fim de preservar a coerência das threads de conversa nas quais você possa ter participado com outros usuários. Nenhuma informação que o identifique diretamente permanece após a pseudonimização. A exclusão definitiva ocorre no máximo ao final do período de retenção indicado acima (30 meses a partir da recepção da mensagem).

7. SEGURANÇA E NOTIFICAÇÃO DE VIOLAÇÃO

7.1 Medidas de segurança

• Criptografia de dados em trânsito (HTTPS/TLS)
• Hash de senhas (bcrypt)
• Criptografia de tokens OAuth (AES-256-GCM em repouso)
• Princípio do menor privilégio para acesso de suboperadores
• Atualizações regulares de dependências de software e varredura de vulnerabilidades
• Monitoramento de erros (Sentry) para detecção de anomalias
• Acesso administrativo restrito

7.2 Notificação de violação de dados pessoais

Em caso de violação de dados pessoais que possa gerar um risco para seus direitos e liberdades, a Vervox notificará a autoridade de controle competente (CNIL para a França) no prazo de 72 horas após tomar conhecimento da violação, conforme exigido pelo GDPR art. 33.

Se a violação puder gerar um risco elevado para seus direitos e liberdades, também notificaremos você diretamente sem demora indevida, conforme o GDPR art. 34 (e disposições equivalentes do UK GDPR, CCPA §1798.82 e LGPD art. 48).

8. TOMADA DE DECISÃO AUTOMATIZADA E PERFILAMENTO

O Serviço utiliza inteligência artificial para gerar sugestões de conteúdo (scripts, ideias, texto de carrosséis) com base nos seus inputs de perfilamento. Essas sugestões geradas por IA não são decisões automatizadas que produzem efeitos jurídicos ou afetam você significativamente de forma similar no sentido do GDPR art. 22. São sugestões que você pode aceitar, modificar ou rejeitar livremente.

Você pode desativar o perfilamento IA a qualquer momento através do toggle “Perfilamento IA” na seção Privacidade das configurações da sua conta.

9. PRIVACIDADE DAS CRIANÇAS

O Serviço é destinado a Usuários com 16 anos ou mais. Não coletamos intencionalmente dados pessoais de menores de 16 anos, independentemente de a legislação local permitir idades inferiores (p. ex., 13 no Reino Unido, 14 na Espanha ou Itália, 15 na França, 16 na Alemanha).

Para residentes nos Estados Unidos, cumprimos com a Children’s Online Privacy Protection Act (COPPA, 15 U.S.C. §§ 6501-6506): não coletamos intencionalmente informações pessoais de crianças menores de 13 anos, e nosso limite de idade de 16 anos é mais rigoroso que o da COPPA.

Se você é pai, mãe ou responsável e acredita que seu filho forneceu dados pessoais à Vervox, entre em contato com contact@vervox.app para exclusão imediata.

10. SEUS DIREITOS (GDPR UE / GDPR UK)

Sob o GDPR UE e GDPR UK, você possui os seguintes direitos:

• Acesso (art. 15): obter uma cópia dos seus dados
• Retificação (art. 16): corrigir dados inexatos
• Apagamento (art. 17): solicitar a exclusão dos seus dados
• Limitação (art. 18): restringir temporariamente o tratamento
• Portabilidade (art. 20): receber seus dados em formato estruturado e legível por máquina
• Oposição (art. 21): opor-se ao tratamento baseado em interesse legítimo
• Retirada do consentimento (art. 7(3)): retirar o consentimento a qualquer momento para os tratamentos baseados nele, sem afetar a licitude do tratamento anterior
• Não ser objeto de decisões automatizadas (art. 22): veja seção 8 — não tomamos tais decisões

10.1 Como exercer seus direitos — autoatendimento

Se você possui uma conta Vervox, a maioria dos direitos é diretamente acessível na seção Privacidade das configurações da sua conta:

• Acesso e portabilidade — botão “Exportar meus dados” (formato JSON estruturado)
• Apagamento — “Excluir minha conta” na Zona perigosa (exclusão em cascata de todos os dados, cliente Stripe e tokens de terceiros)
• Retificação — Edite diretamente os campos do seu perfil
• Retirada do consentimento — toggles “Perfilamento IA” e “Cookies analíticos”
• Revogação de acesso de terceiros — botões Desconectar TikTok / YouTube

10.2 Como exercer seus direitos — por email

Se você não possui uma conta Vervox mas processamos seus dados (p. ex., seu conteúdo público foi analisado por um usuário Vervox), ou para solicitações que não podem ser processadas em autoatendimento (limitação de tratamento, dados em formato não JSON específico), escreva para contact@vervox.app. Respondemos no prazo de 30 dias conforme exigido pelo GDPR art. 12(3), prorrogável por dois meses para solicitações complexas. Podemos verificar sua identidade antes de responder.

10.3 Direito de apresentar reclamação

Você tem o direito de apresentar uma reclamação à sua autoridade de controle local:

• França — CNIL: www.cnil.fr
• Reino Unido — ICO: ico.org.uk
• Alemanha — BfDI: www.bfdi.bund.de
• Itália — Garante per la protezione dei dati personali: www.garanteprivacy.it
• Espanha — AEPD: www.aepd.es
• Outros países UE/EEE: sua autoridade nacional de controle

10.4 Prova de aceitação dos Termos

A aceitação dos Termos Gerais de Venda, dos Termos Gerais de Uso e da presente Política de Privacidade é materializada pela criação da sua conta Vervox. A data e hora exatas do seu registro são automaticamente gravadas em nossos sistemas no momento da criação da conta e constituem a prova formal da sua aceitação em conformidade com o artigo 6.º, n.º 1, alínea b) do GDPR (base legal: execução de contrato).

Essa informação pode ser obtida mediante solicitação simples a contact@vervox.app, no âmbito do direito de acesso previsto no artigo 15 do GDPR.

11. RESIDENTES NA CALIFÓRNIA — DIREITOS DE PRIVACIDADE VOLUNTÁRIOS

A Vervox atualmente não atende aos limites legais sob o California Civil Code §1798.140(d) para qualificar como uma “empresa” sujeita à California Consumer Privacy Act (CCPA), conforme alterada pela California Privacy Rights Act (CPRA). Honramos voluntariamente os seguintes direitos no estilo CCPA para residentes na Califórnia.

11.1 Direitos concedidos

• Direito de saber quais informações pessoais coletamos
• Direito de excluir suas informações pessoais
• Direito de corrigir informações pessoais inexatas
• Direito de optar por não participar de venda ou compartilhamento — a Vervox não vende suas informações pessoais e não as compartilha para publicidade comportamental entre contextos
• Direito de limitar o uso de informações pessoais sensíveis — não usamos informações pessoais sensíveis para fins que ativem este direito
• Direito à não-discriminação — não discriminamos residentes na Califórnia simplesmente por exercerem seus direitos CCPA, em conformidade com Cal. Civ. Code §1798.125

11.2 Como exercer

Se você possui uma conta Vervox, a maioria dos direitos é autoatendimento via seção Privacidade das configurações da sua conta (veja seção 10.1).

Para solicitações não autoatendimento, ou se você não tem uma conta mas processamos seus dados como residente na Califórnia, escreva para contact@vervox.app com o assunto “California Privacy Request”. Respondemos no prazo de 45 dias, prorrogável uma vez por 45 dias adicionais se necessário. Podemos verificar sua identidade antes de responder. Você também pode contatar o Procurador-Geral da Califórnia em oag.ca.gov/privacy/ccpa.

12. RESIDENTES NO BRASIL — LGPD

Sob a Lei Geral de Proteção de Dados brasileira (Lei 13.709/2018, LGPD), e de forma consistente com nossas práticas GDPR, os residentes no Brasil têm direitos incluindo acesso, correção, anonimização/bloqueio/exclusão, portabilidade, informações sobre compartilhamento, e retirada do consentimento (LGPD art. 18).

Se você possui uma conta Vervox, esses direitos são autoatendimento via seção Privacidade das configurações da sua conta (veja seção 10.1). Para solicitações não autoatendimento, escreva para contact@vervox.app com o assunto “LGPD Request”. Respondemos no prazo de 15 dias conforme exigido pelo LGPD art. 19.

Encarregado (DPO) — isenção: a Vervox qualifica-se como agente de tratamento de pequeno porte sob a Resolução ANPD CD/ANPD 2/2022 e está isenta da designação obrigatória de um Encarregado. Para questões de proteção de dados, use o email de contato indicado acima.

Você também pode contatar a Autoridade Nacional de Proteção de Dados brasileira (ANPD): www.gov.br/anpd.

13. MODIFICAÇÃO DESTA POLÍTICA DE PRIVACIDADE

Podemos atualizar esta Política de Privacidade para refletir mudanças nos nossos tratamentos, nos nossos suboperadores, no marco legal aplicável, ou para esclarecer disposições.

13.1 Modificações substanciais

São consideradas substanciais as modificações que têm um efeito direto e significativo de:

• adicionar uma nova categoria de dados pessoais coletados;
• adicionar um novo suboperador;
• estender os prazos de retenção existentes;
• modificar as bases legais nos termos do artigo 6º do GDPR;
• introduzir uma transferência internacional para um país sem decisão de adequação;
• reduzir os direitos que você possui em virtude do GDPR.

Tais modificações serão notificadas a você por email previamente à sua entrada em vigor, em um prazo razoável adaptado à natureza da modificação, e em qualquer caso pelo menos quinze (15) dias antes. Você pode opor-se a elas exercendo os direitos previstos na seção 10.

13.2 Outras modificações

As modificações que não se enquadrarem na seção 13.1 (em particular correções redacionais, esclarecimentos, atualizações descritivas relacionadas à evolução do Serviço, ajustes operacionais ou técnicos sem impacto no tratamento dos seus dados) podem entrar em vigor imediatamente e serão publicadas nesta página com a data “Última atualização” renovada.

13.3 Aceitação

O uso contínuo do Serviço além da data de entrada em vigor de uma modificação constitui aceitação. Na ausência de oposição manifestada por email a contact@vervox.app antes dessa data, você é considerado como tendo aceito as novas condições.

14. LEI APLICÁVEL E IDIOMA

Esta Política de Privacidade é regida pelo direito francês, sem prejuízo das proteções locais obrigatórias que se apliquem a você com base no seu país de residência (GDPR UE, GDPR UK, CCPA/CPRA, LGPD, e qualquer outra lei aplicável).

Em caso de discrepância entre as versões portuguesa e francesa, a versão francesa (“Politique de Confidentialité”) prevalece como texto autêntico.

15. CONTATO

Para qualquer questão:

Email: contact@vervox.app