Política de Privacidade

Esta política explica como o Certaly ("nós") trata dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD). Ao usar o Serviço, você declara ciência desta política.

1. Dados que coletamos

• Dados de conta: nome, e-mail e senha (armazenada com hash) ou, se você entrar com o Google, o vínculo com a sua conta Google no lugar da senha.
• Entrar com o Google: se você optar por essa forma de acesso, recebemos do Google apenas seu nome, seu e-mail e o identificador da sua conta, e apenas para identificar você aqui. Não pedimos e não temos acesso ao seu Gmail, ao seu Drive, aos seus contatos ou a qualquer outro dado da sua conta Google. A importação de arquivos do Google Drive, se você a usar, é uma autorização separada, pedida no momento em que você escolhe os arquivos.
• Conteúdo: documentos que você envia aos seus workspaces e as perguntas que faz à IA.
• Dados derivados: trechos indexados, insights, resumos e métricas de uso (para operação e limites de plano).
• Pagamento: ao assinar um plano pago, os dados do cartão são digitados em campos servidos pelo Mercado Pago e enviados diretamente a ele — não passam pelos nossos servidores e não são guardados por nós. Recebemos apenas o identificador da assinatura e seu status.
• Origem do cadastro: no momento em que a conta é criada, guardamos de que site você chegou (apenas o domínio, como "google") e qual foi a primeira página aberta. Servem para saber quais páginas trazem novos usuários. Não usamos cookies de rastreamento, não há identificador de visitante e nada disso é compartilhado com terceiros.

2. Para que usamos

• Prestar o Serviço: armazenar documentos, responder perguntas com citação e gerar insights (base legal: execução de contrato, art. 7º, V da LGPD).
• Processar pagamentos e controlar limites de plano (execução de contrato).
• Segurança, prevenção a abuso e cumprimento de obrigações legais.
• Comunicações operacionais (verificação de e-mail, redefinição de senha, convites, avisos de prazo).

Não vendemos dados pessoais e não usamos seus documentos para treinar modelos de IA.

3. Onde seus dados ficam

Seus documentos, o banco de dados e a aplicação que os processa ficam no Brasil, todos na região de São Paulo. Alguns operadores processam dados fora do Brasil (art. 33 da LGPD), sob contratos de proteção de dados:

• Supabase (Brasil, São Paulo) — banco de dados e armazenamento dos arquivos enviados.
• Fly.io (Brasil, São Paulo) — execução da aplicação.
• OpenAI (EUA) — processamento de texto dos documentos para gerar respostas, resumos e insights. Quando a sua pergunta não pode ser respondida pelos seus documentos, apenas a expressão consultada ou o texto da própria pergunta é enviado para busca em fontes externas públicas — nunca o trecho, o conteúdo do documento, o nome do arquivo ou o nome do workspace.
• Voyage AI (EUA) — geração de representações vetoriais (embeddings) para busca.
• Resend (EUA) — envio de e-mails transacionais (verificação de conta, redefinição de senha, convites e resumos).
• Mercado Pago (Brasil) — processamento de pagamentos das assinaturas.
• Google (EUA) — apenas se você usar "Entrar com o Google": a confirmação de quem você é. Nenhum documento seu passa por aqui.
• Vercel (EUA, rede global) — entrega dos arquivos do site. Seus documentos não passam por aqui; o que a rede registra é o acesso à página.

4. Compartilhamento dentro do Serviço

Documentos e insights de um workspace são visíveis para os membros daquele workspace, conforme os papéis definidos por quem administra o workspace. Links de compartilhamento público, quando você os cria, tornam o conteúdo acessível a quem tiver o link — e podem ser revogados a qualquer momento.

5. Retenção e exclusão

• Excluir um documento remove o arquivo e os dados derivados dele (trechos, insights).
• Excluir um workspace remove todos os documentos, conversas e dados dele.
• Você pode excluir sua conta e todos os seus dados sozinho, a qualquer momento, pela página Conta dentro do Serviço — a exclusão é imediata e definitiva. A mesma página permite exportar seus dados.
• Registros de cobrança podem ser mantidos pelo prazo exigido pela legislação fiscal, mesmo após a exclusão da conta.

6. Seus direitos (LGPD)

Você pode solicitar confirmação de tratamento, acesso, correção, portabilidade, anonimização ou exclusão dos seus dados, além de revogar consentimentos. Acesso, portabilidade e exclusão estão disponíveis por autoatendimento na página Conta; para o restante, escreva para privacidade@certaly.com.br.

7. Segurança

Usamos criptografia em trânsito (HTTPS), senhas com hash bcrypt, controle de acesso por workspace, sessões com rotação de token e limitação de tentativas. Nenhum sistema é 100% seguro; incidentes relevantes serão comunicados conforme a LGPD.

8. Encarregado e contato

Encarregado de dados (DPO): privacidade@certaly.com.br. Responderemos solicitações de titulares nos prazos da LGPD.

9. Alterações

Podemos atualizar esta política; mudanças relevantes serão comunicadas por e-mail ou aviso no produto.