Política de Privacidade

1. Introdução

No Illustro, serviço operado pela MOUNTAIN PEAK OOD (“nós”), respeitamos sua privacidade e temos o compromisso de proteger seus dados pessoais. Esta Política de Privacidade explica como coletamos, usamos, armazenamos e protegemos as informações que identificam você ou que estão ligadas a você (“dados pessoais”) quando você usa o Illustro, incluindo o site, o editor e o plugin para Figma (o “Serviço”).

A MOUNTAIN PEAK OOD é a controladora dos seus dados pessoais, ou seja, quem decide como e para que eles são tratados. É uma empresa registrada na Bulgária sob o número 207115644, com número de IVA BG207115644 e sede na ul. Stefan Karadzha 10, 3º andar, 1000 Sofia, Bulgária. Você pode falar conosco pelo e-mail info@illustro.app. A lei europeia não nos obriga a ter um encarregado da proteção de dados para o tratamento que fazemos, e não temos um nos termos dela. Para quem está no Brasil, indicamos um encarregado nos termos da LGPD (veja a seção 11).

Esta Política informa o que fazemos com seus dados pessoais. Ela não é um contrato, e usar o Serviço não significa consentir com nada. Quando precisarmos do seu consentimento, vamos pedi-lo à parte, e você poderá revogá-lo quando quiser (veja a seção 7).

2. Informações que coletamos

2.1 Informações que você fornece

• Dados da conta: quando você cria uma conta, coletamos seu endereço de e-mail e, se você entrar com o Google ou os adicionar ao seu perfil, seu nome e sua foto de perfil.
• Conteúdo: coletamos os prompts de texto que você digita, as imagens e os arquivos que você envia (como fotos, esboços e arquivos SVG) e as ilustrações, animações e outros resultados que você cria.
• Dados de pagamento: quando você compra créditos, a Stripe, empresa que processa nossos pagamentos, coleta seus dados de pagamento, seu endereço de cobrança e, se você informar, seu número de identificação fiscal. Recebemos os detalhes da compra, como o que você comprou, o valor e a data, mas nunca o número completo do seu cartão.
• Comunicações: coletamos informações quando você fala com nosso atendimento ou responde a pesquisas.
• Plugin para Figma: se você conecta o plugin do Illustro no Figma à sua conta, guardamos essa conexão (um código de sessão e as datas de conexão e de último uso). O plugin nos envia os prompts que você digita e, quando você escolhe editá-la, a camada que você selecionou. Não recebemos os dados da sua conta do Figma nem o restante dos seus arquivos. Você pode desconectar o plugin a qualquer momento, nele mesmo ou na página Login e segurança da sua conta.

2.2 Informações coletadas automaticamente

• Dados de uso: coletamos informações sobre como você interage com o Serviço, por exemplo, os recursos que usa, o tempo que passa nele e as páginas que visita.
• Dados do dispositivo: coletamos informações sobre seu dispositivo, como endereço IP, tipo de navegador, sistema operacional e configurações do aparelho.
• Cookies e tecnologias semelhantes: usamos cookies e tecnologias semelhantes, como o armazenamento local do navegador, conforme descrito na seção 2.3.

2.3 Cookies e tecnologias semelhantes

• Necessários: mantêm você conectado, protegem o login contra robôs, guardam sua escolha sobre cookies e mantêm o Serviço seguro. Não dependem do seu consentimento.
• Estatísticas sem cookies: o Plausible e o Vercel Web Analytics contam as visitas sem guardar cookies nem identificadores no seu dispositivo.
• Cookies de análise: o Google Analytics, o Microsoft Clarity (que também registra como você usa nossas páginas, como cliques e rolagem) e o DataFast nos ajudam a entender como o Serviço é usado. Se você está no Espaço Econômico Europeu, no Reino Unido ou na Suíça, eles só são carregados depois que você os aceita no aviso de cookies, e você pode mudar sua escolha a qualquer momento em “Configurações de cookies”, no rodapé de todas as páginas. Nos demais países, inclusive no Brasil, eles são carregados quando você visita o site.
• Monitoramento de erros: o Sentry registra informações técnicas sobre erros e, em uma amostra das visitas, uma reprodução do que aconteceu na página, com textos e imagens ocultos, para que possamos encontrar e corrigir problemas.

3. Como usamos suas informações

Usamos seus dados pessoais para as finalidades abaixo, cada uma com a base legal indicada no Regulamento Geral sobre a Proteção de Dados (“GDPR”, art. 6º, n.º 1) e, para quem está no Brasil, na Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, “LGPD”, art. 7º):

• Prestação do Serviço: criar sua conta, fazer seu login, criar e guardar suas ilustrações e outros resultados e operar o plugin para Figma. Base legal: execução do contrato com você (GDPR, alínea b; LGPD, inciso V).
• Pagamentos e registros: processar suas compras, adicionar seus créditos, emitir faturas e manter os registros fiscais e contábeis que a lei exige. Base legal: o contrato com você e nossas obrigações legais (GDPR, alíneas b e c; LGPD, incisos V e II).
• Comunicação: responder às suas mensagens e enviar e-mails sobre sua conta e suas compras. Base legal: o contrato com você e nosso legítimo interesse em responder a quem ainda não é cliente (GDPR, alíneas b e f; LGPD, incisos V e IX).
• Segurança: manter o Serviço seguro e prevenir fraudes e abusos, por exemplo verificando se os logins vêm de robôs, limitando a frequência das solicitações e bloqueando endereços de e-mail descartáveis. Base legal: nosso legítimo interesse em um Serviço seguro e funcionando (GDPR, alínea f; LGPD, inciso IX).
• Melhoria do Serviço: encontrar e corrigir erros e entender como o Serviço é usado, com estatísticas sem cookies e monitoramento de erros. Base legal: nosso legítimo interesse em um Serviço que funcione bem (GDPR, alínea f; LGPD, inciso IX).
• Cookies de análise: medir como o Serviço é usado com o Google Analytics, o Microsoft Clarity e o DataFast. Base legal: seu consentimento, onde a lei o exige (GDPR, alínea a; LGPD, inciso I), e, nos demais casos, nosso legítimo interesse em entender como o Serviço é usado (GDPR, alínea f; LGPD, inciso IX).
• Obrigações legais: cumprir as leis, os regulamentos e os procedimentos legais aplicáveis, inclusive guardar os registros de acesso exigidos pelo Marco Civil da Internet. Base legal: nossas obrigações legais (GDPR, alínea c; LGPD, inciso II).

No Brasil, para nos defender em processos judiciais, administrativos ou arbitrais, usamos também o exercício regular de direitos (LGPD, art. 7º, inciso VI).

Você precisa nos informar seu endereço de e-mail para criar uma conta e seus dados de pagamento para comprar créditos; sem eles, não conseguimos oferecer essas partes do Serviço.

Não usamos seus prompts, seus envios nem seus resultados para treinar modelos de IA, e os fornecedores de IA que usamos também não os usam para treinar os deles. Não tomamos decisões sobre você baseadas unicamente em tratamento automatizado que produzam efeitos jurídicos ou que afetem você de forma igualmente significativa.

4. Compartilhamento e divulgação de dados

Compartilhamos dados pessoais somente com:

• Prestadores de serviços: empresas que tratam dados pessoais em nosso nome, por contratos que as obrigam a mantê-los em sigilo e a usá-los só conforme nossas instruções: Vercel (hospedagem), Neon (banco de dados), Amazon Web Services (armazenamento de arquivos), Resend (envio de e-mails), Cloudflare (segurança de rede e verificação contra robôs), Upstash (limite de solicitações), UserCheck (verificação de e-mails descartáveis), Sentry (monitoramento de erros), e Plausible e Vercel (estatísticas sem cookies).
• Isso inclui fornecedores de serviços de IA nos Estados Unidos, que recebem os prompts que você digita e as imagens que você envia para criar seus resultados ou para melhorar e traduzir seus prompts.
• Processamento de pagamentos: a Stripe processa seus pagamentos. Para algumas finalidades, como prevenir fraudes e cumprir as próprias obrigações legais, a Stripe atua como controladora independente, de acordo com a política de privacidade dela.
• Login e análise: se você entra com o Google, o Google confirma sua identidade para nós. Quando você aceita os cookies de análise, ou onde o consentimento não é exigido (veja a seção 2.3), o Google (Google Analytics), a Microsoft (Clarity) e o DataFast recebem dados sobre suas visitas. O Google e a Microsoft também podem usá-los para finalidades próprias, como explicam as políticas de privacidade deles.
• Autoridades: podemos divulgar informações quando exigido por lei, por ordem judicial ou por determinação de órgão público.
• Operações societárias: se participarmos de uma fusão, aquisição ou venda de ativos, suas informações poderão ser transferidas como parte dessa operação.

Não vendemos seus dados pessoais.

5. Segurança dos dados

Adotamos medidas técnicas e organizacionais adequadas para proteger seus dados pessoais contra acesso não autorizado, alteração, divulgação ou destruição. Entre essas medidas estão:

• Criptografia dos dados em trânsito
• Redes e servidores seguros
• Avaliações de segurança periódicas
• Controle de acesso para nossos funcionários e prestadores de serviços

Fazemos o possível para proteger seus dados pessoais, mas nenhum método de transmissão pela internet ou de armazenamento eletrônico é 100% seguro. Não podemos garantir a segurança absoluta das suas informações.

6. Retenção de dados

Guardamos os dados pessoais só pelo tempo necessário para as finalidades desta Política de Privacidade:

• Sua conta e seu conteúdo: enquanto você tiver uma conta. O que você salva fica guardado até você excluir o item ou a conta. Os rascunhos das ferramentas de foto e de line art são excluídos 30 dias depois da sua última alteração, e não guardamos as fotos que você envia a essas ferramentas depois que o resultado fica pronto.
• Quando você exclui sua conta: excluímos na hora os dados da conta, as ilustrações, os envios e os créditos restantes, exceto o que os itens abaixo descrevem.
• Registros de pagamento: a Stripe guarda suas faturas e seu cadastro de cliente, e nós guardamos um registro de cada compra paga de créditos, sem o vínculo com sua conta, pelo tempo que a legislação fiscal e contábil exige: até 10 anos após o fim do ano da compra.
• Mensagens ao atendimento: pelo tempo necessário para tratar seu pedido e o que vier depois dele.
• Registros de acesso: o endereço IP e a data e a hora de cada uso do Serviço ficam guardados por 6 meses, sob sigilo e em ambiente seguro, como exige o art. 15 do Marco Civil da Internet (Lei nº 12.965/2014). Depois desse prazo, são excluídos, salvo ordem judicial ou pedido de autoridade que exija guardá-los por mais tempo.
• Dados técnicos: links de login, dados de limite de solicitações, os demais logs e os relatórios de erro são excluídos automaticamente em no máximo 90 dias. Dados excluídos podem continuar nos backups do nosso banco de dados por até 30 dias.
• Dados de análise: nossos fornecedores de análise os guardam pelo prazo definido nas configurações deles; no Google Analytics, por no máximo 14 meses.

7. Seus direitos e escolhas

Pelo GDPR e por outras leis de proteção de dados, você tem os seguintes direitos:

• Acesso: você pode solicitar informações sobre os dados pessoais que mantemos a seu respeito.
• Correção: você pode solicitar a correção de dados seus que estejam inexatos ou incompletos.
• Exclusão: você pode solicitar a exclusão dos seus dados pessoais em determinadas situações.
• Limitação: você pode solicitar que limitemos o uso dos seus dados.
• Portabilidade: você pode solicitar uma cópia dos seus dados em formato estruturado, de uso comum e legível por máquina.
• Oposição: você pode se opor a qualquer momento, por motivos ligados à sua situação particular, ao tratamento baseado no nosso legítimo interesse (art. 21 do GDPR). Nesse caso, paramos, a menos que tenhamos motivos legítimos imperiosos ou precisemos dos dados para ações judiciais.
• Revogação do consentimento: quando o tratamento se baseia no seu consentimento, você pode revogá-lo a qualquer momento; para os cookies de análise, use “Configurações de cookies”, no rodapé de todas as páginas. A revogação não afeta o tratamento feito antes dela.

Para exercer qualquer um desses direitos, escreva para info@illustro.app. Você também pode excluir sua conta na página do seu perfil. Responderemos no prazo previsto na lei aplicável, que, pelo GDPR, é de um mês.

Você também tem o direito de apresentar uma reclamação a uma autoridade de proteção de dados, em especial no país onde mora ou trabalha ou onde acredita que a lei foi violada. A autoridade responsável por nós é a Comissão de Proteção de Dados Pessoais da Bulgária, 2 Prof. Tsvetan Lazarov Blvd., 1592 Sofia, Bulgária (www.cpdp.bg).

Se você está no Brasil

A LGPD (art. 18) também garante a você o direito de:

• confirmar se tratamos dados seus;
• pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desacordo com a LGPD;
• pedir a eliminação dos dados tratados com o seu consentimento;
• saber com quais entidades públicas e privadas compartilhamos seus dados;
• saber que pode não dar o consentimento e quais são as consequências de negá-lo;
• pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, como o bloqueio automático de um prompt pelo nosso filtro de conteúdo (art. 20).

Respondemos aos pedidos de confirmação ou de acesso em até 15 dias (art. 19). Você também tem o direito de peticionar contra nós perante a Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

8. Transferências internacionais de dados

Estamos estabelecidos na Bulgária, na União Europeia, mas nossos fornecedores de hospedagem, banco de dados, armazenamento de arquivos e IA guardam e tratam os dados principalmente nos Estados Unidos. Outros fornecedores listados na seção 4 também podem tratar dados fora do Espaço Econômico Europeu.

Quando transferimos dados pessoais para fora do Espaço Econômico Europeu, nos baseamos em uma decisão de adequação da Comissão Europeia, como o EU-U.S. Data Privacy Framework para os fornecedores certificados nele, ou nas cláusulas contratuais-padrão aprovadas pela Comissão Europeia (art. 46, n.º 2, alínea c, do GDPR) nos nossos contratos com o fornecedor. Você pode nos pedir uma cópia dessas garantias em info@illustro.app.

Se você está no Brasil

Coletamos seus dados diretamente, como empresa estabelecida na Bulgária. Pela Resolução CD/ANPD nº 19/2024, essa coleta não é uma transferência internacional, mas continua sujeita à LGPD. A ANPD reconhece que a União Europeia, da qual a Bulgária faz parte, oferece um nível de proteção adequado. Quando repassamos seus dados a fornecedores em outros países, como os Estados Unidos, para hospedar o Serviço, guardar seus dados e arquivos, gerar seus resultados, processar pagamentos e enviar e-mails, fazemos isso porque é necessário para executar o contrato com você (art. 33, inciso IX, da LGPD).

9. Privacidade de crianças e adolescentes

O Serviço não se destina a menores de 16 anos (ou da idade mínima exigida no seu país). Não coletamos intencionalmente dados pessoais de menores. Se você souber que um menor nos forneceu dados pessoais sem o devido consentimento dos pais ou responsáveis, entre em contato conosco e tomaremos as providências para excluir essas informações.

No Brasil, quem tem 16 ou 17 anos só pode usar o Serviço e fazer compras com a autorização dos pais ou responsáveis.

10. Alterações nesta Política de Privacidade

Podemos atualizar esta Política de Privacidade de tempos em tempos. Avisaremos sobre qualquer alteração publicando a nova versão nesta página e atualizando a data de “Última atualização”. Se a alteração for relevante, também avisaremos por e-mail ou no Serviço antes que ela entre em vigor. Recomendamos consultar esta Política de Privacidade regularmente para saber como protegemos suas informações.

11. Fale conosco

Se tiver dúvidas sobre esta Política de Privacidade ou sobre como tratamos seus dados, escreva para info@illustro.app.

Encarregado pelo tratamento de dados pessoais (art. 41 da LGPD): Luca Mussari, no e-mail info@illustro.app. Pelo mesmo endereço, você pode exercer seus direitos e a ANPD pode nos enviar comunicações.

MOUNTAIN PEAK OOD
ul. Stefan Karadzha 10
3º andar
1000 Sofia
Bulgária
Número de IVA: BG207115644
Número de registro: 207115644