Política de Privacidade

Última atualização: 10 de outubro de 2026

A Bycoded Tecnologia Ltda. ("Basaltic", "nós" ou "nosso") trata dados pessoais para operar seu site e seus serviços de nuvem. Esta Política de Privacidade descreve os dados coletados, seu uso, armazenamento e compartilhamento, os controles disponíveis e como exercer seus direitos previstos na Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018).

1. Definições

Para os fins desta Política:

• Dados Pessoais: qualquer informação relacionada a pessoa natural identificada ou identificável.
• Tratamento: toda operação realizada com dados pessoais, como coleta, armazenamento, uso, compartilhamento e eliminação.
• Titular: pessoa natural a quem se referem os dados pessoais.
• Controlador: a parte que decide por que e como os dados pessoais são tratados. A Basaltic atua como controladora na administração de contas, no faturamento, na segurança e no suporte.
• Operador: pessoa que realiza o tratamento de dados pessoais em nome do controlador.

Quando você usa os Serviços para armazenar ou tratar dados pessoais sob seu controle, você determina as finalidades desse tratamento. A Basaltic trata esse Conteúdo do Cliente para prestar os serviços solicitados. Isso difere dos registros de conta, faturamento e segurança descritos nesta Política.

2. Dados que Coletamos

Coletamos as seguintes categorias de dados pessoais:

2.1 Dados de Cadastro

• Nome, endereço de e-mail e situação da verificação
• Número de telefone e situação da verificação quando você adiciona ou verifica um número
• Foto de perfil e identificador da conta Google quando você escolhe entrar com o Google
• Vínculos com organizações e contas, funções, idioma e fuso horário
• Nome para faturamento, CPF ou CNPJ, endereço e informações fiscais fornecidas por você
• Registros de autenticação, hashes de senhas e informações necessárias aos métodos de autenticação que você habilita

2.2 Dados de Pagamento

• Dados de cartão inseridos na interface de pagamento da Stripe; a Basaltic mantém referências do provedor e metadados limitados, como bandeira, últimos quatro dígitos e validade, em vez do número completo ou código de segurança
• Resultados da autenticação do cartão e registros da sua autorização de cobrança automática
• Cobranças de uso, faturas, créditos, pagamentos, reembolsos, contestações e documentos fiscais

2.3 Dados de Uso

• Endereço IP e informações de navegador ou dispositivo enviadas nas requisições
• Eventos de login, sessão e segurança
• Identificadores, configurações, operações e uso medido dos recursos
• Registros de acesso e auditoria da plataforma
• Dados de interação com o site quando ferramentas de análise estão configuradas, conforme a seção 9

2.4 Dados de Suporte

• Nome e e-mail de contato, assunto do chamado, departamento, mensagens e histórico de atendimento
• Informações e anexos enviados por e-mail ao suporte, incluindo detalhes técnicos ou logs
• Solicitações de aumento de cota, respostas da equipe e notas internas do atendimento

2.5 Evidências limitadas de conformidade

Mantemos um histórico separado e restrito de eventos de acesso e segurança da plataforma, alterações cadastrais e de contato, identificação de faturamento (incluindo CPF/CNPJ e estado de verificação), alterações na alocação e vinculação de IPs da nuvem e registros limitados de pagamento e prestação do serviço. Isso permite relacionar um endereço ou evento a uma conta, investigar abuso, atender solicitações válidas e demonstrar fatos de uma transação. Não comprova quem praticou pessoalmente um ato. Esse tratamento não coleta conteúdo das máquinas virtuais, senhas, chaves privadas, conteúdo de pacotes nem sites visitados a partir das suas instâncias.

2.6 Conteúdo do Cliente

Tratamos arquivos, objetos, segredos, mensagens, logs, traces e outros conteúdos que você envia aos serviços utilizados. Esse conteúdo pode conter dados pessoais. O armazenamento, o acesso e a exclusão dependem do serviço e da sua configuração, incluindo retenção, snapshots, versões de objetos e preservações legais. As evidências limitadas de conformidade da seção 2.5 são registros separados, não uma cópia de todo o Conteúdo do Cliente.

2.7 Assistente do console

Ao usar o assistente do console, armazenamos sua conversa, a organização, conta e região selecionadas, resultados relevantes dos recursos e decisões sobre ações. Mensagens, contexto e resultados de ferramentas necessários para responder à sua solicitação são enviados à OpenAI; consultas à documentação também podem ser enviadas ao nosso serviço de documentação. A integração filtra campos comuns de credenciais nos resultados das ferramentas, mas o texto que você insere ainda pode conter dados pessoais ou confidenciais. Não inclua senhas, chaves privadas ou informações desnecessárias à solicitação.

3. Finalidades do Tratamento

Utilizamos seus dados pessoais para as seguintes finalidades:

• Prestação de serviços: criar e gerenciar sua conta, provisionar recursos de infraestrutura, processar pagamentos e fornecer suporte técnico.
• Comunicações: enviar mensagens de conta e faturamento, códigos de verificação, notificações de serviço, alertas de segurança e respostas do suporte.
• Segurança: prevenir fraudes, detectar atividades suspeitas, proteger nossos sistemas e cumprir obrigações legais.
• Melhoria dos serviços: usar registros operacionais e, quando configuradas, análises do site para entender o uso dos serviços e investigar problemas.
• Obrigações legais: cumprir determinações legais, regulatórias ou judiciais.

4. Bases Legais para o Tratamento

O tratamento de dados pessoais pela Basaltic está fundamentado nas seguintes bases legais previstas na LGPD:

• Execução de contrato: para prestação dos serviços contratados.
• Cumprimento de obrigação legal: para atender exigências fiscais, contábeis e regulatórias.
• Legítimo interesse: para prevenção de fraudes, segurança da plataforma e melhoria dos serviços.
• Consentimento: quando solicitamos consentimento para uma finalidade específica; ele pode ser revogado pelo nosso contato de privacidade.
• Exercício regular de direitos: tratar contestações de pagamento e estabelecer fatos em processos judiciais ou administrativos.

5. Compartilhamento de Dados

Podemos compartilhar seus dados pessoais com:

• Pagamentos — Stripe: informações de pagamento e autenticação de cartões, contatos de faturamento, referências de transações e evidências pertinentes a contestações são tratados pela Stripe e pelas instituições financeiras envolvidas.
• Login e prevenção de abuso — Google: o login com Google troca informações de perfil e autenticação quando você o escolhe. O reCAPTCHA trata informações de interação do navegador e verificação nos fluxos de autenticação protegidos.
• Verificação de telefone — Twilio: seu número e a solicitação de verificação são enviados ao Twilio Verify. A entrega usa o canal configurado, como WhatsApp ou SMS, e seus provedores de mensagens ou telecomunicações.
• Assistente do console — OpenAI: o contexto da conversa e os resultados relevantes das ferramentas são tratados para gerar respostas quando você usa o assistente. Consultas à documentação também podem chegar ao nosso serviço de documentação.
• E-mail e suporte: notificações de conta e mensagens de suporte são entregues pelo nosso serviço de e-mail e pelos provedores de e-mail dos destinatários. Notificações de suporte também chegam à caixa de e-mail da nossa equipe.
• Infraestrutura e análises: provedores de hospedagem e rede tratam os dados necessários à operação dos seus serviços. Quando habilitado no site, o Google Tag Manager carrega as integrações de análise configuradas, conforme a seção 9.
• Autoridades fiscais e públicas: a identificação de faturamento e informações de transações são enviadas à Prefeitura de São Paulo para emissão de documentos fiscais. Outros compartilhamentos são avaliados conforme a solicitação legal aplicável.

Chamados de suporte da organização e suas mensagens públicas são visíveis aos membros com as permissões necessárias na organização. Chamados recebidos por e-mail externo não são vinculados automaticamente a uma organização apenas porque um endereço de e-mail coincide.

O acesso ao histórico de conformidade descrito na seção 2.5 exige funcionários especificamente autorizados e autenticação adicional. Pesquisas, revelações, preservações, geração de relatórios, downloads e divulgações são auditados. A divulgação a autoridades é avaliada conforme o instrumento autenticado e seus sujeitos, campos e períodos permitidos; registros de acesso e conexão exigem a autoridade judicial aplicável, enquanto requisições cadastrais legalmente autorizadas se limitam aos campos de identificação e endereço permitidos.

6. Armazenamento e Segurança

A região atual de computação e armazenamento é São Paulo, Brasil. Dados de conta, pagamento, comunicação e integrações também seguem os fluxos de tratamento das seções 5 e 10. Os controles de segurança incluem:

• TLS nas conexões com APIs públicas
• Hash de senhas e permissões IAM com escopo de organização, conta e função
• Autenticação multifator opcional no login do cliente
• Criptografia AES256 no servidor para armazenamento de objetos quando habilitada no bucket ou solicitada no upload; habilitar um padrão no bucket se aplica às gravações seguintes
• Criptografia no Secrets e integrações KMS compatíveis, incluindo Telemetria
• Evidências de conformidade criptografadas, acesso restrito da equipe com autenticação adicional e registro das ações de acesso e divulgação

Os recursos e as configurações de criptografia variam por serviço. Esses controles não significam que todo volume, objeto, backup ou aplicativo do cliente seja criptografado em repouso por padrão. Os clientes configuram as permissões dos recursos, as opções de criptografia disponíveis e as proteções das aplicações.

7. Retenção de Dados

Excluir um recurso de nuvem, encerrar um chamado e solicitar a exclusão de dados pessoais são ações diferentes. A exclusão de contas e organizações segue os requisitos do ciclo de vida dos recursos e não apaga automaticamente registros de faturamento, histórico de suporte ou evidências de conformidade mantidas separadamente.

Chamados de suporte mantêm dados de contato, conversas e anexos copiados após o encerramento ou a exclusão de uma identidade vinculada. Atualmente, não têm prazo fixo de expiração automática. Para e-mails de suporte recebidos, a cópia bruta de transporte normalmente expira após 90 dias e pelo menos 14 dias depois da publicação na fila de processamento; mensagens ainda não publicadas permanecem pendentes. Essa expiração não exclui a cópia no chamado. Entre em contato para solicitar a revisão ou exclusão de dados pessoais retidos.

Mantemos as conversas do assistente até você excluí-las; fechar o painel ou arquivar uma conversa não exclui seu conteúdo. A exclusão da conversa remove suas mensagens, contexto do modelo e conteúdo das ações do armazenamento operacional. Registros mínimos de auditoria das aprovações e contadores de uso permanecem separados. Nossas requisições desabilitam o armazenamento de objetos da Responses API na OpenAI; isso não promete retenção zero pelo provedor nem remoção imediata de backups.

Os dados operacionais da conta seguem o serviço ativo e o processo de exclusão. O histórico separado de conformidade tem limites por categoria, contados de cada evento ou observação: acesso à plataforma, 6 meses corridos; alocação e titularidade de IP, 12 meses; histórico cadastral e de contato, 12 meses; falhas de autenticação e eventos de segurança de credenciais, 90 dias; evidências de prestação do serviço, 12 meses; proveniência limitada de pagamentos e documentos fiscais, 60 meses; e auditoria de acesso e divulgação de evidências, 12 meses. Os documentos fiscais originais seguem suas próprias obrigações aplicáveis. Esses prazos não representam uma retenção genérica de todos os dados da conta por cinco anos.

Uma obrigação de preservação documentada e delimitada pode estender os registros necessários além do prazo básico até sua expiração ou liberação. A preservação, por si só, não autoriza divulgação. Relatórios e seus recortes de evidências normalmente expiram em até 30 dias, podendo ficar indisponíveis antes quando a fonte expira; uma preservação explícita pode abrangê-los. Um registro mínimo dos relatórios é mantido por um ano. Os registros necessários do caso e da autoridade são mantidos por um ano após o encerramento ou prazo da solicitação, observadas as preservações aplicáveis. Registros de conformidade e índices expirados, sem preservação, são excluídos. Backups restritos seguem seu ciclo de recuperação; dados restaurados são conciliados com as decisões atuais de retenção e preservação antes de liberar o acesso.

8. Seus Direitos

Você pode exercer os seguintes direitos previstos na LGPD, observadas as condições e exceções aplicáveis:

• Confirmação e acesso: confirmar a existência de tratamento e acessar seus dados pessoais.
• Correção: solicitar a correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação: de dados desnecessários, excessivos ou tratados em desconformidade.
• Portabilidade: solicitar a portabilidade a outro fornecedor conforme a regulamentação aplicável, respeitados os segredos comercial e industrial.
• Eliminação: solicitar a exclusão de dados tratados com consentimento, observadas as hipóteses legais de conservação.
• Informação: ser informado sobre entidades com as quais compartilhamos seus dados.
• Revogação do consentimento: retirar o consentimento a qualquer momento.
• Oposição: opor-se ao tratamento baseado em dispensa de consentimento quando houver descumprimento da LGPD.

Para exercer seus direitos, escreva para privacidade@basaltic.sh ou abra um chamado de suporte no console. Essas solicitações são analisadas pela equipe; excluir um recurso não substitui uma solicitação relativa a dados pessoais.

Verificamos a identidade do solicitante e sua autoridade para representar outra pessoa ou organização, limitamos a resposta ao titular e explicamos as exceções de retenção aplicáveis. Uma correção registra os novos fatos sem reescrever silenciosamente evidências históricas. Pedidos de exclusão de recursos ativos e pedidos sobre evidências legais retidas de forma independente são avaliados separadamente.

9. Cookies e Tecnologias Similares

O site e o console usam cookies e armazenamento local ou de sessão do navegador para estas funções:

• Autenticação e segurança: continuidade de sessão, fluxos de login e prevenção de abuso, incluindo reCAPTCHA nas páginas de autenticação protegidas.
• Preferências e navegação: lembrar idioma, organização, conta e região selecionadas e estado da interface.
• Análises configuradas no site: As preferências de cookies são compartilhadas entre basaltic.sh e console.basaltic.sh por um cookie próprio, válido por até 180 dias. Em “Preferências de cookies”, você pode aceitar, recusar ou escolher separadamente a análise de visitas e a medição de conversões. O Google Analytics é carregado somente no site público, após sua permissão para análise de visitas. Os cookies essenciais de idioma, autenticação e segurança não dependem dessa escolha. Você pode retirar a permissão a qualquer momento; a retirada limpa cookies conhecidos da finalidade desativada e recarrega a página quando necessário para interromper o código já carregado. Uma nova escolha pode ser solicitada após alterações nas finalidades ou na política.
• Medição opcional de anúncios no console: Com sua permissão para medição de conversões, o Google Ads é carregado no site público e nas páginas de cadastro e ativação da organização no console. Usa identificadores de clique, cookies próprios de atribuição e um identificador aleatório de conversão para associar anúncios à conclusão da ativação. Encaminhamos apenas parâmetros de campanha permitidos ao cadastro; não incluímos nome, e-mail, telefone, dados de pagamento ou detalhes dos recursos nos eventos de conversão. Não habilitamos anúncios personalizados nem Google Analytics no console. A escolha feita no site também vale no console, sem uma segunda solicitação. A retirada limpa os identificadores de atribuição conhecidos neste navegador. A medição não carrega em páginas de recursos nem em URLs com parâmetros de autenticação. O Google pode tratar os dados fora do Brasil e usá-los conforme suas políticas de medição e publicidade. Se o navegador impedir o salvamento da preferência, use suas configurações para limpar ou bloquear os dados do site.

Você pode bloquear ou limpar cookies e dados de armazenamento do site no navegador. Bloquear armazenamento essencial ou verificações de autenticação de terceiros pode impedir o login ou outras funções. O uso do site, por si só, não constitui consentimento para todas as finalidades opcionais de tratamento.

10. Transferência Internacional

Provisionar computação ou armazenamento em São Paulo não restringe todo o tratamento de dados pessoais ao Brasil. Pagamentos Stripe, login com Google e reCAPTCHA, verificação Twilio, solicitações do assistente à OpenAI, análises configuradas e entrega de e-mails envolvem provedores externos e podem tratar dados fora do Brasil. Os dados e a finalidade dependem da função utilizada, conforme a seção 5.

Os locais de tratamento, a retenção e os arranjos contratuais dos provedores variam por serviço. Escreva para privacidade@basaltic.sh para obter informações sobre os destinatários e o tratamento internacional relacionados ao seu uso. Os requisitos aplicáveis da LGPD continuam válidos; esta Política não afirma que todas as integrações usem configuração restrita ao Brasil ou um mecanismo contratual específico de transferência.

11. Menores de Idade

Nossos serviços não são direcionados a menores de 18 anos. Não coletamos intencionalmente dados pessoais de menores. Se você é responsável por um menor e acredita que ele nos forneceu dados pessoais, entre em contato conosco para que possamos tomar as medidas apropriadas.

12. Alterações nesta Política

Podemos atualizar esta Política periodicamente para refletir mudanças em nossas práticas ou requisitos legais. Alterações significativas serão comunicadas através do console, e-mail ou outro meio adequado. A data de última atualização será sempre indicada no início do documento.

13. Contato de Privacidade

Para dúvidas, solicitações ou reclamações sobre esta Política ou seus dados pessoais, entre em contato com a equipe de privacidade da Basaltic:

Você também pode apresentar uma reclamação à Agência Nacional de Proteção de Dados (ANPD) caso considere que seus direitos não foram atendidos.