Transparência de Privacidade

Atividades de tratamento (ROPA)

Lista resumida das categorias de tratamento ativas. A versão técnica completa, incluindo medidas de segurança aplicadas a cada atividade, vive na tabela data_processing_records e está sujeita a auditoria. Para clientes empresariais, fornecemos cópia detalhada sob pedido a info@gerart.ai.

Atividade	Base legal LGPD	Retenção	Transferência internacional
Autenticação	Execução de contrato	Enquanto a conta estiver ativa	Sim — Supabase (US)
Faturamento e assinaturas	Execução de contrato + cumprimento de obrigação legal (CTN art. 174)	5 anos após a transação (fiscal)	Sim — Stripe (US)
Processamento por IA generativa	Execução de contrato	Prompts e logs: 30 dias (anonimização)	Sim — OpenAI, Anthropic, Ideogram, Replicate, FAL (US)
Armazenamento de arquivos do Drive	Execução de contrato	Enquanto ativo; 30 dias em soft-delete após exclusão	Sim — Cloudflare R2 e Supabase Storage (US)
BrandKit e MyBrand DNA	Execução de contrato	Enquanto a marca estiver ativa no workspace	Sim — R2 + Supabase (US)
Suporte via Telegram	Execução de contrato	180 dias na tabela gerart_team_chat	Sim — Telegram (NL)
Marketing e comunicação	Consentimento (opt-in)	Até revogação do consentimento	Sim — MailerSend (US)
Logs de segurança e auditoria	Legítimo interesse + cumprimento de obrigação legal	Audit logs: 365 dias · Security events: 90 dias · Imutáveis no banco	Sim — Supabase, Sentry (US)
Convites de workspace	Execução de contrato	Token expira em até 30 dias; registro mantido enquanto a conta estiver ativa	Sim — MailerSend (US)
Consentimento de cookies	Consentimento	Até 13 meses ou revogação explícita	Sim — Supabase (US)

Política de retenção por categoria

Estas regras são executadas diariamente pelo cron de retenção (scripts/lgpd-retention-job.mjs → /api/internal/privacy/retention). Cada execução grava um audit log imutável.

Categoria	Prazo	Comportamento
Logs de segurança (security_events)	90 dias	Exclusão
Prompts e respostas de IA	30 dias	Anonimização
Billing e fiscal (workspace_usage_events, subscriptions, topups)	5 anos	Soft-delete
Audit logs de privacidade	1 ano (mínimo)	Imutável durante o período
Convites expirados	30 dias	Exclusão
Chat de suporte Telegram	180 dias	Exclusão
Arquivos em soft-delete (Drive)	30 dias	Exclusão definitiva (R2 + Storage)
Consentimento de cookies autenticado	13 meses	Anonimização
Versões antigas de projetos canvas (autosave)	90 dias	Exclusão
Eventos Stripe processados	5 anos	Exclusão

Compromissos públicos mensuráveis

SLA de atendimento a DSAR: 15 dias úteis (LGPD Art. 18)
Notificação à ANPD em caso de incidente relevante: Até 48h após confirmação (LGPD Art. 48)
Notificação a titulares afetados: Após contenção; em regra dentro de 72h
Aviso prévio antes de mudar subprocessador: 30 dias
Disponibilidade de exportação dos próprios dados: Self-service em /data-request (qualquer hora)
Tempo de exclusão de conta após pedido: Até 30 dias (operacional); legal hold para billing por 5 anos
Janela de PITR (Point-In-Time Recovery): Pelo menos 7 dias no provedor de banco

Subprocessadores

Lista pública e versionada em /subprocessors. Mudanças relevantes são comunicadas com 30 dias de antecedência. Para cada subprocessador mantemos um vendor risk assessment interno em docs/privacy/vendor-risk/.

Incidentes

Não houve incidentes públicos reportados a titulares até a data desta página. O runbook técnico de resposta vive em docs/security/incident-response-runbook.md e o tabletop trimestral em docs/security/breach-tabletop.md. Em caso de incidente que exija comunicação, esta página será atualizada com link para a notificação pública dentro de 72h após contenção.

Direitos dos titulares

Você pode exercer todos os direitos previstos no Art. 18 da LGPD — acesso, retificação, eliminação, portabilidade, oposição, revogação de consentimento — pela página /data-request (sem precisar de conta) ou pelo Centro de Privacidade dentro do app (/app/settings/privacy).

Encarregado pelo Tratamento de Dados (DPO)

Thiago Gomes — e-mail: info@gerart.ai.