01
Quem somos
A Grabatus Serviços de Estatística e Matemática Ltda., com sede em São Paulo, Brasil, é a controladora dos dados pessoais tratados em grabatus.com, na API e no servidor MCP. Nesta política, Grabatus, nós e Serviços se referem a esse conjunto.
O Encarregado pelo tratamento de dados pessoais (DPO) é Rodolpho Macedo, no e-mail contato@grabatus.com. É o canal para qualquer pedido ou dúvida sobre os seus dados, em qualquer país.
Quando você envia arquivos que contêm dados pessoais de terceiros, como clientes ou funcionários da sua empresa, você é o controlador desses dados e a Grabatus atua como operadora, tratando-os apenas conforme as suas instruções.
02
Dados que coletamos
| Categoria | O que é | Origem |
|---|---|---|
| Conta | Nome, e-mail, avatar e senha (guardada apenas como hash). No login social, o identificador da conta Google ou GitHub. | Você |
| Arquivos e análises | Os arquivos que você envia, os parâmetros escolhidos e os resultados gerados. | Você |
| Assistente | As conversas com o assistente da plataforma e os fatos de negócio que você pede para ele lembrar. | Você |
| Pagamento | Plano, histórico de cobranças e identificador do cliente na Stripe. Não recebemos nem guardamos o número do cartão. | Você e a Stripe |
| Comunicação | Mensagens enviadas pelos formulários de contato, pesquisas e publicações na comunidade. | Você |
| Uso e dispositivo | Endereço IP, tipo de navegador, páginas acessadas e registros de chamadas à API e ao MCP. | Coleta automática |
Não pedimos dados sensíveis, como saúde, biometria, origem racial, religião ou opinião política, nem documentos de identidade ou dados bancários. Não envie arquivos com esse tipo de informação; se precisar analisá-los, anonimize antes.
03
Finalidades e bases legais
Tratamos dados pessoais apenas para as finalidades abaixo, cada uma com a sua base na LGPD (Lei nº 13.709/2018) e a equivalente no GDPR.
| Finalidade | LGPD | GDPR |
|---|---|---|
| Criar a conta e executar as análises contratadas | Execução de contrato (art. 7, V) | Contrato (art. 6.1.b) |
| E-mails transacionais, como análise concluída | Execução de contrato (art. 7, V) | Contrato (art. 6.1.b) |
| Cobrança, faturamento e obrigações fiscais | Contrato e obrigação legal (art. 7, II e V) | Contrato e obrigação legal (art. 6.1.b e c) |
| Responder mensagens e pedidos de suporte | Legítimo interesse (art. 7, IX) | Legítimo interesse (art. 6.1.f) |
| Segurança, prevenção a fraudes e auditoria | Legítimo interesse (art. 7, IX) | Legítimo interesse (art. 6.1.f) |
| Medição de uso e publicidade | Consentimento (art. 7, I) | Consentimento (art. 6.1.a) |
Não tomamos decisões automatizadas que produzam efeitos jurídicos sobre você. Os resultados dos modelos são um apoio à sua decisão, não uma decisão nossa a seu respeito.
04
Com quem compartilhamos
Não vendemos nem alugamos dados pessoais. As categorias de destinatários abaixo recebem apenas o necessário para prestar o serviço, sob contrato e com obrigação de confidencialidade.
| Destinatário | Para quê |
|---|---|
| Google Cloud · Amazon Web Services | Armazenamento dos arquivos e resultados, criptografados em repouso, e processamento das análises. |
| Hostinger | Hospedagem da aplicação e do banco de dados. |
| Stripe | Processamento de pagamentos. Nunca recebe o conteúdo dos seus arquivos. |
| Anthropic | Modelo de linguagem do assistente da plataforma. Recebe as mensagens da conversa e os resumos dos resultados necessários para responder. |
| Google Workspace | Envio de e-mails transacionais e atendimento. |
| Google Analytics · Microsoft Clarity · Google Ads | Medição de uso e de campanhas. Carregados somente depois do seu consentimento. |
| Google e GitHub (login) | Autenticação, quando você escolhe entrar com uma dessas contas. |
Também podemos divulgar dados quando exigido por lei ou ordem de autoridade competente, para proteger direitos e a segurança dos usuários, ou em caso de fusão, aquisição ou venda de ativos, situação em que você será avisado antes.
05
Transferências internacionais
A Grabatus opera a partir do Brasil e usa fornecedores com infraestrutura em outros países, principalmente nos Estados Unidos. Por isso, seus dados podem ser tratados fora do país em que você vive.
Essas transferências são feitas com as salvaguardas previstas em lei: cláusulas contratuais padrão com os fornecedores, medidas técnicas de segurança e, quando a lei exige, o seu consentimento específico. Você pode pedir mais informações sobre as salvaguardas ao Encarregado.
07
Prazos de retenção
Guardamos dados pessoais apenas pelo tempo necessário para cada finalidade. Depois disso, são apagados ou anonimizados.
| Tipo de dado | Prazo | Motivo |
|---|---|---|
| Conta de usuário | Enquanto a conta existir | Execução do contrato |
| Uploads e resultados | Até você apagar, ou 90 dias após o cancelamento da conta | Execução do contrato |
| Histórico de pagamentos | 5 anos após a última transação | Obrigação fiscal |
| Mensagens de contato | 2 anos | Legítimo interesse |
| Logs de auditoria da API e do MCP | 90 dias | Segurança |
| Tokens OAuth | Acesso: 1 hora. Atualização: 30 dias, trocado a cada uso | Segurança |
08
Segurança
Usamos conexões cifradas (HTTPS), criptografia em repouso nos arquivos, senhas guardadas apenas como hash, controle de acesso por conta e registros de auditoria. O acesso interno aos dados é restrito ao necessário para operar e dar suporte.
Nenhum sistema é totalmente imune a incidentes. Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante a você, avisaremos você e as autoridades competentes nos prazos previstos em lei. Do seu lado, mantenha a senha em segredo e revogue os acessos que não usa mais.
09
Seus direitos
Onde quer que você esteja, pode pedir a qualquer momento, sem custo:
- Confirmação e acesso: saber se tratamos seus dados e receber uma cópia.
- Correção: atualizar dados incompletos, inexatos ou desatualizados.
- Exclusão: apagar seus dados, salvo os que a lei nos obriga a manter, como o histórico fiscal.
- Portabilidade: receber seus dados em formato estruturado e legível por máquina.
- Oposição e limitação: opor-se a tratamentos baseados em legítimo interesse ou pedir que sejam restringidos.
- Revogação do consentimento: retirar o consentimento para medição e publicidade, sem afetar o que foi feito antes.
Como exercer
Escreva para contato@grabatus.com a partir do e-mail da sua conta. Podemos pedir uma confirmação de identidade antes de atender. Você também pode agir sozinho: apagar uploads pelo painel ou pelo endpoint DELETE /api/v1/{service}/uploads/{id}/ e excluir a conta inteira nas configurações ou pelo endpoint DELETE /api/v1/profiles/me/.
Exercer um direito nunca resulta em tratamento pior, preço diferente ou perda de acesso ao serviço. As seções a seguir detalham o que cada lei acrescenta.
10
Brasil · LGPD
Se você está no Brasil, aplica-se a Lei Geral de Proteção de Dados (Lei nº 13.709/2018). Além dos direitos acima, o art. 18 garante a anonimização ou o bloqueio de dados desnecessários, a informação sobre com quem compartilhamos seus dados e a informação sobre a possibilidade de não consentir e as consequências disso.
- Respondemos aos pedidos em até 15 dias.
- O Encarregado (art. 41) é o canal entre você, a Grabatus e a Autoridade Nacional de Proteção de Dados (ANPD).
- Se entender que seu pedido não foi atendido, você pode reclamar à ANPD em gov.br/anpd ou aos órgãos de defesa do consumidor.
11
União Europeia e Reino Unido · GDPR
Se você está no Espaço Econômico Europeu, no Reino Unido ou na Suíça, aplicam-se o Regulamento (UE) 2016/679 (GDPR) e as leis locais equivalentes. A Grabatus é a controladora e as bases legais de cada tratamento estão na seção 3.
- Você tem os direitos dos arts. 15 a 22: acesso, retificação, apagamento, limitação, portabilidade, oposição e o de não ficar sujeito a decisões exclusivamente automatizadas.
- Respondemos em até um mês, prorrogável por mais dois em casos complexos, com aviso prévio.
- As transferências para fora do Espaço Econômico Europeu usam as cláusulas contratuais padrão aprovadas pela Comissão Europeia ou outro mecanismo válido.
- Você pode apresentar reclamação à autoridade de proteção de dados do país onde vive ou trabalha, sem prejuízo de falar antes conosco.
12
Estados Unidos · CCPA e leis estaduais
Se você mora na Califórnia ou em outro estado com lei de privacidade do consumidor, como Virgínia, Colorado, Connecticut, Utah e Texas, oferecemos os direitos abaixo mesmo quando a lei não nos obriga.
- Saber, corrigir e apagar: conhecer as categorias e os dados específicos que coletamos, de onde vieram, para que usamos e com quem compartilhamos, corrigi-los e apagá-los.
- Venda e compartilhamento: não vendemos dados pessoais. Ferramentas de publicidade só são carregadas com o seu aceite; recusar no aviso de cookies equivale a optar por não ter seus dados vendidos ou compartilhados para publicidade comportamental.
- Dados sensíveis: não coletamos nem usamos informações pessoais sensíveis para inferir características sobre você.
- Não discriminação: você não recebe serviço ou preço diferente por exercer seus direitos.
- Agente autorizado e recurso: um agente pode fazer o pedido em seu nome, com autorização por escrito. Se negarmos um pedido, você pode recorrer respondendo ao mesmo e-mail e, se a negativa for mantida, procurar o procurador-geral do seu estado.
Respondemos em até 45 dias. Nos últimos 12 meses coletamos as categorias descritas na seção 2: identificadores, informações comerciais, atividade na internet e o conteúdo que você envia. As finalidades estão na seção 3 e os destinatários na seção 4.
13
China · PIPL
Se você está na China continental, aplica-se a Lei de Proteção de Informações Pessoais (PIPL). Tratamos suas informações com base no seu consentimento e no que é necessário para cumprir o contrato com você.
- Tratamento fora da China: a Grabatus não mantém servidores na China continental. Seus dados são enviados para o Brasil e para os países dos fornecedores da seção 4, e tratados para as finalidades da seção 3. Ao criar a conta e usar os Serviços, você consente de forma específica com essa transferência; sem ela não conseguimos prestar o serviço.
- Seus direitos: conhecer e decidir sobre o tratamento, restringi-lo ou recusá-lo, consultar e copiar seus dados, transferi-los, corrigi-los, apagá-los, retirar o consentimento e pedir explicação sobre estas regras.
- Informações sensíveis e menores: não pedimos informações pessoais sensíveis e não tratamos conscientemente dados de menores de 14 anos.
- Contato: os pedidos são atendidos pelo Encarregado, em contato@grabatus.com.
14
Conectores MCP e assistentes de IA
Quando você conecta a Grabatus a um cliente de IA de terceiros, como Claude.ai ou ChatGPT, pelo nosso servidor MCP, valem as regras abaixo, além do restante desta política.
Categorias de dados
- Identificador da conta (e-mail) vinculado à autorização OAuth.
- Arquivos que você decide enviar pelo conector.
- Parâmetros de análise informados por você.
Finalidades
Exclusivamente executar a análise que você pediu. O conteúdo dos seus arquivos não é usado para treinar modelos, traçar perfis, exibir anúncios ou qualquer outro fim.
Categorias de destinatários
- Google Cloud Storage e Amazon S3, com armazenamento criptografado em repouso.
- Stripe, apenas para cobrança. Nunca recebe o conteúdo dos arquivos.
- O cliente de IA que iniciou a autorização OAuth, que recebe apenas o resultado da análise solicitada.
Prazos de retenção
- Tokens de acesso OAuth: 1 hora. Tokens de atualização: 30 dias, trocados a cada uso.
- Arquivos enviados e resultados: até você os apagar, ou 90 dias após o cancelamento da assinatura.
- Logs de auditoria das chamadas MCP, sem o conteúdo dos arquivos: 90 dias.
Seus controles
- Revogar qualquer conector a qualquer momento em aplicativos autorizados.
- Apagar qualquer upload pelo painel ou pelo endpoint
DELETE /api/v1/{service}/uploads/{id}/. - Pedir a exclusão completa da conta em contato@grabatus.com.
Pelos conectores nunca coletamos dados de cartão de pagamento, informações de saúde, números de documentos de identidade, senhas ou códigos de autenticação. O que o cliente de IA faz com as respostas que recebe segue a política de privacidade dele.
15
Menores de idade
Os Serviços são voltados a empresas e profissionais e não se destinam a menores de 18 anos. Não coletamos conscientemente dados de crianças e adolescentes. Se você acredita que um menor nos forneceu dados, avise e nós os apagaremos.
16
Alterações e contato
Podemos atualizar esta política para refletir mudanças nos Serviços ou na lei. A data no topo indica a versão em vigor. Mudanças relevantes são avisadas por e-mail ou na plataforma antes de valerem, e quando a lei exigir pediremos novo consentimento.
Esta política faz parte dos Termos de Serviço. Dúvidas, pedidos e reclamações: contato@grabatus.com ou a página de contato.
Em caso de divergência entre traduções, prevalece a versão em português.