Política de privacidade

1. Quem somos (controlador de dados)

Este site (e serviços relacionados) é operado por ELSOUL LABO B.V. (Amsterdã, Países Baixos) ("nós", "nos", "nosso").

Número da Câmara de Comércio (KvK): 80297625
Contato de privacidade: [email protected]

Não nos enquadramos nas categorias de organizações para as quais a nomeação de um responsável pela proteção de dados (DPO) é obrigatória nos termos do Artigo 37 do GDPR. Reavaliamos esta avaliação anualmente nos termos do Artigo 37, nº 1.

2. Escopo desta política

Esta política aplica-se quando:

navegar em nossos sites públicos sem fazer login, e
usar recursos somente de membros que requerem autenticação (por exemplo, painéis ERPC / recursos de conta).

3. Dados que processamos

Nas páginas públicas, não usamos ferramentas de análise como o Google Analytics, tags de publicidade ou cookies para rastreamento comportamental.

No entanto, para fornecer o site, provedores de infraestrutura, como hospedagem/CDN, podem processar registros técnicos de acesso para efeitos de segurança e de resposta a incidentes, tais como:

Endereço IP e agente do usuário (navegador/SO, etc.)
timestamp, URL solicitado, referência
status de resposta e metadados relacionados com a segurança

Usamos o Cloudflare como nosso provedor de hospedagem e CDN, mas não usamos os produtos analíticos comportamentais da Cloudflare. O papel da Cloudflare é limitado à operação de infraestrutura; o rastreamento comportamental não faz parte desse escopo.

3.2 Contato

Se você entrar em contato conosco por e-mail, processamos as informações que você fornece (como seu endereço de e-mail e mensagem) para responder.

Se você criar uma conta ou fazer login (por exemplo, via Discord), podemos processar o seguinte para fornecer o serviço:

identificadores da conta (por exemplo, endereço de e-mail, ID do usuário Discord, nome de usuário)
informações de autenticação/sessão (por exemplo, tokens, chaves de API)
configuração do serviço e uso necessários para fornecer o serviço (por exemplo, plano, status de assinatura, IPs permitidos, logs de rate limit e prevenção de abuso)
histórico de suporte e comunicações

Análise de uso (suporte ao cliente e qualidade do serviço)

Objetivo: Para melhorar a qualidade do serviço e fornecer suporte ao cliente, podemos coletar registros de navegação de página, uso de recursos e eventos de interação feitos por você enquanto faz login nos serviços membros e analisá-los internamente.

Base jurídica: Artigo 6.o, nº 1, alínea f) do GDPR — interesses legítimos perseguidos por nós na prestação de suporte ao cliente confiável e melhoria do serviço. Realizamos uma Avaliação de Interesses Legítimos (LIA) equilibrando esses interesses com seus direitos e liberdades; a LIA está disponível mediante solicitação.

O que coletamos:

Transições de página (caminhos de navegação do dashboard, normalizados para remover identificadores de recurso, por exemplo. /user/baremetal/:id não /user/baremetal/<atual-id>)
Categorias de uso de funcionalidades (gestão de recursos, alterações de definições, autenticação, etc. — lista completa mantida ao lado desta cláusula)
Identificadores internos de recursos (por exemplo, IDs de baremetal/VPS/RPC de instância) quando você executa uma ação em um recurso específico, mantidos como pseudônimos internos para o mesmo período de retenção que eventos de transição de página
Horários das operações
Família de dispositivos + versão principal, família de navegador + versão principal e localização
Endereços IP, armazenados apenas como hash com salt (o salt nunca é rotacionado e é mantido como segredo de nível-1)

O que não coletamos?:

Corpos de requisição
Strings de consulta de pesquisa
Chaves de API ou tokens de autenticação
Endereços IP brutos

Destinatários / processadores: Cloudflare, Inc. (Estados Unidos) atua como nosso processador de dados para armazenamento e processamento desses logs, sob um Contrato de Processamento de Dados e Cláusulas Contratuais Padrão da UE (SCCs). Uma avaliação de impacto de transferência (TIA) está documentada para esta transferência. Veja a seção 7 para mais detalhes sobre transferências internacionais.

Nenhuma tomada de decisão automatizada com efeito legal ou equivalente significativo: Podemos usar a análise assistida por IA para resumir padrões de comportamento para o pessoal de suporte interno, mas não é tomada nenhuma decisão automatizada que tenha efeito legal sobre você ou que o afete significativamente (artigo 22.o GDPR).

Retenção: Os registros coletados para este efeito são excluídos no prazo de 30 dias (ver Seção 8).

Direito de objeção: Você pode se opor a este processamento a qualquer momento, nos termos do artigo 21.o do GDPR, contatando [email protected]Deixaremos de processar seus dados para este fim, a menos que demonstremos motivos legítimos convincentes que se sobreponham aos seus direitos.

Direito à exclusão: Após uma solicitação de exclusão nos termos do Artigo 17, nós excluímos todos os eventos, sessões e estado de presença associado com você. Mantemos um registro pseudônimo (HMAC-SHA256 de seu identificador de usuário com uma chave separada) em nosso registro de auditoria por até 12 meses, nos termos do artigo 6.o, nº 1, alínea f), para fins de segurança e prestação de contas. Este registro pseudônimo continua a ser um dado pessoal na acepção do nº 1 do artigo 4.o do GDPR.

Avaliação de Impacto da Proteção de Dados (DPIA): Foi concluído um DPIA para este processamento (artigo 35.o do GDPR). Está disponível a pedido de: [email protected].

Status de ativação: Este pipeline de análise de uso está atualmente ativo apenas em nosso ambiente de staging. A ativação em produção será feita após a conclusão da documentação da Fase 0 (DPIA / LIA / ROPA) e uma alteração de feature flag, em um cronograma independente da data de publicação desta Política de Privacidade. A publicação desta versão da Política de Privacidade constitui nosso aviso do Artigo 13 do GDPR para o processamento contemplado.

3.4 Pagamentos (Stripe)

Os pagamentos dos planos pagos são processados pela Stripe. Nós não armazenamos detalhes do cartão de pagamento.

Stripe processa dados pessoais relacionados com o pagamento como um controlador de dados independente. Na medida do necessário para faturamento e gestão de contratos, podemos receber informações da Stripe, tais como IDs de cliente, status de assinatura, faturas/receipts, e metadados de pagamento.

Nós processamos dados pessoais apenas quando temos uma base jurídica ao abrigo das leis aplicáveis (incluindo o GDPR), tais como:

Contrato: prestação de serviços aos membros, gestão de contas e suporte
Interesses legítimos: operar e manter nossos sites/serviços, segurança, prevenção contra fraude/abuso, resolução de problemas
Obrigação legal: conformidade contábil e fiscal, e outros requisitos legais
Consentimento: comunicações opcionais (por exemplo, marketing), quando aplicável (pode retirar o consentimento a qualquer momento)

5. Cookies e tecnologias semelhantes

Páginas públicas: não usamos cookies para análise/publicidade.
Recursos para membros: usamos cookies estritamente necessários (por exemplo, sessões) para mantê-lo conectado. Desativá-los pode interromper alguns recursos.
Serviços de terceiros: Stripe e Discord podem usar seus próprios cookies/tecnologias (fora do nosso controle).

6. Compartilhamento e processadores

Nós não vendemos dados pessoais.

Podemos compartilhar dados pessoais com provedores de serviços (por exemplo, hospedagem/infrastructure (Cloudflare, Inc.), entrega de e-mail, pagamentos (Stripe), autenticação (Discord) na medida do necessário. Entramos em acordos de processamento de dados (APD) com esses provedores de acordo com as leis aplicáveis.

7. Transferências internacionais

Estamos baseados no Espaço Económico Europeu (EEE), mas os nossos prestadores de serviços (por exemplo, Stripe, Discord) e locais de infraestrutura podem envolver processamento fora do EEE (por exemplo, os Estados Unidos).

Nesses casos, utilizamos salvaguardas adequadas, como as Cláusulas Contratuais Normais (CCS) e minimizamos os dados transferidos. Não usamos provedores de serviços para fins de transferência intencional ou armazenamento de dados pessoais em jurisdições consideradas de alto risco.

Para o novo processamento analítico de uso descrito na seção 3.3, nosso processador é Cloudflare, Inc. (sediado nos Estados Unidos). Embora a Cloudflare forneça infraestrutura de borda da UE-região, o acesso dos EUA à empresa-mãe ao abrigo da lei americana aplicável (por exemplo, CLOUD Act) é tratado como uma transferência internacional.

Algum processamento envolve transferência para os Estados Unidos (Cloudflare). Essas transferências são abrangidas pela decisão-quadro de adequação UE-EUA relativa à privacidade dos dados [Decisão de Execução (UE) 2023 da Comissão]./1795 de 10 de julho de 2023) e adicionalmente protegidos por cláusulas contratuais padrão. Contamos com o 2021 da Comissão Europeia/914 Cláusulas contratuais padrão, Módulo 2 (controlador-a-processador), incorporadas sob a Adenda de Processamento de Dados Cloudflare, como o principal mecanismo para esta transferência, com a decisão 2023 EU-US Data Privacy Framework de adequação como uma rede de segurança secundária. Realizamos uma Avaliação de Impacto de Transferência (ATI) documentando medidas técnicas suplementares (encriptação em repouso e em trânsito, auditoria de acesso, sem acesso público).

8. Retenção

Mantemos os dados pessoais apenas durante o tempo necessário para os fins acima descritos:

Registos técnicos: conservados por um período limitado para garantia/troubleshooting
dados da conta: mantidos enquanto sua conta estiver ativa; apagados ou anônimos, quando apropriado, após o encerramento
Contabilidade/billing: Retidos para o período exigido pela legislação neerlandesa (geralmente 7 anos), etc.
Registros analíticos de uso (Seção 3.3): suprimido no prazo de 30 dias como regra.
Resumos diários de uso agregada (Seção 3.3): retido até 90 dias, utilizado para análise de tendências internas.
Registos de auditoria (registros de pedidos de supressão e auditoria de acesso; identificadores de usuários armazenados como pseudónimos HMAC — dados pessoais pseudônimos, não anónimos): conservados até 12 meses (interesse legítimo ao abrigo do artigo 6.o, nº 1, alínea f), do GDPR).
Balde de inspeção de filas de letras mortas (Seção 3.3): retido até 7 dias, acesso restrito aos administradores designados.

9. Seus direitos

Dependendo da sua localização e da lei aplicável (incluindo o GDPR), você pode ter o direito de solicitar:

acesso, retificação, apagamento
restrição do tratamento, objecção
portabilidade dos dados
levantamento do consentimento (se o tratamento se basear no consentimento)

Para exercer os seus direitos, contacte-nos [email protected]. Tem também o direito de apresentar uma queixa à autoridade supervisora neerlandesa (Autoriteit Persoonsgegegevens) ou à sua autoridade local.

Nós não realizamos tomada de decisão automatizada ou perfil que produz efeitos legais ou igualmente significativos sobre você.

10. Alterações

Podemos atualizar esta política de tempos em tempos, publicando uma nova versão nesta página.

Última atualização: 2026-05-10