Política de Privacidade

Controlador e encarregado

O controlador dos dados é VERTRA CLOUD LTDA, inscrita no CNPJ sob o nº 69.320.419/0001-27, com sede na Rua Barbosa de Freitas, 1741, Sala 04, Aldeota, Fortaleza, CE, CEP 60170-021, Brasil, operando sob o nome fantasia "Vertra Cloud". O encarregado pelo tratamento de dados pessoais (DPO) é Francisco Endrey da Mata Araujo, e o canal para qualquer assunto de privacidade é [email protected].

Documentos relacionados: Termos de Uso · Política de Uso Aceitável

1. Papéis: quando somos controlador e quando somos operador

Para os dados da sua conta — cadastro, autenticação, pagamento, logs de acesso, uso do painel e suporte — a Vertra é controladora e esta Política se aplica integralmente.

Para o conteúdo que você hospeda — código, arquivos, bancos de dados, variáveis de ambiente, logs das suas aplicações — e para os dados pessoais de terceiros que suas aplicações processam, você é o controlador. A Vertra atua como operadora: executa, armazena e transmite esse conteúdo apenas para prestar o serviço, conforme suas instruções técnicas, e não o utiliza para outra finalidade. As obrigações da LGPD perante esses titulares (base legal, transparência, atendimento a direitos, comunicação de incidentes) são suas; a seção 11 detalha isso.

2. Dados que coletamos

Cadastro e autenticação: nome, e-mail, idioma, avatar e o identificador da sua conta no provedor de login que você escolher (Discord, GitHub ou Google). Se você conectar o GitHub para deploy, guardamos o identificador da instalação e os tokens necessários para ler os repositórios que você autorizou.

Pagamento e cobrança: valor, data, status e identificadores de cada pedido e transação. Pagamentos por cartão e por Pix são processados pelo Stripe. O número do cartão, a validade e o código de segurança (CVV) são digitados em um campo do próprio Stripe e tokenizados no seu navegador: nunca passam pelos servidores da Vertra nem ficam guardados conosco. Do cartão salvo guardamos só a bandeira, os 4 últimos dígitos e a validade, para mostrar seus cartões e a renovação automática. Os dados de cobrança que você informa em Faturamento — nome, endereço, telefone e, se quiser, CPF ou CNPJ — ficam armazenados no Stripe, não nos bancos de dados da Vertra. Pedidos antigos pagos por Pix pelo Mercado Pago mantêm os dados de confirmação devolvidos por ele (como o nome do pagador).

Nota fiscal: para cada pedido pago emitimos uma Nota Fiscal de Serviço eletrônica (NFS-e). Se houver CPF ou CNPJ nos seus dados de cobrança, a nota é emitida em seu nome, com esse documento e o e-mail da conta; com endereço de cobrança fora do Brasil, ela é emitida com o seu nome, o país e o e-mail, sem documento; nos demais casos, sem identificar o tomador. No registro da nota a Vertra guarda o número, o status, o nome do tomador e o documento mascarado.

Uso da plataforma: registro de atividades da conta (criação, deploy, início, parada e exclusão de projetos, alterações de configuração, quem fez o quê em um workspace), métricas de consumo dos seus recursos (CPU, memória, armazenamento, rede) e eventos de produto anonimizados, sem e-mail, nome, URL, domínio ou conteúdo. Do tráfego das suas aplicações hospedadas registramos só método, status, duração e tamanho de cada requisição — sem caminho, sem IP e sem conteúdo. Quando a proteção da plataforma pausa uma aplicação, registramos o motivo, a direção do tráfego, o horário e a duração da pausa.

Dados técnicos e de segurança: endereço IP, agente do navegador, data e hora de acesso, identificadores de sessão e registros de requisições à API. São necessários para autenticar, prevenir fraude e abuso e cumprir o Marco Civil da Internet. Nos registros de requisições feitas com a sua chave de API guardamos método, rota, caminho, IP, agente, status, duração e tamanho e, em algumas rotas, um trecho redigido do corpo da requisição e da resposta, com até 4 KB.

Suporte: o conteúdo das mensagens que você nos envia por e-mail, pelo painel ou pelo Discord.

Navegação no site: com o seu consentimento (banner de cookies), dados de analytics (PostHog), com gravação de sessão só nas páginas públicas, e medição de conversão dos nossos anúncios (Google Analytics). Esses serviços só carregam nas páginas públicas do site e no login, no cadastro e no pagamento; o painel e a área administrativa não carregam PostHog nem Google Analytics, e o site não envia o identificador da sua conta a eles. Veja a seção 8.

Origem do cadastro: quando você abre um link de divulgação da Vertra (endereços /r/…), contamos o clique de forma agregada por hora, sem guardar IP, navegador ou qualquer dado seu, e gravamos no seu navegador um cookie com o nome do link. Se você criar uma conta, associamos a ela o link de onde veio, para medirmos quais canais de divulgação trazem cadastros e compras. Se você já tem conta e volta por um desses links, registramos na sua conta o link e a data, para medir compras feitas nos 30 dias seguintes. Veja a seção 8.

Não coletamos dados sensíveis (origem racial, convicção religiosa, opinião política, saúde, biometria, etc.) e não pedimos que você nos envie nenhum. Se suas aplicações tratam dados sensíveis de terceiros, a responsabilidade é sua como controlador.

3. Finalidades e bases legais

Execução do contrato (art. 7º, V): criar e autenticar a sua conta, executar e monitorar seus projetos, processar pagamentos, prestar suporte e enviar comunicações operacionais (vencimento, crash, avisos de limpeza). Esses avisos fazem parte do serviço e não podem ser desativados.

Cumprimento de obrigação legal (art. 7º, II): guardar registros de acesso pelo prazo do Marco Civil da Internet, emitir notas fiscais e guardar documentos fiscais e de pagamento, e atender ordens de autoridades.

Legítimo interesse (art. 7º, IX): segurança da plataforma, detecção de fraude e abuso, proteção da rede compartilhada, prevenção de contas duplicadas, medição de uso agregada para melhorar o produto, saber de qual link de divulgação vieram cadastros e compras, identificar assinantes na comunidade oficial do Discord, defesa em processos e envio de e-mails promocionais (ofertas, lançamentos e dicas) sobre a própria Vertra Cloud a quem tem conta. Fazemos isso com o mínimo de dados necessário (nome e e-mail, no caso dos e-mails promocionais) e você pode se opor a qualquer momento: pelo link "Cancelar inscrição" em todo e-mail promocional, pela opção "E-mails promocionais" nas configurações da conta ou pelo canal oficial. Cancelar não afeta o serviço nem os avisos da conta.

Exercício regular de direitos (art. 7º, VI): conservar dados necessários para defesa em disputas administrativas, judiciais ou arbitrais.

Consentimento (art. 7º, I): analytics (PostHog) e medição de conversão de anúncios (Google Analytics e Google Ads) nas páginas públicas e no login, no cadastro e no pagamento, e gravação de sessão nas páginas públicas. O consentimento pode ser revogado a qualquer momento, sem prejuízo do serviço.

4. Com quem compartilhamos

Não vendemos nem alugamos dados pessoais. Compartilhamos apenas com operadores que precisam deles para que o serviço funcione, sob contrato e limitados à finalidade:

Stripe (Stripe Brasil, Stripe Payments Europe na Irlanda e Stripe, Inc. nos EUA) — processamento de pagamentos por cartão e Pix, guarda dos cartões e dos dados de cobrança, cobrança da renovação automática e prevenção de fraude. Recebe nome, e-mail, dados de cobrança, dados da transação e sinais técnicos do dispositivo, e também trata esses dados como controlador independente para cumprir as próprias obrigações legais e de prevenção a fraude, conforme a política de privacidade dele. Focus NFe (Brasil) — emissão das notas fiscais; recebe valor, descrição do serviço e, quando houver, nome, CPF ou CNPJ, país e e-mail do tomador. As notas emitidas são enviadas à Prefeitura de Fortaleza, por obrigação legal. Mercado Pago (Brasil) — apenas pedidos antigos pagos por Pix. Provedor de rede e armazenamento (EUA) — DNS, CDN, proteção de borda e armazenamento dos snapshots e dos arquivos do Blob Storage. Provedores de infraestrutura de servidores (EUA) — onde os containers e bancos de dados são executados. PostHog (EUA) — analytics nas páginas públicas e no login, no cadastro e no pagamento, e gravação de sessão nas páginas públicas, só com o seu consentimento. Google (EUA) — Google Analytics e Google Ads, para medir conversões dos nossos anúncios, só com o seu consentimento; recebe identificadores de cookie, páginas visitadas (só as públicas e as do login, do cadastro e do pagamento, com o endereço limpo), eventos como o cadastro e dados técnicos do navegador. Discord, GitHub e Google — autenticação e, no caso do GitHub, leitura dos repositórios autorizados. Se você entrou com o Discord e participa do servidor oficial da comunidade, o Discord recebe também o nome do seu plano, que aparece como cargo visível aos membros do servidor. Provedor de envio de e-mail — envio dos avisos da conta e dos e-mails promocionais; recebe nome, e-mail e o conteúdo da mensagem.

Também podemos compartilhar dados quando exigido por lei, ordem judicial ou requisição de autoridade competente; para proteger direitos, segurança e propriedade da Vertra e de terceiros; e, em caso de reorganização societária ou sucessão do prestador (inclusive a constituição da pessoa jurídica da Vertra), com o sucessor, que ficará vinculado a esta Política.

A lista de operadores pode mudar; a versão vigente é sempre a desta página.

5. Transferência internacional

Parte da infraestrutura e dos operadores listados na seção 4 está fora do Brasil, principalmente nos Estados Unidos. Isso significa que dados da sua conta e o conteúdo dos seus projetos podem ser armazenados ou processados lá.

Pagamentos por cartão e Pix e os dados de cobrança são processados pelo Stripe no Brasil, na Irlanda e nos Estados Unidos, com as mesmas salvaguardas. A emissão de notas fiscais fica no Brasil.

Essas transferências se apoiam no art. 33 da LGPD. As necessárias para prestar o serviço que você contratou se baseiam na execução do contrato (art. 33, IX, combinado com o art. 7º, V), o que inclui a infraestrutura de hospedagem, rede, armazenamento e envio de e-mail; com os operadores que as oferecem, como o processador de pagamentos, a transferência também se apoia nas cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024). Os dados trafegam com criptografia em trânsito. Ao usar o serviço, você fica ciente dessa transferência; se suas aplicações tratam dados de terceiros, cabe a você avaliar se essa localização é adequada ao seu caso.

6. Por quanto tempo guardamos

Dados de cadastro: enquanto a conta existir. Após o encerramento, são apagados ou anonimizados em até 30 dias, exceto o que precise ser mantido por obrigação legal.

Registros de pagamento e documentos fiscais: 5 anos após a transação, por exigência da legislação tributária e civil.

Cartões salvos e dados de cobrança: enquanto você os mantiver em Faturamento. Remover um cartão o apaga do Stripe e do nosso registro; ao encerrar a conta, os cartões e os dados de cobrança são apagados do Stripe. O Stripe pode conservar o histórico das transações pelo prazo das obrigações legais dele.

Registros de acesso (IP, data e hora): 6 meses, conforme o art. 15 do Marco Civil da Internet, prorrogável por ordem de autoridade.

Conteúdo dos projetos: enquanto o projeto existir. Snapshots — manuais, diários, gerados no vencimento do plano ou de segurança antes de apagar ou resetar um banco — são apagados 30 dias após a criação. Arquivos do Blob Storage: enquanto a conta tiver plano ativo; sem plano, são apagados 72 horas depois, sem snapshot.

Registro de atividades da conta: 30 dias, inclusive depois que o projeto é apagado. Mensagens de suporte: pelo tempo necessário para resolver a solicitação e eventual disputa.

Registros de requisições feitas com chave de API: 30 dias. Tráfego das aplicações hospedadas (método, status, duração e tamanho): 30 dias. Incidentes de proteção da plataforma: 90 dias.

Sessões de login (método de login, IP, localização aproximada e dispositivo): até a sessão expirar. Eventos de produto anonimizados: 90 dias.

Origem do cadastro: o cookie do link de divulgação dura até 30 dias e é apagado depois que você entra na conta; a associação da conta ao link (no cadastro ou ao voltar por ele) fica enquanto a conta existir. A contagem de cliques é agregada e não identifica ninguém.

Analytics: identificadores de cookie do PostHog por até 12 meses e do Google Analytics por até 2 anos; dados agregados e anonimizados podem ser mantidos sem prazo, pois não identificam você.

7. Segurança

Adotamos medidas técnicas e organizacionais proporcionais ao risco: isolamento de cada projeto em container próprio e rede segregada, criptografia em trânsito (TLS) em todas as conexões, inclusive as de banco de dados, criptografia em repouso de variáveis de ambiente e credenciais de banco, comunicação interna entre servidores por túnel privado sem exposição à internet, controle de acesso mínimo, monitoramento e registro de segurança, e proteção automática da rede contra abuso.

Nenhum sistema é infalível. Se um incidente de segurança puder causar risco ou dano relevante a você, comunicaremos a Autoridade Nacional de Proteção de Dados e os titulares afetados no prazo do Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024), na forma do art. 48 da LGPD, informando a natureza dos dados, os riscos e as medidas adotadas.

Você também é responsável: mantenha suas credenciais e chaves de API protegidas, ative a autenticação em dois fatores no seu provedor de login e revise quem tem acesso aos seus workspaces.

8. Cookies e tecnologias similares

Cookies necessários: mantêm sua sessão autenticada, sua escolha de idioma, tema e a sua decisão sobre o banner de consentimento. Sem eles o painel não funciona; não dependem de consentimento.

Cookie de link de divulgação (vc_ref): gravado só quando você abre um link de divulgação da Vertra (/r/…). Guarda apenas o nome do link, dura até 30 dias e é apagado depois que você entra na conta. Serve para sabermos de qual link veio o seu cadastro (ou o seu retorno, se você já tem conta), com base no legítimo interesse (seção 3); não é usado para publicidade nem compartilhado com terceiros. Quando o link traz um cupom de oferta, gravamos também o cookie vc_offer, só com o nome do link, por até 1 dia, para mostrar o cupom uma vez; ele é apagado assim que o cupom aparece. Você pode se opor apagando os cookies do site ou pelo canal oficial.

Cookies e scripts de analytics (PostHog): só são carregados nas páginas públicas do site e no login, no cadastro e no pagamento, e só depois que você aceita no banner. Eles medem visitas e cliques e, apenas nas páginas públicas, gravam a sessão de navegação para entender problemas de usabilidade (login, cadastro e pagamento não são gravados). Não são carregados no painel nem na área administrativa, onde há código, logs e dados dos seus projetos; se você navegar das páginas públicas para o painel sem recarregar, a medição para ali. Escolher "Só o necessário" mantém tudo isso desligado; você pode mudar de ideia limpando os dados do site no navegador, o que faz o banner reaparecer.

Google Analytics e Google Ads: com o mesmo consentimento do banner, carregamos o Google Analytics para medir conversões dos nossos anúncios no Google Ads — por exemplo, se um cadastro veio de um anúncio. Ele usa cookies do Google e registra as páginas visitadas, só nas páginas públicas e no login, no cadastro e no pagamento, com o endereço limpo; o painel não carrega o Google Analytics, e nunca enviamos e-mail, nome ou conteúdo dos seus projetos. Escolher "Só o necessário" mantém o Google desligado. Não usamos outras redes de anúncios.

9. Seus direitos

Nos termos do art. 18 da LGPD, você pode, a qualquer momento: confirmar se tratamos seus dados; acessá-los; corrigir dados incompletos, inexatos ou desatualizados; pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; obter a portabilidade dos dados a outro fornecedor; saber com quem compartilhamos; ser informado sobre a possibilidade de não consentir e as consequências; revogar consentimento; e se opor a tratamento baseado em legítimo interesse.

Em Faturamento você vê e edita seus dados de cobrança, remove cartões salvos e liga ou desliga a renovação automática.

Boa parte disso você faz sozinho pelo painel: editar perfil, apagar projetos, revogar conexões e chaves de API e exportar snapshots. Para o restante — inclusive encerrar a conta e eliminar os dados —, escreva para [email protected] a partir do e-mail cadastrado. Respondemos em até 15 dias. Podemos pedir confirmação de identidade e podemos negar, com justificativa, pedidos que conflitem com obrigação legal, ordem judicial ou direito de terceiros — por exemplo, apagar registros fiscais dentro do prazo de guarda.

Se não ficar satisfeito, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

10. Crianças e adolescentes

O serviço não é destinado a menores de 18 anos. Não coletamos intencionalmente dados de menores; se identificarmos conta criada por menor sem representação legal, ela será encerrada e os dados eliminados. Usar a plataforma para hospedar conteúdo que explore ou prejudique crianças e adolescentes resulta em encerramento imediato e comunicação às autoridades.

11. Dados de terceiros nas suas aplicações

Se suas aplicações ou bancos tratam dados pessoais de outras pessoas (usuários do seu bot, clientes da sua loja, membros da sua comunidade), você é o controlador desses dados e a Vertra é operadora. Cabe a você definir a base legal, informar os titulares, atender aos direitos deles, garantir segurança adequada dentro da aplicação e comunicar incidentes. A Vertra trata esse conteúdo apenas para executar o serviço, na sua infraestrutura e na dos provedores da seção 4, e o elimina conforme a seção 6.

Se você precisar de um Acordo de Tratamento de Dados (DPA) formal com a Vertra, solicite pelo canal oficial.

12. Alterações desta Política

Podemos alterar esta Política por razões legais, regulatórias, técnicas ou de produto. Alterações de grande impacto — coletar categorias de dado sensível, compartilhar seus dados com terceiros para finalidades próprias deles, dar a novos operadores acesso ao conteúdo que você hospeda ou reduzir seus direitos — são comunicadas com pelo menos 30 dias de antecedência por e-mail e pelo painel. As demais alterações entram em vigor na publicação, com a data de vigência atualizada. A data da última atualização está no topo desta página e o histórico pode ser solicitado pelo canal oficial.

13. Disposições finais

Esta Política é regida pela legislação brasileira — LGPD, Marco Civil da Internet, Código de Defesa do Consumidor e Código Civil — e deve ser lida junto com os Termos de Uso e a Política de Uso Aceitável. Em caso de conflito sobre tratamento de dados pessoais, prevalece esta Política. Dúvidas: [email protected].