Seus Direitos sob a LGPD na DavitAI

1. Apresentação

Este guia explica, em linguagem clara, como a DavitAI cumpre integralmente a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709, de 14 de agosto de 2018 — LGPD). Aqui você encontra quais dados tratamos, com que finalidade, por quanto tempo, e como exercer cada um dos nove direitos garantidos pelo Art. 18 da LGPD. Esta página complementa a Política de Privacidade e os Termos de Uso — em caso de conflito entre os documentos, prevalece o que for mais favorável ao titular.

Última atualização: 8 de junho de 2026.

2. Quem somos como Controlador dos seus Dados

A DavitAI é a controladora dos dados pessoais coletados por meio da plataforma davitai.com, das aplicações web em app.davitai.com e admin.davitai.com, dos workers de automação e dos canais oficiais de atendimento. Para efeitos da LGPD, controlador é a pessoa natural ou jurídica a quem competem as decisões sobre o tratamento de dados pessoais.

• Marca: DavitAI (davitai.com).
• Contato geral: davitai@davitai.com.
• Encarregado pelo Tratamento de Dados Pessoais (DPO): davitai@davitai.com (assunto: DPO — LGPD).
• Autoridade Nacional de Proteção de Dados (ANPD): www.gov.br/anpd — você pode peticionar diretamente à ANPD caso entenda que seus direitos não foram atendidos.

3. Bases Legais que Adotamos (Art. 7º da LGPD)

A DavitAI trata seus dados pessoais com base nas seguintes hipóteses legais, sempre escolhendo a base mais protetiva e específica para cada finalidade:

• Execução de contrato (Art. 7º, V): operação da plataforma, processamento de jobs dos agentes, gestão de créditos, faturamento, autenticação e suporte. Sem esta base, não conseguimos prestar o serviço contratado.
• Consentimento (Art. 7º, I): comunicações de marketing por e-mail, push web, analytics de produto, cookies não essenciais e participação em pesquisas opcionais. Você pode revogar a qualquer momento.
• Cumprimento de obrigação legal ou regulatória (Art. 7º, II): retenção de registros fiscais e contábeis, atendimento a ordens judiciais, comunicações obrigatórias ao Banco Central via Stripe, e relatórios à ANPD quando aplicável.
• Legítimo interesse (Art. 7º, IX): prevenção a fraude, segurança da informação, mitigação de abuso de créditos, defesa em processos judiciais e melhoria de qualidade dos agentes — sempre precedido de teste de balanceamento (LIA) que pondera os impactos sobre você.
• Proteção ao crédito (Art. 7º, X): análise antifraude em pagamentos recorrentes.

4. Categorias de Dados Pessoais que Tratamos

Limitamos a coleta ao mínimo necessário (princípio da necessidade, Art. 6º, III). As categorias são:

• Dados de identificação e cadastro: nome, e-mail, senha (armazenada via hash bcrypt + salt — nunca em texto puro), idioma preferido e fuso horário.
• Dados de autenticação: sessões, tokens de refresh, verificações OAuth quando você conecta canais externos (Twitter/X, Instagram, WordPress, YouTube). Tokens OAuth são criptografados com AES-256-GCM antes de serem persistidos.
• Dados de uso e telemetria: agentes utilizados, prompts enviados, créditos consumidos, jobs criados, resultados gerados, horários de acesso e métricas anônimas de performance.
• Dados de pagamento: processados diretamente pela Stripe, Inc., que é a controladora autônoma desses dados. A DavitAI não armazena números completos de cartão de crédito em seus servidores.
• Conteúdo gerado pelo usuário: roteiros, narrações, posts, thumbnails e arquivos enviados aos agentes — pertencem a você (ver Termos de Uso §6).
• Dados técnicos: endereço IP, user-agent, tipo de dispositivo, resolução de tela, logs de erro do Sentry e métricas de Web Vitals.
• Dados de comunicação: mensagens enviadas via formulário de contato, suporte por e-mail e chat dentro do painel.

5. Finalidades Específicas

Cada categoria de dado é tratada apenas para finalidades compatíveis com o motivo da coleta (princípio da finalidade, Art. 6º, I):

• Autenticar, autorizar e personalizar sua experiência na plataforma.
• Executar os agentes de IA contratados e entregar seus resultados.
• Processar cobranças recorrentes, emitir notas fiscais e gerenciar reembolsos.
• Enviar comunicações transacionais essenciais (verificação de e-mail, falha de pagamento, conclusão de job longo).
• Detectar fraude, abuso e violações dos Termos de Uso.
• Melhorar a qualidade dos agentes mediante avaliação anônima e agregada.
• Cumprir obrigações legais brasileiras e internacionais aplicáveis.

6. Compartilhamento com Operadores e Terceiros

A DavitAI nunca vende, aluga ou cede seus dados pessoais para fins de marketing de terceiros. Compartilhamos apenas com operadores que executam atividades necessárias à prestação do serviço, sob contrato e cláusulas de proteção equivalentes à LGPD:

• Stripe, Inc. — processamento de pagamentos (EUA + UE, Standard Contractual Clauses aplicáveis).
• Google Cloud Platform (Vertex AI) — execução dos modelos Gemini para geração de texto, áudio e imagens. Processamento em regiões US/EU. A DavitAI mantém configuração que desativa o uso dos seus prompts para treinamento de modelos.
• Anthropic — modelos Claude para tarefas selecionadas. Política equivalente: prompts não são usados para treinamento.
• Resend — envio de e-mails transacionais e de marketing (com consentimento).
• Sentry — monitoramento de erros (dados de IP e user-agent anonimizados em produção).
• Hetzner Cloud (Alemanha) — hospedagem do banco de dados Postgres e cache Redis, dentro da União Europeia.
• Cloudflare — CDN, WAF e proteção contra DDoS.

A lista completa e atualizada de subprocessadores está disponível mediante solicitação ao DPO.

7. Seus Direitos como Titular (Art. 18)

A LGPD garante a você nove direitos específicos. Na DavitAI, todos podem ser exercidos gratuitamente:

• Confirmação da existência de tratamento: saber se a DavitAI trata dados sobre você.
• Acesso: receber uma cópia legível dos seus dados pessoais.
• Correção: atualizar dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
• Portabilidade dos dados a outro fornecedor de serviço (formato JSON estruturado).
• Eliminação dos dados pessoais tratados com base no consentimento.
• Informação sobre compartilhamento com entes públicos e privados.
• Informação sobre a possibilidade de não fornecer consentimento e as consequências.
• Revogação do consentimento a qualquer momento, de forma simples e gratuita.

Como exercer

Para qualquer um dos direitos acima, envie uma solicitação para davitai@davitai.com com o assunto Direito LGPD — [nome do direito]. Responderemos em até 15 dias úteis, conforme exigido pela LGPD. Podemos solicitar verificação de identidade para proteger seus dados.

Você também pode usar atalhos do painel: Configurações → Privacidade → Exportar dados (acesso + portabilidade) e Configurações → Excluir conta (eliminação em cascata).

8. Retenção de Dados — Prazos Específicos

Seguimos a regra: manter pelo menor tempo necessário ao cumprimento da finalidade.

• Conta ativa: dados de cadastro mantidos enquanto a conta estiver ativa.
• Conta encerrada pelo titular: anonimização em 30 dias; eliminação completa em 90 dias.
• Conta inativa há 24 meses: notificação prévia + eliminação automática.
• Registros fiscais e contábeis (faturas, NFs): 5 anos a partir da emissão (Lei nº 5.172/1966 — CTN, Art. 174).
• Logs de execução de agentes: 90 dias (necessário para suporte e auditoria).
• Logs de segurança e antifraude: 6 meses.
• Logs de acesso a sistemas (Marco Civil da Internet — Lei 12.965/2014, Art. 15): 6 meses.
• Backups completos do banco: rotação automática a cada 30 dias.

9. Segurança da Informação

Adotamos medidas técnicas e administrativas compatíveis com o estado da arte:

• Criptografia em trânsito (TLS 1.3) e em repouso (AES-256).
• Tokens OAuth criptografados com AES-256-GCM antes de gravação.
• Segregação de ambientes (produção, staging, desenvolvimento).
• Controle de acesso baseado em função (RBAC) e princípio do menor privilégio.
• Monitoramento contínuo de incidentes via Sentry e UptimeRobot.
• Auditorias internas trimestrais e testes de penetração anuais.

Em caso de incidente de segurança envolvendo dados pessoais, comunicaremos a ANPD e os titulares afetados conforme o Art. 48 da LGPD.

10. Transferência Internacional de Dados

A operação da DavitAI envolve transferências internacionais para os fins descritos:

• Vertex AI (GCP): processamento em regiões US e EU. Cláusulas Padrão Contratuais (SCC) aplicáveis.
• Stripe: EUA, com decisão de adequação parcial e SCC.
• Hetzner: Alemanha (decisão de adequação GDPR/LGPD — equivalência reconhecida).

Garantimos que toda transferência observa o Capítulo V da LGPD.

11. Cookies e Tecnologias Similares

Utilizamos cookies essenciais (sessão, autenticação, CSRF) sem necessidade de consentimento, conforme o Art. 7º da LGPD. Cookies de analytics (Google Analytics 4 com Consent Mode v2) e marketing são ativados somente após sua autorização explícita no banner de cookies. Você pode revisar e revogar suas escolhas a qualquer momento clicando no link Cookies no rodapé.

12. Crianças e Adolescentes

A DavitAI não é direcionada a menores de 13 anos. Para usuários entre 13 e 18 anos, exigimos consentimento de pelo menos um dos pais ou responsável legal, conforme o Art. 14 da LGPD. Não tratamos dados de menores deliberadamente. Se você é responsável por um menor que cadastrou conta na plataforma, contate o DPO para exclusão imediata.

13. Alterações nesta Política

Esta política pode ser atualizada para refletir mudanças legais, técnicas ou de produto. Alterações materiais serão comunicadas por e-mail com 15 dias úteis de antecedência. A data da última atualização aparece no início desta página, e versões anteriores ficam arquivadas mediante solicitação ao DPO.

14. Contato do DPO e Canais Oficiais

Para exercer direitos, esclarecer dúvidas ou reportar incidentes envolvendo dados pessoais, utilize um dos canais oficiais:

• DPO — E-mail: davitai@davitai.com (assunto: DPO — LGPD).
• Suporte geral: davitai@davitai.com.
• Página de contato: /contact.
• Sobre a DavitAI: /about.

15. Vigência

Esta versão entra em vigor em 8 de junho de 2026 e substitui todas as anteriores. O uso continuado da plataforma após esta data constitui aceitação do conteúdo desta página, sem prejuízo dos direitos de revogação de consentimento previstos no item 7.

Links relacionados: Política de Privacidade · Termos de Uso · Contato · Sobre a DavitAI · Agentes.