Política de Privacidade

A Vavus AI e o Vavus Keyboard são operados pela DCI Brands LLC, uma sociedade de responsabilidade limitada de Wyoming, situada em 312 W 2nd Street, Casper, WY 82601, Estados Unidos. Somos o controlador dos dados pessoais aqui descritos, exceto quando um contrato empresarial ou de saúde assinado nos torne operador ou parceiro comercial («business associate») atuando conforme as instruções da sua organização.

Contato de privacidade: constantine@vavusai.com.

O nosso representante na União Europeia nos termos do artigo 27.º do RGPD é Dragoș Ignat, Str. General Șova nr. 21, Letea Veche, jud. Bacău, 607270, Roménia. Pode contactar o representante sobre qualquer questão relativa ao tratamento dos seus dados pessoais, em complemento ou em vez de nos contactar. Não designamos representante no Reino Unido nem encarregado de proteção de dados. As dúvidas de privacidade e os pedidos de exercício de direitos são enviados para constantine@vavusai.com e tratados diretamente pela DCI Brands LLC.

Coletamos o que é necessário para criar e proteger sua conta, fornecer os recursos que você usa, receber o pagamento, responder a solicitações de suporte e manter o serviço em funcionamento.

• Identificadores e dados de conta: endereço de e-mail, nome, método de login, vínculo com organização, configurações de segurança, identificadores de dispositivo e de sessão.
• Conteúdo que você envia: traduções, transcrições, gravações de áudio, mensagens, documentos, arquivos e imagens que você escolhe processar ou salvar.
• Dados de áudio e de voz: a fala que você dita ou manda traduzir. Quando servem para identificar ou caracterizar você, podem constituir informações pessoais sensíveis segundo a legislação estadual dos Estados Unidos.
• Conteúdo relacionado à saúde: apenas em contas aprovadas para uso na área da saúde sob um Business Associate Agreement (BAA).
• Dados comerciais: plano, assinatura, saldo de tokens, histórico de compras e de reembolsos. Os números de cartão são tratados pela Stripe, pela Apple ou pelo Google; nós nunca os recebemos nem os armazenamos.
• Dados técnicos e de segurança: tipo de dispositivo, versão do aplicativo, diagnósticos de falhas, sinais de segurança derivados do IP, registros de abuso e de limite de requisições.
• Dados do site: cookies e armazenamento local, seu registro de consentimento e, somente após o seu consentimento, dados de análise e de atribuição de campanhas.

Quando o RGPD ou o RGPD do Reino Unido se aplica, a base legal de cada finalidade está indicada a seguir.

• Para prestar o serviço: tradução, voz para texto, texto para voz, ditado por teclado, recursos de IA, mensagens, chamadas, documentos e gestão da conta. Execução de um contrato (art. 6.º, n.º 1, alínea b).
• Para cobrar você e manter registros fiscais e contábeis. Execução de um contrato e obrigação legal (art. 6.º, n.º 1, alíneas b e c).
• Para manter as contas e o serviço seguros: autenticação, prevenção de abusos, limitação de requisições, detecção de fraude e registros de auditoria. Interesse legítimo em proteger os usuários e o serviço (art. 6.º, n.º 1, alínea f).
• Para responder a solicitações de suporte. Execução de um contrato e interesse legítimo.
• Para enviar avisos de serviço, de cobrança e de segurança. Execução de um contrato e obrigação legal.
• Análise do site, medição de marketing e todos os cookies não essenciais. Consentimento (art. 6.º, n.º 1, alínea a), que você pode retirar a qualquer momento.
• Para cumprir exigências legais e para exercer ou defender direitos em juízo. Obrigação legal e interesse legítimo.
• Informações de saúde em contas de saúde. Nós as tratamos como parceiro comercial, seguindo as instruções documentadas do cliente; o cliente determina a base legal e, quando o RGPD se aplica, essa base costuma ser o art. 9.º, n.º 2, alínea h, ou a base de consentimento explícito do cliente.

Não usamos o seu conteúdo para treinar os nossos modelos e contratamos com os nossos fornecedores de voz, tradução e IA a exclusão do seu conteúdo do treinamento dos modelos deles.

Não vendemos as suas informações pessoais e não as compartilhamos para publicidade comportamental entre contextos, no sentido em que esses termos são definidos na Lei de Privacidade do Consumidor da Califórnia, conforme alterada, e em leis estaduais de privacidade dos Estados Unidos comparáveis.

Não tomamos decisões automatizadas que produzam efeitos jurídicos ou que o afetem de modo similarmente significativo (art. 22.º do RGPD).

Fornecer dados de conta e de pagamento é necessário para abrir e manter uma conta; sem eles não conseguimos prestar o serviço. Todo o restante — cookies opcionais, preferências de marketing — é genuinamente opcional.

A tradução, a transcrição e os resultados de IA podem estar errados. Não constituem aconselhamento médico, jurídico ou financeiro e não se destinam a uso em emergências. Revise os resultados antes de confiar neles e nunca os use como única base de uma decisão clínica, jurídica, financeira ou crítica para a segurança. Tudo o que importa deve ser revisado por uma pessoa.

Novas entradas do histórico, documentos salvos e áudio salvo são criptografados no seu dispositivo antes do envio, de modo que os nossos servidores guardam apenas texto cifrado que não conseguimos descriptografar. As mensagens usam o Signal Protocol e são criptografadas de ponta a ponta entre os participantes.

Existem exatamente duas exceções, e ambas exigem que você use o recurso:

• Enquetes em grupo. O servidor precisa ler uma enquete para contabilizar os votos e mostrar os resultados, por isso as enquetes não são criptografadas de ponta a ponta. Elas ficam desativadas nas conversas de saúde.
• Tradução de mensagens de voz. Traduzir uma mensagem de voz exige descriptografar essa única mensagem nos nossos servidores. Pedimos o seu consentimento antes, registramos esse consentimento e auditamos o acesso. Isso nunca acontece a menos que você escolha.

O conteúdo que você não salva não é retido como histórico depois que o seu resultado é produzido. A fala ao vivo existe brevemente na memória durante o processamento e não é gravada no armazenamento.

• Histórico, documentos e arquivos salvos: até você excluí-los ou encerrar sua conta.
• Registros de conta e de perfil: durante toda a vida da conta e por até 30 dias após o encerramento.
• Registros de cobrança, fiscais e de transações: 7 anos, conforme exigem a legislação fiscal e contábil.
• Registros de segurança, de fraude e de abuso: 12 meses.
• Conversas de suporte: 24 meses.
• Registros de auditoria de saúde: 6 anos, conforme exige a HIPAA. Eles contêm apenas metadados: quem fez o quê, quando e a partir de qual dispositivo. Nunca PHI, nunca conteúdo.
• Registros de cookies e de consentimento: suas escolhas de consentimento ficam no armazenamento local do seu navegador e permanecem até você limpar os dados do navegador ou publicarmos uma nova versão do consentimento, quando perguntaremos novamente.

Usamos prestadores de serviço por função: hospedagem e armazenamento em nuvem; reconhecimento e síntese de voz; tradução automática e modelos de IA; processamento de pagamentos; entrega de e-mail; entrega de notificações push; e operações de suporte. Cada um recebe apenas o que sua função exige, sob condições escritas de tratamento de dados.

Os fornecedores que tratam o seu conteúdo para voz, tradução ou IA são configurados para excluí-lo do treinamento dos modelos deles e para minimizar a retenção sempre que o serviço permitir, e recebem apenas o conteúdo, não o seu nome, a sua conta ou a sua identidade. Os fornecedores de pagamento e as lojas de aplicativos necessariamente recebem dados de identificação e de transação, porque um pagamento não pode ser processado sem eles.

Nosso chat de suporte é hospedado por nós mesmos, na nossa própria infraestrutura, de modo que as transcrições de suporte não são entregues a um fornecedor terceiro.

Uma lista nominal de suboperadores é fornecida a clientes empresariais e de saúde sob um acordo de tratamento de dados. Também podemos divulgar dados para cumprir a lei ou uma solicitação legítima, para fazer valer os nossos Termos, para proteger direitos e a segurança, e no âmbito de uma fusão ou aquisição, caso em que esta política continua a ser aplicável.

Operamos a partir dos Estados Unidos, com infraestrutura de borda na União Europeia e na Ásia. Os seus dados podem ser transferidos e tratados nos Estados Unidos e em outros países cuja legislação difere da do seu.

Para transferências para fora do EEE, do Reino Unido ou da Suíça, apoiamo-nos nas Cláusulas Contratuais-Tipo da Comissão Europeia (Decisão 2021/914), com o Adendo do Reino Unido e o anexo suíço quando aplicáveis, em conjunto com as medidas técnicas descritas na Seção 6 — principalmente a criptografia do lado do cliente e de ponta a ponta —, o que significa que, para a maior parte do conteúdo armazenado, a infraestrutura receptora guarda apenas texto cifrado. Uma cópia das condições de transferência aplicáveis está disponível mediante solicitação.

Se você estiver no EEE, no Reino Unido ou na Suíça, pode solicitar acesso, retificação, apagamento, limitação e portabilidade, opor-se ao tratamento baseado em interesses legítimos e retirar o consentimento a qualquer momento, sem afetar o tratamento já realizado.

Você também pode apresentar reclamação a uma autoridade de controle: na União Europeia, a autoridade do seu país de residência, do seu local de trabalho ou do local da alegada infração; no Reino Unido, o Information Commissioner's Office.

Se você mora na Califórnia, na Virgínia, no Colorado, em Connecticut, em Utah, no Texas, no Oregon, em Montana ou em outro estado com lei abrangente de privacidade, pode solicitar conhecer e acessar as informações pessoais que mantemos, corrigi-las, excluí-las e receber uma cópia portável, e pode recusar a venda, o compartilhamento, a publicidade direcionada e a definição de perfis com efeitos jurídicos ou similarmente significativos.

Não fazemos nada disso. Ainda assim, respeitamos o Global Privacy Control e outros sinais reconhecidos de preferência de recusa: quando o seu navegador envia um deles, tratamo-lo como recusa das categorias de análise e de marketing para aquele navegador, sem que você precise fazer mais nada.

Residentes da Califórnia também podem nos pedir que limitemos o uso de informações pessoais sensíveis. Já as usamos apenas para prestar o serviço que você solicitou e para mantê-lo seguro, que são finalidades permitidas. Não discriminaremos você por exercer qualquer direito de privacidade.

Recursos. Se recusarmos uma solicitação, você pode recorrer respondendo à nossa decisão ou escrevendo para constantine@vavusai.com com «Privacy appeal» no assunto. Respondemos no prazo de 45 dias — 60 no Colorado — com a nossa decisão e os respectivos motivos. Se indeferirmos o recurso, você pode reclamar ao procurador-geral do seu estado. Utah não prevê direito de recurso, mas ainda assim analisaremos o seu.

Concedemos tokens de bônus pela verificação do seu endereço de e-mail e por indicações. Trata-se de programas de incentivo financeiro nos termos da seção 1798.125(b) do Código Civil da Califórnia (Cal. Civ. Code). As condições essenciais constam das nossas páginas de preços e de indicações: os tokens são promocionais, não têm valor em dinheiro e só podem ser usados em recursos da Vavus.

Estimamos o valor das informações pessoais envolvidas como aproximadamente o preço de varejo dos tokens concedidos, com base no nosso preço publicado de tokens. Calculamos assim porque os dados envolvidos — um endereço de e-mail e uma relação de indicação — não nos geram receita separada, já que não vendemos informações pessoais. A participação é voluntária e você pode se retirar a qualquer momento escrevendo para nós; a retirada não recupera tokens que você já gastou.

Use os controles disponíveis no produto ou escreva para constantine@vavusai.com. Verificamos as solicitações confrontando o que você nos fornece com os registros de conta, de cobrança, de suporte ou de segurança, e podemos pedir mais informações quando uma solicitação for sensível. Um agente autorizado pode agir por você mediante autorização escrita. Respondemos no prazo de 45 dias e podemos prorrogá-lo uma vez por mais 45 dias, informando o motivo.

As proteções da HIPAA aplicam-se apenas às contas que aprovamos para uso na área da saúde sob um Business Associate Agreement (BAA) celebrado. Se você não assinou um BAA conosco, sua conta não é um fluxo de trabalho HIPAA e você não deve enviar informações de saúde protegidas (PHI) para ela.

As contas de saúde aprovadas usam tokens de sessão de 8 horas, tempo limite de inatividade de 15 minutos, controles de tratamento de PHI, exclusão segura de ativos com PHI e retenção de auditoria de 6 anos, e os registros do aplicativo são projetados para excluir PHI. Nessas contas atuamos como parceiro comercial, portanto é a sua organização — e não nós — quem decide o que acontece com os dados, e nós agimos conforme as instruções dela.

Usamos TLS em trânsito, a criptografia do lado do cliente e de ponta a ponta descrita acima, autenticação com tokens rotativos, tokens de fluxo separados para sessões em tempo real, SSO para contas empresariais, proteção contra ataques de força bruta, revogação de tokens ao sair e ao trocar a senha, limitação de requisições, controles de acesso e registros de auditoria.

Nenhum sistema é perfeitamente seguro. Se uma violação afetar os seus dados pessoais, notificaremos você e as autoridades competentes sem demora indevida e no prazo de 72 horas após confirmarmos uma violação que afete os seus dados pessoais, conforme exige a lei.

Vavus is not directed to anyone under 18, and an account requires you to be 18 or older. We do not knowingly collect personal information from anyone under 18.

A parent or guardian who believes a child has created an account can email constantine@vavusai.com. We will verify the report and delete the account and its data promptly. We also close any account we discover belongs to someone under 18.

Podemos atualizar esta política. A linha «Última atualização» indica a versão vigente. Quando uma alteração afetar materialmente a forma como tratamos dados pessoais, avisaremos no produto ou por e-mail antes de ela entrar em vigor.