Termos de Uso e Política de Privacidade

Para os fins do art. 5º, VI da LGPD, o Controlador dos dados pessoais tratados na plataforma é o Excahub, responsável pelas decisões sobre o tratamento dos dados coletados através deste serviço.

Contato do Controlador e do Encarregado pelo Tratamento de Dados (DPO — art. 41): abra um ticket de suporte dentro da própria plataforma. É o único canal oficial de atendimento — não utilizamos e-mail nem WhatsApp para esse fim.

Coletamos apenas o necessário para operar a plataforma:

• Dados de cadastro: nome completo, apelido (nickname), e-mail e WhatsApp — fornecidos por você no momento do cadastro.
• Dados de perfil: foto (avatar), biografia e preferências visuais (tema, idioma).
• Dados de autenticação: senha (armazenada de forma criptografada e irreversível pelo nosso provedor de autenticação) e tokens de sessão.
• Conteúdo produzido por você: diagramas em ExcaFlow DSL, códigos, READMEs, comentários e publicações no ExcaHub.
• Dados de uso da IA: prompts enviados ao assistente de inteligência artificial, contadores de consumo mensal por plano e histórico de conversa por diagrama.
• Dados técnicos: endereço IP, informações do navegador e logs de erro, coletados de forma automática para fins de segurança e diagnóstico.

Não coletamos intencionalmente dados pessoais sensíveis (art. 5º, II da LGPD) tais como origem racial, convicção religiosa, dado biométrico, dado genético ou de saúde. Se você inserir esse tipo de informação em um diagrama ou prompt, isso é de sua responsabilidade — recomendamos evitar.

Tratamos seus dados com base nas seguintes hipóteses legais:

• Execução de contrato (art. 7º, V): criar e manter sua conta, prover o editor, salvar diagramas, executar a IA, cobrar planos pagos.
• Legítimo interesse (art. 7º, IX): segurança, prevenção a fraudes, auditoria, telemetria mínima de erros e melhoria contínua da plataforma.
• Cumprimento de obrigação legal (art. 7º, II): retenção de registros para fins fiscais, tributários e para atendimento a autoridades competentes.
• Consentimento (art. 7º, I): quando você voluntariamente publica um template no ExcaHub, opta por comunicações de marketing ou habilita integrações opcionais.

Não vendemos seus dados. Compartilhamos apenas com operadores (art. 5º, VII) essenciais ao funcionamento do serviço, cada um sob contrato e obrigações de confidencialidade:

• Provedor de banco de dados e autenticação — hospedagem do banco de dados, autenticação de usuários e armazenamento de arquivos (como avatares).
• Provedor de infraestrutura em nuvem — hospedagem edge, CDN e proteção contra ataques.
• Provedor de modelo de linguagem (LLM) — processamento dos prompts enviados ao assistente de IA. Os prompts trafegam por um proxy interno, sem que credenciais de API sejam expostas ao seu navegador. Não use dados sensíveis ou confidenciais nos prompts.

Transferência internacional (art. 33): alguns operadores mantêm servidores fora do Brasil. Quando aplicável, a transferência ocorre para países que oferecem grau de proteção adequado ou mediante cláusulas contratuais específicas.

Utilizamos apenas armazenamento essencial ao serviço:

• Sessão de autenticação (armazenamento local no navegador — obrigatório para manter você logado).
• Preferências — tema, idioma, layout de painéis e posições dos nós no canvas.

Não utilizamos cookies de rastreamento publicitário nem compartilhamos dados com plataformas de anúncios.

• Dados de cadastro e conteúdo: mantidos enquanto sua conta estiver ativa.
• Você pode excluir sua própria conta a qualquer momento, direto pelo produto. A exclusão é imediata e remove em cascata todos os dados vinculados a ela (perfil, diagramas, comentários, organizações, tickets de suporte, histórico de uso de IA); arquivos enviados por você (avatar, anexos de suporte) são removidos em melhor esforço no mesmo processo.
• Se você tiver um plano pago ativo, cancele a assinatura antes de excluir a conta: a exclusão não cancela automaticamente cobranças recorrentes em andamento.
• Dados que a lei exige reter (ex.: registros fiscais) permanecem pelo prazo legal aplicável mesmo após a exclusão da conta.
• Logs técnicos e de segurança são retidos por até 12 meses para investigação de incidentes.

A qualquer momento você pode solicitar:

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• Portabilidade dos dados;
• Eliminação dos dados pessoais tratados com base no consentimento;
• Informação sobre entidades públicas e privadas com as quais compartilhamos dados;
• Revogação do consentimento a qualquer momento;
• Revisão de decisões automatizadas (ex.: bloqueio por uso abusivo).

Para exercer qualquer desses direitos, abra um ticket de suporte dentro da plataforma informando sua identificação. Responderemos no prazo de até 15 dias. (A exclusão da conta, especificamente, pode ser feita direto por você — ver item 6.)

Adotamos medidas técnicas e administrativas, incluindo:

• Tráfego totalmente criptografado via HTTPS/TLS entre seu navegador e nossos servidores;
• Row Level Security (RLS) no banco de dados garantindo que cada usuário só acesse seus próprios diagramas;
• Segredos e chaves de API mantidos exclusivamente no servidor, nunca expostos ao navegador;
• Senhas armazenadas de forma criptografada e irreversível;
• Auditoria de acessos privilegiados e princípio do menor privilégio;
• Cópias de segurança regulares gerenciadas pelo provedor de banco de dados.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos você e a ANPD — Autoridade Nacional de Proteção de Dados em prazo razoável, com as informações previstas em lei.

A plataforma não é destinada a menores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes. Caso tomemos conhecimento, os dados serão eliminados imediatamente.

Podemos atualizar esta Política periodicamente. A data no topo da seção sempre indica a versão vigente. Alterações relevantes serão comunicadas por e-mail ou aviso na plataforma.

Independentemente do contato com o nosso Encarregado (DPO — ver item 1), você também pode registrar reclamação diretamente à ANPD — Autoridade Nacional de Proteção de Dados pelo site gov.br/anpd.