Documento legal · versão 1.1
Política de Privacidade
Vigente a partir de 21 de outubro de 2026
Como a VertexHub trata dados pessoais no WaveMakerAI: o que coletamos, para quê, com quem compartilhamos, por quanto tempo guardamos e como você exerce seus direitos previstos na Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD).
1. Quem somos e papéis no tratamento
O WaveMakerAI é um serviço da VERTEXHUB DO BRASIL LTDA, inscrita no CNPJ sob o nº 68.119.875/0001-40, com sede na Av. Engenheiro Luiz Carlos Berrini, 1748, Cidade Monções, São Paulo/SP, CEP 04571-000, Brasil ("VertexHub", "nós").
Encarregado de Proteção de Dados (DPO): vertexhub@vertexhub.ai. Este é o canal para qualquer assunto de privacidade, inclusive pedidos de titulares e comunicações da Autoridade Nacional de Proteção de Dados (ANPD).
A VertexHub atua em dois papéis distintos:
- Controladora dos dados das pessoas que usam o WaveMakerAI (cadastro, autenticação, cobrança, suporte, segurança e registros de acesso).
- Operadora dos dados pessoais que o cliente insere na plataforma para criar conteúdo — por exemplo, fotos de pessoas usadas como avatar, dados de clientes do cliente em briefings, métricas de redes sociais. Nesses casos o cliente (a empresa ou o profissional titular do workspace) é o controlador, define as finalidades e é responsável pela base legal, e a VertexHub trata esses dados apenas para prestar o serviço, conforme as instruções do cliente e estes documentos.
2. Dados que tratamos
| Categoria | Exemplos | Origem |
|---|---|---|
| Cadastro e conta | nome, e-mail, senha (guardada apenas como hash argon2id), papel no workspace | você |
| Segurança da conta | segredo da verificação em duas etapas (cifrado), códigos de recuperação (apenas hash), contagem de tentativas de login, sessões | você e o sistema |
| Registros de acesso | endereço IP, data e hora de login, renovação de sessão e cadastro | o sistema (obrigação legal) |
| Conteúdo do workspace | marcas, perfis, produtos, ambientes, textos, briefings, roteiros, imagens e vídeos gerados, aprovações e comentários | você e sua equipe |
| Imagem de pessoas | fotos e vídeos usados como avatar ou referência, com o registro do consentimento informado pelo cliente | o cliente |
| Áudio de briefing | gravação enviada para transcrição; o áudio não é armazenado após a transcrição | você |
| Integrações | tokens de acesso a Meta, TikTok e Google (cifrados), identificadores de contas e métricas de publicações | as plataformas, quando você conecta |
| Cobrança | nome, e-mail, CPF ou CNPJ e telefone (opcional) do responsável financeiro; status e valores de pagamentos por PIX ou boleto, processados pelo Asaas | você e o Asaas |
| Programa de parceiros | código de indicação ou cupom usado na contratação | o link de indicação |
| Contato | nome, e-mail e mensagem enviados pelo formulário do site | você |
| Dados técnicos | cookies essenciais, preferências de idioma e tema, registros de erro sem conteúdo do cliente | seu navegador |
Não tratamos intencionalmente dados pessoais sensíveis (art. 5º, II, da LGPD). Fotos de pessoas não são usadas para identificação biométrica. Se o cliente inserir dados sensíveis em conteúdos ou briefings, ele é responsável por ter base legal adequada para isso.
3. Finalidades e bases legais
| Finalidade | Base legal (LGPD) |
|---|---|
| Criar e manter a conta, autenticar, prestar o serviço contratado e dar suporte | execução de contrato (art. 7º, V) |
| Gerar, revisar, aprovar e publicar conteúdo a pedido do cliente | execução de contrato (art. 7º, V), como operadora |
| Cobrar, emitir documentos fiscais e prevenir fraude na cobrança | execução de contrato e cumprimento de obrigação legal (art. 7º, V e II) |
| Guardar registros de acesso por 6 meses | obrigação legal — Marco Civil da Internet, art. 15 (art. 7º, II) |
| Proteger a conta (bloqueio por tentativas, verificação em duas etapas, monitoramento de erros) | legítimo interesse e proteção do crédito/segurança (art. 7º, IX) |
| Enviar e-mails transacionais (confirmação de cadastro, convites, redefinição de senha) | execução de contrato (art. 7º, V) |
| Atribuir indicações do programa de parceiros | legítimo interesse (art. 7º, IX) |
| Responder mensagens de contato | procedimentos preliminares a contrato ou legítimo interesse (art. 7º, V e IX) |
| Exercício regular de direitos em processos | art. 7º, VI |
Não vendemos dados pessoais e não os usamos para publicidade de terceiros.
4. Inteligência artificial
O WaveMakerAI usa modelos de inteligência artificial para gerar textos, imagens, vídeos, roteiros e análises, e para transcrever áudio. Para isso, o conteúdo necessário à tarefa (por exemplo, o briefing, o perfil da marca e as imagens de referência) é enviado aos provedores listados na seção 5, somente para processar o pedido.
- A VertexHub não usa o conteúdo dos clientes para treinar modelos próprios.
- Os provedores são contratados por API, em modalidades cujos termos restringem o uso dos dados enviados à prestação do serviço. Parte do processamento ocorre em modelos executados na nossa própria infraestrutura (por exemplo, transcrição de áudio e modelos abertos).
- Conteúdo gerado por IA pode conter erros, imprecisões ou semelhanças com obras de terceiros. Ele é uma sugestão: o cliente revisa e decide o que publicar (veja os Termos de Uso).
- Recursos automáticos — como pontuação de oportunidades, regras de compliance e o piloto automático de campanhas — produzem recomendações e bloqueios configurados pelo cliente. Você pode pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses (art. 20 da LGPD) pelo e-mail do encarregado.
5. Compartilhamento e suboperadores
Compartilhamos dados apenas com prestadores necessários ao serviço, sob contrato e na medida do necessário:
| Prestador | Para quê | Local |
|---|---|---|
| Google Cloud (Vertex AI: Gemini, Veo) | geração de texto, imagem e vídeo; transcrição de áudio quando necessário | EUA e outros |
| Anthropic (Claude) | geração de textos | EUA |
| Groq | geração e análise de textos | EUA |
| fal.ai | geração de imagem e vídeo (alternativa) | EUA |
| HeyGen e ElevenLabs | vídeos com avatar e voz sintética, quando o recurso estiver habilitado | EUA |
| Resend | envio de e-mails transacionais | EUA |
| Asaas | cobrança e pagamentos | Brasil |
| Meta, TikTok e Google (YouTube) | publicação e métricas, somente quando você conecta sua conta | conforme cada plataforma |
| Central de parcerias VertexHub | validação de cupons e indicações | infraestrutura VertexHub |
Contas de redes sociais conectadas. Quando você conecta Instagram/Facebook (Meta), TikTok ou YouTube (Google), recebemos apenas as permissões que você autoriza na tela da própria plataforma e as usamos somente para: identificar a conta ou canal conectado, publicar o conteúdo que você aprovar (nunca sem a sua ação) e ler as métricas das publicações feitas pelo WaveMakerAI. Os tokens de acesso ficam cifrados (AES-256-GCM) e nunca são enviados ao navegador. Não vendemos esses dados, não os usamos para publicidade nem para treinar modelos de IA, e não os compartilhamos com terceiros além do necessário para prestar o serviço. Você pode desconectar a qualquer momento em Conexões, o que apaga o token, ou revogar o acesso nas configurações da plataforma (no Google: myaccount.google.com/permissions).
Google e YouTube. O uso e a transferência, para qualquer outro app, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google (Google API Services User Data Policy), incluindo os requisitos de Uso Limitado. "The use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements." Ao conectar o YouTube, você também concorda com os Termos de Serviço do YouTube (youtube.com/t/terms) e com a Política de Privacidade do Google (policies.google.com/privacy).
A hospedagem do WaveMakerAI, do banco de dados, dos arquivos e dos registros ocorre em infraestrutura operada pela VertexHub. Também podemos compartilhar dados quando exigido por lei, ordem judicial ou requisição de autoridade competente, e em operações societárias, sempre sob as mesmas garantias desta Política.
6. Transferência internacional
Alguns prestadores da seção 5 tratam dados fora do Brasil, principalmente nos Estados Unidos. Essas transferências se apoiam no art. 33 da LGPD e no Regulamento de Transferência Internacional de Dados da ANPD (Resolução CD/ANPD nº 19/2024), por meio de cláusulas contratuais e das garantias oferecidas pelos prestadores, e são limitadas ao necessário para a tarefa pedida.
7. Por quanto tempo guardamos
- Conta e conteúdo do workspace: enquanto a conta estiver ativa. Quando o administrador exclui o workspace, os dados são apagados de imediato da base de produção, assim como os arquivos de mídia que pertencem a ele.
- Cópias de segurança: o banco é copiado diariamente em backups cifrados, que são eliminados pelo ciclo regular de retenção. Dados excluídos podem permanecer nessas cópias até o fim do ciclo; elas não são usadas para nada além de recuperação de desastres.
- Registros de acesso: 6 meses, e então apagados automaticamente (Marco Civil da Internet, art. 15). Ficam guardados mesmo após a exclusão da conta, pelo prazo legal.
- Registros de cobrança e fiscais: pelo prazo exigido pela legislação tributária (em regra, 5 anos), mesmo após a exclusão da conta.
- Links de redefinição de senha e de confirmação de e-mail: 1 hora e 24 horas, respectivamente; uso único.
- Registros técnicos de aplicação: até 14 dias.
8. Seus direitos
Você pode, a qualquer momento e gratuitamente, pedir: confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; portabilidade; eliminação dos dados tratados com base em consentimento; informação sobre compartilhamentos; e revisão de decisões automatizadas (art. 18 e 20 da LGPD).
- Excluir o workspace e a conta: o administrador faz isso em Configurações → Segurança → Excluir workspace. Veja também a página Exclusão de Dados.
- Demais pedidos: escreva para vertexhub@vertexhub.ai a partir do e-mail cadastrado. Respondemos em até 15 dias (art. 19, II, da LGPD) e podemos pedir informações para confirmar a sua identidade.
- Se os dados foram inseridos por um cliente (por exemplo, sua foto em um avatar), encaminharemos o pedido ao cliente, que é o controlador, e apoiaremos o atendimento.
- Você também pode reclamar à ANPD (www.gov.br/anpd).
9. Segurança
Adotamos medidas técnicas e administrativas proporcionais ao risco, entre elas: conexões cifradas (TLS); senhas guardadas com argon2id; bloqueio da conta após tentativas erradas; verificação em duas etapas opcional; tokens de integrações e segredos cifrados (AES-256-GCM); isolamento de rede entre serviços; contêineres sem privilégios; segredos em cofre dedicado; backups diários cifrados com cópia externa e restauração testada; e monitoramento contínuo. Nenhum sistema é infalível; em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos os titulares afetados e a ANPD nos termos do art. 48 da LGPD.
11. Crianças e adolescentes
O WaveMakerAI é destinado a pessoas com 18 anos ou mais, agindo em nome próprio ou de empresas. Não coletamos intencionalmente dados de menores. Conteúdos que envolvam imagem de crianças ou adolescentes exigem o consentimento específico de ao menos um dos pais ou responsável legal (art. 14 da LGPD), obtido pelo cliente.
12. Alterações desta Política
Podemos atualizar esta Política para refletir mudanças no serviço ou na lei. Mudanças relevantes serão comunicadas por e-mail ou aviso no produto com antecedência razoável. A versão e a data de vigência aparecem no topo desta página.