Legal
Política de Privacidade
Versão 1.0 · Última atualização: 21 maggio 2026
1. Controlador de dados
O controlador de dados pessoais coletados por meio do serviço Neural Data Studio (o "Serviço") é:
- CodeLab s.r.l.s.
- Sede registrada: Corso Giuseppe Garibaldi 22, 00034 Colleferro (RM), Italia
- CNPJ/VAT: IT17925991006
- Consultas sobre privacidade: support@neuraldatastudio.ai
CodeLab s.r.l.s. não nomeou um Encarregado de Proteção de Dados (DPO), pois não se enquadra nos casos de nomeação obrigatória nos termos do Art. 37 do GDPR. Para qualquer dúvida sobre o tratamento de dados pessoais, você pode entrar em contato pelo endereço de e-mail indicado acima.
2. Categorias de dados tratados
2.1 Dados de cadastro
Nome, endereço de e-mail, senha (armazenada como hash bcrypt), provedor OAuth opcional (Google, Microsoft, GitHub, Apple).
2.2 Dados de perfil
Idioma, fuso horário, papel no tenant, preferências de interface.
2.3 Dados de uso do Serviço
Histórico de queries, prompts enviados ao modelo de IA, SQL gerado, resultado da execução, timestamp, consumo de tokens, plano ativo. Esses dados são essenciais para oferecer o histórico de queries, a cota mensal e o rate limiting.
2.4 Credenciais de conexão dos seus bancos de dados
Strings de conexão e credenciais dos bancos de dados que você conecta ao Serviço são criptografadas em repouso com criptografia de nível empresarial e chaves gerenciadas em um cofre de chaves dedicado. Nunca são enviadas ao modelo de IA nem compartilhadas com terceiros.
2.5 Dados de pagamento
Os dados de cartão de crédito são processados exclusivamente pelo Stripe (ver §6). Armazenamos apenas o identificador de cliente Stripe, o plano contratado e o histórico de notas fiscais.
2.6 Logs técnicos e de segurança
Endereço IP, user-agent, timestamps de requisições de API, eventos de autenticação, log de auditoria das operações realizadas sobre os dados. Utilizados para segurança, detecção de abusos e análise diagnóstica.
3. Finalidades do tratamento e base legal
| Finalidade | Base legal (GDPR) |
|---|---|
| Prestação do Serviço, gestão de conta e assinatura | Art. 6.1.b – execução de contrato |
| Obrigações fiscais e legais (faturamento, contabilidade) | Art. 6.1.c – obrigação legal |
| Segurança, prevenção de fraudes, log de auditoria | Art. 6.1.f – interesse legítimo |
| Comunicações do Serviço (e-mails transacionais) | Art. 6.1.b – execução de contrato |
| Newsletter, materiais de marketing | Art. 6.1.a – consentimento (revogável) |
4. Fornecimento de dados
O fornecimento dos dados necessários para o cadastro e execução do contrato é obrigatório: sem esses dados o Serviço não pode ser prestado. O fornecimento para fins comerciais é opcional e revogável a qualquer momento.
5. Métodos de tratamento e segurança
O tratamento ocorre por meios eletrônicos pelo tempo estritamente necessário para as finalidades descritas. Adotamos medidas de segurança técnicas e organizacionais adequadas, incluindo:
- criptografia em trânsito em todo o tráfego da aplicação;
- criptografia em repouso do banco de dados de configuração e das credenciais dos usuários;
- senhas armazenadas apenas como hashes com algoritmos resistentes a força bruta;
- chaves criptográficas mantidas em um cofre de chaves dedicado com controles de acesso RBAC;
- tokens de sessão de curta duração, refresh tokens revogáveis e suporte a MFA;
- logs de auditoria imutáveis para todas as operações sensíveis;
- backups automáticos e procedimentos de recuperação de desastres documentados;
- princípio do mínimo privilégio para o pessoal autorizado.
6. Sub-processadores
Para prestar o Serviço, contamos com os seguintes fornecedores, que atuam como processadores de dados nos termos do Art. 28 do GDPR:
| Fornecedor | Finalidade | Localização |
|---|---|---|
| Microsoft Ireland Operations Ltd. | Hospedagem da infraestrutura da aplicação, banco de dados, cofre de chaves e inferência do modelo de IA | UE |
| Stripe Payments Europe, Ltd. | Processamento de pagamentos, faturamento, gestão de assinaturas | Irlanda, com possíveis transferências para a Stripe Inc. (EUA) com base em CCPs |
| Resend, Inc. | Entrega de e-mails transacionais (verificação de conta, recibos, alertas de cota) | EUA, com base em CCPs e Data Privacy Framework |
| Cloudflare, Inc. | DNS, proteção contra abusos, gestão de zona | Global, com base em CCPs e Data Privacy Framework |
| Aruba S.p.A. | Contas de e-mail corporativas (suporte, vendas) | Itália |
Esta lista está atualizada na data de publicação desta política. Podemos adicionar ou substituir sub-processadores mediante notificação por e-mail ou por meio da versão atualizada desta página, com aviso de pelo menos 30 dias para permitir objeções fundamentadas.
7. Transferências extra-UE
Quando um sub-processador trata dados fora do Espaço Econômico Europeu, a transferência ocorre exclusivamente com base nas Cláusulas Contratuais Padrão (CCPs) aprovadas pela Comissão Europeia e, onde aplicável, em certificações ao abrigo do EU-US Data Privacy Framework. CodeLab s.r.l.s. verifica periodicamente a adequação dessas salvaguardas.
8. Tratamento dos dados do seu banco de dados
Os bancos de dados que você conecta ao Serviço contêm seus dados ("Dados do Cliente"). CodeLab s.r.l.s. atua como processador de dados em relação a esses dados: trata-os exclusivamente para executar as queries que você inicia, retornar os resultados e gerar as respostas do assistente de IA.
- As credenciais de conexão são criptografadas em repouso e nunca enviadas ao modelo de IA.
- O schema dos bancos de dados (nomes de tabelas, colunas, tipos) é lido e enviado ao modelo de IA para gerar SQL compatível com sua estrutura.
- As linhas retornadas pelas queries permanecem no seu navegador e, se a conversa for salva, em nosso armazenamento; nunca são encaminhadas ao modelo de IA, salvo se você as incluir explicitamente em um prompt subsequente.
- As queries aprovadas pelo usuário são executadas nos bancos de dados conectados: o usuário é responsável por seus efeitos.
9. Retenção e exclusão
- Conta ativa: os dados são retidos durante a vigência do relacionamento.
- Exclusão da conta: dados de identificação e conexões do usuário são soft-deleted por 30 dias (para permitir restauração ou exportação sob solicitação) e então excluídos permanentemente dos sistemas de produção.
- Logs técnicos e de segurança agregados: retidos por até 24 meses para fins de segurança, auditoria e detecção de abusos.
- Dados fiscais e contábeis: retidos por 10 anos conforme a legislação italiana.
- Backups: backups criptografados com ciclo de rotação máximo de 35 dias; após o término do ciclo, os dados excluídos desaparecem dos backups também.
10. Seus direitos
A qualquer momento você pode exercer os seguintes direitos, reconhecidos pelos Arts. 15-22 do GDPR:
- acesso aos seus dados pessoais (Art. 15);
- retificação de dados imprecisos (Art. 16);
- exclusão (Art. 17 – "direito ao esquecimento");
- restrição do tratamento (Art. 18);
- portabilidade de dados em formato estruturado (Art. 20);
- objeção ao tratamento baseado em interesse legítimo (Art. 21);
- não ser sujeito a decisões automatizadas com efeitos significativos (Art. 22);
- retirada do consentimento para tratamento baseado em consentimento, sem prejuízo da licitude do tratamento anterior.
Para exercer esses direitos, escreva para support@neuraldatastudio.ai a partir do endereço de e-mail associado à conta. Responderemos em até 30 dias, prorrogáveis por mais 60 para solicitações complexas.
Você sempre tem o direito de apresentar uma reclamação à Autoridade Italiana de Proteção de Dados (Garante per la Protezione dei Dati Personali) (Piazza Venezia 11, 00187 Roma – www.garanteprivacy.it).
11. Cookies e tecnologias similares
O site e a aplicação utilizam exclusivamente cookies técnicos e de sessão estritamente necessários para o funcionamento do Serviço (autenticação, preferências de tema, sessão do usuário). Não utilizamos cookies de perfil ou publicidade de terceiros.
No primeiro acesso, exibimos um banner informativo que permite escolhas granulares de preferências (essenciais, sempre ativos, e analytics, opcionais). Atualmente nenhum provedor de analytics está ativo; a categoria está configurada e, se habilitada no futuro, funcionará apenas com seu consentimento explícito. Você pode revisar suas preferências a qualquer momento pelo link "Preferências de cookies" no rodapé do site.
O Stripe pode configurar cookies técnicos durante o fluxo de pagamento; esses cookies são limitados ao domínio do Stripe e regidos por sua política de privacidade.
12. Tratamento automatizado
O Serviço utiliza modelos de inteligência artificial para gerar SQL/MQL a partir de prompts em linguagem natural. Esses modelos não produzem decisões com efeitos jurídicos ou significativamente similares sobre você: você sempre mantém o controle final, aprovando manualmente cada operação de escrita ou DDL antes da execução.
13. Menores
O Serviço não é destinado a pessoas com menos de 18 anos. Não coletamos intencionalmente dados pessoais de menores; caso tomemos conhecimento de uma conta criada por um menor, procederemos à exclusão imediata.
14. Alterações desta política
Podemos atualizar esta Política de Privacidade em caso de mudanças no Serviço, na legislação aplicável ou na lista de sub-processadores. A data e o número de versão no topo da página sempre indicam a revisão mais recente. Em caso de alterações materiais, enviaremos uma notificação para o endereço de e-mail associado à conta.
15. Contato
Para qualquer dúvida sobre o tratamento dos seus dados pessoais, escreva para support@neuraldatastudio.ai ou para o endereço postal CodeLab s.r.l.s., Corso Giuseppe Garibaldi 22, 00034 Colleferro (RM), Italia.