Política de Privacidade

Esta Política descreve como a GMB TECNOLOGIA LTDA, CNPJ 68.727.144/0001-88, com sede em Belo Horizonte/MG (“Upuai”, “nós”), trata dados pessoais na plataforma Upuai Cloud, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD).

1. Dois papéis distintos

Esta Política trata de dados pessoais de que somos Controladores: os dados de quem cria conta, contrata e usa a Plataforma.

Os dados pessoais que você trata dentro das suas aplicações — dos seus próprios clientes e usuários finais — seguem regime diferente: nesse caso você é o Controlador e nós somos Operadores, agindo apenas conforme suas instruções. Essa relação é regida pelo Adendo de Tratamento de Dados (DPA). Não acessamos o conteúdo dos seus bancos de dados, buckets e volumes salvo para prestar suporte que você solicite, cumprir ordem legal ou conter incidente de segurança.

2. Dados que coletamos

Dados de cadastro. Nome, endereço de e-mail e, quando você usa login social, a foto de perfil e o identificador da sua conta no GitHub, GitLab ou Google.

Não coletamos senha. A autenticação é feita por código de uso único enviado ao seu e-mail ou por provedor externo. Não existe senha de conta Upuai.

Dados de acesso e sessão. Endereço IP e agente de usuário (navegador ou CLI) associados às suas sessões ativas e ao registro de aceite dos documentos legais; data e hora do último acesso.

Registros de auditoria. Ações relevantes praticadas na Plataforma — criação, alteração e exclusão de recursos — com identificação do autor, endereço IP, agente de usuário, data e hora.

Tokens e credenciais. Tokens de API que você emite (armazenados apenas como resumo criptográfico, nunca em texto claro) e credenciais de integrações que você conecta voluntariamente, como GitLab e Cloudflare, armazenadas de forma cifrada.

Dados de cobrança. Identificadores de cliente, assinatura e fatura no processador de pagamentos, valores, moeda, status e datas. Não armazenamos dados de cartão de crédito — eles são coletados e processados diretamente pelo processador de pagamentos.

Dados de contato comercial. Se você preenche o formulário público de contato: nome, empresa, e-mail, telefone e a mensagem enviada.

Dados técnicos e de navegação. Informações do navegador, sistema operacional, páginas visitadas e origem do acesso, coletados por cookies conforme a seção 8 e a Política de Cookies.

Conteúdo do Cliente. Código-fonte, imagens de contêiner, variáveis de ambiente, bancos de dados, arquivos e registros de execução das suas aplicações. Tratamos esse conteúdo como confidencial. Quando ele contiver dados pessoais de terceiros, aplica-se o DPA.

3. Como usamos os dados

Usamos os dados para: prover, manter e operar a Plataforma; autenticar você e proteger sua conta; construir, implantar e executar suas aplicações; processar pagamentos e gerenciar sua assinatura; enviar comunicações sobre o serviço, como avisos de implantação, cobrança, segurança e manutenção; prestar suporte; detectar, investigar e prevenir fraude, abuso e incidentes de segurança; produzir estatísticas agregadas de uso; e cumprir obrigações legais, regulatórias e ordens de autoridade competente.

Com o seu consentimento, também usamos dados para medir a audiência do site.

Enquanto você mantém conta na Plataforma, enviamos comunicações de marketing sobre nossos próprios produtos e serviços similares — novidades, conteúdo técnico e ofertas — com base no legítimo interesse. Todo e-mail desse tipo traz um link de descadastro de um clique, e o botão nativo “Cancelar inscrição” do seu provedor de e-mail também funciona. Você pode se opor a qualquer momento, sem justificar e sem afetar o serviço contratado, aqui ou em Configurações → Notificações.

Não vendemos dados pessoais e não os usamos para treinar modelos de inteligência artificial.

4. Base legal (LGPD art. 7º)

Finalidade	Base legal
Criar e manter conta, prestar o serviço, cobrar	Execução de contrato (art. 7º, V)
Segurança, prevenção a fraude e abuso, registros de auditoria	Legítimo interesse (art. 7º, IX)
Obrigações fiscais, contábeis e ordens de autoridade	Cumprimento de obrigação legal (art. 7º, II)
Cookies de audiência e publicidade	Consentimento (art. 7º, I)
Comunicações de marketing a clientes, sobre produtos próprios e similares	Legítimo interesse (art. 7º, IX)
Exercício de direitos em processo	Exercício regular de direitos (art. 7º, VI)

Comunicações operacionais sobre o serviço que você contratou — falha de implantação, fatura, incidente de segurança — não são marketing e são enviadas com base na execução do contrato.

Sobre o legítimo interesse em marketing: ele se limita a quem já é nosso cliente e a produtos nossos, similares aos que você contratou; não abrange terceiros nem compartilhamento com anunciantes. Ponderamos que a expectativa de quem contrata uma plataforma de infraestrutura inclui receber novidades sobre ela, e que o impacto é baixo diante da possibilidade de sair em um clique. Você pode se opor a esse tratamento a qualquer momento (art. 18, §2º), e nós paramos — sem consequência para o serviço contratado.

5. Resumo automático de falhas por inteligência artificial

Quando um build ou implantação falha, os registros da execução podem ser enviados ao Google Gemini para gerar um resumo do erro exibido no painel. Esses registros podem conter trechos do seu código, caminhos de arquivo e mensagens da sua aplicação.

O processamento tem por base a execução do contrato, e o provedor atua como subprocessador, sem autorização para usar o conteúdo em treinamento de modelos. Você pode desativar esse recurso nas configurações do projeto; o painel passa a exibir o registro bruto, sem resumo.

6. Armazenamento, segurança e transferência internacional

Onde os dados ficam. A infraestrutura de produção é operada em servidores dedicados próprios, em datacenter localizado em Belo Horizonte/MG. Suas aplicações, bancos de dados, buckets e volumes permanecem no Brasil.

Transferência internacional. Há duas situações em que dados saem do território nacional:

Cópia de segurança externa. Uma cópia diária do nosso banco de dados de controle — que contém dados de cadastro, workspaces e cobrança, não o conteúdo das suas aplicações — é cifrada antes de sair da nossa infraestrutura e armazenada em provedor de armazenamento externo, com retenção de 30 dias e proteção contra alteração. A chave de decifração não é compartilhada com o provedor.
Subprocessadores estrangeiros. Processador de pagamentos, provedor de e-mail, provedor de modelo de linguagem, provedores de identidade e de audiência. A lista completa, com finalidade e país, está em /subprocessadores.

As transferências se apoiam no art. 33 da LGPD, mediante cláusulas contratuais de proteção de dados firmadas com cada fornecedor e, quando aplicável, na necessidade para execução do contrato.

Segurança. Adotamos, entre outras medidas: cifragem em trânsito (TLS) e cifragem de segredos em repouso; controle de acesso baseado em papéis; isolamento entre workspaces por espaço de nomes e política de rede; registros de auditoria; varredura de vulnerabilidades nas imagens; assinatura das imagens da Plataforma; e cópias de segurança da infraestrutura.

Nenhum sistema é imune a incidentes. Em caso de incidente de segurança com risco relevante aos titulares, comunicaremos os afetados e a ANPD nos prazos da LGPD.

7. Compartilhamento

Compartilhamos dados pessoais apenas com: subprocessadores listados em /subprocessadores, contratualmente obrigados a tratá-los conforme nossas instruções; autoridades públicas, quando exigido por lei ou por ordem judicial; e terceiros em reorganização societária, como fusão ou aquisição, hipótese em que os titulares serão comunicados e esta Política continuará aplicável até eventual alteração.

8. Cookies

Usamos cookies estritamente necessários, de preferências, de audiência e de publicidade. Os de audiência e publicidade só são ativados após o seu consentimento, que você pode conceder, recusar e revogar a qualquer momento pelo painel de preferências, acessível no rodapé de todas as páginas. O detalhamento cookie a cookie está na Política de Cookies.

9. Retenção

Dado	Prazo
Cadastro e conta	Enquanto a conta existir
Conteúdo do Cliente após encerramento da conta	15 dias, depois exclusão irreversível
Dados pessoais após encerramento da conta	Até 30 dias, ressalvadas as exceções abaixo
Registros de acesso (IP, agente de usuário)	6 meses (Marco Civil da Internet, art. 15)
Registros de auditoria	12 meses
Registros de aceite de documentos legais	Enquanto a conta existir e por 5 anos após o encerramento, para prova da relação contratual
Registros de execução (logs) de build e implantação	30 dias
Registros de execução das aplicações	De 12 horas a 30 dias, conforme o Plano
Documentos fiscais e de pagamento	5 anos (legislação fiscal)
Contatos comerciais não convertidos	24 meses do último contato

10. Seus direitos (LGPD art. 18)

Você pode, a qualquer momento: confirmar a existência de tratamento; acessar seus dados; corrigir dados incompletos, inexatos ou desatualizados; solicitar anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; solicitar a portabilidade; obter informação sobre compartilhamento; ser informado sobre a possibilidade de não consentir e as consequências; e revogar consentimento.

Diretamente no painel, sem precisar falar conosco:

Acessar e corrigir — Configurações › Conta.
Exportar seus dados — Configurações › Conta › Exportar meus dados. Gera arquivo estruturado com seus dados pessoais, adequado à portabilidade.
Excluir a conta — Configurações › Conta › Excluir conta. A exclusão remove seus dados pessoais e seus recursos, respeitadas as retenções legais da seção 9.
Preferências de comunicação — Configurações › Notificações.
Preferências de cookies — link no rodapé de qualquer página.

Para os demais direitos, ou se preferir atendimento humano, escreva para contato@upuai.com.br. Respondemos em até 15 dias.

11. Encarregado de Proteção de Dados

Canal do Encarregado (DPO): contato@upuai.com.br.

Correspondência formal ao Encarregado: pelo mesmo e-mail, ou solicite o endereço para correspondência por ele.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

12. Crianças e adolescentes

A Plataforma não se destina a menores de 18 anos e não coletamos intencionalmente dados de crianças e adolescentes. Se identificarmos cadastro nessa condição, a conta será encerrada e os dados excluídos.

13. Alterações nesta Política

Podemos atualizar esta Política. Alterações materiais — nova finalidade, nova base legal, nova categoria de dado ou novo destinatário — serão comunicadas por e-mail e na Plataforma com 30 dias de antecedência da entrada em vigor, e o uso continuado da Plataforma após essa data constitui aceitação da nova versão. Quando a alteração depender de consentimento, ele será colhido separadamente e a ausência de manifestação não será tratada como consentimento. A versão vigente e o histórico estão em /legal.

GMB TECNOLOGIA LTDA — CNPJ 68.727.144/0001-88 — Belo Horizonte/MG, Brasil.