Política de Privacidade

O Ilveno é operado por Ege Bilge, empresário individual, sob o nome comercial "Ilveno".

Contato para qualquer assunto desta política: [email protected]

TODO — o endereço postal registrado deve ser publicado aqui. Atualmente ele só está disponível mediante solicitação, o que não é suficiente para um operador que hospeda dados de clientes.

Esta distinção determina todo o restante desta política, por isso a enunciamos primeiro.

• Quanto aos dados de conta, assinatura e cobrança, e quanto às visitas a ilveno.com, somos o controlador. Nós decidimos por que e como esses dados são tratados, e esta política é o nosso aviso a você a respeito disso.
• Quanto ao conteúdo dentro de um espaço de trabalho Cloud — notas, quadros, mensagens de chat, arquivos, entradas de calendário, chamados, as contas de usuário do próprio cliente —, o cliente é o controlador e nós somos o operador. Tratamos esses dados apenas para operar o serviço, seguindo as instruções do cliente.
• Em uma instalação Enterprise on-premise não somos nem um nem outro: não recebemos nenhum conteúdo do espaço de trabalho. Somos controlador apenas quanto à relação de licenciamento e cobrança.

Se o seu empregador usa o Ilveno e você quer saber por que os seus dados pessoais estão em um espaço de trabalho, por quanto tempo são mantidos, ou deseja corrigi-los ou excluí-los, o controlador é o seu empregador e é a ele que você deve se dirigir. Encaminharemos tal solicitação e prestaremos assistência a ele.

Os termos de operação — o contrato do Artigo 28(3) entre nós e cada cliente Cloud — estão em https://ilveno.com/legal/dpa.

• Registros de cliente e de conta — nome da empresa ou do cliente, endereço de e-mail corporativo, o produto da assinatura, quantidade de assentos, período e status de cobrança, o identificador de cliente da Polar, o subdomínio alocado ao espaço de trabalho e seu estado de provisionamento.
• Registros de licença — identificador da licença, edição, direitos habilitados, quantidade de assentos, datas de emissão e expiração e, para instalações on-premise, os metadados de check-in (impressão digital da instalação, assentos em uso, versão, carimbo de tempo).
• Dados de cobrança — faturas e registros de transações. Os dados do cartão são inseridos no checkout da Polar e jamais chegam aos nossos sistemas; não os vemos nem os armazenamos.
• Correspondência de suporte e de vendas — os e-mails que você nos envia e as nossas respostas.
• Logs de servidor do site ilveno.com — endereço IP, user agent, referenciador e caminho requisitado, mantidos por breve período para segurança e prevenção de abusos.
• Registros de acesso administrativo ao nosso painel interno — quem acessou e quando.

Não vendemos, alugamos nem comercializamos dados pessoais, e não os utilizamos para treinar modelos de aprendizado de máquina.

• Execução de contrato (GDPR art. 6(1)(b)) — criar e operar o seu espaço de trabalho, provisionamento, habilitação de direitos, renovações, suporte.
• Obrigação legal (art. 6(1)(c)) — escrituração contábil e registros fiscais.
• Legítimo interesse (art. 6(1)(f)) — segurança e prevenção de abusos, manutenção da disponibilidade da plataforma, avisos de serviço e de renovação, defesa de pretensões jurídicas. Você pode se opor ao tratamento baseado em legítimo interesse a qualquer momento.
• Consentimento (art. 6(1)(a)) — apenas quando exigido, e revogável a qualquer momento sem afetar o tratamento já realizado.

Cada cliente Cloud recebe uma pilha dedicada: o seu próprio contêiner de aplicação, o seu próprio banco de dados PostgreSQL, a sua própria instância Redis e o seu próprio volume de armazenamento de arquivos, acessíveis em seu próprio subdomínio. Não há banco de dados de aplicação compartilhado nem separação em nível de linha entre clientes — a fronteira de isolamento é o contêiner, não uma condição em uma consulta.

Não lemos o conteúdo dos espaços de trabalho. A nossa equipe consegue alcançar a infraestrutura de um espaço de trabalho porque nós a operamos, e esse acesso é usado para executar e reparar o serviço, aplicar atualizações e — no caso do suporte — quando um cliente nos pede para examinar algo. Todo acesso desse tipo é limitado ao que a tarefa exige.

Não usamos o conteúdo dos espaços de trabalho para analytics, definição de perfis, publicidade ou treinamento de modelos, e não o divulgamos exceto conforme instrução do cliente ou exigência legal.

Utilizamos um pequeno número de prestadores. Cada um atua sob acordo escrito e trata dados apenas conforme as nossas instruções.

• Polar Software Inc. (polar.sh) — merchant of record: pagamento, faturamento, IVA e impostos sobre vendas, e o portal do cliente. Trata dados de cliente e de cobrança.
• Resend — e-mail transacional (mensagens de boas-vindas, entrega de licença, notificações, e-mails de suporte e de produto).
• TODO — o nosso prestador de hospedagem e infraestrutura, que opera os servidores nos quais residem o contêiner do seu espaço de trabalho, o banco de dados e o volume de arquivos. A razão social do prestador e a região do data center devem ser preenchidas aqui antes da publicação; deliberadamente não as presumimos.
• O áudio e o vídeo das reuniões são encaminhados por um servidor LiveKit que operamos nós próprios, no mesmo provedor de hospedagem indicado acima. É software que executamos, não uma empresa separada à qual enviamos os seus dados, pelo que não é um suboperador. Os fluxos passam por ele apenas enquanto a reunião decorre e não são gravados nem armazenados.
• OpenAI — somente se os recursos de IA estiverem ativados e uma chave for fornecida. O produto não possui capacidade de IA a menos que uma chave de API esteja configurada, seja por um usuário individual para a sua própria conta, seja pelo operador para a instalação. Onde houver chave configurada, o texto enviado ao assistente é transmitido à OpenAI sob a relação própria do detentor daquela chave com a OpenAI. Se nenhuma chave estiver configurada, nada é enviado e o recurso não fica disponível.
• Serviços de contabilidade e fiscais, estritamente dentro do escopo da escrituração legal.

A lista atual de suboperadores para clientes Cloud, e a forma como notificamos alterações nela, constam do Adendo de Tratamento de Dados em https://ilveno.com/legal/dpa.

TODO — a região de hospedagem dos espaços de trabalho Cloud deve ser informada aqui com precisão (prestador, país, região do data center). Os clientes escolhem um serviço hospedado em parte com base nessa resposta, de modo que ela não pode ficar vaga e não deve ser presumida.

Alguns dos nossos prestadores estão estabelecidos fora do Espaço Econômico Europeu. Quando dados pessoais são transferidos para fora do EEE, apoiamo-nos nas salvaguardas permitidas pelo art. 46 do GDPR — na prática, as Cláusulas Contratuais Padrão da Comissão Europeia (Implementing Decision 2021/914), complementadas por medidas adicionais quando uma avaliação de transferência as exigir. Para titulares de dados na Türkiye, aplicam-se os mecanismos correspondentes previstos no art. 9 da KVKK.

REVISÃO NECESSÁRIA — o mecanismo exato de transferência vigente com cada prestador não foi verificado para esta minuta. Ele deve ser checado prestador por prestador antes da publicação desta seção. Uma cópia das salvaguardas vigentes pode ser solicitada em [email protected].

• Conteúdo do espaço de trabalho: enquanto a assinatura estiver ativa. Na suspensão, os dados são mantidos, não excluídos — veja a janela de retenção na seção 8 dos nossos Termos de Serviço em https://ilveno.com/legal/terms, que ainda está por confirmar.
• Registros de cliente, de assinatura e de licença: enquanto a relação estiver ativa e, depois disso, pelo prazo exigido pela legislação contábil.
• Faturas e registros fiscais: conforme exigido em lei.
• Correspondência de suporte: até três (3) anos após a última troca de mensagens.
• Logs de servidor do site: até trinta (30) dias.
• Backups operacionais: TODO — indicar o período de retenção dos backups assim que ele for fixado operacionalmente.

As medidas que efetivamente operamos estão descritas no Adendo de Tratamento de Dados em https://ilveno.com/legal/dpa. Em resumo: um banco de dados, um cache e um volume de armazenamento por cliente, em vez de um banco de dados compartilhado; HTTPS com certificados emitidos e renovados automaticamente para cada espaço de trabalho; segredos gerados por tenant; acesso autenticado aos repositórios de dados; autenticação em dois fatores disponível para os usuários do espaço de trabalho; e o nosso painel interno restrito a uma lista explícita de contas autorizadas atrás de single sign-on.

Não possuímos nenhuma certificação de segurança. Não somos certificados ISO 27001, não temos relatório SOC 2 e não alegamos possuir nenhum dos dois. Se você precisa de uma garantia auditada, pergunte-nos antes de assinar, em vez de presumir que ela exista.

O site ilveno.com não define cookies de rastreamento nem executa analytics de terceiros. Os únicos valores armazenados no seu dispositivo são preferências funcionais — o tema e o idioma escolhidos. Os detalhes estão na nossa Política de Cookies em https://ilveno.com/legal/cookies.

Dentro de um espaço de trabalho Cloud, a aplicação define os cookies necessários para o login e a gestão de sessão. Esses são estritamente necessários a um serviço solicitado pelos usuários do cliente.

Se o GDPR ou o UK GDPR se aplicar a você, você tem os direitos de acesso, retificação, eliminação, limitação, portabilidade e oposição, o direito de não se sujeitar a decisões exclusivamente automatizadas com efeitos jurídicos (nós não tomamos nenhuma) e o direito de revogar o consentimento quando o tratamento nele se basear.

Se você estiver na Türkiye, os seus direitos previstos no art. 11 da KVKK estão descritos no nosso aviso KVKK em https://ilveno.com/tr/legal/kvkk .

Escreva para [email protected] para exercer qualquer direito. Respondemos no prazo de um (1) mês, gratuitamente, salvo se a solicitação for manifestamente infundada ou excessiva.

Quando atuamos como operador, encaminhamos a sua solicitação ao controlador — o seu empregador ou quem quer que opere o espaço de trabalho — porque a decisão cabe a ele, e o auxiliamos na resposta.

Você também tem o direito de apresentar reclamação a uma autoridade de controle: no EEE, a autoridade da sua residência habitual, do local de trabalho ou do local da suposta infração (art. 77); no Reino Unido, o Information Commissioner's Office; na Türkiye, a Autoridade de Proteção de Dados Pessoais (KVKK).

O Ilveno é vendido a empresas e não é direcionado a crianças. Não coletamos conscientemente dados pessoais de crianças. Se um cliente inserir dados de crianças em um espaço de trabalho, ele é o controlador desses dados e responsável pela base legal.

Podemos revisar esta política. A data de "Última atualização" no topo da página sempre reflete a versão vigente, e alterações materiais são comunicadas por e-mail aos clientes ativos.