Política de Privacidade da Trakto

Versão 2026-08-21 — vigência a partir de 1º de setembro de 2026

Esta Política de Privacidade explica como a Trakto coleta, usa, compartilha e protege dados pessoais quando você usa a plataforma trakto.studio, nossos sites, a API, o servidor MCP, os Trakto Links e nossos canais de atendimento (em conjunto, a "Plataforma").

Ela foi escrita para atender, ao mesmo tempo, à Lei Geral de Proteção de Dados do Brasil (LGPD), ao Regulamento Geral de Proteção de Dados da União Europeia e do Reino Unido (GDPR e UK GDPR), à lei de privacidade da Califórnia (CCPA/CPRA) e à lei canadense (PIPEDA). As seções 11 a 14 trazem informações específicas para cada regime. Em caso de conflito, aplica-se a regra mais protetiva a você.

Resumo do que importa:

• Seus documentos, uploads, prompts, imagens/vídeos gerados e brand kits não são usados para treinar modelos de IA — nem por nós, nem pelos provedores de IA que usamos.
• Não vendemos seus dados pessoais.
• Dados de cartão ficam com a Stripe; a Trakto não os armazena.
• Analytics e marketing só com o seu consentimento onde a lei exige (UE/UK/Canadá) e com opção de recusa nas demais regiões.
• Você pode acessar, corrigir, exportar e excluir seus dados a qualquer momento.

1. Quem é o controlador

1.1. O controlador dos dados pessoais tratados no contexto desta Política é Blob Animação Gráfica Interativa Ltda., CNPJ 05.196.991/0001-43, com sede em Avenida Álvaro Otacílio, 3731, Bloco Espanha – Edf. JTR, Sala 602, Jatiúca, Maceió/AL, CEP 57036-850, Brasil ("Trakto", "nós").

1.2. Encarregado de dados (DPO). Nosso encarregado pelo tratamento de dados pessoais, nos termos do art. 41 da LGPD e do art. 37 do GDPR, pode ser contatado em dpo@trakto.io (Encarregado: Diogo Nobre)

2. Escopo e papéis: quando somos controlador e quando somos operador

2.1. Somos controlador dos dados pessoais de quem cria uma conta, visita nossos sites, interage com nosso atendimento ou recebe nossas comunicações. Esta Política trata principalmente dessas situações.

2.2. Somos operador (processor) em relação aos dados pessoais de terceiros que você insere no seu conteúdo — por exemplo, fotos de clientes da sua agência, nomes em uma apresentação, planilhas de produtos com dados de compradores. Nesses casos, você (ou a organização que você representa) é o controlador, e o tratamento segue suas instruções, conforme o Adendo de Tratamento de Dados. Se você é titular de dados que apareceram em um design criado por um cliente da Trakto, direcione seu pedido a esse cliente; ajudaremos no que for necessário.

2.3. Visitantes de Trakto Links. Quando você visualiza um Trakto Link publicado por um usuário, a Trakto coleta dados técnicos básicos e métricas de visualização (seção 3.5) como controladora para segurança e como operadora para fornecer estatísticas ao usuário que publicou.

3. Quais dados coletamos

3.1. Dados que você nos fornece

• Cadastro e perfil: nome, e-mail, senha (armazenada com hash), foto de perfil, idioma, país, cargo e empresa (opcionais), dados do provedor de identidade (como Google) quando você opta por esse login.
• Dados de cobrança: nome, endereço de cobrança, CPF/CNPJ ou identificação fiscal quando exigida, histórico de compras, plano contratado. Dados de cartão são coletados e armazenados diretamente pela Stripe; a Trakto recebe apenas um identificador, os últimos quatro dígitos, a bandeira e a validade.
• Conteúdo: documentos, uploads (imagens, vídeos, áudios, fontes, PDFs, planilhas), textos, prompts enviados às funcionalidades de IA, outputs gerados, brand kits, comentários e histórico de versões.
• Comunicações: mensagens enviadas ao suporte, respostas a pesquisas, participação em programas beta.
• Dados de times: nomes e e-mails de pessoas que você convida para o seu workspace.

3.2. Dados coletados automaticamente

• Dados de uso: funcionalidades usadas, ações no editor, modelos de IA acionados, créditos consumidos, documentos criados, datas e horários.
• Dados técnicos: endereço IP, tipo e versão de navegador, sistema operacional, resolução de tela, idioma do dispositivo, identificadores de sessão, páginas de origem.
• Logs de segurança e diagnóstico: registros de autenticação, erros de aplicação (via Sentry), latência, falhas de render.
• Cookies e tecnologias semelhantes: conforme a Política de Cookies.

3.3. Dados de terceiros

• Provedores de identidade: ao entrar com Google, recebemos nome, e-mail e foto, conforme as permissões que você concede.
• Integrações que você conecta: ao conectar contas externas (por exemplo, redes sociais para publicação ou importação de arquivos), recebemos os dados que você autoriza.
• Parceiros comerciais: em planos Enterprise, podemos receber dados de contato de representantes da organização contratante.

3.4. Dados sensíveis

A Trakto não solicita dados sensíveis (origem racial, convicções religiosas, opiniões políticas, dados de saúde, biométricos, orientação sexual). Se você incluir esses dados no seu conteúdo, o faz por sua conta, como controlador, e deve ter base legal para isso. Fotos de rostos são tratadas apenas como imagem, para renderização e para as funcionalidades que você acionar; não criamos modelos biométricos de identificação.

3.5. Visitantes de Trakto Links

Ao abrir um Trakto Link, coletamos IP (truncado após o processamento inicial), país/região aproximada, tipo de dispositivo e navegador, referenciador, data e hora e eventos de interação (visualização, cliques, tempo na página). Esses dados são usados para segurança, prevenção de abuso e para fornecer estatísticas agregadas ao usuário que publicou.

4. Para que usamos os dados e com que base legal

O que NÃO fazemos: não usamos seu conteúdo, prompts ou outputs para treinar modelos de IA; não tomamos decisões automatizadas com efeitos jurídicos ou igualmente significativos sobre você sem revisão humana; não vendemos dados pessoais; não fazemos perfilamento para fins de publicidade com base no seu conteúdo.

5. Inteligência artificial e seus dados

5.1. Compromisso de não treinamento. Documentos, uploads, prompts, imagens, vídeos e áudios gerados e brand kits não são usados para treinar, ajustar (fine-tuning), avaliar ou melhorar modelos de IA, nem pela Trakto nem pelos provedores de IA.

5.2. Como usamos os provedores. Para entregar funcionalidades de IA, a Trakto envia seus prompts e, quando necessário, o conteúdo de referência (por exemplo, uma imagem para remoção de fundo) a provedores de IA por meio de APIs comerciais. Esses provedores são contratados exclusivamente em regimes comerciais que proíbem o uso dos dados para treinamento e limitam a retenção ao tempo necessário para processar a requisição, prevenir abuso e cumprir a lei. Os provedores atuais são:

5.3. Modelos próprios e heurísticas. Parte das funcionalidades (como o motor de auto-animação e o solver de layout) roda com lógica determinística da própria Trakto, sem envio de dados a terceiros.

5.4. Moderação. Prompts e outputs podem passar por classificadores automatizados de segurança (da Trakto ou dos provedores) para detectar conteúdo proibido pela Política de Uso Aceitável de IA. Conteúdo sinalizado pode ser revisado por pessoas da equipe da Trakto, sob confidencialidade e acesso restrito, exclusivamente para fins de moderação e segurança.

5.5. Clonagem de voz e uso de rostos. Funcionalidades que usam voz ou rosto de uma pessoa real exigem que você declare ter o consentimento dessa pessoa. Amostras de voz enviadas para clonagem são tratadas como conteúdo seu, não são usadas para treinar modelos gerais e podem ser excluídas a qualquer momento. clonagem de voz não está disponível na Plataforma

6. Com quem compartilhamos dados

Compartilhamos dados pessoais apenas nas hipóteses abaixo, sempre com o mínimo necessário.

6.1. Sub-processadores (operadores). Empresas que tratam dados em nosso nome, sob contrato com obrigações de confidencialidade, segurança e não uso para finalidades próprias:

A lista atualizada de sub-processadores, com aviso prévio de alterações, é mantida no Anexo III do Adendo de Tratamento de Dados.

6.2. Membros do seu workspace. Se você participa de um workspace de time, seu nome, e-mail, foto e atividade nos documentos compartilhados ficam visíveis aos demais membros e ao administrador.

6.3. Público. Conteúdo que você publica em Trakto Links, templates que você torna públicos e seu perfil público (se houver) ficam acessíveis a terceiros, conforme as suas configurações.

6.4. Autoridades e obrigações legais. Podemos compartilhar dados quando exigido por lei, ordem judicial ou autoridade competente, ou para proteger direitos, segurança e propriedade da Trakto, de usuários ou de terceiros. Avaliamos cada pedido e, quando possível e permitido, notificamos você.

6.5. Operações societárias. Em caso de fusão, aquisição ou venda de ativos, dados podem ser transferidos à sucessora, que ficará vinculada a esta Política. Avisaremos você antes que seus dados passem a ser regidos por outra política.

6.6. Não vendemos dados pessoais e não os compartilhamos para publicidade comportamental de terceiros sem o seu consentimento (ver seção 13 para a definição de "venda" e "compartilhamento" na CCPA/CPRA).

7. Transferências internacionais

7.1. A Trakto é sediada no Brasil e usa infraestrutura e fornecedores localizados principalmente nos Estados Unidos somente nos EUA. Seus dados, portanto, podem ser transferidos e tratados fora do seu país.

7.2. Do Brasil para o exterior (LGPD, arts. 33 a 36). Baseamos as transferências em cláusulas contratuais padrão aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024) ou em outro mecanismo reconhecido, além de garantias contratuais de que os destinatários aplicam padrão de proteção compatível com a LGPD.

7.3. Da UE/UK para fora do EEE/UK. Usamos as Cláusulas Contratuais Padrão da Comissão Europeia (Decisão 2021/914), o Addendum do Reino Unido (ou o IDTA), e avaliações de impacto de transferência. Quando o fornecedor é certificado no EU-U.S. Data Privacy Framework, também nos apoiamos nessa certificação. Cópias dos mecanismos podem ser solicitadas ao encarregado.

7.4. Do Canadá. Informamos que dados podem ser tratados fora do Canadá e estar sujeitos às leis dos países onde estão, incluindo acesso por autoridades locais conforme a lei aplicável.

8. Por quanto tempo guardamos os dados

Após os prazos, os dados são excluídos ou anonimizados de forma irreversível. Podemos manter dados por mais tempo se necessário para cumprir obrigação legal, exercer direitos em processo judicial ou administrativo, ou em caso de bloqueio determinado por autoridade.

9. Como protegemos os dados

Adotamos medidas técnicas e organizacionais proporcionais ao risco, incluindo: criptografia em trânsito (TLS 1.2+) e em repouso; controle de acesso baseado em papéis e princípio do menor privilégio; autenticação forte para a equipe; segregação de ambientes; registros de auditoria; backups regulares com teste de restauração; gestão de vulnerabilidades; revisão de código; e contratos com obrigações de segurança com todos os sub-processadores. O Anexo II do Adendo de Tratamento de Dados descreve as medidas em detalhe.

Nenhum sistema é 100% seguro. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante a você, comunicaremos você e as autoridades competentes nos prazos legais (no Brasil, conforme a Resolução CD/ANPD nº 15/2024; na UE/UK, em até 72 horas à autoridade supervisora quando aplicável).

10. Seus direitos

Independentemente de onde você esteja, você pode:

• Acessar os dados que temos sobre você e obter uma cópia;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Excluir seus dados e sua conta;
• Exportar seus dados em formato estruturado e de uso comum (portabilidade);
• Restringir ou se opor a determinados tratamentos, especialmente os baseados em legítimo interesse;
• Revogar consentimento a qualquer momento, sem afetar a licitude do tratamento anterior;
• Não ser discriminado por exercer seus direitos;
• Reclamar a uma autoridade de proteção de dados.

Como exercer. Grande parte pode ser feita diretamente nas configurações da conta (editar perfil, exportar, excluir conta, gerenciar preferências de e-mail e cookies). Para os demais pedidos, escreva para dpo@trakto.io. Respondemos em até 15 dias (LGPD) ou 30 dias (GDPR/CCPA/PIPEDA), prorrogáveis quando a lei permitir, avisando você. Podemos pedir informações para confirmar sua identidade. Você pode designar um representante autorizado, conforme a lei aplicável.

11. Informações específicas — Brasil (LGPD)

11.1. Bases legais. Tratamos dados com fundamento nas bases do art. 7º da LGPD indicadas na seção 4, e dados sensíveis, se houver, apenas nas hipóteses do art. 11.

11.2. Direitos do titular (art. 18). Além dos direitos da seção 10, você pode: confirmar a existência de tratamento; obter informação sobre as entidades com as quais compartilhamos dados; ser informado sobre a possibilidade de não fornecer consentimento e suas consequências; solicitar anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; e pedir revisão de decisões automatizadas (art. 20).

11.3. Encarregado. Ver seção 1.2.

11.4. Autoridade. Você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) — gov.br/anpd — e aos órgãos de defesa do consumidor.

11.5. Crianças e adolescentes. Ver seção 16.

11.6. Relatório de impacto. Mantemos relatório de impacto à proteção de dados pessoais para as operações de maior risco e o apresentaremos à ANPD quando solicitado.

12. Informações específicas — União Europeia e Reino Unido (GDPR / UK GDPR)

12.1. Bases legais. Indicadas na seção 4. Quando nos baseamos em legítimo interesse, realizamos teste de balanceamento e você pode solicitar um resumo ao encarregado.

12.2. Transferências internacionais. Ver seção 7.3.

12.3. Direitos. Além dos direitos da seção 10: direito de oposição ao marketing direto a qualquer momento (art. 21(2)); direito de não ser submetido a decisão exclusivamente automatizada com efeitos jurídicos (art. 22) — não realizamos esse tipo de decisão.

12.4. Autoridade supervisora. Você pode reclamar à autoridade do seu país de residência, trabalho ou do local da suposta infração. No Reino Unido, ao Information Commissioner's Office (ico.org.uk). não nomeado neste momento

12.5. Cookies. Na UE/UK, cookies não essenciais são ativados apenas após o seu consentimento (opt-in), conforme a Diretiva ePrivacy / PECR.

13. Informações específicas — Califórnia (CCPA/CPRA)

13.1. Categorias coletadas nos últimos 12 meses (conforme Cal. Civ. Code §1798.140): identificadores (nome, e-mail, IP, identificadores de conta); informações comerciais (histórico de compras, plano); atividade na internet (uso, interações, cookies); dados de geolocalização aproximada (derivada do IP); conteúdo audiovisual e eletrônico (seu conteúdo e outputs); informações profissionais (cargo, empresa, opcionais); inferências limitadas para personalização de produto. Não coletamos categorias de informações pessoais sensíveis, salvo credenciais de login (protegidas por hash) e, se você as inserir, dados contidos no seu conteúdo, tratados apenas para prestar o serviço.

13.2. Fontes: você; seu dispositivo; provedores de identidade; integrações autorizadas.

13.3. Finalidades: seção 4. Destinatários: seção 6. Divulgamos informações a prestadores de serviço (service providers) para finalidades de negócio.

13.4. Venda e compartilhamento. A Trakto não vende informações pessoais. O uso de pixels e cookies de publicidade de terceiros pode ser considerado "compartilhamento" para publicidade comportamental contextual cruzada; esse compartilhamento só ocorre com o seu consentimento e você pode recusá-lo a qualquer momento pelo link "Do Not Sell or Share My Personal Information" no rodapé do site e nas configurações de cookies. Reconhecemos sinais de Global Privacy Control (GPC) como pedido de opt-out.

13.5. Seus direitos: saber/acessar; excluir; corrigir; portabilidade; opt-out de venda/compartilhamento; limitar uso de informações sensíveis (não aplicável, pois não as usamos para inferir características); não sofrer retaliação. Exerça pelas configurações da conta ou por dpo@trakto.io. Você pode usar um agente autorizado; verificaremos a autorização.

13.6. Retenção: seção 8.

13.7. Menores: não vendemos nem compartilhamos dados de menores de 16 anos.

14. Informações específicas — Canadá (PIPEDA e leis provinciais)

14.1. Tratamos dados pessoais de residentes no Canadá com consentimento (expresso ou implícito, conforme a sensibilidade e as expectativas razoáveis) para as finalidades identificadas na seção 4, e limitamos a coleta ao necessário.

14.2. Você pode retirar o consentimento a qualquer momento, sujeito a restrições legais ou contratuais e com aviso razoável; em alguns casos, isso pode impedir a prestação do serviço.

14.3. Transferências. Seus dados podem ser tratados fora do Canadá (seção 7.4).

14.4. Acesso e correção. Você pode solicitar acesso e correção. Respondemos em até 30 dias. Você pode apresentar reclamação ao Office of the Privacy Commissioner of Canada (priv.gc.ca) ou à autoridade provincial competente (por exemplo, a Commission d'accès à l'information du Québec). não aplicável neste momento

14.5. Responsável pela privacidade: o encarregado indicado na seção 1.2.

15. Cookies, analytics e marketing

15.1. Usamos cookies e tecnologias semelhantes conforme a Política de Cookies.

15.2. Onde o consentimento é prévio (opt-in): UE, UK, Canadá e outras jurisdições que o exijam — cookies e ferramentas de analytics e marketing só são ativados depois que você aceita no banner.

15.3. Nas demais regiões (opt-out): analytics pode estar ativo por padrão com base em legítimo interesse, e você pode desativá-lo a qualquer momento nas configurações de cookies. Marketing de terceiros sempre depende de consentimento.

15.4. E-mails de marketing. Todo e-mail de marketing tem link de descadastro. E-mails transacionais (segurança, cobrança, alterações de termos) são necessários ao serviço e não podem ser desativados enquanto a conta existir.

16. Crianças e adolescentes

16.1. A Plataforma é destinada a pessoas com 18 anos ou mais. Não coletamos conscientemente dados de menores de 13 anos. não: a Plataforma é destinada exclusivamente a maiores de 18 anos

16.2. Se tomarmos conhecimento de que coletamos dados de menor sem o consentimento exigido, excluiremos os dados. Pais e responsáveis podem nos contatar em dpo@trakto.io.

17. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças na Plataforma, na lei ou nos nossos fornecedores. Alterações relevantes serão comunicadas com antecedência mínima de 15 dias por e-mail ou aviso na Plataforma. Mudanças na lista de sub-processadores seguem o procedimento do Adendo de Tratamento de Dados. O histórico de versões está ao final do documento.

18. Contato

• Encarregado de dados (DPO): dpo@trakto.io
• Suporte: suporte@trakto.studio
• Endereço: Avenida Álvaro Otacílio, 3731, Bloco Espanha – Edf. JTR, Sala 602, Jatiúca, Maceió/AL, CEP 57036-850, Brasil

Histórico de versões