Política de Privacidade — Viterb

Versão: 1.7 · Data: 03/10/2026 · Substitui: a versão 1.6 (02/10/2026), a 1.5 (30/09/2026), a 1.4 (29/09/2026), a 1.3 (21/09/2026), a 1.2 (21/09/2026), a 1.1 (19/09/2026), a 1.0 (27/08/2026) e todas as versões de rascunho anteriores.

O que mudou na 1.7 (03/10/2026) — contrato acompanha o produto (docs/_progresso/PARECER_ADVISOR_PROVEDORES_BYOK_02out2026.md, item N3): seção 6: dito por extenso o que o Anexo I, seção 3.6, já manda — com o Bedrock da própria empresa, o aviso de transferência internacional aparece a cada uso do modelo quando a região escolhida fica fora do Brasil e da União Europeia, quando a rota do modelo é global ou dos Estados Unidos, ou quando o fornecedor do modelo é marcado; e, se a empresa trocar a região, o modelo que a Viterb tinha liberado sozinho e que passa a exigir aviso volta a ficar bloqueado até o Administrador liberar. Nenhum direito do titular foi reduzido. Versão anterior: 1.6, de 02/10/2026.

O que mudou na 1.6 (02/10/2026) — contrato acompanha o produto (docs/DESENHO_PROVEDORES_BYOK_02out2026.md §8; pedido do RB de 02/10, "pode liberar os dois [Grok e Bedrock], colocando avisos de privacidade e lgpd e gdpr"): seções 6 e 8: a lista de fornecedores da Chave própria ganha xAI e Amazon Web Services (Amazon Bedrock, na conta AWS da própria empresa) — onze fornecedores no total. A xAI processa fora do Brasil e da União Europeia e a Viterb não confirmou a política de retenção nem de treinamento dela; o Bedrock da própria empresa processa na região que ela escolher ao conectar a credencial, dentro do eixo Brasil–União Europeia sem conta adicional, fora dele ou com fornecedor marcado (Anexo I, seção 3.6) com a mesma conta de transferência internacional dos demais. Nenhum direito do titular foi reduzido.

O que mudou na 1.5 (30/09/2026) — contrato acompanha o produto (relatório ao advogado de 30/09, docs/policies/PARA_O_ADVOGADO_30set2026.md, partes 4.2 e 4.3): (1) CPF: a palavra "irreversível" saiu. O CPF é guardado como impressão calculada com chave secreta do cofre da Viterb (secondbrain-control/app/documento_br.py); quem só tem o banco não chega ao número, mas a Viterb tem a chave — o dado é pseudonimizado, não anônimo, e continua sendo dado pessoal. Prazo e finalidade não mudaram. (2) Seções 2 e 3: o IP de quem pede teste grátis é guardado em forma de hash, com dia e contagem, para o limite de 3 testes por IP por dia (docs/DECISOES_RB.md, 29/09, l.1298); e o serviço de envio registra a entrega dos e-mails (para que serve, o que guarda, e que não registra abertura nem clique). (3) Seção 8: a Amazon também envia os e-mails da plataforma, inclusive o de acesso inicial (docs/DECISOES_RB.md, 27/09, l.1237); a lista da chave própria passa a ter os nove fornecedores da seção 6 (esta linha tinha ficado com três na versão 1.4); a Hetzner não guarda os backups — quem guarda, cifrados com chave da Viterb, é a Cloudflare, na jurisdição União Europeia. (4) Seções 9 e 18 acompanham o fato do backup. (5) Seção 10: o teste abandonado segue o prazo próprio das Condições Comerciais §5.4, e o registro de entrega de e-mail ganha linha. Nenhum direito do titular foi reduzido.

O que mudou na 1.4 (29/09/2026) — contrato acompanha a jornada do teste com chave própria (docs/DECISOES_RB.md, 29/09; docs/DESENHO_TRIAL_BYOK_JORNADA_29set2026.md §5, item E-7): (1) a seção 2 passa a descrever o CPF pedido para liberar o Crédito de cortesia — para que serve, que fica guardado como hash (não em texto simples) e por quanto tempo. (2) seção 6: a lista de fornecedores da Chave própria ganha mais seis nomes (Mistral AI, DeepSeek, Moonshot AI, Alibaba Cloud, Zhipu AI e MiniMax), e a frase que dizia que os três fornecedores "na configuração padrão deles... processam nos Estados Unidos" foi corrigida: isso só valia para a Anthropic, a OpenAI e o Google; cinco dos fornecedores novos processam fora do Brasil e da União Europeia por constituição própria (não necessariamente nos Estados Unidos), e um (Mistral AI) processa na União Europeia. (3) seção 10: nova linha de retenção do registro que fica de um teste abandonado e apagado. Nenhuma regra de tratamento de dado já existente mudou.

O que mudou na 1.3 (21/09/2026, à noite): as empresas que fazem os modelos de inteligência artificial — a Anthropic e, no Plano Completo, a OpenAI — voltam à lista da seção 8 como empresas que tocam o seu dado, ao lado da Amazon, que executa o modelo na infraestrutura dela. As frases "nada é compartilhado com o fornecedor do modelo" (seção 7, item 3) passam a dizer que são declarações da Amazon, e não promessa da Viterb em nome dela. Por que a mudança (decisão da Viterb de 21/09/2026): quando a sua empresa está em chave própria, o fornecedor escolhido por ela recebe o seu conteúdo, sem discussão; e, nos fluxos pela infraestrutura, dizer que um terceiro "não vê" o seu dado é prometer o que só esse terceiro pode garantir — se a promessa estiver errada, quem descobre é você, depois. Listar uma empresa a mais não custa nada a você; listar a menos custa. A seção 5 ganhou um parágrafo descrevendo a cadeia como ela é. A inclusão é correção de descrição, não empresa nova no caminho do dado; ainda assim, a publicação desta versão segue o aviso de 15 dias da seção 16 para quem já tiver conta. Nenhuma outra regra de tratamento de dado mudou.

O que mudou na 1.2 (21/09/2026): correção de fato na seção 7, item 3. A versão 1.1 dizia que, "na família GPT-5.x, guarda-se por até 30 dias apenas o que o sistema automático de abuso sinalizar, e, sob a rota regional, esse trecho fica dentro do Brasil ou da União Europeia". A segunda metade era falsa: esses modelos (GPT-5.6 Luna, Terra e Sol, e GPT-6 Astra, da OpenAI) não têm rota brasileira nem europeia no provedor de infraestrutura — só o perfil regional americano (Estados Unidos e Canadá), pelos model cards lidos em 21/09/2026. Eles passam a constar, nomeados, entre os modelos fora da Zona Homologada, com o aviso de aderência à LGPD exibido a cada seleção (decisão da Viterb de 21/09/2026). Nenhuma outra regra de tratamento de dado mudou.

O que mudou na 1.1 (19/09/2026): a contratação "Enterprise" passa a se chamar "Grandes Contas" (seção 6), acompanhando a mudança de nome da modalidade decidida em 14/09/2026 e aplicada ao conjunto dos documentos. Nenhuma regra de tratamento de dado mudou.

Este documento explica, para você — pessoa física —, o que acontece com o seu dado quando você usa o Viterb: como funcionário de uma empresa cliente, como administrador da conta, ou como visitante que conversa com o nosso atendimento sem ser cliente. O contrato da sua empresa com a Viterb (Termos de Uso e Adendo de Tratamento de Dados) trata dos mesmos assuntos na linguagem entre empresas. Em característica de modelo de inteligência artificial — onde processa, se retém, se compartilha com o fornecedor, se pode treinar — a fonte da verdade entre os documentos publicados é o Anexo I — Modelos de Inteligência Artificial e Tratamento de Dados, e este documento remete a ele em vez de repetir números por conta própria.

Resumo rápido

• O que você escreve é seu, ou da sua empresa — não nosso. Não vendemos dado pessoal e não usamos o que você escreve para treinar inteligência artificial. Isso vale para nós e para as empresas de inteligência artificial que usamos (seção 5).
• Tudo o que a Viterb processa por decisão própria fica no Brasil ou na União Europeia, com fornecedores que não guardam nada depois de responder. O catálogo também oferece modelos fora dessa zona — com etiqueta honesta na tela, e só para quem a sua empresa liberar e escolher (seções 7 e 9).
• A conta em que você trabalha tem dois tipos de memória — a sua e a da empresa inteira — e elas não têm a mesma audiência (seção 4).
• Se a sua empresa conectou a própria conta de inteligência artificial ("chave própria") ou um modelo próprio dela, parte da responsabilidade sobre para onde o seu dado vai muda de mão — leia a seção 6, é a mais importante deste documento se você está nessa situação.
• O seu dado circula por poucas empresas, e cada uma está listada com o que ela faz, onde fica, e por quanto tempo guarda (seções 8 e 10).
• Você tem direitos sobre o seu próprio dado — ver, corrigir, apagar, levar para outro lugar — e respondemos em até 15 dias corridos (seção 12).
• Login compartilhado anula a privacidade individual. Se mais de uma pessoa entra com a mesma conta, o sistema não consegue separar quem fez o quê (seção 4).

1. Quem cuida do seu dado, e em que papel

A empresa por trás do Viterb é a Bolsena Tecnologia e Treinamentos — razão social RG Barsotti Tecnologia e Treinamentos LTDA, CNPJ 54.115.182/0001-75, com endereço na Avenida Paulista, 1106, sala 01, Bela Vista, São Paulo/SP.

A lei brasileira de proteção de dados (a Lei Geral de Proteção de Dados, ou LGPD) chama de controlador quem decide para que o dado serve, e de operador quem trata o dado seguindo instrução de outra empresa, sem decidir sozinho para que ele serve. A Viterb ocupa os dois papéis, dependendo de qual dado está em jogo:

Em português claro: para o conteúdo que você produz trabalhando, quem manda é a sua empresa, não a Viterb. Se você quiser saber o que aconteceu com um documento seu, o caminho normal é perguntar primeiro para o administrador da conta da sua empresa — mas se você nos procurar diretamente, nós encaminhamos e acompanhamos (seção "Seus direitos").

Canal de privacidade: privacidade@viterb.com.br — endereço dedicado a assuntos de dado pessoal e ao exercício de direitos. Para suporte geral: contato@viterb.com.br.

Encarregado pelo tratamento de dados pessoais (a pessoa que a lei espera que exista para responder por isso — LGPD, artigo 41): Rodrigo Barsotti, contato pelo canal de privacidade acima.

2. Que dados a Viterb coleta sobre você, e por quê

Não pedimos, e não usamos, dado sensível. A lei dá proteção reforçada a um grupo específico de informação — origem racial ou étnica, religião, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico. O Viterb não foi feito para tratar esse tipo de dado e não pede nada disso no cadastro. Como o produto aceita qualquer documento que você suba, é tecnicamente possível que alguém insira esse tipo de informação por conta própria — se isso acontecer, quem inseriu é responsável por ter uma razão legal para aquilo, e recomendamos fortemente não fazer.

Por que pedimos o seu CPF no teste sem cartão: o Crédito de cortesia da primeira semana (R$ 5) é liberado uma vez a cada 90 (noventa) dias corridos por CPF — é assim que evitamos que a mesma pessoa abra teste atrás de teste. Por isso, para liberar o crédito, pedimos o CPF, mas não guardamos o número: guardamos só uma impressão dele, calculada com uma chave secreta que fica no cofre da Viterb, fora do banco de dados, pelo prazo de 2 (dois) anos, unicamente para saber se aquele CPF já usou o crédito na janela, e para nada mais. Quem tiver só o banco de dados, sem a chave, não consegue chegar ao número. Mas a Viterb tem a chave e, em tese, conseguiria testar números até achar o que corresponde à impressão — por isso esse dado é pseudonimizado, não anônimo: continua sendo dado pessoal seu, com todos os direitos da seção 12. Se o teste for abandonado (sem chave própria conectada) e a conta for apagada por falta de acesso (Condições Comerciais, seção 5.4), fica também um registro mínimo — datas, dias de uso, número de mensagens e gasto — vinculado a esse mesmo hash, pelos mesmos 2 anos, só para atendimento e relatório interno; nunca o seu nome, e-mail, celular ou o conteúdo das suas conversas.

Menores de idade: o Viterb usado dentro de uma empresa não se destina a menores de 18 anos. Para o produto pensado para uso em família existe uma política própria, mais protetiva, específica para esse caso.

O que a Viterb não coleta por conta própria: a plataforma não se conecta, por conta própria, ao seu e-mail, à sua nuvem de arquivos ou ao seu aplicativo de mensagens. O que o sistema sabe sobre você é exatamente o que foi colocado dentro dele — por você, por outra pessoa autorizada da sua empresa, ou por uma integração que a sua empresa decidiu ativar explicitamente. Não presuma que o produto vê algo que não foi inserido nele.

Se você é visitante e conversa com o nosso atendimento: nesse fluxo a Viterb é quem decide para que o dado serve (controladora), usa a conversa apenas para atender você, e a processa sob o mesmo regime do restante deste documento — dentro do Brasil ou da União Europeia, sem uso para treinamento e sem retenção pelo fornecedor de inteligência artificial (seções 5 e 9). Os seus direitos da seção 12 valem inteiros, sem você precisar ser cliente.

3. Por que tratamos o seu dado

Cada uso que fazemos do seu dado tem um motivo específico — nunca "porque sim":

• Fazer o produto funcionar — responder à sua pergunta, indexar o que você envia, construir memória — porque é literalmente o serviço que a sua empresa contratou.
• Atender você quando fala com o nosso atendimento — inclusive se você é visitante e ainda não é cliente.
• Manter sua conta segura — autenticar você, detectar acesso indevido, manter registro de segurança.
• Evitar abuso do teste grátis — o mesmo endereço de rede (IP) consegue abrir no máximo 3 testes grátis por dia; para contar, guardamos o IP em forma de hash, com o dia e o número de pedidos, e o CPF da forma descrita na seção 2.
• Confirmar que os e-mails que enviamos chegaram — o serviço de envio registra se cada mensagem foi entregue, recusada ou devolvida, para o suporte investigar quando alguém diz que não recebeu um e-mail (por exemplo, o de acesso inicial). Não registramos abertura nem clique.
• Cobrar a sua empresa e emitir nota fiscal, porque é obrigação legal e parte do contrato.
• Dar suporte quando você pede ajuda.
• Melhorar o produto, usando apenas números agregados de uso — nunca o conteúdo do que você escreveu.
• Responder a uma ordem judicial ou pedido de autoridade competente, quando formalmente exigido.

O que não fazemos: não vendemos o seu dado pessoal, não fazemos propaganda a partir do que você escreve, não compramos dado seu de terceiros para completar o seu perfil, e não usamos o conteúdo que você produz para treinar modelo de inteligência artificial — nem nosso, nem de terceiro.

4. A diferença entre a sua memória e a memória da empresa

O produto guarda dois tipos de memória, e eles não têm a mesma audiência:

• Memória pessoal — o que ficou ligado só a você: o que você perguntou, registrou ou revisou.
• Memória da empresa — o que é compartilhado entre as pessoas autorizadas da mesma empresa, e não pertence a você sozinho, pertence à conta da empresa.

Quem enxerga cada uma depende de como a sua empresa configurou o acesso — isso é decisão do administrador da conta, não da Viterb. O que a Viterb garante é a separação técnica entre as duas categorias; a decisão de quem, dentro da empresa, pode ver o quê é da empresa, não nossa.

Aviso importante sobre login compartilhado: se mais de uma pessoa usa a mesma conta para entrar no produto — a mesma senha, o mesmo acesso — o sistema não tem como saber que são pessoas diferentes. Nesse caso, qualquer promessa de privacidade individual deixa de valer, porque o sistema está, tecnicamente, vendo uma pessoa só. Isso não é um defeito do produto: é o funcionamento normal de qualquer sistema quando o acesso é compartilhado por escolha de quem administra a conta. Se isso é uma prática na sua empresa, vale conversar com o administrador sobre contas individuais.

5. Como a inteligência artificial usa o que você escreve

O caminho que o seu conteúdo percorre, passo a passo:

1. Você envia um documento ou faz uma pergunta. O conteúdo fica guardado na infraestrutura da Viterb (seção "Onde o seu dado fica").
2. Para conseguir buscar dentro do que você já escreveu, o sistema indexa esse conteúdo — esse passo roda dentro do nosso próprio servidor, sem enviar nada para fora só para isso.
3. Quando você faz uma pergunta, o sistema busca, dentro do seu próprio conteúdo, os trechos relevantes para responder.
4. A sua pergunta e só os trechos recuperados são enviados à empresa de inteligência artificial que gera a resposta. É neste passo, e só nele, que algo do seu conteúdo sai da nossa infraestrutura.
5. A resposta volta, fica registrada na conversa, e aparece para você.

Os modelos que a Viterb usa por decisão própria processam no Brasil ou na União Europeia e não guardam nada depois de responder — o fornecedor de infraestrutura opera, para eles, em regime de retenção zero por padrão. A lista modelo a modelo — onde cada um processa, o que retém, o que exige — é o Anexo I — Modelos de Inteligência Artificial e Tratamento de Dados, que é a fonte da verdade nesse assunto.

A cadeia, como ela é. Nos fluxos que a Viterb opera — Plano Completo, crédito de cortesia e Consolidação Noturna —, o passo 4 acima acontece na infraestrutura da Amazon (AWS), no Brasil ou na União Europeia, e quem gera a resposta é um modelo da Anthropic — ou da OpenAI, quando a sua empresa está no Plano Completo e você escolhe um modelo dela. O modelo é deles; a infraestrutura é da Amazon. A Amazon declara, em documentação pública que lemos e datamos, que não guarda o que você escreve, que não usa isso para treinar modelo nenhum e que não repassa o seu conteúdo a quem fez o modelo — nem na operação normal, nem no que o sistema antiabuso dela retiver. Os termos da Anthropic dizem que ela recebe da Amazon só dados de uso (quanto foi usado), sem o conteúdo. São declarações delas. A Viterb as repete com a fonte, e não tem como conferi-las por conta própria — por isso a Anthropic e a OpenAI aparecem na lista da seção 8 como empresas que tocam o seu dado, em vez de a Viterb prometer, em nome delas, que elas não veem nada. Se a sua empresa está em chave própria, a cadeia é outra: o seu conteúdo vai direto para o fornecedor que a sua empresa escolheu (seção 6).

Nenhuma empresa de inteligência artificial que usamos treina modelo com o seu conteúdo. É compromisso público delas, não promessa nossa sobre elas — e cada uma publica isso em contrato próprio, verificável no endereço da empresa.

6. As formas de contratar, e o que cada uma muda para o seu dado — leia esta seção com calma

A Viterb pode ser contratada de três formas diferentes, e elas mudam para onde o seu dado vai quando você conversa com a inteligência artificial.

• Plano Completo. A própria Viterb contrata e opera a inteligência artificial, em nome do serviço prestado à sua empresa. Nessa modalidade vale, inteira, a promessa da seção 9: processamento no Brasil ou na União Europeia, fornecedor sem retenção, nada de treinamento.
• Chave própria. A sua empresa contrata, diretamente, a empresa de inteligência artificial que vai gerar as respostas — hoje, uma entre Anthropic, OpenAI, Google, Mistral AI, DeepSeek, Moonshot AI (Kimi), Alibaba Cloud (Qwen), Zhipu AI (GLM / Z.AI), MiniMax, xAI ou Amazon Web Services (Amazon Bedrock, na própria conta AWS da sua empresa) — e conecta essa conta dentro do Viterb. A Viterb continua tratando o seu dado como operadora em toda a operação — inclusive ao transmitir a sua pergunta e os trechos recuperados — e faz essa transmissão só porque a sua empresa instruiu, ao conectar a credencial dela. Nessa modalidade, a sua conversa e os trechos recuperados vão direto para o fornecedor que a sua empresa escolheu, sob o contrato que a sua empresa tem com ele — a Viterb não é quem recebe nem quem guarda esse dado do outro lado, e não decide, no lugar da sua empresa, qual fornecedor usar.
• Modelo próprio da sua empresa (contratação Grandes Contas). A sua empresa conecta ao Viterb um modelo de inteligência artificial dela — contratado por ela ou hospedado em servidor dela, no Brasil, nos Estados Unidos, na União Europeia ou onde ela decidir — e o disponibiliza para times individuais ou para a empresa inteira, pelo mesmo controle por time e por pessoa da seção 7.

Se a sua empresa está na modalidade de chave própria, isto importa para você:

Quando o fornecedor escolhido pela sua empresa processa fora do Brasil e da União Europeia — é o caso da Anthropic, da OpenAI e do Google na configuração padrão deles (Estados Unidos), também de cinco dos fornecedores mais novos (DeepSeek, Moonshot AI, Alibaba Cloud, Zhipu AI e MiniMax, que processam fora do eixo Brasil–União Europeia por constituição própria), e também da xAI, cuja política de retenção e de uso para treinamento a Viterb não conseguiu confirmar — quem está mandando o seu dado para fora do país, legalmente, é a sua empresa, não a Viterb. A Mistral AI processa na União Europeia e não muda essa conta. Com a Amazon Bedrock conectada na conta AWS da sua própria empresa, quem decide a região é a sua empresa, ao conectar a credencial: dentro do Brasil ou da União Europeia, sem essa conta; fora delas, ou quando o modelo escolhido é de um fornecedor que a Viterb trata como marcado dentro do Bedrock (Anexo I, seção 3.6), a mesma conta se aplica — e a tela mostra o aviso de transferência internacional a cada uso desse modelo, nunca só uma vez. Se a sua empresa trocar a região do Bedrock, o modelo que a Viterb tinha liberado sozinho e que passa a exigir esse aviso volta a ficar bloqueado até o Administrador liberá-lo de novo. A lei chama isso de transferência internacional de dado, e escolher a base legal que autoriza essa transferência específica é responsabilidade de quem decidiu para que o dado serve — nesse trecho, a sua empresa, não nós. A Viterb informa essa condição à sua empresa, na tela, no momento em que ela conecta a credencial, e entrega a ferramenta para conectar — mas não pode decidir, no lugar da sua empresa, qual fornecedor usar nem como justificar legalmente aquele envio.

Se a sua empresa conectou um modelo próprio (Grandes Contas), isto importa para você:

• O que a Viterb garante, e continua garantindo: o transporte — a sua pergunta viaja cifrada da plataforma até o servidor que a sua empresa indicou; o controle de acesso — só usa o modelo quem a sua empresa liberou, time a time, pessoa a pessoa; a separação — o modelo da sua empresa serve só a conta dela, nenhum outro cliente da Viterb o alcança; e a etiqueta — o modelo aparece na tela identificado como "modelo da sua empresa, sob responsabilidade dela", com o território de processamento que ela informou.
• O que é da sua empresa, com todas as letras: tudo o que acontece dentro do servidor dela — retenção, registro, segurança, acesso de terceiros, uso posterior do dado, inclusive para treinamento — e a conformidade legal do uso, inclusive a escolha do país onde o servidor fica. Quando a sua empresa manda o seu dado para um servidor dela mesma, não está entregando o dado a um terceiro: está processando o próprio dado, na própria infraestrutura, no território que ela escolheu — por isso a decisão e a responsabilidade legal são dela. Ela declara ciência disso na tela, na hora de conectar o modelo, e a declaração fica registrada.

Duas exceções — mesmo com chave própria ou modelo próprio, dois pedaços continuam sendo processados pela Viterb:

Nesses dois casos vale, para esse trecho específico do seu dado, a mesma promessa do Plano Completo: processamento no Brasil ou na União Europeia, sem retenção pelo fornecedor (seção 9).

7. O catálogo de modelos: o que é escolha da sua empresa, e o que foge do nosso controle

O catálogo do Viterb oferece modelos dentro e fora da rota segura descrita na seção 9 (o Brasil e a União Europeia — nos contratos, esse conjunto se chama Zona Homologada). Cada modelo carrega, na tela, uma etiqueta honesta com onde processa, o que retém e o que exige — a tabela completa, modelo a modelo, é o Anexo I. Quatro coisas você precisa saber:

1. A segurança do fornecedor pode guardar dado por muito mais tempo do que o normal. Os fornecedores de inteligência artificial rodam sistema automático para detectar uso abusivo. Se o seu conteúdo for sinalizado por esse sistema, ele pode ficar retido bem além dos prazos normais — em alguns casos, até 2 anos o conteúdo e 7 anos o registro da sinalização. Isso acontece mesmo quando contratamos prazo curto de retenção, e não está sob controle da Viterb. Se soubermos de uma sinalização sobre o seu conteúdo, avisamos você.
2. Algumas funções que exigem "memória" do lado do fornecedor nascem desligadas. Por exemplo, deixar um arquivo salvo para reuso pelo fornecedor, ou pedir que ele execute código — essas funções não têm como funcionar com retenção mínima, porque precisam guardar algum estado. Por isso vêm desligadas por padrão, e só ligam se a sua empresa pedir explicitamente, sabendo que o prazo de retenção ali é diferente do padrão.
3. Alguns modelos do catálogo processam fora do Brasil e da União Europeia e são obrigados, pelo próprio fornecedor, a guardar o que processam — e nós não usamos nenhum deles em nada que rode por nossa conta. São o Claude Fable 5 — o modelo mais capaz do catálogo — que guarda tudo o que processa por até 30 dias dentro da infraestrutura AWS, exclusivamente para detecção automática de abuso; o tráfego sinalizado pode passar por revisão humana feita por pessoas da AWS, e — segundo a própria Amazon — nada é compartilhado com o fornecedor do modelo, inclusive a Anthropic (declaração dela, não promessa nossa; seção 5). Também não tem rota de processamento que fique só no Brasil ou na União Europeia: o conteúdo guardado pode ficar em qualquer país. O Claude Mythos 5, no mesmo regime, mas cujo prazo de guarda o fornecedor de infraestrutura não publica — preferimos dizer isso a inventar um número. E os quatro modelos de fronteira da OpenAI — GPT-5.6 Luna, GPT-5.6 Terra, GPT-5.6 Sol e GPT-6 Astra —, que rodam nos Estados Unidos ou no Canadá (o único perfil regional que o provedor de infraestrutura publica para eles; não existe rota brasileira nem europeia), fora do eixo de conformidade da LGPD, e guardam por até 30 dias, dentro da infraestrutura AWS, o que o sistema automático de abuso sinalizar — e, segundo a Amazon, sem compartilhar nada com a OpenAI. Para esses quatro, o aviso de que o modelo roda fora do Brasil e da União Europeia, e portanto fora da aderência à LGPD, aparece toda vez que alguém o seleciona, não só uma vez. Esses modelos nascem bloqueados para todos os times e todas as pessoas da sua empresa: ninguém cai neles por padrão, por erro de configuração ou por desvio automático. Eles só processam algo seu depois de duas decisões da sua empresa: o administrador libera o modelo — para a conta inteira, para um time ou para você individualmente, e pode revogar a qualquer momento (revogar ou desligar impede as próximas requisições, mas não desfaz a retenção do que já foi enviado) — e a pessoa autorizada o seleciona na tela, com todos esses fatos escritos na própria tela da escolha, antes da primeira pergunta. A liberação e a escolha ficam registradas. Se o seu dado chegar a um modelo desses sem essa dupla escolha, a falha é da Viterb, não da sua empresa. Os demais modelos do catálogo, incluindo os que usamos no dia a dia, não são guardados pelo fornecedor de infraestrutura depois de responder. *(Nota de correção, 21/09/2026: até a versão 1.1 este item terminava dizendo que "na família GPT-5.x" o trecho sinalizado ficava "dentro do Brasil ou da União Europeia" sob rota regional. Não existe rota regional brasileira nem europeia para esses modelos; a frase foi retirada e os modelos passaram a constar acima, nomeados, entre os de fora da Zona Homologada.)*
4. Preferimos parar o serviço a mandar seu dado para uma rota fora do combinado — e nunca usamos a camada gratuita de nenhum fornecedor. Se a rota de processamento prometida a você ficar indisponível, o atendimento é interrompido em vez de o seu dado ser processado, silenciosamente, em outro lugar: chamada cuja rota não pertença à lista combinada é barrada antes de sair, e a recusa fica registrada (seção 9). Parte desse mesmo compromisso é nunca usar, nesse processamento, a camada gratuita que alguns fornecedores de inteligência artificial oferecem — a camada gratuita costuma vir com treinamento do modelo a partir do conteúdo enviado e revisão humana da conversa, o que contraria o que prometemos na seção 5.

8. Com quais empresas o seu dado circula

Esta é a lista de terceiros que podem tocar no seu dado pessoal para o Viterb funcionar. A lista viva, com data de entrada de cada fornecedor, é a página pública de fornecedores da Viterb.

Certificações que essas empresas declaram são delas, verificáveis no site de cada uma — a Viterb não tem certificação própria de segurança da informação.

9. Onde o seu dado fica, e para onde ele pode ir

A infraestrutura é sempre da Viterb. O produto nunca é instalado num computador da sua empresa, e ninguém da sua empresa recebe acesso de administrador ao servidor onde o serviço roda — nem no plano com servidor exclusivo (a modalidade em que a máquina não é compartilhada com outro cliente: "exclusivo" quer dizer sem vizinho, não quer dizer que a sua empresa administra a máquina).

A lei brasileira não exige que o seu dado fique dentro do Brasil. O que ela exige é que, se o dado sair do país, exista uma base legal reconhecida que autorize essa saída.

A única decisão da autoridade brasileira de proteção de dados reconhecendo um destino como equivalente ao Brasil é a que reconhece a União Europeia (decisão de adequação de janeiro de 2026 — o mecanismo que a LGPD prevê para destino com grau de proteção adequado). Não existe nenhuma outra. Isso importa porque um mecanismo muito usado no mercado — as cláusulas contratuais padrão europeias — não foi reconhecido pela autoridade brasileira, e certificação de segurança americana também não vale como base legal aqui. Por isso a rota da Viterb, para tudo o que ela processa por decisão própria, é: Brasil ou União Europeia, e nenhum outro lugar.

Como isso funciona na prática, de forma verificável: toda chamada de inteligência artificial que a Viterb opera sai de um ponto de origem fixado em configuração e conferido por teste automático a cada mudança do software, e só pode ser atendida dentro de uma lista fechada: os países da União Europeia servidos pelo perfil de processamento contratado — atualmente Alemanha, Suécia, Itália, Espanha, Irlanda e França, todos amparados pela decisão de adequação — ou o próprio Brasil. Guardamos um registro de cada chamada (data e hora, origem, modelo e o conjunto de destinos possíveis — nunca o conteúdo) por no mínimo 90 dias, disponível à sua empresa mediante pedido. Quando o fornecedor de infraestrutura não informa qual país da lista atendeu aquela chamada específica, o registro diz exatamente isso, em vez de preencher por dedução. E chamada cuja rota não pertença à lista é barrada antes de sair — nunca desviada em silêncio.

As exceções — todas expressas, nenhuma silenciosa:

1. O tráfego de rede. O caminho entre você e a plataforma passa por uma camada de proteção de acesso (a Cloudflare) com pontos de presença em vários países — nesse papel ela não guarda o seu conteúdo nem o usa para nada próprio (o backup cifrado que ela guarda, na jurisdição União Europeia, é outro serviço, descrito na seção 8), mas o tráfego cifrado pode ser processado, em trânsito, no ponto mais próximo de você, fora do Brasil e da União Europeia. Preferimos declarar isso a prometer "nunca em outro país" e deixar de fora o único ponto em que isso não é rigorosamente verdade.
2. Modelo fora da Zona Homologada que a sua empresa liberou e alguém escolheu (seção 7, item 3) — vale só para as perguntas dirigidas àquele modelo, e nunca acontece sem a dupla escolha registrada.
3. Chave própria (seção 6) — o destino é o fornecedor que a sua empresa escolheu e contratou, e a responsabilidade pela transferência é dela.
4. Modelo próprio da sua empresa (seção 6) — o destino é o servidor da própria empresa, no território que ela escolheu.
5. Cobrança — o dado cadastral e de cobrança da sua empresa vai ao processador de pagamento (seção 8); o conteúdo que você produz nunca passa por ele.

Se a sua empresa precisa de uma restrição além dessa rota — por exemplo, que nenhum dado saia do Brasil —, isso se combina em contrato antes da contratação: a rota padrão inclui a União Europeia.

10. Por quanto tempo guardamos cada coisa

11. Segurança — o que fazemos, e o que não prometemos

O que fazemos:

• Tudo que trafega é cifrado.
• Senhas e backups ficam cifrados quando armazenados.
• O painel administrativo interno não é exposto publicamente na internet, e o acesso a ele exige verificação em duas etapas.
• Isolamento entre clientes: cada cliente é mantido separado dos demais no banco de dados e no índice de busca — e, no plano com servidor exclusivo, também por máquina. Nenhum outro cliente da Viterb alcança o ambiente da sua empresa, e o conteúdo não se mistura.
• Mantemos registro de acesso e monitoramos eventos de segurança.

O que não prometemos, porque seria falso:

• Não existe cifragem que impeça o próprio sistema de ler o seu conteúdo. O serviço precisa ler o que você escreve para indexar e responder às suas perguntas. Se a sua necessidade é que nem o fornecedor consiga ler o dado, o Viterb não é a ferramenta certa.
• A Viterb não tem certificação própria de segurança da informação — as certificações citadas na seção anterior são dos nossos fornecedores.
• Nenhum sistema é imune a incidente. A seção 13 diz exatamente o que fazemos se algo dá errado.

12. Seus direitos, e como exercer

Você tem, sobre o seu próprio dado pessoal:

• Confirmar e ver se tratamos dado seu, e receber uma cópia.
• Corrigir dado incompleto, errado ou desatualizado.
• Pedir eliminação do seu dado, exceto no que a lei nos obrigar a manter.
• Levar embora — receber seus dados num formato que outro sistema consiga ler.
• Se opor a um uso do seu dado que se baseie em interesse legítimo da Viterb, não em obrigação legal ou contratual.
• Pedir para suspender o uso do dado enquanto uma contestação sua está sendo analisada.
• Retirar consentimento, a qualquer momento, sempre que o uso daquele dado dependia dele.
• Saber com quem compartilhamos — a seção "Com quais empresas o seu dado circula" já responde.

Como pedir: escreva para privacidade@viterb.com.br dizendo qual direito você quer exercer. Podemos pedir uma confirmação extra da sua identidade — só para não entregar seu dado para outra pessoa por engano.

Prazo de resposta: até 15 dias corridos, contados do recebimento do seu pedido. Em casos comprovadamente complexos podemos avisar, dentro desses mesmos 15 dias, que vamos precisar de mais tempo — mas isso é exceção, não regra, e você é avisado por escrito do motivo.

Custo: gratuito, salvo pedido claramente infundado ou repetitivo.

Se você é funcionário de uma empresa cliente: encaminhamos o seu pedido à sua empresa e acompanhamos o atendimento — nós mesmos só agimos sobre o conteúdo com instrução dela, porque é ela quem decide para que aquele dado serve (seção 1).

Se você não concordar com a nossa resposta, pode reclamar à Autoridade Nacional de Proteção de Dados — o órgão do governo brasileiro que fiscaliza o cumprimento da lei de proteção de dados — sem precisar nos procurar antes.

13. O que fazemos se houver um incidente de segurança

Um incidente de segurança é qualquer evento que comprometa o sigilo, a integridade ou a disponibilidade do seu dado pessoal — por exemplo, acesso não autorizado, vazamento ou perda de dado.

Se isso acontecer:

• Avisamos você (ou a sua empresa, que repassa) em até 48 horas depois de confirmarmos o incidente — mesmo antes de sabermos a extensão total do que aconteceu.
• O aviso descreve o que aconteceu, quais tipos de dado foram afetados, os riscos envolvidos, e o que já estamos fazendo a respeito.
• Também comunicamos a autoridade brasileira de proteção de dados, no prazo fixado pela regulamentação dela — 3 dias úteis, que é mais curto que o prazo europeu, e é o que seguimos.

O canal usado para esse aviso é o mesmo canal de contato de privacidade descrito no fim deste documento.

14. Fim de contrato e como pedir eliminação

Quando o contrato da sua empresa com a Viterb termina, a empresa tem 30 dias para exportar o conteúdo. A exportação é providenciada pela Viterb mediante pedido pelo canal de suporte ou de privacidade, entregue dentro desse prazo, num formato que outro sistema consiga ler. Depois do prazo, apagamos os dados operacionais, com eliminação também das cópias em backup no ciclo normal de rotação (seção 10). Guardamos apenas o que a lei obrigar — normalmente, documento fiscal.

Para um pedido individual seu de eliminação de dado pessoal (não da conta inteira da empresa), o caminho é o descrito em "Seus direitos" — resposta em até 15 dias corridos.

15. Se você é menor de idade

O Viterb usado dentro de uma empresa não se destina a menores de 18 anos. O produto pensado para uso em família tem política própria, mais protetiva, publicada junto com ele.

16. Mudanças nesta política

Podemos atualizar este documento conforme o produto, os fornecedores e a lei evoluem. A data no topo mostra a versão vigente. O prazo de aviso depende do tamanho da mudança:

• Mudança relevante — nova finalidade de uso, mudança de país de processamento, ou redução de um direito seu: avisamos por e-mail com pelo menos 30 dias de antecedência.
• Nova empresa entrando na lista da seção 8 (novo fornecedor tratando dado em nosso nome): avisamos com pelo menos 15 dias de antecedência, e a empresa passa a constar na lista com a data em que entrou.
• Mudança nas características de um modelo do catálogo segue o rito próprio do Anexo I — inclusive, para mudança que piore a condição de um modelo, aviso de 30 dias, suspensão das liberações daquele modelo até a sua empresa reconfirmar sob a nova etiqueta, e direito de saída sem multa.

Guardamos as versões anteriores e as disponibilizamos mediante pedido.

17. Com quem falar

Privacidade e exercício de direitos: privacidade@viterb.com.br Encarregado pelo tratamento de dados: Rodrigo Barsotti — privacidade@viterb.com.br Suporte geral: contato@viterb.com.br Endereço: Avenida Paulista, 1106, sala 01, Bela Vista, São Paulo/SP

18. As seis perguntas diretas

Onde ficam os meus dados? Os servidores de aplicação e o banco de dados ficam na União Europeia (Alemanha e Finlândia). Os backups, cifrados pela Viterb antes do envio, ficam no armazenamento da Cloudflare, na jurisdição União Europeia (seção 8). A resposta de inteligência artificial, nos fluxos que a Viterb opera, é gerada no Brasil ou na União Europeia — e em nenhum outro lugar (seção 9). Fora dessa rota existem só as exceções expressas da seção 9: o trânsito de rede pela camada de proteção de acesso, um modelo fora da Zona Homologada que a sua empresa liberou e alguém escolheu com aviso na tela, a chave própria (o dado vai ao fornecedor que a sua empresa contratou), o modelo próprio da sua empresa (o dado vai ao servidor dela), e o dado de cobrança no processador de pagamento.

Vocês usam a minha informação para treinar inteligência artificial? Não. Nem a Viterb, nem nenhuma das empresas de inteligência artificial que usamos treinam modelo com o conteúdo que você escreve — é compromisso público delas, verificável no contrato que cada uma publica.

Por quanto tempo vocês guardam meus dados? Depende do tipo de dado — a tabela completa está na seção 10. Em resumo: o que você produz fica enquanto a conta da empresa existir; o histórico de conversa segue o prazo que a empresa escolheu (padrão 12 meses); backup gira em até 35 dias; e, depois de um pedido de eliminação, você recebe resposta em até 15 dias corridos.

Quem consegue ver o meu conteúdo? Dentro da sua empresa, isso depende de como o administrador da conta configurou o acesso — memória pessoal e memória da empresa não têm a mesma audiência (seção 4). Do lado da Viterb, o sistema precisa processar o conteúdo para indexá-lo e responder às suas perguntas — não existe cifragem que esconda o conteúdo do próprio sistema. E se a sua conta é compartilhada com outra pessoa pelo mesmo login, o sistema não consegue distinguir vocês dois.

Como eu apago os meus dados? Escrevendo para privacidade@viterb.com.br, pedindo eliminação. Respondemos em até 15 dias corridos. Se a conta inteira da sua empresa for encerrada, ela tem 30 dias para exportar o conteúdo antes do apagamento definitivo.

O que acontece se vocês forem invadidos? Avisamos você, ou a sua empresa, em até 48 horas depois de confirmarmos o incidente — mesmo antes de sabermos a extensão total. O aviso conta o que aconteceu, quais tipos de dado foram afetados, os riscos, e o que já estamos fazendo. Também avisamos a autoridade brasileira de proteção de dados em até 3 dias úteis. É a pergunta que quase ninguém responde com prazo e conteúdo exatos — e é por isso que ela está aqui, por último, respondida das duas formas.

Fim.