Política de Privacidade

1. Quem é o controlador

A TurboPlay atua como controlador dos dados pessoais dos titulares que se cadastram na Plataforma (clientes), e como operador em relação aos dados pessoais que nossos clientes decidam tratar por meio do Conteúdo enviado, dos players incorporados em seus próprios sites e dos eventos analytics gerados pelos espectadores.

Para questões relacionadas a dados pessoais, entre em contato com nosso Encarregado (DPO) pelo e-mail dpo@turboplay.app.

2. Dados que coletamos

2.1. Dados fornecidos por você (cliente)

• Cadastro: nome, e-mail, senha (armazenada em hash bcrypt), idioma preferido.
• Cobrança: dados de cartão de crédito são coletados e armazenados diretamente pela Stripe — a TurboPlay nunca tem acesso ao número completo do cartão. Mantemos apenas o ID de assinatura e os 4 últimos dígitos para identificação na fatura.
• Conteúdo enviado: os vídeos, thumbnails, metadados, títulos, legendas e qualquer outro material que você enviar. Esse Conteúdo pode conter dados pessoais de terceiros (rosto, voz, depoimentos) — você é responsável por garantir bases legais para tratá-lo.
• Suporte: mensagens trocadas via Crisp, e-mail ou outros canais de atendimento.

2.2. Dados gerados pelo uso da Plataforma

• logs de acesso ao painel (IP, user-agent, timestamps);
• logs de chamadas à API pública v1 e webhooks;
• jobs de processamento (transcodificação, thumbs, previews, BYOK IA), com métricas de duração e resultado;
• uso de armazenamento, banda e quotas para cálculo de cobrança e enforcement de limites do plano.

2.3. Dados de espectadores (player público)

Quando alguém assiste a um vídeo seu (em video.turboplay.app ou via embed), coletamos um conjunto mínimo de dados para gerar analytics e proteger o conteúdo:

• endereço IP (mascarado para os 3 primeiros octetos quando possível);
• user-agent (navegador, sistema operacional, tipo de dispositivo);
• país e cidade aproximada (via geolocalização do IP);
• referrer (URL que originou o play);
• eventos do player: play, pause, progresso, fim, mudança de qualidade, duração assistida (para retenção e A/B Tests);
• identificador anônimo de sessão (gerado por hash, não vinculado a identidade); usado para evitar contagem dupla e para distribuição ponderada de A/B Tests.

Não usamos cookies de rastreamento publicitário no player público e não compartilhamos dados de espectadores com redes de anúncios.

3. Bases legais e finalidades (LGPD art. 7º e 11)

• Execução de contrato (art. 7º, V): autenticação, processamento dos vídeos, entrega via CDN, faturamento, suporte.
• Cumprimento de obrigação legal (art. 7º, II): retenção de logs por 6 meses (Marco Civil), emissão fiscal, atendimento a ordens judiciais.
• Legítimo interesse (art. 7º, IX): métricas agregadas de analytics para gerar relatórios ao cliente, prevenção a fraude e abuso da Plataforma, melhoria de produto.
• Consentimento (art. 7º, I): envio de comunicações de marketing por e-mail (você pode descadastrar a qualquer momento) e cookies não essenciais no painel.

4. Cookies e tecnologias similares

Utilizamos cookies em três categorias:

• Estritamente necessários: sessão (token), locale (tp_locale), tema. Sem eles a Plataforma não funciona.
• Funcionais: preferências do dashboard (filtros, layout recente).
• Analíticos do produto: métricas agregadas para aprimoramento da Plataforma. Não usamos pixel publicitário no painel logado.

5. Com quem compartilhamos seus dados

A TurboPlay compartilha dados pessoais apenas com operadores indispensáveis à execução do serviço, mediante contrato com cláusulas de confidencialidade e proteção de dados:

• Amazon Web Services (AWS): hospedagem (EC2), armazenamento (S3 — buckets turboplay-storage e turboplay-private) e CDN (CloudFront). Dados em trânsito e em repouso são criptografados.
• Stripe: processamento de pagamentos e gestão de assinatura.
• Provedores de e-mail transacional: envio de e-mails de autenticação, recuperação de senha e notificações.
• Crisp: chat de suporte (apenas se você iniciar uma conversa).
• Provedores BYOK de IA: quando você ativa funcionalidades de IA, fornece a sua própria chave de API e os dados são enviados diretamente ao provedor escolhido (OpenAI, Anthropic, Google, ElevenLabs, Runway etc.). A TurboPlay não armazena os outputs de IA além do necessário para entregar a feature.
• Autoridades públicas: mediante ordem judicial, requisição fundamentada de autoridade competente ou para cumprir obrigação legal.

Não vendemos dados pessoais. Não compartilhamos dados de espectadores com redes de publicidade. Não usamos seu Conteúdo para treinar modelos de IA próprios ou de terceiros.

6. Transferência internacional

A infraestrutura da TurboPlay opera em regiões da AWS que podem incluir servidores nos Estados Unidos. Quando há transferência internacional, ela ocorre com base em (i) execução de contrato com o titular ou (ii) cláusulas contratuais padrão e mecanismos de proteção equivalentes ao estabelecido pela LGPD (arts. 33 a 36).

7. Retenção e exclusão

• Conta ativa: mantemos seus dados enquanto a conta estiver ativa.
• Após cancelamento: Conteúdo é mantido por 30 dias em modo leitura para download e depois excluído. Dados cadastrais e financeiros são retidos pelo prazo legal mínimo (em geral 5 anos para fins fiscais).
• Logs de acesso: 6 meses (Marco Civil da Internet).
• Eventos de analytics: dados granulares por 12 meses; depois mantidos apenas em forma agregada/anônima.

8. Seus direitos como titular (LGPD art. 18)

Você pode, a qualquer momento, exercer os seguintes direitos:

• confirmar a existência de tratamento;
• acessar seus dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• solicitar anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade para outro fornecedor;
• eliminação dos dados tratados com base em consentimento;
• informação sobre as entidades públicas e privadas com que compartilhamos dados;
• revogar o consentimento, quando aplicável;
• opor-se a tratamento realizado com fundamento em legítimo interesse, nos termos da lei.

Para exercer qualquer direito, envie um e-mail para dpo@turboplay.app. Responderemos em até 15 dias. Para fins de segurança, podemos solicitar verificação adicional de identidade antes de atender o pedido.

9. Segurança

Adotamos medidas técnicas e administrativas adequadas para proteger os dados contra acesso não autorizado, perda, alteração ou destruição:

• criptografia em trânsito (TLS 1.2+) e em repouso (AES-256 nos buckets S3);
• senhas armazenadas em hash bcrypt;
• tokens de autenticação com expiração; chaves de API com prefixo de ambiente (tp_test_ / tp_live_) para reduzir risco de uso indevido;
• webhooks assinados com HMAC para garantir integridade e autenticidade;
• chaves de provedores BYOK de IA armazenadas criptografadas no banco (não em texto plano);
• controle de acesso interno por privilégio mínimo, com logs de acesso a dados sensíveis;
• backups diários do banco de dados e plano de recuperação de desastres.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, na forma e no prazo previstos no art. 48 da LGPD.

10. Crianças e adolescentes

A Plataforma não é destinada a crianças menores de 13 anos. Caso identifiquemos cadastro nessas condições, a conta será encerrada. Se você é responsável legal e identificou tratamento indevido de dados de criança ou adolescente, entre em contato pelo nosso DPO.

11. Alterações nesta Política

Podemos atualizar esta Política periodicamente. Alterações materiais serão comunicadas por e-mail e/ou pelo painel com pelo menos 15 dias de antecedência. A versão mais recente fica sempre disponível em turboplay.app/privacidade, com a data da última atualização indicada no topo.

12. Contato

Para qualquer questão relacionada a esta Política, ao tratamento de dados ou ao exercício dos seus direitos, fale com nosso Encarregado:

• E-mail do DPO: dpo@turboplay.app
• Suporte geral: support@turboplay.app

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) por meio do site gov.br/anpd.