Política de Privacidade
Última atualização: outubro de 2026
1. Quem somos (Controlador)
A Just Flow It ("nós") opera a plataforma de diagramas de processos com IA em justflow.it e é a controladora responsável pelos seus dados pessoais.
Para qualquer dúvida de privacidade ou solicitação de proteção de dados, entre em contato pelo contato@justflow.it.
2. Informações que coletamos
- Dados de cadastro: nome e e-mail informados no cadastro.
- Dados de perfil: cargo, área e respostas de onboarding (opcionais).
- Conteúdo que você cria: diagramas, pastas, mensagens de chat com a IA e (se usadas) transcrições de reunião — que podem conter as informações que você escolher incluir.
- Dados de uso e técnicos: como você interage com o produto, tipo de dispositivo/navegador e logs incluindo endereço IP (parte pseudonimizada por hash).
- Dados de pagamento: processados pela Stripe; armazenamos apenas uma referência de cliente/assinatura, nunca o número completo do cartão.
- Cookies e tecnologias similares: veja nossa Política de Cookies. Tecnologias de análise e marketing só carregam com seu consentimento.
3. Como usamos seus dados e nossas bases legais
Sob o GDPR, precisamos de uma base legal para cada finalidade. A tabela abaixo resume as principais finalidades e a base correspondente.
| Finalidade | Base legal (GDPR Art. 6) |
|---|---|
| Fornecer a plataforma, sua conta e recursos de equipe | Execução de contrato — Art. 6(1)(b) |
| Processar pagamentos e gerenciar assinaturas | Contrato — Art. 6(1)(b); obrigação legal (fiscal) — Art. 6(1)(c) |
| Melhorar e proteger o serviço, prevenir abusos | Legítimo interesse — Art. 6(1)(f) |
| Análise e medição de sessão | Consentimento — Art. 6(1)(a) |
| E-mail de marketing e atribuição de aquisição | Consentimento — Art. 6(1)(a) |
| Cumprir obrigações legais | Obrigação legal — Art. 6(1)(c) |
4. Processamento do seu conteúdo por IA
Para gerar e editar diagramas, redigir documentos de processo, nomear automaticamente seus diagramas e conversas e, se você usar o recurso, transcrever áudio, enviamos o conteúdo necessário a cada solicitação aos nossos sub-processadores de IA, a Anthropic e o Google Cloud. Esse conteúdo pode incluir seus comandos, mensagens de chat, arquivos que você anexa (como imagens, PDFs e documentos de texto), o contexto do diagrama e o áudio enviado, seja pelo app, pela nossa API ou pelo conector para assistentes de IA. Não insira dados pessoais de terceiros ou dados sensíveis que não sejam necessários.
O provedor que atende cada solicitação depende da configuração de residência de dados da sua organização. Na residência global (o padrão, que também vale para espaços pessoais), a geração e a edição de diagramas, o chat e os títulos automáticos rodam por padrão nos modelos Claude da Anthropic, pela API da Anthropic. O Google Cloud cuida da transcrição de áudio, da redação de documentos de processo e de qualquer solicitação que direcionarmos a ele, inclusive quando a Anthropic estiver indisponível. Se sua organização ativar a residência de dados na UE, o conteúdo dela nunca é enviado à API da Anthropic: todo o processamento de IA dela roda em infraestrutura do Google Cloud dentro da UE. O áudio enviado é sempre transcrito no Google Cloud dentro da UE, e o áudio em si nunca é enviado à Anthropic. Depois que você envia o texto transcrito, ele é tratado como qualquer outra mensagem.
A Anthropic trata esse conteúdo como nosso operador, sob seus Termos Comerciais e seu Adendo de Processamento de Dados (DPA). Por esses termos, ela não pode treinar modelos com ele e, pela sua política de retenção para clientes da API, apaga entradas e saídas em até 30 dias, salvo quando um prazo maior for necessário para aplicar sua Política de Uso (conteúdo sinalizado pelos seus sistemas de segurança pode ser mantido por até 2 anos) ou exigido por lei. A API da Anthropic não oferece residência de dados na UE: a Anthropic armazena esses dados nos Estados Unidos, e o processamento também pode ocorrer em outros países onde ela opera.
O Google Cloud trata esse conteúdo como nosso operador, sob o Cloud Data Processing Addendum, e não o utiliza para treinar ou ajustar modelos. Na residência global, o processamento no Google Cloud pode ocorrer fora da UE. A prévia anônima da nossa página inicial, usada sem conta, roda na API Gemini do Google, que também pode processar o conteúdo fora da UE. Veja a lista de sub-processadores na seção 6 e as transferências internacionais na seção 7.
5. Cookies e rastreamento
Cookies estritamente necessários (login, segurança, sua escolha de consentimento) ficam sempre ativos. Análise (Microsoft Clarity, Vercel Analytics) e marketing só carregam após seu consentimento no banner de cookies, e você pode retirá-lo a qualquer momento em “Gerenciar preferências de cookies”. Detalhes na Política de Cookies.
6. Com quem compartilhamos (destinatários e sub-processadores)
Não vendemos seus dados pessoais. Compartilhamos com os provedores (operadores) abaixo, com membros da sua organização ao usar recursos de equipe e com autoridades quando exigido por lei. Cada operador atua sob um contrato de tratamento de dados.
| Operador | Finalidade | Região |
|---|---|---|
| Amazon Web Services (AWS) | Infraestrutura em nuvem: banco de dados, autenticação e armazenamento | UE |
| Vercel | Hospedagem e infraestrutura | EUA (edge global) |
| Stripe | Processamento de pagamentos | EUA / UE |
| Resend | Envio de e-mails (conta, segurança, cobrança e avisos do produto) | EUA (envio a partir do Brasil) |
| Anthropic | Processamento de IA (geração e edição de diagramas, chat, títulos automáticos) na residência global; nunca usada na residência na UE | EUA / outras regiões |
| Google Cloud | Processamento de IA (transcrição, documentos de processo, toda a IA na residência na UE, alternativa quando a Anthropic estiver indisponível) | UE / global (só UE na residência na UE) |
| Google (API Gemini) | Prévia anônima da página inicial (sem conta) | Global |
| Microsoft (Clarity) | Análise de produto / gravação de sessão (só com consentimento) | EUA |
| Google (Tag Manager, Analytics, Ads) | Análise do site e medição de anúncios | EUA / global |
| Google (Login com o Google, One Tap) | Entrar com sua conta Google (o botão “Continuar com Google”); na página de login, depois que você responder ao banner de cookies e se não estiver conectado, o script de login do Google carrega para oferecer o One Tap | EUA / global |
7. Transferências internacionais
Os dados da sua conta e o conteúdo que você cria são armazenados na União Europeia. Alguns sub-processadores tratam dados pessoais fora da UE/EEE e do Reino Unido (especialmente nos EUA) — por exemplo pagamentos, análise mediante consentimento e, salvo se sua organização ativar a residência de dados na UE, o processamento de IA, inclusive pela Anthropic nos EUA. Os provedores de IA podem manter cópias temporárias desse conteúdo fora da UE, conforme seus próprios prazos de retenção (para a Anthropic, veja a seção 4). Quando transferimos dados internacionalmente, adotamos salvaguardas adequadas como as Cláusulas Contratuais Padrão da Comissão Europeia (incorporadas, por exemplo, ao DPA da Anthropic) e/ou uma decisão de adequação (ex.: o EU–US Data Privacy Framework, quando o destinatário for certificado). Você pode solicitar mais informações pelos contatos abaixo.
8. Por quanto tempo guardamos (retenção)
Mantemos os dados apenas pelo tempo necessário à finalidade. Períodos indicativos:
| Dado | Retenção |
|---|---|
| Conta, perfil e conteúdo | Durante a vida da conta; apagado na exclusão (carência de 30 dias) |
| Logs de geração anônima (visitantes) | 7 dias |
| Logs de uso de IA | ~13 meses |
| Análise de produto e eventos de uso comportamental (coletados com seu consentimento) | 180 dias |
| Registros de pagamento/nota | Conforme a lei fiscal (mantidos pela Stripe) |
| Registros de consentimento e auditoria | Até 2 anos |
9. Seus direitos
Conforme a lei aplicável, você tem direito de acessar, corrigir, excluir, restringir ou se opor ao tratamento, à portabilidade e a retirar o consentimento a qualquer momento (sem afetar o tratamento anterior).
Vários desses direitos podem ser exercidos no próprio app: editar seu perfil (correção), exportar seus dados (acesso/portabilidade) e excluir sua conta (eliminação) em Configurações → Segurança. Para outras solicitações, fale conosco no endereço abaixo; respondemos em até um mês.
Você também pode apresentar reclamação a uma autoridade supervisora. Na UE/Reino Unido, a autoridade de proteção de dados do seu país de residência. No Brasil, a ANPD.
10. Decisões automatizadas e perfilamento
Nossa IA gera diagramas a partir do seu conteúdo, e analisamos o uso do produto e a origem de aquisição para melhorar o serviço. Não tomamos decisões com efeitos jurídicos ou similarmente significativos baseadas unicamente em tratamento automatizado. O resultado da IA é um auxílio de rascunho que você revisa e controla.
11. Segurança
- Criptografia em trânsito (HTTPS/TLS) e controles de acesso / segurança em nível de linha no banco de dados.
- Segredos e dados de pagamento isolados; pseudonimização de certos identificadores.
- Monitoramento contínuo; apesar dos esforços, nenhum método de transmissão é 100% seguro.
12. Menores
Nossos serviços não se destinam a menores de 16 anos (ou a idade aplicável de consentimento digital). Não coletamos seus dados intencionalmente.
13. Alterações nesta política
Podemos atualizar esta política e notificaremos mudanças relevantes pela plataforma ou e-mail. A data acima reflete sempre a versão mais recente.
14. Contato
Dúvidas ou solicitações: contato@justflow.it. Respondemos a assuntos de proteção de dados nesse endereço.
Esta política foi elaborada para cumprir o Regulamento Geral de Proteção de Dados da UE (GDPR), o UK GDPR e a LGPD do Brasil (Lei nº 13.709/2018). Onde houver divergência, aplica-se a proteção mais favorável a você.