V

VEGAINDEX

Política de Privacidade

Última atualização: 28 de maio de 2026 · Vigente em todo território brasileiro · Conforme LGPD (Lei 13.709/2018)

1. Quem somos

O VEGA INDEX é um produto da ART Produções e Distribuição Ltda (CNPJ 44.327.027/0001-69), com sede no Brasil. Operamos um motor de scoring preditivo de viralidade musical via API, oferecido em modalidade B2B (Beta fechado e planos comerciais).

Encarregado de Dados (DPO): Arthur Valle · dpo@vegaindex.app.br

2. Dados que coletamos

2.1. Dados de cadastro

• E-mail, nome (opcional) e nome da empresa/selo (opcional) fornecidos no signup.
• OAuth sub claim (identificador anonimizado Google/Microsoft) quando você opta por verificação social.
• API keys hasheadas (SHA-256) — nunca armazenamos a key em plain text.

2.2. Dados de uso da API

• Metadados das faixas submetidas (título, artista, ISRC, gênero, idioma, data de lançamento).
• Scores gerados + histórico de submissões.
• Telemetria de uso: endpoint chamado, status HTTP, latência, quota consumida.

2.3. Dados técnicos

• Endereço IP: armazenado hasheado (SHA-256, primeiros 16 chars) para rate limiting e audit log. Nunca em plain text.
• User-Agent (anti-bot detection).
• Cookies essenciais (sessão de admin, idioma escolhido). Sem cookies de tracking publicitário.

3. Base legal (LGPD Art. 7)

• Execução de contrato (Art. 7 V): processamento necessário para entregar o serviço contratado (scoring, webhooks, dashboard).
• Legítimo interesse (Art. 7 IX): audit log, rate limiting, prevenção de fraude.
• Consentimento (Art. 7 I): inscrição na waiting list (formulário), comunicações de marketing.

4. Como usamos os dados

• Gerar scores e disponibilizar via API/dashboard.
• Treinar modelos preditivos (LightGBM) usando feedback agregado/anonimizado.
• Disparar webhooks HIGH_POTENTIAL para endpoints registrados pelo próprio customer.
• Monitorar uso para detectar abuso e enforce quota.
• Comunicar atualizações operacionais (mudanças no modelo, incidentes).

Não fazemos: profiling automatizado para decisões com efeito jurídico, venda de dados a terceiros, anúncio publicitário direcionado.

5. Retenção e exclusão

• Audit log: retenção de 90 dias (configurável via GHA weekly-audit-cleanup.yml).
• Scores históricos: mantidos enquanto a conta estiver ativa + 12 meses pós cancelamento (para regeneração de relatórios).
• API usage logs: 24 meses para faturamento e compliance.
• Backups SQLite: diários, retenção 30 dias (criptografados em repouso via Railway).

6. Direitos do titular (LGPD Art. 18)

Você tem direito a:

• Acessar seus dados — via endpoint GET /api/v1/usage + dashboard.
• Corrigir dados incompletos/incorretos — auto-serviço via dashboard.
• Anonimizar/bloquear — via dpo@vegaindex.app.br.
• Eliminar dados — request via DPO, executado com python -m training.audit_cleanup --forget-actor <customer_id>.
• Portabilidade — export CSV via dashboard (⬇ CSV Export) ou endpoint /api/v1/score/history.csv.
• Revogar consentimento — unsubscribe link em e-mails + revogação de API keys via dashboard.

Resposta a solicitações em até 15 dias (LGPD Art. 19 §1).

7. Compartilhamento de dados

Compartilhamos dados apenas com:

• Railway (provedor de hospedagem) — operações técnicas de infraestrutura. Política Railway.
• ImprovMX (SMTP relay) — envio de e-mails transacionais (signup, magic links).
• SIGMA Music Recognition (HUB interno da Cyber Singles/ART Produções) — enriquecimento de metadata via API privada. Dados não saem do ecossistema ART.

Webhooks dispatch enviam payload para o endpoint registrado pelo próprio customer — você controla esse fluxo via POST /api/v1/webhooks.

8. Transferência internacional

Servidores Railway estão localizados em data centers AWS US/EU (oeste/leste). Transferência amparada pelo Art. 33 LGPD (cláusulas-padrão contratuais) e GDPR equivalência.

9. Segurança

• HTTPS obrigatório (TLS 1.3+ via Railway managed cert).
• API keys hasheadas SHA-256, rotação configurável (60 min grace period).
• Audit log append-only com IPs hasheados.
• Webhooks assinados HMAC-SHA256 para verificação no receptor.
• Backups diários criptografados, retenção 30 dias.
• Rate limiting plan-aware (15-1500 req/min), proteção anti-DDoS Railway.

10. Menores

VEGA INDEX é um produto B2B. Não coletamos dados de menores de 18 anos conscientemente. Caso identifique uso indevido por menor, contate dpo@vegaindex.app.br.

11. Cookies e tracking

Usamos somente cookies estritamente necessários:

• vegaindex_lang (localStorage) — preferência de idioma PT/EN.
• vegapni_api_key (localStorage) — API key do dashboard (client-side, nunca enviado a servidores de tracking).

Não usamos: Google Analytics, Meta Pixel, cookies de terceiros, fingerprinting.

12. Mudanças nesta política

Alterações materiais serão notificadas com 30 dias de antecedência via e-mail. Versões anteriores ficam disponíveis sob pedido ao DPO.

13. Contato

Encarregado de Dados: dpo@vegaindex.app.br
Suporte geral: suporte@vegaindex.app.br
Autoridade Nacional (ANPD): www.gov.br/anpd