Política de Privacidade

Quem somos

O Velysaro é operado pela empresa indicada abaixo, que é a controladora dos dados pessoais descritos nesta política. Quando esta política diz "nós", "nos" ou "Velysaro", refere-se a essa empresa.

Controlador

STORYSTEPPER LIMITED

Número de registro da empresa

80655938-000-06-26-8

Endereço registrado

Room 701, Unit 108, 7/F, Tower B, New Mandarin Plaza, 14 Science Museum Road, Tsim Sha Tsui, Kowloon, Hong Kong

Contato de privacidade

[email protected]

O que esta política abrange

Esta política se aplica ao site do Velysaro em velysaro.com, à lista de espera e ao aplicativo do Velysaro a partir do momento em que você tem uma conta. Ela não abrange as plataformas nas quais você publica (por exemplo TikTok, YouTube ou Instagram), que têm suas próprias políticas de privacidade, nem os sites para os quais temos links.

O Velysaro é operado a partir de Hong Kong e está sujeito à Personal Data (Privacy) Ordinance (Cap. 486). Vendemos nos Estados Unidos, na América Latina e na Indonésia, por isso esta política também foi redigida para atender às leis estaduais de privacidade dos Estados Unidos (incluindo a California Consumer Privacy Act, alterada pela CPRA), à Lei Geral de Proteção de Dados (LGPD) do Brasil, à Lei Federal de Proteção de Dados Pessoais em Posse de Particulares do México e à Lei de Proteção de Dados Pessoais da Indonésia (Lei nº 27 de 2022). Onde quer que você esteja — incluindo o Espaço Econômico Europeu e o Reino Unido —, estendemos a você os direitos listados abaixo como política própria, além de tudo o que a sua lei local lhe garantir.

O que coletamos

Lista de espera

Se você entrar na lista de espera pela página inicial, armazenamos seu endereço de e-mail, o idioma em que você estava lendo o site, a parte da página pela qual você se inscreveu, a página que o direcionou até nós, seu endereço IP naquele momento e o horário em que você entrou. Esses dados ficam em nosso próprio banco de dados Postgres, e não em algum provedor de análise. Nós os usamos para avisar você sobre o lançamento e sobre novidades ocasionais, no seu idioma, e para entender quais partes da página atraem as pessoas. Se você cancelar a inscrição, guardamos um registro disso para que o endereço não seja adicionado novamente por engano.

Dados da conta

Quando você cria uma conta, armazenamos seu endereço de e-mail, um hash criptográfico da sua senha (nunca a senha em si), o nome de exibição que você nos informar, o idioma da interface e o fuso horário, a intenção de criação que você escolheu, se o seu e-mail foi verificado, o endereço IP a partir do qual você se cadastrou e o horário do cadastro. As sessões de login são armazenadas junto com o navegador em que foram abertas, para que você possa vê-las e encerrá-las. Os tokens de link mágico, de verificação e de redefinição de senha são armazenados como hashes até serem usados ou expirarem.

Conteúdo que você cria

Tudo o que você cria no Velysaro fica armazenado para que você possa voltar a ele: perfis de canal (nicho, mercado, idioma, público, estilo, voz), ideias, hooks, roteiros, storyboards, cenas e vídeos gerados, as edições que você faz neles e o seu calendário. Esse conteúdo pode conter dados pessoais se você os incluir, por exemplo seu próprio nome ou sua voz em um roteiro.

Informações de produto e de marca

Para o fluxo de produto, você pode enviar descrições de produtos, informações verificadas, alegações permitidas e proibidas, ofertas, logotipos, fotos de produtos e regras de marca. Armazenamos esses itens na sua biblioteca de produtos e os usamos apenas para gerar conteúdo para você.

Séries do Studio

Se você usa o Studio, armazenamos suas séries e o que você cria para elas: os visuais e as fichas dos personagens, as locações, os roteiros, os planos de tomadas, os keyframes, os takes, os episódios finalizados, as músicas que você envia e o seu chat com o agente do Studio. Os personagens do Studio são fictícios e não podem mostrar uma pessoa real (veja os Termos de Serviço).

Rostos e vozes

O apresentador de IA é um rosto gerado, não uma foto ou gravação sua, e a narração usa vozes de IA de um catálogo fixo. Não coletamos dados biométricos, como a geometria do rosto ou a impressão vocal, e não clonamos o rosto nem a voz de ninguém. Um mascote feito a partir da sua foto é um desenho; quando você o faz falar, ele fala com a voz de narração de IA do vídeo, nunca com a sua. Não envie fotos, vídeos ou áudios de uma pessoa real sem a permissão dela (veja os Termos de Serviço).

Dados de faturamento

Os pagamentos são processados pela Paddle, que atua como merchant of record e é quem vende a assinatura e os pacotes de créditos que você compra. A Paddle coleta seus dados de pagamento, endereço de cobrança e informações fiscais de acordo com sua própria política de privacidade. Recebemos da Paddle a confirmação do que você comprou, seus identificadores de cliente e de assinatura, o país usado para fins fiscais e as referências das faturas. Nunca recebemos o número completo do seu cartão.

Uso e créditos

Registramos quais gerações você executa, quantos créditos elas consomem e o status de cada uma, para mostrar seu saldo, evitar abusos e diagnosticar falhas. Também mantemos em nosso próprio banco de dados um pequeno log de eventos de produto associados à sua conta (por exemplo, que um primeiro vídeo foi gerado), sem nenhum conteúdo, para entender se o produto está funcionando para as pessoas.

Logs do servidor

Nossos servidores registram automaticamente informações técnicas sobre cada requisição: endereço IP, tipo de navegador, a página ou o endpoint solicitado, carimbos de data e hora e detalhes de erros. Usamos esses logs para manter o serviço seguro e em funcionamento.

Análise

Usamos o PostHog para entender como o site e o produto são usados. Até que você dê seu consentimento, o PostHog é configurado para funcionar sem cookies e sem identificadores persistentes, e coleta apenas dados agregados de páginas e eventos. Se você aceitar a análise, o PostHog define cookies para que as visitas possam ser vinculadas em uma sessão e um visitante que retorna possa ser reconhecido. A gravação de sessões não está ativada. Veja Cookies e análise abaixo.

Suporte e correspondência

Se você nos enviar um e-mail, guardamos a correspondência e os dados que você incluir nela pelo tempo necessário para resolver o assunto e por um período razoável depois disso.

Por que usamos e com qual base

Todo uso de dados pessoais precisa de uma base legal — "dasar pemrosesan" na Lei PDP da Indonésia, "bases legais" na LGPD do Brasil, e a mesma ideia na PDPO de Hong Kong e nas leis estaduais dos Estados Unidos. As nossas são estas:

• Execução do nosso contrato com você. Criar e proteger sua conta, gerar o conteúdo que você pede, armazenar seu trabalho, mostrar seus créditos, cobrar por meio da Paddle e enviar e-mails transacionais, como links de verificação, redefinições de senha e recibos.
• Nossos interesses legítimos. Manter o serviço seguro, prevenir fraudes e abusos, diagnosticar erros a partir dos logs do servidor, entender o uso agregado do produto para melhorá-lo e defender nossos direitos. Quando usamos essa base, ponderamos nosso interesse em relação aos seus direitos, e você pode se opor a qualquer momento (veja Seus direitos).
• Seu consentimento. Entrar na lista de espera, receber novidades do produto e os cookies de análise. Você pode revogar o consentimento a qualquer momento; a revogação não afeta o tratamento já realizado.
• Obrigações legais. Manter registros fiscais e contábeis e responder a solicitações legítimas de autoridades.

Não treinamos modelos de IA próprios com seu conteúdo, suas informações de produto ou seus vídeos, e não os vendemos nem licenciamos a terceiros para treinamento. Também não tomamos decisões sobre você por meios automatizados que produzam efeitos jurídicos ou efeitos de importância semelhante.

Com quem compartilhamos

Não vendemos dados pessoais. Nós os compartilhamos com os prestadores de serviços indicados abaixo, que os tratam seguindo nossas instruções, com base em acordos de tratamento de dados, e apenas na medida necessária para operar o Velysaro. O país após cada nome é onde o provedor está estabelecido e onde trata principalmente os dados.

• Paddle (Reino Unido)Faturamento e merchant of record. A Paddle vende a assinatura a você, recebe o pagamento, cuida dos impostos e emite as faturas. Em relação aos dados de pagamento, a Paddle é uma controladora independente, de acordo com sua própria política.
• PostHog (Estados Unidos)Análise do produto e do site. Sem cookies e sem identificadores persistentes até que você dê seu consentimento; a gravação de sessões não está ativada.
• Resend (Estados Unidos)E-mail transacional: links de verificação, links mágicos, redefinições de senha, recibos e mensagens da lista de espera. A Resend recebe seu endereço de e-mail e o conteúdo de cada mensagem.
• OpenAI (Estados Unidos)Redação com IA: ideias, hooks, roteiros, storyboards e pacotes de publicação, além de uma verificação automática de que uma imagem gerada não contém texto indevido. Recebe os prompts, as informações do canal ou do produto e as imagens necessárias para a etapa que você solicitou. No Studio, a OpenAI também cria as imagens de keyframe a partir da descrição da tomada e das fichas dos personagens, e escreve os roteiros, os planos de tomadas e as respostas do agente do Studio a partir da série, dos seus personagens e lugares e das suas mensagens no chat.
• Runway (Estados Unidos)Imagens, movimento e o apresentador de IA para as suas cenas. Recebe as descrições das imagens, as imagens e o áudio da narração da cena que está sendo gerada. No Studio, a Runway também cria clipes de vídeo e imagens de keyframe a partir do prompt da tomada e das imagens de keyframe dela.
• ElevenLabs (Estados Unidos)Geração de voz com IA. Recebe o texto do roteiro a ser narrado e as configurações de voz escolhidas. No Studio, a ElevenLabs também dá voz às falas dos personagens e, se você escolher uma trilha gerada, recebe o prompt da música.
• Google (Estados Unidos)Vídeo, imagens de keyframe e música gerada do Studio, pela API paga do Gemini. Recebe o prompt da tomada, as imagens de keyframe e as fichas dos personagens e, para uma trilha gerada, o prompt da música.
• BytePlus (Singapura)Vídeo do Studio. Recebe o prompt da tomada e as imagens de keyframe dela. A BytePlus não publicou onde processa esses dados.
• fal (Estados Unidos)Vídeo, edição de imagens de keyframe, upscale e lip-sync do Studio. Recebe o prompt da tomada e as imagens de keyframe, ou o clipe para o upscale ou o lip-sync com a fala narrada. No Studio, a fal também cria clipes com LTX e MiniMax e faz lip-sync com LatentSync, e nos vídeos Premium pode animar cenas com LTX. Quando você usa "Remover a música de fundo" em uma gravação, ela recebe o som dessa gravação para separar a voz. A fal também faz os mascotes do canal e os personagens do Studio falarem com Kling AI Avatar: ela recebe a imagem do mascote ou do personagem (que pode ser o desenho feito a partir da sua foto) e a fala narrada. Quando o fundo é removido de uma foto de produto (quando você o remove ou quando um vídeo de produto criado por você a utiliza), de um trecho de gravação ou do apresentador de um vídeo voltado para a câmera, a fal recebe essa foto, o respectivo trecho da gravação sem áudio ou o clipe do apresentador.
• Sync Labs (Estados Unidos)Lip-sync das tomadas do Studio. Recebe o clipe finalizado e a fala narrada.
• OpenRouter (Estados Unidos)Verificações automáticas de qualidade dos roteiros gerados (segurança das alegações e idioma). Recebe o texto do roteiro que está sendo verificado.
• HospedagemOVHcloud (OVH US, Estados Unidos) hospeda nosso aplicativo, nosso banco de dados e as mídias armazenadas.

Os provedores de IA recebem o material necessário para a peça que você está gerando e nada além disso: não enviamos a eles os dados da sua conta. Alguns dos nossos provedores podem usar o material que recebem para treinar ou melhorar os próprios modelos de IA, de acordo com os termos deles. Quando um provedor oferece uma configuração que mantém seu conteúdo fora do treinamento, nós a ativamos antes de enviar qualquer conteúdo real. A situação é diferente em cada provedor e a declaramos com clareza: a OpenAI, por padrão, não treina seus modelos com as entradas ou saídas de sua API empresarial; a ElevenLabs, por padrão, treina com o conteúdo e oferece uma opção de exclusão no nível da conta, que nós usamos; os termos da Runway para a nossa conta permitem que ela use as entradas e saídas para treinar e melhorar seus modelos. À medida que nosso uso crescer, pretendemos passar para os termos empresariais da Runway, que proíbem isso, e atualizaremos esta política quando o fizermos. No Studio: a API paga do Gemini, do Google, não usa os prompts nem as respostas para melhorar os produtos do Google e os guarda por 55 dias para detectar abusos; a BytePlus não treina modelos com os dados de seus clientes, a menos que eles aceitem expressamente; a fal guarda, por padrão, as entradas e saídas das requisições por 90 dias e pode usar dados anonimizados ou agregados derivados delas para desenvolver seus serviços e modelos; os termos da Sync Labs dão a ela uma licença duradoura para usar o que recebe para desenvolver e melhorar seus serviços, e a política de privacidade dela inclui o treinamento dos seus modelos de IA entre esses usos. O Studio usa cada modelo com o próprio criador sempre que possível; os modelos que acessamos por meio de um revendedor como a Runway ou a fal, como Seedance, Kling e Wan, também estão sujeitos aos termos dos criadores com esse revendedor. Os personagens do Studio precisam ser fictícios, e enviamos aos provedores apenas o que a tomada precisa, nunca os dados da sua conta. Além dos termos que cada provedor publica, não podemos controlar o que ele faz, e é por isso que a lista acima diz exatamente o que cada um recebe. Os termos de cada provedor também determinam por quanto tempo ele retém as requisições para monitoramento de abusos.

Também podemos divulgar dados pessoais quando a lei exigir, para proteger nossos direitos ou a segurança de outras pessoas, ou no âmbito de uma fusão ou venda do negócio, caso em que esta política continuará a se aplicar até que você seja informado do contrário.

Conexões que você ativa

Alguns recursos enviam dados a um serviço que você escolhe conectar, por orientação sua. Se você conectar uma conta de rede social e publicar pelo Velysaro, enviamos a essa plataforma o vídeo, a legenda e as configurações que você escolheu. Se você conectar um assistente de IA (por exemplo, o Claude) em Conexões de IA, ele pode ler e agir na sua conta do Velysaro dentro das permissões que você aprovar, e recebe o que essas ações retornarem. Esses serviços não são nossos operadores: os termos e as políticas de privacidade deles se aplicam ao que recebem. Você pode desconectar qualquer um deles a qualquer momento nas suas configurações. O que uma conexão de IA pode ver e fazer, e o que guardamos sobre ela, está em Conexões de IA e seus dados.

Transferências internacionais

Estamos estabelecidos em Hong Kong; nosso aplicativo, nosso banco de dados e as mídias armazenadas estão hospedados nos Estados Unidos, e os provedores mencionados acima tratam dados nos Estados Unidos e em outros países. Portanto, seus dados pessoais atravessarão fronteiras, inclusive para fora do país em que você mora.

Para cada transferência, nos baseamos em contratos escritos com cada operador, que o obrigam a proteger os dados e a usá-los somente conforme nossas instruções. Essa é a salvaguarda que a Lei PDP da Indonésia exige para uma transferência ao exterior quando o destino não tem um nível de proteção equivalente, a base para transferência internacional prevista na LGPD do Brasil e a proteção contratual exigida pela PDPO de Hong Kong. Para qualquer pessoa no EEE ou no Reino Unido, usamos as Cláusulas Contratuais Padrão da Comissão Europeia e o Adendo do Reino Unido. Você pode nos perguntar qual salvaguarda se aplica a uma determinada transferência.

Por quanto tempo guardamos

• E-mail da lista de espera: até o fim das comunicações de lançamento ou até você cancelar a inscrição, o que ocorrer primeiro, e no máximo 24 meses após sua última interação conosco.
• Conta e conteúdo: enquanto sua conta existir. Quando você exclui sua conta, ou nos pede que a excluamos, apagamos os dados e o conteúdo da conta em até 30 dias, exceto as cópias em backups criptografados, que expiram em até mais 90 dias.
• Séries do Studio: enquanto sua conta existir; para excluir uma série antes, escreva para [email protected]. Excluir a conta as exclui como descrito acima.
• Registros de faturamento: pelo tempo que a legislação fiscal e contábil exigir — sete anos após a transação, de acordo com a Companies Ordinance e a Inland Revenue Ordinance de Hong Kong.
• Logs do servidor: 90 dias, a menos que um log específico seja necessário para investigar um incidente de segurança.
• Análise: o PostHog guarda os eventos pelo tempo que a retenção do nosso plano permitir — até sete anos, de acordo com a retenção padrão do PostHog. Um evento só é vinculado a um identificador persistente se você tiver dado seu consentimento, e você pode nos pedir a qualquer momento que excluamos os eventos associados a você.
• Correspondência de suporte: até 24 meses após o encerramento do assunto.

Seus direitos

Você tem os seguintes direitos sobre seus dados pessoais, observadas as condições da lei aplicável a você:

• Acesso: saber se tratamos seus dados e receber uma cópia deles.
• Correção: ter dados inexatos corrigidos e dados incompletos completados.
• Eliminação: ter seus dados excluídos quando não precisarmos mais deles, quando você revogar o consentimento ou quando você se opuser e não tivermos motivos prevalentes para mantê-los.
• Portabilidade: receber os dados que você nos forneceu em formato estruturado, de uso comum e legível por máquina, e tê-los transmitidos a outro controlador quando for tecnicamente viável.
• Restrição: ter o tratamento limitado enquanto uma divergência sobre a exatidão ou a licitude é resolvida.
• Oposição: opor-se ao tratamento baseado em nossos interesses legítimos e opor-se a qualquer momento ao marketing direto.
• Revogação do consentimento: revogar o consentimento a qualquer momento quando ele for a base, por exemplo para os cookies de análise ou a lista de espera.
• Reclamação: apresentar reclamação à autoridade de proteção de dados do lugar onde você mora — por exemplo, o Privacy Commissioner for Personal Data em Hong Kong, a ANPD no Brasil, a Secretaría Anticorrupción y Buen Gobierno no México, o ministério supervisor previsto na Lei PDP da Indonésia ou o Procurador-Geral (Attorney General) do seu estado nos Estados Unidos. Gostaríamos de ter a oportunidade de resolver sua preocupação primeiro.

Se você está nos EUA, na América Latina ou na Indonésia

Estados Unidos. Não vendemos seus dados pessoais nem os compartilhamos para publicidade comportamental entre contextos, então não há nada a recusar nesse sentido; não fazemos publicidade direcionada nem criação de perfis que produza efeitos jurídicos. Residentes da Califórnia podem exercer os direitos de saber, excluir, corrigir e limitar pelo mesmo endereço indicado abaixo, podem usar um agente autorizado e nunca serão tratados de forma diferente por fazer uma solicitação. As categorias que coletamos, o motivo e quem as recebe são as listadas acima.

Brasil e América Latina. Nos termos da LGPD, você também pode nos pedir que confirmemos a existência de tratamento, que anonimizemos ou bloqueemos dados tratados desnecessariamente e que informemos com quem compartilhamos seus dados — a lista de operadores acima responde a este último ponto. As solicitações devem ser enviadas ao mesmo endereço; atuamos como controlador e nossos operadores agem conforme nossas instruções.

Indonésia. Nos termos da Lei nº 27 de 2022, você pode revogar o consentimento, pedir que seus dados sejam corrigidos ou apagados, opor-se ao tratamento e nos pedir que o adiemos ou limitemos. Seus dados são tratados fora da Indonésia, com a base descrita em transferências internacionais. Nosso contato de privacidade, indicado abaixo, é o ponto de contato para as solicitações dos titulares dos dados.

Como exercê-los

Escreva para [email protected] a partir do endereço de e-mail da sua conta ou do endereço que você informou na lista de espera. Podemos pedir informações para confirmar sua identidade antes de atender a uma solicitação relacionada aos dados de uma conta. Respondemos tão rápido quanto exigir o prazo mais rigoroso aplicável: em até 15 dias para solicitações feitas com base na LGPD do Brasil, em até 45 dias para solicitações feitas com base nas leis estaduais de privacidade dos Estados Unidos (prorrogáveis uma vez por mais 45 dias), a partir de 16 de janeiro de 2027 em até 72 horas para solicitações de acesso, correção, eliminação e portabilidade feitas com base na Lei PDP da Indonésia e em até um mês nos demais casos. Se uma solicitação for complexa, avisaremos você antes do fim do prazo. As solicitações são gratuitas, a menos que sejam claramente infundadas ou excessivas.

Algumas coisas você mesmo pode fazer: alterar seu e-mail, seu nome e seu idioma nas configurações da conta e revogar o consentimento de análise pelo aviso de cookies ou pela página da Política de Cookies.

Cookies e análise

Usamos um pequeno número de cookies estritamente necessários para manter você conectado e para proteger os formulários contra falsificação de solicitação entre sites. Esses cookies não precisam de consentimento.

Os cookies de análise são diferentes. O PostHog funciona sem cookies por padrão e só define cookies depois que você dá seu consentimento no aviso de cookies. No modo sem cookies, cada visualização de página ainda chega ao PostHog com os detalhes técnicos comuns de uma requisição web, como seu endereço IP e o tipo de navegador, mas nada vincula uma visita à seguinte. Você pode revogar esse consentimento a qualquer momento pelo aviso ou pela página da Política de Cookies, que também lista cada cookie e cada item de armazenamento que usamos e para que serve cada um.

Segurança

Protegemos os dados pessoais com medidas adequadas ao risco: criptografia em trânsito, senhas armazenadas como hash, controles de acesso limitados às pessoas que precisam deles, separação dos ambientes de produção e de desenvolvimento e registro dos acessos administrativos. Nenhum sistema é perfeitamente seguro; se tomarmos conhecimento de um incidente de segurança que coloque seus direitos em risco, notificaremos você e a autoridade competente conforme exigido por lei.

Menores de idade

O Velysaro não é direcionado a crianças e não coletamos intencionalmente dados pessoais de crianças — nos Estados Unidos, isso inclui qualquer pessoa com menos de 13 anos para os fins da COPPA. Você precisa ter pelo menos 18 anos para criar uma conta ou entrar na lista de espera. Se você acredita que alguém com menos de 18 anos nos forneceu dados pessoais, escreva para [email protected] e nós os excluiremos.

Alterações nesta política

Atualizaremos esta política conforme o produto e a lei mudarem. A data no rodapé desta página mostra a versão mais recente. Em caso de alterações relevantes, como uma nova finalidade ou uma nova categoria de provedor, avisaremos os titulares de contas por e-mail ou com um aviso no produto antes de a alteração entrar em vigor.

Contato

Dúvidas e solicitações sobre privacidade: [email protected]. Todo o resto está na página de contato.