Conformidade LGPD

A relação de tratamento de dados varia conforme o modelo contratado:

• Art. 7º V — Execução de contrato (Cliente);
• Art. 7º IX — Legítimo interesse (logs operacionais, segurança);
• Art. 7º II — Obrigação legal (retenção fiscal);
• Art. 39 — Tratamento por Operador (Modelo Live API);
• Art. 14 — Crianças e adolescentes: a Ferramenta de Autoria não é destinada ao tratamento de dados de menores. Quando o Cliente usa cursos exportados com público infanto-juvenil, a obrigação de consentimento parental é exclusiva do Cliente Controlador.

• Finalidade: dados tratados apenas para gerar cursos e (no Live API) avaliar respostas de voz. Sem reuso para marketing direto sem consentimento;
• Adequação: nenhum dado coletado além do necessário pra função;
• Necessidade: transcrições enviadas ao LLM contêm apenas o texto da fala, sem metadados identificadores do Aluno;
• Livre acesso: Cliente pode visualizar e exportar todos os cursos criados a qualquer momento;
• Qualidade dos dados: o Cliente pode editar manualmente qualquer conteúdo gerado pela IA antes de exportar;
• Transparência: esta página + Política de Privacidade são públicas;
• Segurança: AES-256-GCM, bcrypt, TLS 1.2+, audit log;
• Prevenção: rate limiting, tenant isolation, SSRF protection em webhooks;
• Não-discriminação: a IA pode produzir bias — o Cliente é responsável pela revisão final do conteúdo gerado;
• Responsabilização: Fruto.IA mantém logs auditáveis de operações administrativas por 12 meses.

O titular pode exercer os 9 direitos do Art. 18 via dpo@intellicreate.online. Prazo de resposta: 15 dias úteis (Art. 19 §1º).

Para o Aluno Final no Modelo Live API, recomenda-se primeiro contatar o Cliente Controlador. A Fruto.IA, como Operadora, repassa solicitações ao Controlador quando aplicável.

A Ferramenta de Autoria pode envolver transferência internacional nos casos:

• Provedores de IA (EUA/EU): transcrições enviadas a OpenAI, Google Gemini, Anthropic — sob proteção de Standard Contractual Clauses (Art. 33 II);
• CDN de modelos WASM (Hugging Face, EUA): apenas download de modelos estáticos pelo browser do Aluno. Nenhum dado pessoal é transmitido;
• Hospedagem (Vercel/Railway): backend hospedado em região controlada (preferência por SA-East quando disponível). Frontend em CDN global.

1. Detecção via monitoramento ou notificação externa;
2. Contenção imediata e isolamento do impacto;
3. Avaliação técnica do escopo (24 horas);
4. Comunicação ao Cliente afetado em até 24h corridas;
5. Comunicação à ANPD em prazo razoável conforme orientação do DPO;
6. Comunicação aos titulares quando o risco for relevante;
7. Retrospectiva pública (sem PII) em status.intellicreate.online.

Modelo Offline (SCORM)

• Fruto.IA trata apenas dados do Cliente Contratante (autor);
• Aluno Final tem seus dados sob responsabilidade exclusiva do Cliente (Controlador);
• Bundle WASM público não envolve PII.

Modelo Live API

• Fruto.IA torna-se Operadora dos dados do Aluno Final durante a sessão;
• Transcrição da fala é enviada para LLM upstream e descartada após resposta;
• session_token JWT garante isolamento por sessão (scope=voice:session, exp ≤60min);
• Log operacional retido 7 dias para auditoria; nada PII persistido.