Política de privacidade

Em uma frase

Coletamos quanto foi gasto, com qual modelo, em qual dia e — quando a empresa escolhe assim — por qual pessoa. Não coletamos prompts, respostas, arquivos ou qualquer conteúdo das conversas com a IA.

Que dados tratamos

Dados de conta

Nome da empresa, e-mail e papel (administrador ou visualizador) de cada pessoa com acesso ao Denarius.

Metadados de uso

Por dia, por modelo e por projeto ou workspace do provedor: número de requisições, contagem de tokens e custo em dólar. Quando a empresa mantém o dado por pessoa ligado, o identificador de usuário do provedor acompanha esses totais.

Quadro de pessoas (opcional)

Nome, e-mail e time importados por CSV, usados apenas para atribuir gasto a times e para comparar assentos pagos com pessoas ativas.

Assinaturas e orçamentos

Quantidade de assentos, preço por assento e os orçamentos que a empresa define — informados manualmente por um administrador.

Credenciais dos provedores

As chaves de administração da OpenAI e da Anthropic, cifradas em repouso com AES-256-GCM. Depois de salvas elas nunca são exibidas de volta, nem para quem as cadastrou.

Registros de sistema

O histórico de alertas já enviados, que existe para não repetir o mesmo aviso, e os registros técnicos de execução da hospedagem.

O que nunca é coletado

Prompts, respostas, anexos e qualquer outro conteúdo das interações com a IA. Isso não é uma promessa de configuração: o Denarius não fica no caminho das chamadas da sua equipe. Ele conversa com as APIs de administração dos provedores depois do fato, e essas APIs devolvem contagem e custo — não texto.

Dados por pessoa

O produto existe para dar controle de orçamento, não para vigiar pessoas. Por isso o dado individual aparece só em contexto — quem puxou um pico neste mês — e nunca como ranking.

Cada empresa controla dois interruptores, em Ajustes:

• Mostrar nomes: com ele desligado, nomes somem até para administradores; visualizadores nunca veem nomes, em nenhuma configuração.
• Armazenar dados por pessoa: com ele desligado, o gasto é somado no grão de time ou projeto antes de ser gravado — o identificador da pessoa não chega ao banco.

Um administrador pode remover uma pessoa a qualquer momento; o acesso é cortado na mesma hora.

Segurança

• As chaves de administração ficam cifradas em repouso e são usadas apenas para leitura — o Denarius não consegue bloquear, limitar nem gastar nada na sua conta de provedor.
• Cada empresa é isolada no banco por política de acesso por linha, verificada por teste automatizado a cada mudança.
• O acesso ao produto exige autenticação; senhas seguem uma política mínima de comprimento e são verificadas contra bases públicas de vazamento no cadastro.

Com quem os dados são compartilhados

Não vendemos dados e não usamos os dados de um cliente para outro. Quatro fornecedores participam da operação do serviço:

• SupabaseBanco de dados e autenticação

  Dados de conta, metadados de uso e custo, quadro de pessoas, orçamentos e as chaves já cifradas.

  Infraestrutura AWS na região de São Paulo (sa-east-1).

• VercelHospedagem e execução da aplicação

  O tráfego das páginas e os registros técnicos de execução. Os dados do produto só passam por ela em trânsito.

  Região padrão do projeto na Vercel, nos Estados Unidos.

• ResendEntrega de e-mail

  O endereço de quem recebe e o conteúdo do alerta ou do resumo semanal — valores agregados e nomes de time.

  Estados Unidos.

• AnthropicRedação do resumo semanal

  O rascunho do resumo: nomes de time e os valores já calculados pelo Denarius.

  Estados Unidos.

Sobre a Anthropic, vale o detalhe: uma vez por semana o Denarius manda o rascunho do resumo executivo para a API do Claude apenas para reescrevê-lo em linguagem corrente. O que vai nesse texto são nomes de time e números que o próprio Denarius já calculou. Não vão prompts, respostas, nomes de pessoas nem qualquer dado individual, e o modelo não calcula nada — se a redação devolvida contiver um número que não foi enviado, ela é descartada e o texto determinístico é usado no lugar.

Se a empresa não quiser receber o resumo semanal, cada pessoa pode desativá-lo em Configurações; sem envio, não há esse compartilhamento.

Por quanto tempo guardamos

• O histórico de uso, custo e orçamento é mantido enquanto a empresa tiver conta ativa — comparar meses é a função do produto.
• Quando um administrador exclui o espaço em Ajustes, apagamos imediatamente os dados ativos da empresa e os acessos vinculados. Cópias de segurança da infraestrutura expiram nos ciclos dos fornecedores acima.
• Remover uma pessoa apaga imediatamente o acesso dela; o gasto histórico do time permanece, já sem vínculo com a conta removida.
• Prompts e respostas não têm prazo de retenção porque nunca são armazenados.

Seus direitos (LGPD, art. 18)

Descrevemos aqui o que o produto faz hoje, não o que pretendemos fazer:

• Acesso e correção: um administrador vê e edita, na própria interface, os dados de conta, o quadro de pessoas, as assinaturas e os orçamentos.
• Eliminação de acesso: um administrador remove uma pessoa em Ajustes, sem precisar falar conosco.
• Exportação dos dados da empresa: um administrador baixa um arquivo JSON completo em Ajustes. A exportação respeita as escolhas de nomes e armazenamento por pessoa e nunca inclui credenciais ou tokens de convite.
• Exclusão total da conta: um administrador confirma digitando o nome exato da empresa em Ajustes. Isso apaga o espaço e os acessos no Denarius, mas não altera nem exclui nada na OpenAI ou na Anthropic.
• Informação sobre compartilhamento: é a lista de fornecedores desta página.

Contato

Pedidos e dúvidas sobre dados pessoais: privacidade@denarius.app. Respondemos em até 30 dias.

Se esta política mudar, atualizamos a data no topo e avisamos os administradores por e-mail antes de a mudança valer.