Política de privacidade da DIRI AI

1. Quem controla os seus dados pessoais

A DIRI AI é operada por František Mráz, IČO 07961731, que atua como DIRI AI. O endereço da sede registrada e os canais de contato verificados constam do Aviso legal. As solicitações de privacidade devem ser enviadas para privacy@diriai.com.

A DIRI AI normalmente é a controladora em relação às visitas ao site, às contas individuais, aos períodos de teste, à cobrança, ao suporte, à segurança, à administração do produto, às operações próprias dos aplicativos, à análise de público do site mediante consentimento e ao marketing direto. Quando uma organização fornece dados pessoais em seu espaço de trabalho e determina por que e como esses dados são utilizados, essa organização é a controladora e a DIRI AI atua como sua operadora nos termos do Acordo de tratamento de dados (DPA). Os usuários devem entrar em contato primeiro com a sua organização para solicitações sobre dados do espaço de trabalho controlados pela organização.

2. Escopo

Esta Política se aplica a diriai.com, aos aplicativos da DIRI AI, às assinaturas, aos períodos de teste, ao suporte e às comunicações relacionadas. A medição opcional do Google Analytics se limita às páginas públicas de marketing compatíveis em inglês e tcheco em diriai.com e www.diriai.com; ela não é executada em rotas de aplicativo, conta, autenticação, cobrança, jurídicas, de superadministrador ou de pré-visualização. Separadamente, as rotas autenticadas do aplicativo usam análises operacionais próprias, do lado do servidor e com privacidade minimizada, descritas nesta Política. Esse tratamento não é GA4 e não está vinculado ao GA4. Esta Política não rege o site independente de terceiros nem o uso que um cliente faz de dados exportados. O checkout em vigor deve identificar qualquer tratamento materialmente diferente antes de ele começar.

3. Dados que tratamos

Dependendo de como você usa a DIRI AI, podemos tratar:

• dados de conta e identidade: nome, endereço de e-mail, identificador da conta, eventos de autenticação, idioma selecionado e confirmação de idade/elegibilidade;
• dados da organização: nome do empregador ou do cliente, cargo, participação no espaço de trabalho, convites, ações do administrador e atribuições de licenças;
• dados de cobrança: plano, país de cobrança, identificadores empresariais fornecidos pelo cliente, referências de fatura e de transação, status do pagamento e metadados limitados do cartão fornecidos pelo provedor de pagamento; a DIRI AI não precisa receber o número completo do cartão;
• conteúdo de treinamento: cenários, prompts, entrada de voz, gravações opcionais, transcrições, anotações, pontuações, relatórios, feedback de coaching e respostas do usuário;
• dados de uso: duração das sessões, idioma e voz selecionados, uso de recursos, consumo da franquia, configurações, exportações e eventos de cancelamento;
• análises operacionais próprias do aplicativo: pseudônimos HMAC com chaves independentes para o tenant e o usuário, uma janela de atividade UTC de 15 minutos, o último horário de atividade aceito dentro dessa janela, idioma, classe de dispositivo e origem do aplicativo incluídos em lista de permissão, versão da política de privacidade, horário de criação e horário de expiração; as consultas de análise autorizadas também geram um registro de auditoria separado, contendo pseudônimos HMAC do administrador e da consulta, o intervalo de datas e a granularidade solicitados, as fontes próprias incluídas, o status do cache, o status do resultado, a versão da política de privacidade, o horário da solicitação e o horário de expiração;
• dados de dispositivo, rede e segurança: endereço IP, informações do navegador e do dispositivo, carimbos de data e hora, identificadores de sessão e de solicitação, rastros de erro, registros de auditoria, indicadores de abuso e localização aproximada derivada de evidências de rede ou de cobrança;
• dados de suporte e comunicações: mensagens, anexos, detalhes de reclamações, respostas de pesquisas e registros necessários para resolver a solicitação;
• dados de análise de marketing do site público após o consentimento: um identificador próprio do navegador, host/caminho normalizado e incluído em lista de permissão, caminho de referência do mesmo site incluído em lista de permissão quando presente, visualização de página ou um de três eventos de interação delimitados, idioma EN/CS e valores de CTA/plano/campanha incluídos em lista de permissão, além de metadados técnicos do navegador e da rede necessariamente expostos ao Google, como endereço IP, user agent, carimbo de data e hora e cabeçalhos de protocolo;
• transferência temporária de campanha antes do consentimento: a primeira origem, mídia e nome de campanha incluídos em lista de permissão, o horário de captura, o estado e um vínculo aleatório por documento, mantidos apenas na memória do JavaScript durante o documento atual da página por até 30 minutos, sem solicitação ao provedor, cookie, armazenamento local, armazenamento de sessão, consulta bruta, referência ou chave arbitrária; todos os parâmetros utm_* são removidos imediatamente do endereço visível, e uma recarga, uma nova aba ou uma aba duplicada descarta essa transferência; e
• dados de preferências e de marketing: escolhas de cookies, comprovação de adesão à newsletter, status de cancelamento de inscrição ou de supressão, dados de interação com campanhas mediante consentimento e o idioma das comunicações.

A carga útil do evento do Analytics não permite strings de consulta, fragmentos de URL, URLs de referência externas, títulos de documentos, texto livre, nomes, endereços de e-mail, números de telefone, identificadores de conta/cliente/empresa, conteúdo de chamadas, gravações, transcrições, dados de pagamento, tokens de checkout/status, User-ID ou identificadores de publicidade fornecidos pela DIRI AI. Essas restrições da carga útil não eliminam os metadados de transporte comuns descritos acima nem tornam todos os dados do Analytics anônimos segundo a lei de proteção de dados.

As análises operacionais próprias do aplicativo não contêm identificadores brutos de tenant ou de usuário, nomes, endereços de e-mail, números de telefone, endereços IP, strings de user agent, localização precisa, valores de referência ou de URL completa, strings de consulta, parâmetros de campanha, Conteúdo do Cliente, conteúdo de chamadas, gravações, transcrições, prompts, mensagens de suporte, dados de pagamento, texto livre ou metadados arbitrários. Seus pseudônimos HMAC continuam sendo dados pessoais enquanto a DIRI AI puder recalculá-los e são protegidos como tal.

Obtemos dados de você, do administrador do seu espaço de trabalho, do seu dispositivo e do uso do serviço, de provedores de pagamento e de infraestrutura, do Google Analytics somente após a escolha exigida e de sinais lícitos de antifraude ou de segurança. Não compramos perfis de consumidores nem vendemos dados pessoais.

4. Por que tratamos dados e nossas bases legais

Quando nos baseamos em interesses legítimos, avaliamos a necessidade, o impacto e as salvaguardas. Você pode solicitar informações sobre a avaliação correspondente e se opor ao tratamento conforme descrito abaixo. Não converteremos uma finalidade baseada em consentimento em interesses legítimos simplesmente porque o consentimento foi recusado ou retirado. A medição opcional do GA4 permanece desativada após a recusa e sob o Global Privacy Control.

5. Áudio de treinamento, transcrições e resultados de IA

A DIRI AI envia apenas os dados necessários para uma interação de treinamento solicitada a um provedor de voz ou de IA identificado na Lista de suboperadores e habilitado para essa função. Os dados de voz são usados para fornecer uma conversa simulada; a DIRI AI não pretende utilizá-los para identificação biométrica, correspondência de impressão de voz ou reconhecimento de emoções.

O armazenamento de gravações vem desativado por padrão. Se um recurso opcional de gravação for ativado, a interface deve informar esse fato, sua finalidade e o período de retenção antes do início da gravação. Uma transcrição, pontuação ou sugestão de coaching pode estar errada e não deve ser usada como único fundamento de uma decisão trabalhista ou de outra decisão juridicamente relevante.

Não envie segredos reais de clientes, dados de cartão de pagamento, credenciais, dados de saúde, dados biométricos ou outros dados de categoria especial, a menos que um recurso separadamente aprovado o exija expressamente e existam todas as bases legais, avisos e salvaguardas necessários. A DIRI AI não usa o Conteúdo do Cliente para treinar modelos de uso geral sem uma escolha separada, voluntária e específica e uma base legal válida.

Os dados de treinamento, o Conteúdo do Cliente e as análises operacionais próprias do aplicativo estão fora do escopo de coleta do GA4. O GA4 não é executado em rotas de aplicativo ou de conta e não recebe Conteúdo do Cliente nem os pseudônimos das análises próprias do aplicativo. A DIRI AI não combina esses registros operacionais próprios com identificadores ou relatórios do GA4.

6. Tratamento automatizado

O serviço gera automaticamente simulações, transcrições, pontuações, sugestões, limites de uso e relatórios. Regras de segurança e de prevenção a fraudes podem sinalizar ou limitar temporariamente uma conta ou um período de teste repetido. Esses processos não se destinam a tomar uma decisão exclusivamente automatizada que produza efeitos jurídicos ou igualmente significativos. Quando uma restrição automatizada afetar você de forma relevante, entre em contato com support@diriai.com para solicitar revisão humana, salvo se a divulgação comprometer a segurança ou uma investigação legal.

Os relatórios de tráfego do GA4 não são usados para pontuar usuários, decidir o acesso, traçar perfis de colaboradores nem tomar decisões jurídicas ou igualmente significativas.

7. Quando as informações são obrigatórias

As informações de conta, de elegibilidade, de segurança e de cobrança marcadas como obrigatórias são necessárias para celebrar ou executar o contrato. Se não forem fornecidas, podemos não conseguir criar uma conta, iniciar um período de teste com cartão, processar um pagamento ou proteger o serviço. O consentimento de marketing e o consentimento para cookies/análises não essenciais são opcionais. A recusa ou a retirada não impede o acesso às páginas públicas nem ao serviço pago principal.

8. Quem recebe os dados

O acesso é limitado ao pessoal autorizado da DIRI AI e aos prestadores de serviços que precisam dos dados para hospedagem, bancos de dados, cache, e-mail, pagamentos, monitoramento de erros, segurança, tratamento de voz ou de IA. Os provedores usados para essas funções e suas finalidades constam da Lista de suboperadores. As mensagens empresariais enviadas aos endereços funcionais da DIRI AI são hospedadas, encaminhadas e armazenadas pelo Google Workspace em uma conta empresarial; elas não são encaminhadas a uma caixa de correio de consumidor. Os provedores que atuam como operadores devem estar vinculados a termos de proteção de dados. Os provedores de pagamento também podem atuar como controladores independentes para fins regulados de pagamento, prevenção a fraudes e conformidade.

Após o consentimento afirmativo para análises, o Google Analytics 4 recebe os dados restritos do site público descritos na seção 3. A Google Ireland Limited é a entidade contratante nos termos do contrato de conta do Google Analytics e dos Termos de Tratamento de Dados aplicáveis. A DIRI AI usa uma propriedade do Analytics e um fluxo web para diriai.com e www.diriai.com. A explicação do Google sobre o tratamento de dados para sites parceiros está disponível em https://policies.google.com/technologies/partner-sites.

Umami, Vercel Web Analytics, Vercel Speed Insights, Cloudflare Web Analytics, pixels, replay, mapas de calor, públicos de publicidade e vínculos com o Google Ads não são destinatários de análises nos termos desta Política. A Vercel e a Cloudflare ainda podem tratar dados de infraestrutura separados para hospedagem, DNS, roteamento, armazenamento ou segurança, conforme informado na Lista de suboperadores.

As análises operacionais próprias do aplicativo permanecem no ambiente de hospedagem e de banco de dados do aplicativo da DIRI AI e não são enviadas ao Google Analytics nem a outro provedor de análise de marketing. O acesso aos seus relatórios agregados e à auditoria de consultas é restrito a administradores autorizados.

Podemos divulgar dados a assessores profissionais, autoridades, tribunais ou contrapartes de transações quando for legalmente necessário, proporcional e protegido. Não divulgamos Conteúdo do Cliente para publicidade de terceiros.

9. Transferências internacionais

Quando o serviço e o contrato aplicáveis o permitirem, a DIRI AI seleciona regiões europeias de tratamento, mas redes globais, o suporte e os provedores podem tratar dados fora do EEE, do Reino Unido ou da Suíça. Antes de uma transferência restrita, devemos usar uma decisão de adequação aplicável, as Cláusulas Contratuais Padrão da Comissão Europeia com avaliação da transferência e medidas suplementares, ou outra salvaguarda lícita. A declaração de marketing de um provedor, por si só, não é evidência suficiente. A DIRI AI registra as salvaguardas aplicáveis em seu Registro de Fornecedores e Transferências.

O Google informa que o tráfego do Analytics de dispositivos da UE, da Suíça e do Reino Unido é coletado por meio de domínios e servidores regionais antes de ser encaminhado aos servidores do Analytics para tratamento. Os termos de tratamento do Google permitem o tratamento onde o Google ou seus suboperadores mantenham instalações e contêm disposições europeias sobre transferências. A DIRI AI registra o mecanismo de transferência aplicável em seu Registro de Fornecedores e Transferências.

Você pode solicitar informações sobre a salvaguarda correspondente a privacy@diriai.com; termos confidenciais ou sensíveis do ponto de vista da segurança podem ser omitidos.

10. Retenção

Mantemos os dados pessoais apenas pelo menor período necessário para a finalidade, o contrato, a segurança e as obrigações legais. O cronograma padrão é o seguinte:

O Google informa que os dados de usuário/evento expirados são excluídos por um processo mensal e que sua configuração de retenção não afeta os relatórios agregados padrão. Por isso, a DIRI AI não promete que todos os relatórios agregados sejam excluídos após dois meses. A Política de retenção de dados detalhada explica a exclusão pelo provedor, o registro de escolha apenas no navegador, as exceções e as retenções legais.

A exclusão dos sistemas ativos não garante a exclusão imediata de backups criptografados isolados; os backups devem expirar em um ciclo verificado do provedor e não devem ser restaurados para uso ordinário. Os termos de tratamento aplicáveis do Google e os controles de exclusão de conta regem suas cópias como operador, além da retenção configurada do Analytics.

11. Seus direitos

Observadas as condições e as exceções da lei aplicável, você pode solicitar:

• acesso aos seus dados pessoais e uma cópia deles;
• correção de dados incorretos;
• exclusão ou restrição do tratamento;
• portabilidade dos dados que você forneceu, quando o tratamento for automatizado e baseado em consentimento ou contrato;
• oposição ao tratamento baseado em interesses legítimos ou ao marketing direto;
• retirada do consentimento a qualquer momento, sem afetar o tratamento lícito anterior; e
• revisão humana e informações quando surgirem os direitos aplicáveis relativos a decisões automatizadas.

Use privacy@diriai.com. Podemos solicitar uma verificação proporcional de identidade e normalmente respondemos em até um mês nos termos do GDPR, sujeito a uma prorrogação legítima para solicitações complexas ou numerosas. Normalmente não há cobrança, mas a lei permite uma taxa razoável ou a recusa em caso de solicitações manifestamente infundadas ou excessivas. Se um cliente do espaço de trabalho controlar os dados, encaminharemos ou auxiliaremos a solicitação nos termos do DPA.

O Analytics não usa nenhum identificador de conta da DIRI AI nem User-ID, de modo que o e-mail de uma conta, por si só, não identifica um navegador no GA4. Você pode interromper a coleta futura por meio das Configurações de cookies e limpar os cookies locais. A DIRI AI usará os controles de exclusão do Google disponíveis quando uma solicitação puder ser associada sem a coleta de identificadores adicionais desnecessários.

Para as análises operacionais próprias do aplicativo, a DIRI AI mantém as versões de chave HMAC de atividade durante a vida útil aplicável de 35 dias do registro de atividade e as versões de chave HMAC de administrador/consulta durante a vida útil completa de 90 dias da auditoria de consultas. Para uma solicitação autenticada de acesso, exportação ou exclusão aprovada, a DIRI AI usa todas as versões de chave mantidas durante a vida útil correspondente para localizar, exportar ou excluir os registros de atividade e de auditoria de consultas correspondentes. A busca é realizada apenas para a solicitação, não cria vínculo com o GA4 e permanece sujeita às exceções legítimas de segurança, de defesa de direitos e de retenção de registros.

Você pode apresentar reclamação ao Escritório de Proteção de Dados Pessoais da República Tcheca (Office for Personal Data Protection) ou a outra autoridade de supervisão competente, e pode buscar uma tutela judicial. Os dados das autoridades constam do Aviso legal.

12. Escolhas de marketing e de análise

A inscrição na newsletter deve usar uma escolha clara e separada e o registro do que foi acordado. Todo e-mail de marketing deve identificar o remetente e conter um método funcional de cancelamento de inscrição. A retirada é gratuita e interromperá o marketing futuro após a conclusão do processo operacional de supressão. As mensagens de serviço, de cobrança, de segurança e as legalmente exigidas podem continuar enquanto forem relevantes para a conta.

A medição de tráfego do GA4 usa uma escolha opcional separada. O Basic Consent Mode mantém a tag do Google totalmente bloqueada antes do consentimento afirmativo e após a recusa. Um visitante pode retirar o consentimento posteriormente por meio das Configurações de cookies; a página remove a tag, tenta limpar os cookies próprios do Analytics e é recarregada sem o Analytics. O Global Privacy Control mantém as análises opcionais desativadas. O consentimento está vinculado à versão do aviso em EN/CS e à versão da configuração do provedor do GA4, de modo que uma alteração relevante torna a escolha armazenada desatualizada.

A configuração opcional de análise não inclui públicos de publicidade, rastreamento entre sites, pixels de publicidade ou de conversão, retargeting, replay de sessões, mapas de calor, vínculos com o Google Ads, personalização de publicidade nem recursos de publicidade do Google Analytics. Não trataremos o cadastro de uma conta, um banner fechado, a rolagem da página, o silêncio ou uma caixa previamente marcada como consentimento para análise ou marketing.

A rejeição ou a retirada da medição opcional do GA4 não desativa as análises operacionais próprias do aplicativo, com privacidade minimizada, usadas para prestar, proteger e manter o serviço. Esses registros usam as bases legais, as salvaguardas, os períodos de retenção e os direitos de oposição descritos acima e nunca são vinculados ao GA4.

13. Crianças

A DIRI AI não é direcionada a crianças menores de 13 anos e não lhes oferece conscientemente uma conta nem trata a sua voz. Um usuário de 13 a 17 anos não pode concluir o checkout direto de autoatendimento. Um dos pais, um responsável legal ou uma organização cliente autorizada deve criar ou aceitar a conta/assinatura, assumir a obrigação de pagamento e cumprir quaisquer requisitos locais adicionais. Uma via organizacional não substitui a autorização dos pais quando a lei aplicável a exigir. O tratamento opcional baseado em consentimento não é habilitado para esse usuário, a menos que o usuário ou o titular da responsabilidade parental possa fornecê-lo validamente nos termos da lei aplicável.

Para um usuário tcheco, quando o consentimento do artigo 8 do GDPR for a base legal de uma atividade opcional de serviço da sociedade da informação, um usuário com menos de 15 anos exige autorização do titular da responsabilidade parental. A capacidade contratual é avaliada separadamente e pode exigir a aceitação por um adulto ou responsável mesmo quando o limite de idade do consentimento para proteção de dados for atendido.

O cadastro deve usar um controle de idade neutro e minimizar a evidência de idade mantida. Se tomarmos conhecimento de que um usuário menor de 13 anos forneceu dados pessoais, suspenderemos o tratamento afetado, buscaremos verificação proporcional quando for lícito e excluiremos os dados, a menos que a retenção seja exigida por lei. Entre em contato com privacy@diriai.com sem enviar documentos de identidade, a menos que sejam solicitados por um canal seguro.

14. Segurança

Usamos medidas organizacionais e técnicas baseadas em risco descritas na Visão geral de segurança e, para os dados tratados como operadora, no DPA. Nenhum sistema é perfeitamente seguro. Envie suspeitas de vulnerabilidades ou incidentes para security@diriai.com e não inclua dados pessoais desnecessários no relatório inicial.

A DIRI AI limita o Analytics a hosts, caminhos, eventos e propriedades em lista de permissão e com consentimento, mantém desativadas as configurações de publicidade e permite a retirada do consentimento. Essas restrições reduzem os dados, mas não eliminam todos os riscos de privacidade ou do provedor.

15. Direitos regionais fora do EEE

Se uma lei do local compatível em que você se encontra conferir direitos de privacidade adicionais, os respeitaremos quando ela se aplicar. Isso pode incluir os direitos de saber, acessar, corrigir, excluir, obter uma cópia portátil, optar por não participar da venda ou da publicidade direcionada, limitar certos usos de dados sensíveis, retirar o consentimento ou recorrer de uma decisão. A DIRI AI não vende dados pessoais e não deve habilitar a divulgação para publicidade direcionada sem um aviso adequado à região e sem possibilidade de recusa ou consentimento.

Esta seção não significa que a DIRI AI seja oferecida em todos os países ou estados dos EUA. A disponibilidade paga se limita aos locais e às categorias de clientes aceitos pelo checkout após a avaliação aplicável de tributos, regulatória e de provedores.

16. Alterações e contato

Publicaremos uma versão datada e daremos aviso prévio adequado de uma alteração relevante. Uma nova finalidade ou um novo provedor que exija consentimento não começará simplesmente porque esta Política foi alterada. As versões arquivadas devem permanecer disponíveis. Uma alteração relevante no provedor, no aviso ou no escopo de coleta do GA4 invalida a escolha armazenada no navegador e exige uma nova decisão.

A identidade e o endereço do controlador constam do Aviso legal. Contato de privacidade: privacy@diriai.com.

Versão: 1.2.0. Data de vigência: 30 de agosto de 2026.