POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS

Última atualização: 21 de julho de 2026

Nós, da DECO PLATAFORMA DIGITAL LTDA. ("deco" ou "Plataforma"), pessoa jurídica de direito privado com responsabilidade limitada, com sede na Rua Visconde de Inhaúma, n.º 134, Sala 2001, Centro, Rio de Janeiro, RJ, CEP 20.091-901, inscrita no CNPJ/ME sob o n.º 47.563.279/0001-85, estamos comprometidos em proteger a privacidade e a segurança das informações que você fornece ao utilizar a Plataforma, em conformidade com a legislação aplicável de proteção de dados.

A deco opera como parte de um grupo empresarial. Dependendo do seu local de domicílio e da forma como você contrata os Serviços, a entidade responsável por seus dados pessoais pode ser a DECO PLATAFORMA DIGITAL LTDA. (Brasil) ou a deco.cx LLC (Delaware, Estados Unidos), para clientes domiciliados fora do Brasil. As referências a "deco", "nós", "nos" e "nosso" referem-se à entidade aplicável.

Esta Política explica como tratamos os dados pessoais que você fornece ao acessar e se cadastrar em nossa Plataforma. Esta Política é parte integrante dos nossos Termos e Condições de Uso.

Não temos como objetivo coletar, nem de qualquer forma solicitar, dados pessoais de pessoas menores de 18 anos, pois a Plataforma é destinada ao uso por adultos. Caso tomemos conhecimento de que coletamos dados pessoais de um menor de 18 anos, procederemos à sua exclusão.

Se realizarmos alterações significativas a esta Política, iremos notificá-lo. Recomendamos também que você consulte esta página periodicamente, pois esta Política pode ser atualizada para refletir melhorias em nossos Serviços ou mudanças na legislação.

Se, após ler esta Política, você ainda tiver dúvidas, entre em contato conosco pelo e-mail privacy@decocms.com.

Não recomendamos navegar ou se cadastrar em nossa Plataforma caso você não concorde com os termos desta Política de Privacidade, pois em determinados casos o tratamento de seus dados pessoais é necessário independentemente de seu consentimento.

1. UM BREVE RESUMO

Recomendamos a leitura integral desta Política. No entanto, destacamos alguns pontos essenciais:

  • Dois papéis. Para os dados pessoais de visitantes do nosso site e das pessoas que se cadastram e gerenciam contas na Plataforma hospedada, a deco atua como controladora. Para os dados pessoais que um Cliente trata por meio do Serviço Gerenciado (por exemplo, dados dos próprios usuários finais ou visitantes do site do Cliente), o Cliente é o controlador e a deco atua como operadora/processadora, tratando esses dados apenas de acordo com as instruções do Cliente e para as finalidades contratadas.

  • Auto-hospedagem. O software da deco é de código aberto. Quando você o executa como uma implantação auto-hospedada — em sua própria infraestrutura, com suas próprias chaves e dados —, a deco não coleta nem trata os dados que você manipula nessa instância, salvo se você contratar separadamente nosso Serviço Gerenciado ou suporte.

  • Como coletamos. Coletamos seus dados pessoais (i) diretamente de você, quando você acessa nosso site e se cadastra ou entra em contato conosco; e (ii) automaticamente, quando você navega em nosso site e utiliza a Plataforma hospedada.

  • Como utilizamos. Seus dados pessoais são utilizados para as finalidades para as quais foram coletados, conforme descrito na Seção 4, e podem ser compartilhados com terceiros (suboperadores) para a prestação dos nossos Serviços, o cumprimento de obrigações legais ou conforme autorizado por lei.

  • Processamento por IA. A Plataforma inclui funcionalidades de IA e Agentes autônomos. Utilizamos provedores terceirizados de modelos de IA para oferecer essas funcionalidades, de forma transitória. Não utilizamos o Conteúdo do Cliente ou seus dados pessoais para treinar modelos fundacionais de terceiros ou públicos, e não vendemos seus dados pessoais.

  • Dados do Google. Quando você conecta uma conta Google à Plataforma, aplicam-se regras específicas sobre o acesso, uso, compartilhamento, proteção, retenção e exclusão dos seus dados de usuário Google, conforme descrito na Seção 7.

  • Seus direitos. Para exercer seus direitos ou saber como tratamos seus dados pessoais, entre em contato conosco pelo e-mail privacy@decocms.com.

2. DEFINIÇÕES

Para os fins desta Política:

deco: DECO PLATAFORMA DIGITAL LTDA., CNPJ/ME n.º 47.563.279/0001-85, e, quando designada em contrato específico como parte contratante, a deco.cx LLC (Delaware).

Usuário Autorizado ou Cliente: a pessoa física ou jurídica que adota o software da deco ou contrata os Serviços, e é responsável pela gestão dos Usuários que designar.

Usuário(s): a(s) pessoa(s) cadastrada(s) que utiliza(m) a Plataforma sob a responsabilidade do Usuário Autorizado, que pode ser o próprio Usuário Autorizado.

Parte / Partes: a deco, o Usuário Autorizado e/ou o Usuário, individual ou coletivamente.

Cadastro / Conta: o local onde as informações do Usuário são armazenadas e por meio do qual o Usuário acessa a Plataforma hospedada.

Plataforma: o software e os serviços da deco disponibilizados ao Usuário Autorizado, independentemente da marca ou do formato em que sejam ofertados (atualmente incluindo o workspace de código aberto e o plano de controle da deco, seu CMS e seus aplicativos), juntamente com quaisquer módulos relacionados e a instância hospedada disponível em studio.decocms.com.

Serviços: a operação e os serviços profissionais que a deco presta ao Usuário Autorizado (como auditoria, implementação, sustentação e evolução, e otimização de experiências digitais), conforme detalhado no formulário de pedido ou contrato aplicável.

Agente: um agente de software autônomo ou semiautônomo disponibilizado por meio da Plataforma que executa tarefas e pode tomar ações em nome do Cliente, de acordo com a configuração e as instruções do Cliente.

Implantação Auto-Hospedada: uma implantação em que o Usuário Autorizado executa o software de código aberto da deco em sua própria infraestrutura, com suas próprias chaves e dados. Serviço Gerenciado: uma implantação em que a deco hospeda e/ou opera o software e os Serviços em nome do Cliente.

Conteúdo do Cliente: o conteúdo, os dados, o código, as configurações, os aplicativos e outros materiais que o Usuário Autorizado ou seus Usuários submetem, criam ou geram por meio da Plataforma.

LGPD: Lei Federal Brasileira n.º 13.709/2018 (Lei Geral de Proteção de Dados Pessoais).

ANPD: a Autoridade Nacional de Proteção de Dados, responsável pela fiscalização do cumprimento da LGPD.

Controlador: a parte responsável pelas decisões referentes ao tratamento de dados pessoais, especialmente quanto às suas finalidades e meios.

Operador (Processador): a pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do controlador.

Titular (Titular dos Dados): a pessoa natural a quem se referem os dados pessoais objeto do tratamento.

Encarregado (DPO / Data Protection Officer): a pessoa designada para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD.

Dados Pessoais: qualquer informação relacionada a uma pessoa natural identificada ou identificável, como nome, número de identificação fiscal (por exemplo, CPF ou RNE, quando aplicável), endereço, telefone, e-mail, endereço IP e localização.

Dados Pessoais Sensíveis: dados pessoais sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização, saúde ou vida sexual, ou dados genéticos ou biométricos, quando vinculados a uma pessoa natural.

Incidente: qualquer acesso, aquisição, uso, modificação, divulgação, perda ou destruição acidental ou ilícita envolvendo dados pessoais.

Tratamento: qualquer operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

Dados do Usuário Google: quaisquer dados ou informações obtidos pela deco por meio de APIs do Google em decorrência da conexão de uma conta Google à Plataforma pelo Usuário Autorizado ou por um Usuário, conforme descrito na Seção 7.

Os demais termos não definidos aqui têm o significado atribuído em cláusula específica, na LGPD ou nos Termos de Uso.

3. COMO COLETAMOS SEUS DADOS PESSOAIS

Podemos coletar seus dados pessoais das seguintes formas:

Identificadores eletrônicos (cookies e tecnologias similares). Cookies são arquivos que podem ser temporariamente armazenados em seu dispositivo. Utilizamos cookies para facilitar sua navegação, adaptá-la aos seus interesses e entender como nosso site e Serviços são utilizados. Você pode configurar seu dispositivo para recusar cookies; nesse caso, é possível que você não consiga acessar todas as partes da Plataforma, pois alguns cookies são essenciais para o seu funcionamento adequado. Também utilizamos tecnologias de rastreamento similares (como web beacons e scripts de análise) para entender quais páginas e conteúdos você acessa. Nos baseamos em nosso legítimo interesse (art. 7.º, IX, LGPD) em compreender e aprimorar a forma como nosso site e Serviços são utilizados para justificar esse tratamento. Diferentemente dos cookies, os web beacons não podem ser desativados individualmente pela Plataforma, mas você pode limitar seus efeitos por meio das configurações gerais de privacidade e extensões do seu navegador.

Dados de cadastro ou contato. Você pode fornecer dados pessoais diretamente ao se cadastrar, contratar os Serviços ou entrar em contato conosco. Nesse caso, utilizamos os dados especificamente para a finalidade para a qual foram coletados — por exemplo, para responder a uma solicitação de informações ou para viabilizar seu acesso e uso dos Serviços contratados.

Sempre que possível, oferecemos opções razoáveis com relação à coleta e ao uso das suas informações. Por exemplo, você pode: (i) recusar-se a fornecer dados pessoais que não sejam necessários para a prestação dos Serviços ou para o cumprimento de obrigações legais ou contratuais; (ii) configurar as preferências do seu navegador e utilizar ferramentas para bloquear cookies; (iii) cancelar o recebimento de comunicações de marketing; (iv) cancelar sua assinatura; e/ou (v) enviar uma solicitação para exercer seus direitos pelo e-mail privacy@decocms.com.

Não podemos garantir o adequado funcionamento da Plataforma ou a prestação dos Serviços caso você forneça informações incorretas ou opte por não fornecer determinados dados pessoais.

4. QUAIS DADOS PESSOAIS SÃO COLETADOS E PARA QUAL FINALIDADE

A deco é uma empresa de serviços de IA. Publica software de código aberto — atualmente um workspace de IA privado e plano de controle onde os agentes trabalham, um CMS e aplicativos — e oferece um serviço que opera as experiências digitais de seus Clientes (sites, aplicativos e storefronts) com engenheiros seniores, agentes de IA e software proprietário. O software pode ser auto-hospedado pelo Cliente ou operado pela deco como Serviço Gerenciado.

A natureza, a forma e a finalidade do tratamento variam de acordo com o contexto em que os dados pessoais foram coletados. Em geral, para visualizar e contratar nossos Serviços, você acessa e se cadastra em nosso site (https://decocms.com) ou na Plataforma hospedada (https://studio.decocms.com), e podemos solicitar dados pessoais como seu nome, e-mail, número de identificação fiscal (por exemplo, CPF ou RNE, quando aplicável para fins de faturamento ou conformidade legal), telefone e endereço, para fins de identificação, contato, contratação e faturamento.

Podemos também coletar automaticamente dados de uso, dispositivo e registros (como endereço IP, informações de navegador e dispositivo, e interações com a Plataforma hospedada) para operar, proteger e aprimorar os Serviços e para medir o uso.

Conteúdo do Cliente tratado em nome dos Clientes. Quando um Cliente utiliza o Serviço Gerenciado, o Conteúdo do Cliente pode incluir dados pessoais dos próprios usuários finais ou visitantes do site do Cliente. A deco trata esses dados como operadora/processadora, apenas de acordo com as instruções do Cliente e para as finalidades contratadas, e não os utiliza para fins próprios independentes. Em uma Implantação Auto-Hospedada, a deco não trata esses dados.

Podemos também tratar seus dados pessoais quando razoavelmente necessário ou legalmente exigido (i) por razões de interesse público; (ii) para atender a requisições de autoridades públicas; (iii) para cumprir obrigações de reporte ou manutenção de registros; ou (iv) para o exercício regular de direitos em processos judiciais.

5. BASES LEGAIS PARA O TRATAMENTO

Tratamos seus dados pessoais com base em uma ou mais das seguintes hipóteses legais previstas no art. 7.º da LGPD, dependendo da finalidade e do contexto de cada atividade de tratamento descrita nesta Política:

  • Execução de contrato ou de procedimentos preliminares relacionados a contrato do qual você é parte (art. 7.º, V) — por exemplo, para cadastrá-lo na Plataforma e prestar os Serviços contratados.

  • Consentimento (art. 7.º, I) — por exemplo, quando você conecta uma conta Google à Plataforma (conforme descrito na Seção 7) ou quando você opta por receber comunicações de marketing.

  • Cumprimento de obrigação legal ou regulatória (art. 7.º, II) — por exemplo, para cumprir exigências fiscais, contábeis ou de manutenção de registros.

  • Legítimo interesse (art. 7.º, IX) — por exemplo, para utilizar cookies e tecnologias similares a fim de entender e aprimorar o uso de nosso site e Serviços, e para prevenir fraudes e manter nossa Plataforma segura, sempre resguardando seus direitos e liberdades fundamentais.

  • Exercício regular de direitos em processos judiciais, administrativos ou arbitrais, e proteção ao crédito, quando aplicável (art. 7.º, VI e XI).

6. FUNCIONALIDADES DE IA E AGENTES AUTÔNOMOS

A Plataforma inclui funcionalidades de IA e Agentes que tratam dados para executar tarefas em nome do Cliente (como diagnósticos, geração de conteúdo, otimização e monitoramento).

  • Modelos e provedores. A Plataforma pode encaminhar requisições a múltiplos runtimes de IA e provedores de modelos (que podem incluir, entre outros, Anthropic, OpenAI, Google/Gemini, OpenRouter e Ollama). Em uma Implantação Auto-Hospedada, o Cliente utiliza suas próprias chaves e contas de provedor. No Serviço Gerenciado, as entradas e o contexto relevante podem ser transmitidos a esses provedores e por eles processados de forma transitória, exclusivamente para a prestação dos Serviços.

  • Sem treinamento com seus dados. Não utilizamos o Conteúdo do Cliente ou seus dados pessoais para treinar modelos fundacionais de terceiros ou públicos, e não vendemos seus dados pessoais.

  • Melhoria dos nossos Serviços. Podemos utilizar dados agregados, desidentificados ou anonimizados derivados do uso da Plataforma para operar, proteger e aprimorar os Serviços.

  • Supervisão humana. Quando a Plataforma disponibilizar controles de revisão ou aprovação com participação humana, o Cliente é responsável por configurá-los e utilizá-los; o Cliente permanece responsável pelas ações que os Agentes tomarem sob sua configuração.

7. DADOS DO USUÁRIO GOOGLE (GOOGLE API SERVICES)

Quando você conecta uma conta Google à deco, acessamos determinados dados do usuário Google por meio de APIs do Google, estritamente para fornecer as funcionalidades que você solicita. Esta seção aplica-se em adição ao restante desta Política e prevalece sobre ela em caso de conflito especificamente com relação aos dados do usuário Google.

Dados que acessamos. Com sua autorização via Google OAuth, e utilizando apenas o escopo somente leitura `analytics.readonly`, acessamos seus dados do Google Analytics 4: a lista de contas e propriedades do Analytics às quais você tem acesso, e os dados de relatório que você solicita (métricas e dimensões como caminhos de página, visualizações, sessões, conversões e usuários ativos em tempo real). Não acessamos nem modificamos nenhum outro dado do Google.

Como os utilizamos. Exclusivamente para executar as ações que você solicita dentro da deco — listar suas propriedades e executar os relatórios do Analytics que você pede — e para exibir os resultados a você. Os dados são processados de forma transitória para atender à sua solicitação. Não utilizamos dados do usuário Google para fins publicitários, nem para desenvolver, aprimorar ou treinar modelos generalizados de IA/ML.

Como os compartilhamos. Não vendemos dados do usuário Google nem os compartilhamos com corretores de dados ou anunciantes. Compartilhamos apenas com suboperadores de infraestrutura estritamente conforme necessário para operar a funcionalidade, sob obrigações de confidencialidade, e com o Google para realizar as requisições de API que você autoriza.

Como os protegemos. Os tokens OAuth são armazenados criptografados por conexão; os dados são transmitidos por TLS e protegidos por controles de acesso.

Retenção e exclusão. Não armazenamos os dados de relatório do Google Analytics além do necessário para gerar e exibir os resultados solicitados; tais dados são processados de forma transitória, dentro da mesma sessão, e não são retidos em nossos bancos de dados posteriormente. Retemos os tokens OAuth apenas enquanto sua conexão estiver ativa. Você pode revogar o acesso da deco a qualquer momento nas permissões da sua conta Google (myaccount.google.com/permissions) ou desconectando a integração na Plataforma, o que invalida o token armazenado. Você pode solicitar a exclusão entrando em contato pelo e-mail privacy@decocms.com.

Uso Limitado. O uso e a transferência de informações recebidas de APIs do Google pela deco estão em conformidade com a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

8. COM QUEM COMPARTILHAMOS SEUS DADOS PESSOAIS

Para a prestação dos nossos Serviços, compartilhamos dados pessoais com terceiros (suboperadores) que apoiam nossas operações e que estão contratualmente obrigados a protegê-los. Podemos divulgar seus dados pessoais a:

  • Provedores de infraestrutura, hospedagem e entrega de conteúdo (por exemplo, Cloudflare; e, para resiliência e cargas de trabalho específicas, outros provedores de nuvem como AWS e Google Cloud), para hospedar e servir a Plataforma hospedada;

  • Provedores de modelos de IA (por exemplo, Anthropic, OpenAI, Google/Gemini, OpenRouter), para oferecer funcionalidades de IA de forma transitória, conforme descrito na Seção 6;

  • Provedores de autenticação (por exemplo, Google, GitHub), para possibilitar o login seguro;

  • Instituições financeiras e de pagamento (por exemplo, Stripe), para processar pagamentos;

  • Provedores de ferramentas operacionais e de negócios (por exemplo, ferramentas de CRM, análise, comunicação e e-mail) que contratamos para apoiar nossos negócios;

  • Um potencial comprador ou sucessor em caso de fusão, aquisição, reestruturação, reorganização ou venda ou transferência de ativos da deco;

  • Autoridades governamentais ou judiciais competentes, para cumprir ordem judicial, lei, processo legal ou procedimento administrativo; e

  • Outras partes com o seu consentimento, ou conforme divulgado no momento da coleta.

Reservamo-nos o direito de compartilhar dados pessoais quando necessário para cumprir obrigação legal, para fazer cumprir nossos Termos de Uso ou para proteger os direitos de nossa equipe e de nossos clientes.

Ao compartilhar dados pessoais com as entidades acima, limitamos o compartilhamento ao estritamente necessário e exigimos que assumam um nível de proteção compatível com esta Política, incluindo a vedação de uso dos dados para qualquer finalidade que não seja a prestação de serviços em nosso nome ou o cumprimento de exigências legais. Para saber mais sobre como nossos suboperadores tratam dados pessoais, entre em contato pelo e-mail privacy@decocms.com.

9. TRANSFERÊNCIAS INTERNACIONAIS DE DADOS

A deco opera globalmente e utiliza provedores localizados no Brasil, nos Estados Unidos e em outros países — por exemplo, infraestrutura de edge/CDN e nuvem, provedores de modelos de IA e provedores de pagamento (incluindo a Google LLC e outros provedores de infraestrutura e pagamento). Seus dados pessoais, incluindo os dados do usuário Google descritos na Seção 7, podem, portanto, ser transferidos e tratados fora do seu país de residência, inclusive nos Estados Unidos. Tais transferências são realizadas em conformidade com as salvaguardas exigidas pelo art. 33 da LGPD — incluindo cláusulas contratuais padrão, políticas de privacidade e certificações adotadas por esses provedores — para garantir um nível de proteção de dados pessoais compatível com a legislação brasileira.

10. EXERCÍCIO DOS SEUS DIREITOS

Você pode nos contatar para exercer os direitos garantidos pela legislação aplicável, tais como: confirmação da existência de tratamento; acesso aos seus dados pessoais; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei; portabilidade; informação sobre com quem compartilhamos seus dados; revisão de decisões tomadas exclusivamente com base em tratamento automatizado; e revogação do consentimento.

Podemos não conseguir atender a uma solicitação de alteração de seus dados pessoais se, por exemplo, isso violar uma lei ou tornar outras informações incorretas. Caso você solicite a exclusão, podemos reter uma cópia quando exigido por lei ou quando tivermos base legal para tanto.

Para exercer seus direitos, entre em contato pelo e-mail privacy@decocms.com. Você também pode registrar uma reclamação junto à Autoridade Nacional de Proteção de Dados (ANPD). Caso você seja um usuário final cujos dados são tratados por um Cliente por meio da Plataforma, direcione sua solicitação a esse Cliente (o controlador); apoiaremos o Cliente como operador/processador conforme exigido.

11. SEGURANÇA DOS DADOS

Mantemos salvaguardas processuais, técnicas e físicas projetadas para proteger dados pessoais contra perda, uso indevido e acesso, divulgação, alteração ou destruição não autorizados — incluindo criptografia em trânsito (TLS) e armazenamento criptografado de tokens de conexão. No entanto, nenhuma transmissão de dados pela internet é completamente segura, e não podemos garantir a segurança absoluta dos dados pessoais transmitidos à Plataforma. Pedimos sua colaboração para manter um ambiente seguro. Caso você identifique ou tome conhecimento de algo que comprometa a segurança das informações, entre em contato pelo e-mail privacy@decocms.com.

Na hipótese de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, agiremos em conformidade com a legislação aplicável, incluindo a notificação da autoridade competente e dos titulares afetados quando exigido.

12. POR QUANTO TEMPO ARMAZENAMOS SEUS DADOS

Seus dados pessoais são armazenados apenas pelo tempo necessário para cumprir as finalidades para as quais foram coletados, salvo se um período mais longo for exigido ou permitido — por exemplo, para cumprir obrigações legais, regulatórias ou contratuais, ou para resguardar direitos da deco. Para dados pessoais tratados como operadora em nome de um Cliente, os dados são retidos pelo prazo de vigência dos Serviços e devolvidos ou excluídos para o Cliente quando não mais necessários, nos termos do contrato aplicável, observadas as exigências legais de retenção. Os dados do usuário Google estão sujeitos às regras específicas de retenção e exclusão descritas na Seção 7, que prevalecem sobre esta Seção em caso de conflito.

13. COMO FALAR CONOSCO

Para dúvidas ou solicitações sobre o tratamento de seus dados pessoais, entre em contato pelo e-mail privacy@decocms.com. Para os fins da LGPD, nosso Encarregado (Data Protection Officer) também pode ser contactado por meio deste mesmo endereço de e-mail.

14. LEI APLICÁVEL

Esta Política é regida pela legislação brasileira, em especial pela LGPD (Lei Federal n.º 13.709/2018). Para dados pessoais controlados pela Entidade dos EUA, podem ser aplicáveis leis de proteção de dados adicionais ou distintas, conforme estabelecido no contrato aplicável. Qualquer disputa decorrente do uso ou da interpretação da Plataforma será resolvida de acordo com as disposições de lei aplicável e foro dos Termos de Uso ou contrato aplicável.

Quando um contrato específico entre a deco e o Cliente contiver termos de proteção de dados (por exemplo, um Acordo de Processamento de Dados), esses termos prevalecerão sobre esta Política em caso de conflito, com relação às matérias que especificamente tratarem.

15. ATUALIZAÇÕES

Esta Política de Privacidade está sujeita a alterações periódicas para mantê-la atualizada com nossas atividades de tratamento e com a legislação aplicável de proteção de dados. Reservamo-nos o direito de revisá-la a qualquer momento, seja pelo uso de novas tecnologias ou sempre que julgarmos necessário. A Política atualizada será publicada em nosso site, e recomendamos sua consulta periódica.