POLÍTICA DE PRIVACIDADE — ERISEN HUB

Identificador da versão: privacidade-2026-10-02-v3 Versão: 3 Data de vigência: 2 de outubro de 2026 Onde ler: https://hub.erisenai.com.br/legal/privacidade

1. Quem cuida dos seus dados

O controlador dos seus dados pessoais — quem decide o que é coletado e para quê — é:

1.1 Encarregado pelo tratamento de dados pessoais (DPO)

O encarregado é a pessoa a quem você fala sobre privacidade, e é também o canal pelo qual a Autoridade Nacional de Proteção de Dados (ANPD) nos procura. A LGPD exige que ele exista e que o nome dele seja público (art. 41, §1º).

É para esse endereço que você escreve para exercer qualquer direito desta política, e é por ele que a ANPD nos procura.

1.2 O que esta política é

É o documento que explica, em português comum, quais dados seus o Hub guarda, por que guarda, com quem compartilha, por quanto tempo e o que você pode exigir. Ela vale junto com os Termos de Uso (https://hub.erisenai.com.br/legal/termos), que tratam da relação comercial, e com a Declaração de idade mínima (https://hub.erisenai.com.br/legal/idade). Onde os documentos falarem do mesmo assunto, esta política prevalece sobre privacidade e os Termos prevalecem sobre uso e pagamento.

2. O que o Erisen Hub é

O Hub é uma plataforma brasileira de geração de mídia com inteligência artificial: imagem, vídeo, voz, música e texto. Você escreve um pedido (o "prompt"), pode anexar arquivos, o Hub envia esse pedido para o sistema de IA adequado e devolve o arquivo pronto.

O pagamento é por uso, em reais, com saldo em carteira recarregado por Pix ou boleto. O Hub também tem uma biblioteca com tudo o que você gerou, uma camada social (publicar uma criação, comentar, curtir, seguir, perfil público) e ferramentas de produção, entre elas o Avatar Director, que anima a foto de uma pessoa para que ela pareça estar falando.

Essa última função tem regras próprias, porque envolve a imagem de uma pessoa. Elas estão na seção 7 desta política e na cláusula 8 dos Termos de Uso.

3. Quais dados coletamos

Organizamos por categoria. Esta lista não é aproximada: ela sai do mapa técnico que o próprio sistema usa para exportar e excluir os seus dados, e existe um teste automatizado que falha se alguém acrescentar uma tabela nova com dado pessoal sem classificá-la.

3.1 Dados de identificação e conta

• E-mail e nome, informados por você no cadastro;
• a sua senha, guardada apenas como resumo criptográfico (PBKDF2 com sal próprio). A ERISEN não consegue ler a sua senha nem recuperá-la: quem esquece a senha define uma nova;
• data de criação da conta;
• registros de entrada: a data e a hora em que cada sessão foi aberta e usada, e um resumo criptográfico do endereço de rede e do navegador de onde ela partiu (ver 3.6);
• os códigos de uso único que enviamos por e-mail a cada entrada, guardados apenas como resumo — o código em si nunca é gravado;
• se você usou um link de indicação, quem indicou você.

3.2 Perfil público (só se você criar um)

• Nome de exibição, @ (identificador público), biografia e foto de perfil.

3.3 Conteúdo que você cria e envia

• O texto dos seus pedidos (prompts), inclusive o briefing que você escreve para o assistente;
• arquivos que você envia: imagens, fotos, áudios, vídeos e documentos de referência;
• a mídia gerada para você e as versões intermediárias;
• projetos, espaços de trabalho, cofres de personagem/marca/produto, fluxos, especificações criativas e planos de custo;
• os dados de contato dos SEUS clientes, quando você os cadastra em um projeto;
• conversas com o assistente do Hub.

Atenção, e é importante: o que você escreve no prompt e o que você anexa são tratados como conteúdo seu, não como campo de formulário. Se você digitar um CPF, um endereço, um dado de saúde ou o nome de outra pessoa dentro de um prompt, esse dado entra no sistema como qualquer outro conteúdo — e sai do Brasil junto com o pedido (ver seção 8). Não escreva no prompt o que você não escreveria num e-mail.

3.4 Atividade na comunidade

• Publicações que você faz, comentários, curtidas, itens salvos, quem você segue e quem segue você, e marcações de "usei isto" em criações de outras pessoas.

3.5 Dados financeiros

• Saldo da carteira, em centavos de real, separado em saldo comprado e saldo bônus;
• livro-razão: cada crédito e cada débito, com data, valor, motivo e a cotação que originou a cobrança;
• pedidos de pagamento (Pix ou boleto), comprovantes e pedidos de devolução;
• vínculo com o cadastro no meio de pagamento;
• apenas para quem entra no programa de afiliados: documento (CPF) e dados bancários, que são guardados cifrados (AES-GCM) e nunca aparecem em tela ou em exportação;
• ganhos — comissões, prêmios de criador, cashback — e os registros que lastreiam cada um. Os ganhos em dinheiro ficam registrados à parte do saldo (Termos, cláusula 11).

3.6 Dados técnicos e de segurança

• Endereço de rede (IP). Aqui a regra tem uma exceção, e ela precisa estar escrita:
• na maior parte do sistema, guardamos apenas um resumo criptográfico do seu IP, nunca o IP: no limite de requisições, no antifraude, na sessão e no código de entrada;
• o IP em texto claro é guardado em um lugar só: junto do registro de aceite destes documentos no cadastro e das declarações de uso de imagem (seção 7.3). Ali ele faz parte da prova de que o aceite partiu de você, junto com a data, a versão do texto e o navegador. Quando você exclui a conta, o IP e o navegador desses registros são apagados e fica só o aceite (seção 10.3);
• resumo do desafio antirrobô (verificação antirrobô), nas ações em que ele é usado (seção 11);
• registros de uso: qual operação foi pedida, quando, quanto custou, se deu certo ou errado;
• aplicativos externos que você conectou à conta e as permissões que concedeu a eles;
• registros de auditoria de segurança (por exemplo, uma ação recusada por limite de gasto).

3.7 Dado pessoal sensível — imagem e voz

Quando você usa o Avatar Director ou envia a foto de uma pessoa identificável, o arquivo contém imagem de pessoa — e, tratada para animar o rosto e a fala, a LGPD a enquadra como dado pessoal sensível de natureza biométrica (art. 5º, II). O mesmo vale para gravação da voz de uma pessoa real usada como áudio condutor.

Essa é a categoria mais delicada de tudo que o Hub processa, e ela tem seção própria: seção 7.

3.8 O que nós NÃO coletamos

• Não guardamos a sua senha — guardamos só um resumo que não permite recuperá-la (3.1);
• não temos cartão de crédito seu: o pagamento é por Pix ou boleto, processado pelo meio de pagamento;
• não usamos ferramenta de analytics, pixel de rede social ou rastreador de terceiro. Medido: não há nenhum no código da aplicação;
• não pedimos CPF para usar o Hub — apenas para receber pagamento como afiliado;
• não pedimos documento de identidade, nem para confirmar a idade (ver seção 14).

4. De onde vêm esses dados

4.1 De você

A maior parte. Cadastro, perfil, prompts, arquivos, publicações, recargas.

4.2 Da sua entrada no Hub

O Hub tem login próprio. Para entrar você usa o seu e-mail, a sua senha e um código de uso único enviado para o seu e-mail a cada entrada — não só na primeira vez, e não só em aparelho novo. Consequências práticas:

• a senha nunca é guardada; só o resumo dela (3.1);
• a sessão aberta dura até 12 horas sem uso e, no máximo, 7 dias, mesmo com uso; depois disso você entra de novo;
• o código e os avisos da conta são enviados por um serviço de envio de e-mail contratado pela ERISEN, que recebe o seu endereço e o conteúdo da mensagem (seção 8.2);
• quem tiver acesso ao seu e-mail pode pedir um código e redefinir a sua senha. Proteja a conta de e-mail que você usa aqui.

Enquanto o Hub estiver em fase de lançamento, a plataforma de nuvem pode exigir uma verificação de acesso adicional antes da tela de entrada. Quando isso acontece, é essa plataforma que registra a verificação, pela retenção dela.

4.3 Do meio de pagamento

Quando você recarrega, o processador de pagamento nos informa se o pagamento foi confirmado, por qual valor e em qual data. Nós nunca creditamos saldo a partir do que chega na notificação: o sistema relê o pagamento na origem antes de creditar. Isso é proteção contra fraude, e também significa que conversamos com o meio de pagamento sobre a sua transação.

4.4 Do programa de indicação

Se você chegou por um link de indicação, guardamos quem indicou você — em um cookie próprio (ver seção 11) e depois no registro da sua conta.

5. Para que usamos, e com que base legal

A LGPD exige que todo tratamento tenha uma base legal (art. 7º e art. 11). A tabela abaixo declara a base de cada finalidade: o que fazemos, com quais dados, e sob qual artigo.

Cada base foi escolhida pela função que aquele dado cumpre no sistema — é isso que torna a linha verificável, e não uma etiqueta genérica. Onde havia mais de um enquadramento possível, ficou o mais conservador. Se houver mudança no enquadramento de alguma base, a mudança entra como versão nova desta política (seção 15).

Sobre o legítimo interesse (5.7) — ele não é um coringa. Legítimo interesse só se sustenta quando o tratamento é necessário, usa o mínimo de dado e fica dentro do que você esperaria. O teste, em uma frase: quem abre uma conta que guarda dinheiro espera que a plataforma a proteja de robô, de fraude e de uso indevido. O interesse da ERISEN em fazer isso não passa por cima dos seus direitos porque o que usamos é o menor conjunto que resolve — o resumo do seu IP, nunca o IP (seção 3.6), o resumo do desafio antirrobô e o registro da própria operação. Nada disso é usado para lhe oferecer coisa alguma, para traçar o seu perfil nem para decidir o seu preço. Você pode se opor ao tratamento pelo encarregado (direito 12.6); a única consequência possível é a óbvia: sem controle antifraude não existe carteira com dinheiro dentro.

Sobre o marketing (5.11) — consentimento, e só. Se um dia a ERISEN enviar novidade ou promoção por e-mail, será com opt-in separado do aceite do cadastro (marcar que você leu esta política não vale como aceite de marketing) e com link de descadastro em toda mensagem. Aceitar não é condição para usar o Hub, e recusar não desliga nenhuma função. Hoje o sistema não tem essa funcionalidade e não envia marketing nenhum. Os e-mails que o Hub envia hoje são só os da sua conta: código de entrada, redefinição de senha e avisos sobre o que você pediu.

5.12 O que NÃO fazemos com os seus dados

• Não vendemos seus dados pessoais.
• Não usamos o seu conteúdo privado para treinar modelos de IA nossos, porque não temos modelo próprio: o Hub encaminha o pedido para sistemas de terceiros (ver seção 8, e principalmente 8.5, que é honesta sobre o que não controlamos).
• Não publicamos nada seu por conta própria. Uma criação só aparece na comunidade se você mandar publicar.
• Não fazemos decisão automatizada que produza efeito jurídico sobre você — com uma exceção que precisa estar escrita: o sistema pode bloquear automaticamente uma conta ou um incentivo por suspeita de fraude. Você pode pedir análise dessa decisão por uma pessoa (art. 20), pelo contato da seção 1.1.

6. Quem, dentro da ERISEN, vê os seus dados

• Administradores do Hub têm acesso a painéis operacionais: carteira, cotações, auditoria, moderação da comunidade e o mapa técnico de dados pessoais. Toda ação administrativa sensível fica registrada em uma trilha que o próprio banco impede de apagar ou alterar.
• Moderação: uma publicação sua na comunidade pode ser analisada e escondida por um administrador. Isso deixa rastro registrado.

A regra interna de acesso ao seu conteúdo privado (prompts, arquivos e resultados que você não publicou) é esta, e ela vale para toda pessoa da ERISEN:

1. só se abre conteúdo privado para um destes quatro motivos: atender um pedido seu de suporte, resolver uma cobrança ou devolução, investigar um incidente de segurança ou uma denúncia de uso indevido, ou cumprir obrigação legal ou ordem de autoridade;
2. nunca por curiosidade, para demonstração, para marketing ou para escolher conteúdo para divulgar — divulgar exige o seu consentimento separado (Termos, 9.3);
3. só tem acesso administrativo quem precisa dele para essas funções;
4. você pode perguntar ao encarregado se o seu conteúdo privado foi aberto e por qual dos motivos acima, e a resposta segue o prazo da seção 12.12.

Dizemos também o limite técnico: as ações administrativas sensíveis ficam na trilha imutável, mas nem toda leitura feita por um administrador gera, hoje, um registro automático próprio. É por isso que a regra acima é escrita, e não só técnica.

7. Imagem e voz de pessoa — a parte mais sensível

7.1 O que a função faz

O Avatar Director e as funções de animação de retrato recebem uma foto e um áudio, e devolvem um vídeo em que a pessoa da foto aparece falando. A função de personagem pode também gerar a mesma pessoa em poses, ângulos e roupas novas. É o recurso mais poderoso do Hub e é também o de maior risco: ele produz a imagem de uma pessoa dizendo ou fazendo algo que ela não disse nem fez.

7.2 Como isso é classificado

Imagem de rosto de pessoa identificável, tratada para animar traços faciais e fala, é dado pessoal sensível de natureza biométrica (LGPD, art. 5º, II). A gravação da voz de uma pessoa real usada como áudio condutor recebe o mesmo tratamento.

7.3 Sobre qual base legal tratamos

• Se a foto é sua: tratamos com o seu consentimento específico e destacado (art. 11, I), dado no momento em que você usa a função.
• Se a foto é de outra pessoa: nós não temos relação com essa pessoa, e por isso quem responde pelo consentimento dela é você. Ao usar a função, você declara que é a pessoa da imagem ou que possui autorização escrita dela para esse uso.

As duas declarações são documentos próprios, mostrados na hora em que são pedidos: https://hub.erisenai.com.br/legal/declaracao-de-uso-de-imagem (pessoa falando) e https://hub.erisenai.com.br/legal/declaracao-de-uso-de-imagem-clone (pessoa em poses novas).

A verdade técnica, e ela precisa estar escrita: hoje o Hub não tem como verificar se você realmente é a pessoa da foto ou se possui a autorização dela. Não há prova de identidade, não há validação biométrica e não há upload do documento de autorização. O que existe é a sua declaração e a responsabilidade que ela cria. Estamos dizendo isso porque esconder essa limitação seria pior do que admiti-la.

O registro dessa declaração. Cada vez que a declaração é feita, o Hub grava um registro próprio dela — a conta, a data, qual das declarações foi feita, o nome da pessoa retratada quando a autorização é de terceiro, o arquivo, a versão exata do texto que estava no ar naquele momento, o endereço de rede e o navegador, e a revogação, quando houver. Esse registro não pode ser apagado nem reescrito, e sem ele a geração é recusada. Os detalhes estão na cláusula 8.3 dos Termos de Uso.

Lançamos a função com esse registro, e não apenas com a declaração, por um motivo que vale escrever: quando o titular da imagem perguntar «onde está o consentimento?», a resposta tem de ser uma linha com data e com a versão do texto que a pessoa leu — não a lembrança de uma caixa marcada. O que o registro não faz continua sendo o que o aviso acima diz: ele não prova que a declaração é verdadeira.

7.4 O que fazemos com a foto

1. O arquivo é guardado no nosso armazenamento, associado à sua conta e privado por padrão;
2. é enviado ao operador de IA que executa a animação, fora do Brasil (seção 8);
3. o vídeo gerado volta e fica na sua biblioteca, também privado, até que você decida publicá-lo.

7.5 Por quanto tempo a foto fica

Enquanto a sua conta existir, ou até você apagar o arquivo — o que vier primeiro. Você pode apagar a foto da sua biblioteca a qualquer momento, sem apagar a conta.

Na exclusão da conta, todos os seus arquivos são apagados do armazenamento na hora, e qualquer cópia residual — principalmente as cópias de segurança — desaparece em até 30 dias (seções 9 e 10).

7.6 O que é proibido, sem exceção

Está nos Termos de Uso (cláusula 8.5) e vale como regra de privacidade também:

• imagem de criança ou adolescente, em qualquer contexto;
• conteúdo sexual ou erótico com a imagem de qualquer pessoa que não seja você, e conteúdo sexual com a imagem de menor em qualquer hipótese;
• desinformação: fazer uma pessoa real parecer dizer algo que ela não disse, com aparência de fato — declaração de político, notícia, depoimento, confissão;
• fraude: usar a imagem ou a voz de alguém para se passar por essa pessoa, obter vantagem, enganar familiar, cliente, banco ou sistema de verificação por rosto ou voz;
• assédio, humilhação, ódio ou constrangimento dirigidos a uma pessoa.

7.7 Se a imagem é sua e alguém a usou aqui

Se você não é cliente do Hub e descobriu que a sua imagem foi usada na plataforma, você continua sendo titular desses dados e tem os mesmos direitos da seção 12. Fale com o encarregado (1.1). Nós vamos apurar, e podemos remover o conteúdo, suspender a conta responsável e preservar os registros necessários para eventual apuração.

Quem responde é o encarregado (seção 1.1), pelo endereço privacidade@erisenai.com.br, no mesmo prazo da seção 12.12: imediatamente quando possível e, quando depender de apuração, em até 15 dias.

8. Com quem compartilhamos, e a saída dos dados do Brasil

Esta é a seção que exige mais honestidade, e é onde estão as escolhas mais difíceis do Hub.

8.1 O fato central

Para gerar o que você pede, o seu prompt e os arquivos que você anexa saem dos nossos servidores e vão para operadores de inteligência artificial que processam os dados FORA DO BRASIL — em regra nos Estados Unidos e em outros países. Não existe versão do produto em que isso não aconteça: é assim que a geração funciona.

Isso é transferência internacional de dados (LGPD, art. 33), e você precisa saber disso antes de escrever o primeiro prompt.

8.2 Com quem compartilhamos, por categoria

Os prestadores de infraestrutura e pagamento também fazem parte da relação nominal que entregamos a quem pedir (8.3). O processamento de pagamento é realizado no Brasil; a infraestrutura de nuvem e segurança pode processar dados nos Estados Unidos. A identificação do meio de pagamento aparece no seu comprovante.

8.3 Por que não publicamos o nome de cada operador de IA — e o que você pode exigir

A escolha de qual sistema de IA executa cada pedido é informação comercial da ERISEN. É ela que permite comparar preço e qualidade, trocar de fornecedor sem prejudicar você e manter o preço em reais estável. Por isso o produto não mostra, e esta política não lista, qual operador executou cada pedido seu.

O que isso NÃO significa: não significa que a informação seja secreta para você.

Você tem o direito, previsto no art. 18, VII da LGPD, de saber com quais entidades a ERISEN compartilhou os seus dados — e nós vamos responder. Basta pedir ao encarregado (seção 1.1). Nós lhe entregaremos a relação nominal atualizada dos operadores e prestadores que processam dados do Hub, com o país de cada um e a finalidade.

Como pedir a lista, e em quanto tempo ela chega. Escreva para privacidade@erisenai.com.br pedindo a relação. Nós respondemos por escrito, com o nome de cada operador, o país dele e a finalidade, no prazo da seção 12.12: imediatamente quando possível e, quando o pedido depender de apuração, em até 15 dias. É o mesmo prazo de qualquer outro pedido que você faz nesta política, e é o do art. 18, §3º da LGPD. Você não precisa dizer por que quer a lista.

Por que sob demanda, e não publicada aqui. Nesta política descrevemos as categorias dos prestadores com quem compartilhamos dados (8.2). A identificação nominal é entregue a você quando pedir (8.3). A lista dos operadores de IA é diferente: publicá-la entregaria a escolha de fornecedor da ERISEN, que é a informação comercial descrita no começo desta seção. O art. 18, VII lhe dá direito à relação das entidades com quem compartilhamos os seus dados, e é isso que entregamos, completo e atualizado, a quem pedir. O que fica reservado é o mapa de roteamento — qual operador executa qual tipo de pedido —, que não é o que o art. 18, VII pede.

Duas coisas importam, e elas valem sem exceção:

1. Nunca diremos que não temos a lista, e nunca recusaremos entregá-la a quem pedir. Recusar seria descumprir a lei, e nenhuma regra comercial da ERISEN autoriza isso;
2. a lista será entregue atualizada na data do pedido, e não congelada no dia da publicação desta política.

8.4 O que enviamos ao operador de IA — e o que não enviamos

Não enviamos o seu nome, o seu e-mail nem o identificador da sua conta junto com o pedido. Isso foi medido no código: os componentes que falam com os operadores não têm acesso a esses campos. Para o operador, o pedido chega como um pedido da ERISEN.

Enviamos o conteúdo: o texto do prompt e os arquivos anexados. E aqui há duas advertências honestas:

1. O conteúdo pode identificar você ou outra pessoa. Uma foto de rosto identifica. Um prompt em que você escreve o nome de um cliente identifica esse cliente. A ausência do seu e-mail no envio não anonimiza o conteúdo;
2. Metadados embutidos no arquivo — uma foto de celular costuma carregar, dentro do próprio arquivo, a localização GPS, o modelo e o número de série da câmera e a data exata. Aqui a verdade tem duas metades, e nós preferimos contar as duas:

• Para o público, o metadado é removido. Quando você publica uma criação na Comunidade, ou define uma foto de perfil, o Hub não entrega o seu arquivo original: ele cria uma cópia própria, com os campos de metadado pessoal apagados, e é essa cópia que qualquer visitante vê. O seu arquivo privado nunca é servido a terceiro. Ao despublicar, essa cópia pública é apagada;
• para o operador de IA, o arquivo segue como você o enviou, com os metadados que ele carregar. A limpeza descrita acima vale hoje para as telas públicas, não para o envio da geração. Se isso for um problema para você, remova os metadados da foto antes de enviá-la.

Limite técnico declarado: em vídeo, a limpeza funciona na maior parte dos arquivos, mas um vídeo gravado em determinado formato pode sair com um campo de localização preservado. Estamos escrevendo isso em vez de prometer cobertura total.

8.5 O que acontece com o seu conteúdo do lado do operador

Cada operador de IA tem política e prazo de retenção próprios. Nós contratamos esses serviços com exigência de uso comercial permitido e de que o resultado possa ser usado por você. Mas o que o operador guarda, por quanto tempo e se usa ou não o conteúdo para melhorar os modelos dele é regido pelo contrato e pela política dele, não por esta política.

As condições de retenção e treinamento dependem do contrato de cada operador. Sem a confirmação dessas condições, não afirmamos que nenhum operador retém ou treina com o conteúdo. O que isso significa para você, em termos práticos:

1. trate todo conteúdo enviado ao Hub como conteúdo que pode ficar retido do lado do operador, pelo prazo da política dele. Se um arquivo não pode correr esse risco, não o envie;
2. você pode pedir, pelo encarregado, a situação de cada operador: junto da relação nominal da seção 8.3, informamos, operador por operador, se o contrato dele veda o uso do conteúdo para treinamento e qual é o prazo de retenção declarado — ou que as condições daquele operador ainda não foram confirmadas. Nunca respondemos que um operador não retém sem ter lido o contrato dele;
3. quando essas condições forem confirmadas, o resultado entra como versão nova desta política, com aviso prévio (seção 15).

8.6 Salvaguardas da transferência internacional

O fundamento legal da transferência é o art. 33, IX, da LGPD, combinado com o art. 7º, V: ela acontece porque é necessária para executar o contrato com você. Sem ela, o Hub não entrega nada — o pedido só pode ser executado pelo operador que está fora do Brasil.

Dizemos também o que ainda não existe: não há cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD nº 19/2024) assinadas com os operadores. Adotá-las depende da análise contratual descrita em 8.5, e quando isso acontecer o fundamento passa a ser também o art. 33, II, "b", e esta política ganha versão nova.

O que já vale hoje:

• minimizamos o que é transferido: vai o conteúdo do pedido, não a sua identidade (8.4);
• a comunicação com os operadores é cifrada em trânsito e feita com credenciais da ERISEN, nunca com credenciais suas;
• você pode, a qualquer momento, saber para quais países e entidades os seus dados foram (8.3).

9. Por quanto tempo guardamos

9.1 A regra geral

Guardamos cada coisa apenas pelo tempo em que ela serve para alguma coisa — e, quando a lei manda guardar por mais tempo, guardamos pelo prazo que a lei manda e dizemos qual é.

9.2 Os prazos

9.3 Três honestidades sobre esta tabela

1. Prazo vencido não apaga sozinho ainda. A rotina automática que apaga o que passou do prazo está sendo construída. Enquanto ela não estiver no ar, os prazos acima são o compromisso da ERISEN, executado por processo interno e a pedido seu — não por uma engrenagem automática. Nós preferimos escrever isso a deixar você acreditar em algo que ainda não é automático;
2. Prazos de segurança e antifraude. Registros de bloqueio e de vínculo antifraude seguem o prazo dos registros financeiros (5 anos), porque é deles que a ERISEN precisa para provar por que uma conta foi bloqueada;
3. O registro de entrada. O Marco Civil da Internet (art. 15) manda o provedor de aplicação guardar o registro de acesso — data, hora e endereço de rede — por 6 meses. O Hub guarda a data e a hora de cada sessão, mas não o seu endereço IP: guarda apenas um resumo criptográfico dele, do qual o IP não pode ser reconstruído. É menos dado sobre você do que a lei permitiria guardar, e essa foi uma escolha deliberada. Quando a verificação de acesso adicional da plataforma de nuvem estiver ativa (4.2), ela mantém o registro dela, pela retenção dela.

9.4 Registros técnicos da plataforma

Alguns alarmes de operação (divergência de saldo, atenção de gasto, falha ao criar um arquivo) gravam o seu identificador interno nos registros técnicos da nuvem, e um deles pode incluir trecho da mensagem de erro devolvida pelo sistema de IA — que, em recusa por moderação, às vezes repete parte do texto que você pediu. Esses registros ficam na plataforma de nuvem por no máximo 7 dias, expiram sozinhos e não são alcançados pela exclusão da sua conta. Corrigir esses alarmes para que não gravem identificador nem conteúdo é trabalho em andamento; quando estiver feito, este parágrafo muda.

10. Quando você exclui a conta: o que some e o que fica

O Hub tem exclusão de conta funcionando, ela é imediata e ela não mente sobre o que fez. Antes de confirmar, você lê exatamente o que vai acontecer — inclusive quanto do seu saldo volta e quanto não volta; depois de confirmar, recebe um relatório do que de fato aconteceu — medido, não prometido.

10.1 Por que não dizemos "apagamos tudo"

Porque seria mentira. O banco de dados do Hub foi construído de propósito para não permitir apagar registro financeiro: há mais de cem vínculos apontando para o seu cadastro e dezenas de proteções que abortam uma tentativa de apagar. Dizer "apagamos tudo" e reter o livro-razão seria pior, juridicamente, do que reter e declarar.

Então a exclusão tem três efeitos, e o relatório diz qual aconteceu em cada caso.

10.2 APAGADO de vez

Perfil público (nome, @, bio e foto do rosto), publicações, comentários, curtidas, itens salvos, quem você segue e quem segue você, cofres, espaços, fluxos, especificações criativas, os dados dos seus clientes que você cadastrou, conversas com o assistente, vozes que você criou, cursos salvos e avaliações, conexões com aplicativos externos, a sua senha (o resumo dela), as suas sessões e os códigos de entrada, e o registro de cadastro público.

E todos os seus arquivos no armazenamento — o que você enviou e o que foi gerado para você.

10.3 RASPADO — a linha fica, o dado pessoal sai

Alguns registros o banco não deixa apagar porque eles são a contabilidade de uma cobrança ou a prova de um consentimento. Nesses, o conteúdo pessoal é removido:

• o texto dos seus prompts é apagado do registro de cada geração;
• nomes que você escolheu (projetos, planos) viram "conta excluída";
• seu cadastro principal perde e-mail, nome e identificador de login — é isso que corta o seu acesso: um login futuro nunca mais cai nessa conta;
• o aceite destes documentos e as declarações de uso de imagem perdem o IP e o navegador; fica a prova de que houve aceite, de qual texto e em que data;
• uma publicação sua que outras pessoas já curtiram, comentaram ou usaram é esvaziada e escondida, em vez de apagada.

10.4 RETIDO — e por quê

Não é apagado, e você tem o direito de saber o motivo:

O que sobra fica preso a um identificador interno sem significado (um código aleatório). Depois que seu cadastro é raspado, esse código não leva mais ao seu nome nem ao seu e-mail. É o que a LGPD chama de pseudonimização, com base legal declarada.

⚠️ Uma exceção que vale saber: quando você declarou ter autorização de outra pessoa para usar a imagem dela, o nome dessa pessoa fica na declaração mesmo depois da exclusão, porque é ele que permite à pessoa retratada reclamar depois (seção 7.7).

10.5 O que a exclusão NÃO alcança

• As cópias de segurança: cada backup é uma fotografia fiel do banco. Sua exclusão de hoje só desaparece de todas as cópias em 14 dias;
• os registros técnicos da nuvem (seção 9.4): expiram em até 7 dias;
• o meio de pagamento: o cadastro e os comprovantes vivem lá, sob a retenção fiscal deles. Esse pedido tem de ser feito diretamente a ele;
• o registro da verificação de acesso adicional da plataforma de nuvem, quando ela estiver ativa (4.2): cortamos o vínculo do nosso lado; o registro é dela;
• as mensagens que você enviou ao suporte por e-mail: elas ficam no sistema de atendimento, fora do banco do Hub. Se quiser que elas também sejam apagadas, peça pelo privacidade@erisenai.com.br.

10.6 Um limite técnico que você precisa saber

Se a sua conta tiver muitos arquivos, a exclusão apaga até mil arquivos por vez. Quando isso acontece, o relatório diz quantos faltam, e basta pedir a exclusão de novo para continuar de onde parou — o acesso já terá sido cortado no primeiro pedido.

10.7 O saldo da carteira

O saldo comprado que você não usou é devolvido quando você encerra a conta, pelo mesmo meio pelo qual você pagou, recarga por recarga, antes de a exclusão começar — e a tela mostra o valor antes de você confirmar. O saldo já consumido em gerações não volta, porque o serviço foi prestado; o saldo bônus não volta, porque não é dinheiro que você pagou. As regras completas de devolução estão na cláusula 6.7 dos Termos de Uso.

11. Cookies e tecnologias semelhantes

O Hub usa poucos cookies, e nenhum deles é de publicidade ou de rastreamento de comportamento.

Não usamos Google Analytics, pixel de rede social, mapa de calor ou qualquer rastreador de terceiro. Medido no código em 02/10/2026: não há nenhum. Se um dia a ERISEN adotar ferramenta de medição de uso, esta política ganha versão nova antes da instalação, com a base legal correspondente e, se o cookie não for essencial, com uma escolha sua antes de ele ser gravado.

Sobre o cookie de indicação. Ele não é necessário para o Hub funcionar, e por isso dizemos em que base ele existe: legítimo interesse (art. 7º, IX) do afiliado e da ERISEN em saber que a sua chegada veio da indicação dele. O balanceamento, em uma frase: ele só é gravado quando você abre um link de indicação, guarda apenas um código aleatório, dura no máximo 30 dias e não serve para mais nada. Você pode apagá-lo no seu navegador a qualquer momento; a única consequência é que a indicação deixa de ser creditada ao afiliado.

12. Seus direitos, e como exercê-los

A LGPD (art. 18) lhe dá os direitos abaixo. Eles são gratuitos e você não precisa justificar o pedido.

12.12 Prazo e forma de resposta

Pedidos feitos pelo produto (exportação e exclusão) são atendidos na hora.

Pedidos feitos ao encarregado serão respondidos imediatamente quando possível e, quando depender de apuração, em até 15 dias — que é o prazo do art. 18, §3º, da LGPD.

Quem responde é o encarregado da seção 1.1.

12.13 Como confirmamos que é você

Pedidos feitos dentro da sua conta autenticada já estão identificados. Pedidos por e-mail podem exigir confirmação adicional — não para dificultar, mas porque entregar os seus dados a quem se passa por você seria o pior vazamento possível.

13. Segurança

O que afirmamos aqui foi medido, não é promessa de marketing:

• Isolamento entre contas testado sob ataque. Uma conta não alcança dado de outra: isso foi verificado em mais de cem tentativas dirigidas de acesso indevido, todas barradas;
• Entrada com senha e código a cada vez. A senha é guardada só como resumo (PBKDF2, com sal e custo alto), e cada entrada exige também um código de uso único enviado por e-mail, que vale poucos minutos e só pode ser usado uma vez;
• O seu IP não é guardado em texto claro, exceto no registro de aceite destes documentos e das declarações de uso de imagem, onde ele é parte da prova (3.6) e é apagado na exclusão da conta;
• Dados bancários e documento de afiliado ficam cifrados e não saem em nenhuma resposta;
• O armazenamento de arquivos é fechado: nenhum arquivo é público por padrão, e a entrega é feita por link assinado e temporário;
• Nenhum segredo (chave, token) fica no navegador. Eles vivem apenas no servidor;
• A regra do dinheiro é imposta pelo banco de dados, não por programa: saldo negativo, cobrança de valor diferente do cotado, devolução maior do que o saldo comprado e alteração de livro-razão são recusados pelo próprio banco;
• Trilhas de auditoria não podem ser alteradas nem apagadas, nem por administrador;
• Cópias de segurança diárias, com verificação automática de integridade e restauração já ensaiada com evidência;
• Paradas de emergência que permitem interromper geração, cobrança ou o sistema inteiro em caso de incidente.

O que não prometemos: segurança absoluta. Nenhum sistema é invulnerável.

13.1 Se acontecer um incidente de segurança

O que a ERISEN faz, nesta ordem:

1. contém o incidente — inclusive com as paradas de emergência acima, se for preciso;
2. o encarregado (seção 1.1) avalia se o incidente pode causar risco ou dano relevante a você, e é ele quem decide comunicar e quem fala com a ANPD;
3. se puder, comunicamos você e a ANPD em até 3 dias úteis contados de quando soubemos do incidente, como manda o regulamento da ANPD (Resolução CD/ANPD nº 15/2024). Você recebe a comunicação no e-mail da sua conta;
4. a comunicação diz, em português comum: o que aconteceu, quais dados seus foram afetados, quais os riscos, o que já fizemos e o que você pode fazer para se proteger;
5. o incidente fica registrado, mesmo quando não for preciso comunicar, com o motivo dessa avaliação.

14. Menores de idade

A idade mínima para usar o Erisen Hub é 18 anos. No cadastro você faz a Declaração de idade mínima (https://hub.erisenai.com.br/legal/idade), que é um documento próprio e fica registrada como os outros — com data, versão do texto e a sua conta. Declaração falsa leva à suspensão da conta.

O Hub não pede documento para conferir a idade: a declaração é a barreira, e ela é jurídica, não técnica. Dizemos isso pelo mesmo motivo da seção 7.3.

A escolha por 18 anos não é só uma questão de capacidade para contratar: ela tira do sistema, de uma vez, toda uma classe de risco — imagem, voz e dados de criança e adolescente, que é o ponto mais sensível de uma plataforma que anima o rosto de pessoas.

Além disso:

• o Hub não se destina a menores de 18 anos;
• é proibido, sem exceção, enviar ao Hub imagem, voz ou dado de criança ou adolescente, inclusive para as funções de avatar (seção 7.6);
• se soubermos que uma conta pertence a menor, ou que houve envio de imagem de criança ou adolescente, agiremos imediatamente: suspensão da conta, remoção do conteúdo e, nos casos previstos em lei, comunicação às autoridades. O saldo comprado e não usado de uma conta suspensa por esse motivo é devolvido a quem pagou (Termos, 12.3).

Se você é responsável por um menor e acredita que ele criou conta ou teve a imagem usada aqui, fale com o encarregado (1.1). Nós tratamos isso como prioridade máxima.

15. Mudanças nesta política

• Toda versão tem identificador e data, no topo deste documento;
• quem cria conta aceita a versão vigente no cadastro, e o aceite fica registrado por pessoa e por versão;
• mudança relevante — nova finalidade, nova categoria de compartilhamento, prazo de retenção maior — será comunicada por e-mail, com 30 dias de antecedência. Se você não concordar, pode encerrar a conta antes de a mudança valer e receber de volta o saldo comprado que não usou (Termos, 6.7). A única exceção ao prazo é mudança imposta por lei ou por ordem de autoridade com prazo menor — e mesmo nesse caso você é avisado;
• mudança que só acrescenta proteção para você, ou corrige a redação sem mudar o sentido, entra como versão nova sem esperar o prazo;
• versões anteriores são entregues a quem pedir, pelo privacidade@erisenai.com.br.

16. Contato

Por que dois endereços, e não um. privacidade@ é para o que é dado pessoal: exercício de direitos, uso indevido de imagem, pedido de exclusão, pedido da lista de operadores. suporte@ é para o que é conta, uso, cobrança e devolução. A separação não é burocracia: pedido de privacidade tem prazo próprio, é respondido pelo encarregado (seção 1.1) e não pode ficar na fila do atendimento comum.

Erisen Hub — A. ANTUNES JUNIOR LTDA — CNPJ 65.793.220/0001-65 privacidade-2026-10-02-v3 · vigente desde 02/10/2026