Segurança e dados

O Transept é um espaço de trabalho de tradução criado para traduções seguras. Quando você envia um texto, nós o enviamos a um provedor de IA para traduzir, armazenamos o resultado em nosso banco de dados e permitimos que você o edite. Esta página explica tudo sobre isso — onde os dados ficam, quem pode vê-los e o que prometemos não fazer com eles. Se você está avaliando plataformas para tradução automática segura e gerenciamento de projetos de tradução, esta é a versão em linguagem simples; o texto legal completo está na Política de Privacidade.

• Não usamos seu conteúdo para treinar modelos de IA — nem os nossos, nem os de nossos provedores.
• Seus dados ficam na UE — aplicativo e banco de dados hospedados na Alemanha (Hetzner).
• Criptografia em trânsito e em repouso — TLS 1.2+ em todas as conexões, AES-256 no disco.
• Você é dono do seu conteúdo — mantemos uma licença de processamento restrita, sem reivindicação de propriedade. Exclua sua conta e seus dados irão junto.
• DPA disponível sob demanda — para clientes corporativos, assinamos um Acordo de Processamento de Dados cobrindo as obrigações do Artigo 28 do GDPR.

Quando você envia um texto para tradução, três coisas acontecem:

1. Seu texto é armazenado em nosso banco de dados como parte do seu documento.
2. Para cada solicitação de tradução, o bloco relevante é enviado a um provedor de IA por meio de uma conexão criptografada. O provedor retorna a tradução, que armazenamos como uma nova versão do bloco.
3. Seu texto permanece no seu documento até que você o exclua (ou exclua sua conta). Ele nunca é usado para treinar nenhum modelo de IA.

O que não fazemos:

• Não vendemos seus dados.
• Não usamos seu conteúdo para treinar modelos — nossos ou de terceiros.
• Não compartilhamos seu conteúdo com anunciantes ou plataformas de marketing de terceiros.
• Não verificamos seu Google Drive ou espaço de trabalho do Notion conectados. Só vemos os arquivos que você escolhe explicitamente importar.
• Não executamos nossos próprios modelos fundacionais nem fazemos ajustes finos com dados de clientes.

Os servidores de aplicativos e o banco de dados do Transept rodam na Hetzner Online GmbH, um provedor de hospedagem europeu com data centers na Alemanha. Sua conta, seus documentos, suas traduções, seus glossários e guias de estilo — tudo isso fica na infraestrutura da UE.

Quando você traduz, o bloco de texto relevante é enviado a um provedor de IA pela duração dessa solicitação. A maioria dos provedores de IA (Anthropic, OpenAI, Google) processa as solicitações nos EUA sob compromissos contratuais de proteção de dados e, quando aplicável, o Quadro de Privacidade de Dados UE-EUA ou as Cláusulas Contratuais Padrão (SCCs). Assim que a tradução é retornada, nenhuma cópia do seu conteúdo permanece com o provedor além do registro operacional de curto prazo — consulte a política de privacidade de cada provedor para obter detalhes.

• Em trânsito — TLS 1.2 ou superior em todas as conexões entre seu navegador, nossos servidores e provedores de IA. Apenas HTTPS; HTTP é redirecionado.
• Em repouso — banco de dados e armazenamento em disco criptografados com AES-256.
• Backups — criptografados em repouso, retidos por 30 dias e depois substituídos.
• Autenticação — entrada sem senha via códigos de uso único por e-mail de curta duração ou Google OAuth. Não armazenamos senhas. Os tokens de sessão são armazenados no armazenamento local do seu navegador.

O acesso à produção é restrito a um pequeno número de operadores nomeados (atualmente os dois cofundadores), autenticados via chaves SSH com registro de auditoria. O conteúdo do cliente não é acessado em operações de rotina.

Para investigar um problema de tradução ou outra solicitação de suporte, pedimos permissão e o documento específico antes de abri-lo. O acesso do painel de administração às contas de usuário é registrado e auditável; ações confidenciais (mudanças de função, representação, ajustes de palavras) gravam entradas permanentes no registro de auditoria.

As solicitações de tradução são enviadas a um dos seguintes provedores, dependendo do modelo que você escolher:

• Anthropic — modelos da família Claude, via API da Anthropic. A API comercial da Anthropic não treina com entradas ou saídas de clientes.
• OpenAI — modelos da família GPT, via API da OpenAI. Os dados da API da OpenAI não são usados para treinar modelos por padrão para clientes da API.
• Google — modelos da família Gemini, via Vertex AI / API do Gemini. Os dados de clientes enviados por meio dessas APIs não são usados para treinar os modelos fundacionais do Google.
• Groq — família Llama e outros modelos hospedados no Groq para inferência rápida. A API do Groq não treina com dados de clientes.
• OpenRouter — gateway para modelos adicionais. Os termos do provedor subjacente variam de acordo com o modelo. Para cargas de trabalho em que a exclusão de treinamento é importante, fixe suas traduções em um provedor conhecido (Anthropic, OpenAI ou Google).

Nenhum desses provedores treina com seu conteúdo nos níveis de API que usamos. O próprio Transept não executa modelos fundacionais, não faz ajustes finos com dados de clientes e não retém prompts ou saídas para nenhum propósito de treinamento.

A lista completa de terceiros que podem processar seus dados em nosso nome — nomes, região, função e data da última revisão do DPA — está em /subprocessors. Resumo:

• Tradução por IA — Anthropic (EUA), OpenAI (EUA), Google / Vertex AI (EUA, regiões da UE disponíveis), Groq (EUA), OpenRouter (EUA). Veja acima.
• Hetzner Online GmbH (Alemanha, UE) — hospedagem de aplicativos e banco de dados.
• Stripe, Inc. (EUA / Irlanda) — faturamento de assinaturas e compras avulsas. Nós nunca vemos ou armazenamos os números completos dos cartões; a Stripe processa todos os dados de cartão sob o PCI DSS Nível 1.
• PostHog (hospedado na UE) — análises de produto opcionais, carregadas apenas com o seu consentimento explícito para análises (opt-in para cada visitante).
• Customer.io (espaço de trabalho na UE) — e-mails transacionais (códigos de acesso, notificações da conta, recibos de faturamento) e — apenas com o seu consentimento explícito para marketing — e-mails de atualização do produto.
• Google Tag Manager + Google Ads (EUA) — análises e medição de conversão de anúncios, carregados apenas com o seu consentimento explícito e controlados via Consent Mode v2.
• Meta Platforms (EUA) — Pixel + Conversions API para medição de conversão de anúncios, carregados apenas com o seu consentimento explícito para marketing.

Alterações materiais nesta lista (novo subprocessador, mudança de região) serão sinalizadas nesta página e em /subprocessors antes de entrarem em vigor para novos processamentos.

A Transept é uma empresa jovem. Nós seguimos as obrigações substanciais das estruturas abaixo, mas ainda não possuímos certificações de terceiros. Somos transparentes sobre o que temos e o que não temos.

• GDPR (UE) e UK GDPR — sim. Nós estamos em conformidade como controladores de dados para dados de conta e uso, e como processadores de dados para o conteúdo que você envia. Oferecemos o conjunto completo de direitos do titular dos dados, residência de dados na UE para conteúdo armazenado, notificação de violação em até 72 horas e um DPA mediante solicitação.
• CCPA / CPRA (Califórnia) e outras leis estaduais de privacidade dos EUA — sim. Nós respeitamos o direito de saber, direito de excluir, direito de corrigir e o direito de recusar a venda ou o compartilhamento para todos os residentes dos EUA (nós não vendemos dados pessoais).
• SOC 2 — ainda não. Nós seguimos práticas alinhadas ao SOC 2 para controle de acesso, criptografia, gerenciamento de mudanças e resposta a incidentes, mas não passamos por uma auditoria Tipo 1 ou Tipo 2.
• ISO 27001 — não certificados.
• HIPAA — a Transept não é uma plataforma em conformidade com a HIPAA. Não envie Informações Protegidas de Saúde.
• PCI DSS — os dados de pagamento são processados pela Stripe (PCI DSS Nível 1). Nós nunca vemos ou armazenamos os detalhes completos do cartão.

Para clientes corporativos, disponibilizamos um Acordo de Processamento de Dados mediante solicitação. Ele cobre nossas obrigações como processadores sob o Artigo 28 do GDPR — incluindo divulgações de subprocessadores, medidas de segurança, solicitações de titulares de dados e notificação de violação.

Envie um e-mail para [email protected] com o e-mail da sua conta e os detalhes da empresa para solicitar um DPA.

Se tomarmos conhecimento de uma violação de dados pessoais que possa resultar em risco aos seus direitos e liberdades, nós iremos:

• Notificar os usuários afetados sem demora injustificada, e em até 72 horas quando a gravidade justificar sob o Art. 33 do GDPR.
• Notificar a autoridade supervisora relevante, quando necessário.
• Compartilhar o que sabemos sobre a natureza da violação, os dados afetados, as prováveis consequências e as medidas que estamos tomando para conter e remediar.

Para incidentes que afetam o serviço e não são violações de dados (interrupções, desempenho degradado), as atualizações são publicadas via banner no aplicativo e e-mail para usuários ativos.

Se você encontrar uma vulnerabilidade na Transept, envie um e-mail para [email protected] com os detalhes. Pedimos que você:

• Nos dê um prazo razoável para investigar e corrigir antes da divulgação pública.
• Evite violações de privacidade, destruição de dados ou interrupção do serviço durante os testes.
• Teste apenas na sua própria conta ou em contas que você tem permissão para acessar.

Atualmente não temos um programa pago de recompensas por bugs (bug-bounty), mas reconheceremos relatórios confiáveis e — se você desejar — daremos os créditos publicamente ao relator assim que a correção for lançada.

Para o texto legal completo, consulte nossa Política de Privacidade e os Termos de Serviço. Para qualquer assunto não abordado aqui, envie um e-mail para [email protected].