Política de Privacidade

1.Quem é o controlador

O controlador dos dados pessoais tratados no Koda First é KODAFIRST TECHNOLOGY LTDA, inscrita no CNPJ 69.741.014/0001-62, com sede em Rua Paes Leme, 215, conj. 1713 — São Paulo/SP, CEP 05424-150.

O encarregado pelo tratamento de dados pessoais é a equipe de Proteção de Dados do Koda First, que você contata em dpo@kodafirst.online. Esse é o canal para qualquer pedido relacionado a esta política, incluindo os direitos descritos na seção 7.

2.Quais dados tratamos

Dados de cadastro e acesso. Endereço de e-mail e senha. A senha é armazenada apenas como hash — nunca em texto legível, nem por nós nem por nossos fornecedores. Se você entra com Google, recebemos do Google o e-mail e o nome associados à conta que você escolheu.

Registro do aceite destes documentos. A versão dos Termos de Uso e desta política que você aceitou, e a data do aceite. Contas criadas antes desse registro existir veem uma tela de aceite no próximo acesso, e só seguem usando a plataforma depois dele.

Dados técnicos de segurança. Nos eventos de segurança e de conta — criação de conta, login, aceite dos termos, exportação e exclusão dos seus dados, e ações administrativas no workspace, como convites, mudança de papéis, conexão de integrações e configuração da chave de IA — registramos o endereço IP e o identificador do navegador (user-agent), com data e hora, numa trilha de auditoria. O endereço IP é dado pessoal, e registramos essa informação para detectar acesso indevido e investigar incidentes — não para traçar perfil de comportamento.

Dados do seu espaço de trabalho. Nome do workspace, área de negócio, papel de cada membro e os convites enviados. Registramos também eventos do processo de integração inicial (qual etapa foi concluída e quando), para entender onde o produto trava.

Conteúdo que você cria. Requisitos, documentos de produto, decisões de arquitetura, estórias e demais artefatos produzidos na plataforma, inclusive o que é gerado pelos modelos de linguagem. Esse conteúdo fica armazenado no workspace, é escrito por você e pode conter dados pessoais de terceiros — por exemplo, o nome de uma pessoa citada em um requisito. Trate-o com esse cuidado: a seção 4 explica para onde esse conteúdo vai.

Credenciais de serviços de terceiros. Quando você conecta sua própria chave de API de provedor de IA, ou um token de acesso a repositório, GitHub, Azure DevOps ou Jira, essa credencial é cifrada antes de ser armazenada. Não é dado pessoal, mas é informação sensível e a tratamos como tal.

Dados de cobrança. O processamento de pagamento é feito pela Stripe. Não recebemos nem armazenamos número de cartão. Guardamos apenas os identificadores do cliente e da assinatura na Stripe e o plano contratado. O histórico de cobrança fica na Stripe, e não mantemos cópia dele.

Contato comercial. Se você preenche o formulário de contato no site, tratamos o nome, o e-mail, a empresa e, se informado, o site que você indicou.

3.Para que tratamos, e com que base legal

Para fornecer o serviço contratado — criar e autenticar sua conta, registrar o aceite destes documentos, manter seu workspace, gerar e sincronizar artefatos, processar cobrança. Base legal: execução de contrato (Art. 7, V).

Para proteger as contas e a plataforma — registro de IP e user-agent nos eventos de segurança e de conta descritos na seção 2, e prevenção de acesso indevido. Base legal: legítimo interesse (Art. 7, IX). Você pode se opor a esse tratamento pelo canal da seção 1, e avaliaremos o pedido caso a caso.

Para enviar convites de workspace — quando um usuário convida alguém, o e-mail da pessoa convidada é tratado para que o convite possa ser entregue. Base legal: legítimo interesse (Art. 7, IX). Se você recebeu um convite e não quer que seus dados permaneçam conosco, use o link de recusa do próprio e-mail do convite: o convite é eliminado na hora. A recusa vale para aquele convite, e não para o seu endereço — um novo convite pode chegar depois. Também é possível pedir a eliminação pelo canal da seção 1.

Para cumprir obrigação legal e fiscal — guarda do histórico de cobrança pelos prazos exigidos em lei, feita pela Stripe. Base legal: cumprimento de obrigação legal (Art. 7, II).

Para responder a contato comercial — retornar o contato que você iniciou pelo formulário. Base legal: legítimo interesse (Art. 7, IX). Comunicação de marketing não solicitada, se houver, depende de consentimento, que você pode revogar a qualquer momento.

4.Com quem compartilhamos

Operamos sobre fornecedores que tratam dados em nosso nome. Não vendemos dados pessoais a ninguém, e não compartilhamos para finalidade diferente das descritas acima.

Supabase — banco de dados, autenticação e armazenamento de arquivos.
Vercel — hospedagem da aplicação web e métricas agregadas de acesso às páginas públicas.
Resend — envio de e-mails transacionais (verificação de conta, recuperação de senha, convites).
Stripe — processamento de pagamento e gestão de assinatura.
Sentry — registro de erros da aplicação para diagnóstico técnico.
Anthropic — provedor do modelo de linguagem do assistente de ajuda usado pela IDE, a única função de IA que roda na conta do Koda First.

O tratamento por esses fornecedores, inclusive fora do Brasil, segue os termos de tratamento de dados (DPA) de cada um, com amparo nas hipóteses de transferência internacional do Art. 33 da LGPD.

Provedores de IA do seu workspace. A geração e a revisão de artefatos usam o provedor e a chave de API que o seu workspace configura: Anthropic, OpenAI, Microsoft (Azure OpenAI) ou Google (Gemini). O conteúdo que você submete é enviado a esse provedor a partir do nosso servidor, mas como a chave e a conta são suas, o tratamento pelo provedor segue o contrato entre você e ele, inclusive quanto ao uso do conteúdo para treinar modelos e ao local de processamento.

GitHub, Azure DevOps e Jira. Só recebem dados quando você conecta o seu próprio repositório ou projeto. São contas suas, conectadas por você: o envio é determinado por você, os artefatos são gravados na conta que você indicou, e o tratamento segue o contrato entre você e esses serviços.

5.Por quanto tempo guardamos

Guardamos cada dado pelo tempo necessário à finalidade que o justifica, e depois eliminamos ou anonimizamos.

Dados de conta e conteúdo — enquanto a conta existir. Excluída a conta, seguimos a seção 7, que explica o que é eliminado, o que é anonimizado e o que permanece em workspaces de outras pessoas.
Registros de segurança e de conta (com IP e user-agent) — 12 meses, após o que são eliminados. A exceção são os registros que comprovam que atendemos a um pedido seu — a exclusão de uma conta e a recusa de um convite: eles não são eliminados pelo prazo, e já são guardados sem IP, sem user-agent e sem dado que identifique a pessoa.
Eventos de integração inicial — 12 meses.
Contato comercial — 12 meses, inclusive de quem se tornou cliente.
Convites de workspace — convites aceitos, revogados ou expirados são eliminados 90 dias depois do envio. Convite ainda pendente cujo prazo de resposta venceu é eliminado 90 dias depois do vencimento, janela em que o workspace ainda pode reenviá-lo. Convite recusado é eliminado no momento da recusa.
Histórico de cobrança — fica com a Stripe, pelos prazos exigidos pela legislação fiscal, ainda que a conta tenha sido excluída. Não mantemos cópia local.

6.Como protegemos

Senhas são armazenadas apenas como hash. As credenciais de terceiros que você cadastra são cifradas antes de persistir. O tráfego é protegido por TLS. Os cookies de sessão não são acessíveis por JavaScript e seguem política de mesmo site. O acesso aos dados é isolado por workspace no próprio banco, de modo que o dado de um cliente não é alcançável por outro.

Nenhuma medida elimina risco por completo. Se ocorrer incidente de segurança com risco relevante aos seus direitos, comunicaremos você e a Autoridade Nacional de Proteção de Dados, conforme o Art. 48 da LGPD.

7.Seus direitos, e como exercer

O Art. 18 da LGPD garante a você, entre outros, o direito de:

confirmar que tratamos dados seus, e acessá-los;
corrigir dado incompleto, inexato ou desatualizado;
pedir anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado fora da lei;
pedir a portabilidade dos seus dados;
saber com quem compartilhamos seus dados;
revogar consentimento, quando o tratamento se basear nele.

Acesso e portabilidade têm autoatendimento. Em Configurações → Privacidade, você baixa, na hora e sem precisar escrever para ninguém, um arquivo com os dados pessoais que tratamos sobre você: identidade, vínculos com workspaces, o registro de ações da sua conta, as notificações que você recebeu, eventos de integração inicial, o uso de ferramentas da plataforma pela sua IDE, o índice do que você criou, recebeu, aprovou ou revisou, e seu plano. O arquivo traz também os contatos enviados pelo formulário do site com o seu e-mail — reconhecidos pelo endereço, sem diferenciar maiúsculas e minúsculas —, só com e-mail e data.

O índice de autoria traz id, título e data, e só de workspaces dos quais você ainda é membro; o arquivo não inclui o conteúdo integral dos documentos do workspace (PRDs, ADRs, estórias). As notificações vão como você as recebeu e podem citar colegas do seu time — por exemplo, quem convidou você ou quem pediu uma aprovação.

Para os demais direitos desta seção, ou se precisar de uma declaração completa, escreva para dpo@kodafirst.online. Respondemos em formato simplificado de imediato e, quando o pedido exigir declaração completa, no prazo de até 15 dias, conforme o Art. 19 da LGPD.

A exclusão da conta também tem autoatendimento. Em Configurações → Privacidade, você exclui a própria conta depois de uma confirmação explícita; a tela oferece antes o download dos seus dados. A exclusão é imediata e não pode ser desfeita. Se preferir, peça pelo canal acima.

A exclusão fica bloqueada enquanto você for dono de um workspace que tenha outros membros, ou o único Admin de um workspace de outra pessoa. Nesses casos, antes de excluir, remova os membros ou transfira a titularidade do workspace, ou promova outro Admin — sem isso, a exclusão apagaria o trabalho de outras pessoas ou deixaria o workspace delas sem administrador.

Ao excluir a conta, eliminamos o seu cadastro, os workspaces de que você é dono com todo o seu conteúdo, arquivos anexados e credenciais cadastradas, os seus tokens de acesso pela IDE, os convites pendentes para o seu e-mail, os contatos do formulário do site com o seu e-mail e o seu e-mail no histórico de alterações de documentos. Anonimizamos os seus registros de segurança e de conta: eles permanecem sem IP, sem user-agent, sem detalhes e sem vínculo com você. O registro da própria exclusão é mantido, sem dado pessoal, para comprovar que o pedido foi atendido.

O conteúdo que você criou em workspaces de outras pessoas pertence a esses workspaces e permanece neles, sem a indicação de autoria. Na Stripe, a assinatura é cancelada e o seu cadastro de cliente é excluído; o histórico de cobrança exigido pela legislação fiscal fica com a Stripe, e nada de natureza fiscal é guardado por nós.

8.Cookies

Usamos cookies estritamente necessários para manter você autenticado — sem eles não é possível entrar na plataforma. Não usamos cookies de publicidade nem de rastreamento entre sites.

Nas páginas públicas (site e blog) coletamos métricas agregadas de acesso sem usar cookies e sem identificar visitante individual. Essas métricas não são ativadas na área logada.

9.Crianças e adolescentes

O Koda First é uma ferramenta profissional, destinada a maiores de 18 anos, e não é dirigida a crianças ou adolescentes. Não coletamos dados dessa natureza de forma intencional. Se identificarmos tratamento desse tipo, eliminaremos o registro.

10.Mudanças nesta política

Quando alterarmos esta política de forma material, publicaremos a nova versão aqui, com data de vigência e número de versão atualizados, e avisaremos você pelos canais da plataforma. O histórico de versões fica disponível por solicitação ao encarregado.

Esta política deve ser lida junto dos Termos de Uso.