Em vigor desde 27 de outubro de 2026
Política de Privacidade
Esta política explica como a Trama trata dados pessoais na Plataforma e nos serviços dos planos, conforme a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), o Marco Civil da Internet e, para pessoas na União Europeia e no Reino Unido, o Regulamento Geral de Proteção de Dados (GDPR).
1. Quem é o controlador
A controladora dos dados é Trama Studio LLC, sociedade dos Estados Unidos com endereço em 1007 N Orange St., Wilmington, DE 19801, USA ("Trama"). Como trata dados de pessoas no Brasil e lhes oferece o serviço, a Trama cumpre a LGPD (art. 3º).
O encarregado pelo tratamento de dados pessoais (DPO) da Trama atende pelo canal lgpd@trama.moda.
Esta política vale para o site da Trama, o estúdio, os Apps, o editor de Nodes, os plugins, a API e o servidor MCP, e para o onboarding e o trabalho do Forward Deployed Creative. Os termos usados aqui têm o sentido dos Termos de Uso.
As fotos de clientes no provador dos Apps para lojas Shopify e VTEX seguem a política própria dos Apps: Privacidade dos Apps.
2. Quando a Trama é controladora e quando é operadora
A Trama é controladora dos dados que trata para oferecer e cobrar o serviço: contas, cobrança, segurança, comunicação e suporte.
A Trama é operadora (processadora, no GDPR) dos dados pessoais contidos no conteúdo que o Cliente envia, como pessoas que aparecem em referências e fotos de produto ou dados vindos de lojas conectadas. Nesse caso o Cliente é o controlador, escolhe a base legal e responde aos titulares, e a Trama trata esses dados só para prestar o serviço (seção 12).
Nos Digital Twins, a Trama trata a imagem de modelos reais com base na autorização de uso de imagem e no consentimento que elas dão por meio das agências parceiras.
3. Que dados tratamos
- Conta: nome, e-mail, senha (guardada só como hash), estúdio, papel no estúdio, convites e pedidos de entrada.
- Aceite dos documentos: a versão dos Termos de Uso e desta política aceita no cadastro, a data e a hora e um resumo criptográfico da rede.
- Uso e segurança: cookie de sessão, endereço IP, data e hora de acesso, navegador e registros de auditoria das ações no estúdio (quem fez o quê e quando). No cadastro, um cookie de dispositivo e resumos criptográficos (HMAC) do dispositivo e da rede, que servem para limitar contas repetidas; a Vercel BotID avalia sinais do navegador no envio do cadastro para barrar robôs.
- Cobrança: plano, faturas, país, moeda e identificadores da Stripe. Os dados do cartão são tratados pela Stripe; a Trama não os recebe nem os guarda.
- Conteúdo: fotos de produto, referências, logotipos, briefings, prompts, fluxos, peças geradas, avaliações e comentários.
- Integrações que o Cliente conecta: tokens de acesso cifrados e os arquivos escolhidos no Google Drive, produtos das lojas Shopify e VTEX e tokens de clientes MCP.
- Atendimento e serviços do plano: mensagens de suporte, agendamento de sessões (nome e e-mail), anotações do Forward Deployed Creative, mensagens em canais compartilhados e, com consentimento, gravações de sessões.
- Digital Twins: imagens, características físicas e dados contratuais das modelos licenciadas.
- Preferência de região: um cookie com a região escolhida e o país informado pela rede de entrega, para mostrar o idioma e a moeda certos.
Para conferir se a pessoa de uma peça gerada é a mesma da referência, os verificadores comparam as duas imagens com IA. A comparação é feita só entre a peça e as referências da modelo escolhida e não serve para identificar pessoas desconhecidas.
4. Para que usamos os dados e com que base legal
| Finalidade | Dados | Base legal (LGPD / GDPR) |
|---|---|---|
| Criar e manter a conta e o estúdio e prestar o serviço contratado | Conta, conteúdo, integrações | Execução de contrato (art. 7º, V / art. 6(1)(b)) |
| Cobrar, emitir documentos fiscais e cumprir obrigações contábeis | Cobrança, conta | Obrigação legal e execução de contrato (art. 7º, II e V / art. 6(1)(b) e (c)) |
| Guardar os registros de acesso exigidos pelo Marco Civil da Internet | IP, data e hora | Obrigação legal (art. 7º, II, e Lei 12.965/2014, art. 15 / art. 6(1)(f)) |
| Prevenir fraude, abuso e ataques; manter a segurança e a auditoria | Uso e segurança | Legítimo interesse (art. 7º, IX / art. 6(1)(f)) |
| Onboarding, Forward Deployed Creative e suporte | Conta, atendimento, conteúdo | Execução de contrato (art. 7º, V / art. 6(1)(b)); gravações, com consentimento (art. 7º, I / art. 6(1)(a)) |
| Melhorar a Plataforma com métricas de uso e comentários | Uso, avaliações | Legítimo interesse (art. 7º, IX / art. 6(1)(f)) |
| Enviar novidades da Trama | Nome, e-mail | Legítimo interesse, com descadastro em cada mensagem, ou consentimento quando a lei exigir (art. 7º, IX ou I / art. 6(1)(f) ou (a)) |
| Gerar peças com Digital Twins | Digital Twins | Consentimento da modelo (art. 7º, I, e art. 11, I / art. 6(1)(a) e art. 9(2)(a)) e contrato com a agência |
| Defender direitos em processos | Os necessários ao caso | Exercício regular de direitos (art. 7º, VI / art. 6(1)(f)) |
Quando a base legal é o legítimo interesse, usamos só os dados necessários e você pode se opor ao tratamento (seção 8).
5. Com quem compartilhamos
A Trama não vende dados pessoais nem os compartilha para publicidade comportamental. Compartilha só o necessário com:
- hospedagem e infraestrutura: Vercel (site, estúdio e BotID) e Railway (processamento, banco de dados e armazenamento de arquivos);
- pagamentos: Stripe;
- e-mail transacional: Resend;
- provedores de IA que geram, editam, melhoram e verificam imagens e vídeos, conforme o node usado: hoje fal.ai, Pika, Zen Creator, OpenAI, Microsoft Azure, xAI, Venice, Higgsfield, OpenRouter, TypeSafe e Anthropic;
- integrações que o Cliente ativa: Google (Drive), Shopify e VTEX;
- agendamento e videochamadas das sessões: Cal.com e a ferramenta de videochamada indicada no convite;
- autoridades, quando a lei ou uma ordem judicial exigir, e um eventual sucessor em operação societária, com as mesmas garantias desta política.
Os provedores recebem os dados só para prestar o serviço à Trama, sob contrato. A cada provedor de IA, a Trama envia apenas o que a geração precisa: as imagens e o texto do pedido.
6. Transferência internacional
A Trama e vários dos seus provedores guardam e processam dados fora do Brasil e da União Europeia, sobretudo nos Estados Unidos. Essas transferências usam os mecanismos previstos em lei: as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), as cláusulas contratuais-padrão da Comissão Europeia e do Reino Unido ou o EU-U.S. Data Privacy Framework, quando o provedor é certificado.
7. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Conta e estúdio | Enquanto a conta existir; apagados em até 30 dias após o pedido de exclusão |
| Conteúdo e peças | Enquanto o estúdio existir; estúdios sem plano e sem acesso por 12 meses podem ser apagados, com aviso 30 dias antes |
| Registros de acesso (IP, data e hora) | 6 meses, como exige o Marco Civil da Internet, ou mais se uma autoridade pedir |
| Cobrança e documentos fiscais | 5 anos, como exige a legislação tributária |
| Resumos de dispositivo e rede do cadastro | Enquanto forem necessários para prevenir abuso do cadastro |
| Registros de auditoria do estúdio | Enquanto o estúdio existir |
| Registro de aceite dos Termos e desta política | Enquanto a conta existir |
| Gravações de sessões | 90 dias |
| Fotos de clientes no provador dos Apps | 24 horas |
Cópias de segurança são apagadas no ciclo regular de rotação. Podemos manter dados anonimizados para estatística.
8. Os seus direitos
Pela LGPD (art. 18), você pode pedir:
- confirmação de que tratamos os seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
- portabilidade a outro fornecedor;
- eliminação dos dados tratados com o seu consentimento;
- informação sobre com quem compartilhamos os seus dados e sobre a possibilidade de não consentir;
- revogação do consentimento e oposição a tratamento irregular;
- revisão de decisões tomadas só com base em tratamento automatizado (art. 20).
Na União Europeia e no Reino Unido, o GDPR garante direitos equivalentes: acesso, retificação, apagamento, limitação, portabilidade, oposição (inclusive ao marketing direto) e retirada do consentimento a qualquer momento.
Residentes de estados dos EUA com leis de privacidade, como a Califórnia, podem saber que dados tratamos, pedir acesso, correção e exclusão e não sofrer discriminação por exercer esses direitos. A Trama não vende nem compartilha dados pessoais para publicidade comportamental.
Para exercer um direito, escreva para o encarregado. Podemos pedir informações para confirmar a sua identidade. Respondemos em até 15 dias (e em até um mês para pedidos sob o GDPR); quando a Trama é operadora, encaminhamos o pedido ao Cliente controlador. E-mail: lgpd@trama.moda.
Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), à autoridade de proteção de dados do seu país na União Europeia ou, no Reino Unido, ao ICO.
9. Decisões automatizadas
Alguns tratamentos são automáticos: o cadastro pode ser recusado por sinais de robô, e-mail descartável ou repetição de dispositivo ou rede, e os verificadores podem recusar uma geração que viole as regras de uso ou não confira com as referências. Você pode pedir que uma pessoa revise essas decisões, pelo e-mail do encarregado (LGPD art. 20; GDPR art. 22).
11. Segurança e incidentes
A Trama protege os dados com conexões cifradas (TLS), senhas guardadas como hash, credenciais de integrações cifradas, isolamento entre estúdios no banco de dados, links de arquivos com validade curta, controle de acesso por papel e registros de auditoria.
Se um incidente de segurança puder causar risco ou dano relevante aos titulares, a Trama comunica a ANPD e os titulares afetados em até 3 dias úteis, como pede a Resolução CD/ANPD nº 15/2024, e, quando aplicável, a autoridade europeia em até 72 horas. Quando a Trama é operadora, avisa o Cliente controlador sem demora.
12. Quando a Trama é operadora
Quando trata dados pessoais contidos no conteúdo do Cliente, a Trama:
- trata os dados só para prestar o serviço, conforme as instruções do Cliente dadas pela Plataforma, pelos Termos de Uso e pela Proposta;
- exige sigilo das pessoas autorizadas a acessá-los;
- usa suboperadores só para as finalidades da seção 5, sob contrato com obrigações equivalentes, e avisa os Clientes de mudanças relevantes nessa lista, com a possibilidade de objeção;
- ajuda o Cliente a responder aos titulares e a cumprir as suas obrigações de segurança e de comunicação de incidentes;
- apaga ou devolve os dados ao fim do serviço, salvo obrigação legal de guarda;
- fornece as informações necessárias para demonstrar o cumprimento destas obrigações.
O Cliente garante ter base legal para os dados que envia, inclusive o consentimento das pessoas retratadas e, no caso de crianças e adolescentes, dos pais ou responsáveis (LGPD art. 14).
13. Inteligência artificial e o seu conteúdo
A Trama não usa o conteúdo dos Clientes nem as peças geradas para treinar modelos oferecidos a outros clientes. Templates treinados com as referências de uma marca ficam no estúdio dela.
Para gerar uma peça, a Trama envia ao provedor de IA do node escolhido as imagens e o texto do pedido; os provedores tratam esses dados por conta da Trama, sob contrato.
14. Crianças e adolescentes
A Plataforma não é destinada a menores de 18 anos, e a Trama não coleta, de forma consciente, dados de crianças ou adolescentes como usuários. Peças de moda infantil usam modelos sintéticas; quem enviar fotos de crianças reais deve ter o consentimento específico de um dos pais ou do responsável legal.
15. Alterações desta política
Podemos atualizar esta política. Mudanças relevantes são avisadas por e-mail e na Plataforma antes de valer, e a data no topo desta página indica a versão em vigor.
16. Contato
Dúvidas ou pedidos sobre os seus dados pessoais: lgpd@trama.moda.
