Política de Privacidade
1. Introdução
Esta Política de Privacidade descreve como o Xi coleta, usa, compartilha e protege informações quando você usa o serviço em xiexperiments.com. Quando esta política diz “nós”, “nos” ou “Xi”, significa o operador do serviço. Para perguntas sobre esta política ou sobre os dados pessoais que mantemos, escreva para xiexperiments.app@gmail.com.
2. O que coletamos
Informações da conta
Quando você se cadastra, nosso provedor de autenticação cria uma conta para você. Recebemos e armazenamos o básico necessário para te identificar no serviço: seu endereço de e-mail, um nome de exibição, uma URL de avatar (se seu provedor de login tiver uma) e os identificadores que ligam sua conta Xi a esse provedor.
Conteúdo do workspace e dos experimentos
Armazenamos os experimentos, hipóteses, limiares de sucesso e de kill, tags, configurações de time-box, definições de métrica, valores de métrica, notas e aprendizados que você registra. Também armazenamos as configurações do workspace e os papéis dos membros em cada workspace.
Você decide o que registrar. Se você optar por trackear métricas de estilo de vida ou relacionadas à saúde (por exemplo, sleep scores, humor, training load), esse conteúdo fica dentro do seu workspace, sob seu controle. Veja Conteúdo sensível abaixo para um contexto importante.
Preferências de notificação e push
Armazenamos suas preferências de notificação (quais alertas você quer, quando os quer, suas horas de não perturbe) e, se você optar por ativar notificações push do navegador, o endpoint de assinatura push que seu navegador emite. O endpoint é um token usado para entregar pushes; ele não é sua identidade.
Integrações conectadas
Se você conectar sua conta do Google Analytics para que o Xi possa puxar uma métrica em seu nome, armazenamos os tokens OAuth necessários para fazer essas requisições (criptografados em repouso) e um registro da configuração que você escolheu. Buscamos apenas os dados de métrica para os quais você nos aponta.
Eventos de product analytics
No site de produção em xiexperiments.com, usamos um provedor de product analytics para entender como o serviço é usado e podermos melhorá-lo. Os eventos que capturamos hoje se limitam a ações de ciclo de vida: quando um experimento é committed, shipped, killed, estendido, revisitado ou deletado; quando um metric log é adicionado; quando um aprendizado é registrado; quando uma conexão do Google Analytics é adicionada ou removida; e quando uma conta ou workspace é deletado. Esses eventos incluem o identificador do usuário ou workspace que executou a ação para podermos agrupá-los por conta.
O product analytics não é carregado fora de produção, então previews e desenvolvimento local não enviam esses eventos.
Site analytics no site de marketing
As páginas de marketing do site usam Google Analytics 4 para registrar dados agregados de visita (páginas, referrers, geografia ampla, tipo de dispositivo). Usamos isso apenas para entender como as pessoas encontram o serviço.
Logs do servidor
Nosso provedor de hospedagem mantém logs padrão do servidor das requisições ao serviço, incluindo endereços IP, agentes de usuário, carimbos de data e hora e caminhos da requisição. Usamos isso para segurança, prevenção de abuso, debugging e operações. Eles são retidos pelos prazos padrão do provedor de hospedagem.
3. Como usamos as informações
Usamos as informações descritas acima para:
- Fornecer o serviço: armazenar seus experimentos, rodar seus contratos até o veredito, mostrar seu arquivo.
- Autenticar você e proteger sua conta.
- Enviar notificações que você pediu (no app, push ou e-mail).
- Operar o conector opcional de Google Analytics a seu pedido.
- Detectar, prevenir e responder a problemas de segurança ou abuso.
- Entender como o serviço é usado e melhorá-lo.
- Cumprir obrigações legais e fazer cumprir nossos Termos.
Não vendemos informações pessoais e não veiculamos publicidade direcionada no serviço.
4. Bases legais
Para usuários no Espaço Econômico Europeu, no Reino Unido e em outras jurisdições com leis semelhantes, as bases legais com base nas quais processamos seus dados pessoais são:
- Execução de contrato, para entregar o serviço que você contratou. O conteúdo que você escolhe registrar em seus experimentos (títulos, hipóteses, valores de métrica, notas, aprendizados) é processado nessa base: você o fornece como input para o serviço e nós o processamos apenas para operar o serviço para você.
- Interesses legítimos, para manter o serviço seguro, detectar abuso e entender e melhorar como ele é usado. Quando nos baseamos nisso, equilibramos nossos interesses com seus direitos.
- Consentimento, para coisas que você opta por ativar, como notificações push e o conector do Google Analytics. Você pode retirar o consentimento a qualquer momento nas suas configurações.
- Obrigação legal, quando temos que processar dados para cumprir a lei aplicável.
Quando o conteúdo que você escolhe registrar inclui dados pessoais sensíveis nos termos do Artigo 9 do GDPR (ou seu equivalente no Reino Unido), por exemplo, informações sobre saúde, estado mental, vida sexual, biometria ou categorias similarmente sensíveis, nós os processamos apenas como dados que você tornou manifestamente públicos para nós como parte do uso do serviço que você solicitou, e somente na medida necessária para entregar esse serviço. Veja Conteúdo sensível para o que isso significa na prática e onde está a responsabilidade.
5. Compartilhamento e suboperadores
Compartilhamos dados pessoais com um pequeno número de provedores de serviço que operam partes da plataforma em nosso nome. Eles estão sujeitos aos próprios termos e compromissos de proteção de dados e processam dados apenas conforme necessário para operar o serviço. Hoje usamos:
- Clerk, autenticação e identidade (cadastro de conta, login, OAuth para o endpoint MCP).
- Neon, banco de dados Postgres gerenciado que armazena o conteúdo do seu workspace e experimentos.
- Vercel, hospedagem, tratamento de requisições e runtime logs.
- PostHog, product analytics, processado nos Estados Unidos. Carregado apenas no hostname de produção.
- Google, Google Analytics 4 para mensuração do site de marketing e a Google Analytics Data API para o conector opcional de métrica quando você o ativa.
- Serviços de push do navegador, os serviços de push da Apple, Google e Mozilla entregam quaisquer notificações push do navegador que você optar por receber.
Podemos adicionar ou trocar suboperadores conforme o produto evolui. Quando fizermos isso, manteremos esta lista atualizada. Também podemos divulgar informações quando exigido por lei, para fazer cumprir nossos Termos ou para proteger os direitos, propriedade ou segurança de usuários ou outros.
6. Agentes de IA e MCP
O Xi expõe um endpoint remoto Model Context Protocol (MCP). Quando você conecta um cliente de IA (por exemplo, Claude) via OAuth, você autoriza esse cliente a ler e escrever dentro do seu workspace, dentro do escopo que concedeu.
Uma vez que seus dados são acessados por um cliente de IA, o Xi não pode controlar como esse cliente os usa. Os dados que o agente lê ou escreve saem do Xi e entram no ambiente do cliente de IA. A partir desse ponto, o que acontece com os dados é regido pelas políticas do cliente de IA e do provedor do modelo por trás dele, não por esta Política de Privacidade.
Provedores de IA de terceiros podem processar seus dados sob seus próprios termos. Isso pode incluir enviá-los para sua própria infraestrutura de modelos, aplicar suas próprias regras de retenção e monitoramento de abuso e, em algumas configurações, usá-los para melhorar seus serviços. Antes de conectar um cliente de IA ao Xi, revise a política de privacidade do provedor e escolha uma configuração com práticas de dados com as quais você se sinta confortável.
Você pode revogar o acesso de um cliente de IA a qualquer momento nas suas configurações ou no seu cliente de IA. Revogar o acesso interrompe novas leituras e escritas via Xi, mas não pode recuperar dados que o cliente já tenha recebido.
7. Transferências internacionais
Nossos suboperadores podem armazenar e processar dados nos Estados Unidos e em outros países. Quando dados pessoais são transferidos do EEE, do Reino Unido ou de outras regiões reguladas para um país sem decisão de adequação, nos baseamos nas salvaguardas implementadas por esses suboperadores (como as EU Standard Contractual Clauses).
8. Retenção
Mantemos os dados de conta e workspace enquanto sua conta estiver ativa. Quando você apaga sua conta nas configurações de perfil, apagamos os dados pessoais que mantemos sobre você, com retenção breve para backups, investigações de segurança e necessidades legais. Apagar um workspace remove os experimentos, logs, aprendizados e outros conteúdos do workspace associados.
Logs do servidor e analytics agregados são mantidos pelos prazos padrão dos provedores que os geram.
9. Seus direitos
Dependendo de onde você mora, você pode ter alguns ou todos os seguintes direitos sobre seus dados pessoais:
- Acesso, pedir uma cópia dos dados pessoais que mantemos sobre você.
- Correção, pedir que corrijamos dados errados ou incompletos.
- Exclusão, pedir que apaguemos seus dados. Você pode fazer isso por conta própria apagando sua conta nas configurações de perfil.
- Portabilidade, pedir uma cópia estruturada dos dados que você forneceu.
- Restrição ou oposição, pedir que limitemos como processamos seus dados, ou se opor ao processamento baseado em interesses legítimos.
- Retirar o consentimento, para processamentos que dependem do seu consentimento.
- Apresentar reclamação, à sua autoridade local de proteção de dados.
Residentes da Califórnia têm direitos semelhantes nos termos do California Consumer Privacy Act (CCPA), incluindo o direito de saber quais informações pessoais coletamos sobre eles e o direito à exclusão. Não vendemos informações pessoais e não as compartilhamos para publicidade comportamental cross-context.
Para exercer qualquer um desses direitos, escreva para xiexperiments.app@gmail.com. Pode ser que precisemos verificar sua identidade antes de responder.
10. Cookies e tecnologias similares
O serviço usa um pequeno número de cookies e tecnologias similares:
- Cookies de sessão definidos pelo nosso provedor de autenticação para te manter logado. Eles são necessários para o serviço.
- Cookies de analytics e local storage definidos pelo Google Analytics no site de marketing e pelo nosso provedor de product analytics no app de produção, para registrar os eventos descritos na seção 2.
Você pode limpar cookies e local storage no seu navegador a qualquer momento. Desativar cookies necessários para o login fará o serviço parar de funcionar.
11. Crianças
O serviço não é direcionado a crianças menores de 16 anos, e não coletamos conscientemente dados pessoais de crianças. Se você acredita que uma criança se cadastrou, entre em contato e apagaremos a conta.
12. Conteúdo sensível e dados de categorias especiais
Xi é uma ferramenta para autoexperimentação honesta. As pessoas costumam registrar métricas de estilo de vida e próximas à saúde: sono, humor, treino, comida. Esse conteúdo permanece dentro do seu workspace, mas Xi não é um dispositivo médico, um prontuário eletrônico, nem um repositório de grau clínico. Não registre informações cuja divulgação possa te prejudicar.
Parte do que você pode escolher registrar pode equivaler a dados pessoais sensíveis nos termos do Artigo 9 do GDPR (ou seu equivalente no Reino Unido), incluindo dados que revelem:
- saúde, incluindo saúde física e mental;
- estados psicológicos ou emocionais (como humor, ansiedade, estresse);
- padrões comportamentais que, no contexto, revelem qualquer um dos acima; ou
- outras categorias especificamente protegidas pela lei aplicável.
Você decide o que registrar. O Xi não pede, não infere e não exige dados sensíveis. Se você inserir tais dados no seu workspace, faz isso por iniciativa própria, e está fornecendo a nós como o input que o serviço precisa para operar.
Nossa base de processamento. Processamos o que você registra apenas para entregar o serviço que você pediu: armazenar seus experimentos, calcular vereditos contra o contrato que você escreveu e te mostrar os dados de volta. Não vendemos dados sensíveis, não os usamos para treinar modelos de terceiros e não os analisamos para nenhum propósito além de operar o serviço para você.
Sua responsabilidade. Quando a lei aplicável exigir uma base legal específica ou salvaguardas adicionais para os dados que você registra, por exemplo, quando registra informações sobre outra pessoa, opera em um contexto regulado, ou o Artigo 9 de outra forma se aplica, você é responsável por garantir que essa base existe (como obter consentimento informado ou atender a outra condição legal) antes de inserir os dados no Xi. As regras de uso aceitável dos nossos Termos também se aplicam.
13. Segurança
Usamos práticas padrão da indústria para proteger dados pessoais: TLS em trânsito, controles de acesso na nossa infraestrutura, criptografia em repouso para tokens OAuth e confiança no nosso provedor de autenticação para o armazenamento de credenciais. Nenhum sistema é perfeitamente seguro, e não podemos garantir segurança absoluta. Se algum dia tomarmos conhecimento de uma violação que afete seus dados, te notificaremos conforme a lei aplicável.
14. Mudanças nesta Política
Podemos atualizar esta Política de Privacidade de tempos em tempos. Quando fizermos uma mudança material, atualizaremos a data de “Última atualização” no topo desta página e, quando apropriado, daremos aviso no produto ou por e-mail.
15. Contato
Dúvidas sobre privacidade no Xi? Escreva para xiexperiments.app@gmail.com.
← Voltar para LegalEsta Política de Privacidade está escrita da forma mais clara que conseguimos. Não é aconselhamento jurídico. Se você precisar de aconselhamento formal sobre como ela se aplica a você, consulte uma advogada ou advogado qualificado na sua jurisdição.