Política de Privacidade — Brasil

1. Controlador e contato

Controlador: Winnow Communication, número de IVA (VAT) 05004790266, Itália. A STOORY é a plataforma editorial digital operada pela Winnow Communication.

Canal para assuntos de privacidade, inclusive pedidos de titulares e comunicações da ANPD: info@winnowcommunication.com. Esse endereço é o canal de atendimento do encarregado pelo tratamento de dados pessoais (art. 41 da LGPD).

Atendimento geral: página /contatti e WhatsApp +39 351 668 0459.

2. Dados pessoais que tratamos

Conforme os recursos que você utiliza, podemos tratar:

• dados de conta e identificação: nome, e-mail, nome de autor ou pseudônimo escolhido, telefone (opcional), país e idioma;
• dados de autenticação e segurança: identificadores de conta, códigos de uso único (OTP), sessões, dispositivos autorizados, endereço IP, user agent e registros de acesso e segurança;
• dados de compras e pagamentos: produto, valor, moeda (BRL), data, status do pagamento, identificadores da transação e da sessão de pagamento e histórico de compras. A STOORY não recebe nem armazena dados completos de cartão nem dados bancários usados no Pix;
• conteúdos que você fornece: ideias, títulos, sinopses, personagens, rascunhos, manuscritos, documentos enviados (Word, PDF, texto) e imagens de referência;
• dados da biblioteca e leitura: obras disponíveis, progresso de leitura e dispositivos autorizados;
• dados de autor (Creator): perfil, declaração de idade, vendas, royalties e identificadores do Stripe Connect, quando aplicável;
• dados de atendimento: conteúdo das mensagens e anexos enviados ao suporte;
• dados técnicos e de navegação: IP, navegador, sistema, páginas visitadas, data e hora e informações de diagnóstico;
• dados de cookies e tecnologias semelhantes, conforme a Política de cookies.

Não solicitamos dados pessoais sensíveis (art. 5º, II, da LGPD). Evite incluí-los, ou dados desnecessários de terceiros, nos textos e arquivos que você envia.

3. Finalidades e bases legais

Tratamos dados pessoais para as finalidades abaixo, com as respectivas bases legais da LGPD (art. 7º) e do GDPR (art. 6º):

• criar e gerenciar sua conta, autenticar o acesso e prestar os serviços solicitados (Creator, Ebook ilustrado, Editing, Análise editorial, Tradução, biblioteca e leitor): execução de contrato ou de procedimentos preliminares (LGPD art. 7º, V; GDPR art. 6(1)(b));
• processar pagamentos, inclusive via Pix e cartão, e entregar o que foi comprado: execução de contrato (LGPD art. 7º, V; GDPR art. 6(1)(b));
• cumprir obrigações fiscais, contábeis e legais e atender autoridades competentes: cumprimento de obrigação legal ou regulatória (LGPD art. 7º, II; GDPR art. 6(1)(c));
• segurança da informação, prevenção de fraudes e abusos e proteção dos nossos sistemas: legítimo interesse (LGPD art. 7º, IX; GDPR art. 6(1)(f)) e, quando cabível, exercício regular de direitos (LGPD art. 7º, VI);
• estatísticas agregadas e melhoria técnica do serviço: legítimo interesse, com medidas de minimização;
• cookies não necessários, pixels de marketing e comunicações promocionais (newsletter): consentimento (LGPD art. 7º, I; GDPR art. 6(1)(a)), que pode ser revogado a qualquer momento sem afetar o tratamento anterior.

O consentimento para marketing é sempre separado e opcional: não é condição para usar ou comprar os serviços.

4. Conta e autenticação

Você pode se cadastrar por e-mail (com código ou link de confirmação) ou com sua conta Google. No login com Google recebemos apenas os dados básicos de perfil autorizados por você (nome, e-mail e foto). Senhas, quando usadas, nunca são armazenadas em texto claro.

5. Pagamentos, Stripe e Pix

Os pagamentos são processados pela Stripe por meio do Stripe Checkout, em reais (BRL). Os meios exibidos (por exemplo, Pix ou cartão) são definidos pela Stripe conforme a disponibilidade.

No Pix, o pagamento é concluído no aplicativo do seu banco. Seus dados bancários e de cartão são tratados pela Stripe e pelas instituições envolvidas, e não pela STOORY. A STOORY recebe apenas a confirmação e o status do pagamento, o valor, a moeda e os identificadores da transação.

A Stripe atua como agente de tratamento ou como controladora independente, conforme a atividade (por exemplo, prevenção de fraudes e obrigações regulatórias próprias), e segue a sua própria política de privacidade.

O pedido só é liberado depois que a Stripe confirma o pagamento. Um Pix pendente ou expirado não gera entrega.

6. Inteligência artificial

A STOORY usa serviços de inteligência artificial para prestar os serviços solicitados: desenvolvimento narrativo, geração e revisão de texto, análise e editing de manuscritos, tradução, geração de capas e imagens e controle de qualidade.

Para isso, os textos, instruções e arquivos que você envia são transmitidos aos fornecedores de IA listados na seção 8, apenas na medida necessária para executar o serviço.

Esses processos não tomam decisões unicamente automatizadas que afetem seus interesses jurídicos, como decisões de crédito ou de perfil (art. 20 da LGPD; art. 22 do GDPR). Os sistemas antifraude da Stripe são regidos pelos avisos da própria Stripe. Se você considerar que uma decisão automatizada afetou seus interesses, pode pedir uma revisão pelo canal da seção 1.

7. Cookies, métricas e marketing

Usamos cookies estritamente necessários para navegação, login, compras e para lembrar sua escolha sobre cookies.

Os cookies e pixels de marketing (Meta, TikTok e medição de conversões da OpenAI Ads) só são ativados depois do seu consentimento no banner. Você pode alterar a escolha a qualquer momento em “Rever as escolhas sobre cookies”, no rodapé.

Também medimos estatísticas agregadas de uso sem cookies e sem identificadores pessoais. Os detalhes estão na Política de cookies (/pt-br/cookie).

8. Fornecedores e compartilhamento

Compartilhamos dados apenas na medida necessária com fornecedores que nos ajudam a operar a STOORY:

• infraestrutura em nuvem, banco de dados, autenticação e armazenamento de arquivos (Lovable Cloud, baseado em Supabase);
• hospedagem, entrega do site e segurança (Cloudflare);
• pagamentos (Stripe, incluindo Stripe Connect para pagamentos a autores);
• envio de e-mails transacionais (Resend) e, somente com consentimento, campanhas de e-mail (Brevo);
• inteligência artificial e geração de mídia (OpenAI, Google Gemini, xAI e Runway), conforme o serviço;
• login social (Google), quando você escolhe essa opção;
• publicidade e medição (Meta, TikTok, OpenAI Ads), somente com consentimento;
• atendimento via WhatsApp, quando você nos contata por esse canal;
• consultores fiscais, contábeis e jurídicos, além de autoridades públicas quando exigido por lei.

Não vendemos dados pessoais. Conforme o caso, esses terceiros atuam como operadores (processadores) ou como controladores independentes.

9. Transferência internacional de dados

O controlador está na Itália (União Europeia). Por isso, os dados de usuários no Brasil são transferidos para a UE, e alguns fornecedores podem tratá-los em outros países, incluindo os Estados Unidos.

Essas transferências se baseiam nos mecanismos do art. 33 da LGPD e da regulamentação da ANPD (como cláusulas contratuais e garantias oferecidas pelos fornecedores, ou o reconhecimento de nível adequado de proteção, quando houver) e, para o GDPR, nos instrumentos do Capítulo V (decisões de adequação ou cláusulas contratuais-padrão). Você pode solicitar informações sobre as garantias aplicadas pelo canal da seção 1.

10. Por quanto tempo guardamos os dados

Guardamos os dados apenas pelo tempo necessário às finalidades (arts. 15 e 16 da LGPD). Em linhas gerais:

• conta: enquanto ela estiver ativa e, depois, pelo tempo necessário ao exercício regular de direitos;
• pedidos, pagamentos e dados fiscais e contábeis: pelo prazo exigido pela legislação aplicável (na Itália, até 10 anos);
• conteúdos enviados e gerados: enquanto forem necessários ao serviço, à sua biblioteca ou aos direitos de publicação;
• rascunhos e prévias não concluídos: por períodos curtos e depois apagados automaticamente;
• atendimento: normalmente até 24 meses;
• registros de segurança: pelo tempo necessário à segurança e à prevenção de abusos;
• cookies: pelos prazos indicados na Política de cookies.

11. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados contra acessos não autorizados, perda, alteração ou divulgação (art. 46 da LGPD): conexões criptografadas, controle de acesso por perfil, armazenamento privado de arquivos e credenciais mantidas apenas no servidor. Em caso de incidente de segurança que possa gerar risco ou dano relevante, comunicaremos os titulares e as autoridades competentes, inclusive a ANPD, nos termos da lei.

12. Seus direitos como titular (art. 18 da LGPD)

Você pode solicitar, a qualquer momento:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• portabilidade dos dados a outro fornecedor;
• eliminação dos dados tratados com base no consentimento, salvo as hipóteses legais de conservação;
• informação sobre as entidades com as quais compartilhamos seus dados;
• informação sobre a possibilidade de não dar consentimento e suas consequências;
• revogação do consentimento;
• oposição a tratamento realizado em desconformidade com a lei;
• revisão de decisões tomadas unicamente com base em tratamento automatizado.

Para exercer seus direitos, escreva para info@winnowcommunication.com a partir do e-mail cadastrado. Podemos pedir informações para confirmar sua identidade. Responderemos nos prazos legais. Para excluir a conta, você também pode usar a página /data-deletion.

Você também pode apresentar petição à Autoridade Nacional de Proteção de Dados (ANPD) e, em relação ao GDPR, reclamação ao Garante per la protezione dei dati personali (Itália).

13. Crianças e adolescentes

Os serviços pagos, a criação de conta e os recursos de publicação e de Creator destinam-se a maiores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes. Se tomarmos conhecimento de dados enviados sem a autorização exigida pelo art. 14 da LGPD, eles serão eliminados.

14. Alterações

Esta Política pode ser atualizada por mudanças na plataforma, nos fornecedores ou na legislação. A versão vigente fica sempre publicada nesta página, com a data da última atualização.

15. Documentos relacionados

Termos de Uso (/pt-br/termos) · Política de cookies (/pt-br/cookie) · Transparência sobre IA (/trasparenza-ai) · Exclusão de conta (/data-deletion).