Privacy Policy

1. Who we are

Carbon is a data leak prevention solution for generative AI and messaging tools, developed and operated by CodeSpark Assessoria Ltda, of São Paulo, SP, Brazil ("Carbon", "we").

Data Protection Officer (DPO): Fernando Oliveira, at privacidade@carbon-labs.co.

2. The principle behind the product

We protect without seeing the content. Carbon acts at the point of origin, on the employee's own device (the company computer or phone), using proprietary local detection technology. All that reaches our servers is the record that an event happened: who, when, in which tool, which category of data and which action was applied.

Content analysis (prompts, messages, files, including text inside images, and what terminal AI agents send to the AI on Linux) happens entirely on the employee's device and is discarded right after: Carbon does not store or transmit that content to our servers. The only exception is optional and under the customer's control: the screen evidence, described in section 4. No customer data is sent to artificial intelligence providers or used to train models, ours or anyone else's.

3. Our role

Situation	Carbon's role	The other party's role
Data about the customer's employees generated by using the product	Processor (art. 5, VII, LGPD)	The customer is the controller and defines purposes and rules
Business contact data, dashboard administrators, trial requests, billing	Controller	The data subject is the contact or administrator

When acting as processor, we handle data only according to the customer's documented instructions, under the Data Processing Agreement (CBN-CTR-08, available on request).

4. Data processed as processor

Category	Description	Notes
Employee identification	e-mail or network user name, area or department	The area may come from the optional integration with the customer's corporate directory
Device identification	computer name, agent version, last contact	Needed for coverage and support
Event record	date and time, category of data detected (for example, personal ID, credential), number of occurrences, severity, destination tool or website, browser used, size and type of the text or file, file name, action applied	Does not include the content. File uploads are recorded even when no sensitive data is found
Data origin	the program the text came from and, when possible, the short name of the file, the website address or the source folder	Never the content; the folder is recorded without the computer user's name
Usage count	per day: which AI tools and WhatsApp the employee used, how many messages were sent and their total size, in characters	Off by default. Only exists if the customer enables it. Never the content, no time of each message and no screen time
AI use classification	for each request sent to an AI tool (WhatsApp is not included): date and time, the tool, whether the request looks like work, personal or undetermined, the confidence of that indication and, for work requests, the subject in one of 12 categories (for example, legal, finance, programming)	Off by default. Only exists if the customer turns on AI Use and states the company's industry. The indication is made by an artificial intelligence model that runs on the computer itself: the text of the request does not leave the computer and is not stored, and the model is not trained on customer data. It is a signal, with no automated decision about the employee; the customer's administrator and data protection officer see the figures and, per person, the list of requests with the time, the tool and the indication
Account in the AI tool	from 01/11/2026, on each submission to an AI tool (WhatsApp is not included): whether the account open in the tool belongs to the company, is personal or could not be identified and, for a personal account, the masked e-mail address (for example, `fm****@gmail.com`)	Read on the tool's screen and compared, on the computer itself, with the company's e-mail domains; the full e-mail address never leaves the computer. Sent with the event record and, if the customer enabled AI Use, with the request's classification. Observation only: it does not block, raise alerts or lead to any automated decision about the employee. With pseudonymization on, the e-mail address is not shown
AI agents on the computer	the AI agents configured on the computer: the name of each connection and service, the folders and projects they can access and the name of the credentials they use	Never the value of passwords, keys or tokens; folders are recorded without the computer user's name
Masked reference	unreadable fragment that allows auditing without revealing the data	Never reconstructs the original data
Decision to proceed	when the customer's policy asks for a justification and the employee chooses to proceed, the record shows that they proceeded (who, when, type of data and destination)	No text is typed or sent. Only exists if the customer enables this rule
Signals for review	indications calculated from the records above, such as a possible attempt to get around the protection or a volume of records outside the person's own usual pattern	Calculated by rules, without artificial intelligence; shown to the customer's DPO and administrator roles; meant for human review and never an automated decision about the employee
Screen evidence (optional)	image of the screen at the moment the employee confirms a justified submission	Off by default. If the customer enables it: the employee is notified beforehand; Carbon tries to cover the sensitive excerpt in the image, which is not always possible; the image is encrypted, visible only to the customer's DPO and administrator roles (never to the Carbon team) and kept for the period the customer defines, at least 6 months

On the phone (Android)

If the customer installs the Carbon app on phones owned and managed by the company, Carbon works through the phone's keyboard:

Category	Description	Notes
What the keyboard checks	what is typed or pasted in any app on the phone, so that a piece of sensitive data cannot be completed: the key or the paste that would complete it does not go through, and a clipboard holding sensitive data is emptied	The text lives only in the phone's memory, for as long as it takes to decide: it is never stored or sent. The keyboard does not learn words or keep the emojis used. In banking apps, it neither checks nor records anything
Event record on the phone	date and time, the app (by name), whether the data was typed or pasted, the category of data, the severity and the masked reference; in the browser, the website, only when it is an AI or messaging site	Never the content
Phone identification	the manufacturer, the model, a short device code, the app version, whether the Carbon keyboard and the website reading are on and, when the SIM card provides it, the masked phone number (for example, `11 9***39375`), which identifies the person in the dashboard	The full number is never stored and never leaves the phone
Website reading in the browser	to know which website is open in the browser, the app uses a VPN that stays inside the phone itself and only sees address lookups (DNS); browsing does not go through it	Only AI and messaging websites are kept, in the phone's memory and for 10 minutes; other sites are never noted

On Linux computers

If the customer installs the Carbon agent on Linux computers, it only observes: it does not block or show any window.

Category	Description	Notes
Computer identification	the computer name, the Linux distribution, the agent version and the people logged in	Needed for coverage and support
Programs that talk to AI	per day: the person, the program name, whether it was started in the terminal or is the browser, the AI website and tool, the number of connections and how many bytes went out and came in	Read only at the start of each connection, never the content, which is encrypted; for the program, only its name, never the command line. Websites that are not AI are never noted; when the browser hides the website's name, the row says "unidentified website"
Terminal AI agents	the sessions of agents such as Claude Code and Codex: the project (without the person's folder name), the start, the end and the number of messages; and, when what was sent to the AI contained sensitive data, the event record with the masked reference	What the person typed and what the agent read or ran and sent to the AI are checked on the computer itself, from the history the agent keeps there; the AI's answer is never read, and the text never leaves the computer
AI installed on the computer	the AI tools that run on the computer itself (for example, Ollama): the name, the version, the downloaded models and the size of each, whether they are running and whether other computers on the network can use them	Never what was asked of them
Secrets within the agents' reach	credential files (such as `.env`, SSH keys and cloud credentials) in the person's folder and in the agents' projects: the path (without the person's folder name), the type, the names of the variables and whether an AI agent read the file	Never the value

The customer can enable pseudonymization in the dashboard, which replaces personal identifiers with non-reversible codes in screens and reports.

5. Data processed as controller

Dashboard administrators and users: name, e-mail, access role, protected credentials and access logs (date and time, IP address and the result of each sign-in attempt).
Business contacts and trial requests: name, e-mail, company, phone and message voluntarily submitted.
Billing data: company name, tax ID, billing contact.
Website visitors: this site uses no cookies and no audience analytics. The language you choose is stored only in your browser. Fonts are loaded from Google Fonts, which receives the visitor's IP address in order to serve them.

6. Purposes and legal bases

Purpose	Legal basis (art. 7, LGPD)
Providing the contracted service to the customer (as processor)	Defined by the customer as controller, typically legitimate interest or compliance with a security obligation
Authenticating administrators and protecting accounts	Performance of contract; legitimate interest (security)
Logging access to the application	Compliance with a legal obligation (art. 15 of Brazil's Internet Civil Framework)
Answering trial requests and contacts	Pre-contractual steps at the data subject's request
Billing and tax obligations	Compliance with a legal obligation

We do not sell, rent or share personal data for advertising. We do not use customer data to train or improve AI models, ours or anyone else's.

7. Where data is stored

Storage: an internationally certified cloud provider, in a data center located in São Paulo, Brazil.
Alternative: dedicated instance or installation in the customer's own environment, under contract.
International transfers: storage is in Brazil. Ancillary services listed in Annex I of CBN-CTR-08 (such as sending transactional e-mails) may process data outside the country, with the safeguards of art. 33 of the LGPD and ANPD Resolution No. 19/2024.

8. Who we share data with

Only with sub-processors required to provide the service (the public list is on our Security page; Annex I of the Data Processing Agreement, CBN-CTR-08, formalizes it in the contract), and with authorities when there is a legal obligation or court order. Integrations enabled by the customer (corporate directory, security monitoring systems, alert channels) send data to the customer's own systems, under the customer's responsibility.

9. Retention

Event records, the usage count, the AI use classification and, on Linux, the programs that talk to AI and the terminal agent sessions for the period the customer chooses in the dashboard (30 days to 5 years) or, if none is chosen, for the contract term; the installed AI and the secrets within reach show only the current state of each Linux computer; screen evidence for the period defined by the customer, at least 6 months; regular backups; at the end of the contract, data is available for export for 30 days and deleted afterwards.

10. Security

We apply technical and organizational measures that include encryption in transit and at rest, segregation by customer, role-based access control, two-factor authentication and an audit trail.

11. Integrity of records

Event records and evidence are sealed daily with a digital signature and a timestamp issued by an independent certification authority. Any later change is detectable, which gives the records evidentiary value. Customers can verify integrity in the dashboard. The sealing process does not send personal data to third parties.

12. Data subject rights

Data subjects may request confirmation of processing, access, correction, anonymization, blocking or deletion, portability, information about sharing and review of decisions (art. 18, LGPD).

Data processed as processor (an employee of a customer): we forward the request to the customer, as controller, within 2 business days and support the response.
Data processed as controller: we respond within 15 days, at privacidade@carbon-labs.co.

13. Incidents

As processor, we notify the customer within 48 hours of confirming a security incident involving personal data, so that the customer can meet its obligations under ANPD Resolution No. 15/2024.

14. Updates

This policy is reviewed at least once a year or whenever there is a relevant change in the product, sub-processors or law. Material changes are communicated to customers 30 days in advance.

1. Quiénes somos

Carbon es una solución de prevención de fuga de datos en el uso de herramientas de inteligencia artificial generativa y de mensajería, desarrollada y operada por CodeSpark Assessoria Ltda, de São Paulo, SP, Brasil ("Carbon", "nosotros").

Delegado de Protección de Datos (DPO): Fernando Oliveira, en privacidade@carbon-labs.co.

2. El principio que guía el producto

Protegemos sin ver el contenido. Carbon actúa en el punto de origen, en el propio dispositivo del colaborador (la computadora o el celular de la empresa), con tecnología propietaria de detección local. Lo único que llega a nuestros servidores es el registro de que ocurrió un evento: quién, cuándo, en qué herramienta, qué categoría de dato y qué acción se aplicó.

El análisis del contenido (prompts, mensajes, archivos, incluido el texto dentro de imágenes, y lo que los agentes de IA de la terminal envían a la IA en Linux) ocurre por completo en el dispositivo del colaborador y se descarta enseguida: Carbon no almacena ni transmite ese contenido a nuestros servidores. La única excepción es opcional y está bajo control del cliente: la evidencia de pantalla, descrita en la sección 4. Ningún dato de clientes se envía a proveedores de inteligencia artificial ni se usa para entrenar modelos, propios ni de terceros.

3. Nuestro rol

Situación	Rol de Carbon	Rol de la otra parte
Datos de los colaboradores del cliente generados por el uso del producto	Encargado (art. 5, VII, LGPD)	El cliente es el responsable y define finalidades y reglas
Datos de contacto comercial, administradores del panel, solicitudes de evaluación, facturación	Responsable	El titular es el propio contacto o administrador

Cuando actuamos como encargado, tratamos los datos solo conforme a las instrucciones documentadas del cliente, en los términos del Acuerdo de Tratamiento de Datos (CBN-CTR-08, disponible a pedido).

4. Datos tratados como encargado

Categoría	Descripción	Observación
Identificación del colaborador	correo electrónico o usuario de red, área o departamento	El área puede provenir de la integración opcional con el directorio corporativo del cliente
Identificación del dispositivo	nombre de la computadora, versión del agente, último contacto	Necesario para cobertura y soporte
Registro del evento	fecha y hora, categoría del dato detectado (por ejemplo, documento personal, credencial), cantidad de ocurrencias, gravedad, herramienta o sitio de destino, navegador utilizado, tamaño y tipo del texto o del archivo, nombre del archivo, acción aplicada	No incluye el contenido. El envío de archivos se registra aunque no se encuentre ningún dato sensible
Origen del dato	el programa del que vino el texto y, cuando es posible, el nombre corto del archivo, la dirección del sitio o la carpeta de origen	Nunca el contenido; la carpeta se registra sin el nombre del usuario de la computadora
Conteo de uso	por día: qué herramientas de IA y WhatsApp usó el colaborador, cuántos mensajes envió y su tamaño total, en caracteres	Desactivado por defecto. Solo existe si el cliente lo activa. Nunca el contenido, sin la hora de cada mensaje y sin tiempo de pantalla
Clasificación del uso de IA	para cada pedido enviado a una herramienta de IA (WhatsApp no se incluye): fecha y hora, la herramienta, si el pedido parece de trabajo, personal o indefinido, la confianza de esa indicación y, en los pedidos de trabajo, el tema en una de 12 categorías (por ejemplo, jurídico, finanzas, programación)	Desactivada por defecto. Solo existe si el cliente activa el Uso de IA e informa el sector de la empresa. La indicación la hace un modelo de inteligencia artificial que se ejecuta en la propia computadora: el texto del pedido no sale de la computadora ni se guarda, y el modelo no se entrena con datos de clientes. Es una señal, sin decisión automática sobre el colaborador; el administrador y el encargado de protección de datos del cliente ven las cifras y, por persona, la lista de pedidos con la hora, la herramienta y la indicación
Cuenta en la herramienta de IA	desde el 01/11/2026, en cada envío a una herramienta de IA (WhatsApp no se incluye): si la cuenta abierta en la herramienta es de la empresa, personal o no identificada y, en la cuenta personal, el correo enmascarado (por ejemplo, `fm****@gmail.com`)	Se lee en la pantalla de la herramienta y se compara, en la propia computadora, con los dominios de correo de la empresa; el correo completo no sale de la computadora. Va junto con el registro del evento y, si el cliente activó el Uso de IA, con la clasificación del pedido. Es solo observación: no bloquea, no genera alertas ni decisiones automáticas sobre el colaborador. Con la seudonimización, el correo no se muestra
Agentes de IA en la computadora	los agentes de IA configurados en la computadora: el nombre de cada conexión y servicio, las carpetas y proyectos a los que tienen acceso y el nombre de las credenciales que usan	Nunca el valor de contraseñas, claves o tokens; las carpetas se registran sin el nombre del usuario de la computadora
Referencia enmascarada	fragmento ilegible que permite auditar sin revelar el dato	Nunca reconstruye el dato original
Decisión de continuar	cuando la política del cliente pide una justificación y el colaborador elige continuar, queda registrado que continuó (quién, cuándo, tipo de dato y destino)	No se escribe ni se envía ningún texto. Solo existe si el cliente activa esta regla
Señales para análisis	indicaciones calculadas a partir de los registros anteriores, como un posible intento de eludir la protección o un volumen de registros fuera del patrón habitual de la propia persona	Calculadas por reglas, sin inteligencia artificial; se muestran a los perfiles DPO y administrador del cliente; sirven para análisis humano y no generan decisiones automáticas sobre el colaborador
Evidencia de pantalla (opcional)	imagen de la pantalla en el momento en que el colaborador confirma un envío justificado	Desactivada por defecto. Si el cliente la activa: el colaborador es avisado antes; Carbon intenta cubrir en la imagen el fragmento sensible, lo que no siempre es posible; la imagen se cifra, solo es visible para los perfiles DPO y administrador del cliente (nunca para el equipo de Carbon) y se conserva durante el plazo que defina el cliente, de al menos 6 meses

En el celular (Android)

Si el cliente instala la app de Carbon en los celulares de la empresa, administrados por ella, Carbon funciona a través del teclado del celular:

Categoría	Descripción	Observación
Lo que revisa el teclado	lo que se escribe o se pega en cualquier app del celular, para que un dato sensible no llegue a completarse: la tecla o el pegado que lo completaría no entra, y el portapapeles con un dato sensible se vacía	El texto vive solo en la memoria del celular, el tiempo necesario para decidir: nunca se guarda ni se envía. El teclado no aprende palabras ni guarda los emojis usados. En las apps de bancos, no revisa ni registra nada
Registro del evento en el celular	fecha y hora, la app (por su nombre), si el dato se escribió o se pegó, la categoría del dato, la gravedad y la referencia enmascarada; en el navegador, el sitio, solo cuando es de IA o de mensajería	Nunca el contenido
Identificación del celular	el fabricante, el modelo, un código corto del aparato, la versión de la app, si el teclado de Carbon y la lectura del sitio están activos y, cuando la tarjeta SIM lo informa, el número del celular enmascarado (por ejemplo, `11 9***39375`), que identifica a la persona en el panel	El número completo no se guarda ni sale del celular
Lectura del sitio en el navegador	para saber qué sitio está abierto en el navegador, la app usa una VPN que queda dentro del propio celular y solo ve las consultas de dirección (DNS); la navegación no pasa por ella	Solo se guarda el sitio de IA o de mensajería, en la memoria del celular y por 10 minutos; los demás nunca se anotan

En computadoras Linux

Si el cliente instala el agente de Carbon en computadoras Linux, este solo observa: no bloquea ni muestra ventanas.

Categoría	Descripción	Observación
Identificación de la computadora	el nombre de la computadora, la distribución de Linux, la versión del agente y las personas con sesión iniciada	Necesario para cobertura y soporte
Programas que hablan con IA	por día: la persona, el nombre del programa, si se abrió en la terminal o es el navegador, el sitio y la herramienta de IA, el número de conexiones y cuántos bytes salieron y entraron	Se lee solo al inicio de cada conexión, nunca el contenido, que va cifrado; del programa, solo el nombre, nunca la línea de comandos. Los sitios que no son de IA nunca se anotan; cuando el navegador oculta el nombre del sitio, la fila dice "sitio no identificado"
Agentes de IA de la terminal	las sesiones de agentes como Claude Code y Codex: el proyecto (sin el nombre de la carpeta de la persona), el inicio, el fin y el número de mensajes; y, cuando lo que se envió a la IA tenía un dato sensible, el registro del evento con la referencia enmascarada	Lo que la persona escribió y lo que el agente leyó o ejecutó y envió a la IA se revisan en la propia computadora, a partir del historial que el agente guarda en ella; la respuesta de la IA nunca se lee, y el texto no sale de la computadora
IA instalada en la computadora	las herramientas de IA que corren en la propia computadora (por ejemplo, Ollama): el nombre, la versión, los modelos descargados y el tamaño de cada uno, si están corriendo y si otras computadoras de la red pueden usarlas	Nunca lo que se les preguntó
Secretos al alcance de los agentes	archivos de credenciales (como `.env`, claves SSH y credenciales de nube) en la carpeta de la persona y en los proyectos de los agentes: la ruta (sin el nombre de la carpeta de la persona), el tipo, los nombres de las variables y si un agente de IA leyó el archivo	Nunca el valor

El cliente puede activar en el panel la seudonimización, que sustituye en las pantallas e informes los identificadores personales por códigos no reversibles.

5. Datos tratados como responsable

Administradores y usuarios del panel: nombre, correo electrónico, perfil de acceso, credenciales protegidas y registros de acceso (fecha y hora, dirección IP y resultado de cada intento de inicio de sesión).
Contactos comerciales y solicitudes de evaluación: nombre, correo electrónico, empresa, teléfono y mensaje enviados voluntariamente.
Datos de facturación: razón social, identificación fiscal, contacto financiero.
Visitantes del sitio: este sitio no usa cookies ni herramientas de análisis de audiencia. El idioma elegido se guarda solo en su navegador. Las fuentes tipográficas se cargan desde Google Fonts, que recibe la dirección IP del visitante para entregarlas.

6. Finalidades y bases legales

Finalidad	Base legal (art. 7, LGPD)
Prestar el servicio contratado al cliente (como encargado)	Definida por el cliente como responsable, típicamente interés legítimo o cumplimiento de una obligación de seguridad
Autenticar administradores y proteger cuentas	Ejecución de contrato; interés legítimo (seguridad)
Registrar accesos a la aplicación	Cumplimiento de una obligación legal (art. 15 del Marco Civil de Internet de Brasil)
Responder solicitudes de evaluación y contactos	Procedimientos precontractuales a pedido del titular
Facturación y obligaciones fiscales	Cumplimiento de una obligación legal

No vendemos, alquilamos ni compartimos datos personales con fines publicitarios. No usamos datos de clientes para entrenar o mejorar modelos de IA, propios ni de terceros.

7. Dónde se almacenan los datos

Almacenamiento: proveedor de nube con certificaciones internacionales, en un centro de datos ubicado en São Paulo, Brasil.
Alternativa: instancia dedicada o instalación en el entorno del propio cliente, bajo contrato.
Transferencias internacionales: el almacenamiento es en Brasil. Servicios auxiliares listados en el Anexo I del CBN-CTR-08 (como el envío de correos transaccionales) pueden procesar datos fuera del país, con las garantías del art. 33 de la LGPD y de la Resolución CD/ANPD n.º 19/2024.

8. Con quién compartimos

Solo con subencargados necesarios para prestar el servicio (la lista pública está en nuestra página de Seguridad; el Anexo I del Acuerdo de Tratamiento de Datos, CBN-CTR-08, la formaliza en el contrato), y con autoridades cuando exista obligación legal u orden judicial. Las integraciones activadas por el propio cliente (directorio corporativo, sistemas de monitoreo de seguridad, canales de alerta) envían datos a sistemas del propio cliente, bajo su responsabilidad.

9. Conservación

Registros de eventos, el conteo de uso, la clasificación del uso de IA y, en Linux, los programas que hablan con IA y las sesiones de los agentes de la terminal durante el plazo que el cliente elija en el panel (de 30 días a 5 años) o, si no elige ninguno, por el plazo del contrato; la IA instalada y los secretos al alcance muestran solo el estado actual de cada computadora Linux; evidencias de pantalla durante el plazo que defina el cliente, de al menos 6 meses; copias de seguridad regulares; al final del contrato, los datos quedan disponibles para exportación durante 30 días y luego se eliminan.

10. Seguridad

Aplicamos medidas técnicas y organizativas que incluyen cifrado en tránsito y en reposo, segregación por cliente, control de acceso por perfil, autenticación de dos factores y registro de auditoría.

11. Integridad de los registros

Los registros de eventos y las evidencias se sellan diariamente con firma digital y sello de tiempo emitido por una autoridad certificadora independiente. Cualquier alteración posterior es detectable, lo que otorga a los registros valor probatorio. El cliente puede verificar la integridad en el panel. El proceso de sellado no envía datos personales a terceros.

12. Derechos del titular

El titular puede solicitar confirmación del tratamiento, acceso, corrección, anonimización, bloqueo o eliminación, portabilidad, información sobre la compartición y revisión de decisiones (art. 18, LGPD).

Datos tratados como encargado (colaborador de un cliente): remitimos la solicitud al cliente, como responsable, en un plazo de 2 días hábiles y apoyamos la respuesta.
Datos tratados como responsable: respondemos en un plazo de 15 días, en privacidade@carbon-labs.co.

13. Incidentes

Como encargado, notificamos al cliente en un plazo de 48 horas desde la confirmación de un incidente de seguridad que involucre datos personales, para que pueda cumplir sus obligaciones según la Resolución CD/ANPD n.º 15/2024.

14. Actualizaciones

Esta política se revisa al menos una vez al año o cuando haya un cambio relevante en el producto, los subencargados o la legislación. Los cambios materiales se comunican a los clientes con 30 días de anticipación.

1. Quem somos

O Carbon é uma solução de proteção contra vazamento de dados no uso de ferramentas de inteligência artificial generativa e de mensageria, desenvolvida e operada por CodeSpark Assessoria Ltda, de São Paulo (SP) ("Carbon", "nós").

Encarregado pelo tratamento de dados pessoais (DPO): Fernando Oliveira, pelo e-mail privacidade@carbon-labs.co.

2. O princípio que orienta o produto

Protegemos sem ver o conteúdo. O Carbon atua no ponto de origem, no próprio aparelho do colaborador (o computador ou o celular da empresa), com tecnologia proprietária de detecção local. O que chega aos nossos servidores é apenas o registro de que um evento aconteceu: quem, quando, em qual ferramenta, qual categoria de dado e qual ação foi aplicada.

A análise do conteúdo (prompts, mensagens, arquivos, inclusive o texto dentro de imagens, e o que os agentes de IA do terminal mandam à IA no Linux) acontece inteira no aparelho do colaborador e é descartada em seguida: o Carbon não armazena nem transmite esse conteúdo aos nossos servidores. A única exceção é opcional e fica sob controle do cliente: a evidência de tela, descrita na seção 4. Nenhum dado de cliente é enviado a provedores de inteligência artificial nem usado para treinar modelos, nossos ou de terceiros.

3. Em que papel atuamos

Situação	Papel do Carbon	Papel da outra parte
Dados dos colaboradores do cliente gerados pelo uso do produto	Operador (art. 5º, VII, LGPD)	O cliente é o controlador e define finalidades e regras
Dados de contato comercial, administradores do painel, pedidos de avaliação, faturamento	Controlador	Titular é o próprio contato ou administrador

Quando atuamos como operador, tratamos os dados somente conforme as instruções documentadas do cliente, nos termos do Acordo de Tratamento de Dados (CBN-CTR-08).

4. Dados tratados como operador

Categoria	Descrição	Observação
Identificação do colaborador	e-mail ou usuário de rede, área ou departamento	A área pode vir da integração opcional com o diretório corporativo do cliente
Identificação do dispositivo	nome do computador, versão do agente, último contato	Necessário para cobertura e suporte
Registro do evento	data e hora, categoria do dado detectado (por exemplo, documento pessoal, credencial), quantidade de ocorrências, gravidade, ferramenta ou site de destino, navegador utilizado, tamanho e tipo do texto ou do arquivo, nome do arquivo, ação aplicada	Não inclui o conteúdo. O envio de arquivo é registrado mesmo quando nenhum dado sensível é encontrado
Origem do dado	o programa de onde o texto veio e, quando possível, o nome curto do arquivo, o endereço do site ou a pasta de origem	Nunca o conteúdo; a pasta é registrada sem o nome do usuário do computador
Contagem de uso	por dia: quais ferramentas de IA e o WhatsApp o colaborador usou, quantas mensagens enviou e o tamanho total delas, em caracteres	Desligada por padrão. Só existe se o cliente ativar. Nunca o conteúdo, sem a hora de cada mensagem e sem tempo de tela
Classificação do uso de IA	para cada pedido enviado a uma ferramenta de IA (o WhatsApp não entra): data e hora, a ferramenta, se o pedido parece de trabalho, pessoal ou indefinido, a confiança dessa indicação e, nos pedidos de trabalho, o assunto em uma de 12 categorias (por exemplo, jurídico, financeiro, programação)	Desligada por padrão. Só existe se o cliente ativar o Uso de IA e informar o ramo da empresa. A indicação é feita por um modelo de inteligência artificial que roda no próprio computador: o texto do pedido não sai do computador nem é guardado, e o modelo não é treinado com dados de clientes. É um sinal, sem decisão automática sobre o colaborador; o administrador e o encarregado de dados do cliente veem os números e, por pessoa, a lista de pedidos com a hora, a ferramenta e a indicação
Conta na ferramenta de IA	a partir de 01/11/2026, em cada envio a uma ferramenta de IA (o WhatsApp não entra): se a conta aberta na ferramenta é da empresa, pessoal ou não identificada e, na conta pessoal, o e-mail mascarado (por exemplo, `fm****@gmail.com`)	Lida na tela da ferramenta e comparada, no próprio computador, com os domínios de e-mail da empresa; o e-mail inteiro não sai do computador. Vai junto com o registro do evento e, se o cliente ativou o Uso de IA, com a classificação do pedido. É só observação: não bloqueia, não gera alerta nem decisão automática sobre o colaborador. Com a pseudonimização, o e-mail não aparece
Agentes de IA no computador	os agentes de IA configurados no computador: o nome de cada conexão e do serviço, as pastas e projetos a que têm acesso e o nome das credenciais que usam	Nunca o valor de senhas, chaves ou tokens; as pastas são registradas sem o nome do usuário do computador
Referência mascarada	fragmento ilegível que permite auditar sem revelar o dado	Nunca reconstitui o dado original
Decisão de continuar	quando a política do cliente pede justificativa e o colaborador escolhe continuar, fica registrado que ele continuou (quem, quando, tipo de dado e destino)	Nenhum texto é digitado nem enviado. Só existe se o cliente ativar essa regra
Sinais para análise	indicações calculadas a partir dos registros acima, como uma possível tentativa de contornar a proteção ou um volume de registros fora do habitual da própria pessoa	Calculados por regras, sem inteligência artificial; mostrados aos perfis DPO e administrador do cliente; servem para análise humana e não geram decisão automática sobre o colaborador
Evidência de tela (opcional)	imagem da tela no momento em que o colaborador confirma um envio justificado	Desligada por padrão. Se o cliente ativar: o colaborador é avisado antes; o Carbon procura cobrir na imagem o trecho sensível, o que nem sempre é possível; a imagem é cifrada, visível apenas aos perfis DPO e administrador do cliente (nunca à equipe Carbon) e guardada pelo prazo definido pelo cliente, de no mínimo 6 meses

No celular (Android)

Se o cliente instalar o app do Carbon nos celulares da empresa, gerenciados por ela, o Carbon funciona pelo teclado do celular:

Categoria	Descrição	Observação
O que o teclado confere	o que é digitado ou colado em qualquer app do celular, para não deixar um dado sensível se completar: a tecla ou a colagem que o completaria não entra, e a área de transferência com um dado sensível é esvaziada	O texto vive só na memória do celular, pelo tempo de decidir: nunca é gravado nem enviado. O teclado não aprende palavras nem guarda os emojis usados. Nos apps de banco, ele não confere nem registra
Registro do evento no celular	data e hora, o app (pelo nome), se o dado foi digitado ou colado, a categoria do dado, a gravidade e a referência mascarada; no navegador, o site, só quando é de IA ou de mensagem	Nunca o conteúdo
Identificação do celular	o fabricante, o modelo, um código curto do aparelho, a versão do app, se o teclado do Carbon e a leitura do site estão ligados e, quando o chip informa, o número do celular mascarado (por exemplo, `11 9***39375`), que identifica a pessoa no painel	O número inteiro não é guardado nem sai do celular
Leitura do site no navegador	para saber o site aberto no navegador, o app usa uma VPN que fica dentro do próprio celular e só vê os pedidos de endereço (DNS); a navegação não passa por ela	Só o site de IA ou de mensagem é guardado, na memória do celular e por 10 minutos; os outros nunca são anotados

Em computadores Linux

Se o cliente instalar o agente do Carbon em computadores Linux, ele só observa: não bloqueia nem mostra janelas.

Categoria	Descrição	Observação
Identificação do computador	o nome do computador, a distribuição do Linux, a versão do agente e as pessoas logadas	Necessário para cobertura e suporte
Programas que falam com IA	por dia: a pessoa, o nome do programa, se ele foi aberto no terminal ou é o navegador, o site e a ferramenta de IA, o número de conexões e quantos bytes saíram e entraram	Lido só no começo de cada conexão, nunca o conteúdo, que vai cifrado; do programa, só o nome, nunca a linha de comando. Site que não é de IA nunca é anotado; quando o navegador esconde o nome do site, a linha diz "site não identificado"
Agentes de IA do terminal	as sessões de agentes como o Claude Code e o Codex: o projeto (sem o nome da pasta da pessoa), o início, o fim e o número de mensagens; e, quando o que foi à IA tinha um dado sensível, o registro do evento com a referência mascarada	O que a pessoa digitou e o que o agente leu ou rodou e mandou à IA são conferidos no próprio computador, pelo histórico que o agente guarda nele; a resposta da IA nunca é lida, e o texto não sai do computador
IA instalada no computador	as ferramentas de IA que rodam no próprio computador (por exemplo, o Ollama): o nome, a versão, os modelos baixados e o tamanho de cada um, se estão rodando e se outros computadores da rede podem usá-las	Nunca o que foi perguntado a elas
Segredos ao alcance dos agentes	arquivos de credenciais (como `.env`, chaves SSH e credenciais de nuvem) na pasta da pessoa e nos projetos dos agentes: o caminho (sem o nome da pasta da pessoa), o tipo, os nomes das variáveis e se um agente de IA leu o arquivo	Nunca o valor

O cliente pode ativar no painel a pseudonimização, que substitui nas telas e relatórios os identificadores pessoais por códigos não reversíveis.

5. Dados tratados como controlador

Administradores e usuários do painel: nome, e-mail, perfil de acesso, credenciais protegidas e registros de acesso (data e hora, endereço IP e resultado de cada tentativa de login).
Contatos comerciais e pedidos de avaliação: nome, e-mail, empresa, telefone e mensagem enviados voluntariamente.
Dados de faturamento: razão social, CNPJ, contato financeiro.
Visitantes do site: este site não usa cookies nem ferramentas de análise de audiência. A língua escolhida fica guardada só no seu navegador. As fontes tipográficas são carregadas do Google Fonts, que recebe o endereço IP do visitante para entregá-las.

6. Finalidades e bases legais

Finalidade	Base legal (art. 7º, LGPD)
Prestar o serviço contratado ao cliente (como operador)	Definida pelo cliente controlador, tipicamente legítimo interesse ou cumprimento de obrigação de segurança
Autenticar administradores e proteger contas	Execução de contrato; legítimo interesse (segurança)
Registrar acessos à aplicação	Cumprimento de obrigação legal (art. 15 do Marco Civil da Internet)
Responder pedidos de avaliação e contatos	Procedimentos preliminares a contrato, a pedido do titular
Faturamento e obrigações fiscais	Cumprimento de obrigação legal

Não vendemos, alugamos ou compartilhamos dados pessoais para publicidade. Não usamos dados de clientes para treinar ou aperfeiçoar modelos de IA, nossos ou de terceiros.

7. Onde os dados ficam

Armazenamento: provedor de nuvem de padrão internacional, em data center localizado em São Paulo, Brasil.
Alternativa: instância dedicada ou instalação no ambiente do próprio cliente, sob contrato.
Transferência internacional: o armazenamento é no Brasil. Serviços auxiliares listados no Anexo I do CBN-CTR-08 (como o envio de e-mails transacionais) podem processar dados fora do país, com as garantias do art. 33 da LGPD e da Resolução CD/ANPD nº 19/2024.

8. Com quem compartilhamos

Apenas com suboperadores necessários à prestação do serviço (a lista pública está na nossa página de Segurança; o Anexo I do Acordo de Tratamento de Dados, CBN-CTR-08, a formaliza em contrato), e com autoridades quando houver obrigação legal ou ordem judicial. Integrações ativadas pelo próprio cliente (diretório corporativo, sistemas de monitoramento de segurança, canais de alerta) enviam dados a sistemas do cliente, sob sua responsabilidade.

9. Retenção

Os prazos estão na Política de Retenção e Descarte (CBN-POL-05) e no contrato de cada cliente. Resumo: registros de eventos, a contagem de uso, a classificação do uso de IA e, no Linux, os programas que falam com IA e as sessões dos agentes do terminal pelo prazo que o cliente escolher no painel (de 30 dias a 5 anos) ou, sem prazo escolhido, pelo prazo do contrato; a IA instalada e os segredos ao alcance mostram só o estado atual de cada computador Linux; evidências de tela pelo prazo definido pelo cliente, de no mínimo 6 meses; cópias de segurança regulares; ao fim do contrato, exportação disponível por 30 dias e eliminação em seguida.

10. Segurança

Adotamos as medidas técnicas e administrativas descritas na Política de Segurança da Informação (CBN-POL-02) e nos Princípios de Privacidade (CBN-TEC-09), entre elas criptografia em trânsito e em repouso, segregação por cliente, controle de acesso por perfil, autenticação em dois fatores e trilha de auditoria.

11. Integridade dos registros

Registros de eventos e evidências são selados diariamente com assinatura digital e carimbo do tempo emitido por autoridade certificadora independente. Qualquer alteração posterior é detectável, o que dá aos registros valor probatório. A verificação de integridade fica disponível ao cliente no painel. O processo de selagem não envia dados pessoais a terceiros.

12. Direitos do titular

O titular pode solicitar confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação, portabilidade, informação sobre compartilhamentos e revisão de decisões (art. 18, LGPD).

Dados tratados como operador (colaborador de um cliente): encaminhamos o pedido ao cliente controlador em até 2 dias úteis e o apoiamos na resposta.
Dados tratados como controlador: respondemos em até 15 dias, pelo e-mail privacidade@carbon-labs.co.

13. Incidentes

Incidentes de segurança com dados pessoais seguem o Procedimento CBN-PRO-07. Como operador, comunicamos o cliente controlador em até 48 horas após a confirmação do incidente, para que ele cumpra a Resolução CD/ANPD nº 15/2024.

14. Atualizações

Esta política é revista ao menos uma vez por ano ou quando houver mudança relevante no produto, nos suboperadores ou na legislação. Mudanças materiais são comunicadas aos clientes com 30 dias de antecedência.