O que o Elyra sabe sobre você

Se você aceitar, usamos Google Analytics, carregado pelo Google Tag Manager. Ele serve para sabermos quantas pessoas chegam, por onde chegam e onde param de ler — e é assim que decidimos o que arrumar nesta página. É o que ele vê:

Páginas vistas

quais endereços deste site você abriu, e por quanto tempo

Origem

o link ou a busca que trouxe você — é o que diz se uma divulgação funcionou

Aparelho

navegador, sistema, se é celular ou computador, e o idioma

Local aproximado

cidade e país, deduzidos do IP pelo Google. O IP em si não vai para o relatório

Para isso ele grava cookies no seu navegador — _ga e _ga_*, que duram até dois anos e guardam um número aleatório. Esse número não tem o seu nome nem o seu e-mail, e serve para o Google reconhecer que duas visitas vieram do mesmo navegador.

O e-mail da lista nunca é enviado ao Google. As duas coisas descritas nesta página não se encontram: quem está na lista não fica identificado no relatório de audiência, e o relatório não sabe quem se inscreveu.

Os dados de audiência ficam 14 meses e depois são apagados pelo próprio Google. Nesse tratamento, o Google atua como operador, sob os Termos de Processamento de Dados que aceitamos com ele.

A medição só começa depois que você aceita no aviso de cookies. Antes da resposta, ou se você recusar, nenhum script do Google é carregado. A resposta fica num cookie nosso, elyra-medicao, que dura um ano e guarda só a palavra “aceita” ou “recusada”. Para mudar de ideia a qualquer momento, use Preferências de cookies.

Um bloqueador de rastreadores também impede a medição, e o Google publica um complemento oficial de desativação para o navegador. Nada da medição afeta o funcionamento do site: recusar não quebra nada.

• Nome, telefone, empresa ou cargo
• Cartão de crédito ou qualquer dado de pagamento
• Gravação de tela, mapa de calor ou rastreio do seu mouse
• Pixel de rede social — nenhuma rede fica sabendo por nós que você esteve aqui
• Cruzamento do seu e-mail com o que a medição vê

No envio do formulário, o seu IP passa pela memória do servidor só para limitar tentativas repetidas do mesmo lugar, e não é gravado junto com o seu cadastro. Os cookies deste domínio são só três tipos: os de medição, se você aceitar; o elyra-medicao, que guarda essa resposta; e os de sessão, que nascem quando você entra na sua conta — nunca numa simples visita.

Para a sua licença funcionar em cada computador onde você instala o Elyra, gravamos o seguinte por aparelho:

Identificador do aparelho

um HMAC-SHA256 da sua máquina, não o identificador de hardware em si — o valor bruto nunca sai do computador

Nome do aparelho

o nome que você deu a ele, como "PC do Janderson"

Sistema e versão do app

por exemplo win32-x64 e 0.0.1 — para saber o que dar suporte

Endereço IP

gravado na ativação, para detectar uso fora do padrão

Data do último acesso

quando o aparelho validou a licença pela última vez

Contamos como as funcionalidades do Elyra são usadas, para saber o que priorizar e o que está quebrado. O sistema que faz isso foi desenhado com uma regra rígida: só passa enum fechado (uma lista fixa de valores possíveis) ou número dentro de faixa. Texto livre não existe nesse caminho.

O que acontece

contagens de qual funcionalidade foi usada, de onde você abriu algo, se um passo terminou ou foi pulado

Como cada valor chega

sempre um enum fechado (uma lista fixa de opções) ou um número dentro de uma faixa — nunca um texto livre

O que é proibido por construção

mensagem de erro e stack técnico (error_message, error_stack) são rejeitados pelo validador — o evento inteiro é descartado se algum código tentar mandar isso

A única exceção documentada nesse validador é uma mensagem técnica de até 200 caracteres sobre falha ao instalar um gancho de configuração de outra ferramenta (não é conteúdo seu, é erro de arquivo de configuração). Fora isso, o campo de erro é recusado por construção — não é promessa de política, é o validador rejeitando o evento inteiro se algum código tentar.

Ranking público. O consumo de tokens e o custo estimado de cada mês, por pessoa, por modelo e por agente, aparecem no ranking aberto em elyra.sh/ranking, que qualquer pessoa pode ver sem login. Ali você aparece só pelo primeiro nome — nunca o sobrenome, o e-mail ou outro dado da conta. Fica de fora quem desligou a telemetria ou pediu para sair do ranking em Configurações → Privacidade.

Quando o app trava ou encontra um defeito e você envia um relatório, ele carrega:

Mensagem e stack técnico

o texto do erro e o rastro de onde ele aconteceu no código — limitados a 2 KB e 16 KB

Versão, sistema e tela

app_version, platform e a área do app onde ocorreu (surface: renderer, main, daemon ou updater)

O que você escreveu

se você preencher a caixa “o que aconteceu?”, esse texto vai junto — é o único campo do relatório escrito por você, e é opcional (limite de 2 KB)

Quem é você

vem do token da sua sessão, nunca de um campo que o app preenche — não dá para forjar em nome de outra pessoa

Anexos

as imagens ou vídeos que você escolher anexar ao relatório, até 4 arquivos de 20 MB cada

Antes de sair da sua máquina, o app apaga caminhos que contêm o nome da sua pasta de usuário (como C:\Users\seu-nome ou /Users/seu-nome). O servidor aplica o mesmo filtro de novo, por garantia. Nenhum relatório aceita conteúdo do terminal, conversa, nome de projeto ou variável de ambiente — um campo desses no corpo do pedido derruba o relatório inteiro.

Sobre o que você escreve: a caixa “o que aconteceu?” é opcional e vai exatamente como você digitou — não a preenchemos sozinhos nem a completamos com nada do app. Ela passa pelo mesmo filtro de caminho de pasta acima, mas o resto fica com você: não cole ali uma chave de API nem um trecho de código que não queira compartilhar.

Há dois momentos de envio, e eles são diferentes. Automático: quando uma tela quebra, vão só a mensagem e o stack — nada escrito por você. Manual: quando você aperta “Enviar relatório”, vai também o que você escreveu. Os dois só acontecem com uma licença ativa neste aparelho; sem ela o app mostra os detalhes para você copiar e não manda nada.

Cada vez que você baixa um instalador, registramos:

Quem baixou

a sua conta, pela sessão logada

O quê

qual versão e para qual sistema

Quando

a data e hora do download, e o IP e navegador usados

O Elyra é um ambiente de desenvolvimento: é onde ficam o seu código, as suas chaves e as suas conversas com a IA. Nada disto é lido nem enviado pelo app, em nenhuma das quatro finalidades acima:

• O conteúdo do seu terminal
• As suas conversas com a IA
• O código-fonte dos seus projetos
• O nome dos seus projetos ou o caminho dos seus arquivos
• Qualquer variável de ambiente sua, inclusive chaves de API

A única forma de qualquer uma dessas coisas chegar até nós é você digitá-la na caixa “o que aconteceu?” de um relatório de erro e apertar enviar. O app nunca a preenche por conta própria.

A telemetria de uso vem ligada por padrão, com aviso na primeira vez que você abre o app dizendo o que é coletado e onde desligar. Você pode desligar quando quiser, em Configurações → Privacidade, no alternador de dados de uso anônimos.

Duas coisas desligam a telemetria por fora, e ganham de qualquer configuração sua: a variável de ambiente padrão da indústria DO_NOT_TRACK, e a detecção automática de que o app está rodando dentro de um ambiente de integração contínua (CI). Em nenhum dos dois casos sai um evento sequer, mesmo que o alternador esteja ligado.

Os dados de licença e aparelho (para a licença funcionar) e os relatórios de erro que você decide enviar não têm alternador — são o que faz a ativação e o suporte técnico existirem.

O Elyra Mobile é o aplicativo do Elyra para Android e iOS. Ele é uma casca nativa: abre, numa tela do próprio aparelho, a interface móvel do seu Elyra Cloud — o servidor que é seu, numa VPS ou no seu computador. As conversas com agentes de IA, o terminal e os projetos vêm desse servidor e não passam por servidores da ElyraLabs.

Para entrar, você digita o nome do seu Cloud e o aplicativo mostra um código. Você aprova o aparelho na sua conta Elyra (app.elyra.sh), no navegador, com um segundo fator por código enviado ao seu e-mail. Nenhuma senha é digitada no aplicativo. Depois disso, é isto que ele guarda e usa:

Acesso do aparelho

Fica no armazenamento seguro do sistema — Keychain no iOS, Keystore no Android. É o que mantém o aparelho ligado ao seu Cloud depois da aprovação.

Nome do aparelho

Gravado para aparecer na lista de aparelhos aprovados da sua conta. Você pode mudá-lo.

Microfone

Usado só quando você dita (no Android, a permissão RECORD_AUDIO). O áudio vai para transcrição no seu próprio Cloud.

Câmera e fotos

Usadas só quando você escolhe anexar uma foto. A foto vai como anexo para o seu próprio Cloud.

Notificações

Só locais, geradas no próprio aparelho. Não há token de push nem servidor de push.

Conexão

Só por HTTPS. Conexão sem criptografia fica desativada, com exceção da rede local.

O aplicativo do celular não tem nenhum SDK de telemetria, analytics, anúncios ou relatório de erro.

Sair do Cloud no aplicativo encerra a sessão no servidor e apaga o acesso salvo no aparelho. Desinstalar o aplicativo apaga os dados locais. Como o restante do Elyra, ele é destinado a maiores de 18 anos.

Para pedir a exclusão da sua conta Elyra, entre no painel e use Perfil › Excluir conta, ou, sem entrar, o formulário em Excluir sua conta Elyra.

Para comprar e usar o Elyra você cria uma conta no painel (app.elyra.sh). Ela guarda o seu nome, o seu e-mail e, se você preencher, a sua empresa. A senha é gravada só como hash, nunca o texto que você digitou. Se você entrar com Google ou GitHub, recebemos deles o nome, o e-mail e a foto do perfil, e nenhuma senha. Se entrar com a Apple, recebemos o identificador da sua conta Apple, o e-mail — que pode ser um endereço de retransmissão da Apple, se você escolher ocultar o seu — e o nome, só no primeiro login; nenhuma senha nem foto. Guardamos também o token que a Apple entrega no login, para pedir a ela que revogue o acesso do Elyra quando você excluir a conta.

Cada vez que você entra, gravamos uma sessão com o endereço IP e o navegador usados, e um cookie de sessão mantém você logado. Servem para manter o login e para investigar acesso indevido à sua conta. A sessão acaba quando você sai ou quando expira.

O pagamento é processado pela Stripe (cartão) ou pela Woovi (Pix). O número do cartão é digitado na página da Stripe e nunca passa pelos nossos servidores. No Pix, o CPF que você informa vai até a Woovi; do nosso lado fica só uma impressão cifrada dele (HMAC), para reconhecer compras do mesmo documento, e os quatro últimos dígitos, para você reconhecer o recibo. No Pix Automático a Woovi também recebe o seu endereço, do qual guardamos só o CEP. Para impedir que o teste grátis seja repetido, guardamos apenas hashes com chave secreta no servidor do identificador do cartão fornecido pela Stripe, do e-mail normalizado, do CPF do pagador do Pix, do aparelho verificado na ativação e do IP usado para limitar inícios de teste. A Stripe não nos envia o número do cartão. Também recusamos e-mails descartáveis; a compra normal continua disponível.

Guardamos o histórico das suas cobranças — plano, valor, datas, situação e reembolsos — e a versão dos Termos de Uso que você aceitou ao comprar. Os e-mails da conta, como redefinição de senha e avisos de cobrança, saem por um provedor de envio de e-mail contratado por nós como operador.

Para a lista de espera, a base legal é o seu consentimento (LGPD, art. 7º, I), dado quando você envia o formulário. A finalidade é uma e declarada: avisar você quando o beta abrir, e mandar notícia relevante sobre o produto. Nenhum outro uso.

Para a medição de audiência, a base é o seu consentimento (art. 7º, I), dado no aviso de cookies. Você pode revogá-lo a qualquer momento em Preferências de cookies, e a recusa não muda nada no funcionamento do site.

Para a conta e as compras, a base é a execução do contrato (art. 7º, V). O histórico de cobranças e o registro de qual versão dos Termos você aceitou também se apoiam no cumprimento de obrigação legal (art. 7º, II) e no exercício regular de direitos (art. 7º, VI): é o que nos permite comprovar uma cobrança ou um reembolso.

Para a licença e os aparelhos, a base é a execução do contrato de licenciamento (art. 7º, V): sem esses dados não dá para saber que o seu aparelho tem direito de abrir o app. Para a telemetria de uso e os relatórios de erro, a base é o legítimo interesse em manter e melhorar o produto (art. 7º, IX), com o opt-out descrito acima como forma de oposição.

Em armazenamento privado na Vercel, nosso provedor de infraestrutura, que atua como operador. O seu e-mail é cifrado antes de ser gravado — é por isso que o campo do registro se chama emailEnc e não email. Quem obtivesse o arquivo bruto não leria o endereço sem a nossa chave, que não vive junto com os dados.

Não vendemos, alugamos nem compartilhamos a lista, e não a usamos para alimentar publicidade de ninguém.

A licença, os relatórios de erro e os registros de download ficam no banco Postgres da Supabase e no armazenamento da Vercel, os dois contratados por nós como operadores. Os instaladores em si ficam num bucket privado da Cloudflare (R2), e o link de download é assinado com validade de 60 segundos — repassá-lo não adianta.

Cada relatório de erro também vira uma issue num repositório privado da nossa organização no GitHub, contratado por nós como operador, onde a equipe acompanha o conserto. A issue leva o relatório inteiro — inclusive o seu nome, o seu e-mail, o que você escreveu e os anexos. Leem essa issue as pessoas da equipe do Elyra, que também podem recebê-la por e-mail do GitHub, e os assistentes de IA que a equipe usa para programar. Os anexos vão por um link que funciona por 7 dias para quem o tiver. Se você pedir a exclusão dos seus dados, apagamos também, no GitHub, as issues que os tenham. Relatos enviados pelo nosso bot de WhatsApp seguem o mesmo caminho e levam o texto, a imagem (quando houver), o nome e o número de quem enviou.

A telemetria de uso vai para o PostHog, uma plataforma de análise de produto contratada por nós como terceiro processador. Não enviamos ao PostHog nada das outras três finalidades — licença, erro e download não passam por ele.

Se você entrar na comunidade do Elyra no WhatsApp, o seu nome e o seu número ficam visíveis para os outros participantes, como em qualquer grupo. O WhatsApp é da Meta, e o uso dele segue os termos dela.

Vários desses fornecedores — entre eles Vercel, Supabase, Cloudflare, GitHub, PostHog, Google e Stripe — guardam dados fora do Brasil. Essa transferência internacional se apoia nas garantias contratuais que eles oferecem (LGPD, art. 33).

Se acontecer um incidente de segurança que possa trazer risco ou dano relevante a você, avisamos você e a Autoridade Nacional de Proteção de Dados (ANPD), como manda a LGPD (art. 48).

Lista de espera: até o beta abrir e você ser convidado, ou até você pedir a exclusão — o que vier primeiro. Se o beta for cancelado, apagamos a lista inteira.

Licença e aparelhos: enquanto a sua conta e a sua licença existirem. Revogar ou desativar um aparelho muda o estado dele, mas não apaga o histórico sozinho — a exclusão dos dados de conta é sempre por pedido, como descrito abaixo.

Conta: enquanto ela existir. Sessões: até você sair ou elas expirarem. Histórico de cobranças e registro dos Termos aceitos: pelo prazo que a lei fiscal e de consumo exige, mesmo depois de a conta ser apagada.

Pendência que assumimos aqui: ainda não temos um prazo de retenção definido para relatórios de erro e registros de download, nem exclusão automática por tempo. Enquanto isso não for decidido, o que vale é o parágrafo de exclusão por pedido logo abaixo — não um prazo fixo que ainda não existe.

A LGPD (art. 18) garante que você peça, a qualquer momento, confirmação de que tratamos os seus dados, acesso a eles, correção, portabilidade, revogação do consentimento e exclusão — do site e do aplicativo. Escreva para contato@elyra.sh e respondemos em até 15 dias.

A exclusão é sempre feita por nós, a seu pedido — não existe um botão que apague a conta na hora. Com a conta aberta, peça no painel, em Perfil › Excluir conta (app.elyra.sh/conta/excluir): sem e-mail para responder, concluímos em até 15 dias, avisamos por e-mail quando terminar, e até lá você pode cancelar o pedido. Na exclusão, desativamos os seus aparelhos, revogamos a licença, pedimos à Apple que revogue o acesso do Elyra se você entra com ela, e apagamos o que não precisamos manter por obrigação legal, como o histórico de cobranças.

Para pedir a exclusão da conta sem o aplicativo e sem entrar nela, use o formulário em Excluir sua conta Elyra.

Se não respondermos no prazo, ou se a resposta não resolver, você pode reclamar à ANPD.

A ElyraLabs, responsável pelo Elyra, é a controladora dos dados descritos aqui. Para qualquer assunto desta página, o canal é contato@elyra.sh.

O Elyra é destinado a maiores de 18 anos, e não coletamos de propósito dados de crianças ou adolescentes.

Se o que fazemos com os seus dados mudar, esta página muda junto e a data no topo é atualizada. Mudança que amplie a finalidade do tratamento é avisada por e-mail a quem tem conta ou está na lista, antes de valer.