Política de Privacidade

Como a HYPERPULSE GROUP LTD, a empresa que opera a Spilix, coleta, usa, compartilha e protege seus dados pessoais.

1. Quem somos e escopo

A Spilix (spilix.co) é operada pela HYPERPULSE GROUP LTD, uma sociedade privada de responsabilidade limitada constituída na Inglaterra e no País de Gales (número de registro 17573941) ("Spilix", "nós"). Somos o controlador de dados responsável pelos dados pessoais descritos nesta Política.

Esta Política se aplica ao site, ao painel e aos serviços relacionados da Spilix, e deve ser lida em conjunto com nossos Termos de Serviço e nossa Política de Cookies. Se você se cadastra em nome de um selo ou empresa, ela também cobre os dados pessoais que você nos fornece sobre seus artistas e colaboradores — você é responsável por ter o direito de compartilhar esses dados conosco.

2. Informações que coletamos

Informações que você nos dá:

• Conta: e-mail, nome, nome de usuário, senha (armazenada apenas como um hash bcrypt), país, idioma preferido e sua confirmação de que você tem pelo menos 18 anos.

• Segurança de login: se você ativá-las, chaves públicas de passkey (WebAuthn) e o segredo usado para gerar códigos de autenticação multifator. Os dados biométricos nunca saem do seu dispositivo e nunca são enviados à Spilix.

• Perfil de artista e selo: nome artístico, bio, avatar, links sociais, e identificadores como Spotify ID, Apple Music ID e IPI/CAE.

• Conteúdo: gravações master, arte de capa, metadados, letras, divisões entre compositores e detalhes de colaboradores.

• Cobrança: o tipo de método de pagamento e seu histórico de transações. Os dados do cartão são inseridos diretamente no checkout do Parceiro de Pagamento (Link da Stripe, ou Dodo Payments) e tokenizados lá — a Spilix nunca recebe nem armazena números completos de cartão.

• Dados de pagamento: nome do beneficiário, endereço, número da conta bancária ou IBAN, SWIFT/BIC, e os outros dados bancários necessários para pagar seus royalties.

• Registros de contrato: quando você aceita nossos Termos, registramos seu nome, e-mail, endereço IP, dispositivo, a hora e a versão aceita, e geramos um Registro do Contrato em PDF que a Spilix assina digitalmente (possivelmente após o momento da aceitação).

• Dados fiscais: número de identificação fiscal e comprovação de residência fiscal, apenas quando a lei ou uma DSP exigir (Termos, Seção 22).

• Suporte: as mensagens que você nos envia e quaisquer dados de contato que você inclua.

Informações coletadas automaticamente:

• Dados de uso e dispositivo: endereço IP e o país aproximado derivado dele, navegador e sistema operacional, páginas visitadas, ações no painel e carimbos de data/hora de acesso.

• Dados analíticos pelo Google Analytics, e dados de cliques e conversões de anúncios pelo Google Ads e pela Meta, apenas se você escolher "Aceitar tudo" no aviso de cookies (veja a Seção 9), exceto que cada compra paga é reportada à Meta independentemente da sua escolha (veja a Seção 3).

Informações de terceiros: status de entrega, streaming e pagamento das DSPs e de nossos provedores de pagamento e de repasse; dados públicos de catálogo (por exemplo, estatísticas de artistas e faixas) de provedores de dados musicais.

3. Como usamos as informações e bases legais

Processamos seus dados pessoais para os fins abaixo. Quando o GDPR ou uma lei semelhante se aplica, a base legal é indicada entre colchetes.

• Prestar o serviço — criar sua conta, distribuir seus lançamentos, mostrar análises, e coletar e pagar seus royalties [execução de um contrato].

• Processar pagamentos e repasses por meio de nossos provedores, e manter os registros financeiros que a lei exige [contrato; obrigação legal].

• Manter registros dos contratos que você aceita e assiná-los digitalmente [contrato; obrigação legal].

• Enviar e-mails transacionais — status de lançamento, extratos de pagamento, alertas de segurança e respostas de suporte [contrato].

• Enviar e-mails de marketing sobre produtos, recursos e ofertas da Spilix para usuários que registraram uma conta e aceitaram os Termos (Seção 2); cada um desses e-mails inclui um link de cancelamento, e você pode desativá-los nas configurações da sua conta [consentimento; interesse legítimo em clientes existentes].

• Manter o serviço seguro — gerenciamento de sessões, prevenção de fraude, detecção de abuso e a verificação de disponibilidade geográfica baseada no seu endereço IP descrita na Seção 16 dos Termos [interesses legítimos; obrigação legal].

• Entender como o site é usado e melhorá-lo, usando o Google Analytics apenas se você aceitar cookies de análise [consentimento].

• Medir quais dos nossos anúncios do Google Ads e da Meta levam a cadastros e compras, e mostrar anúncios da Spilix a quem visitou nosso site, usando o Google Ads e a Meta apenas se você aceitar cookies de publicidade — fora o relatório de compra à Meta descrito a seguir [consentimento].

• Reportar cada compra paga à Meta, independentemente da sua escolha de cookies, para medirmos quais dos nossos anúncios da Meta levam a compras e para que a Meta possa otimizar a entrega dos anúncios da Spilix: nosso servidor envia o produto e o valor, seu endereço de e-mail e número de conta em forma de hash, e o endereço IP e os detalhes do navegador da requisição de checkout — nenhum cookie é definido ou lido para isso; você pode se opor a qualquer momento enviando um e-mail para privacy@spilix.co (Seção 8) [interesses legítimos].

• Verificar direitos autorais e prevenir fraude de conteúdo, gerando uma impressão digital de áudio das gravações que você envia e comparando-a com o banco de dados de reconhecimento musical da ACRCloud para detectar correspondências com gravações de terceiros [contrato; interesses legítimos].

• Cumprir obrigações fiscais, contábeis, antilavagem de dinheiro e outras obrigações legais, e responder a solicitações legítimas de autoridades [obrigação legal].

Não tomamos decisões automatizadas que produzam efeitos jurídicos ou similarmente significativos sobre você. A verificação de disponibilidade geográfica é automatizada, mas apenas determina se a Spilix é oferecida no seu país.

4. Com quem compartilhamos informações

Compartilhamos dados pessoais apenas com as partes abaixo, e apenas os dados de que cada uma precisa:

• Provedores de serviços digitais (Spotify, Apple Music, YouTube, Zing MP3, JOOX, Boomplay, e as demais lojas que você selecionar): metadados do lançamento, áudio, arte de capa e os dados de artista exigidos para a distribuição.

• Organizações de direitos de execução e mecânicos (BMI, ASCAP, GEMA, VCPMC, e outras): informações da obra e divisões entre compositores, se você assinar o Admin de Publishing.

• Stripe e Link (processador de pagamentos e Comerciante Registrado): dados de checkout, assinatura, endereço de cobrança e impostos. Os dados do cartão vão diretamente à Stripe e nunca são vistos pela Spilix. O Link pode entrar em contato com você sobre sua compra e permite gerenciá-la em link.com; uma solicitação de exclusão feita ao Link também cancela as assinaturas compradas por meio dele.

• Dodo Payments (processador de pagamentos e Comerciante Registrado para compras feitas pelo checkout dela): dados de checkout e assinatura. Os dados do cartão vão diretamente à Dodo e nunca são vistos pela Spilix.

• Airwallex (provedor de pagamentos): nome do beneficiário, endereço e dados bancários, para que seus pagamentos de royalties possam ser enviados.

• Amazon Web Services: banco de dados (Aurora PostgreSQL), armazenamento de arquivos (S3), entrega de conteúdo (CloudFront), e-mail transacional (SES), e a chave que aplica nossa assinatura digital aos registros de contrato (KMS, que recebe apenas uma impressão digital do documento, nunca seu conteúdo).

• ACRCloud (reconhecimento de áudio): o arquivo de áudio ou a impressão digital de áudio das gravações que você envia, com metadados básicos do lançamento (título, nome do artista), para verificar direitos autorais antes da distribuição. A ACRCloud não recebe seus dados de conta, contato ou pagamento.

• Google: Google Analytics e Google Ads, apenas se você escolher "Aceitar tudo" no aviso de cookies. Veja a Política de Cookies.

• Meta: Meta Pixel e Meta Conversions API. O Pixel, os cookies de publicidade e os eventos de cadastro e início de checkout são usados apenas se você escolher "Aceitar tudo" no aviso de cookies, e incluem seu endereço de e-mail em forma de hash, o endereço IP e os detalhes do navegador. Para cada compra paga, independentemente da sua escolha de cookies, nosso servidor envia à Meta o produto e o valor, seu endereço de e-mail e número de conta em forma de hash, e o endereço IP e os detalhes do navegador da requisição de checkout (veja a Seção 3). Veja a Política de Cookies.

• Provedores de dados musicais (Soundcharts): consultamos identificadores públicos de artistas e faixas para mostrar tendências de streaming. Nenhum dado de conta é enviado.

• Ferramentas internas: alertas operacionais enviados à nossa equipe pelo Discord podem incluir identificadores de conta e referências de fatura.

• Autoridades, assessores e sucessores: quando exigido por lei, para proteger nossos direitos, ou em conexão com uma fusão, aquisição ou venda de ativos (caso em que você será notificado).

A Spilix não vende seus dados pessoais e não os compartilha com terceiros para o marketing deles.

5. Transferências internacionais

A Spilix é operada pela HYPERPULSE GROUP LTD, uma empresa constituída no Reino Unido. Nossa infraestrutura roda na Amazon Web Services nos Estados Unidos e em Sydney, Austrália. Os provedores listados na Seção 4 podem processar dados em outros países, incluindo os países em que a Stripe, a Dodo Payments, a Airwallex, a ACRCloud, o Google e a Meta operam.

Quando transferimos dados pessoais para fora do EEE, do Reino Unido ou da Suíça, nos baseamos em decisões de adequação quando disponíveis e, caso contrário, em Cláusulas Contratuais Padrão ou no Adendo do Reino Unido, junto com criptografia e controles de acesso.

6. Armazenamento e segurança

Os dados são armazenados na AWS com criptografia em repouso e criptografia TLS em trânsito. As senhas são armazenadas apenas como hashes bcrypt. Os arquivos de áudio e imagem são armazenados no S3 com criptografia do lado do servidor e entregues pelo CloudFront. As sessões usam cookies HttpOnly e Secure, e você pode adicionar passkeys e autenticação multifator à sua conta.

O acesso aos dados de produção é limitado à equipe que precisa deles para sua função. Nenhum sistema é completamente seguro e não podemos garantir segurança absoluta, mas aplicamos essas salvaguardas para proteger seus dados contra acesso não autorizado, perda ou alteração.

7. Retenção de dados

Mantemos os dados pessoais apenas pelo tempo necessário para os fins da Seção 3. Na prática:

• Dados de conta, perfil e conteúdo: enquanto sua conta existir. A distribuição é uma relação contínua — seus lançamentos permanecem nas DSPs, os royalties continuam chegando, e precisamos poder associá-los a você — por isso não excluímos esses dados em um cronograma fixo enquanto seu catálogo estiver no ar ou royalties ainda forem devidos a você.

• Registros financeiros (faturas, pagamentos, extratos de pagamento e registros de contrato): pelo período exigido pela lei contábil e fiscal aplicável, geralmente até dez anos, mesmo depois que sua conta é encerrada.

• Registros de segurança e acesso: pelo período limitado necessário para prevenção de fraude e investigação de incidentes.

• Endereço IP e detalhes do navegador do checkout mantidos para reportar uma compra à Meta: até 8 dias após o início do checkout.

Quando você encerra sua conta e nos pede para excluir seus dados, excluímos ou anonimizamos os dados pessoais de que não precisamos mais depois que seus lançamentos tiverem sido removidos e quaisquer royalties pendentes tiverem sido pagos. Mantemos apenas os registros que a lei nos exige manter, conforme descrito acima. Veja a Seção 8 para como fazer uma solicitação.

8. Seus direitos

Dependendo de onde você mora, você tem os direitos abaixo sobre seus dados pessoais. Nós os honramos para todos os usuários, independentemente da localização, sujeitos aos limites legais descritos nesta Política.

• Acesso: obter uma cópia dos dados pessoais que mantemos sobre você.

• Retificação: corrigir dados imprecisos ou incompletos. A maioria dos dados de conta e perfil pode ser editada diretamente no seu painel.

• Exclusão: pedir para excluirmos sua conta e seus dados pessoais. Lançamentos já entregues podem permanecer nas DSPs sob seu nome artístico de acordo com os contratos de distribuição, e mantemos os registros que a lei exige (Seção 7).

• Restrição e oposição: pedir para limitarmos certo processamento, ou se opor ao processamento baseado em nossos interesses legítimos.

• Portabilidade: receber os dados da sua conta em formato estruturado e legível por máquina (JSON ou CSV), preparado mediante solicitação.

• Retirar o consentimento: a qualquer momento, para o processamento baseado em consentimento — por exemplo, limpando os dados deste site no seu navegador para que o aviso de cookies apareça de novo, ou usando o link de cancelamento em um e-mail de marketing.

• Reclamar: apresentar uma reclamação à sua autoridade de proteção de dados. No Reino Unido, é o Information Commissioner's Office (ICO), no qual a Spilix está registrada; no EEE, sua autoridade nacional de supervisão.

• Residentes da Califórnia (CCPA/CPRA): os direitos de saber, excluir e corrigir dados pessoais, de optar por não participar da venda ou compartilhamento deles (nós não os vendemos; o relatório de compra à Meta descrito na Seção 3 pode contar como "compartilhamento" para publicidade comportamental entre contextos, e você pode optar por não participar enviando um e-mail para privacy@spilix.co), e de não ser discriminado por exercer esses direitos.

Para exercer qualquer direito, envie um e-mail para privacy@spilix.co a partir do endereço da sua conta. Podemos pedir que você verifique sua identidade. Respondemos em até 30 dias, ou antes quando a lei exigir um prazo mais curto, e avisaremos você se uma solicitação complexa precisar de mais tempo.

9. Cookies, análise e publicidade

A Spilix define cookies essenciais apenas para executar o login: spilix_session mantém você conectado, e spilix_trusted permite que um dispositivo em que você marcou "Lembrar de mim" pule o código de verificação de login por 30 dias. Com o seu consentimento, também usamos o Google Analytics 4, que define cookies de análise e envia dados de uso — páginas vistas, eventos como cadastros e compras, informações de dispositivo e navegador, e um endereço IP truncado — ao Google, e o Google Ads e o Meta Pixel, que definem cookies de publicidade que registram se você chegou à Spilix por um dos nossos anúncios no Google, Facebook ou Instagram, para que possamos medir quais anúncios levam a cadastros e compras e mostrar anúncios da Spilix a quem visitou o site. Nenhum deles é carregado até que você escolha "Aceitar tudo" no aviso de cookies. Para mudar sua escolha depois, limpe os cookies e os dados deste site nas configurações do seu navegador: o aviso de cookies aparecerá de novo na sua próxima visita.

Não vendemos seus dados pessoais. Os detalhes completos — nomes dos cookies, finalidades, durações e o armazenamento de navegador que usamos — estão na nossa Política de Cookies.

10. Crianças

Você deve ter pelo menos 18 anos para usar a Spilix, conforme os Termos. Não coletamos conscientemente dados pessoais de ninguém com menos de 18 anos. Se você acredita que um menor de idade se registrou, contate privacy@spilix.co e excluiremos a conta.

11. Violações de dados

Se uma violação de dados pessoais puder colocar seus direitos em risco, notificaremos você e a autoridade competente sem demora indevida e dentro dos prazos exigidos pela lei aplicável, e diremos o que estamos fazendo a respeito.

12. Alterações a esta Política

Podemos atualizar esta Política de tempos em tempos. Para alterações materiais — novas finalidades, novas categorias de terceiros, ou direitos reduzidos — notificaremos você por e-mail e por um aviso no app pelo menos 30 dias antes de elas entrarem em vigor. Alterações menores entram em vigor quando publicadas, com a data de "Última atualização" revisada.

13. Contato

Para dúvidas sobre esta Política ou para exercer seus direitos, contate privacy@spilix.co.

Controlador de dados: HYPERPULSE GROUP LTD, uma sociedade privada de responsabilidade limitada constituída na Inglaterra e no País de Gales. Número de registro: 17573941. Endereço registrado: 167-169 Great Portland Street, Fifth Floor, London, W1W 5PF, United Kingdom. Registrado no Information Commissioner's Office (ICO) do Reino Unido, com número de registro 00016310751.