Regulamento Geral

• Lei e norma cogenteConstituição, leis, decretos, resoluções de autoridade competente e normas regulatórias aplicáveis. Prevalecem sobre tudo o que a YveTech escreveu, escreve ou venha a escrever. Cláusula nossa que contrarie norma cogente é nula e deve ser desconsiderada mesmo que ainda conste de um documento em circulação.
• Contrato assinado com o clienteInstrumento particular, ordem de serviço, proposta aceita e seus anexos. Prevalece sobre este regulamento quando for mais favorável ao contratante; quando for menos favorável, prevalece o regulamento.
• Regulamento GeralEste documento. Norma máxima interna da YveTech. Nenhuma política, procedimento, script comercial, condição promocional ou orientação verbal pode contrariá-lo.
• Políticas específicasTermos e Condições, Privacidade e Segurança, Política de Garantia, Código de Ética e Conduta, Logística e demais políticas públicas listadas na seção 4. Detalham o regulamento sem ampliar deveres do cliente para além do que ele prevê.
• Procedimentos e normas internasManuais operacionais, runbooks, padrões de engenharia, matrizes de alçada e instruções de trabalho. Vinculam a equipe e não são oponíveis ao cliente para restringir direito seu.
• Comunicações e materiaisE-mails, apresentações, materiais de marketing e orientações pontuais. Servem à informação; criam obrigação para a YveTech quando prometem mais do que a norma, e nunca quando prometem menos.

3.1. O que não altera este regulamento

• Acordo verbal. Nenhuma promessa feita em reunião, ligação ou mensagem instantânea modifica norma nossa. Se vale a pena prometer, vale a pena registrar — e o registro é feito por nós, não pelo cliente.
• Prática reiterada em sentido contrário. Se por engano deixamos de aplicar uma regra, isso não a revoga; mas também não pode ser usado contra quem confiou na prática, que fica preservado até a comunicação formal da correção.
• Cláusula em documento de terceiro. Termos de fornecedores, marketplaces ou plataformas de assinatura eletrônica não substituem este regulamento na relação entre você e a YveTech.
• Alteração unilateral retroativa. Revisão que reduza direitos só alcança contratações posteriores à sua publicação, conforme a seção 27.

• Legalidade antes de conveniênciaNão existe meta comercial, prazo de projeto ou pressão de cliente que justifique descumprir a lei. Diante da escolha entre perder um negócio e contornar uma norma, perdemos o negócio — e essa decisão nunca prejudica a avaliação de quem a tomou.
• Segurança e dignidade das pessoasIntegridade física, saúde mental e proteção de dados de pessoas naturais prevalecem sobre disponibilidade de sistema, cronograma e resultado financeiro. Nenhuma entrega vale um dano a alguém.
• Verdade verificávelSó afirmamos o que podemos demonstrar. Prazo, métrica, certificação, capacidade técnica e resultado de projeto são declarados com evidência — e corrigidos publicamente quando descobrimos que erramos.
• O cliente é dono dos próprios dadosDado de cliente é do cliente. Não o usamos para treinar modelos, não o revendemos, não o cruzamos para outros fins e o devolvemos em formato aberto sempre que solicitado, inclusive no encerramento do contrato.
• Clareza como obrigação nossaSe o texto não foi entendido, a falha é de quem escreveu. Documento incompreensível é defeito de fabricação, e nós o reescrevemos em vez de exigir que o leitor se esforce mais.
• ProporcionalidadeControle, exigência e sanção devem ser proporcionais ao risco que endereçam. Burocracia sem risco correspondente é desperdício — e desperdício, no fim, é custo de alguém.
• ReversibilidadeToda decisão técnica relevante nasce com caminho de volta: plano de reversão, exportação de dados, saída sem multa punitiva e ausência de aprisionamento tecnológico deliberado.
• Responsabilidade por consequênciaRespondemos pelo efeito do que entregamos, não apenas pela literalidade do escopo. Solução tecnicamente conforme que produz dano injusto é problema nosso, e nós o tratamos como tal.
• Supervisão humana significativaAutomação e inteligência artificial ampliam capacidade humana; não substituem responsabilidade humana. Decisão com efeito relevante sobre uma pessoa sempre tem alguém identificável por trás.
• Melhoria contínua com prazoReconhecer falha sem prazo de correção é retórica. Toda não conformidade identificada gera plano de ação com responsável, data e verificação posterior de eficácia.

Em caso de colisão entre princípios, prevalece o de numeração menor. A aplicação de qualquer princípio para restringir direito de cliente, usuário ou colaborador exige justificativa escrita e é revisável pelo canal da seção 23.

7.1. Categorias de dados que não devem ser inseridas sem acordo específico

Algumas informações exigem controles adicionais que só ativamos mediante aditivo. Sem ele, é vedado inserir nas plataformas: dados de saúde e genéticos, dados de crianças e adolescentes, dados de cartão de pagamento sujeitos ao PCI DSS, informação classificada por autoridade pública e segredo industrial de terceiro sem autorização. Havendo necessidade, fale conosco antes — nós habilitamos o ambiente adequado, não bloqueamos o negócio.

7.2. Como agimos diante de violação

Nossa primeira resposta é sempre a menos gravosa que resolva o problema. Suspensão imediata sem aviso é reservada a risco atual e concreto — ataque em curso, vazamento ativo, ordem judicial ou risco à integridade de outros clientes — e, mesmo assim, comunicada em até 24 horas com a justificativa e o caminho de retomada. Nos demais casos, notificamos, damos prazo e só então escalamos, na gradação da seção 23.

9.1. Regras que não negociamos

• Não retemos código como garantia de pagamento. Discussão financeira se resolve pelos meios devidos, jamais por sequestro de entregável já pago.
• Não introduzimos dependência artificial. É vedado a qualquer engenheiro nosso criar amarração técnica cuja única função seja dificultar a saída do cliente. Isso é falta funcional grave, não estratégia comercial.
• Não usamos código de um cliente em outro sem autorização escrita, ainda que a solução seja genérica. Componente reutilizável nasce identificado como tal, desde a proposta.
• Respeitamos licença livre com rigor. Cumprimos as obrigações de atribuição, aviso e reciprocidade de cada licença, e não incorporamos componente com licença incompatível com o uso pretendido pelo cliente.
• Entregamos o SBOM. Todo projeto sai com inventário de dependências, versões e licenças — instrumento de segurança e de conformidade, não de cortesia.

9.2. Depósito de código (escrow)

Para plataformas licenciadas em operação crítica, oferecemos depósito do código-fonte em custódia de terceiro independente, com liberação automática ao cliente nas hipóteses de descontinuidade do produto, encerramento das atividades da YveTech ou descumprimento não sanado de obrigação de suporte. É uma proteção que raramente é oferecida sem ser pedida; nós a colocamos na mesa.

11.1. Controles mínimos, sempre ativos

• Criptografia em trânsito e em repouso. TLS 1.2 ou superior em todo tráfego, sem exceção legada, e cifragem de dados armazenados com gestão de chaves segregada.
• Segregação entre ambientes. Produção, homologação e desenvolvimento são isolados. Dado real não trafega para ambiente de teste sem anonimização documentada.
• Registro de auditoria imutável de acesso, alteração de permissão e operação sensível, com retenção mínima de 12 meses e proteção contra edição.
• Gestão de vulnerabilidades com prazo. Crítica em até 7 dias corridos, alta em 30, média em 90, contados da publicação ou da detecção — o que ocorrer primeiro.
• Backup testado, não apenas executado. Cópia executada sem restauração verificada é ilusão de segurança; testamos a restauração periodicamente e registramos o resultado.
• Revisão de código obrigatória. Nenhuma alteração chega a produção sem revisão por outra pessoa, análise estática e testes automatizados aprovados.

11.2. Comunicação de incidente

11.3. Pessoas e cultura de segurança

Todo colaborador passa por treinamento de segurança na admissão e reciclagem anual, com registro. Simulações de phishing são realizadas periodicamente com finalidade formativa: quem cai em uma simulação recebe orientação, nunca punição — punir o erro honesto é o método mais eficiente de garantir que o próximo incidente real seja escondido.

11.4. Terceirização e subprocessadores

Fornecedor que acessa dado ou ambiente de cliente passa por avaliação de segurança prévia, assina cláusulas equivalentes às que assumimos com você e é reavaliado ao menos anualmente. A lista de subprocessadores relevantes é mantida atualizada e disponível, e alteração material é comunicada com antecedência mínima de 30 dias, com direito de objeção fundamentada.

11.5. Segurança da cadeia de suprimentos de software

Dependências são inventariadas (SBOM), verificadas quanto a vulnerabilidades conhecidas e fixadas por versão. Artefatos de build são assinados e a origem é rastreável. Não incorporamos dependência sem manutenção ativa em componente crítico, e comunicamos ao cliente quando um componente em uso entra em fim de vida.

11.6. Teste de intrusão pelo cliente

Você pode testar a segurança do seu ambiente. Basta comunicar com 5 dias úteis de antecedência, informar janela, origem e escopo, e não afetar outros clientes. Não cobramos por isso, não exigimos que o teste seja feito por fornecedor indicado por nós e não tratamos achado como constrangimento: achado é presente, e todo relatório recebido gera plano de correção com prazo.

11.7. Divulgação responsável de vulnerabilidade

• Relate para seguranca@yvetech.com. Aceitamos relato identificado ou anônimo, em português ou inglês, com ou sem prova de conceito.
• Confirmamos o recebimento em 2 dias úteis e damos parecer técnico inicial em até 10 dias úteis, com classificação de severidade.
• Porto seguro para o pesquisador de boa-fé. Não acionamos judicialmente quem, agindo de boa-fé, encontra e relata falha sem exfiltrar dado, sem degradar serviço e sem divulgar antes da correção.
• Crédito público, se desejado. Reconhecemos nominalmente quem contribuiu, na página de agradecimentos, salvo pedido de anonimato.
• Divulgação coordenada em 90 dias. Corrigimos e publicamos o aviso; havendo demora nossa além do prazo, o pesquisador está livre para divulgar, e essa liberdade é reconhecida por escrito aqui.

13.1. Classificação de risco antes de construir

Todo projeto com componente de IA recebe classificação de risco documentada antes da primeira linha de código. Sistemas de risco inaceitável não são construídos por nós, ainda que legais no Brasil e ainda que bem pagos. Sistemas de alto risco — os que afetam acesso a crédito, emprego, educação, saúde, benefícios ou direitos — só são desenvolvidos com avaliação de impacto, supervisão humana desenhada e plano de monitoramento pós-implantação.

13.2. O que nos recusamos a construir

• Pontuação social de pessoas ou qualquer sistema que classifique cidadãos por comportamento para conceder ou negar direitos.
• Manipulação subliminar ou exploração de vulnerabilidade de pessoa por idade, deficiência ou situação socioeconômica.
• Identificação biométrica em massa em espaço público sem base legal específica e sem controle judicial.
• Inferência de emoção para decisão em ambiente de trabalho ou educacional.
• Categorização por dado sensível — raça, religião, orientação sexual, opinião política ou filiação sindical — para segmentação, precificação ou triagem.
• Deepfake de pessoa real sem consentimento inequívoco e sem marcação clara de conteúdo sintético.
• Armas autônomas e sistemas de vigilância destinados a perseguição política, sem exceção e sem discussão comercial.

13.3. Como entregamos IA

• Métrica de aceite acordada por escrito. Nenhum entregável de IA é aceito por impressão. Definimos, antes, o que será medido, com qual conjunto de validação e qual patamar caracteriza conformidade.
• Supervisão humana proporcional ao risco. Quanto maior o impacto sobre pessoas, maior a exigência de revisão humana — até o ponto em que a máquina apenas recomenda e a pessoa decide.
• Transparência de origem. Você sabe qual modelo, qual versão e qual provedor sustentam a sua solução, e é avisado com antecedência quando isso mudar.
• Conteúdo sintético é identificado. Saída gerada por IA em interface voltada ao público final é marcada como tal, sempre que houver risco de confusão com conteúdo humano.
• Monitoramento contínuo de deriva. Acompanhamos degradação de desempenho, viés e mudança de comportamento do modelo ao longo do tempo, com relatório periódico.
• Direito à explicação e à revisão. Toda decisão automatizada com efeito relevante é explicável em linguagem comum e revisável por pessoa natural, nos termos do art. 20 da LGPD.

13.4. Limites que declaramos com honestidade

13.5. Titularidade do conteúdo gerado

O conteúdo gerado por IA a seu pedido é seu, na máxima extensão admitida pela legislação aplicável. Registramos, contudo, que a proteção autoral de obra puramente gerada por máquina é matéria em construção no Brasil e no mundo, e que a titularidade pode não ser oponível a terceiros nos mesmos termos de uma criação humana. Preferimos avisar antes a ser convenientes agora.

13.6. Uso de IA pela nossa própria equipe

Nossos colaboradores usam ferramentas de IA no trabalho, com regras: é vedado submeter dado de cliente a ferramenta não homologada; toda saída usada em entregável passa por revisão humana e é de responsabilidade de quem a assina; e a existência de assistência de IA não transfere responsabilidade da pessoa para a ferramenta. Detalhes na seção 16.7.

19.1. Regras gerais de qualquer campanha

• Regulamento publicado antes do início, com vigência, elegibilidade, critério de apuração, valor do benefício, limitações e canal de dúvidas. Campanha sem regulamento publicado não é válida, e nós honramos o compromisso mesmo assim se tivermos falhado nisso.
• Preço de referência verdadeiro. Desconto é calculado sobre preço efetivamente praticado, e não sobre valor inflado para simular vantagem. Prática contrária viola o art. 37 do CDC e é falta grave interna.
• Condições em destaque, não em nota de rodapé. Limitação relevante — prazo, quantidade, público elegível, obrigação de permanência — aparece junto da oferta, no mesmo peso visual.
• Sem cobrança automática após período gratuito sem aviso prévio e confirmação sua. Trial não vira assinatura por inércia.
• Encerramento comunicado. Alteração ou término antecipado de campanha respeita quem já aderiu, cujas condições permanecem íntegras até o fim do prazo prometido.

19.2. Modalidades e suas regras

Regulamento específico de campanha prevalece sobre esta seção apenas quando for mais favorável ao participante. Em qualquer hipótese, aplicam-se o CDC, o Decreto nº 7.962/2013 e a legislação de proteção de dados.

• Nível AA como pisoTodas as interfaces novas que desenvolvemos são projetadas para atender ao WCAG 2.2 nível AA, com verificação automatizada e revisão manual antes da entrega.
• Teclado sempre suficienteNenhuma função essencial depende exclusivamente de mouse, gesto de arrastar ou precisão motora fina.
• Contraste e legibilidade verificadosContraste mínimo, redimensionamento de texto até 200% sem perda de conteúdo e respeito à preferência de movimento reduzido do usuário.
• Compatível com leitor de telaEstrutura semântica, rótulos descritivos e anúncio de mudanças dinâmicas, testados com leitores de tela reais e não apenas com validadores.
• Acessibilidade no orçamentoNunca é apresentada como item opcional a ser cortado para reduzir preço. Está no escopo base, e sai do escopo apenas por decisão expressa e registrada do cliente.
• Barreira relatada é defeitoRelato de barreira de acessibilidade é tratado como defeito coberto pela Política de Garantia, com prazo de correção — não como sugestão de melhoria.

Encontrou uma barreira em qualquer produto ou página nossa, inclusive neste site? Escreva para acessibilidade@yvetech.com. Respondemos em até 5 dias úteis com diagnóstico e prazo de correção.

23.1. Gradação das medidas

• Orientação. Primeiro desvio sem má-fé e sem dano: conversa, esclarecimento da regra e registro. A maior parte dos casos termina aqui, e isso é bom sinal.
• Notificação formal. Comunicação escrita descrevendo o fato, a regra descumprida, o prazo para regularizar e a consequência da inércia.
• Restrição proporcional. Limitação temporária da função específica associada ao desvio — nunca do serviço inteiro, quando a restrição parcial for suficiente.
• Suspensão. Interrupção do acesso ou do serviço, precedida de aviso, salvo risco atual e concreto na forma da seção 7.2.
• Rescisão. Encerramento do vínculo, sempre com preservação do direito de extração de dados da seção 14.2, ainda que a rescisão decorra de falta grave.
• Medidas legais. Comunicação a autoridade competente e busca de reparação, reservadas a fraude, ilícito penal, dano relevante a terceiros ou risco à coletividade.

23.2. Garantias mínimas de quem é acusado

• Direito de saberComunicação clara do fato imputado, da norma aplicada e da evidência considerada — não "violação dos termos de uso", sem mais.
• Direito de responderPrazo mínimo de 5 dias úteis para apresentar defesa, salvo risco atual que exija medida imediata, caso em que a defesa é recebida depois.
• Decisão fundamentadaResposta escrita indicando o que foi considerado, o que foi afastado e por quê.
• Direito de recorrerReanálise por pessoa diversa da que decidiu, em até 10 dias úteis.
• Proporcionalidade obrigatóriaA medida deve ser a menos gravosa capaz de cessar o problema. Excesso apurado gera reversão e reparação.
• Sem sanção retroativaNinguém é sancionado por conduta que não era vedada quando praticada.

23.3. Quando quem descumpre somos nós

• Direito de auditoria do cliente. Contratos vigentes admitem uma auditoria anual, presencial ou documental, mediante aviso de 15 dias úteis, sob confidencialidade e sem custo de acesso — você paga apenas o seu auditor, se optar por terceiro.
• Questionário de fornecedor respondido em 10 dias úteis, sem exigir contrato de confidencialidade prévio para as informações que já publicamos.
• Evidência de controle disponível. Relatórios de teste de restauração, resumo de gestão de vulnerabilidades, lista de subprocessadores e registros de acesso são fornecidos mediante solicitação fundamentada.
• Relatório anual de transparência, publicado neste site, com indicadores de disponibilidade, incidentes de segurança, tempo médio de resposta, denúncias recebidas no canal de ética e desfechos, sem identificar pessoas.
• Certificações declaradas com escopo. Quando afirmarmos ser certificados em alguma norma, informaremos o escopo exato, o organismo certificador e a validade. Onde ainda seguimos a norma sem certificação formal, dizemos exatamente isso — como fazemos hoje.
• Métrica publicada não é escolhida a dedo. Os indicadores do relatório anual são definidos antecipadamente e mantidos entre edições, para que a comparação ao longo do tempo seja possível.