Termos de uso

O UserKit é um serviço hospedado (SaaS) de cadastro e autenticação de clientes: login, verificação, dois fatores e sessão para os usuários do seu produto, sobre uma ficha por pessoa. Não existe versão auto-hospedada; o serviço é operado por nós e consumido pela sua aplicação através do painel, das APIs e dos SDKs publicados.

O serviço tem dois planos que nunca se misturam: o plano da equipe — as pessoas da sua organização que entram no painel — e o plano dos contatos — os usuários do seu produto, que nunca veem o painel. Estes termos regem o primeiro; o tratamento dos dados do segundo é regido pelo DPA.

Uma conta pertence a uma pessoa; uma organização pertence às pessoas que dela participam, com papéis que carregam permissões. Quem cria a organização é o seu primeiro proprietário e responde por quem convida e pelo papel que atribui — o sistema impede que alguém conceda um papel com mais poder do que o próprio, mas a escolha dentro desse limite é sua.

Você é responsável pela guarda das credenciais da organização — em especial as chaves secretas de API (uk_sk_…), que dão acesso programático ao ambiente que as emitiu. Uma chave comprometida deve ser revogada no painel imediatamente.

O serviço envia e-mails em seu nome aos seus contatos — links de acesso, códigos, avisos de segurança. Usá-lo para enviar mensagens não solicitadas, coletar endereços de terceiros sem base para isso, ou contornar os limites de envio e de requisições é violação destes termos e motivo para suspensão.

Também é vedado usar o serviço para atividade ilegal, para se passar por outra organização, ou para tentar acessar dados de outra organização — os ambientes e as organizações são isolados por construção, e tentar atravessar esse isolamento é violação mesmo quando não sucede.

Nos dados dos seus contatos, você é o controlador e o UserKit é o operador, nos termos da LGPD: tratamos esses dados para prestar o serviço a você e sob as suas instruções, nunca para fins próprios. Os pedidos de titulares que chegarem diretamente a nós sobre dados dos seus contatos serão encaminhados a você, porque é você quem decide sobre eles.

Os detalhes — subprocessadores, prazos de retenção, segurança, transferência internacional — estão no DPA e na política de privacidade.

O plano gratuito é o produto inteiro para um projeto sem receita, e duas posições valem em qualquer plano: nenhum método de login do seu cliente é pago, e exceder o teto de contatos ativos nunca interrompe uma autenticação — avisamos, não bloqueamos. Os preços e o que cada plano contém estão na página de preços, que distingue o que existe do que está no roteiro.

O serviço é fornecido no estado em que se encontra, sem um acordo de nível de serviço formal neste momento — o produto mede a própria disponibilidade, o que é outra coisa que prometê-la: a definir se haverá SLA, com que disponibilidade e com qual compensação. Uma decisão de arquitetura vale registrar aqui: uma indisponibilidade nossa significa “nenhuma sessão nova”, nunca “todo mundo deslogado” — as sessões existentes dos seus contatos continuam verificáveis pelo seu backend sem nos consultar.

Podemos alterar estes termos; alterações relevantes serão comunicadas ao e-mail dos proprietários da organização com antecedência razoável.

Você pode encerrar a organização a qualquer momento. Antes de encerrar, exporte o que precisar; após o encerramento, os dados são eliminados conforme os prazos de retenção descritos na política de privacidade, exceto o que a lei obrigar a manter.

Nós podemos suspender ou encerrar o acesso em caso de violação destes termos, com aviso quando a natureza da violação permitir.

Esta seção é inteira da revisão jurídica, e escrever aqui um limite plausível seria pior do que deixá-la vazia — um teto de responsabilidade que ninguém decidiu é exatamente o tipo de frase que um leitor toma por decidida. a definir o limite de responsabilidade, as exclusões e as garantias que o serviço dá e não dá.

Enquanto este rascunho valer, a documentação é onde ficam os canais de uso do produto — mas um canal para notificação contratual é outra coisa: a definir a razão social, o CNPJ, o endereço e o e-mail para notificações, além do foro eleito. Até que a revisão defina o foro, aplica-se a lei brasileira, que é o que a LGPD e o público deste serviço já implicam.