Segurança, propriedade e acessos: como tratamos seu trabalho e seus dados

Resumo para o cadastro de fornecedor

Cada resposta é explicada mais abaixo.

• A Dardo é um estúdio de design e desenvolvimento liderado pelo fundador, em Bogotá, Colômbia (UTC−5 o ano todo), fundado em 2026. Somos três pessoas, lideradas por Nicolás Cerón, e trabalhamos em inglês e espanhol.
• Todo trabalho começa com uma proposta escrita que nomeia as pessoas, o escopo, o preço e a propriedade. Ela também diz como cada entrega é aceita e quem é dono de cada conta e arquivo na entrega final.
• O design e o código sob medida que você paga são da sua empresa. Fontes, imagens de banco, plugins e bibliotecas de código aberto continuam sob as próprias licenças.
• Hospedagem, domínio, DNS, CMS, analytics, repositório de código e contas de envio de e-mail ficam no nome da sua empresa. Nós entramos como usuários convidados.
• Cada pessoa tem o próprio login, com o papel mais restrito que permite fazer o trabalho e sem senhas compartilhadas. Na entrega final, você retira esses acessos ou os mantém em um plano de manutenção.
• Dados de produção e cadastros de clientes ficam nos seus sistemas. Pedimos apenas o acesso que cada tarefa exige.
• Não temos relatório SOC 2 nem certificação ISO 27001.

De quem é o trabalho, e a partir de quando

O design e o código sob medida que você paga devem ser da sua empresa, e o contrato deve dizer isso. Antes de começar, nossa proposta define de quem são o código e os arquivos de design, e quais dependências continuam com licença própria.

Confira se o contrato traz:

• A cessão à sua empresa, por escrito, dos direitos patrimoniais de autor sobre arquivos de design, código-fonte e documentação
• Quando a propriedade passa para vocês; o mais comum é no pagamento final
• O que continua licenciado, e não é cedido: fontes, imagens de banco, plugins e bibliotecas de código aberto
• A lei aplicável e o foro para resolver disputas

Isto é informação geral, não aconselhamento jurídico: peça ao seu advogado que revise a cláusula. O que cada proposta traz, com as etapas de pagamento e os custos recorrentes, está na nossa página de preços.

Contas no nome da sua empresa, acessos por pessoa

Toda conta da qual o site depende deve pertencer à sua empresa, com a Dardo convidada como usuária. Essa é a nossa regra de entrega: hospedagem, domínio, DNS, CMS, analytics, repositório de código e contas de envio de e-mail ficam no nome da sua empresa. Se ainda não estão, transferi-las é a primeira tarefa.

Custos recorrentes de terceiros, como domínio, hospedagem, planos de CMS e licenças de fontes, entram na proposta como linhas separadas, ao preço de cada fornecedor. Encerrar o trabalho com a gente nunca significa perder o acesso ao seu próprio site.

Como funcionam os acessos:

• Pedimos só o acesso que a tarefa exige, na forma de convites para logins próprios: um por pessoa, nunca uma senha compartilhada.
• Cada login recebe o papel mais restrito que permite fazer o trabalho. Algumas tarefas pedem mais: uma migração precisa de acesso de administrador ao CMS atual, ao registrador do domínio e ao DNS, à hospedagem, ao Search Console e ao analytics.
• Ative a autenticação multifator, começando pelas contas de administrador. A CISA, agência de cibersegurança dos Estados Unidos, chama os métodos resistentes a phishing, como as chaves de segurança FIDO, de padrão-ouro, e alerta que códigos por SMS são vulneráveis a phishing e ao golpe da troca de chip (SIM swap).
• Como as contas são suas, você mesmo pode retirar nosso acesso. Na entrega final, você o remove ou o mantém em um plano de manutenção de sites.

NDA e confidencialidade

Se você precisa de um acordo de confidencialidade (NDA), ele entra no contrato, junto com a lei aplicável e o foro para resolver disputas. Qual modelo será usado, e se podemos mostrar o projeto no nosso portfólio, fica acordado na proposta ou no contrato.

Material confidencial pode ficar nas suas ferramentas: podemos trabalhar no seu Slack, no seu gerenciador de projetos ou na sua organização do GitHub, para que arquivos e histórico fiquem com vocês. Dados de produção e cadastros de clientes ficam nos seus sistemas.

Onde ficam arquivos, mensagens e solicitações

• Código: em um repositório no nome da sua empresa.
• Design e revisões: em um link de staging ou em comentários no Figma. A proposta diz de quem é cada arquivo na entrega final.
• Decisões: proposta, escopo, critérios de aceite, decisões de cada revisão e notas de entrega ficam por escrito.
• E-mail: a caixa de entrada Gmail do estúdio, no Google Workspace.
• Solicitações enviadas pelo nosso site: um banco de dados privado Cloudflare D1, com uma cópia enviada pelo Cloudflare Email Service ao Gmail do estúdio. O acesso é pela conta Cloudflare do estúdio, e o banco de solicitações não armazena endereços IP.

No nosso próprio site, Google Analytics e PostHog, na nuvem dos EUA, medem as visitas por padrão. Os eventos excluem nomes, e-mails, referências de solicitações, conteúdo de formulários e query strings completas. A reprodução de sessões mascara o que é digitado, deixa os formulários de fora e é mantida por 30 dias. Cookies de publicidade, anúncios personalizados e remarketing ficam desativados. As Configurações de cookies, no rodapé, desligam a análise, e Do Not Track e Global Privacy Control a mantêm desligada.

Se você chega por um anúncio do Google ou da Microsoft, a solicitação guarda o identificador desse clique, e informamos à plataforma, só por esse identificador, se o clique virou uma solicitação ou um projeto, com o valor do projeto. Seu nome, seu e-mail e seu briefing nunca vão para uma plataforma de anúncios. Para saber quais dados temos, corrigi-los ou pedir a exclusão, fale com a gente; nossa política de privacidade traz o endereço e todos os detalhes.

Dados pessoais no site que construímos para você

No seu site, sua empresa decide o que os formulários coletam e para onde vai cada envio. Formulários, analytics e integrações enviam dados para contas da sua empresa, e serviços externos, como CRM, agendamento, pagamentos ou envio de e-mail, entram na proposta como linhas próprias.

Na LGPD, controlador é quem toma as decisões sobre o tratamento de dados pessoais, e operador é quem trata os dados em nome do controlador, seguindo as instruções dele. Se uma tarefa exigir lidar com dados pessoais da sua empresa, como importar uma base de clientes ou conectar um CRM, o contrato deve dizer o que podemos fazer com eles, por quanto tempo e como são devolvidos ou eliminados.

Quando migramos ou redesenhamos um site, formulários, analytics, consentimento e integrações são refeitos e testados, e o destino de cada envio é conferido. Os eventos de analytics, as conversões e o banner de consentimento são verificados nos templates novos antes do lançamento.

Ferramentas de IA, revisões e quem aprova o que vai ao ar

Quais ferramentas de IA podem ser usadas no seu projeto, e o que elas podem ver, fica acordado na proposta ou no contrato. Se sua empresa tem uma política de IA, envie junto com o briefing.

As pessoas nomeadas na proposta fazem o trabalho, e você fala diretamente com elas, inclusive com o fundador. Cada entrega é aceita pelos critérios definidos na proposta. As revisões acontecem em um link de staging ou em comentários no Figma, e as decisões de cada revisão ficam por escrito.

Em uma migração de site, o site novo é construído em um endereço de staging marcado para não ser indexado pelos buscadores, e o site atual continua no ar até uma virada planejada. Alguém do seu lado aprova os redirecionamentos de páginas com peso comercial ou jurídico, como políticas ou páginas de produto.

O que a Dardo não é

• Não somos certificados: não temos relatório SOC 2 nem certificação ISO 27001.
• Não atendemos a todo processo de compras. Se o seu exige certificados de seguro específicos ou relatórios de auditoria de segurança, pergunte no início: talvez não possamos atendê-los.
• Não somos uma empresa de alocação de profissionais: entregamos projetos com escopo definido e não colocamos desenvolvedores sob a direção diária dos seus gestores.
• Não somos uma equipe grande: três pessoas não absorvem de repente o dobro do escopo nem sustentam um programa de um ano que precisa de dez. O estúdio foi fundado em 2026, então nos avalie pelos projetos publicados e pelo que a proposta compromete por escrito.

Se os seus requisitos nos deixarem de fora, preferimos dizer isso na primeira resposta a enviar uma proposta que não combina.

O que acontece na entrega final

• Todas as contas confirmadas no nome da sua empresa: hospedagem, domínio, DNS, CMS, analytics, repositório e envio de e-mail.
• Nossos acessos retirados, a menos que você os mantenha em um plano de manutenção.
• Notas de entrega por escrito.
• Depois de uma migração: a lista de redirecionamentos, para que qualquer desenvolvedor possa mantê-la; DNS e contas entregues; e a data para cancelar cada plano antigo, para que nada renove ou expire de surpresa.
• A hospedagem antiga só é cancelada quando o site novo responde em cada URL, você tem uma exportação e um backup completos e nenhum redirecionamento depende dela. O domínio continua sendo seu.

Se quiser que a gente continue, a manutenção começa em USD 79 por mês: monitoramento de disponibilidade, SSL, domínio e formulários; backups com testes de restauração; atualizações urgentes de segurança e um relatório mensal. Os prazos de resposta são definidos depois de uma auditoria inicial.

Dúvidas antes de escolher