A privacidade e a segurança dos dados são parte central do que fazemos. Esta Política aplica-se ao uso da plataforma xTrust Horizon e deve ser lida em conjunto com os nossos Termos de Uso.
Quem somos
O controlador dos dados pessoais tratados na Plataforma é a ipTrust Tecnologia ("ipTrust", "Nós"), com sede em Florianópolis, Santa Catarina, Brasil. Para assuntos relativos a dados pessoais e a esta Política, utilize o canal indicado na seção Encarregado e contato.
Dados que tratamos
Tratamos apenas os dados necessários para operar o Serviço e cumprir nossas obrigações.
Dados de cadastro e conta
Nome, e-mail corporativo, empresa e telefone informados no cadastro; nome e sobrenome no aceite de convites. Quando você define uma senha, ela é armazenada exclusivamente como hash e nunca em texto legível.
Dados da organização e de cobrança
Nome da organização, identificador fiscal (quando informado), país, plano contratado e identificadores da assinatura. Os dados do cartão são informados diretamente ao processador de pagamentos certificado (PCI-DSS) e não são coletados nem armazenados pela ipTrust; guardamos apenas os identificadores necessários à gestão da cobrança.
Dados de uso, acesso e segurança
Registros de autenticação e de sessão, endereço IP, identificação do navegador/dispositivo e registros de auditoria, utilizados para operar a Plataforma, garantir a segurança e prevenir abusos.
Dados dos ativos analisados
Os domínios, subdomínios, endereços IP, serviços, tecnologias, configurações públicas de DNS e de e-mail, registros públicos de domínio e vulnerabilidades identificadas a respeito dos ativos que você submete à análise. Esses dados, e a possibilidade de conterem informações de terceiros, são detalhados na seção Dados nos ativos analisados.
Dados de estimativa e contato comercial
Quando você solicita uma estimativa pública ou entra em contato comercial, tratamos o nome, o e-mail e o domínio informados para retornar o resultado e dar seguimento ao atendimento.
Finalidades e bases legais
Cada tratamento se apoia em uma base legal prevista na LGPD (art. 7º), conforme a finalidade:
- Prestar e operar o Serviço (criar e gerir a conta, executar análises, gerar e disponibilizar relatórios) — execução de contrato.
- Processar pagamentos e gerir a assinatura — execução de contrato e cumprimento de obrigações legais e fiscais.
- Garantir segurança e prevenir fraude e abuso (auditoria, limitação de uso, verificação de posse de domínio) — legítimo interesse.
- Enviar comunicações operacionais sobre a sua conta, assinatura e relatórios — execução de contrato e legítimo interesse.
- Enviar comunicações comerciais e responder estimativas — consentimento e/ou legítimo interesse, com possibilidade de descadastro a qualquer momento.
- Cumprir obrigações legais e exercer direitos em processos administrativos ou judiciais — cumprimento de obrigação legal e exercício regular de direitos.
Compartilhamento e operadores
Não vendemos dados pessoais. Compartilhamos dados apenas com operadores estritamente necessários à prestação do Serviço, que os tratam segundo as nossas instruções e sob obrigações contratuais de segurança e confidencialidade. Por princípio de segurança, descrevemos esses operadores por categoria/função:
- Infraestrutura de nuvem e banco de dados gerenciado — armazenar e proteger os dados da Plataforma.
- Hospedagem da aplicação e medição de audiência — disponibilizar a Plataforma e obter métricas agregadas de uso.
- Processador de pagamentos certificado (PCI-DSS) — processar cobranças e gerir assinaturas.
- Provedor de análise assistida por inteligência artificial — gerar a leitura executiva dos relatórios a partir dos resultados técnicos da análise.
- Provedor de envio de e-mails transacionais — entregar comunicações operacionais e de conta.
- Bases públicas de referência de segurança (bases de vulnerabilidades, listas de reputação, registros públicos de domínio e resolução de nomes) — enriquecer e validar a análise dos ativos.
A relação nominal e atualizada dos operadores está disponível ao titular mediante solicitação ao nosso canal de contato. Também poderemos compartilhar dados quando exigido por lei, ordem judicial ou autoridade competente, e no contexto de operações societárias, preservadas as proteções desta Política.
Transferência internacional de dados
Parte do tratamento ocorre em infraestrutura localizada fora do Brasil — em especial os serviços de nuvem, de análise assistida por IA, de processamento de pagamentos e de envio de e-mails. Em particular, os resultados técnicos da análise (que podem incluir dados sobre os seus ativos) são processados por infraestrutura de IA situada no exterior para a geração do relatório.
Essas transferências internacionais observam o disposto no art. 33 da LGPD e são realizadas com salvaguardas contratuais adequadas para assegurar a proteção dos dados.
Retenção e descarte
Mantemos os dados pelo tempo necessário às finalidades que justificaram a coleta:
- Conta e organização: enquanto a conta estiver ativa e pelo período necessário ao cumprimento de obrigações legais.
- Relatórios e inventário de ativos: preservados para histórico e comparação ao longo do tempo. Ativos sem sinal de atividade por mais de 30 dias saem do escopo de monitoramento, mas o registro histórico correspondente pode ser mantido.
- Convites pendentes: expiram automaticamente em 7 dias.
- Cadastros de assinatura não concluídos: removidos automaticamente em curto prazo.
- Registros de cobrança e fiscais: mantidos pelos prazos exigidos pela legislação.
Encerrado o prazo ou a finalidade, os dados são eliminados ou anonimizados, ressalvadas as hipóteses de guarda autorizadas por lei. A eliminação antecipada pode ser solicitada conforme a seção Direitos do titular.
Segurança da informação
Adotamos medidas técnicas e organizacionais para proteger os dados, entre as quais:
- Criptografia dos dados em trânsito;
- Armazenamento de senhas exclusivamente como hash, nunca em texto legível;
- Isolamento lógico dos dados de cada cliente;
- Controle de acesso baseado em função e princípio do menor privilégio;
- Comunicação cifrada entre os componentes internos do Serviço;
- Verificação de posse do domínio antes de qualquer varredura.
Nenhum sistema é completamente imune a riscos. Na hipótese de incidente de segurança relevante, adotaremos as medidas e realizaremos as comunicações exigidas pela LGPD.
Direitos do titular
Nos termos do art. 18 da LGPD, você pode, a qualquer momento, solicitar:
- Confirmação da existência de tratamento e acesso aos seus dados;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
- Portabilidade dos dados, observados os segredos comercial e industrial;
- Informação sobre as entidades com as quais compartilhamos dados;
- Informação sobre a possibilidade de não consentir e as respectivas consequências;
- Revogação do consentimento.
Para exercer esses direitos, escreva para contato@iptrust.com.br. Podemos solicitar informações adicionais para confirmar a sua identidade. Alguns dados podem ser mantidos quando houver base legal ou obrigação que justifique a guarda.
Dados de terceiros nos ativos analisados
A análise observa a superfície externa dos seus próprios ativos, a partir de informações expostas publicamente. Por sua natureza, esses ativos podem expor dados pessoais de terceiros — por exemplo, em registros públicos de domínio, em configurações de DNS ou no conteúdo de páginas acessíveis publicamente.
Em relação a esses dados, você atua como controlador e declara possuir base legal para submetê-los à análise; a ipTrust os trata na condição de operadora, exclusivamente para prestar o Serviço e gerar os relatórios solicitados.
Alterações desta política
Esta Política pode ser atualizada para refletir mudanças legais, técnicas ou do Serviço. A data de "última atualização" indicada no topo registra a versão vigente, e alterações relevantes serão comunicadas pelos canais adequados.
Encarregado e contato
Para exercer direitos, esclarecer dúvidas ou tratar de qualquer assunto relacionado a dados pessoais, o canal do nosso Encarregado pelo Tratamento de Dados (DPO) é contato@iptrust.com.br. Responderemos às solicitações nos prazos previstos pela legislação aplicável.
