Política de Privacidade

1. Modelo de implantação (SaaS hospedado)

A ONEVERSEC é um SaaS: a plataforma roda na infraestrutura em nuvem da ONEVERSEC. Sua conta, seu escopo, seu recon, seus achados e evidências ficam no nosso banco, isolados por tenant com Row-Level Security forçada, e cifrados em trânsito. O tráfego de saída de cada caça é limitado por padrão (default-deny) ao escopo autorizado e ao provedor de IA que você configurou.

A inferência de IA roda na sua própria conta de provedor (BYO-key), cobrada na sua conta.

2. Papéis: controladora e operadora

Para os dados da sua conta (cadastro, cobrança, uso da plataforma), a ONEVERSEC é CONTROLADORA. Para os dados que a plataforma coleta sobre os alvos que você testa sob a sua autorização (recon, achados, evidências, que podem conter dados de terceiros), você é o CONTROLADOR e a ONEVERSEC é sua OPERADORA: tratamos esses dados por sua conta e ordem, e não comunicamos incidente ao regulador ou aos titulares em seu nome, salvo acordo em contrário no DPA.

3. Dados que tratamos

Para a conta e a cobrança, tratamos dados de cadastro (nome, e-mail, organização) e metadados de faturamento. Como parte da operação, tratamos o seu escopo, recon, achados e evidências, que ficam isolados por tenant no nosso banco.

Cadastro e autenticação (e-mail, nome, organização).
Faturamento (processado por provedor de pagamento; não armazenamos o cartão).
Escopo, alvos, recon, achados, evidências e vídeos de PoC do seu engajamento.
Telemetria operacional mínima e logs de segurança da própria plataforma.

4. Bases legais (LGPD Art. 7)

Execução do contrato (Art. 7, V) para prover o Serviço e processar a sua conta. Cumprimento de obrigação legal/regulatória (Art. 7, II) para cobrança fiscal e retenção de registros. Legítimo interesse (Art. 7, IX) para segurança da plataforma, prevenção a fraude e melhoria operacional por-tenant. Consentimento (Art. 7, I) quando expressamente solicitado. Não vendemos dados pessoais.

5. Para que usamos

Para prover e proteger o Serviço, faturar, dar suporte e cumprir obrigações legais.

6. Provedores de IA (BYO-key) e não-treinamento

A inferência ocorre na conta de IA que você configura. Os prompts e artefatos enviados ao seu provedor de IA seguem a política de privacidade desse provedor, sob a sua conta, que é a controladora dessa relação (subprocessador do cliente).

Não usamos os seus prompts, alvos, escopo, achados ou evidências para treinar, ajustar (fine-tune) ou de outra forma melhorar qualquer modelo de IA, nosso ou de terceiros. Podemos reter sinais operacionais estreitos e por-tenant (por exemplo, qual técnica funcionou contra qual tipo de stack) para operar o Serviço na sua própria conta; esses sinais são isolados por controle de acesso no banco e nunca são compartilhados entre clientes. Nossa base de conhecimento de segurança é construída só a partir de fontes públicas (CVEs, advisories, relatórios de divulgação pública), nunca dos seus alvos, escopo ou achados confidenciais.

7. Dados de terceiros e dados sensíveis no teste

Um achado pode alcançar dados reais de terceiros (credenciais, tokens ou dados pessoais, eventualmente sensíveis, do sistema testado). A regra da Política de Uso Aceitável é a minimização: alcançar e visualizar o mínimo necessário para provar o impacto, nunca exfiltrar ou reter além disso. Do nosso lado, valores sensíveis são redigidos no relatório voltado a você (mantido só o suficiente para identificar), e a captura íntegra fica restrita à evidência isolada por tenant. Você, como controlador, é responsável pela base legal do que o teste autorizado alcança.

8. Retenção

Aplicamos minimização e janelas de retenção. Você pode solicitar exclusão a qualquer momento (ver seus direitos abaixo); a exclusão é processada ponta a ponta e se completa dentro da janela de backup (até 30 dias).

Conta (e-mail, nome, organização): enquanto a conta existir, mais 90 dias após o encerramento.
Achados, evidências e vídeos de PoC: enquanto o engajamento durar e até você solicitar a exclusão; aplicamos minimização contínua.
Logs de execução / observabilidade (job_events): 90 dias, com expiração automática.
Registro de incidente de segurança: 5 anos (Resolução ANPD 15/2024).
Backups cifrados do banco: retenção de 30 dias.
Registros de faturamento e trilha de auditoria: pelo prazo fiscal/legal aplicável.

9. Seus direitos (LGPD/GDPR)

Você pode solicitar acesso, correção, portabilidade e exclusão dos seus dados pessoais, além de revogar consentimento. Atendemos os direitos previstos na LGPD e no GDPR quando aplicáveis. Para exercer, escreva para [email protected]; a exclusão pode abranger a conta inteira do tenant. Atendemos dentro do prazo legal.

10. Incidentes de segurança

Mantemos um processo de resposta a incidentes. Se ocorrer um incidente de segurança com dado pessoal que possa acarretar risco relevante, comunicamos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados dentro de 3 dias úteis da ciência, na forma da Resolução ANPD 15/2024, e mantemos o registro do incidente por 5 anos. Quando atuamos como operadora, informamos você (controlador) para que exerça as suas obrigações. Para reportar um incidente ou uma vulnerabilidade: [email protected].

11. Cookies

Usamos apenas cookies estritamente necessários e funcionais, sem rastreamento ou publicidade de terceiros. Detalhes, finalidade e duração na Política de Cookies em /cookies.

12. Segurança

Isolamento por tenant com RLS forçada, criptografia em trânsito (TLS), segredos que você fornece (chaves de IA, tokens) cifrados em repouso com envelope encryption, sandbox de execução (gVisor), egress default-deny por NetworkPolicy e least-privilege de aplicação. Detalhes e limites na página de Segurança.

13. Subprocessadores

Terceiros podem tratar dados pessoais para operar o Serviço (hospedagem/VPS, pagamento, e-mail transacional, armazenamento de anexos e o provedor de IA que você conecta). A lista atual, com finalidade e base de transferência, está em /subprocessors. O tratamento por conta de clientes empresariais é regido pelo DPA (em /dpa).

14. Transferência internacional

Alguns subprocessadores tratam dados fora do Brasil. Nesses casos a transferência se apoia nas hipóteses do Art. 33 da LGPD, com as Cláusulas-Padrão Contratuais da ANPD (Resolução 19/2024) firmadas com os subprocessadores. O detalhe por engajamento fica no DPA.

15. Usuários internacionais

O RAGE atende hunters fora do Brasil (por exemplo, na Índia e na União Europeia). Se você usa o Serviço fora do Brasil, os seus dados pessoais são tratados na nossa infraestrutura em nuvem, no Brasil. Aplicamos a LGPD como base e honramos os direitos equivalentes do GDPR (União Europeia) e do Digital Personal Data Protection Act (Índia, 2023) quando aplicáveis a você. Para exercer qualquer direito, escreva para [email protected].

16. Encarregado / contato

Encarregado pelo Tratamento de Dados (DPO, LGPD Art. 41): contato pelo canal [email protected]. Solicitações de titular e dúvidas de privacidade: [email protected].