Política de Privacidade

No DoesItDefend, levamos sua privacidade a sério. Esta Política de Privacidade explica como coletamos, usamos, divulgamos e protegemos suas informações quando você usa nossa plataforma de Breach & Attack Simulation para aplicações LLM.

1. Informações que Coletamos

1.1 Informações Pessoais

Podemos coletar informações pessoais que você fornece voluntariamente quando você:

• Registrar uma conta
• Usar nossa plataforma
• Entrar em contato com nossa equipe de suporte
• Assinar nossa newsletter
• Participar de pesquisas ou promoções

Estas informações podem incluir:

• Nome e endereço de e-mail
• Nome da empresa e cargo
• Informações de pagamento (processadas com segurança pelo nosso provedor de pagamento)
• Dados de uso e preferências

1.2 Dados de Uso

Coletamos automaticamente certas informações quando você visita, usa ou navega na plataforma. Esta informação não revela sua identidade específica, mas pode incluir:

• Informações do dispositivo e navegador
• Endereço IP e dados de localização
• Padrões de uso e interações com recursos
• Dados de log e desempenho

2. Como Usamos Suas Informações

Usamos as informações que coletamos para as seguintes finalidades, com suas respectivas bases legais conforme a LGPD (Art. 7):

• Fornecer, manter e melhorar nossos serviços
• Processar transações e enviar informações relacionadas
• Enviar informações administrativas e atualizações
• Responder a perguntas e oferecer suporte
• Enviar comunicações de marketing e promocionais (com seu consentimento)
• Proteger contra atividades fraudulentas ou ilegais
• Cumprir obrigações legais

Bases Legais (LGPD Art. 7)

• Fornecer e manter os serviços SaaS: Execução de contrato (Art. 7, V)
• Processar transações e pagamentos: Execução de contrato (Art. 7, V)
• Enviar informações administrativas: Execução de contrato (Art. 7, V)
• Responder a solicitações de suporte: Execução de contrato (Art. 7, V)
• Enviar comunicações de marketing: Consentimento (Art. 7, I)
• Analisar uso do produto e melhorias: Legítimo interesse (Art. 7, IX)
• Prevenir fraudes e garantir segurança: Legítimo interesse (Art. 7, IX)
• Cumprir obrigações legais: Obrigação legal (Art. 7, II)
• Executar simulações de ataque e gerar descobertas: Execução de contrato (Art. 7, V)

Uso de Inteligência Artificial

Utilizamos modelos de IA (principalmente Google Gemini) para alimentar o motor de simulação. A IA é utilizada para:

• Gerar cenários de ataque e probes adversariais adaptados à aplicação LLM alvo
• Classificar respostas defensivas (covered / partial / gap) contra MITRE ATT&CK e OWASP LLM Top 10
• Gerar descobertas, scoring de severidade e planos de remediação priorizados
• Responder a perguntas de metodologia via assistente in-product

Dados enviados ao provedor de IA:

• Configuração do alvo que você envia (metadados do endpoint, perfil de scan, escopo permitido)
• Parâmetros de cenários de ataque e catálogos de asserção
• Mensagens trocadas no assistente in-product
• Histórico de execuções e contexto de tenant necessário para escopar pacotes de evidência corretamente

Medidas de proteção:

• No chat assistente, dados pessoais identificáveis (emails, telefones, CPF, CNPJ) são mascarados automaticamente antes do envio ao provedor de IA
• O tratamento de dados pelo provedor de IA é regido por seus termos de uso. Consulte a política de privacidade de IA do Google para detalhes sobre uso de dados para melhoria de modelos
• Implementamos detecção de injeção de prompts e limites de entrada

Direito de revisão (LGPD Art. 20): Você tem o direito de solicitar revisão humana de decisões automatizadas que afetem seus interesses. Nossas descobertas e scores de severidade são saídas de apoio à decisão (não decisões automatizadas vinculantes); um analista de segurança da sua equipe é esperado para validar cada remediação antes da aplicação. Nossa metodologia completa: o conjunto de avaliação, graders e o scoring do defense lattice: está documentada internamente e pode ser resumida mediante solicitação via research@doesitdefend.ai. Para exercer este direito, entre em contato com nosso DPO.

3. Como Compartilhamos Suas Informações

Podemos compartilhar suas informações com:

• Provedores de Serviços: Terceiros que fornecem serviços em nosso nome
• Parceiros de Negócios: Parceiros com quem oferecemos produtos ou serviços conjuntamente
• Requisitos Legais: Quando exigido por lei ou para proteger nossos direitos
• Transferências de Negócios: Em conexão com uma fusão, venda ou aquisição

4. Segurança de Dados

Implementamos medidas de segurança técnicas e organizacionais apropriadas para proteger suas informações pessoais, incluindo:

• Criptografia em trânsito (TLS 1.2+) e em repouso (criptografia gerenciada pelo provedor)
• Avaliações de segurança e testes automatizados
• Controles de acesso e requisitos de autenticação
• Monitoramento, alertas e relatórios de erro

5. Seus Direitos de Privacidade

De acordo com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018), você tem os seguintes direitos sobre seus dados pessoais:

• Confirmação e acesso (Art. 18, I e II): confirmar se tratamos seus dados e solicitar cópia
• Correção (Art. 18, III): corrigir dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação (Art. 18, IV): de dados desnecessários, excessivos ou tratados em desconformidade
• Portabilidade (Art. 18, V): solicitar uma cópia de seus dados em formato estruturado entrando em contato com nosso DPO
• Eliminação (Art. 18, VI): solicitar a exclusão de sua conta e dados associados através das configurações da conta ou entrando em contato com nosso DPO
• Informação sobre compartilhamento (Art. 18, VII): saber com quem seus dados foram compartilhados
• Revogação do consentimento (Art. 18, IX): retirar consentimento a qualquer momento
• Revisão de decisão automatizada (Art. 20): solicitar revisão de decisões tomadas exclusivamente por meios automatizados
• Petição à ANPD (Art. 18, §2): reclamar junto à Autoridade Nacional de Proteção de Dados

Prazo de atendimento: 15 dias úteis a partir da solicitação (Art. 18, caput). Para exercer seus direitos, entre em contato com nosso Encarregado de Dados em privacy@doesitdefend.ai.

6. Cookies e Rastreamento

Utilizamos os seguintes cookies e tecnologias de rastreamento:

Cookies essenciais (não requerem consentimento): did_{environment}_access (autenticação JWT, 1 hora), did_{environment}_refresh (renovação de sessão, 30 dias) e doesitdefend-locale (preferência de idioma, 1 ano). Os cookies de autenticação usam HttpOnly, SameSite=Lax, Secure em produção e isolamento por ambiente.

Analytics first-party opcional: somente depois de selecionar Permitir analytics, registramos page views públicas, interações com CTAs e demo e conclusão do cadastro por logging server-side no Google Cloud. Guardamos no localStorage um identificador opaco e a atribuição first-touch por até 30 dias; a escolha de consentimento fica por até 180 dias. Nunca incluímos prompts, resultados privados, nome, email, query string completa ou URL completa do referrer. Não usamos Google Analytics, pixels publicitários nem vendemos dados. Base legal: consentimento (LGPD Art. 7º, I / GDPR Art. 6(1)(a)).

Gerenciamento: selecione Preferências de analytics no rodapé para permitir, rejeitar ou revogar o analytics opcional. Rejeição ou revogação apaga imediatamente os identificadores do navegador e interrompe eventos não essenciais. A telemetria server-side é retida por 180 dias. Para solicitar exclusão de dados de uso vinculados ao workspace, contate nosso DPO (privacy@doesitdefend.ai). Armazenamento essencial de autenticação e idioma não pode ser desativado sem comprometer o serviço.

7. Retenção de Dados

Retemos seus dados pessoais pelos seguintes períodos:

• Dados de conta: retidos enquanto sua conta estiver ativa e excluídos mediante solicitação de exclusão da conta
• Dados de pagamento: retidos conforme exigido para conformidade fiscal e legal
• Logs de acesso: retidos por até 6 meses (Marco Civil da Internet, Art. 15)
• Analytics events: retidos por período limitado para apoio à melhoria do produto
• Descobertas e pacotes de evidência: retidos enquanto sua conta estiver ativa (exportação disponível mediante solicitação)
• Cache de simulações: temporário (expira automaticamente)
• Tokens de autenticação: expiram automaticamente após seu tempo de vida configurado

Retemos dados pessoais apenas pelo tempo necessário para cumprir as finalidades descritas nesta política ou conforme exigido por lei. Você pode solicitar a exclusão de sua conta e dados associados a qualquer momento entrando em contato com nosso DPO.

8. Privacidade de Crianças

Nossos serviços não são destinados a indivíduos menores de 18 anos, em conformidade com o Estatuto da Criança e do Adolescente (ECA) e o ECA Digital (vigente desde março de 2026). Não coletamos intencionalmente informações pessoais de crianças ou adolescentes. Se identificarmos que um menor forneceu dados pessoais, tomaremos medidas imediatas para excluir essas informações. Pais ou responsáveis que tomem conhecimento de que um menor nos forneceu dados devem entrar em contato imediatamente em privacy@doesitdefend.ai.

9. Transferências Internacionais de Dados

Seus dados podem ser transferidos e processados fora do Brasil nas seguintes situações:

• Google (Gemini AI): EUA: orquestração de simulações e scoring: Cláusulas-Padrão Contratuais (Resolução ANPD 19/2024)
• Google (Cloud Run / Logging): EUA: hospedagem, logs estruturados, traces: Cláusulas-Padrão Contratuais
• Stripe: EUA: processamento de pagamentos: Cláusulas-Padrão Contratuais
• AWS / GCP object storage: EUA ou UE: armazenamento criptografado de pacotes de evidência: Cláusulas-Padrão Contratuais
• Anthropic, OpenAI (opcional, futuro): EUA: provedores alternativos de modelo, somente se explicitamente habilitado pelo tenant: Cláusulas-Padrão Contratuais

Implementamos salvaguardas apropriadas para transferências internacionais, incluindo Cláusulas-Padrão Contratuais quando aplicável. Para mais detalhes sobre os arranjos contratuais, entre em contato com nosso DPO.

Integrações opcionais configuradas por você (como HubSpot, Salesforce ou Slack) podem envolver transferências adicionais de dados regidas por seus próprios acordos com esses provedores.

Relatório de Impacto à Proteção de Dados (RIPD)

Em conformidade com os Arts. 5, XVII e 38 da LGPD, estamos elaborando um Relatório de Impacto à Proteção de Dados Pessoais (RIPD) para documentar os processos de tratamento de dados pessoais, a avaliação de riscos associados ao uso de inteligência artificial e as medidas técnicas e organizacionais de mitigação implementadas. O RIPD será disponibilizado à ANPD quando solicitado.

10. Alterações a Esta Política

Podemos atualizar esta Política de Privacidade de tempos em tempos. Notificaremos você sobre quaisquer alterações publicando a nova política nesta página e atualizando a data de "Última atualização". Seu uso contínuo de nossos serviços após quaisquer alterações indica sua aceitação da política atualizada.

11. Contate-nos

Se você tiver dúvidas sobre esta Política de Privacidade ou nossas práticas de dados, entre em contato conosco:

• Encarregado de Dados (DPO): privacy@doesitdefend.ai
• Suporte: support@doesitdefend.ai
• Jurídico: legal@doesitdefend.ai
• Lumina Serviços de Consultoria LTDA: CNPJ 57.150.909/0001-43: Santa Bárbara d’Oeste, São Paulo, Brasil
• Prazo de resposta: 15 dias úteis.