Política de Privacidade

1. Controlador e operador

A Zalor atua como controladora nos tratamentos realizados para administração da conta, autenticação, cobrança, segurança da plataforma e demais finalidades próprias descritas nesta Política. Nos tratamentos realizados exclusivamente em nome de uma organização cliente, a definição das responsabilidades de controlador e operador dependerá das finalidades e circunstâncias do tratamento. Dados de domínios e resultados de scan são tratados para prestação do serviço contratado pela organização (cliente).

2. Dados que tratamos

• Conta: e-mail, nome, hash de senha, aceites de termos, verificação de e-mail.
• Organização: nome, dados de perfil/white-label e faturamento que você informar.
• Uso do serviço: domínios monitorados, horários de scan, findings, históricos, logs técnicos de acesso.
• Técnicos: endereço IP, user-agent em eventos de autenticação (segurança e anti-abuso).
• Navegação: a sessão usa um cookie HttpOnly restrito ao host do aplicativo. Outro cookie técnico entre os subdomínios apenas ajusta a navegação pública; ele não contém credenciais nem autoriza acesso à conta. Detalhes e escolhas estão na página de cookies e armazenamento.

O scanner coleta informações publicamente observáveis dos alvos que você autoriza (headers, DNS, TLS, portas testadas etc.). Não solicitamos acesso autenticado aos sistemas do cliente para o escopo padrão do produto. O fato de uma informação estar publicamente acessível não afasta, quando aplicável, a incidência da legislação de proteção de dados.

3. Finalidades e bases legais

• Execução de contrato / procedimentos preliminares (cadastro, scans, relatórios, suporte).
• Cumprimento de obrigação legal ou regulatória, quando aplicável.
• Legítimo interesse: segurança da plataforma, prevenção a fraude e abuso (com salvaguardas).
• Consentimento: quando exigido (ex.: comunicações de marketing, se houver. opt-in separado).

4. Compartilhamento

Podemos utilizar subprocessadores de infraestrutura (hospedagem, e-mail transacional, pagamentos) sob contratos compatíveis com a LGPD. Não vendemos dados pessoais.

5. Retenção

Orientação operacional típica (pode variar por plano ou obrigação legal):

• Conta ativa: enquanto necessária à prestação do serviço.
• Histórico de scans: enquanto o monitoramento do domínio estiver ativo e por até 90 dias após remoção do domínio, salvo obrigação legal.
• Logs de segurança/autenticação: até 180 dias, salvo investigação ou obrigação legal.
• Conta encerrada: exclusão ou anonimização em até 30 dias, ressalvadas obrigações legais e defesa de direitos.

6. Direitos do titular

Você pode solicitar confirmação de tratamento, acesso, correção, anonimização, portabilidade (quando aplicável), eliminação de dados desnecessários, informação sobre compartilhamentos, bem como solicitar informações sobre critérios e procedimentos aplicáveis a decisões automatizadas, quando cabível, e exercer os demais direitos previstos na legislação aplicável. Contato: página Contato.

7. Segurança

Adotamos medidas técnicas e organizacionais razoáveis (autenticação, isolamento multi-tenant, controles anti-SSRF no scanner, rate limiting). Nenhum sistema é isento de risco residual.

8. Transferência internacional

Quando houver transferência internacional de dados pessoais, a Zalor adotará os mecanismos previstos na LGPD e na regulamentação aplicável da ANPD (incluindo, quando cabível, cláusulas-padrão ou outros instrumentos adequados).

9. Alterações

Esta política pode ser atualizada. A versão vigente é a publicada nesta página (data no topo).