Política de Privacidade

1. Responsável pelo tratamento

O responsável pelo tratamento dos seus dados pessoais é Yenia Roman Bu, pessoa singular e titular do projeto AAA Sentinel (doravante "nós"), enquanto a sociedade que prestará o serviço não estiver constituída; quando estiver, informaremos e atualizaremos esta política. Endereço de contacto: compliance@aaa-sentinel.com.

2. Dados que coletamos

Coletamos as seguintes categorias de dados:

• Dados de registro: nome, email, senha (hash), empresa (opcional).
• Dados de uso: páginas visitadas, funcionalidades utilizadas, frequência de acesso e timestamps, a partir de logs da aplicação (não Google Analytics). Nas páginas públicas contamos também as visitas, a sua origem e as cliques nas chamadas à ação e as inscrições na lista de espera com o PostHog (região UE), sem cookies; recebe também dados técnicos do navegador e o IP, que só usa para calcular o identificador do dia e não guarda.
• Contas cloud: ARN de funções IAM (AWS), IDs de Service Principal (Azure) e chaves de Service Account (GCP) armazenadas cifradas com AWS KMS. Não pedimos nem guardamos a palavra-passe da consola cloud.
• Ligações de IA: chaves de API cifradas e metadados de gasto/uso do fornecedor.
• Resultados do serviço: achados, relatórios, tickets que abrir para Slack, Jira ou Linear, e ações de agente que aprovar.
• Dados de faturamento: processados pela Stripe. Não armazenamos números de cartão nem dados bancários em nossos servidores.
• Dados técnicos: endereço IP, tipo de navegador e sistema operacional em logs de API e CDN.
• Pedidos de suporte: o assunto e o texto que escreve ao abrir ou responder a um pedido a partir da aplicação, as capturas de ecrã e documentos que decidir anexar, o seu e-mail, a conta cloud que indicar e, se o permitir, a página a partir da qual o abriu e o seu navegador.

3. Finalidade do tratamento

Usamos seus dados para:

• Gerenciar sua conta e autenticação (Amazon Cognito).
• Executar análises de custo, postura de contas e gasto de IA com acesso somente leitura, salvo ações de agente que aprovar.
• Gerar relatórios, recomendações, alertas e, se configurar, tickets nas suas ferramentas.
• Processar pagamentos e gerenciar sua assinatura, extras e add-on de postura incluídos.
• Enviar comunicações de serviço (alertas, digests, mudanças de plano).
• Operar e melhorar a plataforma com métricas agregadas internas e, nas páginas públicas, com analítica sem cookies (PostHog, região UE); não usamos Google Analytics nem pixels publicitários.
• Atender os seus pedidos de suporte e avisá-lo por e-mail de cada resposta e mudança de estado.

4. Base legal

O tratamento é baseado em:

• Execução do contrato: para prestar o serviço (teste, Pro ou Business, extras e add-on).
• Consentimento: para lembrar a escolha do banner (armazenamento local) e, se houver, comunicações comerciais. A analítica das páginas públicas não usa cookies e não depende dessa escolha.
• Interesse legítimo: para medir de forma agregada e sem cookies o uso das páginas públicas (pode opor-se com Do Not Track ou Global Privacy Control no seu navegador, ou escrevendo para compliance@aaa-sentinel.com), e para prevenir fraudes e melhorar a segurança, incluindo a verificação reCAPTCHA no cadastro, na recuperação de senha, na lista de espera e no formulário de contacto.
• Obrigação legal: para cumprir obrigações fiscais e regulatórias.

5. Subprocessadores

Compartilhamos dados com os seguintes fornecedores, sob acordos de processamento:

• Amazon Web Services (AWS): infraestrutura (EU-West-1, Irlanda; o monitoramento confirma as quedas a partir de EU-Central-1, Frankfurt). Cognito, DynamoDB, Lambda, S3 e KMS.
• Stripe: processamento de pagamentos (PCI DSS Nível 1).
• Google Cloud (Vertex AI, modelos Gemini): provedor principal da assistência de IA (explicações de achados, rascunhos de tickets e de remediação e rascunhos de respostas a questionários de segurança), na multirregião UE do Vertex AI. Também redige o conteúdo de marketing (blog, posts e newsletter) a partir dos factos do produto, sem dados pessoais. Não usamos esses dados para treinar modelos.
• Amazon Bedrock (AWS, us-east-1, EUA): contingência da assistência de IA e da redação do conteúdo de marketing. Só recebe o pedido quando o Gemini falha ou não responde a tempo. Não usamos esses dados para treinar modelos.
• Por sua instrução: Slack, Jira ou Linear só se ligar um canal ou ticket.
• PostHog (região UE): analítica sem cookies das páginas públicas (visitas, origem e inscrições na lista de espera), através do nosso próprio domínio. Nada é enviado a partir da aplicação nem da consola.
• Google (reCAPTCHA): verificação anti-robôs nos formulários de cadastro, de recuperação de senha, de lista de espera e de contacto. Recebe dados técnicos do navegador e o endereço IP ao usar esses formulários, para fins de prevenção de fraudes. Nesse tratamento o Google atua como controlador independente, de acordo com sua própria política de privacidade.

Não vendemos nem cedemos seus dados pessoais a terceiros para fins comerciais.

6. Transferências internacionais

Nossa infraestrutura principal está hospedada na AWS EU-West-1 (Irlanda). A Stripe pode processar dados nos EUA sob as Cláusulas Contratuais Padrão da Comissão Europeia e o EU-US Data Privacy Framework. O Google pode processar os dados da verificação reCAPTCHA nos EUA com as mesmas garantias. Os dados de analítica do PostHog são tratados na UE. A assistência de IA usa o Gemini na multirregião UE da Google; só se falhar, o pedido passa para o Amazon Bedrock nos EUA (us-east-1), ao abrigo das Cláusulas Contratuais Padrão e do EU-US Data Privacy Framework.

7. Segurança dos dados

Implementamos medidas técnicas e organizacionais que incluem:

• Criptografia em trânsito (TLS 1.2+) e em repouso (AES-256 / KMS).
• Chaves GCP e de APIs de IA cifradas com AWS KMS.
• Isolamento multi-tenant: a organização vem sempre da sessão verificada, nunca do pedido.
• Registro de auditoria de ações relevantes, ao qual a aplicação apenas acrescenta entradas, conservado 12 meses.
• Acesso somente leitura, salvo o papel de escrita do agente que conceder e as ações que aprovar.

8. Retenção de dados

• Conta ativa: enquanto mantiver sua assinatura ativa.
• Após o cancelamento ou o fim do período de teste gratuito: 3 meses para exportação ou reativação, depois revogação dos acessos às suas contas cloud e eliminação completa, incluindo os usuários da sua equipe.
• Se você excluir sua organização pelo seu perfil: 14 dias para cancelar, depois exclusão completa, incluindo os usuários da sua equipe.
• Membros que saem da equipe ou são removidos: o usuário é excluído na hora, a menos que pertença a outra organização ou tenha uma própria com dados.
• Registro da aceitação dos Termos e das informações de privacidade: identificador interno, organização, versões aceitas e data, sem email nem nome. É conservado durante 5 anos como prova e depois apagado.
• Dados de faturamento: 5 anos por obrigação fiscal.
• Logs de segurança: 12 meses.
• Pedidos de suporte: 24 meses após o fecho.

9. Seus direitos

Você pode exercer os seguintes direitos a qualquer momento:

• Acesso: solicitar cópia dos seus dados pessoais.
• Retificação: corrigir dados inexatos.
• Eliminação: excluir sua organização e os dados dela pelo seu perfil (ou, se for membro, sair dela e excluir seu usuário), ou solicitar por e-mail.
• Portabilidade: receber seus dados em formato estruturado. O proprietário pode baixá-los a qualquer momento pelo seu perfil (ZIP com arquivos JSON, sem credenciais nem segredos).
• Oposição: opor-se ao tratamento baseado em interesse legítimo.
• Limitação: solicitar a restrição do tratamento.

Para exercer esses direitos, escreva-nos em compliance@aaa-sentinel.com. Responderemos em até 30 dias.

10. Cookies

Usamos armazenamento essencial no navegador (sessão Cognito, idioma, conta/cliente selecionados e a escolha do banner). Não instalamos Google Analytics: as páginas públicas usam o PostHog em modo sem cookies, que não guarda nada no seu navegador. Detalhe na Política de Cookies. Apenas as páginas de cadastro, de recuperação de senha, de lista de espera e de contacto carregam o Google reCAPTCHA, que pode usar cookies próprios para impedir abusos automatizados.

11. Alterações nesta política

Reservamo-nos o direito de modificar esta política. Notificaremos as mudanças relevantes por email e publicaremos a nova versão com a data de atualização.

12. Acesso interno da nossa equipe

Uma pequena equipe interna da AAA Sentinel pode acessar métricas agregadas da sua organização para operar a plataforma, faturar corretamente e prestar suporte. Esse acesso está sujeito às seguintes garantias:

• Princípio de agregação: nunca acessamos o conteúdo dos seus achados, identificadores dos seus recursos cloud, credenciais ou relatórios gerados na sua conta. Vemos apenas contagens, somas, médias e dados de faturamento.
• Autenticação reforçada: a equipe interna se autentica com MFA obrigatório em um diretório de identidade totalmente separado do de clientes.
• Registro de auditoria: cada acesso fica registrado, com quem, quando e o que foi consultado.
• Segregação de funções: nem toda a equipe interna vê as mesmas métricas; o acesso a dados econômicos é restrito a papéis específicos.
• Sem acesso por representação (impersonation): a equipe interna não pode entrar na sua conta como se fosse você. Se essa capacidade for habilitada no futuro, exigirá justificativa, uma janela de tempo limitada e notificação.

13. Contato

Para qualquer dúvida sobre privacidade: compliance@aaa-sentinel.com

14. Lista de espera e contactos comerciais

Se entrar na nossa lista de espera, nos escrever pelo formulário de contacto ou mantiver uma relação profissional connosco, tratamos os seus dados assim:

• Que dados: o nome, email, função, empresa, clouds, ferramentas de IA e número de contas que nos indicar, o seu idioma e a origem da visita (parâmetros UTM e página de proveniência). De contactos profissionais que não se inscreveram: nome, cargo, empresa e dados de contacto profissionais publicados pela própria pessoa ou pela sua empresa.
• Para quê: avisá-lo da abertura do produto e convidá-lo, enviar-lhe novidades do produto se o aceitou e, se ao inscrever-se aceitou também a newsletter quinzenal, enviar-lha, e manter uma relação comercial com empresas e parceiros.
• Base jurídica: o seu consentimento, confirmado com um segundo clique no email que lhe enviamos (lista de espera); o nosso interesse legítimo na relação entre empresas (contactos profissionais), ao qual se pode opor em qualquer momento.
• Durante quanto tempo: 7 dias se não confirmar. Lista de espera sem registo posterior, 12 meses desde o último contacto. Oportunidades comerciais fechadas, 24 meses.
• Onde e quem: na União Europeia (AWS, Irlanda), cifrados. Não são vendidos nem cedidos. Só acede pessoal autorizado da AAA Sentinel e cada acesso fica registado.
• Os seus direitos: cancelamento com um clique a partir de qualquer email; acesso, retificação, apagamento, oposição e portabilidade escrevendo para compliance@aaa-sentinel.com. Após um apagamento conservamos apenas uma marca irreversível do seu email e, se os seus dados provinham da nossa pesquisa de contactos profissionais, do identificador interno desse registo, para não voltar a contactá-lo nem a registá-lo.