Política de privacidade

1.Quem controla os seus dados

A responsável pelo tratamento dos dados (controladora) é a Smart Data Invest LLC, sociedade constituída em Flórida, Estados Unidos, que opera a Scanfull (scanfull.dev). Neste texto, "Scanfull", "nós" e "nosso" se referem a ela.

Para qualquer assunto de privacidade, inclusive para exercer seus direitos, o contato é help@scanfull.dev. Esse mesmo endereço funciona como canal do encarregado de proteção de dados (DPO), onde a lei exige um.

2.Quais dados coletamos e para quê

Coletamos dados em três momentos: quando você roda um scan, quando compra um plano e quando fala conosco.

• Ao rodar um scan (gratuito ou pago): a URL que você colou, o que o seu site respondeu ao nosso navegador (cabeçalhos, páginas, arquivos públicos), os achados e as evidências de cada falha, a nota resultante e o seu endereço IP. Finalidade: executar a auditoria, gerar o relatório, permitir o reteste e limitar abuso (o IP serve para o controle de volume por origem). Segredos encontrados no seu site, como chaves de API, são mascarados antes de qualquer gravação: guardamos uma versão parcial e um hash, nunca o valor completo.
• Ao comprar um plano (via Stripe): e-mail, nome e, se você quiser informar, telefone; o registro da compra (plano, valor, data, identificador do pagamento). Finalidade: enviar o link de acesso ao relatório e o link mágico do painel, emitir e cobrar, atender pedidos de reembolso e cumprir obrigações fiscais e contábeis. Não recebemos nem guardamos o número do seu cartão: isso fica com o Stripe.
• Ao falar conosco: o conteúdo do e-mail que você envia para help@scanfull.dev e o endereço de onde ele veio. Finalidade: responder e manter histórico do atendimento.
• Ao usar o site: registros técnicos gerados pela infraestrutura (data e hora da requisição, IP, navegador, página acessada), usados para operar o serviço, diagnosticar erros e proteger contra ataques.

Não pedimos nem queremos: senhas, dados de cartão, documentos de identidade ou qualquer dado sensível. Se você colocar um segredo dentro de uma URL enviada para scan, ele pode ficar registrado; por isso pedimos que nunca faça isso.

Também podemos gerar dados agregados e anonimizados (por exemplo, "x% dos sites feitos com determinada ferramenta expõem tal falha") para melhorar o serviço e publicar estatísticas. Esses dados não identificam você nem o seu site.

3.Em que nos baseamos para tratar os dados

Onde a lei exige uma base legal para cada tratamento (como na UE, no Reino Unido e no Brasil), usamos as seguintes:

• Execução de contrato: rodar o scan que você pediu, entregar o relatório, permitir o reteste, enviar os links de acesso e processar o pagamento.
• Legítimo interesse: limitar abuso e proteger a infraestrutura (IP e registros técnicos), diagnosticar erros, prevenir fraude, manter histórico de atendimento e produzir estatísticas anonimizadas. Nesses casos, avaliamos se o nosso interesse não prejudica seus direitos de forma desproporcional.
• Obrigação legal: guardar registros de pagamento pelo prazo que a lei fiscal e contábil exige, e atender ordens de autoridades.
• Consentimento: apenas para comunicações de marketing ou por WhatsApp, que você precisa autorizar de forma explícita e pode revogar a qualquer momento.

4.A sessão de acesso (planos + Usuário e + Admin)

Para auditar a área logada do seu site, você fornece uma sessão temporária do seu próprio navegador (o cookie ou token criado depois do login), nunca a senha. Essa sessão merece um tratamento próprio:

• Ela viaja apenas dentro do job do scan, até o navegador que executa a auditoria.
• É efêmera: usada enquanto o scan roda e descartada em seguida. Não é gravada em banco de dados, em log, em backup nem em qualquer outro lugar.
• Dados pessoais que o navegador venha a ver dentro da área logada (por exemplo, nomes de usuários do seu sistema) só entram no relatório na medida necessária para provar uma falha, como evidência, e sempre mascarados quando possível.

Recomendamos usar uma conta de teste ou encerrar a sessão (fazer logout) depois do scan, o que invalida o cookie fornecido.

5.Com quem compartilhamos

Não vendemos os seus dados, não os alugamos e não os compartilhamos para publicidade de terceiros. Compartilhamos apenas com quem precisa deles para o serviço funcionar (nossos operadores ou subprocessadores), todos sob contrato que os obriga a proteger os dados e a usá-los só para nos prestar o serviço:

• Stripe — processamento de pagamentos e checkout. É quem recebe os dados do seu cartão.
• Purelymail — envio e recebimento dos e-mails de help@scanfull.dev (links de acesso, suporte).
• Vercel — hospedagem do site e execução da aplicação.
• Neon — banco de dados (Postgres) onde ficam os scans, os achados e os registros de compra.
• Upstash — fila de processamento dos scans.

Além desses, podemos compartilhar dados quando a lei exigir (ordem judicial, requisição de autoridade competente), para proteger direitos, segurança ou propriedade da Scanfull e de terceiros, ou numa reorganização societária, fusão ou venda, caso em que o adquirente assume as obrigações desta política.

Divulgação responsável: se encontrarmos uma falha que afeta um terceiro, avisamos que ela existe, nunca onde nem como explorá-la. O detalhe técnico só vai para quem prova ser o dono do domínio.

6.Transferências internacionais

A Smart Data Invest LLC está nos Estados Unidos, e a nossa infraestrutura e os nossos operadores processam os dados lá. Se você está em outro país, seus dados serão transferidos para os Estados Unidos.

Quando a lei do seu país exige salvaguardas para essa transferência, usamos as previstas em lei: para dados vindos da UE, do Reino Unido e do Brasil, as cláusulas contratuais padrão aprovadas pelas autoridades competentes (ou instrumento equivalente) com os nossos operadores, além de medidas técnicas como criptografia em trânsito e em repouso. Você pode pedir mais informações sobre essas salvaguardas em help@scanfull.dev.

7.Por quanto tempo guardamos

Guardamos cada dado só pelo tempo necessário à finalidade para a qual foi coletado:

• Scans, achados e relatórios: enquanto o relatório precisar estar acessível pelo link e para permitir reteste e comparação entre scans do mesmo site. Você pode pedir a exclusão a qualquer momento.
• Dados de compra (e-mail, nome, telefone, registro do pagamento): pelo prazo que a lei fiscal e contábil exige para registros financeiros, e enquanto for necessário para atender reembolsos e disputas.
• Endereço IP e registros técnicos: por prazo curto, apenas o suficiente para o controle de abuso e o diagnóstico de erros.
• Sessão de acesso: não é guardada. É descartada assim que o scan termina.
• E-mails de suporte: pelo tempo necessário ao atendimento e ao histórico razoável da relação.

Depois desses prazos, os dados são apagados ou anonimizados, salvo se a lei exigir a guarda por mais tempo.

8.Como protegemos os dados

Aplicamos ao nosso próprio serviço o que cobramos dos sites que auditamos: tráfego criptografado (HTTPS), cabeçalhos de segurança rígidos, acesso ao banco de dados restrito e segredos encontrados mascarados antes de qualquer gravação, regra verificada por teste automatizado e por restrição no próprio banco de dados. O acesso ao conteúdo pago é feito por link com código único e longo, difícil de adivinhar.

Nenhum sistema é totalmente seguro. Se descobrirmos um incidente que afete seus dados, avisaremos você e as autoridades competentes conforme a lei exigir. Da sua parte, guarde os links de acesso com cuidado: quem tem o link vê o relatório.

9.Cookies

Usamos o mínimo. Hoje o site grava um único cookie, chamado "theme", que guarda a sua preferência de tema claro ou escuro por até um ano. Ele é estritamente funcional e não identifica você.

Não usamos cookies de publicidade, de rastreamento entre sites nem ferramentas de análise de terceiros. O acesso ao relatório funciona pelo código que está no próprio link, não por cookie. Se passarmos a usar outros cookies, esta seção será atualizada e, onde a lei exigir, pediremos o seu consentimento.

10.Menores de idade

A Scanfull é um serviço para maiores de 18 anos e não é dirigida a crianças ou adolescentes. Não coletamos dados de menores de forma consciente. Se você acredita que um menor nos forneceu dados, escreva para help@scanfull.dev e apagaremos o que for identificado.

11.Seus direitos (todos os países)

Independentemente de onde você mora, você pode nos pedir para:

• Saber quais dados temos sobre você e receber uma cópia.
• Corrigir dados incompletos ou errados.
• Apagar seus dados, salvo os que a lei nos obriga a guardar (como registros de pagamento).
• Receber seus dados num formato estruturado e de uso comum (portabilidade).
• Opor-se a um tratamento baseado em legítimo interesse, ou pedir que ele seja restringido.
• Retirar um consentimento que você deu, sem afetar o que foi feito antes.
• Saber com quem compartilhamos seus dados e quais salvaguardas usamos na transferência internacional.

Para exercer qualquer direito, escreva para help@scanfull.dev, de preferência a partir do e-mail usado na compra, para que possamos confirmar que o pedido é seu. Respondemos em até 30 dias, ou no prazo menor que a lei do seu país exigir; se precisarmos de mais tempo, avisamos. Não cobramos por isso, salvo em pedidos manifestamente repetitivos, quando a lei permitir. Você também pode reclamar à autoridade de proteção de dados do seu país.

As seções a seguir detalham direitos adicionais previstos em leis específicas.

12.União Europeia e Reino Unido (GDPR e UK GDPR)

Se você está no Espaço Econômico Europeu ou no Reino Unido, o tratamento dos seus dados segue o Regulamento Geral de Proteção de Dados (GDPR) e o UK GDPR. As bases legais que usamos estão na seção "Em que nos baseamos para tratar os dados": execução de contrato, legítimo interesse, obrigação legal e consentimento (este último só para marketing).

Além dos direitos gerais acima, você tem o direito de acesso, retificação, apagamento ("direito ao esquecimento"), portabilidade, oposição e restrição do tratamento, e de não ser submetido a decisões exclusivamente automatizadas com efeitos legais ou similares — a Scanfull não toma esse tipo de decisão sobre você. Quando tratamos dados com base em legítimo interesse, você pode se opor a qualquer momento, e pararemos, salvo se demonstrarmos motivos legítimos que prevaleçam.

Transferências: seus dados são transferidos para os Estados Unidos, amparadas por cláusulas contratuais padrão adotadas pela Comissão Europeia (e pelo instrumento equivalente do Reino Unido) com os nossos operadores, mais medidas técnicas complementares. Você pode pedir uma cópia das salvaguardas em help@scanfull.dev.

Você tem o direito de apresentar reclamação à autoridade de proteção de dados do seu país de residência, de trabalho ou do local da suposta infração; no Reino Unido, ao Information Commissioner's Office (ICO). A Smart Data Invest LLC não está estabelecida na UE nem no Reino Unido; se um representante local vier a ser designado, o contato será publicado nesta página.

13.Califórnia (CCPA/CPRA)

Se você mora na Califórnia, a California Consumer Privacy Act, alterada pela California Privacy Rights Act (CCPA/CPRA), garante direitos adicionais. Nos últimos 12 meses coletamos as seguintes categorias de dados pessoais: identificadores (nome, e-mail, telefone opcional, endereço IP); informações comerciais (registros de compra); informações de atividade na internet (URL enviada, registros técnicos de acesso ao site); e, quando você fornece uma sessão de acesso, o conteúdo que o navegador observa na área logada, apenas durante o scan. As fontes são você mesmo, o seu site e o Stripe (dados da compra). As finalidades e os destinatários estão nas seções anteriores.

Não vendemos dados pessoais nem os compartilhamos para publicidade comportamental entre contextos, e não fizemos isso nos últimos 12 meses. Não usamos nem divulgamos informações pessoais sensíveis para fins que exijam um direito de limitação. Por isso, não oferecemos um link "Do Not Sell or Share My Personal Information": não há o que recusar.

Seus direitos: saber quais dados coletamos, usamos e divulgamos, e para quem; pedir a exclusão; pedir a correção de dados incorretos; optar por não ter dados vendidos ou compartilhados (não aplicável, pois não fazemos isso); e não sofrer discriminação por exercer esses direitos — não negamos serviço, não cobramos preço diferente nem oferecemos qualidade diferente por causa de um pedido.

Para exercer os direitos, escreva para help@scanfull.dev. Verificamos a identidade comparando o e-mail do pedido com o registro da compra ou do scan; podemos pedir mais informações se for necessário. Você pode designar um agente autorizado para pedir em seu nome, com prova por escrito da autorização. Respondemos em até 45 dias, prorrogáveis por mais 45 quando a lei permitir, com aviso.

14.Brasil (LGPD)

Se você mora no Brasil, o tratamento dos seus dados segue a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018). A Smart Data Invest LLC é a controladora. O encarregado pelo tratamento de dados pessoais (DPO) pode ser contatado em help@scanfull.dev.

As bases legais que usamos são as da seção "Em que nos baseamos para tratar os dados", que correspondem, na LGPD, à execução de contrato (art. 7º, V), ao legítimo interesse (art. 7º, IX), ao cumprimento de obrigação legal (art. 7º, II) e ao consentimento (art. 7º, I), este último apenas para marketing.

Além dos direitos gerais, você pode pedir, conforme o art. 18 da LGPD: confirmação da existência de tratamento; acesso; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade; informação sobre compartilhamento; informação sobre a possibilidade de não dar consentimento e suas consequências; e revogação do consentimento. Respondemos em até 15 dias para pedidos de acesso completo, conforme a lei, e no menor prazo possível para os demais.

Transferência internacional: seus dados são processados nos Estados Unidos, com base nas hipóteses do art. 33 da LGPD, em especial cláusulas contratuais padrão com os nossos operadores e a execução do contrato que você celebrou conosco. Você pode apresentar petição à Autoridade Nacional de Proteção de Dados (ANPD).

15.Demais países

Se você mora em outro país, você tem, no mínimo, os direitos listados na seção "Seus direitos (todos os países)", além dos que a lei local garantir e não possam ser afastados por contrato. Trataremos qualquer pedido com o mesmo cuidado e pelo mesmo canal: help@scanfull.dev. Se a lei do seu país prevê prazo, autoridade ou procedimento específico, seguiremos o que ela determina.

16.Comunicações e marketing

Por padrão, só enviamos e-mails transacionais: o link de acesso ao relatório, o link mágico do painel, confirmações de pagamento e respostas de suporte. Esses e-mails fazem parte do serviço e não dependem de consentimento.

Comunicações de marketing, por e-mail ou WhatsApp, só acontecem se você autorizar expressamente, numa opção separada, que vem desmarcada. Você pode revogar essa autorização a qualquer momento, pelo link de descadastro no próprio e-mail ou escrevendo para help@scanfull.dev.

17.Alterações desta política

Podemos atualizar esta política para refletir mudanças no serviço, na lei ou nos nossos operadores. A data no topo indica a versão em vigor. Mudanças relevantes serão anunciadas no site e, quando tivermos seu e-mail de uma compra, por e-mail. Se uma mudança exigir seu consentimento, pediremos antes de aplicá-la.

18.Contato e encarregado (DPO)

Para qualquer assunto de privacidade, pedidos de exercício de direitos ou contato com o encarregado de proteção de dados: help@scanfull.dev. Smart Data Invest LLC · 7345 W Sand Lake Rd, STE 210, Orlando, FL 32819, EUA.