Política de privacidade

1.Quem controla os seus dados

A responsável pelo tratamento dos dados (controladora) é a Smart Data Invest LLC, sociedade constituída no estado de Delaware, Estados Unidos, com escritório em Orlando, Flórida, que opera a Scanfull (scanfull.dev). Neste texto, "Scanfull", "nós" e "nosso" se referem a ela.

Para qualquer assunto de privacidade, inclusive para exercer seus direitos, o contato é help@scanfull.dev. Esse mesmo endereço funciona como canal do encarregado de proteção de dados (DPO), onde a lei exige um.

2.Quais dados coletamos e para quê

Coletamos dados em três momentos: quando você roda um scan, quando compra um plano e quando fala conosco.

• Ao rodar um scan (gratuito ou pago): a URL que você colou, o que o seu site respondeu ao nosso navegador (cabeçalhos, páginas, arquivos públicos), os achados e as evidências de cada falha, a nota resultante e o seu endereço IP. Finalidade: executar a auditoria, gerar o relatório, permitir o reteste e limitar abuso (o IP serve para o controle de volume por origem). Segredos encontrados no seu site, como chaves de API, são mascarados antes de qualquer gravação: guardamos uma versão parcial e um hash, nunca o valor completo.
• Ao comprar um plano (via Stripe): e-mail, nome e, se você quiser informar, telefone; o registro da compra (plano, valor, data, identificador do pagamento). Finalidade: enviar o link de acesso ao relatório e o link mágico do painel, emitir e cobrar, atender pedidos de reembolso e cumprir obrigações fiscais e contábeis. Não recebemos nem guardamos o número do seu cartão: isso fica com o Stripe.
• Ao falar conosco: o conteúdo do e-mail que você envia para help@scanfull.dev e o endereço de onde ele veio. Finalidade: responder e manter histórico do atendimento.
• Ao usar o site: registros técnicos gerados pela infraestrutura (data e hora da requisição, IP, navegador, página acessada), usados para operar o serviço, diagnosticar erros e proteger contra ataques.

Para rodar as checagens, o navegador também pode requisitar caminhos e endpoints públicos comuns do seu site e consultar fontes públicas sobre o seu domínio, como os registros de Certificate Transparency usados para descobrir subdomínios. Isso fica na superfície pública e é somente leitura.

Não pedimos nem queremos: senhas, dados de cartão, documentos de identidade ou qualquer dado sensível. Se você colocar um segredo dentro de uma URL enviada para scan, ele pode ficar registrado; por isso pedimos que nunca faça isso.

Também podemos gerar dados agregados e anonimizados (por exemplo, "x% dos sites feitos com determinada ferramenta expõem tal falha") para melhorar o serviço e publicar estatísticas. Esses dados não identificam você nem o seu site.

3.Em que nos baseamos para tratar os dados

Onde a lei exige uma base legal para cada tratamento (como na UE, no Reino Unido e no Brasil), usamos as seguintes:

• Execução de contrato: rodar o scan que você pediu, entregar o relatório, permitir o reteste, enviar os links de acesso e processar o pagamento.
• Legítimo interesse: limitar abuso e proteger a infraestrutura (IP e registros técnicos), diagnosticar erros, prevenir fraude, manter histórico de atendimento e produzir estatísticas anonimizadas. Nesses casos, avaliamos se o nosso interesse não prejudica seus direitos de forma desproporcional.
• Obrigação legal: guardar registros de pagamento pelo prazo que a lei fiscal e contábil exige, e atender ordens de autoridades.
• Consentimento: apenas para comunicações de marketing ou por WhatsApp, que você precisa autorizar de forma explícita e pode revogar a qualquer momento.

4.A sessão de acesso (planos + Usuário e + Admin)

Para auditar a área logada do seu site, você fornece uma sessão temporária do seu próprio navegador (o cookie ou token criado depois do login), nunca a senha. Essa sessão merece um tratamento próprio:

• Ela viaja apenas dentro do job do scan, até o navegador que executa a auditoria.
• É efêmera: usada enquanto o scan roda e descartada em seguida. Não é gravada em banco de dados, em log, em backup nem em qualquer outro lugar.
• Dados pessoais que o navegador venha a ver dentro da área logada (por exemplo, nomes de usuários do seu sistema) só entram no relatório na medida necessária para provar uma falha, como evidência, e sempre mascarados quando possível.

Recomendamos usar uma conta de teste ou encerrar a sessão (fazer logout) depois do scan, o que invalida o cookie fornecido.

5.Monitoramento recorrente

Se você ligar o monitoramento recorrente de um relatório pago, rodamos de novo a auditoria automatizada de superfície pública no site daquele relatório na frequência que você escolheu (diária ou semanal) e enviamos um e-mail quando surge uma falha nova relevante. A área logada (+Usuário/+Admin) não entra no monitor automático, porque essa auditoria exige a sessão que você fornece a cada análise. Isso acrescenta o seguinte:

• Guardamos a sua escolha de monitoramento (se está ligado e com que frequência) no relatório e, quando uma passada encontra algo novo, um registro de alerta — para não enviar o mesmo e-mail duas vezes pelo mesmo evento.
• Os alertas são enviados para o e-mail da sua compra, como mensagem transacional de um serviço que você ativou. Podem incluir o endereço do site, um resumo do que é novo e um link para o relatório atualizado.
• Cada passada de monitoramento coleta os mesmos dados de scan descritos em "Quais dados coletamos e para quê", para as mesmas finalidades, de forma recorrente.

Você pode desligar o monitoramento a qualquer momento no painel "meus relatórios", o que interrompe as próximas passadas e alertas, e pode pedir a exclusão do histórico de alertas em help@scanfull.dev. O monitoramento não acrescenta novos destinatários: quem o executa são os mesmos operadores listados em "Com quem compartilhamos".

6.Com quem compartilhamos

Não vendemos os seus dados nem os alugamos. Compartilhamos com quem precisa deles para o serviço funcionar (nossos operadores ou subprocessadores) e, no site institucional, com as plataformas de anúncio que usamos para medir e direcionar nossas campanhas. Todos atuam sob contrato que os obriga a proteger os dados:

• Stripe — processamento de pagamentos e checkout. É quem recebe os dados do seu cartão.
• Purelymail — envio e recebimento dos e-mails de help@scanfull.dev (links de acesso, suporte).
• Vercel — hospedagem do site e execução da aplicação.
• Neon — banco de dados (Postgres) onde ficam os scans, os achados e os registros de compra.
• Upstash — fila de processamento dos scans.
• OpenAI — inteligência artificial do assistente de ajuda opcional (níveis +Usuário/+Admin), que guia você a liberar o acesso à sua área logada. Recebe as suas mensagens e o print de tela que você enviar, apenas para responder. O print é enviado à OpenAI e guardado por poucos dias (para melhorarmos o suporte) — não coloque senha nem dado sensível no print; se aparecer, borre. As correções do relatório NÃO usam IA de terceiro: são geradas por um catálogo próprio, no nosso servidor.
• Google (Google Analytics) — recebe, via os cookies de análise descritos na seção "Cookies", dados de uso do site (páginas acessadas, origem do tráfego) para gerar as estatísticas de audiência. Atua como nosso subprocessador.
• Meta (Facebook/Instagram) e LinkedIn — só nas páginas institucionais do site, recebem, via os pixels descritos na seção "Cookies", o sinal de que você visitou uma página ou realizou uma ação, para medir a eficácia dos nossos anúncios e permitir remarketing. Esse sinal não inclui o conteúdo dos seus scans, que nunca é compartilhado com plataformas de anúncio.

Além desses, podemos compartilhar dados quando a lei exigir (ordem judicial, requisição de autoridade competente), para proteger direitos, segurança ou propriedade da Scanfull e de terceiros, ou numa reorganização societária, fusão ou venda, caso em que o adquirente assume as obrigações desta política.

Divulgação responsável: se encontrarmos uma falha que afeta um terceiro, avisamos que ela existe, nunca onde nem como explorá-la. O detalhe técnico só vai para quem prova ser o dono do domínio.

7.Transferências internacionais

A Smart Data Invest LLC está nos Estados Unidos, e a nossa infraestrutura e os nossos operadores processam os dados lá. Se você está em outro país, seus dados serão transferidos para os Estados Unidos.

Quando a lei do seu país exige salvaguardas para essa transferência, usamos as previstas em lei: para dados vindos da UE, do Reino Unido e do Brasil, as cláusulas contratuais padrão aprovadas pelas autoridades competentes (ou instrumento equivalente) com os nossos operadores, além de medidas técnicas como criptografia em trânsito e em repouso. Você pode pedir mais informações sobre essas salvaguardas em help@scanfull.dev.

8.Por quanto tempo guardamos

Guardamos cada dado só pelo tempo necessário à finalidade para a qual foi coletado:

• Scans, achados e relatórios: enquanto o relatório precisar estar acessível pelo link e para permitir reteste e comparação entre scans do mesmo site. Você pode pedir a exclusão a qualquer momento.
• Dados de compra (e-mail, nome, telefone, registro do pagamento): pelo prazo que a lei fiscal e contábil exige para registros financeiros, e enquanto for necessário para atender reembolsos e disputas.
• Endereço IP e registros técnicos: por prazo curto, apenas o suficiente para o controle de abuso e o diagnóstico de erros.
• Sessão de acesso: não é guardada. É descartada assim que o scan termina.
• Configuração de monitoramento e histórico de alertas: enquanto o monitoramento estiver ligado, mais um período curto depois; você pode desligá-lo e pedir a exclusão a qualquer momento.
• E-mails de suporte: pelo tempo necessário ao atendimento e ao histórico razoável da relação.

Depois desses prazos, os dados são apagados ou anonimizados, salvo se a lei exigir a guarda por mais tempo.

9.Como protegemos os dados

Aplicamos ao nosso próprio serviço o que cobramos dos sites que auditamos: tráfego criptografado (HTTPS), cabeçalhos de segurança rígidos, acesso ao banco de dados restrito e segredos encontrados mascarados antes de qualquer gravação, regra verificada por teste automatizado e por restrição no próprio banco de dados. O acesso ao conteúdo pago é feito por link com código único e longo, difícil de adivinhar.

Nenhum sistema é totalmente seguro. Se descobrirmos um incidente que afete seus dados, avisaremos você e as autoridades competentes conforme a lei exigir. Da sua parte, guarde os links de acesso com cuidado: quem tem o link vê o relatório.

10.Cookies

Usamos o mínimo necessário. O site grava um cookie funcional chamado "theme", que guarda a sua preferência de tema claro ou escuro por até um ano — ele não identifica você.

Para entender como o site é usado e melhorá-lo, usamos o Microsoft Clarity, uma ferramenta de análise que grava dois cookies (_clck e _clsk) e registra, de forma agregada, cliques, rolagem e navegação (mapas de calor e gravação de sessão). Configuramos o Clarity no nível máximo de mascaramento: o texto das páginas e o que você digita são ocultados no seu navegador antes de qualquer envio. O Clarity é um serviço da Microsoft, que atua como nosso subprocessador.

Também usamos o Google Analytics 4 para medir o tráfego do site: de onde vêm os visitantes (busca, redes sociais, anúncios), quais páginas acessam e o que converte. Ele grava cookies próprios (como _ga e _ga_<id>) que atribuem ao seu navegador um identificador aleatório — não usamos esses dados para identificar você pessoalmente. O Google atua como nosso subprocessador; os dados podem ser usados para melhorar a medição dos nossos anúncios no Google.

Nas páginas institucionais do site, usamos dois pixels de publicidade para medir a eficácia dos nossos anúncios e permitir remarketing: o Meta Pixel (Facebook/Instagram), que grava o cookie _fbp, e o LinkedIn Insight Tag, que grava cookies próprios da LinkedIn (como li_sugr e UserMatchHistory). Eles informam à Meta e à LinkedIn que você visitou uma página nossa ou realizou uma ação, para que possamos medir conversões e mostrar anúncios a públicos parecidos. Esses são cookies de terceiros e podem envolver rastreamento entre sites por essas plataformas. Eles nunca recebem o conteúdo dos seus scans, achados ou relatórios.

Esses cookies de análise e de publicidade são carregados apenas nas páginas públicas do site — nunca nas páginas de relatório nem no painel de acesso, para que o link com o seu token de acesso não seja compartilhado com terceiros.

Você pode recusar os cookies de análise e de publicidade bloqueando cookies no seu navegador (ou os domínios clarity.ms, google-analytics.com, googletagmanager.com, facebook.com e licdn.com), ativando o sinal "Do Not Track"/GPC ou usando as preferências de anúncio da Meta e da LinkedIn — em qualquer caso sem perder o acesso ao serviço. O acesso ao relatório funciona pelo código que está no próprio link, não por cookie. Onde a lei exigir consentimento prévio para esses cookies, esta seção será atualizada e o consentimento será solicitado antes de ativá-los.

11.Menores de idade

A Scanfull é um serviço para maiores de 18 anos e não é dirigida a crianças ou adolescentes. Não coletamos dados de menores de forma consciente. Se você acredita que um menor nos forneceu dados, escreva para help@scanfull.dev e apagaremos o que for identificado.

12.Seus direitos (todos os países)

Independentemente de onde você mora, você pode nos pedir para:

• Saber quais dados temos sobre você e receber uma cópia.
• Corrigir dados incompletos ou errados.
• Apagar seus dados, salvo os que a lei nos obriga a guardar (como registros de pagamento).
• Receber seus dados num formato estruturado e de uso comum (portabilidade).
• Opor-se a um tratamento baseado em legítimo interesse, ou pedir que ele seja restringido.
• Retirar um consentimento que você deu, sem afetar o que foi feito antes.
• Saber com quem compartilhamos seus dados e quais salvaguardas usamos na transferência internacional.

Para exercer qualquer direito, escreva para help@scanfull.dev, de preferência a partir do e-mail usado na compra, para que possamos confirmar que o pedido é seu. Respondemos em até 30 dias, ou no prazo menor que a lei do seu país exigir; se precisarmos de mais tempo, avisamos. Não cobramos por isso, salvo em pedidos manifestamente repetitivos, quando a lei permitir. Você também pode reclamar à autoridade de proteção de dados do seu país.

As seções a seguir detalham direitos adicionais previstos em leis específicas.

13.União Europeia e Reino Unido (GDPR e UK GDPR)

Se você está no Espaço Econômico Europeu ou no Reino Unido, o tratamento dos seus dados segue o Regulamento Geral de Proteção de Dados (GDPR) e o UK GDPR. As bases legais que usamos estão na seção "Em que nos baseamos para tratar os dados": execução de contrato, legítimo interesse, obrigação legal e consentimento (este último só para marketing).

Além dos direitos gerais acima, você tem o direito de acesso, retificação, apagamento ("direito ao esquecimento"), portabilidade, oposição e restrição do tratamento, e de não ser submetido a decisões exclusivamente automatizadas com efeitos legais ou similares — a Scanfull não toma esse tipo de decisão sobre você. Quando tratamos dados com base em legítimo interesse, você pode se opor a qualquer momento, e pararemos, salvo se demonstrarmos motivos legítimos que prevaleçam.

Transferências: seus dados são transferidos para os Estados Unidos, amparadas por cláusulas contratuais padrão adotadas pela Comissão Europeia (e pelo instrumento equivalente do Reino Unido) com os nossos operadores, mais medidas técnicas complementares. Você pode pedir uma cópia das salvaguardas em help@scanfull.dev.

Você tem o direito de apresentar reclamação à autoridade de proteção de dados do seu país de residência, de trabalho ou do local da suposta infração; no Reino Unido, ao Information Commissioner's Office (ICO). A Smart Data Invest LLC não está estabelecida na UE nem no Reino Unido; se um representante local vier a ser designado, o contato será publicado nesta página.

14.Califórnia (CCPA/CPRA)

Se você mora na Califórnia, a California Consumer Privacy Act, alterada pela California Privacy Rights Act (CCPA/CPRA), garante direitos adicionais. Nos últimos 12 meses coletamos as seguintes categorias de dados pessoais: identificadores (nome, e-mail, telefone opcional, endereço IP); informações comerciais (registros de compra); informações de atividade na internet (URL enviada, registros técnicos de acesso ao site); e, quando você fornece uma sessão de acesso, o conteúdo que o navegador observa na área logada, apenas durante o scan. As fontes são você mesmo, o seu site e o Stripe (dados da compra). As finalidades e os destinatários estão nas seções anteriores.

Não vendemos dados pessoais por dinheiro. Porém, os pixels de publicidade descritos na seção "Cookies" (Meta Pixel e LinkedIn Insight Tag), nas páginas institucionais do site, podem configurar "compartilhamento" para publicidade comportamental entre contextos (cross-context behavioral advertising) sob a CPRA. Não usamos nem divulgamos informações pessoais sensíveis para fins que exijam um direito de limitação. Você pode recusar esse compartilhamento a qualquer momento: bloqueando cookies no seu navegador (ou os domínios facebook.com e licdn.com), ativando um sinal de opt-out reconhecido (Global Privacy Control / "Do Not Track"), ou escrevendo para help@scanfull.dev, que trataremos como pedido de opt-out de compartilhamento.

Seus direitos: saber quais dados coletamos, usamos e divulgamos, e para quem; pedir a exclusão; pedir a correção de dados incorretos; optar por não ter dados vendidos ou compartilhados (para o compartilhamento via pixels, use as opções do parágrafo acima); e não sofrer discriminação por exercer esses direitos — não negamos serviço, não cobramos preço diferente nem oferecemos qualidade diferente por causa de um pedido.

Para exercer os direitos, escreva para help@scanfull.dev. Verificamos a identidade comparando o e-mail do pedido com o registro da compra ou do scan; podemos pedir mais informações se for necessário. Você pode designar um agente autorizado para pedir em seu nome, com prova por escrito da autorização. Respondemos em até 45 dias, prorrogáveis por mais 45 quando a lei permitir, com aviso.

15.Brasil (LGPD)

Se você mora no Brasil, o tratamento dos seus dados segue a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018). A Smart Data Invest LLC é a controladora. O encarregado pelo tratamento de dados pessoais (DPO) pode ser contatado em help@scanfull.dev.

As bases legais que usamos são as da seção "Em que nos baseamos para tratar os dados", que correspondem, na LGPD, à execução de contrato (art. 7º, V), ao legítimo interesse (art. 7º, IX), ao cumprimento de obrigação legal (art. 7º, II) e ao consentimento (art. 7º, I), este último apenas para marketing.

Além dos direitos gerais, você pode pedir, conforme o art. 18 da LGPD: confirmação da existência de tratamento; acesso; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade; informação sobre compartilhamento; informação sobre a possibilidade de não dar consentimento e suas consequências; e revogação do consentimento. Respondemos em até 15 dias para pedidos de acesso completo, conforme a lei, e no menor prazo possível para os demais.

Transferência internacional: seus dados são processados nos Estados Unidos, com base nas hipóteses do art. 33 da LGPD, em especial cláusulas contratuais padrão com os nossos operadores e a execução do contrato que você celebrou conosco. Você pode apresentar petição à Autoridade Nacional de Proteção de Dados (ANPD).

16.Demais países

Se você mora em outro país, você tem, no mínimo, os direitos listados na seção "Seus direitos (todos os países)", além dos que a lei local garantir e não possam ser afastados por contrato. Trataremos qualquer pedido com o mesmo cuidado e pelo mesmo canal: help@scanfull.dev. Se a lei do seu país prevê prazo, autoridade ou procedimento específico, seguiremos o que ela determina.

17.Comunicações e marketing

Por padrão, só enviamos e-mails transacionais: o link de acesso ao relatório, o link mágico do painel, confirmações de pagamento e respostas de suporte. Esses e-mails fazem parte do serviço e não dependem de consentimento.

Comunicações de marketing, por e-mail ou WhatsApp, só acontecem se você autorizar expressamente, numa opção separada, que vem desmarcada. Você pode revogar essa autorização a qualquer momento, pelo link de descadastro no próprio e-mail ou escrevendo para help@scanfull.dev.

18.Alterações desta política

Podemos atualizar esta política para refletir mudanças no serviço, na lei ou nos nossos operadores. A data no topo indica a versão em vigor. Mudanças relevantes serão anunciadas no site e, quando tivermos seu e-mail de uma compra, por e-mail. Se uma mudança exigir seu consentimento, pediremos antes de aplicá-la.

19.Contato e encarregado (DPO)

Para qualquer assunto de privacidade, pedidos de exercício de direitos ou contato com o encarregado de proteção de dados: help@scanfull.dev. Smart Data Invest LLC · 7345 W Sand Lake Rd, STE 210, Orlando, FL 32819, EUA.