POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS

Para fins desta Política, adotam-se os seguintes conceitos, conforme previstos na LGPD:

• Dado Pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado Pessoal Sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico.
• Titular: pessoa natural a quem se referem os dados pessoais.
• Contratante: pessoa física ou jurídica que contrata os serviços da Plataforma.
• Controlador: pessoa a quem competem as decisões referentes ao tratamento de dados pessoais. No caso desta Política, é a Zentinel Guard.
• Operador: pessoa que realiza o tratamento em nome do Controlador.
• Tratamento: toda operação realizada com dados pessoais (coleta, armazenamento, uso, compartilhamento, eliminação etc).
• Encarregado (DPO): pessoa indicada para atuar como canal de comunicação entre o Controlador, os titulares e a ANPD.

4.1. O conteúdo enviado pelo Contratante ao cofre (arquivos, documentos, fotos, vídeos) é tratado pela Zentinel Guard na qualidade de Operadora dos dados, sendo o Contratante o Controlador dos dados que armazena.

4.2. Proteção padrão: Os arquivos são transmitidos por túneis criptografados TLS 1.3 e armazenados em infraestrutura S3 (Backblaze B2) com criptografia AES-256 na camada de storage. Cada cofre é segregado por credenciais exclusivas e isolamento estrito de tenant.

4.3. Acesso técnico da Plataforma: Para viabilizar (i) a recuperação automatizada de senha, (ii) a geração de backups de resgate solicitados pelo Contratante, e (iii) o atendimento a ordens judiciais (ver Termos, cláusula 07), a Plataforma mantém mecanismos técnicos que permitem, mediante procedimentos internos controlados e auditáveis, o acesso aos dados armazenados.

4.5. Monitoramento operacional: A Plataforma monitora exclusivamente metadados operacionais como volume de armazenamento consumido (GB), número de arquivos, ações realizadas (upload, download, exclusão) e registros de auditoria de segurança. Este monitoramento não envolve leitura do conteúdo dos arquivos.

4.6. Chave-mestra: No cadastro, o Contratante recebe uma chave-mestra de 12 palavras, exibida uma única vez. A Plataforma não armazena a chave-mestra: guarda apenas uma impressão digital criptográfica que permite reconhecê-la quando digitada, sem revelá-la. A guarda da chave-mestra é de responsabilidade exclusiva do Contratante.

4.7. Acesso pela chave-mestra: Para proteger o titular, o primeiro uso da chave-mestra gera um pedido de acesso com espera de 24 (vinte e quatro) horas, comunicado ao e-mail principal e aos aparelhos conectados, com a opção de cancelamento. Concluída a espera, o acesso abre uma sessão de 10 (dez) minutos que permite somente consultar o cofre e trocar o e-mail principal (mediante código enviado ao novo e-mail); downloads, exclusões, alterações de dados, pagamentos e demais ações ficam bloqueados.

4.8. Uso único e renovação: Por segurança, a chave-mestra deixa de valer depois de usada ou de ter um pedido de acesso cancelado, devendo ser renovada no próximo acesso com a senha. Fora dessas hipóteses, a renovação voluntária pode ser feita uma vez a cada 30 (trinta) dias.

4.9. Troca do e-mail principal: A troca do e-mail principal encerra todas as sessões ativas da conta (painel, aplicativo e Agentes Sombra), atualiza o e-mail junto ao processador de pagamentos e é comunicada ao e-mail anterior.

5.1. A Zentinel Guard compartilha dados pessoais apenas com terceiros indispensáveis à operação do serviço, denominados Operadores, sob rígidos acordos de confidencialidade e proteção de dados.

5.2. Operadores contratados:

5.3. A Zentinel Guard jamais venderá ou alugará seus dados pessoais. O único compartilhamento com plataformas de anúncios é a medição descrita na Seção 07, feita somente com o seu consentimento, com e-mail e telefone em formato hash, e sem autorização para que essas plataformas usem os dados para personalizar anúncios. O conteúdo do seu cofre nunca é compartilhado.

5.4. A Plataforma poderá compartilhar dados com autoridades públicas quando exigido por ordem judicial, requisição de autoridade competente, ou para cumprimento de obrigação legal, nos termos da cláusula 07 dos Termos de Serviço.

5.5. Parceiros (programa de indicação): O parceiro que indicou o Contratante recebe apenas informações agregadas (como quantidade de clientes e planos), nunca dados pessoais ou conteúdo do cofre. Quando o cadastro ocorre por link de um parceiro com integração de anúncios aprovada pela Zentinel Guard, o aviso de "cadastro concluído" (com código aleatório e identificadores do anúncio clicado, sem dados pessoais) também é enviado à conta de anúncios desse parceiro no Google Ads e/ou na Meta.

6.1. Considerando que alguns dos nossos Operadores estão sediados fora do Brasil (principalmente EUA), ocorre transferência internacional de dados pessoais no funcionamento do serviço.

6.2. Fundamento legal: A transferência é realizada nos termos do Art. 33 da LGPD, com base em:

• Execução de contrato de que o titular seja parte e cumprimento de obrigação legal (Art. 33, IX, combinado com o Art. 7º, V e II);
• Garantias contratuais de proteção de dados firmadas com os Operadores internacionais, quando aplicável (Art. 33, II).

6.2.1. Os arquivos do cofre são armazenados cifrados na região us-east-005 (EUA) da Backblaze.

6.3. A Zentinel Guard adota providências para garantir que os Operadores internacionais ofereçam grau de proteção adequado, conforme regulamentação da ANPD.

7.1. A Plataforma utiliza cookies e tecnologias similares para viabilizar seu funcionamento e melhorar a experiência do usuário.

7.2. Tipos de cookies utilizados:

• Essenciais: necessários para autenticação, manutenção de sessão e funcionamento do painel (não podem ser desativados);
• Preferências: armazenam suas configurações (tema claro/escuro, biometria, tempo de auto-logout);
• Indicação e origem (armazenamento local, 30 dias): guardam a hashtag do parceiro e os parâmetros do anúncio de origem, para vincular corretamente o cadastro ao parceiro e à campanha;
• Publicitários (medição de conversões): tag do Google Ads e Pixel da Meta, usados para saber quais anúncios geram cadastros e assinaturas. Eles só são carregados depois que você clica em "Aceitar" no aviso de cookies do site. Quando o cadastro vem de um parceiro com integração aprovada, o evento de cadastro pode ser enviado à conta de anúncios desse parceiro (ver 5.5).

7.3. No primeiro acesso ao site, um aviso permite aceitar ou recusar os cookies publicitários; sem o aceite, eles não são carregados nas páginas do site. A sua escolha fica guardada no navegador por até 12 (doze) meses e vale para o site e para o painel do cofre (cofre.zentinelguard.com). O aviso de "cadastro concluído" descrito no item 5.5 (sem dados pessoais, enviado uma única vez após o cadastro) tem como base o legítimo interesse da Zentinel Guard em medir a eficácia das suas campanhas e das campanhas dos parceiros, e não é enviado se você tiver recusado os cookies publicitários. Para mudar a sua escolha, apague os cookies do site no navegador (o aviso volta a aparecer) ou escreva para o canal da Seção 13; a desativação de cookies essenciais impedirá o funcionamento adequado da Plataforma.

7.4. Caixa opcional no cadastro: Ao criar o cofre, você pode marcar, se quiser, a caixa que autoriza a medição dos anúncios. Ela vem desmarcada, e o cofre pode ser criado sem marcá-la.

7.5. Medição da assinatura pelo servidor: Quando há consentimento (aceite no site ou caixa marcada no cadastro), nossos servidores informam diretamente ao Google e à Meta que a primeira assinatura paga veio de um anúncio deles, com os dados indicados na Seção 05 (e-mail e telefone em formato hash). Renovações não são informadas. Também informamos a essas plataformas que não autorizamos o uso desses dados para personalizar anúncios.

7.6. Quem recusa: Se você recusar os cookies e não marcar a caixa do cadastro, nenhum dado seu é enviado ao Google ou à Meta para a medição da assinatura. Isso não afeta em nada o uso do cofre. O consentimento pode ser revogado a qualquer momento pelo canal da Seção 13, valendo para os envios futuros.

8.1. Durante o contrato: Os dados são retidos enquanto durar a relação contratual entre o Contratante e a Zentinel Guard.

8.2. Direito de arrependimento (7 dias): Se exercido, gera exclusão imediata dos dados do cofre.

8.3. Exclusão da conta pelo Contratante: O Contratante pode excluir a conta a qualquer momento, pelo painel ou pelo aplicativo, mediante confirmação de senha. Os arquivos do cofre são apagados de forma imediata e irreversível (Hard Delete), e a assinatura é cancelada. Permanecem apenas os registros mínimos descritos no item 8.5.

8.3.1. Período de teste: Contas em teste gratuito que não contratarem um plano até o fim do teste são excluídas automaticamente, com apagamento irreversível dos arquivos do cofre.

8.4. Inadimplência: A permanência da fatura em aberto por mais de 90 (noventa) dias corridos acarreta a exclusão automática e irreversível do conteúdo, conforme cláusula 4.3 dos Termos.

8.5. Retenção pós-encerramento: Após a exclusão da conta, a Plataforma poderá reter, pelo prazo mínimo necessário, dados essenciais para:

• Cumprimento de obrigações legais e fiscais (nota fiscal: até 5 anos, conforme legislação tributária);
• Exercício regular de direitos em processo judicial ou administrativo (até prescrição das pretensões);
• Registros de logs de auditoria exigidos pelo Marco Civil da Internet (mínimo de 6 meses, conforme Art. 15 da Lei 12.965/2014).

8.6. Solicitação de exclusão antecipada: O Titular poderá solicitar a exclusão de dados retidos para fins legais antes do prazo, sob análise caso a caso, através do canal indicado na Seção 13.

A Zentinel Guard adota medidas técnicas e organizacionais compatíveis com o estado da arte da segurança da informação:

9.1. Medidas técnicas:

• Criptografia em trânsito via TLS 1.3 entre agente, backend e nuvem;
• Armazenamento cifrado em AES-256 na infraestrutura S3 (Backblaze B2);
• Chaves de criptografia protegidas em serviço de gestão de chaves (Google Cloud KMS);
• Senhas armazenadas com Argon2id, algoritmo de hash de senhas recomendado atualmente (nunca em texto claro); chave-mestra nunca armazenada;
• Acesso pela chave-mestra com espera de 24 horas, aviso ao titular, sessão limitada e uso único;
• Encerramento de todas as sessões ativas na troca do e-mail principal;
• Autenticação por token JWT com expiração configurada;
• Agente Sombra Windows assinado com certificado EV Code Signing;
• Inspeção heurística de Magic Bytes anti-ransomware no endpoint antes do upload;
• Lockdown automático em caso de detecção de atividade anômala;
• Isolamento estrito de tenant entre cofres de Contratantes distintos;
• Registros de auditoria encadeados por hash (SHA-256), que tornam detectável qualquer alteração posterior, com rastreamento de IP e metadados.

9.2. Medidas organizacionais:

• Acesso técnico aos dados restrito ao titular da Plataforma, mediante procedimento auditável;
• Contratos de confidencialidade com todos os Operadores;
• Revisão periódica das configurações de segurança;
• Política interna de resposta a incidentes.

9.3. Apesar das medidas adotadas, nenhum sistema é 100% imune a incidentes. Recomendamos ao Contratante manter boas práticas de segurança (senha forte, biometria ativa, dispositivo com sistema operacional atualizado).

Nos termos do Art. 18 da LGPD, o Titular dos dados tem direito de solicitar, a qualquer tempo, mediante requisição ao Encarregado:

1. Confirmação da existência de tratamento de seus dados;
2. Acesso aos dados tratados;
3. Correção de dados incompletos, inexatos ou desatualizados;
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
5. Portabilidade dos dados a outro fornecedor de serviço ou produto, observados os segredos comerciais;
6. Eliminação dos dados tratados com consentimento;
7. Informação das entidades públicas e privadas com as quais o Controlador realizou uso compartilhado;
8. Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
9. Revogação do consentimento, quando este for a base legal aplicável.

10.1. As solicitações devem ser enviadas para suporte@zentinelguard.com e serão respondidas em até 15 (quinze) dias corridos, salvo prazo distinto previsto em lei.

10.2. Para segurança do titular, poderemos solicitar comprovação de identidade antes de atender ao pedido, evitando fraudes e uso indevido dos direitos.

10.3. Reclamação à ANPD: O Titular tem o direito de peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD) caso entenda que seus direitos foram violados (www.gov.br/anpd).

11.1. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Zentinel Guard comunicará o fato à ANPD e aos titulares afetados em prazo razoável, conforme estabelecido em regulamentação específica (Art. 48 da LGPD).

11.2. A comunicação conterá, no mínimo: descrição da natureza dos dados afetados, informações sobre os titulares envolvidos, indicação das medidas técnicas de segurança utilizadas, riscos relacionados ao incidente e medidas adotadas para mitigar os efeitos.

12.1. A Plataforma não é destinada a menores de 18 (dezoito) anos. Não coletamos deliberadamente dados de menores.

12.2. Caso a Zentinel Guard identifique que dados de menores foram coletados indevidamente, procederá à exclusão imediata desses dados.

12.3. Pais e responsáveis que identifiquem que menores sob sua tutela criaram conta na Plataforma podem solicitar a exclusão através do canal indicado na Seção 13.

13.1. Nos termos do Art. 41 da LGPD, a Zentinel Guard indica como Encarregado:

13.2. Este canal é o meio oficial para o exercício dos direitos previstos na LGPD, requisições da ANPD e comunicações relacionadas ao tratamento de dados pessoais.

14.1. Esta Política pode ser atualizada a qualquer momento, para refletir evolução do produto, mudanças legislativas ou orientações da ANPD.

14.2. Alterações substanciais serão comunicadas ao Contratante por e-mail e/ou aviso no painel, com antecedência mínima de 15 (quinze) dias em relação à entrada em vigor.

14.3. A data da última atualização estará sempre indicada no topo desta Política.