Política de Privacidade

Última atualização: 31 de agosto de 2026

Esta Política explica como a Guarita, operada por PCL DE SOUZA TECNOLOGIA (CNPJ 44.638.580/0001-12), trata seus dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD). Aqui, somos a controladora dos dados da sua conta.

1. Dados que coletamos

• Cadastro: nome, e-mail e senha (armazenada apenas como *hash* — nunca em texto puro).
• Consentimento: registramos quando você aceitou estes documentos e qual versão aceitou (no momento do cadastro), para podermos demonstrá-lo.
• Uso da plataforma: as URLs/domínios que você submete para análise, os resultados dos scans, o histórico de rondas e o plano contratado.
• Integração com a Vercel: quando você instala a integração, recebemos os identificadores da instalação, conta pessoal ou time, projetos autorizados, nomes e identificadores dos projetos, domínios/targets retornados pela Vercel e metadados necessários de deployments e webhooks. O token OAuth e eventual segredo de Automation Bypass são armazenados cifrados e nunca são devolvidos ao navegador após o cadastro.
• Integração com o Lovable: quando você conecta o servidor MCP, registramos os metadados públicos do cliente OAuth, as permissões aprovadas, o app/hostname que você autorizou, a prova pública publicada no app, os identificadores de rondas e o uso das ferramentas. Access e refresh tokens são opacos e armazenados somente como hashes; códigos OAuth e tickets são de uso curto e não são devolvidos ao painel. O conteúdo da prova não é segredo, mas fica vinculado à sua conta e ao onboarding que a criou.
• Integração com a Cloudflare: quando você conecta a integração, guardamos o token OAuth cifrado (e o *refresh token*, quando houver), os escopos que você aprovou e, de cada zona autorizada, o identificador, o nome e o plano. Com a permissão de leitura de DNS concedida, lemos até 1.000 registros por zona e guardamos apenas os nomes dos que são A, AAAA ou CNAME — não os endereços nem o resto do conteúdo do registro. Esses nomes entram no inventário da superfície (item abaixo) e são o que revela hosts do seu domínio no plantão. Guardamos ainda o rastro de cada regra temporária de WAF que criamos (zona, ruleset, identificador da regra, a ronda e os horários de criação e remoção) e, no plano gratuito da Cloudflare, o estado anterior do Bot Fight Mode. Esses dois últimos existem por um motivo só: poder desfazer o que fizemos na sua conta, mesmo se a ronda cair no meio (ver Termos de Uso §2.3). Tokens e segredos nunca voltam ao navegador.
• Superfície do domínio (plantão do domínio inteiro): guardamos o inventário dos hosts descobertos sob o domínio que você colocou em vigília — o nome do host, de qual fonte ele veio, o estado dele (em vigília, passivo, de terceiro, ignorado, sumido) e o histórico de rondas por host (data, veredicto e nota). Para descobrir esses hosts, o nome do seu domínio é consultado em bases públicas de terceiros (ver §3).
• Caixa de e-mail dos testes com login: os testes autenticados (*greybox*, postos Pro e Business) criam uma conta de teste no seu app, e isso exige ler o e-mail de confirmação que o seu app envia. Por padrão usamos uma caixa descartável de terceiro — o que significa que esse e-mail de confirmação passa por esse serviço (ver §3). Só acontece quando você liga esses testes, e por ronda.
• Registro de autorização: a cada análise registramos sua declaração de que tem autorização para o alvo — data e hora, o alvo, a versão dos Termos aceita e o IP da requisição. É evidência antiabuso e de defesa (ver Termos de Uso §2.1).
• Dados revelados nos scans: os resultados podem conter dados pessoais expostos pelo *seu* app (ex.: e-mails ou registros). Aqui você é a controladora e nós atuamos como operadora — só processamos para gerar seu relatório, e minimizamos/mascaramos quando possível (ver §3 e §7).
• Pagamento: processado pela Stripe. Não armazenamos os dados do seu cartão; recebemos da Stripe apenas identificadores e o status da assinatura.
• Técnicos: logs de acesso e dados estritamente necessários ao funcionamento e à segurança. Usamos apenas cookies essenciais (sua sessão de login) — não usamos cookies de rastreamento ou publicidade, então não há banner de consentimento a exibir.

2. Para que usamos (finalidade e base legal)

3. Com quem compartilhamos

Usamos prestadores que tratam dados em nosso nome, sob contrato (DPA). Não vendemos seus dados e não os usamos para publicidade de terceiros. Depois da tabela vêm os destinatários que não são subprocessadores: as integrações que você conecta e as bases públicas que consultamos durante a análise.

Quando você conecta a Guarita à Cloudflare, as nossas chamadas (listar zonas, ler registros de DNS, criar e remover a regra temporária de WAF, ler e restaurar o Bot Fight Mode) são feitas na sua própria conta Cloudflare, com o token que você concedeu e dentro dos escopos aprovados — então a Cloudflare recebe da Guarita os dados dessas operações, sob os termos que valem entre você e ela. Não entregamos à Cloudflare os seus relatórios, dados de outras contas nem dados de apps fora da zona autorizada.

Bases públicas consultadas na análise. Para o reconhecimento, a Guarita consulta registros que já são públicos, enviando o nome do domínio que você submeteu — nunca os dados da sua conta nem o conteúdo do relatório:

São consultas de leitura a registros públicos (certificados emitidos e páginas arquivadas), como qualquer pessoa faria — inclusive quem estivesse mirando o seu app. Esses serviços não tratam dados em nosso nome sob contrato: eles apenas respondem à consulta.

Caixa de e-mail nos testes com login. Nos testes autenticados (*greybox*), a Guarita cria uma conta de teste no seu app e precisa ler o e-mail de confirmação. O padrão da plataforma hoje é uma caixa descartável do mail.tm: o e-mail que o seu app envia — com o endereço da conta de teste e o link ou código de confirmação — passa por esse serviço. Isso ocorre somente quando você liga os testes autenticados (Pro e Business), por ronda; a ronda comum não usa caixa nenhuma. O provedor dessa caixa é configuração da plataforma e pode ser trocado por uma caixa própria (IMAP), pelo MailSlurp ou pela entrada do Resend — ou desligado, caso em que os testes autenticados não completam o cadastro em apps que exigem confirmação de e-mail.

Quando você conecta a Guarita ao Lovable, o Lovable recebe as respostas das ferramentas MCP que você ou o agente solicitar (por exemplo, estado da verificação, resumo de ronda e prompt de correção). Essa comunicação ocorre por sua escolha e sob os termos do Lovable; não entregamos ao Lovable o JWT do painel, hashes de tokens, dados de outros apps ou resultados de outras contas.

Seu papel nos dados dos scans: quanto aos dados pessoais que aparecem nos resultados (expostos pelo seu app), você é a controladora e nós, a operadora — tratamos apenas para gerar e armazenar o seu relatório, conforme estes Termos e sua instrução ao iniciar a análise.

4. Transferência internacional

Parte do tratamento ocorre em servidores fora do Brasil (ex.: Fly.io, Neon, Vercel e AWS nos EUA). Garantimos que essas transferências contam com salvaguardas adequadas, conforme os arts. 33 a 36 da LGPD.

5. Retenção

Mantemos seus dados enquanto a conta existir. O histórico de scans segue o período de retenção do seu plano. Ao excluir a conta, apagamos seus dados pessoais e dependentes (scans, uso, assinatura, domínios) — *hard delete* — ressalvados (a) os registros que a lei nos obrigue a manter (ex.: fiscais) e (b) o registro de autorização (data, alvo, versão dos Termos e IP), conservado para apuração de abuso e defesa em eventual processo (art. 16, II), conforme os Termos de Uso §2.1.

Na integração Vercel, o token OAuth e o segredo opcional de acesso a previews são descartados quando a conexão é removida. Eventos terminais da integração são retidos por até 30 dias para idempotência e auditoria operacional; execuções técnicas de deployment encerradas, por até 90 dias. Os relatórios de scan continuam sujeitos à retenção do plano.

Na integração Cloudflare, desconectar primeiro tenta desfazer o que criamos na sua conta — remover as regras temporárias de WAF ainda abertas e religar o Bot Fight Mode que estiver desligado por nós — e só então revoga a atestação de posse, apaga as zonas projetadas e marca a conexão como revogada. O que não sair na hora fica para a reconciliação, que é *best-effort* com teto de tentativas (ver Termos de Uso §2.3). O token cifrado continua guardado enquanto a conexão revogada existir, por um motivo prático: sem ele, uma regra que a Cloudflare tenha recusado remover ficaria sem meio de ser removida depois. Excluir a conta roda a mesma limpeza e então apaga conexões, tokens, zonas, evidências de verificação e o rastro das regras. O inventário da superfície (hosts descobertos e o histórico de rondas por host) dura enquanto a vigília existir: removê-la apaga os hosts daquele domínio; excluir a conta apaga todos. A caixa de e-mail descartável dos testes com login é de uso único e a Guarita pede o descarte dela ao fim da ronda (*best-effort* — a retenção dentro do serviço de caixa descartável é dele, não nossa).

Na integração Lovable, revogar o grant invalida os tokens MCP. Tickets e códigos OAuth expiram em minutos; access tokens duram até 1 hora e refresh tokens, até 30 dias, com rotação e revogação em caso de reutilização. O arquivo de prova deve permanecer publicado enquanto o app estiver protegido, pois o controle é revalidado periodicamente. Excluir a conta apaga grants, hashes de tokens e onboardings Lovable; o registro de autorização das rondas segue a ressalva acima.

6. Seus direitos (art. 18 da LGPD)

Você pode, a qualquer momento: confirmar a existência de tratamento; acessar, corrigir e atualizar seus dados; solicitar anonimização, bloqueio ou eliminação; solicitar a portabilidade; e revogar consentimento. Boa parte é autosserviço, em Configurações:

• Acesso e portabilidade: "Baixar meus dados" exporta tudo que guardamos sobre você em JSON — inclusive os dados das integrações conectadas (sem tokens nem segredos) e o inventário da superfície do domínio.
• Correção: edite nome e senha quando quiser.
• Eliminação: "Excluir conta" apaga seus dados em cascata (*hard delete*), na hora.

Para os demais pedidos (ex.: anonimização ou bloqueio parcial), fale com a gente (§9).

7. Segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados: senhas com *hash* (scrypt), tráfego sob TLS, segredos isolados, acesso restrito e princípio do menor privilégio. Os relatórios de scan podem conter informações sensíveis do seu app — tratamos esses dados com o mesmo cuidado e os mascaramos quando possível (ex.: credenciais encontradas).

Incidentes de segurança. Se ocorrer um incidente que possa acarretar risco ou dano relevante aos titulares, comunicaremos os afetados e a ANPD em prazo razoável, conforme o art. 48 da LGPD.

8. Crianças e adolescentes

A Guarita não se destina a menores de 18 anos e não coletamos intencionalmente dados dessa faixa.

9. Encarregado (DPO) e contato

Para exercer seus direitos ou tirar dúvidas sobre privacidade, fale com nosso Encarregado pelo Tratamento de Dados:

<contato@guarita.dev>

Responderemos nos prazos da LGPD. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

10. Alterações

Podemos atualizar esta Política. Mudanças relevantes serão comunicadas por e-mail ou na plataforma, com a data de atualização revisada no topo.