Política de Privacidade

O controlador de dados é [À COMPLÉTER : raison sociale complète], registrado sob [À COMPLÉTER : SIREN / Steuernummer / KvK / company number], com sede social em [À COMPLÉTER : adresse postale complète]. Para qualquer questão de proteção de dados, entre em contato com nosso Encarregado de Proteção de Dados em dpo@securssh.com.

• Dados de conta - endereço de e-mail, verificador de senha mestra com hash (PBKDF2 100.000 iterações), participação em equipes.
• Conteúdo do cofre - credenciais, registros de hosts, snippets, todos criptografados do lado do cliente. O servidor armazena apenas texto cifrado e não consegue acessar o conteúdo do cofre em texto puro.
• Log de auditoria - metadados de conexão, como timestamp, ator, identificador do host e tipo de ação. A retenção é de 24 meses nos planos Team e ilimitada em contratos Enterprise.
• Cobrança - gerenciada pelo Stripe. Nunca armazenamos números de cartão completos (PAN); apenas identificadores de cobrança, metadados de fatura e referência de cliente são armazenados em nossos sistemas.
• Analytics de uso - Google Tag Manager (container GTM-P7PRZ37K) e Google Analytics 4. Os eventos são anonimizados por padrão (truncamento de IP, sem recursos publicitários habilitados).

• Execução de contrato (Artigo 6(1)(b)) - gestão de conta, sincronização do cofre, cobrança.
• Interesse legítimo (Artigo 6(1)(f)) - log de auditoria de segurança, prevenção de fraude, detecção de abuso.
• Consentimento (Artigo 6(1)(a)) - cookies de analytics e demais cookies não essenciais.
• Obrigação legal (Artigo 6(1)(c)) - registros fiscais, contábeis, auditorias regulatórias ou de conformidade.

• Conta ativa - os dados são retidos enquanto a conta existir.
• Após exclusão - período de carência de 30 dias cobrindo a rotação de backups, após o qual os sistemas de produção e backup são purgados permanentemente.
• Log de auditoria - retenção por plano: 24 meses (Team), ilimitada (Enterprise) ou conforme configurado em contrato.
• Dados de cobrança - 10 anos, em conformidade com as obrigações contábeis e fiscais da UE.

• Direito de acesso (Artigo 15) - exportação completa dos dados disponível sob solicitação.
• Direito de retificação (Artigo 16) - disponível diretamente no painel de configurações da conta.
• Direito ao apagamento (Artigo 17) - integrado ao produto como exclusão de conta em um clique. É um recurso entregue, não um procedimento manual.
• Direito à portabilidade dos dados (Artigo 20) - exportação criptografada em JSON do cofre e dos dados da conta.
• Direito de oposição / restrição de tratamento (Artigo 21).
• Direito de apresentar reclamação a uma autoridade de controle - por exemplo, a CNIL (França), a Datatilsynet (Dinamarca), o BfDI (Alemanha), a AP (Holanda) ou a autoridade de controle do seu Estado-Membro da UE de residência.

Para exercer qualquer um desses direitos, entre em contato com privacy@securssh.com.

Os dados pessoais são armazenados e processados exclusivamente dentro da União Europeia. As cargas de produção rodam em regiões de data center da UE (Frankfurt, Amsterdã) sobre infraestrutura sediada na UE.

O SecurSSH não transfere dados pessoais para os Estados Unidos para armazenamento. Após a decisão SCHREMS II, isso elimina a incerteza jurídica associada a transferências para fora do EEE.

Os subprocessadores estão listados na seção 8 abaixo. Qualquer mudança futura de subprocessador que afete a residência dos dados é anunciada com pelo menos 30 dias de antecedência.

• Estritamente necessários - cookie de sessão, token CSRF, preferência de idioma. Necessários para o funcionamento do Serviço e não exigem consentimento.
• Analytics - Google Tag Manager e Google Analytics 4. Carregados apenas após o consentimento.
• Sem cookies de marketing de terceiros são implantados no site ou no produto SecurSSH.

• Stripe Payments Europe Ltd. (Irlanda) - processamento de pagamentos.
• Google Ireland Ltd. (Irlanda - representante da Google na UE) - analytics via Google Tag Manager e Google Analytics 4.
• [À COMPLÉTER : hébergeur EU] - hospedagem de produção e backups.
• [À COMPLÉTER : email transactionnel EU] - entrega de e-mails transacionais.

Um Acordo de Tratamento de Dados está disponível sob solicitação para Clientes nos planos Team e Enterprise. O DPA inclui as Cláusulas Contratuais Padrão (SCC), quando aplicável, a lista atualizada de subprocessadores, prazos de retenção e medidas de segurança alinhadas ao Artigo 28 do GDPR.

Para solicitar o DPA, escreva para dpa@securssh.com.

• Criptografia AES-GCM de ponta a ponta do conteúdo do cofre, executada do lado do cliente.
• PBKDF2 com 100.000 iterações para derivação de chave a partir da senha mestra.
• Criptografia em trânsito com TLS 1.3 em todos os endpoints do SecurSSH.
• Log de auditoria à prova de violação; modificações não autorizadas quebram a cadeia e são detectáveis.
• Revisões internas de segurança regulares e controles de acesso de menor privilégio para os operadores do SecurSSH.
• Roadmap: auditoria SOC 2 Type II planejada para o segundo semestre de 2026 (atualmente não certificado - não apresentado como obtido).

O Serviço destina-se ao uso profissional e não é dirigido a usuários com menos de 16 anos. O SecurSSH não coleta intencionalmente dados pessoais de crianças menores de 16 anos. Se você acredita que uma criança forneceu dados pessoais, entre em contato conosco para que possamos excluir os registros pertinentes.

Mudanças materiais nesta Política de Privacidade são notificadas com pelo menos 30 dias de antecedência da entrada em vigor, por e-mail aos Clientes ativos e por meio de banner no produto. Ajustes não materiais (erros de digitação, esclarecimentos) são publicados com data de revisão atualizada.

Consultas gerais sobre proteção de dados: privacy@securssh.com.

Encarregado de Proteção de Dados: dpo@securssh.com.