.env: LEGAL_NAME, LEGAL_CNPJ, LEGAL_ADDRESS, LEGAL_CITY, SUPPORT_EMAIL, DPO_NAME, DPO_EMAIL, HOSTING_PROVIDER, EMAIL_PROVIDER.
Os trechos destacados em amarelo mostram onde eles aparecem. Recomenda-se revisão por um advogado antes da publicação.
Política de Privacidade
Versão 2026-11-03 · Última atualização: 3 de novembro de 2026
- Os arquivos originais que você envia não são armazenados: são processados e descartados. Guardamos os relatórios e, por um prazo curto (24 horas a 7 dias, conforme o plano), a versão limpa dos arquivos verificados e o resultado do RAG Sanitizer.
- Não vendemos dados, não exibimos publicidade e não usamos seus arquivos para treinar modelos de IA.
- Usamos apenas um cookie essencial de sessão. Não usamos cookies de rastreamento ou de análise.
- Você pode acessar, corrigir, exportar ou excluir seus dados pelo e-mail do nosso encarregado.
1. Quem somos
O Maskena é operado por [RAZÃO SOCIAL], CNPJ [CNPJ], com sede em [ENDEREÇO COMPLETO]. Esta Política explica como tratamos dados pessoais, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD).
2. Nosso papel em relação aos dados
- Dados da sua conta e do uso do Serviço: somos o controlador.
- Dados pessoais de terceiros contidos nos arquivos que você envia: você é o controlador e nós atuamos como operador, tratando-os exclusivamente para prestar o Serviço a você.
3. Quais dados tratamos, por quê e por quanto tempo
| Dados | Finalidade | Base legal (LGPD, art. 7º) | Retenção |
|---|---|---|---|
| E-mail, senha (armazenada apenas como hash criptográfico), data de cadastro, confirmação do e-mail, versão e data do aceite destes documentos | Criar e manter sua conta, autenticar o acesso, enviar e-mails de confirmação, de redefinição de senha e avisos de segurança; comprovar o aceite | Execução de contrato (V); exercício regular de direitos (VI) | Enquanto a conta existir |
| Plano, status da assinatura, identificadores de cliente e de assinatura no Stripe, histórico de compras (pacote, valor, data), saldo de créditos | Cobrança, gestão da assinatura e dos créditos, atendimento | Execução de contrato (V); cumprimento de obrigação legal (II) | Enquanto a conta existir; registros de pagamento pelo prazo exigido pela legislação fiscal (em geral, 5 anos) |
| Contadores de uso da cota mensal | Aplicar os limites do plano | Execução de contrato (V) | Enquanto a conta existir |
| Relatórios de análise: nome, tamanho, tipo e hash SHA-256 do arquivo, nota de risco e achados, incluindo trechos curtos do conteúdo (até cerca de 240 caracteres por achado) como evidência — credenciais encontradas são mascaradas | Exibir o resultado e o histórico das suas análises | Execução de contrato (V) | Enquanto a conta existir ou até a solicitação de exclusão |
| Versão limpa dos arquivos verificados: cópia do arquivo (ou do seu texto) com dados pessoais trocados por marcadores e sem texto escondido. Os relatórios registram apenas a quantidade de dados pessoais por tipo, nunca os valores | Disponibilizar a versão limpa para download | Execução de contrato (V) | 24 horas (Grátis), 3 dias (Pro) ou 7 dias (Business), com exclusão automática; você pode excluir antes |
| Chave da versão limpa (apenas planos pagos): relação entre cada marcador (como [PESSOA 1]) e o dado original correspondente (nome, endereço, CPF etc.) | Permitir que você devolva os dados originais à resposta da IA. A troca é feita no seu navegador: a resposta da IA não é enviada aos nossos servidores | Execução de contrato (V) | O mesmo prazo da versão limpa (3 dias no Pro, 7 dias no Business), com exclusão automática; você pode excluir antes |
| Resultados do RAG Sanitizer: texto extraído e limpo, blocos (chunks), trechos removidos e relatório | Disponibilizar o resultado para download | Execução de contrato (V) | 24 horas (Grátis), 3 dias (Pro) ou 7 dias (Business), com exclusão automática; você pode excluir antes |
| Chave de API (armazenada apenas como hash, mais um prefixo para identificação) | Autenticar o acesso à API | Execução de contrato (V) | Até ser substituída ou a conta ser excluída |
| Endereço IP | Limitar tentativas de login, cadastro e uso, prevenindo fraudes e abusos | Legítimo interesse (IX) | Em memória por até 1 hora |
| Registros técnicos de acesso (IP, data e hora, endereço acessado, navegador) | Segurança, investigação de incidentes e cumprimento do Marco Civil da Internet | Cumprimento de obrigação legal (II); legítimo interesse (IX) | 6 meses, conforme exigido pelo art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet) |
Não coletamos seu nome, CPF, telefone ou endereço para o cadastro. Os dados do cartão de crédito são informados diretamente ao Stripe e nunca passam pelos nossos servidores.
4. Arquivos enviados para análise
- O arquivo original é recebido, analisado e descartado ao fim do processamento. Ficam guardadas apenas, por prazo curto, a versão limpa gerada a partir dele e, nos planos pagos, a chave da versão limpa (ver tabela acima). Durante o envio, arquivos maiores podem ser gravados temporariamente em disco pelo servidor, sendo apagados ao término da requisição.
- A identificação de nomes de pessoas e endereços (planos pagos) usa um modelo de linguagem executado nos nossos próprios servidores, sem envio do conteúdo a terceiros.
- O OCR (leitura de texto em imagens) é feito nos nossos próprios servidores, sem envio a terceiros.
- Atualmente não enviamos o conteúdo dos arquivos a provedores externos de inteligência artificial. Se passarmos a oferecer análises que dependam desses provedores, atualizaremos esta Política, informaremos os provedores envolvidos e avisaremos com antecedência.
- Recomendamos não enviar dados pessoais sensíveis ou informações sigilosas desnecessárias para a análise.
5. O que não fazemos
- Não vendemos nem alugamos dados pessoais.
- Não usamos seus dados ou arquivos para publicidade nem para treinar modelos de IA.
- Não usamos cookies de rastreamento, de publicidade ou de análise de comportamento.
6. Com quem compartilhamos
Compartilhamos dados apenas com fornecedores necessários para operar o Serviço, que atuam como operadores e são obrigados contratualmente a protegê-los:
- Stripe — processamento de pagamentos, assinaturas e emissão de recibos (recebe e-mail e dados de pagamento);
- [PROVEDOR DE E-MAIL] — envio de e-mails transacionais (recebe e-mail e conteúdo das mensagens);
- [PROVEDOR DE HOSPEDAGEM E REGIÃO] — hospedagem da aplicação e do banco de dados.
Também poderemos compartilhar dados quando exigido por lei, por ordem judicial ou de autoridade competente, ou para defender direitos em processos judiciais ou administrativos.
7. Transferência internacional
Alguns fornecedores, como o Stripe, podem tratar dados fora do Brasil, em especial nos Estados Unidos. Nesses casos, a transferência ocorre com base nas hipóteses do art. 33 da LGPD, como cláusulas contratuais de proteção de dados adotadas por esses fornecedores, e é limitada ao necessário para prestar o Serviço.
8. Cookies
Usamos um único cookie, estritamente necessário (sf_session), que mantém você conectado
e protege os formulários contra ataques (CSRF). Ele é assinado criptograficamente, enviado apenas por conexões
seguras e expira em até 7 dias. Por ser essencial ao funcionamento, não depende de consentimento. Não usamos
cookies de terceiros. Durante o pagamento, o site do Stripe pode usar seus próprios cookies, regidos pela política
de privacidade do Stripe.
9. Segurança
Adotamos medidas técnicas e administrativas para proteger os dados, entre elas: conexões criptografadas (HTTPS); senhas armazenadas com hash criptográfico resistente a ataques (scrypt); chaves de API armazenadas apenas como hash; proteção contra falsificação de requisições; limitação de tentativas de acesso; encerramento das sessões em outros dispositivos ao trocar a senha; mascaramento de credenciais encontradas nos relatórios; e acesso restrito aos dados por nossa equipe. Nenhum sistema é totalmente imune a incidentes; se ocorrer um incidente que possa acarretar risco ou dano relevante, comunicaremos você e a Autoridade Nacional de Proteção de Dados (ANPD), nos termos do art. 48 da LGPD.
10. Seus direitos
Nos termos do art. 18 da LGPD, você pode solicitar:
- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- portabilidade dos dados a outro fornecedor;
- eliminação dos dados tratados com base no seu consentimento;
- informação sobre as entidades com as quais compartilhamos dados;
- informação sobre a possibilidade de não fornecer consentimento e suas consequências, e a revogação do consentimento;
- oposição a tratamento realizado com base em legítimo interesse, quando houver descumprimento da LGPD;
- revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.
Para exercer seus direitos, escreva para o nosso encarregado em [E-MAIL DO ENCARREGADO], a partir do e-mail cadastrado na conta (ou poderemos pedir confirmação de identidade). Responderemos em até 15 dias. Você também pode apresentar reclamação à ANPD (www.gov.br/anpd).
Quanto aos dados de terceiros contidos nos arquivos que você enviou (seção 2), os titulares devem dirigir suas solicitações a você, como controlador; nós auxiliaremos no atendimento.
11. Exclusão da conta
Você pode solicitar a exclusão da conta a qualquer momento pelo e-mail [E-MAIL DE SUPORTE]. Excluiremos a conta, os relatórios e os demais dados associados em até 30 dias, exceto os dados que precisemos manter para cumprir obrigações legais (como registros de pagamento e registros de acesso), que serão mantidos apenas pelo prazo legal. A assinatura ativa deve ser cancelada antes; caso contrário, será cancelada como parte da exclusão.
12. Menores de idade
O Serviço não é destinado a menores de 18 anos e não coletamos intencionalmente dados de crianças ou adolescentes.
13. Alterações desta Política
Podemos atualizar esta Política para refletir mudanças no Serviço ou na legislação. Alterações relevantes serão comunicadas por e-mail ou no site antes de entrarem em vigor. A data da última atualização aparece no topo.
14. Contato e encarregado
Encarregado pelo tratamento de dados pessoais (art. 41 da LGPD): [NOME DO ENCARREGADO]
— [E-MAIL DO ENCARREGADO].
Demais assuntos: [E-MAIL DE SUPORTE].