Política de Privacidade

Esta política explica quais dados pessoais a HackGrade coleta, por quê, quem os recebe, por quanto tempo os guardamos e quais são os seus direitos. Ela abrange o site hackgrade.com, sua conta HackGrade, nossas análises e relatórios, o chat de suporte e nossos e-mails. Foi redigida para cumprir a Lei de Proteção da Privacidade de Israel de 1981 (alterada pela Emenda 13), o GDPR da UE e do Reino Unido, a Lei de Privacidade do Consumidor da Califórnia (CCPA) e, para o login com o Google, a Política de Dados do Usuário dos Serviços de API do Google.

1. Quem somos

A HackGrade (hackgrade.com) é um serviço de análise de segurança de sites operado a partir de Israel. A HackGrade é a controladora dos seus dados pessoais. Para qualquer dúvida ou solicitação sobre privacidade, escreva para support@hackgrade.com.

2. O que coletamos

• Dados da conta: seu e-mail, um hash da sua senha, se você definir uma (nunca a senha em si), seu idioma, seu plano e a data em que você confirmou o e-mail e aceitou nossos Termos.
• Login com Google ou GitHub: se você escolher essa opção, apenas seu e-mail e o identificador de conta que o provedor atribui a você. A seção 3 explica exatamente o que recebemos e como usamos.
• Sites e verificação: os domínios que você adiciona, o método e o token de verificação e os resultados das nossas verificações periódicas de propriedade.
• Autorizações de análise: para cada Autorização de Análise que você aceita, registramos o site, a data e a hora, a versão e um hash do texto exato que você viu, seu idioma, seu endereço IP e o user agent do seu navegador. É a nossa prova de que a análise estava autorizada.
• Sites analisados, resultados e relatórios: os endereços dos sites que você analisa, o que nossas análises encontraram neles, o histórico de análises, as notas e os relatórios em PDF. Podem conter trechos curtos das páginas do seu site (por exemplo, um cabeçalho ou uma mensagem de erro) como evidência. Ocultamos segredos e dados pessoais que identificamos nesses trechos.
• Credenciais da conta de teste (opcional): se você nos fornecer uma conta de teste para análises autenticadas, guardamos o usuário e a senha cifrados (Fernet, AES-128 com verificação de integridade HMAC). Eles só são decifrados em memória durante uma análise, nunca são exibidos novamente nem gravados em logs e são excluídos automaticamente após 90 dias sem uso, ou imediatamente quando você os remove.
• Marca (planos para agências): o nome e o logotipo da agência que você envia para os relatórios white-label.
• Análises gratuitas: o endereço do site que você digita e os resultados. Guardamos um hash com salt do seu endereço IP (não o endereço em si) para evitar abusos.
• Registros de segurança e de uso: sessões de login (com um IP em hash e o tipo de navegador), contadores de limitação de requisições e os logs de acesso do nosso servidor web, que registram seu endereço IP, seu navegador, a página solicitada e o horário.
• Pagamentos: tratados pelos nossos provedores de pagamento. Recebemos apenas o plano, o valor, o status do pagamento e uma referência do cliente, nunca o número completo do seu cartão.
• Mensagens: o que você nos envia por e-mail, por exemplo para support@hackgrade.com.
• Chat de suporte: o e-mail que você informa antes de conversar (não pedimos seu nome), suas mensagens e nossas respostas (do Grady, nosso assistente de IA, ou de uma pessoa da equipe), a página de onde você escreveu, seu idioma, um IP em hash e o joinha para cima ou para baixo que você der a uma resposta. Se você estiver conectado, a conversa fica vinculada à sua conta e o Grady pode usar seu plano, a data de renovação, seus sites, as notas e os principais problemas encontrados para responder. Quando você sai do chat, enviamos uma cópia da conversa por e-mail.
• Consentimento de marketing (opcional): se você marcar a caixa para receber dicas de segurança e ofertas, registramos seu e-mail, o horário, o texto exato que você viu e a versão dele, seu idioma, onde você deu o consentimento e um IP em hash. Enquanto você estiver inscrito, também podemos anotar que você viu um plano ou iniciou o pagamento, para fazer um acompanhamento. Não registramos nada disso de quem não se inscreveu.
• Cookies: veja a seção 10.

Fornecer esses dados é voluntário, mas sem um e-mail (com senha, link de acesso ou provedor de login) não podemos abrir uma conta, sem verificação e autorização não podemos fazer análises profundas e sem pagamento não podemos fornecer planos pagos.

3. Login com o Google (e outros provedores)

Você pode criar sua conta HackGrade e entrar com sua conta do Google em vez de uma senha. Esta seção explica exatamente o que acontece com os dados que recebemos do Google.

O que recebemos. Pedimos ao Google apenas os escopos "openid" e "email". Do Google, recebemos e guardamos somente seu e-mail, a informação de que o Google o verificou ou não e o identificador da sua conta do Google (um número que identifica sua conta do Google para nós). Não solicitamos nem recebemos seu nome, foto de perfil, contatos, agenda, arquivos do Google Drive, mensagens do Gmail nem nenhum outro dado do Google, e não temos nenhum outro acesso à sua conta do Google. Não guardamos os tokens que o Google emite no login: usamos esses tokens uma única vez para confirmar quem você é e depois os descartamos.

Por que usamos. Apenas para criar sua conta HackGrade, fazer seu login, manter sua conta vinculada à sua conta do Google e enviar para esse endereço os e-mails da sua conta (como alertas de segurança, resultados de análises e avisos de cobrança). Não usamos esses dados para nada mais.

Como guardamos e protegemos. Seu e-mail e o identificador da sua conta do Google ficam armazenados no nosso banco de dados de contas, nos nossos servidores. Todos os dados trafegam por conexões criptografadas (HTTPS com TLS 1.2 ou superior), o login é protegido com PKCE e um state de uso único, e verificamos a assinatura do token de identidade do Google antes de confiar nele. O acesso ao banco de dados é restrito aos sistemas da HackGrade e às pessoas da equipe que precisam dele para operar o Serviço.

Compartilhamento. Não vendemos os dados recebidos do Google nem os compartilhamos com ninguém, exceto com nossos provedores de hospedagem e de e-mail listados na seção 5, somente na medida necessária para manter sua conta e enviar os e-mails dela, ou quando a lei exigir. Nunca usamos esses dados para publicidade, nunca os enviamos ao provedor de IA do Grady nem a qualquer outro serviço de IA, e não os usamos para desenvolver, melhorar ou treinar modelos de IA ou de aprendizado de máquina. Ninguém da equipe os lê, a menos que você peça, que seja necessário para investigar um problema de segurança ou abuso, ou que a lei exija.

Retenção e exclusão. Guardamos esses dados enquanto sua conta estiver aberta. Quando você exclui sua conta nas configurações da conta, seu e-mail e o identificador da sua conta do Google são apagados imediatamente dos nossos sistemas ativos, e os backups são sobrescritos em até 30 dias. Um login iniciado e não concluído é apagado após 30 minutos. Você também pode pedir a exclusão dos seus dados escrevendo para support@hackgrade.com. Você pode revogar a qualquer momento o acesso da HackGrade à sua conta do Google em myaccount.google.com/permissions; isso impede o login com o Google, mas não exclui sua conta HackGrade. Se quiser excluí-la também, faça isso na sua conta ou escreva para nós.

Uso limitado. O uso e a transferência, pela HackGrade, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de uso limitado (Limited Use). HackGrade's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.

Outros provedores. O login com o GitHub funciona da mesma forma: guardamos apenas seu ID de usuário do GitHub e seu e-mail principal verificado, e só os usamos para criar sua conta e fazer seu login. As permissões do GitHub ("read:user" e "user:email") também nos mostram seu perfil público, mas não o armazenamos. Se adicionarmos outro provedor de login, ele será listado aqui antes.

4. Finalidades e bases legais

• Para prestar o Serviço que você pediu: contas e login, análises, relatórios, monitoramento e alertas (execução do nosso contrato com você).
• Garantir que apenas pessoas autorizadas analisem um site, guardar a prova da autorização e evitar fraudes e abusos (nosso interesse legítimo em operar de forma lícita e segura, e nossas obrigações legais).
• Cobrar você e manter nossa contabilidade (contrato e obrigação legal).
• Para enviar e-mails do serviço, como códigos e links de acesso, verificação, alertas de segurança, resultados de análises e lembretes de renovação (contrato). Só enviamos e-mails de marketing se você consentir, e você pode cancelar a inscrição a qualquer momento.
• Para manter o Serviço e sua conta seguros, usando registros de login e logs do servidor (interesse legítimo).
• Melhorar o Serviço com estatísticas anônimas e agregadas (interesse legítimo).
• Responder às suas perguntas de suporte no chat e por e-mail (contrato, ou nosso interesse legítimo em ajudar os visitantes) e, só se você se inscrever, enviar dicas de segurança e ofertas (consentimento, que você pode retirar a qualquer momento pelo link de cancelamento ou nas configurações da conta).

Ao criar uma conta, pedimos que você confirme que leu esta política. Essa confirmação registra que informamos você; não é um consentimento para o tratamento. Usamos a base legal indicada acima para cada finalidade e, quando essa base é o consentimento (e-mails de marketing), pedimos separadamente, com uma caixa própria desmarcada. Quando a lei israelense exige consentimento para alguma das finalidades acima, você o dá ao usar o Serviço depois de ser informado por esta política, e pode retirá-lo a qualquer momento excluindo sua conta. Não vendemos seus dados pessoais, não os "compartilhamos" para publicidade comportamental entre contextos, não os usamos para treinar modelos de IA e não os usamos para decisões automatizadas com efeitos jurídicos sobre você.

5. Com quem compartilhamos dados

Usamos um pequeno número de fornecedores ("operadores") que agem apenas sob nossas instruções e com contratos que protegem seus dados:

• Hospedagem: Contabo, que hospeda nossos servidores, nosso banco de dados e nossa infraestrutura de análise.
• Envio de e-mails: Resend, que entrega nossos e-mails de conta, de login e de alertas.
• E-mails recebidos: Cloudflare, que recebe os e-mails que você envia para support@hackgrade.com e os encaminha para nossa equipe de suporte.
• Assistente de IA: OpenAI, que gera as respostas do Grady no chat de suporte. Ela recebe suas mensagens do chat e, se você estiver conectado, os dados da conta listados na seção 2 (seu plano, data de renovação, sites, notas e principais achados, mas não seu e-mail), apenas para gerar a resposta. Por favor, não compartilhe senhas nem números de cartão no chat.
• Pagamentos: quando você compra um plano pago, nossos provedores de pagamento Grow (Meshulam) e Paddle. A Paddle atua como revendedora e é controladora independente dos dados de pagamento que coleta.

Se você entrar com o Google ou o GitHub, esse provedor confirma sua identidade para nós de acordo com a própria política de privacidade; não enviamos a ele nada sobre o seu uso da HackGrade.

Também podemos divulgar dados quando a lei exigir, para proteger pessoas ou nosso Serviço contra danos, ou ao proprietário ou provedor de hospedagem de um site analisado sem autorização. Se nosso negócio for vendido ou fundido, seus dados podem ser transferidos ao novo proprietário nos termos desta política.

6. Transferências internacionais

Estamos sediados em Israel, que a Comissão Europeia reconhece como um país com nível adequado de proteção. Nossos servidores ficam na UE, e nossos provedores podem tratar dados na UE, nos Estados Unidos ou em outros países. Quando os dados saem de Israel, da UE ou do Reino Unido, nos baseamos em decisões de adequação ou cláusulas contratuais padrão e nas salvaguardas dos nossos provedores.

7. Por quanto tempo guardamos os dados

• Conta, identidades de login (Google ou GitHub), sites, histórico de análises e relatórios: enquanto sua conta estiver aberta. Quando você exclui a conta, nós os apagamos imediatamente dos sistemas ativos; os backups são sobrescritos em até 30 dias.
• Registros de autorização de análise: enquanto sua conta estiver aberta. Quando você exclui sua conta, removemos deles o endereço IP e o navegador e guardamos o restante (site, data e hora, versão e impressão digital do texto) por até 7 anos como prova de que as análises foram autorizadas; depois os excluímos. Base legal: nosso interesse legítimo em exercer e defender direitos em processos.
• Credenciais da conta de teste: até 90 dias após o último uso, ou até que você as remova.
• Resultados de análises gratuitas: até 12 meses.
• Sessões: até 14 dias. Logins não concluídos: 30 minutos. Contadores de limitação de requisições e de login: até 30 dias.
• Logs de acesso do servidor web: até 14 dias.
• Cópias dos e-mails que enviamos a você: até 90 dias.
• Inscrições na lista de espera: até avisarmos você sobre o lançamento, ou antes se você pedir para ser removido.
• Registros de pagamento e faturas: pelo tempo exigido pela legislação fiscal e contábil (em Israel, normalmente 7 anos).
• Evidências para reembolsos e disputas de pagamento (aceites no pagamento, confirmações de relatório completo e o ID do e-mail de confirmação, horários de visualização do relatório completo e de download do PDF, com endereço IP e navegador): pelo menos 18 meses, mesmo que você exclua a conta; depois são apagadas. Base legal: nosso legítimo interesse em tratar reembolsos e chargebacks.
• Conversas do chat de suporte: excluídas automaticamente 180 dias após a última mensagem. Você pode excluir uma conversa antes nas configurações da conta, e suas conversas vinculadas são excluídas quando você exclui a conta.
• Consentimento de marketing: enquanto você estiver inscrito. Depois do cancelamento, guardamos apenas seu e-mail, o registro do consentimento e a data do cancelamento, para comprovar o consentimento e garantir que nunca mais enviaremos marketing para você. Anotações de acompanhamento de planos e pagamentos: até 90 dias.

8. Segurança

Protegemos os dados com criptografia em trânsito (TLS 1.2+), criptografia em repouso das credenciais de contas de teste, senhas e endereços IP em hash, um banco de dados acessível apenas aos nossos próprios sistemas e às pessoas autorizadas da equipe, controles de acesso rigorosos, uma Content Security Policy rigorosa e testes de segurança regulares da nossa própria plataforma. Se ocorrer um incidente de segurança que afete seus dados pessoais, notificaremos você e as autoridades competentes conforme a lei exigir.

9. Seus direitos

Dependendo de onde você mora, pode nos pedir: acesso e cópia dos dados que temos sobre você; correção; exclusão; limitação ou oposição a determinados usos; portabilidade (recebimento em formato portátil); e retirada do consentimento. Residentes da Califórnia também podem exercer o direito de saber e o direito de exclusão, e não serão discriminados por exercer seus direitos. Você pode excluir sua conta nas configurações da conta. Se você não tem conta (por exemplo, usou apenas o chat de suporte, a lista de espera ou nossos e-mails), pode excluir esses dados na nossa página Excluir meus dados. Para qualquer outra solicitação, escreva para support@hackgrade.com. Respondemos em até um mês e podemos precisar confirmar sua identidade. Você também pode apresentar uma reclamação à Autoridade de Proteção da Privacidade de Israel ou, na UE ou no Reino Unido, à sua autoridade local de proteção de dados.

10. Cookies

Usamos apenas cookies estritamente necessários para o Serviço: um cookie de sessão de login e um cookie de segurança (CSRF), válidos por no máximo 14 dias; cookies de curta duração que protegem um login em andamento (até 30 minutos); e, depois que você confirma um código de acesso, um cookie de segurança que marca este navegador como um em que você comprovou acesso ao seu e-mail, por 30 dias. Ele não mantém você conectado: faz parte da segurança do login, que pede um código em navegadores que não reconhece, por isso é estritamente necessário. Se você o apagar, apenas pediremos um código no seu próximo login. Se você usar o chat de suporte, também usamos um cookie estritamente necessário para que você possa continuar a conversa; ele expira em no máximo 180 dias. Sua escolha de idioma fica guardada no armazenamento local do seu navegador. Não usamos cookies de publicidade ou de análise e não carregamos rastreadores nem fontes de terceiros. Veja nosso Aviso sobre cookies.

11. Menores

A HackGrade não se destina a menores de 18 anos e não coletamos conscientemente dados deles. Se você acredita que uma criança ou adolescente nos forneceu dados pessoais, escreva para support@hackgrade.com e nós os excluiremos.

12. Alterações

Publicaremos qualquer alteração aqui com uma nova versão e data e, se for relevante, avisaremos você por e-mail antes que entre em vigor.

13. Contato

Para qualquer dúvida sobre esta política ou seus dados, ou para exercer seus direitos, escreva para support@hackgrade.com.