Política de Privacidade
Enquanto não estiver vigente, este documento não pode ser aceito: o registro de aceite recusa documento sem texto vigente, para não produzir prova de concordância com um documento que ainda vai mudar.
A versão em português é a única oficial. A tradução deste documento ainda depende de revisão jurídica e por isso não foi publicada.
1. Quem é o responsável
O ExtremeHub é operado por pessoa física. O canal público de contato é [email protected], e ele funciona: mensagens enviadas para esse endereço chegam.
O nome civil, o CPF, o endereço e o foro ainda não foram informados pelo responsável. Eles aparecem aqui como pendência declarada, e não como espaço em branco, porque a identificação de quem responde pelo tratamento é conteúdo obrigatório de um aviso de privacidade — não um detalhe de formatação. Um encarregado (DPO) também não foi nomeado até esta data.
2. O que coletamos, e de onde
Só descrevemos o que o sistema realmente faz hoje. Nada aqui é previsão.
- Cadastro e acesso — nome e e-mail, fornecidos por você. A senha é tratada pelo provedor de autenticação e não é armazenada pelo ExtremeHub.
- Verificação em duas etapas — apenas para contas administrativas: o fator e os códigos de recuperação.
- Licença e dispositivos — o vínculo entre a sua conta, a licença e os computadores autorizados, incluindo um identificador técnico da máquina. É o que permite respeitar o número de dispositivos do plano contratado.
- Pedidos — nome, e-mail, plano, valor e moeda.
- Contato e suporte — nome, e-mail, assunto e o conteúdo da mensagem que você envia.
- Registros técnicos — data, ação, identificador da conta envolvida e o navegador declarado (user agent).
- Endereço IP — em alguns registros de segurança. Ele não é guardado em claro: gravamos um código derivado dele por HMAC-SHA-256 com uma chave secreta do servidor. Isso é pseudonimização, e reduz o risco de forma relevante — mas não é anonimato, porque quem detém a chave pode reassociar. Por isso continuamos tratando esse dado como dado pessoal.
- Indicação de afiliado — quando você chega por um link com código de indicação.
3. Para que usamos
- criar e manter a sua conta, e autenticar o acesso;
- entregar e controlar a licença contratada, inclusive o limite de dispositivos;
- registrar e acompanhar pedidos;
- responder ao seu contato e prestar suporte;
- manter a segurança do serviço, detectar abuso e investigar incidentes;
- atribuir indicações de afiliados quando aplicável.
Não usamos os seus dados para publicidade, não os vendemos e não fazemos perfilamento nem decisão automatizada que produza efeito jurídico sobre você.
4. Com quem compartilhamos
O ExtremeHub se apoia em fornecedores que tratam dados por nossa conta e conforme nossas instruções. Os que estão em uso hoje são Supabase (autenticação e banco de dados), Cloudflare (hospedagem, rede, proteção contra abuso e o desafio anti-robô do formulário) e Resend (envio dos e-mails do serviço).
A Stripe está configurada como provedor de pagamento, mas até esta data nenhuma cobrança foi processada e nenhuma sessão de pagamento foi aberta — ou seja, ela ainda não recebeu dados de clientes por meio deste produto. Quando o pagamento entrar em operação, os dados necessários à transação passarão a ser tratados por ela.
A relação completa, com a finalidade de cada fornecedor e o endereço das listas oficiais de subprocessadores de cada um, está em Subprocessadores.
5. Transferência internacional
O banco de dados do ExtremeHub fica hospedado no Brasil (região sa-east-1). Ainda assim, há transferência internacional: a rede que serve o site é global por natureza, e o provedor de e-mail declara operar com subprocessadores nos Estados Unidos.
Os instrumentos contratuais que amparam essas transferências constam dos acordos de tratamento de dados publicados pelos próprios fornecedores. Não os resumimos aqui porque interpretá-los é trabalho jurídico, e uma paráfrase imprecisa de cláusula contratual é pior do que a remissão ao documento original.
6. Cookies e armazenamento no navegador
O ExtremeHub não usa cookies próprios. Não há cookie de publicidade, de rastreamento entre sites ou de terceiro para marketing.
O que existe é armazenamento local no seu navegador, com quatro finalidades e nada além delas:
- a sessão de acesso, mantida pelo provedor de autenticação — estritamente necessária para você continuar logado;
- a região que você escolheu, para exibir idioma e moeda corretos;
- o plano que você selecionou, para que a escolha sobreviva ao cadastro e à confirmação por e-mail;
- o código de indicação, quando você chega por um link de afiliado.
Esses dados ficam no seu navegador e você pode apagá-los a qualquer momento pelas configurações dele.
7. Análise de audiência
Hoje não há analytics em funcionamento neste site. A política de segurança de conteúdo do ExtremeHub bloqueia o script de medição que a hospedagem injeta na borda, de modo que ele não é executado e não coleta nada. Essa injeção está sendo desativada na origem.
Registramos isso em vez de omitir porque a alternativa seria você ler "usamos analytics para melhorar a experiência" — uma frase que seria falsa nos dois sentidos.
8. Por quanto tempo guardamos
Sendo exato sobre o que existe: não há rotina automática de exclusão para dados de conta. Os dados da sua conta são mantidos enquanto a conta existir e, depois disso, pelo tempo necessário para cumprir obrigações do responsável e para a defesa de direitos.
Alguns registros técnicos têm limpeza própria: dados de controle de requisição expiram por prazo, comprovantes de reautenticação administrativa são apagados assim que usados, e desafios e eventos de identidade de dispositivo são removidos por rotina administrativa a partir de uma idade mínima.
Prazos fixos em meses ainda não foram definidos. Preferimos declarar o critério a publicar um número que não corresponderia ao comportamento real do sistema.
9. Seus direitos
Você pode pedir confirmação de que tratamos dados seus e acesso a eles; correção de dado incompleto ou desatualizado; anonimização, bloqueio ou eliminação de dado desnecessário ou excessivo; portabilidade; informação sobre com quem compartilhamos; e revogação de consentimento, quando o tratamento se apoiar nele. Você também pode se opor a tratamentos e reclamar à autoridade de proteção de dados competente.
Para exercer qualquer um deles, escreva para [email protected]. Podemos precisar confirmar a sua identidade antes de atender — isso protege você, não a nós.
A exclusão de conta é executada por operação administrativa, que exige reautenticação e fica registrada na trilha de auditoria.
10. Segurança
Em alto nível, e sem detalhar o que ajudaria a atacar o serviço: o acesso administrativo exige segunda etapa de verificação; operações sensíveis exigem reautenticação com janela curta; o acesso aos dados é restrito por regras no próprio banco; o endereço IP é pseudonimizado antes de ser gravado; o tráfego é cifrado em trânsito; o formulário público tem limite de envio e desafio anti-robô; e ações administrativas ficam registradas.
Nenhum serviço é imune a incidentes. Não declaramos conformidade total nem certificação que não tenhamos.
11. Alterações desta política
Esta política é versionada. Cada versão tem um número e uma impressão digital do conteúdo, para que uma alteração de texto não passe despercebida nem reescreva retroativamente o que alguém leu. Quando houver mudança relevante, publicaremos a nova versão com nova data.
12. Contato
Dúvidas ou solicitações de privacidade: [email protected].