Política de Privacidade

1. Quem somos e o que esta política abrange

Esta Política de Privacidade explica como a Breneshold LLC, sociedade de responsabilidade limitada (limited liability company) constituída segundo as leis do Estado da Flórida, Estados Unidos, registrada no endereço postal indicado na conta do cliente e em cada fatura ("Witnio", "nós"), trata dados pessoais.

Ela abrange este site, a conta e o painel da Witnio, a API e o serviço de observação. Aplica-se aos visitantes do site, às pessoas que administram uma conta de cliente e aos dados pessoais contidos na Evidência gerada pelas verificações de um cliente.

A Witnio atende empresas. Não oferecemos o serviço a consumidores e não coletamos intencionalmente dados de menores de 18 anos.

Esta política está em vigor a partir da data de vigência indicada no topo desta página.

2. Nossos dois papéis

A Witnio atua em dois papéis diferentes, e as regras diferem entre eles.

Controlador. Para dados de conta, dados de faturamento, correspondência de suporte, inscrições na lista de espera e envios de contato, e uso do site, a Witnio decide por que e como os dados são tratados. Esta política rege esse tratamento.

Operador. Para dados pessoais contidos na Evidência gerada pelas verificações de um cliente, o cliente decide por que e como, e a Witnio atua conforme as instruções documentadas do cliente. O Adendo de Tratamento de Dados rege esse tratamento e prevalece sobre esta política para esses dados.

Se você é uma pessoa física cujos dados aparecem na Evidência de um cliente, entre em contato primeiro com esse cliente. Encaminharemos a sua solicitação a ele e o apoiaremos para respondê-la.

3. Dados que coletamos como controlador

Dados de conta: nome da empresa; nome, e-mail corporativo, telefone comercial e função das pessoas que administram a conta; usuários, funções, sessões e dispositivos; e metadados das chaves de API.

Dados de verificação: domínio de e-mail corporativo, caso de uso declarado e a evidência de titularidade ou de autorização que você nos fornece para um domínio, um número ou um remetente.

Dados de faturamento: contato de faturamento, endereço de faturamento, número de identificação fiscal, plano, faturas, status de pagamento, e a bandeira e os quatro últimos dígitos de um cartão, conforme retornados pelo provedor de pagamento. A Witnio nunca recebe nem armazena o número completo de um cartão ou uma credencial bancária — os dados de pagamento são inseridos nas páginas hospedadas da própria Stripe ou do próprio PayPal.

Dados de suporte e vendas: as mensagens que você nos envia, os formulários de lista de espera e de contato que você envia (e-mail, empresa, interesse em produtos) e as nossas respostas.

Dados técnicos: endereço IP, user agent, metadados de requisições, carimbos de data e hora, e os logs de erro e de auditoria necessários para operar, proteger e depurar o serviço.

Dados do site: este site define dois cookies e nenhum rastreador de terceiros. Veja a seção Cookies.

4. Dados que tratamos como operador

A execução de uma verificação produz Evidência. Dependendo do produto, um registro de Evidência pode conter: o identificador de remetente ou de chamador observado; o número de destino sob controle da Witnio; o corpo da mensagem após o mascaramento, juntamente com um hash do original; carimbos de data e hora e latência; contexto de dispositivo, sistema operacional, discador, SIM, operadora e corredor; capturas de tela e, para alguns produtos, vídeo da tela do dispositivo; resultados de HTTP, DNS e TLS; a cadeia de redirecionamentos; cookies e estado do banner de consentimento observados no alvo; e o manifesto assinado que vincula tudo isso.

Parte disso pode constituir dados pessoais — um número de telefone, o nome de um chamador ou uma pessoa visível em uma captura de tela. O cliente escolhe os alvos e o tráfego e é, portanto, o controlador desses dados.

A instrução da Witnio aos seus clientes é explícita: envie tráfego de teste, não as comunicações reais dos seus usuários finais, e não envie dados pessoais além do que a verificação necessita.

5. Mascaramento e minimização

Antes que qualquer coisa seja persistida, e antes que qualquer coisa seja enviada a um provedor de IA por meio do roteador de IA da Witnio, a Witnio mascara ou minimiza: códigos de uso único; números de telefone de terceiros; outros conteúdos sensíveis; tokens; cookies; e identificadores não necessários para o resultado.

Um código de uso único nunca é armazenado em texto claro. Toda sequência de quatro ou mais dígitos no corpo de uma mensagem é mascarada antes que esse corpo seja gravado no armazenamento, e o corpo armazenado é truncado. Os identificadores de remetente e de destino são armazenados mascarados. Um hash do conteúdo original permite verificar a integridade sem conservar o conteúdo.

O mascaramento é aplicado na entrada, não na saída: o valor não mascarado nunca é gravado em um banco de dados, em um log, em um trace ou em uma requisição de IA.

6. Finalidades e bases legais

Quando o GDPR ou uma lei equivalente se aplicar, a Witnio, como controladora, fundamenta-se nas seguintes bases:

• Execução de contrato, artigo 6(1)(b) — criar e administrar a sua conta, prestar o serviço que você contratou, faturamento e suporte.
• Interesses legítimos, artigo 6(1)(f) — proteger a plataforma; prevenir, detectar e investigar abusos e fraudes; verificar se um cliente tem direito a monitorar o que configura; manter logs de auditoria; aprimorar o serviço com dados agregados e desidentificados; e constituir ou defender reclamações judiciais. Ponderamos esses interesses em relação aos seus direitos, e você pode se opor conforme descrito abaixo.
• Obrigação legal, artigo 6(1)(c) — deveres tributários e contábeis, triagem de sanções e resposta a uma solicitação legítima de uma autoridade.
• Consentimento, artigo 6(1)(a) — quando o solicitamos, por exemplo para enviar a você uma mensagem que você pediu para receber. Você pode revogar o consentimento a qualquer momento, sem afetar o tratamento já realizado.

Como operadora, a Witnio trata os dados da Evidência conforme a instrução do cliente; o cliente é responsável por dispor de uma base legal para esse tratamento.

7. Cookies e rastreamento

Este site define dois cookies: um cookie de preferência de idioma, que lembra o idioma que você escolheu, e um cookie de pré-visualização pré-lançamento, que permite a um visitante convidado ver o site antes de ele ser público. Ambos são cookies estritamente necessários ou de preferência.

A Witnio não utiliza cookies de publicidade, cookies de análise, pixels de rastreamento, gravação de sessão ou fingerprinting neste site, e não vende nem compartilha dados pessoais para publicidade comportamental entre contextos. Se você chegar por um link com parâmetros de campanha (utm_*), esses parâmetros, a página de entrada e o site de origem ficam guardados no armazenamento de sessão do seu navegador apenas durante essa sessão e são registrados com a solicitação de contato ou o cadastro que você enviar, para medirmos quais campanhas funcionam; isso não é um cookie e nunca é compartilhado com plataformas de publicidade.

Como não há nenhum cookie não essencial, este site não exibe banner de consentimento. Se isso mudar, um banner será adicionado antes de o cookie ser definido, e esta política será atualizada primeiro.

8. Compartilhamento e suboperadores

A Witnio não vende dados pessoais e não os compartilha para publicidade.

A Witnio utiliza um pequeno número de provedores que podem tratar dados pessoais em seu nome:

• Stripe — processamento de pagamentos e faturamento de assinaturas, provedor principal (dados de faturamento e de contato).
• PayPal — processamento de pagamentos, provedor secundário (dados de faturamento e de contato).
• Cloudflare — DNS, proteção de borda e entrega do site e da API (dados técnicos, como endereço IP e metadados de requisições).
• Infraestrutura de hospedagem e de dispositivos operada pela Witnio na Costa Rica (todos os dados do serviço).
• Telegram — entrega de alertas operacionais exclusivamente à própria equipe de operações da Witnio. Os alertas de clientes não são encaminhados para lá por padrão; quando um cliente solicita alertas pelo Telegram, trata-se de instrução do próprio cliente.
• Provedores de modelos de IA acessados por meio do roteador de IA da Witnio, somente com entradas mascaradas e minimizadas, para resumo, classificação e geração de relatórios. os provedores de modelos configurados na camada de serviços de IA da Witnio no momento do tratamento; a lista atual e os locais de tratamento estão disponíveis mediante solicitação em [email protected]

os suboperadores indicados neste documento (Stripe, PayPal, Cloudflare, a infraestrutura própria da Witnio e o Telegram, somente para alertas internos); qualquer provedor de envio de e-mails, monitoramento de erros ou análise adicionado posteriormente é comunicado aos clientes que se inscreverem em [email protected]

A Witnio também pode divulgar dados a um assessor profissional sujeito a dever de sigilo, a uma autoridade quando legalmente obrigada, quando necessário para constituir ou defender uma reclamação judicial, ou a um sucessor em uma fusão ou venda de ativos — caso em que informaremos você, e os seus direitos acompanham os dados.

9. Transferências internacionais

A Witnio opera a partir da Costa Rica e utiliza provedores estabelecidos nos Estados Unidos e em outros lugares, de modo que dados pessoais podem ser transferidos para fora do seu país.

Para transferências de dados pessoais para fora do Espaço Econômico Europeu, do Reino Unido ou da Suíça, a Witnio se fundamenta nas Cláusulas Contratuais Padrão da Comissão Europeia, juntamente com uma avaliação de risco da transferência e as medidas técnicas descritas na seção Segurança — incluindo o mascaramento antes do armazenamento e a criptografia em trânsito. Essas Cláusulas estão incorporadas ao Adendo de Tratamento de Dados.

Você pode solicitar uma cópia do mecanismo de transferência relevante para os seus dados por meio do contato de privacidade abaixo.

A Breneshold LLC assina as Cláusulas Contratuais Padrão como importadora de dados nos termos do Módulo 2 (de controlador para operador).

10. Retenção

A Witnio conserva dados pessoais somente pelo tempo necessário.

• Capturas de tela: 90 dias.
• Vídeo da tela de um dispositivo: 30 dias.
• Logs operacionais: 30 a 90 dias.
• Métricas agregadas que já não identificam ninguém: longo prazo.
• Dados brutos sensíveis: o tempo mínimo necessário para produzir o resultado; depois, mascarados ou excluídos.
• Evidência paga: conforme indicado no contrato do cliente, quando esse prazo for maior que o da base.
• Registros de conta e de faturamento: durante a vida da conta e, depois, pelo período exigido pela legislação tributária e contábil e não mais do que o necessário para defender uma reclamação judicial.
• Inscrições na lista de espera e envios de contato: até que você nos peça para excluí-los, ou até que a consulta seja encerrada e o nosso período de manutenção de registros expire.

Após a rescisão, os Dados do Cliente permanecem exportáveis por 30 dias e, em seguida, são excluídos ou anonimizados de forma irreversível, exceto quando uma lei exigir sua conservação, ou quando subsistirem apenas em backups até que estes sejam sobrescritos em seu ciclo normal.

11. Seus direitos

Quando o GDPR ou uma lei equivalente se aplicar, você pode nos pedir para: dar a você acesso aos seus dados pessoais e uma cópia deles; corrigi-los; excluí-los; restringir o seu tratamento ou se opor a ele, incluindo o tratamento baseado em interesses legítimos; ou fornecê-los a você em formato portátil e legível por máquina. Quando o tratamento se basear no consentimento, você pode revogar esse consentimento a qualquer momento.

A Witnio não toma decisões a seu respeito que produzam efeitos jurídicos ou efeitos igualmente significativos exclusivamente por meios automatizados.

Escreva para o contato de privacidade abaixo. Respondemos no prazo de um mês e podemos prorrogar por mais dois meses no caso de uma solicitação complexa, informando o motivo. Podemos solicitar as informações necessárias para confirmar a sua identidade e podemos recusar uma solicitação manifestamente infundada ou excessiva, explicando os nossos motivos.

Você pode apresentar reclamação à sua autoridade supervisora local. Na Costa Rica, a autoridade competente é a Agencia de Protección de Datos de los Habitantes (PRODHAB), nos termos da Ley 8968.

Se os seus dados estiverem na Evidência de um cliente, atuamos como operadora: encaminharemos a sua solicitação a esse cliente, que é responsável por respondê-la.

12. Residentes da Califórnia

Se você reside na Califórnia, a CCPA, conforme alterada pela CPRA, confere a você o direito de saber quais informações pessoais coletamos, utilizamos, divulgamos e retemos; de acessá-las e receber uma cópia delas; de corrigi-las; de excluí-las; de limitar o uso de informações pessoais sensíveis; e de não sofrer discriminação por exercer um direito.

Nos doze meses anteriores, a Witnio coletou as categorias descritas acima: identificadores, informações comerciais, atividade na internet e — na Evidência de clientes — informações que podem incluir metadados de comunicações. Elas foram coletadas para as finalidades comerciais descritas acima e divulgadas somente aos provedores listados acima.

A Witnio não vende informações pessoais nem as compartilha para publicidade comportamental entre contextos, e não o fez nos doze meses anteriores. A Witnio não utiliza nem divulga informações pessoais sensíveis para finalidade além daquelas permitidas sem direito de limitação.

Para exercer um direito, escreva para o contato de privacidade abaixo. Um agente autorizado pode agir em seu nome mediante prova escrita de autorização.

13. Costa Rica

O hardware e as operações da Witnio estão na Costa Rica, e o tratamento realizado lá está sujeito à Ley 8968 de proteção da pessoa frente ao tratamento de seus dados pessoais, e ao seu regulamento.

Nos termos dessa lei, você tem direitos de acesso, retificação, exclusão e, quando exigido, de ser informado e de consentir com o armazenamento dos seus dados em um banco de dados registrado. As solicitações devem ser enviadas ao contato de privacidade abaixo e são respondidas no prazo fixado pela lei.

A Breneshold LLC avalia as suas obrigações de registro nos termos da Lei 8968 da Costa Rica (PRODHAB) para o tratamento realizado em seus dispositivos na Costa Rica e realiza o registro quando exigido.

14. Segurança

A Witnio trata toda interface pública como hostil. O tráfego passa por um gateway de borda, limitação de taxa, autenticação e autorização antes de chegar ao plano de controle, aos serviços internos, aos workers e aos dispositivos. A fazenda de dispositivos nunca é exposta diretamente à internet.

Os controles de acesso incluem autenticação multifator, tokens de curta duração com rotação de renovação, sessões revogáveis, controle de acesso baseado em funções, escopo por locatário em toda consulta a dados pertencentes a um locatário, autorização negada por padrão e testes de regressão para acesso entre locatários. As chaves de API têm escopo definido, são rotacionáveis e sujeitas a cotas e a limites de taxa.

Credenciais, códigos de uso único, cookies e tokens de sessão nunca são gravados no repositório, em logs ou em traces. Os segredos são mantidos em um gerenciador de segredos.

Cada release executa varredura de dependências, segredos, contêineres e configurações padrão inseguras, além de testes de regressão de abuso de autenticação e de acesso entre locatários.

A integridade da Evidência é protegida criptograficamente: cada artefato traz um hash SHA-256, e o seu manifesto é canonicalizado e assinado com uma chave Ed25519 que nunca sai do host de assinatura. A chave pública é publicada, de modo que uma assinatura pode ser verificada sem confiar na Witnio.

A página de Segurança deste site indica as medidas atualmente em vigor e é atualizada à medida que elas mudam.

15. Violação de dados pessoais

Se a Witnio tomar conhecimento de uma violação de dados pessoais que afete os dados de um cliente, notificará o cliente afetado sem demora indevida e, em qualquer caso, no prazo de 72 horas após tomar conhecimento, com as informações disponíveis no momento e atualizações adicionais à medida que a investigação avançar, para que o cliente possa cumprir os seus próprios deveres de notificação.

Quando a Witnio for a controladora e uma violação for suscetível de resultar em alto risco para as pessoas afetadas, a Witnio notificará essas pessoas e a autoridade supervisora competente, conforme exigido pela lei aplicável.

O procedimento de incidentes da Witnio é: detectar, conter, revogar, preservar evidências, analisar a causa raiz, corrigir, adicionar um teste de regressão, testar novamente e documentar.

16. Crianças

O serviço não é direcionado a crianças, e a Witnio não coleta intencionalmente dados pessoais de menores de 18 anos. Se você acredita que dados de uma criança chegaram até nós, escreva para o contato de privacidade e nós os excluiremos.

17. Alterações desta política

A Witnio pode atualizar esta política. A versão em vigor e a sua data aparecem no topo desta página.

Quando uma alteração afetar materialmente a forma como tratamos dados pessoais, notificaremos os contatos das contas com pelo menos 30 dias de antecedência da sua entrada em vigor.

18. Contato

Dúvidas sobre privacidade, solicitações de titulares de dados e esta política: [email protected].

Encarregado de proteção de dados ou representante na UE/no Reino Unido, quando nomeado: [email protected] (contato de privacidade; nesta fase não é exigido nem foi nomeado um encarregado de proteção de dados legalmente obrigatório).

Endereço postal: o endereço postal indicado na conta do cliente e em cada fatura.