Aviso de privacidade

Responsável e alcance

A EX EME LTDA, CNPJ 60.524.462/0001-30, com endereço na Rua João Antonio de Oliveira, 426, ap. 402, Florença, São Paulo/SP, CEP 03111-010, é responsável pelos tratamentos realizados para administrar a ehopent, suas contas, atendimento e segurança. O canal de privacidade é contato@ehopent.com. Encarregado de dados: Fabio Maiello, pelo mesmo canal.

Quando analisamos dados de um aplicativo por instrução de seu responsável, podemos atuar como operadora, nos limites do acordo com o cliente. Os papéis dependem da operação e não são definidos apenas pelo nome do contrato. Este aviso não substitui o aviso de privacidade do aplicativo analisado.

Dados e finalidades

Tratamos dados de conta e autenticação, identificação profissional quando necessária, informações do ativo e da autorização, registros de acesso, histórico mínimo das análises, pedidos de suporte e dados de contratação. Ao conectar um repositório, acessamos temporariamente o código no escopo autorizado e conservamos os metadados descritos no serviço. Não solicitamos documentos de identidade de rotina quando meios menos intrusivos forem suficientes.

O tratamento serve à prestação contratada, comprovação de autorização, segurança e prevenção de abuso, atendimento, cumprimento de obrigações legais e exercício regular de direitos. Comunicações promocionais opcionais, se existentes, terão fundamento e mecanismo de oposição ou consentimento próprios. Não utilizaremos código ou dados de clientes para treinamento de modelos sem avaliação e instrumento específicos.

Durante uma verificação, informações podem ser processadas temporariamente sem integrar o histórico. Se dados pessoais reais forem encontrados fora do escopo, aplicaremos interrupção, restrição e tratamento do incidente cabíveis. A autorização do teste não é apresentada como consentimento de todas as pessoas que constam do aplicativo.

Fundamentos do tratamento

Usamos execução de contrato ou procedimentos solicitados pelo titular quando aplicável; cumprimento de obrigação legal para registros e documentos exigidos; exercício regular de direitos para evidências necessárias; e legítimo interesse para atividades justificadas de segurança, após avaliação dos impactos. O fundamento para dados de representantes de empresas é avaliado conforme a relação concreta.

Quando houver consentimento, informaremos a finalidade e possibilitaremos retirada gratuita. Dados sensíveis exigem hipótese legal própria e salvaguardas adequadas; legítimo interesse não será utilizado como fundamento genérico para essa categoria. As bases do tratamento realizado em nome de clientes são definidas pelo controlador e examinadas quanto à licitude das instruções recebidas.

Cookies e registros técnicos

Informaremos os cookies e tecnologias realmente utilizados, sua finalidade e duração no inventário do serviço. Recursos estritamente necessários à autenticação e segurança serão diferenciados de recursos opcionais. Ferramentas opcionais não serão ativadas sob uma promessa de ausência total de rastreamento.

São mantidos os registros de acesso exigidos pela legislação, com IP, data, hora e outros elementos legalmente pertinentes, inclusive porta lógica quando necessária, pelo prazo de 6 meses (Marco Civil da Internet, art. 15). Esses registros são restritos e não equivalem à gravação do conteúdo integral das verificações. A infraestrutura pode gerar registros adicionais, descritos no inventário e sujeitos a finalidade e retenção próprias.

Compartilhamento e transferências

Utilizamos fornecedores necessários à autenticação, infraestrutura, integração de repositórios, suporte e, quando habilitado, pagamento. O inventário público identifica Clerk (autenticação e login), Cloudflare (hospedagem do site, banco da lista de espera e roteamento de e-mail) e GitHub (conexão de repositório, quando usada), assim como os demais prestadores confirmados. Alguns podem atuar como operadores; outros também decidem sobre tratamentos próprios, conforme suas políticas e contratos.

Dados podem ser processados fora do Brasil conforme os fluxos efetivos desses fornecedores. A transferência internacional apoia-se nas cláusulas contratuais específicas dos acordos de tratamento de dados (DPA) de cada fornecedor, que incorporam cláusulas-padrão de proteção, nos termos do art. 33 da LGPD. O titular pode pedir acesso às informações e à cópia pertinente, respeitados os segredos protegidos e os prazos regulamentares.

Antes da publicação definitiva, o quadro de transferência (fornecedor e entidade, operação e categorias, países e acessos remotos, prazo, mecanismo do art. 33 e transferências posteriores) será completado e conferido com a implementação. Uma afirmação genérica de proteção contratual não substitui esse quadro.

Retenção, eliminação e desconexão

A retenção distingue código temporário, histórico, conta, registros legais, autorizações, pagamentos e incidentes. O histórico poderá ser excluído a pedido quando não houver fundamento para retenção. Desconectar o GitHub interrompe novas análises, mas não elimina automaticamente todo histórico ou documentação legal.

Cópias de recuperação seguirão o ciclo técnico informado. Dados preservados por lei ou necessidade de defesa ficarão separados do uso ordinário e acessíveis somente a pessoas autorizadas. A exclusão não será anunciada como instantânea quando depender de expiração controlada de backup; sua duração será informada. Conservação não terá prazo indefinido por mera conveniência.

Direitos e atendimento

O titular poderá solicitar confirmação de tratamento, acesso, correção, informações sobre compartilhamento, anonimização, bloqueio ou eliminação quando cabíveis, portabilidade nos termos regulamentares, revisão de decisões automatizadas nas hipóteses legais e retirada de consentimento. Poderá ainda peticionar à ANPD e exercer os demais direitos previstos em lei.

As solicitações serão recebidas em contato@ehopent.com, com verificação proporcional de identidade. A confirmação e o acesso poderão ser fornecidos de forma simplificada imediatamente ou mediante declaração completa em até 15 dias, conforme o art. 19 da LGPD. Outros pedidos serão tratados nos respectivos prazos legais. Não cobraremos pelo exercício desses direitos.

Segurança, incidentes e alterações

Adotaremos medidas compatíveis com o risco, incluindo controle de acesso, separação entre clientes, proteção dos registros e descarte. Esses controles devem ser demonstrados e atualizados; não constituem promessa de segurança absoluta. Incidentes serão tratados e comunicados quando exigido, de acordo com o papel da ehopent e as regras aplicáveis.

Mudanças relevantes deste aviso serão informadas de forma acessível. A nova versão não autoriza, por si, finalidade incompatível ou teste fora do escopo.