Privacidade e Proteção de Dados

A AIM Nova adota privacidade por design e por padrão (privacy by design & by default), buscando minimizar a coleta de dados, limitar finalidades, aplicar controles de segurança proporcionais ao risco e garantir transparência aos titulares.

Reconhecemos que falhas de segurança em aplicações web podem expor dados pessoais de usuários finais dos nossos Clientes. O CyberVitis auxilia na identificação preventiva de vulnerabilidades, mas a responsabilidade pela conformidade do sistema escaneado e pela base legal para o teste permanece, em regra, com o Cliente Controlador.

Controlador: pessoa natural ou jurídica que toma decisões sobre o tratamento de dados pessoais. Em geral, o Cliente que cadastra Alvos e define quais sistemas serão escaneados atua como Controlador dos dados pessoais eventualmente processados durante as varreduras.

Operador: pessoa que realiza o tratamento em nome do Controlador. A AIM Nova atua como Operadora ao executar varreduras, armazenar relatórios e processar dados de uso da Plataforma conforme instruções do Cliente e estes documentos.

Operador / Controladora de dados de cadastro: para dados de conta, faturamento, suporte e operação da Plataforma, a AIM Nova atua como Controladora.

Titular: pessoa natural a quem se referem os dados pessoais tratados.

Principais atividades de tratamento realizadas no contexto do Serviço:

• Gestão de contas de usuário e autenticação.
• Gestão de workspaces, convites e permissões de equipe.
• Verificação de propriedade de domínios/alvos.
• Execução de varreduras DAST e armazenamento de achados.
• Geração de relatórios, exportações PDF/JSON e resumos com IA.
• Notificações transacionais (conclusão de scan, convites, alertas).
• Cobrança e gestão de assinaturas via parceiros de pagamento.
• Suporte técnico com possível acesso temporário ao workspace (impersonação auditada), auditoria de segurança e cumprimento legal.
• Telemetria técnica de erros do cliente e analytics (PostHog) mediante consentimento; atribuição de afiliado (cookie first-party).
• Retenção e poda automática (auditoria ~365d; scans/findings ~365d; webhooks ~30d).

Dados fornecidos diretamente pelo titular ou Cliente: nome, e-mail, telefone, foto, dados de faturamento, URLs de alvos, configurações de scan.

Dados coletados automaticamente: logs, IP, identificadores de sessão, metadados de dispositivo, registros de erro e telemetria operacional.

Dados derivados de varreduras: vulnerabilidades, cabeçalhos HTTP, respostas de servidor, payloads de teste, evidências técnicas e informações expostas publicamente ou em endpoints acessíveis durante o teste autorizado.

Dados sensíveis: o Serviço não solicita intencionalmente dados sensíveis no cadastro. Entretanto, varreduras podem incidentalmente identificar exposição de categorias sensíveis em sistemas do Cliente (por exemplo, vazamento de dados de saúde ou financeiros). O Cliente deve avaliar riscos antes de escanear ambientes com dados sensíveis.

O tratamento fundamenta-se, conforme o caso, em:

• Execução de contrato ou procedimentos preliminares (art. 7º, V).
• Cumprimento de obrigação legal ou regulatória (art. 7º, II).
• Legítimo interesse, com avaliação de balanceamento e medidas de transparência (art. 7º, IX).
• Consentimento do titular, quando exigido (art. 7º, I).
• Exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI).
• Proteção do crédito, quando aplicável a cobranças (art. 7º, X).

Titulares de dados pessoais tratados pela AIM Nova como Controladora podem exercer os direitos previstos nos arts. 17 a 22 da LGPD:

Self-service na conta autenticada (Configurações → Privacidade e Dados): exportação JSON do workspace (owner/admin) e exclusão da conta com confirmação de senha, protocolo LGPD-YYYY-NNNNNN, eliminação/anonimização e e-mail de conclusão.

Por e-mail a contato@cybervitis.com.br, informando identidade e descrição do pedido. Prazo de resposta: em até 15 (quinze) dias, prorrogáveis por mais 15 dias mediante justificativa, conforme art. 19 da LGPD.

Quando o titular for usuário final de um Cliente (Controlador), recomendamos contatar também o Cliente responsável pelo sistema escaneado. A AIM Nova auxiliará o Cliente, na medida do papel de Operadora, conforme contrato e lei.

• Confirmação e acesso.
• Correção de dados incompletos ou inexatos.
• Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos.
• Portabilidade a outro fornecedor de serviço ou produto.
• Eliminação de dados pessoais tratados com consentimento.
• Informação sobre entidades com as quais houve compartilhamento.
• Informação sobre a possibilidade de não fornecer consentimento e consequências.
• Revogação do consentimento.

Mantemos programa de segurança da informação proporcional aos riscos, incluindo:

• Controle de acesso lógico e segregação por workspace.
• Criptografia de dados em trânsito e, quando aplicável, em repouso.
• Gestão de vulnerabilidades e atualizações de dependências.
• Backups e plano de continuidade.
• Registro e monitoramento de eventos de segurança.
• Treinamento de equipe e cláusulas de confidencialidade.
• Avaliação de riscos e due diligence de subprocessadores.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, adotaremos medidas de contenção, investigação e mitigação.

Comunicaremos à ANPD e aos titulares afetados conforme exigido pela LGPD (art. 48) e regulamentações aplicáveis, em prazo razoável após confirmação do incidente.

Clientes Controladores serão notificados quando o incidente impactar dados tratados em seu nome, para permitir cumprimento de suas obrigações legais.

Subprocessadores em nuvem podem armazenar dados fora do Brasil. Nesses casos, aplicamos mecanismos de conformidade previstos na LGPD, incluindo cláusulas contratuais, certificações reconhecidas ou consentimento específico quando necessário.

Lista atualizada de categorias de subprocessadores pode ser solicitada por e-mail a contato@cybervitis.com.br.

Realizamos avaliações de impacto à proteção de dados (DPIA/RIPD) quando o tratamento apresentar alto risco aos titulares, conforme art. 38 da LGPD.

Mantemos registro das operações de tratamento sob nossa responsabilidade, conforme art. 37 da LGPD.

O CyberVitis pode utilizar modelos de IA de terceiros para gerar resumos orientativos de relatórios de varredura. Antes do envio, aplicamos sanitização e minimização de dados para reduzir informações identificáveis ou sensíveis.

Resumos de IA são auxiliares e não substituem análise humana qualificada. Não utilizamos dados de varredura para treinar modelos públicos de terceiros, salvo disposição contratual específica em contrário com o Cliente.

O Serviço não se destina a menores de 18 anos. Tratamento de dados de crianças e adolescentes, se inadvertidamente identificado, será submetido a avaliação e medidas de exclusão ou anonimização, observado o melhor interesse do titular e o art. 14 da LGPD.

O canal oficial para comunicação com o Encarregado pelo Tratamento de Dados Pessoais e para exercício de direitos é: contato@cybervitis.com.br.

Controladora / Operadora: AIM Nova Soluções em Tecnologia Ltda. — https://aimnova.com.br.

Responderemos solicitações em português, de forma clara e acessível.

Sem prejuízo do direito de petição à AIM Nova, o titular pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) pelo site www.gov.br/anpd, caso entenda que o tratamento viola a LGPD.

Este documento pode ser revisado periodicamente para refletir evolução do Serviço, da legislação e das melhores práticas. A versão publicada em cybervitis.com.br/privacidade-e-protecao-de-dados prevalece sobre versões anteriores.