Política de Privacidade

Vigência: 15 de outubro de 2026 (versão 2026-10-15.2)

1. Quem somos

A plataforma CyberArmor é operada pela HEGEON PRIME SERVICES LTDA, CNPJ 28.297.591/0001-20 ("CyberArmor", "nós"). CyberArmor é a marca; a empresa que responde pelos dados é a HEGEON PRIME SERVICES LTDA. Contato de privacidade: dpo@cyberarmor.com.br.

A plataforma é um serviço de segurança para empresas (B2B): inventário e postura de máquinas e repositórios, achados de vulnerabilidade, conformidade e resposta. Esta política vale para quem usa a plataforma, para quem visita o site e para quem tem dados tratados por meio dela.

2. Em quais papéis atuamos

A Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) distingue quem decide sobre o dado (controlador) de quem o trata em nome de outro (operador). Atuamos nos dois papéis, conforme o dado.

Cliente é a empresa que contratou. Usuário é a pessoa que acessa em nome do Cliente.

3. Quando somos controladora

Prospecção comercial B2B (contatos profissionais obtidos de terceiros)

Para oferecer a plataforma a empresas, a CyberArmor pesquisa profissionais de segurança da informação e de TI (por exemplo, CISO, diretores, gerentes e encarregados de dados) de empresas brasileiras de médio porte. Os dados vêm do Apollo.io (Apollo.io, Inc., Estados Unidos), fornecedor de dados de contato profissional; não coletamos esses dados diretamente de você.

• Quais dados: nome, cargo, senioridade e departamento, empresa (nome, domínio, setor e porte), cidade, estado e país, e, quando consultados, e-mail profissional, perfil profissional público (LinkedIn) e telefone comercial. Registramos também o andamento do contato (etapa, anotações e próxima ação) e a origem do dado. Não coletamos dado pessoal sensível nem dado de crianças nessa atividade.
• Finalidade: contato comercial B2B para apresentar o serviço a quem tem o cargo em que ele costuma ser relevante. Não usamos esses dados para outra finalidade.
• Base legal: legítimo interesse (LGPD, art. 7º, IX). Fizemos e registramos um teste de balanceamento (avaliação do legítimo interesse) que considera a finalidade, a necessidade e o impacto sobre você. A conclusão é que o tratamento é compatível com as suas expectativas razoáveis, porque usamos só dado de contato profissional, para assunto ligado ao seu cargo, com poucos campos, e com opção simples de sair. O registro está disponível a pedido ao encarregado.
• Fonte informada: no primeiro contato dizemos que obtivemos seus dados profissionais do Apollo.io e como exercer seus direitos.
• Sair em todo contato: toda mensagem comercial traz a forma de pedir para não receber mais contato. Quem pede (ou se opõe pelo encarregado) deixa de ser contatado e é incluído numa lista de supressão, que guarda apenas uma identificação protegida por função de hash com segredo (não o seu e-mail em claro), para que a busca automática não traga você de volta.
• Retenção: guardamos o contato por até 24 meses sem nenhuma interação sua (resposta, reunião ou proposta). Passado esse prazo, o registro é excluído ou anonimizado. Quando há relacionamento comercial, aplicam-se os prazos da seção 11.
• Transferência internacional: o Apollo.io está nos Estados Unidos (seção 10).
• Seu direito de oposição: você pode se opor a esse tratamento a qualquer momento, sem justificar, escrevendo ao encarregado (seção 14). Também pode pedir acesso, correção e eliminação (seção 12).

O que não fazemos

Não vendemos dados pessoais. Não usamos o conteúdo do Cliente para publicidade nem para outra finalidade que não seja prestar o serviço contratado.

4. Quando somos operadora

Conteúdo do Cliente é o que o Cliente coloca na plataforma ou coleta pelos agentes: achados e evidências de segurança, inventário de máquinas e software, telemetria dos agentes, relatórios, configurações, repositórios e metadados lidos por integração (como autor e e-mail de commits), informações de fornecedores do Cliente e registros de atividade dos usuários do Cliente na plataforma.

Tratamos esse conteúdo só para prestar o serviço, conforme as instruções do Cliente. O Cliente é o controlador: define a base legal, informa seus funcionários e demais titulares e responde às solicitações deles. A relação está nos Termos e no Acordo de Tratamento de Dados (DPA).

Alguns dados da telemetria e dos logs de segurança também servem à segurança da própria plataforma (por exemplo, detectar adulteração do agente). Para essa finalidade, atuamos como controladora.

O que esperamos do Cliente: ter base legal para os dados que envia; avisar os usuários das máquinas monitoradas; não enviar dados pessoais sensíveis (saúde, biometria, origem racial ou étnica etc.) nem dados de crianças; instalar o agente só em máquinas sobre as quais tenha poder.

5. Agentes instalados nas máquinas

O agente CyberArmor é um programa instalado pelo Cliente em computadores e servidores (Windows e Linux). Ele se comunica com a plataforma por conexão segura e autenticada. As categorias abaixo descrevem a versão atual e podem mudar com as versões do agente.

• Identificação da máquina e do agente: nome da máquina, sistema operacional e versão, versão do agente, tempo ligada, endereço IP local, usuário com sessão aberta, estado de integridade do agente.
• Hardware: processador, núcleos, memória, tamanho e espaço livre de disco, IP principal e endereço MAC, interfaces de rede.
• Software instalado: nome, fabricante, versão e origem.
• Processos em execução: identificador, nome, caminho do executável, usuário dono, uso de memória e de processador, data de início.
• Conexões e portas de rede: protocolo, endereços e portas local e remota, estado, processo associado, portas em escuta.
• Eventos de segurança do sistema: criação de processo (nome, caminho, linha de comando), logon e falha de logon, instalação de serviço, criação e exclusão de conta de usuário, criação de tarefa agendada.
• Postura de segurança: administradores locais, itens de inicialização, patches, estado do firewall, criptografia de disco, ferramentas de acesso remoto detectadas, mídias removíveis, extensões de navegador, verificações de configuração contra regras de referência.
• Descoberta de rede (quando habilitada pelo Cliente): dispositivos da sub-rede local (IP, nome, MAC, portas comuns abertas).
• Detecção de ameaças: comparação de arquivos e processos com indicadores de comprometimento fornecidos pela plataforma; o agente envia o resultado (processo, indicadores encontrados, pontuação de risco), não o conteúdo da memória.

O agente não foi projetado para coletar conteúdo de e-mails ou mensagens, histórico de navegação, senhas, teclas digitadas, capturas de tela, área de transferência, microfone, câmera ou conteúdo de documentos. Atenção: a linha de comando de um processo, o nome de um arquivo ou o rótulo de um disco podem conter dado pessoal que o usuário digitou. Isso é incidental ao tratamento, e o Cliente deve considerá-lo ao informar seus funcionários.

O agente também executa comandos assinados pela plataforma quando o Cliente (ou uma política que ele configurou) pede, por exemplo instalar um patch, iniciar ou parar um serviço ou coletar um dado sob demanda. Ele verifica a assinatura antes de executar. Um administrador local ainda pode interromper ou remover o agente; nesse caso a plataforma avisa o Cliente.

Os dados do agente vão para o ambiente do Cliente na plataforma, separado dos demais clientes. Usuários autorizados pelo Cliente os veem. Pessoal da CyberArmor só acessa com justificativa e registro.

6. Dados sensíveis e de crianças

A plataforma é só para empresas e não é destinada a menores de 18 anos. Não pedimos dado pessoal sensível (LGPD, art. 5º, II). Se o Cliente enviar, o faz sob sua responsabilidade, e avisaremos para apagar.

7. De onde vêm os dados

Diretamente dos Usuários; dos agentes e integrações que o Cliente instala e autoriza (inclusive o GitHub); do provedor de pagamento (status de cobrança); para contato comercial, das informações que você mesmo nos envia; e, na prospecção B2B, do Apollo.io, fornecedor de dados de contato profissional (seção 3).

8. Cookies e armazenamento no navegador

O site não usa cookies de publicidade nem de rastreamento, e nada que não seja necessário roda antes da sua escolha na faixa de cookies. Com o seu consentimento (LGPD, art. 7º, I), o site mede as visitas com a Vercel Web Analytics, operada pela Vercel Inc. (EUA): ela não grava cookies, conta visitas e páginas vistas de forma agregada e serve para sabermos quais conteúdos são úteis. Também com consentimento, o site lembra o tema que você escolheu e a dispensa da sugestão de idioma. A sua escolha fica registrada no seu navegador, com a data e a versão da Política de Cookies, e você pode mudá-la a qualquer momento em "Preferências de cookies", no rodapé. A lista completa, com nome, finalidade, duração e categoria de cada item, do site e do aplicativo, está na Política de Cookies.

9. Com quem compartilhamos

Compartilhamos dados só quando necessário ao serviço, com contrato e dever de confidencialidade. Não vendemos dados. Fornecedores que tratam dados em nosso nome:

A lista completa de operadores da plataforma, com a finalidade e o local de cada um, consta do DPA e é fornecida ao Cliente na contratação; qualquer pessoa pode pedi-la ao encarregado. Avisamos o Cliente antes de mudanças nessa lista. Também podemos compartilhar dados com assessoria contábil e jurídica (sob sigilo), com autoridades quando a lei ou ordem judicial exigir e com adquirente da empresa em operação societária, com aviso.

10. Transferência internacional

Parte dos fornecedores acima pode tratar dados fora do Brasil, em especial nos Estados Unidos. É o caso do Apollo.io, que tem sede nos Estados Unidos e de quem recebemos dados de contato profissional. Só transferimos dados com um mecanismo previsto na LGPD (art. 33) e na Resolução CD/ANPD 19/2024, como cláusulas-padrão contratuais ou decisão de adequação. Você pode pedir ao encarregado informação sobre o mecanismo usado por cada fornecedor.

11. Por quanto tempo guardamos

Guardamos o mínimo necessário pelo menor tempo possível. Quando a conta é encerrada:

• Pedido de encerramento: feito pelo dono da conta na plataforma, com autenticação reforçada. Não há exclusão imediata.
• Carência de 30 dias: a conta fica congelada (acessos, integrações, webhooks e SSO revogados). Dá para reativar, e nada é apagado.
• Exportação: antes de apagar, o Cliente pode exportar o conteúdo completo (JSON ou CSV, com verificação de integridade).
• Eliminação: o conteúdo do Cliente é apagado da produção em até 30 dias depois da carência.
• Cópias de segurança: expiram em até 35 dias. Se alguma cópia for restaurada, a eliminação é refeita.
• Comprovante: emitimos comprovantes de exclusão (fim da eliminação em produção e fim do ciclo de cópias de segurança), informando o que foi retido, por quê e até quando.

O que mantemos depois, como controladora, separado e sem outro uso: documentos fiscais e de cobrança pelo prazo da legislação tributária e contábil (em regra, 5 anos); contrato e aceite pelo prazo de prescrição aplicável; registros de acesso à aplicação por, no mínimo, 6 meses (Marco Civil da Internet, art. 15); registros de segurança e de auditoria da plataforma pelo tempo necessário à segurança e à prova de direitos, sem dado pessoal em claro no registro de auditoria; comprovantes de exclusão. Findo o prazo, eliminamos. A política completa de retenção é fornecida a quem pedir ao encarregado.

Máquinas com agente: o Cliente deve desinstalar os agentes antes de encerrar a conta. Máquinas desligadas recebem um atestado de revogação ao reconectar. Agentes que ficarem instalados ficam inertes.

Pedidos de contato feitos pelo site: guardamos o pedido por até 24 meses sem nova interação sua (resposta, reunião ou proposta). Depois, excluímos ou anonimizamos. Registramos a data do pedido e a versão deste aviso que você viu.

12. Seus direitos como titular (art. 18 da LGPD)

Você pode pedir: confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação do que for desnecessário ou excessivo; portabilidade; informação sobre compartilhamento; informação sobre a possibilidade de não consentir e suas consequências; revogação do consentimento; oposição a tratamento feito sem consentimento, se houver descumprimento da lei (inclusive à prospecção comercial B2B, que fazemos por legítimo interesse); revisão de decisão tomada de forma automatizada.

Como pedir: escreva ao encarregado, dpo@cyberarmor.com.br. Pedimos comprovação de identidade. Respondemos em formato simplificado de imediato, ou com declaração completa em até 15 dias, como a lei determina (art. 19).

• Dado em que somos controladora (conta, cobrança, segurança da plataforma, site, contato comercial e prospecção B2B): respondemos nós.
• Dado do conteúdo do Cliente (você é funcionário ou usuário de uma empresa Cliente, ou aparece em dados de máquina, achado ou repositório): o responsável é a empresa Cliente. Encaminhamos o seu pedido ao Cliente em até 5 dias úteis, sem responder no mérito, e ajudamos o Cliente com busca, exportação e eliminação. Se o Cliente for o seu empregador, procure também o setor responsável nele.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD). Podemos manter o que a lei obriga a guardar (seção 11) ou o que precisamos para defender direitos, informando a base.

13. Segurança e incidentes

Medidas: isolamento de dados entre clientes no banco, MFA e reautenticação em ações sensíveis, segredos cifrados, registro de auditoria encadeado, revogação centralizada de credenciais, comandos aos agentes assinados, tokens de desinstalação de uso único, detecção de adulteração do agente, acesso mínimo e com registro para a equipe. Nenhum sistema é invulnerável; não prometemos risco zero.

Se um incidente de segurança puder causar risco ou dano relevante, avisamos o Cliente por e-mail, ao contato de segurança cadastrado, sem demora injustificada, com a natureza do incidente, os dados e titulares afetados, as medidas tomadas e um contato. O Cliente, como controlador, comunica a ANPD e os titulares quando necessário; colaboramos. Para os dados em que somos controladora, comunicamos nós.

14. Encarregado (DPO)

Encarregado de dados da Hegeon. E-mail: dpo@cyberarmor.com.br. O encarregado recebe pedidos de titulares e comunicações da ANPD (LGPD, art. 41).

15. Alterações desta política

Podemos atualizar esta política. Mudanças relevantes são avisadas por e-mail aos donos de conta e no aplicativo, com antecedência razoável. A data de vigência no topo mostra a versão em vigor. Versões anteriores ficam disponíveis a pedido.

16. Lei aplicável e contato

Esta política é regida pela lei brasileira. Dúvidas: dpo@cyberarmor.com.br.