Política de Privacidade

A Panoptes (“Panoptes”, “nós”) fornece software que realiza testes de segurança autorizados em aplicações web, APIs e ambientes de cloud em nome dos nossos clientes. Esta política se aplica ao nosso site institucional em pnpts.com e ao painel Panoptes em app.pnpts.com (juntos, o “Serviço”). Para questões de privacidade, fale conosco em contact@panoptesdefense.com.

Coletamos apenas o necessário para operar o Serviço:

• Informações de conta. Quando você cria uma conta ou entra, coletamos seu nome, endereço de e-mail e — se você usa login social — o identificador da conta no provedor e a foto de perfil.
• Dados de organização e uso. As organizações das quais você faz parte, seu papel, configurações e registros de como você interage com o painel (páginas vistas, ações executadas, horários, endereço IP).
• Dados de engajamento. O escopo que você autoriza para teste (como domínios e endpoints) e os achados, evidências e relatórios que nossos agentes geram para você.
• Dados de cobrança. Se você assina um plano pago, nosso processador de pagamentos (Stripe) trata os dados do seu cartão; recebemos apenas metadados de cobrança, como plano, status e os quatro últimos dígitos do cartão.

Pesquisamos exposição de segurança visível publicamente em empresas. Quando acreditamos que é relevante, contatamos o time responsável, e para isso tratamos um conjunto limitado de dados de contato profissional: endereços de e-mail de trabalho; o nome ou cargo que uma página pública informa para aquela pessoa ou caixa de e-mail, incluindo o perfil público do GitHub do autor do arquivo de política de segurança da empresa; a URL pública onde o endereço foi encontrado; e registros de contato retornados pelo registro de domínio (RDAP) do domínio alvo. Um nome de perfil é marcado como inferido do nosso lado quando não corresponde à caixa de e-mail à qual está associado.

Nos baseamos no nosso interesse legítimo em oferecer nossos serviços (Artigo 6(1)(f) do GDPR). A exposição que referenciamos é visível publicamente e o contato é enviado a uma caixa de e-mail que a empresa publica para contato — a caixa de segurança quando ela publica uma. Não compramos listas de contato nem enriquecemos contatos com data brokers. Combinamos sim a página pública de uma empresa com o perfil público do GitHub de quem editou a sua política de segurança, e usamos uma API de busca na web para encontrar páginas públicas.

De onde vêm os dados. Páginas públicas e registros técnicos que a empresa publica: seu security.txt, SECURITY.md, página de contato ou repositório público, e o registro de domínio; uma página que alcançamos por uma API de busca na web também pode ser um terceiro que publica o endereço da empresa. Você pode pedir a fonte que usamos para o seu endereço e nós a informaremos.

O que não fazemos. Não enviamos endereços de e-mail de prospects, handles do GitHub nem os campos de identidade da tabela de contatos para um modelo. Uma caixa de e-mail é classificada por uma regra sobre o seu domínio e o tipo de fonte pública em que apareceu, nunca por uma chamada de inferência, e o brief que escrevemos é gerado a partir do contexto da empresa e dos nossos achados depois de removidos os endereços de e-mail, os handles do GitHub, as células de identidade da tabela de contatos e o bloco de pessoas/papéis. As notas que mantemos na thread de comentários da issue também não são enviadas; a descrição da issue em si é enviada, com endereços e handles removidos.

Suas escolhas. Use o link de descadastro em qualquer mensagem (um clique na maioria dos clientes de e-mail) — ele suprime aquele endereço imediatamente. Você também pode responder ou nos escrever; uma pessoa do nosso time então registra o descadastro. Uma vez suprimido, não contatamos aquele endereço de novo, e mantemos o registro de supressão mais uma entrada de descadastro no nosso log de envios, para que a decisão seja respeitada. Veja o §9 para os outros direitos que você tem.

Você pode entrar no painel Panoptes com Google ou GitHub. Ao fazer isso, o provedor compartilha conosco um conjunto limitado de informações de perfil — seu nome, endereço de e-mail, foto de perfil e um identificador de conta estável — usando os escopos openid, email e profile. Usamos isso apenas para criar e proteger a sua conta Panoptes e para identificá-lo dentro da sua organização.

Não solicitamos acesso aos seus repositórios, contatos, agenda ou qualquer outro dado, e nunca publicamos nem agimos em seu nome no Google ou no GitHub. O uso que a Panoptes faz das informações recebidas das APIs do Google segue a Google API Services User Data Policy, incluindo os requisitos de Limited Use. Você pode revogar o nosso acesso a qualquer momento nas permissões da sua conta Google ou nos aplicativos autorizados do GitHub.

Usamos dados pessoais para:

• criar a sua conta, autenticá-lo e manter o Serviço seguro;
• entregar o Serviço — executando testes autorizados e produzindo achados, evidências e relatórios;
• operar, manter, depurar e melhorar o Serviço;
• comunicar com você sobre a sua conta, segurança e mudanças relevantes no Serviço;
• pesquisar exposição de segurança visível publicamente em empresas e contatar o time responsável sobre isso, conforme descrito no §3;
• processar pagamentos e prevenir fraude e abuso; e
• cumprir obrigações legais e fazer valer os nossos termos.

Não vendemos dados pessoais. Compartilhamos apenas com prestadores de serviço que nos ajudam a operar o Serviço, sob contratos que limitam o uso que fazem dos dados:

• Supabase — autenticação e banco de dados;
• Vercel — hospedagem do painel;
• Google Cloud / Firebase — hospedagem e infraestrutura do site institucional;
• Stripe — processamento de pagamentos.

A lista atual, com finalidade e região de cada um, é mantida na página de Subprocessadores.

Endereços de e-mail de prospects, handles e identidade da tabela de contatos não são compartilhados com um provedor de modelo. O tratamento de contato comercial descrito no §3 é classificado por uma regra local, e o texto que geramos sobre uma empresa não carrega endereço de e-mail, handle, identidade da tabela de contatos nem nota sobre uma pessoa antes de qualquer chamada a modelo. Não vendemos dados pessoais.

Também podemos divulgar dados se exigido por lei, para proteger nossos direitos ou a segurança de terceiros, ou em conexão com uma fusão, aquisição ou venda de ativos, caso em que notificaremos você sobre qualquer mudança de controle.

Mantemos dados pessoais enquanto a sua conta estiver ativa e conforme necessário para prestar o Serviço. Quando você exclui a sua conta, excluímos ou anonimizamos os seus dados pessoais em prazo razoável, exceto quando precisamos retê-los para cumprir obrigações legais, contábeis ou de segurança.

Protegemos dados em trânsito e em repouso com criptografia padrão de mercado, aplicamos isolamento entre tenants para que cada organização alcance apenas os próprios dados, e restringimos o acesso interno àqueles que precisam saber. Nenhum método de transmissão ou armazenamento é perfeitamente seguro, mas trabalhamos continuamente para proteger as suas informações.

Dependendo de onde você mora, você pode ter o direito de acessar, corrigir, exportar ou excluir os seus dados pessoais, e de se opor ou restringir certos tratamentos. Você pode exercer esses direitos — ou revogar um login social — nas configurações da sua conta, ou escrevendo para contact@panoptesdefense.com. Responderemos no prazo exigido pela lei aplicável. Se você recebeu uma mensagem de abordagem comercial, pode se opor a esse tratamento a qualquer momento pelo link de descadastro ou por esse endereço — veja o §3.

Podemos tratar e armazenar dados em países diferentes do seu. Quando transferimos dados pessoais entre fronteiras, nos baseamos em salvaguardas adequadas, como cláusulas contratuais padrão, conforme exigido pela lei aplicável.

O Serviço é destinado a empresas e não é direcionado a menores de 18 anos. Não coletamos intencionalmente dados pessoais de crianças.

Podemos atualizar esta política periodicamente. Quando fizermos mudanças relevantes, atualizaremos a data acima e, quando apropriado, notificaremos você pelo Serviço. O uso continuado após uma atualização significa que você aceita a política revisada.

Dúvidas sobre esta política ou sobre os seus dados? Escreva para contact@panoptesdefense.com.

O site pnpts.com é publicado e operado por Panoptes Security LLC, 30 N Gould St, Ste N, Sheridan, WY 82801, USA. Panoptes é o nome comercial usado em todo este site; Panoptes Security LLC é o controlador dos seus dados pessoais. Questões de privacidade e avisos legais: contact@panoptesdefense.com.