Aviso de Privacidade

Parte 1. Resumo em linguagem simples

O que fazemos com as suas informações

Este resumo explica, de forma simples e direta, como a Vulnera ("Plataforma", "nós") coleta, usa, armazena e protege os seus dados pessoais. Ele não substitui o Aviso de Privacidade completo, que está na Parte 2 deste documento, mas serve como um guia rápido de entendimento.

Se você tiver qualquer dúvida sobre privacidade e proteção de dados, fale com a gente pelo e-mail privacidade@vulnera.io. Para assuntos gerais, use o e-mail contato@vulnera.io.

Quem é o responsável pelo tratamento?

A Vulnera atua como Controladora dos dados pessoais que você informa para criar e usar a sua conta. Contamos com empresas parceiras (operadoras) que nos ajudam a prestar o serviço, como provedor de nuvem, meio de pagamento, envio de e-mail e monitoramento, sempre sob nossas instruções e dentro dos limites da lei.

Todavia, quando você contrata uma análise em área autenticada do seu próprio ambiente, a evidência técnica capturada pode conter dados pessoais de terceiros que existem no seu sistema. Nesse cenário, quem toma as decisões sobre o tratamento desses dados é você, na condição de Controlador, e a Vulnera atua como Operadora.

Como fazemos a segurança dos seus dados?

A Vulnera adota as medidas recomendadas pela ANPD para agentes de pequeno porte, proporcionais aos riscos do serviço. Na prática, isso inclui senha armazenada como hash, segundo fator de autenticação opcional, cifragem das credenciais em repouso, redação de senhas, tokens e cookies antes da gravação de registros, controle de acesso por perfil e monitoramento contínuo da infraestrutura.

Quais dados são coletados?

• Visitante do site: apenas os registros técnicos gerados pelo acesso, como endereço IP, data e hora. Cookies de medição de audiência só são gravados se você autorizar; cookies de publicidade não são utilizados.
• Usuário da conta: e-mail, senha, nome da empresa e, quando informados, nome pessoal, CPF e telefone. Somam-se a isso os registros de sessão e de auditoria, os dados da assinatura e todo o conteúdo que você submete para análise. Na contratação por Boleto, o processador de pagamentos coleta também o seu CPF ou CNPJ e o seu endereço, que não ficam armazenados nos servidores da Vulnera.

Os dados coletados são os mesmos para todos os perfis de usuário da conta. O que muda entre Owner, Member e Viewer é o alcance do que cada um pode fazer, não o conjunto de dados que informa.

Para quais finalidades usamos seus dados?

Para viabilizar o serviço contratado, autenticar o seu acesso, executar as análises, gerar relatórios, faturar a assinatura, dar suporte, cumprir obrigações legais e manter a Plataforma segura e disponível. O detalhamento por tipo de dado está na tabela da Cláusula 6.

Com quem compartilhamos seus dados?

Apenas com os parceiros necessários à operação, listados nominalmente na Cláusula 3.3, e quando exigido por ordem judicial ou determinação legal. A infraestrutura principal da Vulnera (hospedagem, banco de dados, cache, filas e contêineres) fica nos Estados Unidos, o que já caracteriza transferência internacional, tratada na Cláusula 3.4; parte dos demais parceiros também mantém infraestrutura fora do Brasil. Ativos, código e achados dos clientes não são enviados a serviços de escaneamento de terceiros.

Seus registros de acesso serão coletados?

Sim. Guardamos endereço IP, porta lógica de origem, data e hora de acesso, em sigilo, por no mínimo 6 (seis) meses, como exige o Marco Civil da Internet. Hoje a Plataforma está configurada para reter esses registros por 365 dias.

Há coleta indireta de dados?

Sim, mas de forma bem delimitada. A cada login bem sucedido, o seu endereço IP é usado para inferir cidade, região e país, justamente para que você identifique acessos que não reconhece. Também usamos ferramentas de monitoramento de erros e de desempenho. Não usamos câmera, microfone, GPS, notificações push, fingerprinting, chatbot de terceiros nem cookies de marketing. O que fica gravado no seu navegador é o token de sessão e a sua preferência de tema claro ou escuro.

Registros de comunicações serão armazenados?

Sim. O atendimento acontece por e-mail e guardamos esse histórico para melhorar o atendimento e como evidência das interações.

Quais são seus direitos e como exercê-los?

Você tem os direitos previstos no artigo 18 da LGPD, detalhados na Cláusula 8. Há dois caminhos para exercê-los: o autoatendimento dentro da própria Plataforma, disponível para quem está autenticado, e o e-mail privacidade@vulnera.io. Respondemos em até 15 (quinze) dias, e o que puder ser resolvido de imediato, em formato simplificado, é resolvido na hora.

Qual é o conteúdo do Aviso?

O Aviso completo contém as seguintes cláusulas:

(a) Data de disponibilização;

(b) Glossário e perfis de usuário;

(c) Agentes de tratamento;

(d) Segurança da informação;

(e) Coleta de dados;

(f) Tratamento de dados pessoais;

(g) Cancelamento, exclusão e prazos de retenção;

(h) Direitos do titular e prazos de atendimento;

(i) Mudanças no Aviso;

(j) Canal de comunicação sobre privacidade;

(k) Contato sobre assuntos gerais.

Parte 2. Aviso de Privacidade

1. Data de disponibilização

1.1. Este Aviso de Privacidade foi disponibilizado e passa a produzir efeitos a partir de 29/09/2026.

2. Glossário e perfis de usuário

2.1. Para facilitar a compreensão deste Aviso, seguem as definições dos principais termos utilizados:

• Controlador: pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais.
• Operador: pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do controlador.
• Encarregado (DPO): pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD.
• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a pessoa natural.
• Tratamento de dados: toda operação realizada com dados pessoais, como coleta, uso, acesso, transmissão, armazenamento, eliminação, transferência ou extração.
• Criptografia: técnica de codificação de dados que visa impedir o acesso não autorizado às informações.
• Hash: representação irreversível de uma informação, que permite verificá-la sem armazená-la em formato legível.
• IP (Internet Protocol): número de identificação atribuído a cada dispositivo conectado à internet.
• Ativo: domínio, URL, API ou repositório de código cadastrado pelo Usuário para ser submetido às análises de segurança.
• Achado: Vulnerabilidade ou fragilidade identificada em uma análise, acompanhada da respectiva evidência técnica.
• Cookies e armazenamento local: pequenos arquivos ou registros mantidos no dispositivo do Usuário para viabilizar a navegação e guardar preferências.

2.2. São considerados usuários da Plataforma Vulnera:

2.2.1. Visitante: pessoa que acessa o site institucional ou páginas públicas, sem realizar cadastro e sem autenticação.

2.2.2. Usuário Cadastrado: pessoa autenticada que integra uma organização contratante da Plataforma. Os dados coletados são idênticos para todos os perfis abaixo. O que os distingue é o alcance das permissões atribuídas a cada um:

• Owner (titular da organização). Perfil criado no momento do cadastro. É o único que convida e remove membros, contrata e cancela a assinatura, exclui ativos, declara a autorização sobre o ativo analisado e consente com o modo de ataque aplicado na análise.
• Member. Perfil de uso operacional: cadastra ativos, dispara análises, consulta achados, gera relatórios e configura integrações.
• Viewer. Perfil de leitura, sem poder de alteração.

2.2.3. Administrador: perfil interno, atribuído exclusivamente pela equipe da Vulnera e não disponível na tela de convite da conta. Dá acesso a painel administrativo com a relação de organizações clientes, usuários com e-mail e papel, ativos cadastrados, assinaturas, contagem de análises e histórico de sessões de acesso, incluindo endereço IP, dispositivo e localização aproximada. A finalidade é exclusivamente o suporte e a operação do serviço, e o acesso é restrito às pessoas que exercem essas funções.

3. Agentes de tratamento

3.1. A Vulnera atua como Controladora dos dados pessoais coletados diretamente de seus Usuários, sendo responsável por definir as finalidades e os meios de tratamento desses dados, nos termos deste Aviso.

3.2. A Vulnera atua como Operadora em relação aos dados pessoais de terceiros que eventualmente constem da evidência técnica capturada durante as análises, sobretudo nas análises realizadas em área autenticada do ambiente do cliente. Nessa hipótese, o cliente contratante é o Controlador desses dados, cabendo a ele definir a finalidade e a base legal do tratamento, e a Vulnera trata tais dados apenas na medida necessária à execução da análise contratada e conforme as instruções recebidas.

3.2.1. A Vulnera recomenda que o cliente avalie, previamente à contratação de análises autenticadas, a existência de dados pessoais no ambiente analisado e adote as medidas cabíveis, inclusive quanto ao registro dessa operação em seu próprio inventário de tratamento.

3.3.2. As análises dinâmicas são realizadas com a ferramenta OWASP ZAP, e as análises de código com motor próprio da Vulnera, ambos executados dentro da infraestrutura própria da Vulnera na AWS. Os ativos, o código-fonte e os achados dos clientes não são enviados a serviços de escaneamento de terceiros.

3.3. Para viabilizar a prestação do serviço, a Vulnera conta com os seguintes operadores, que tratam dados pessoais em seu nome e sob suas instruções:

• Amazon Web Services (AWS). Hospedagem, banco de dados, cache, filas, execução de contêineres e telemetria de segurança da infraestrutura. Infraestrutura alocada nos Estados Unidos da América (região us-east-2).
• Google. Autenticação, quando o Usuário opta por entrar com conta Google.
• Stripe. Processamento de pagamentos por cartão, Link e Boleto e gestão de assinaturas. Os dados de cartão são informados diretamente ao provedor e não trafegam pelos servidores da Vulnera. No pagamento por Boleto, o provedor coleta o nome, o CPF ou CNPJ, o endereço e o e-mail do pagador para emitir o boleto.
• OpenAI. Geração de explicações e recomendações por inteligência artificial, quando o recurso está habilitado. São enviados título, severidade, descrição e categoria do achado. Não são enviadas credenciais, segredos ou a evidência técnica bruta.
• Resend. Envio de e-mail transacional, hoje limitado à redefinição de senha. Recebe o e-mail do titular e o respectivo link.
• ip-api.com. Inferência de localização aproximada a partir do endereço IP, no momento do login.
• Sentry. Monitoramento de erros da aplicação, incluindo repetição de sessão nas condições descritas na Cláusula 5.8.
• New Relic. Monitoramento de desempenho e registros da aplicação.
• Slack. Recebimento de alertas internos de incidente pela equipe da Vulnera.
• Doppler. Gerenciamento de segredos e variáveis de ambiente da infraestrutura.
• Hostinger. Provedor das caixas postais do domínio Vulnera.io.

3.3.1. Esta relação será atualizada sempre que houver inclusão, substituição ou exclusão de operadores, e a versão vigente é a publicada na Plataforma.

3.4. Todos os operadores e eventuais suboperadores são responsáveis pelo tratamento seguro dos dados pessoais a eles disponibilizados, sendo vedada a utilização desses dados para finalidades diversas das aqui estabelecidas, sob pena de responsabilização civil, criminal e administrativa perante a ANPD.

3.5. Transferência internacional. A infraestrutura principal da Vulnera, incluindo hospedagem, banco de dados, cache, filas e execução de contêineres, está alocada nos Estados Unidos da América, e parte dos demais operadores indicados na Cláusula 3.3 também mantém infraestrutura fora do Brasil. Ambas as situações caracterizam transferência internacional de dados pessoais. As transferências são realizadas em estrita observância à LGPD e à Resolução CD/ANPD nº 19/2024, mediante a adoção das Cláusulas Contratuais Padrão aprovadas pela ANPD ou de outro mecanismo de transferência admitido pela legislação, garantindo nível de proteção adequado aos dados transferidos.

3.5.1. A transferência do endereço IP do Usuário ao provedor de geolocalização, descrita na Cláusula 5.3, ocorre a cada autenticação bem sucedida e tem como única finalidade permitir que o próprio Usuário identifique acessos não reconhecidos à sua conta.

4. Segurança da informação

4.1. Considerando o porte da Vulnera como agente de pequeno porte, a Plataforma adota as medidas de segurança recomendadas pelo Guia Orientativo da ANPD para Agentes de Tratamento de Pequeno Porte, observando os princípios de necessidade, adequação e proporcionalidade em relação aos riscos envolvidos.

4.1.1. As medidas contemplam controles técnicos e administrativos voltados à prevenção, detecção, resposta e recuperação de incidentes, com foco na preservação da confidencialidade, integridade e disponibilidade das informações tratadas.

4.2. Entre as medidas atualmente implementadas, destacam-se:

• Armazenamento da senha do Usuário exclusivamente como hash, sem possibilidade de recuperação em formato legível.
• Segundo fator de autenticação disponível ao Usuário, com segredo e códigos de recuperação também armazenados como hash.
• Cifragem em repouso das credenciais e dos tokens de integração fornecidos pelo Usuário, com decifragem restrita ao momento da execução da análise.
• Redação automática de cabeçalhos de autenticação, cookies e campos contendo senha ou token antes da gravação de registros de aplicação.
• Mascaramento de texto e de campos de formulário e bloqueio de mídia nas ferramentas de monitoramento que capturam repetição de sessão.
• Controle de acesso segregado por perfil, com registro de auditoria das ações praticadas na conta.
• Telemetria de segurança e monitoramento contínuo da infraestrutura em nuvem, com alertas internos de incidente.
• Token de redefinição de senha de uso único, com validade de 30 (trinta) minutos.
• Isolamento lógico por organização (tenant), com consultas de dados escopadas por esse limite.
• Criptografia em trânsito por TLS nas conexões com o banco de dados e com o cache (Redis), além de criptografia em repouso habilitada em ambos.
• Restrição de rede: os serviços são executados em VPC, com bancos de dados e cache acessíveis apenas pelos grupos de segurança autorizados.
• Becape (backup) automático diário do banco de dados, gerenciado pela AWS, com janela de retenção de 1 (um) dia.

4.3. Os registros de acesso dos Usuários são mantidos sob sigilo, em ambiente controlado e seguro, por no mínimo 6 (seis) meses, conforme o artigo 15 da Lei nº 12.965/2014 e o artigo 7º, II, da LGPD. A Plataforma está atualmente configurada para reter esses registros por 365 (trezentos e sessenta e cinco) dias.

4.4. A Vulnera se compromete a manter a estabilidade e a segurança da Plataforma, empregando diligência razoável nesse sentido. Contudo, não se responsabiliza por invasões ilícitas praticadas por terceiros não autorizados, comprometendo-se, nessas hipóteses, a adotar as medidas necessárias para identificar o responsável e colaborar com as autoridades competentes, bem como a comunicar os titulares e a ANPD quando o incidente puder acarretar risco ou dano relevante.

5. Coleta de dados

5.1. Dados de cadastro. Na criação da conta são coletados o e-mail, a senha (armazenada como hash) e o nome da empresa. O nome pessoal é opcional e pode ser preenchido posteriormente, na tela de perfil.

5.1.1. Os campos de CPF e telefone existem na base de dados e são aceitos pela rotina de atualização de perfil, mas não são solicitados por nenhuma tela da Plataforma na versão atual. Caso venham a ser coletados, serão tratados para identificação do Usuário e contato operacional, nos termos da Cláusula 6. O CPF ou CNPJ coletado pelo processador de pagamentos no pagamento por Boleto, descrito na Cláusula 5.5.1, não é gravado nesses campos.

5.2. Autenticação. O Usuário pode entrar por e-mail e senha ou por conta Google. No login com Google são solicitados os escopos de e-mail e perfil básico, e a Vulnera armazena o e-mail, o nome e o identificador da conta Google. O Usuário pode ainda habilitar o segundo fator de autenticação.

5.3. Registros de sessão e localização aproximada. A cada autenticação bem sucedida são registrados o endereço IP, o navegador, o sistema operacional, o tipo de dispositivo, a cidade, a região, o país e a data e hora do acesso. A cidade, a região e o país são inferidos a partir do endereço IP, por meio de consulta ao provedor indicado na Cláusula 3.3, e a finalidade é permitir que o próprio Usuário reconheça acessos indevidos à conta. Esses registros ficam disponíveis ao Usuário na tela de gerenciamento da conta.

5.4. Registros de auditoria. São registradas o usuário, a organização, a ação praticada, a descrição, os metadados associados, o endereço IP e a data, para fins de rastreabilidade e apuração de incidentes.

5.5. Dados de assinatura. São tratados o plano, o status, a periodicidade, o valor e os identificadores atribuídos pelo processador de pagamentos e, no pagamento por Boleto, a situação de pendência e a data de vencimento do boleto. Os dados de cartão, inclusive quando informados por meio do Apple Pay, do Google Pay ou do Link, são informados diretamente ao processador e não trafegam pelos servidores da Vulnera.

5.5.1. Pagamento por Boleto. Para emitir o boleto, o processador de pagamentos coleta diretamente do pagador o nome, o CPF ou CNPJ, o endereço e o e-mail. Esses dados não são gravados nos servidores da Vulnera, que registra apenas a situação do pagamento e a data de vencimento do boleto. A equipe da Vulnera pode consultá-los no painel do processador quando necessário para atendimento ao Usuário, conciliação de pagamentos, reembolso e cumprimento de obrigações fiscais.

5.5.2. Link. O Link é um serviço da própria Stripe que permite ao Usuário salvar nome, dados de pagamento, contato e endereço para uso em compras futuras. Ao optar pelo Link, o Usuário mantém relação direta com a Stripe, e o tratamento desses dados é regido pelos termos e pelo aviso de privacidade da Stripe. A Vulnera não tem acesso aos dados de pagamento salvos no Link.

5.5.3. Reembolso de pagamento por Boleto. Como o pagamento por Boleto não admite estorno pelo processador, o reembolso devido nos termos dos Termos de Uso é feito por transferência bancária. Para isso, a Vulnera solicita ao Usuário o nome e o CPF ou CNPJ do titular da conta de destino e os dados dessa conta (banco, agência e número da conta, ou chave PIX).

5.6. Conteúdo submetido pelo Usuário. Para a execução do serviço, a Plataforma trata os ativos cadastrados (domínios, URLs, APIs e repositórios), a prova de titularidade do ativo (registro DNS ou arquivo publicado no próprio ativo), o aceite da autorização de análise com o respectivo endereço IP e data, os agendamentos de análise, os achados de vulnerabilidade com a correspondente evidência técnica e os relatórios gerados.

5.6.1. A evidência técnica capturada em análises realizadas em área autenticada pode conter dados pessoais de terceiros existentes no ambiente do cliente. A esse tratamento aplica-se o regime da Cláusula 3.2.

5.7. Credenciais para análises autenticadas e integrações. O recurso está disponível na área de configurações da Plataforma e admite os seguintes formatos:

• Usuário e senha do ambiente do cliente. O Usuário informa a URL da rota de login, o nome dos campos de usuário e de senha, as credenciais, o formato de envio (formulário ou JSON) e, opcionalmente, campos extras livres, por meio dos quais pode indicar token estático, cabeçalho adicional ou outro valor exigido pelo login do seu ambiente. A senha é cifrada em repouso e decifrada apenas no momento da análise.
• Token de API por ativo. Utilizado nas análises de API, cifrado em repouso.
• Tokens de repositório de código. Concedidos por OAuth. No GitHub, por meio de aplicativo instalado, com token gerado sob demanda e validade de uma hora. No GitLab e no Bitbucket, com token de acesso e token de renovação cifrados. São armazenados também a conta conectada e os escopos concedidos.
• Tokens emitidos pela própria Vulnera. Token de webhook e token pessoal de integração MCP, este último armazenado apenas como hash e exibido uma única vez, no momento da criação. São registrados ainda os clientes OAuth autorizados pelo Usuário.

5.7.1. Cookie de sessão não é formato aceito pela Plataforma, não havendo campo destinado a essa finalidade.

5.7.2. As credenciais são utilizadas exclusivamente para a execução das análises autorizadas pelo Usuário e podem ser removidas por ele a qualquer tempo na área de configurações.

5.8. Coletas passivas e monitoramento. Além dos registros já descritos, a Plataforma realiza as seguintes coletas:

• Monitoramento de erros. São registrados o endereço IP e o identificador do usuário. A ferramenta grava repetição de sessão apenas quando ocorre erro, com todo o texto e todos os campos de formulário mascarados e a mídia bloqueada.
• Monitoramento de desempenho no navegador. Visitas de página, tempos de carregamento e chamadas à API da própria Plataforma, sem o corpo das requisições. As funções de repetição e de rastreamento de sessão estão desativadas.
• Registros de aplicação. São gravadas apenas as requisições com erro e endereço IP, aplicada a redação descrita na Cláusula 4.2.
• Registros de acesso do balanceador de carga. Abrangem todas as requisições, com endereço IP de origem, User-Agent, URL e horário, armazenados em bucket sob controle da Vulnera.
• Telemetria de segurança da infraestrutura em nuvem. Voltada ao monitoramento do ambiente e à detecção de atividades suspeitas.

5.9. Tecnologias não utilizadas. Para clareza do Usuário, a Vulnera declara que a Plataforma e o site institucional não utilizam:

• Acesso à câmera ou ao microfone do dispositivo.
• Coleta de localização por GPS ou pela API de geolocalização do navegador.
• Notificações push, service worker ou provedor de notificações. As comunicações se limitam ao e-mail transacional e à atualização em tempo real dentro da tela aberta.
• Técnicas de fingerprinting, como identificação por canvas, áudio, fontes ou identificador de dispositivo.
• Chat online, chatbot ou widget de atendimento de terceiros, no site ou na Plataforma. O atendimento é realizado integralmente por e-mail.
• Cookies de marketing, de publicidade direcionada ou de perfilamento comportamental.

5.10. Cookies e armazenamento local. O armazenamento no navegador do Usuário inclui o token de sessão, necessário para manter a autenticação, a preferência de tema claro ou escuro e o registro da escolha do Usuário sobre cookies não necessários. O site institucional utiliza a ferramenta Google Analytics 4 para medição de audiência, cujos cookies são gravados exclusivamente após o consentimento do Usuário, nos termos detalhados na Política de Cookies.

5.10.1. A medição de audiência está sujeita à coleta de consentimento nos termos da Política de Cookies, disponível no rodapé de todas as páginas.

5.11. Histórico de contato. A Vulnera armazena o conteúdo das comunicações mantidas por e-mail com o Usuário, com a finalidade de aprimorar a qualidade do atendimento e servir como evidência das interações realizadas.

6. Tratamento de dados pessoais

6.1. Ao utilizar a Plataforma, o Usuário manifesta ciência do tratamento de seus dados pessoais nos termos da tabela abaixo, que indica o tipo de dado, a base legal prevista na LGPD e a finalidade específica de cada tratamento:

6.2. Os dados pessoais de terceiros eventualmente contidos na evidência técnica não constam da tabela acima porque, em relação a eles, a definição da finalidade e da base legal cabe ao cliente contratante, na condição de Controlador, nos termos da Cláusula 3.2.

6.3. A Vulnera não realiza tratamento de dados pessoais sensíveis nem tratamento de dados de crianças e adolescentes, e a Plataforma não se destina a menores de 18 (dezoito) anos.

6.4. Os resultados gerados por processamento automatizado ou por inteligência artificial, incluindo classificação de severidade e priorização de risco, têm caráter de recomendação técnica e não configuram decisão automatizada que produza efeitos jurídicos ou impacto significativo sobre o Usuário, nos termos do artigo 20 da LGPD, sendo sempre passíveis de revisão humana.

7. Cancelamento, exclusão e prazos de retenção

7.1. A Vulnera poderá cancelar o acesso do Usuário em caso de conduta inadequada, violação dos Termos de Uso ou da legislação aplicável, ou uso indevido dos serviços.

7.2. O Usuário poderá solicitar o cancelamento da conta a qualquer momento, pelo autoatendimento disponível na própria Plataforma ou pelo e-mail privacidade@vulnera.io.

7.3. Encerrada a finalidade do tratamento ou mediante solicitação do titular, os dados pessoais serão eliminados no prazo máximo de 30 (trinta) dias corridos contados do pedido. Na configuração atual, a Plataforma executa a eliminação 7 (sete) dias após a solicitação, período destinado a permitir o arrependimento do titular e a conclusão de operações em curso.

7.3.1. Na ausência de pedido expresso de eliminação, a Vulnera mantém os dados de conta por até 1 (um) ano após o encerramento da conta, e os achados de vulnerabilidade e as respectivas evidências técnicas por até 1 (um) ano de inatividade da conta, findo o qual são eliminados.

7.4. A eliminação não alcança, nos termos do artigo 16 da LGPD:

• Registros de acesso, mantidos por no mínimo 6 (seis) meses por força do artigo 15 da Lei nº 12.965/2014, atualmente configurados para 365 (trezentos e sessenta e cinco) dias.
• Registros de cobrança e documentos fiscais, mantidos por 5 (cinco) anos, para cumprimento de obrigações legais, fiscais e contábeis.
• Dados necessários ao exercício regular de direitos em processos judiciais, administrativos ou arbitrais.
• Dados cuja manutenção seja exigida por lei ou norma regulatória.

7.5. Os dados mantidos com fundamento na Cláusula 7.4 permanecem sob acesso restrito e são eliminados ao término do respectivo prazo ou da finalidade que justificou a retenção.

8. Direitos do titular e prazos de atendimento

8.1. Nos termos do artigo 18 da LGPD, o Usuário, na qualidade de titular de dados pessoais, poderá requisitar à Vulnera:

8.1.1. A confirmação da existência de tratamento de seus dados pessoais;

8.1.2. O acesso aos dados pessoais tratados;

8.1.3. A correção de dados incompletos, inexatos ou desatualizados;

8.1.4. A anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;

8.1.5. A portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa;

8.1.6. A eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses de conservação previstas em lei;

8.1.7. A informação sobre as entidades públicas e privadas com as quais a Vulnera realizou uso compartilhado de dados;

8.1.8. A informação sobre a possibilidade de não fornecer consentimento e sobre as consequências dessa recusa;

8.1.9. A revogação do consentimento, quando aplicável.

8.2. Canais para exercício dos direitos. O Usuário autenticado pode exercer seus direitos diretamente na Plataforma, por meio do autoatendimento disponível na área de conta, que permite abrir pedidos de acesso, correção, anonimização, portabilidade, eliminação e revogação de consentimento, exportar seus dados em formato estruturado e solicitar a exclusão da conta, com acompanhamento do prazo. Alternativamente, e para titulares que não sejam usuários da Plataforma, o pedido pode ser encaminhado ao e-mail privacidade@vulnera.io.

8.2.1. Caso a Vulnera receba requisições de titulares na condição de Operadora, caberá ao Usuário Controlador respondê-las.

8.3. Prazos de resposta:

• Declaração completa sobre os dados tratados: até 15 (quinze) dias contados do recebimento da solicitação, conforme o artigo 19, II, da LGPD. O que puder ser respondido de imediato, em formato simplificado, será respondido no ato.
• Eliminação de dados: conclusão em até 30 (trinta) dias corridos, observadas as ressalvas da Cláusula 7.4.

8.4. Horário de atendimento. O canal de privacidade é atendido em dias úteis, das 9h às 18h, horário de Brasília. Solicitações recebidas fora desse período têm os prazos contados a partir do primeiro dia útil seguinte.

8.5. Para atender à solicitação com segurança, a Vulnera poderá adotar medidas razoáveis de verificação da identidade do requerente, especialmente quando o pedido não for formulado a partir de conta autenticada.

9. Mudanças no Aviso de Privacidade

9.1. A Vulnera poderá alterar este Aviso sempre que necessário para refletir atualizações legais, operacionais ou tecnológicas. As alterações passam a valer a partir da publicação na Plataforma.

9.2. Alterações relevantes, especialmente as que impliquem inclusão de nova finalidade, de novo operador ou de nova hipótese de transferência internacional, serão comunicadas ao Usuário por e-mail ou por aviso em destaque na Plataforma.

9.3. Nos casos em que a alteração implicar tratamento que dependa de consentimento específico, será apresentada ao Usuário a opção de aceitar ou recusar livremente e de forma informada, sem prejuízo do uso das funcionalidades que não dependam desse tratamento.

9.4. Caso o Usuário não concorde com as alterações, poderá encerrar sua relação com a Plataforma mediante cancelamento da conta, sem que isso o exonere de obrigações assumidas anteriormente.

10. Canal de comunicação sobre privacidade

10.1. Em razão do porte da Vulnera como agente de pequeno porte, encontra-se dispensada a indicação formal de Encarregado, nos termos da Resolução CD/ANPD nº 2/2022.

10.2. Não obstante a dispensa, a Vulnera mantém canal específico para assuntos relacionados à privacidade e à proteção de dados pessoais, por meio do e-mail privacidade@vulnera.io, destinado ao recebimento de dúvidas, solicitações e reclamações de titulares, bem como às comunicações da Agência Nacional de Proteção de Dados. O acesso a esse canal é restrito às pessoas responsáveis pelo tratamento dessas demandas.

10.3. Os Termos de Uso da Plataforma integram, de forma inseparável, o presente Aviso de Privacidade, formando um conjunto único de regras aplicáveis à relação entre a Vulnera e seus Usuários.

11. Contato sobre assuntos gerais

11.1. Para comunicações gerais, suporte, assuntos comerciais e assuntos jurídicos contratuais, o Usuário poderá contatar a Vulnera pelo e-mail contato@vulnera.io.

11.2. O reporte de vulnerabilidade identificada na própria Plataforma deve ser encaminhado ao e-mail contato@vulnera.io, com identificação do assunto na linha de assunto da mensagem.

Identificação do Controlador

Vulnera

Razão social: Vulnera Cibersegurança Inova Simples (I.S.)

CNPJ: 69.317.570/0001-06

Endereço: Rua 9, nº 1102, Apto 1102, Norte (Águas Claras), Brasília/DF, CEP 71908-540

E-mail de privacidade: privacidade@vulnera.io

E-mail de contato geral: contato@vulnera.io

Data de disponibilização: 29/09/2026