Segurança

Como guardamos seus dados

Dados pessoais que você cadastra (e-mail, CPF, RG, passaporte, chave PIX, telefone, nome completo, credenciais de API) são criptografados em repouso com AES-256-GCM. Significa que, se alguém conseguir acesso ao banco de dados, os campos vêm como blocos ilegíveis sem a chave — que é mantida fora do banco, em variável de ambiente do servidor.

O tráfego entre seu navegador e o Zenthor usa TLS 1.3 obrigatório (HSTS preload). Não aceitamos conexão sem criptografia.

Senhas nunca são guardadas em texto: passam por bcrypt com cost 12. Mesmo nós não conseguimos lê-las — em caso de esquecimento, o caminho é redefinir, não recuperar.

Acesso e autenticação

Login usa JWT com refresh token e revogação remota — se você desconfia de uma sessão ativa em outro dispositivo, dá pra encerrar pelo painel sem trocar a senha.

Recomendamos ativar 2FA (autenticador TOTP ou WebAuthn/Passkey) em /settings. Eventos críticos (ativar 2FA, trocar senha, exportar conta, excluir conta) são registrados em audit log com integridade verificada por HMAC encadeado — não dá pra reescrever histórico sem deixar rastro.

Retenção e exclusão

Você é dono dos seus dados. A qualquer momento dá pra:

• Exportar tudo em JSON estruturado (LGPD art. 18 — portabilidade).
• Corrigir qualquer cadastro errado direto em /settings.
• Excluir a conta — entra numa janela de 30 dias (soft delete) caso mude de ideia, depois passa por hard delete. Dados anonimizados podem permanecer só pra obrigações contábeis/fiscais (5 anos, sem PII).

Logs de auditoria são retidos por 2 anos e depois anonimizados (user_id → null, IP truncado /24). Telemetria de erro (Sentry): 90 dias. Métricas de uso (PostHog): 1 ano.

Quem mais vê seus dados

Pra funcionar, o Zenthor consulta bases externas de vazamentos. Esse consulta usa k-anonimidade: enviamos só os primeiros 5 caracteres do hash SHA-256 do termo, nunca o termo original. Quem responde devolve o conjunto de possíveis correspondências, e o cruzamento final é feito do nosso lado.

Provedores envolvidos (todos com DPA equivalente a GDPR/LGPD em vigor):

• Have I Been Pwned (Austrália) — vazamentos de credenciais
• VirusTotal · AbuseIPDB · Google Safe Browsing (EUA) — reputação de IP, URL e domínio
• Stripe (Irlanda) — processamento de pagamento; cartão não passa pelos nossos servidores
• Resend (EUA) — envio de e-mail transacional
• Sentry · PostHog — telemetria com PII sanitizada antes de sair

Lista completa, finalidade e base legal de cada operação em /politicas.

Se algo der errado

Em caso de incidente de segurança que possa afetar você, comunicamos a ANPD em até 48 horas da confirmação (LGPD art. 48) e enviamos uma mensagem direta pra todos os titulares afetados, em linguagem clara — o que aconteceu, que dados foram envolvidos, o que estamos fazendo, e o que você pode fazer.

Achou alguma vulnerabilidade no Zenthor? Escreva pra vorseum@gmail.com com detalhes. Levamos disclosure responsável a sério: damos resposta em até 5 dias úteis, e fazemos coordenated disclosure depois de fix em produção.

Encarregado de dados (DPO)

Hannah Cassia Freitas — fundadora da Vorseum e Encarregada (DPO) do Zenthor.

Canal direto para qualquer dúvida sobre tratamento de dados, exercício de direitos (LGPD art. 18), reclamação ou denúncia de incidente: vorseum@gmail.com. Resposta em até 15 dias úteis (LGPD art. 19).

Você também pode procurar a Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.