1. A Versão Curta
Coletamos o mínimo de dados necessário para faturar e dar suporte a você. Não pedimos seu nome completo, endereço, telefone ou identificação governamental. Usamos uma ferramenta de análise auto-hospedada que não armazena cookies nem identificadores pessoais. Não vendemos, compartilhamos ou transferimos seus dados para redes de publicidade ou parceiros de marketing. Não retemos dados residentes no servidor — o conteúdo do seu VPS pertence a você e não o inspecionamos.
Esta Seção é um resumo em linguagem simples. As disposições detalhadas seguem abaixo.
2. Quem Somos
O controlador de dados para esta Política de Privacidade é a MurmurHost LLC, uma sociedade de responsabilidade limitada organizada sob as leis da República das Seychelles. Estamos disponíveis em [email protected] para toda correspondência relacionada à privacidade.
Para assuntos regidos pelo Regulamento Geral sobre a Proteção de Dados (GDPR) da UE, onde não mantemos um representante na União Europeia sob o Artigo 27, responderemos a consultas diretamente através do mesmo endereço de e-mail.
3. O Que Coletamos
3.1 No cadastro
O único dado que exigimos no cadastro é um endereço de e-mail válido. Nós o usamos para entregar faturas, avisos de serviço e correspondência de suporte. Você pode opcionalmente fornecer um nome de exibição, nome da organização, jurisdição de cobrança ou identificador de IVA; estes não são obrigatórios e são mantidos apenas se você os fornecer.
3.2 No pagamento
Para pagamentos com criptomoeda, registramos o hash da transação e a rede da criptomoeda para podermos conciliar o pagamento com sua fatura. Não associamos seu endereço de carteira à sua Conta além da duração da liquidação da fatura; uma vez que uma fatura é liquidada, o endereço de recebimento é rotacionado e não armazenado contra o registro do cliente.
Para pagamentos com cartão, quando disponíveis (atualmente limitados a SKUs não offshore), recebemos apenas os últimos quatro dígitos do cartão e uma referência tokenizada do processador de pagamento. Não armazenamos números completos de cartão. A cobertura completa de métodos de pagamento e os relacionamentos com processadores estão documentados em /payment-methods.
3.3 Dados operacionais
Retemos o endereço IP do qual o painel do cliente é acessado mais recentemente por noventa (90) dias, após os quais é apagado. Retemos um hash da semente de senha de uso único baseada em tempo (TOTP) se você tiver ativado a autenticação de dois fatores. Retemos carimbos de data/hora de logins bem-sucedidos e falhos por noventa (90) dias para fins de detecção de fraude.
3.4 Conteúdo de suporte e tickets
Quando você abre um ticket de suporte, o conteúdo do seu ticket — incluindo quaisquer anexos que você compartilhe — é armazenado em nossa infraestrutura pela duração estabelecida na Seção 8. O conteúdo do ticket é tratado como confidencial e acessado apenas pela equipe de suporte e engenharia que atua no ticket.
3.5 Dados residentes no servidor
Os dados que você armazena dentro do seu servidor virtual privado, servidor dedicado, caixa de correio ou outro Serviço são operacionalmente invisíveis para nós. Não inspecionamos, registramos, escaneamos ou copiamos o conteúdo da infraestrutura controlada pelo cliente como rotina. Onde somos obrigados a agir sobre dados — por exemplo, para cumprir uma ordem judicial local devidamente servida — fazemos isso sob o procedimento na Seção 7 e apenas na medida legalmente compelida.
4. O Que Não Coletamos
Não coletamos, solicitamos ou retemos:
- Nome legal completo, exceto quando inserido voluntariamente para faturamento
- Endereço postal, exceto quando inserido voluntariamente para faturamento
- Número de telefone
- Documentos de identificação emitidos pelo governo
- Dados de rastreamento comportamental sobre sua navegação no site, além da análise que respeita a privacidade resumida na Seção 5
- Identificadores de publicidade de terceiros (sem Google Ads, Meta Pixel, Twitter pixel ou rastreadores comparáveis em nosso site de marketing)
- Identificadores entre sites compartilhados com corretores de dados
5. Cookies e Tecnologias Semelhantes
5.1 Cookies de sessão essenciais
Fazer login no painel do cliente requer um cookie de sessão. O cookie de sessão é essencial para a operação do Serviço e está isento do consentimento de privacidade eletrônica da UE sob o Artigo 5(3), Considerando 25 da Diretiva 2002/58/CE. O cookie é HttpOnly, Secure, SameSite=Lax e expira quando você faz logout ou após quatorze (14) dias de inatividade, o que ocorrer primeiro.
5.2 Análise
Usamos o Plausible Analytics em uma instância auto-hospedada sob nosso controle. O Plausible não define cookies no seu navegador, não coleta identificadores pessoais e não rastreia usuários entre visitas ou domínios. As métricas agregadas que ele produz — visualizações de página, referenciador, país no nível de código de país e duração da visita — são usadas para avaliar o desempenho do site de marketing e não são associadas à sua Conta.
5.3 Sem rastreadores de terceiros
O site de marketing não inclui Google Analytics, Meta Pixel, Hotjar, Mixpanel, Segment ou qualquer tecnologia de rastreamento de terceiros comparável. O painel do cliente é executado em seu próprio subdomínio e não contém nenhuma análise.
6. Como Usamos as Informações
Usamos as informações descritas na Seção 3 apenas para os seguintes fins:
- Entrega de serviço: provisionamento, operação, manutenção e suporte dos Serviços
- Faturamento: geração, entrega e conciliação de faturas
- Tratamento de abuso: investigação de relatórios, comunicação com clientes afetados e cumprimento de obrigações legais
- Avisos de serviço: comunicação sobre status do serviço, manutenção planejada, atualizações de segurança e mudanças materiais nos Termos ou nesta Política
- Comunicações de marketing, apenas com aceite explícito: enviamos e-mails de marketing apenas para clientes que aceitaram explicitamente. O estado padrão da Conta é não aceitar.
7. Compartilhamento e Divulgação
7.1 Ordens judiciais
Divulgamos dados a autoridades policiais ou judiciais somente mediante recebimento de uma ordem devidamente servida de um tribunal de jurisdição competente em um dos países em que operamos. Não divulgamos voluntariamente dados de clientes a autoridades fora de nossas jurisdições operacionais. Ordens judiciais estrangeiras não são automaticamente honradas; elas são revisadas sob aconselhamento de advogado local e divulgadas apenas na medida legalmente compelida.
7.2 Pedidos de Tratado de Assistência Jurídica Mútua (MLAT)
Pedidos MLAT são processados caso a caso. Onde um pedido é devidamente servido e apoiado por uma demonstração substancial sob o tratado relevante, cooperamos na medida legalmente exigida e não além. Onde um pedido não é devidamente servido ou falha no padrão substancial relevante, recusamos.
7.3 Processadores de terceiros
Contamos com um conjunto limitado de processadores de terceiros necessários para operar a plataforma:
- Mailgun (ou equivalente) para entrega de e-mail transacional, incluindo entrega de faturas, redefinições de senha e correspondência de abuso. O processador recebe apenas o endereço de e-mail e o conteúdo da mensagem.
- BTCPay Server, auto-hospedado em infraestrutura que controlamos, para processamento de pagamentos com criptomoeda. Nenhum processador de pagamento cripto de terceiros (como BitPay ou Coinbase Commerce) é usado para Serviços offshore.
- PostgreSQL, hospedado em infraestrutura que controlamos, para o banco de dados do cliente.
- UptimeRobot ou equivalente para monitoramento de uptime, que recebe apenas o hostname público e o status de resposta HTTP.
7.4 Sem marketing ou publicidade
Não compartilhamos, vendemos, licenciamos ou transferimos dados de clientes para redes de publicidade, corretores de dados ou parceiros de marketing. Não veiculamos publicidade nos Serviços e não monetizamos dados de clientes.
8. Retenção de Dados
8.1 Conta ativa
Dados pessoais associados a uma Conta ativa são retidos pela duração da Conta.
8.2 Conta cancelada
Após o cancelamento, os dados pessoais são retidos por noventa (90) dias para permitir a recuperação em caso de cancelamento acidental e depois apagados.
8.3 Registros de faturamento
Registros de faturamento — número da fatura, valor, moeda, jurisdição de incorporação, se fornecida, e identificador fiscal, se fornecido — são retidos por sete (7) anos para cumprir obrigações de retenção de registros fiscais em nossas jurisdições operacionais.
8.4 Tickets de suporte
O conteúdo do ticket de suporte é retido por doze (12) meses a partir do fechamento do ticket e depois apagado.
8.5 Logs operacionais
Não retemos logs do lado do servidor da atividade do cliente. Especificamente: não gravamos em armazenamento persistente nenhum dos seguintes — logs de acesso por cliente, carimbos de data/hora de IP para tráfego de entrada, logs de histórico de comandos, gravações de sessão de console, códigos de saída de cron jobs associados à identidade do cliente, logs de consulta DNS.
Registros agregados de fluxo de tráfego de borda (NetFlow / IPFIX) são mantidos em memória volátil na borda por no máximo uma (1) hora para tomada de decisão ativa de mitigação de DDoS, nunca gravados em armazenamento persistente e nunca correlacionados ao cliente.
Tentativas de login no painel do cliente são rastreadas apenas em memória volátil, com o único propósito de limitar a taxa de preenchimento de credenciais. Sessões bem-sucedidas não são registradas em disco.
O resultado é refletido em nosso Relatório de Transparência público (https://murmurhost.com/transparency): quando pedidos judiciais por registros de atividade do cliente chegam, os registros produzidos são estruturalmente zero porque tais registros não são coletados.
9. Transferências Internacionais
Os dados pessoais são armazenados em infraestrutura na jurisdição em que o Serviço do cliente é implantado. O painel do cliente em si é executado em infraestrutura nos Países Baixos, com replicação de banco de dados para um único local fora do país na Islândia para fins de recuperação de desastres.
Para clientes residentes na UE, isso significa que os dados do painel do cliente cruzam uma fronteira interna entre os Países Baixos (dentro do EEE) e a Islândia (fora do EEE, mas dentro do Espaço Econômico Europeu para fins de proteção de dados). A Islândia é reconhecida pela Comissão Europeia como fornecendo um nível adequado de proteção de dados.
10. Seus Direitos
Onde você é um indivíduo dentro do escopo do GDPR da UE, GDPR do Reino Unido, Lei de Privacidade do Consumidor da Califórnia (CCPA) ou estruturas de privacidade comparáveis, você tem os direitos estabelecidos no regulamento aplicável. Os direitos mais comumente exercidos são:
10.1 Direito de acesso
Você pode solicitar uma cópia dos dados pessoais que temos sobre você. Respondemos dentro de trinta (30) dias.
10.2 Direito de retificação
Você pode corrigir dados pessoais imprecisos que temos sobre você. A maioria dos campos pode ser editada diretamente no painel do cliente; para campos que não podem, entre em contato com [email protected].
10.3 Direito ao apagamento ("direito de ser esquecido")
Você pode solicitar o apagamento dos dados pessoais que temos sobre você. Nós os apagaremos, a menos que tenhamos uma obrigação legal de retê-los (notavelmente a retenção de registros de faturamento de sete anos na Seção 8.3, caso em que os dados pessoais fora desse escopo são apagados e o registro de faturamento é anonimizado na medida do possível).
10.4 Direito à portabilidade de dados
Você pode solicitar uma exportação legível por máquina dos dados pessoais que temos sobre você. A exportação é entregue como JSON, criptografada com uma senha que você fornece.
10.5 Direito de restrição e objeção
Você pode solicitar que restrinjamos o processamento de seus dados pessoais enquanto uma reclamação ou solicitação de correção está sendo investigada, e você pode se opor ao processamento com base em interesses legítimos. A exclusão de comunicações de marketing é honrada imediatamente mediante solicitação.
11. Como Exercer Seus Direitos
Para exercer qualquer direito descrito na Seção 10, envie um e-mail para [email protected]. Respondemos dentro de trinta (30) dias. Se anteciparmos a necessidade de tempo adicional (notavelmente para solicitações complexas de apagamento, onde devemos verificar o escopo de retenção legal), notificaremos você dentro dos trinta (30) dias iniciais e concluiremos a resposta dentro de no máximo sessenta (60) dias adicionais.
Não cobramos taxa para solicitações rotineiras. Onde as solicitações são manifestamente infundadas, excessivas ou repetitivas, podemos cobrar uma taxa razoável ou recusar agir, conforme permitido pelo Artigo 12(5) do GDPR.
12. Medidas de Segurança
12.1 Criptografia em repouso
Os dados do painel do cliente, incluindo registros de fatura e conteúdo de tickets de suporte, são armazenados com criptografia em nível de disco usando LUKS/dm-crypt com AES-XTS-256.
12.2 Criptografia em trânsito
Todas as conexões entre o navegador do cliente, o painel do cliente e nossos serviços internos usam TLS 1.3 ou, onde TLS 1.3 não está disponível no cliente, TLS 1.2 com conjuntos de cifras fortes e sigilo de encaminhamento. Não suportamos TLS 1.0 ou TLS 1.1.
12.3 Controles de acesso
O acesso interno aos dados do cliente é limitado à equipe de suporte e engenharia que atua em um ticket ou incidente específico. A autenticação de dois fatores é obrigatória para toda a equipe que acessa a interface administrativa do painel do cliente.
12.4 Registro de auditoria
O acesso interno aos dados do cliente é registrado com detalhes suficientes para reconstruir quem acessou o quê e quando. Os logs de auditoria são retidos por noventa (90) dias.
13. Privacidade de Crianças
Nossos Serviços não são destinados a indivíduos menores de dezesseis (16) anos. Não coletamos conscientemente dados pessoais de menores abaixo deste limite. Se descobrirmos que coletamos dados pessoais de um menor abaixo do limite, nós os apagamos prontamente e reembolsamos qualquer pagamento recebido. Pais ou responsáveis que acreditam que seu filho menor forneceu dados pessoais a nós devem entrar em contato com [email protected].
14. Alterações a Esta Política
Podemos atualizar esta Política de Privacidade periodicamente. Alterações materiais — aquelas que afetam as categorias de dados que coletamos, os propósitos para os quais usamos dados ou os terceiros com os quais compartilhamos dados — são notificadas via e-mail de cobrança e anunciadas através de um banner no painel do cliente por trinta (30) dias antes de entrarem em vigor. Alterações não materiais (esclarecimentos, formatação, correções de links quebrados) podem ser feitas sem aviso prévio; a data de "Última atualização" no topo deste documento reflete a alteração mais recente.
15. Contato
Para perguntas, solicitações ou reclamações relacionadas à privacidade:
- Equipe de privacidade: [email protected]
- Equipe jurídica: [email protected]
- Endereço postal: MurmurHost LLC, República das Seychelles (endereço completo fornecido mediante solicitação por escrito)
Se você acredita que não cumprimos a lei de privacidade aplicável, você tem o direito de apresentar uma reclamação à autoridade supervisora em sua jurisdição. Para residentes da UE, esta é a autoridade de proteção de dados do seu Estado-Membro; para residentes do Reino Unido, o Information Commissioner's Office; para residentes da Califórnia, a California Privacy Protection Agency.