Política de Privacidade

1. Quem é o controlador

A SuaVPN é a controladora dos dados descritos nesta política. O contato para assuntos de privacidade, inclusive para falar com o encarregado de proteção de dados, é suporte@suavpn.com.

Os dados da empresa, a infraestrutura em uso e a forma como tratamos pedidos de autoridades ficam na página Sobre, em https://suavpn.com/sobre.

2. Quais dados coletamos

Coletamos apenas o necessário para criar sua conta, cobrar pela assinatura, entregar a conexão VPN e manter o serviço seguro. Em detalhe:

• Conta: endereço de e-mail, nome (opcional), senha (guardamos apenas um hash, nunca a senha em texto), idioma, data de criação e data de verificação do e-mail.
• Pagamento: plano, valor, moeda, período, status, identificador da transação no provedor de pagamento, data e endereço IP no momento do pagamento (prevenção a fraude). Os dados do cartão são informados diretamente à Stripe e nunca passam pelos nossos servidores.
• Segurança da conta: tentativas de login (e-mail, endereço IP, navegador e resultado). Servem para bloquear ataques de força bruta.
• Dispositivos e conexão: nome do dispositivo, sistema operacional, servidor escolhido, chave pública do dispositivo, endereço IP interno do túnel, data e hora do último handshake, status e contadores totais de dados enviados e recebidos por dispositivo. A chave privada do dispositivo fica cifrada e só é exibida para o titular da conta.
• Uso do site e do painel: eventos de produto (página vista, início de cadastro ou de checkout) com um identificador anônimo, URL, página de origem, endereço IP e navegador. Cookies de medição de terceiros (Google Analytics) só são carregados se você aceitar no aviso de cookies.
• Suporte: e-mail, nome, assunto e mensagens dos chamados que você abre.

3. O que não registramos

Nossos servidores VPN não mantêm registros de atividade. Isso significa que não registramos:

• os sites, aplicativos ou serviços que você acessa pela VPN;
• as consultas DNS feitas através do túnel;
• os endereços IP de destino do seu tráfego;
• o conteúdo de qualquer comunicação;
• a associação entre o seu endereço IP de origem e uma atividade específica na internet.

Os únicos dados técnicos que existem por dispositivo são os listados na seção anterior (último handshake e contadores totais de tráfego), necessários para mostrar no painel se a conexão está funcionando e para operar a rede.

4. Para que usamos os dados e com que base legal

• Executar o contrato com você (LGPD, art. 7º, V): criar a conta, cobrar, entregar a configuração VPN, prestar suporte e enviar avisos sobre a assinatura (renovação, vencimento, pagamento confirmado).
• Cumprir obrigações legais (art. 7º, II): guardar registros de pagamento e faturas pelos prazos fiscais e atender ordens de autoridades competentes, nos limites da lei.
• Legítimo interesse (art. 7º, IX): prevenir fraude e abuso, proteger contas contra ataques, medir o uso do produto para melhorá-lo. Você pode se opor a esse tratamento pelo e-mail de contato.
• Consentimento (art. 7º, I): cookies de medição de terceiros. O consentimento pode ser revogado a qualquer momento apagando os dados do site no navegador.

Não vendemos dados pessoais e não usamos seus dados para publicidade de terceiros.

5. Com quem compartilhamos

Compartilhamos apenas o necessário com operadores que nos ajudam a prestar o serviço:

• Provedor de pagamento: Stripe, que recebe os dados necessários para processar a cobrança do cartão.
• Envio de e-mail transacional (Resend): recebe seu e-mail e o conteúdo das mensagens que enviamos.
• Medição de produto (PostHog), sem cookies de terceiros.
• Com o seu consentimento, e apenas nas páginas públicas do site: Google Analytics (audiência) e Microsoft Clarity (mapas de calor e gravação anônima da sessão, que registra movimento do ponteiro, cliques e rolagem, com o conteúdo dos campos de texto mascarado). Nenhum dos dois é carregado no painel do cliente, no checkout ou na área administrativa, e recusar não tira nenhuma função do serviço.
• Provedores de infraestrutura: hospedagem da aplicação, banco de dados e os provedores onde ficam os servidores VPN.
• Autoridades públicas, quando houver ordem judicial ou obrigação legal, limitado ao que a ordem exigir e sobre os dados que efetivamente existem.

6. Transferência internacional

Os servidores VPN e parte dos operadores acima ficam fora do Brasil. Essas transferências ocorrem conforme o art. 33 da LGPD, com base em cláusulas contratuais e nas garantias oferecidas por cada operador. Os dados de conta e pagamento são tratados sob a lei brasileira independentemente de onde o servidor VPN esteja.

7. Cookies e armazenamento local

• Essenciais: cookie de sessão para manter você conectado ao painel. Não pode ser desativado sem impedir o login.
• Preferências: armazenamento local do navegador para guardar sua escolha no aviso de cookies e um identificador anônimo de uso do site.
• Medição: Google Analytics, apenas após o seu aceite no aviso de cookies, com anonimização de IP.

8. Por quanto tempo guardamos

• Dados de conta: enquanto a conta existir. Após a exclusão, removemos os dados de conta e de dispositivos em até 30 dias, exceto o que a lei nos obriga a manter.
• Pagamentos e faturas: pelo prazo legal de guarda de documentos fiscais e de defesa em processos, de até 5 anos após o pagamento.
• Tentativas de login: 30 dias.
• Tokens de verificação de e-mail e de redefinição de senha: até serem usados ou expirarem.
• Medições de saúde dos servidores: 30 dias.
• Chamados de suporte: enquanto a conta existir, para histórico de atendimento.

Prazos maiores podem se aplicar quando a lei exigir, como a guarda de registros de acesso a aplicações prevista no art. 15 do Marco Civil da Internet.

9. Como protegemos os dados

• Senhas guardadas apenas como hash com scrypt; nunca em texto.
• Todo o tráfego entre você e o site usa TLS. Todo o tráfego da VPN usa a criptografia do WireGuard.
• Chaves privadas de dispositivo e credenciais de servidores ficam cifradas em repouso com AES-256-GCM. A chave privada de cada servidor VPN nunca sai dele.
• Acesso administrativo restrito, registrado em trilha de auditoria, com segredos fora do código e removidos dos logs.
• Limite de tentativas de login e bloqueio progressivo contra força bruta.

10. Seus direitos

A LGPD (art. 18) garante a você, a qualquer momento e mediante requisição:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
• portabilidade dos dados a outro fornecedor, observados os segredos comerciais;
• eliminação dos dados tratados com base no consentimento;
• informação sobre com quem compartilhamos seus dados;
• informação sobre a possibilidade de não consentir e as consequências;
• revogação do consentimento.

Para exercer qualquer direito, escreva para suporte@suavpn.com a partir do e-mail cadastrado. Respondemos em até 15 dias. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

11. Menores de idade

O serviço é destinado a maiores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes; se identificarmos uma conta nessa situação, ela será encerrada e os dados eliminados.

12. Alterações desta política

Podemos atualizar esta política para refletir mudanças no serviço ou na lei. A data da última atualização aparece no topo. Mudanças relevantes são avisadas por e-mail ou por aviso no painel antes de entrarem em vigor.