Política de Privacidade

Quem somos#

O Lockpick é operado por datascience2go Inc., com sede em Ontario, Canada. Somos responsáveis pelos dados pessoais descritos nesta política. Onde a lei de proteção de dados usa o termo, somos o controlador.

Esta política abrange o site do Lockpick, o web app e qualquer acesso por API, agente ou linha de comando que oferecemos. Ela não abrange os sites que você pede para avaliarmos, que têm suas próprias políticas.

O que coletamos#

Coletamos o seguinte, principalmente de você e do provedor de login que você escolher.

• Dados da conta. Seu nome, endereço de e-mail e senha, ou o perfil básico que o Google ou o GitHub compartilham quando você faz login com eles.
• Dados do workspace e da equipe. Nomes de workspaces, membros, funções e convites.
• Sites e comprovações de propriedade. Os sites que você adiciona e os registros DNS ou arquivos que você publica para comprovar que os controla.
• Relatórios e materiais enviados. Resultados, evidências com dados ocultados e arquivos que você decide enviar. Os arquivos ficam armazenados temporariamente para processamento, conforme descrito abaixo.
• Respostas de integração e registros de consentimento. O que você nos informa ao configurar o Lockpick e quando você aceitou nossos termos ou optou por receber e-mails sobre o produto.
• Registros de uso e cobrança. Os recursos que você usa, as verificações que você inicia, as listas de espera em que você entra, a associação Early AI-dopters que você vincula à sua conta (seu id de conta, e-mail e plano), e seu plano e compras. Os dados do cartão vão para a Polar, nosso merchant of record, e não para nós.
• Logs de segurança e auditoria. Eventos de login, endereços IP, detalhes do navegador e registros de ações importantes, que usamos para manter as contas e o Lockpick seguros.
• E-mails de suporte. Mensagens que você nos envia e nossas respostas.
• Perguntas ao Ask Lockpick. Sua pergunta e as últimas mensagens da conversa vão para o Google (Gemini), que responde com base nas nossas páginas de ajuda. Quando a correspondência de respostas está ativada, elas também vão para a TypeSafe (Jev), que procura uma resposta revisada, e, se você estiver conectado e perguntar sobre a sua própria conta, a TypeSafe também pode ver os nomes e endereços dos seus sites para saber de qual você está falando. Enquanto a correspondência de respostas está ativada, guardamos um registro de cada resposta, como a forma como foi respondida e sua avaliação positiva ou negativa, por 30 dias, sem o texto da pergunta. Não coloque senhas, chaves nem dados pessoais em uma pergunta.

O que cada avaliação coleta#

As verificações de sites leem informações públicas: páginas, cabeçalhos de resposta, scripts, DNS, registros de certificados e de domínio. Elas podem conter dados pessoais. As evidências dos relatórios têm informações sensíveis ocultadas.

Verificações web Pulse e Deep hospedado não fazem login, não enviam formulários nem coletam análises dos visitantes. Não precisam de acesso ao seu repositório privado de código.

Para verificar um domínio, consultamos fontes de dados públicas, como o crt.sh, resolvedores DNS públicos, como o Google Public DNS, e serviços de registro RDAP. Eles recebem apenas o domínio verificado, nunca os dados da sua conta.

Uma verificação rápida sem conta funciona da mesma forma. Guardamos o endereço do site e o resultado para poder mostrá-los a você.

O arquivo chega aos nossos servidores. Quando a revisão por IA está configurada, textos e caminhos de arquivos selecionados vão para a Anthropic após a ocultação de dados sensíveis. Apagamos os blocos originais ao concluir o processamento; uma revisão completa pausada os mantém para continuar. Avaliações concluídas ou com falha expiram após 30 dias. A ocultação automática pode não detectar todos os dados sensíveis. Não envie credenciais ou dados pessoais sem relação com a verificação. Verificações de dependências podem enviar nomes e versões de pacotes ao OSV.

Os arquivos-fonte e os relatórios ficam na sua máquina. O Lockpick recebe o projeto, as verificações solicitadas e as versões do scanner para autorizar a verificação e registra essa autorização. Se você compartilhar resultados com um assistente de IA, o fornecedor dele recebe o que for compartilhado.

O Monitor guarda os nomes e versões dos pacotes enviados. Um repositório conectado também fornece dados do repositório e do commit, além do manifesto e arquivo de dependências selecionados. Verificações de repositórios públicos e skills leem o código escolhido; a revisão por IA pode enviar trechos com dados ocultados à Anthropic.

Apps e agentes conectados#

Se você conectar um app ou agente ao Lockpick, como o Claude ou a linha de comando do Lockpick, também coletamos o seguinte.

• Registros de conexão. A conta e o workspace a que a conexão pertence, a identidade e o endereço de retorno do app, as permissões que você autorizou e quando a conexão foi criada, usada e revogada. Mantemos as credenciais de acesso apenas em forma de hash.
• Solicitações e resultados. O que cada solicitação nos envia, como endereços de sites, IDs de sites e IDs de verificações, e o que devolvemos. Armazenamos esses dados como qualquer outro uso do Lockpick, com os registros de uso, segurança e auditoria descritos acima.
• Ações. Sites adicionados, verificações iniciadas e aprovações dadas por meio de uma conexão são registrados na sua conta, da mesma forma que as ações feitas no app web.

Não solicitamos o histórico de suas conversas por meio de uma conexão. O app nos envia apenas o que uma solicitação precisa, então não inclua nela senhas, chaves ou informações pessoais não relacionadas.

Devolvemos ao app os achados, as evidências redigidas, a cobertura, o status e as orientações de correção. O fabricante do app, como a Anthropic no caso do Claude, trata o que passa pelo app segundo os próprios termos e a própria política de privacidade.

Revogar uma conexão a interrompe imediatamente. Isso não apaga avaliações anteriores nem os registros acima, que mantemos conforme descrito na seção de retenção.

Como usamos dados pessoais#

• Para fornecer o Lockpick, incluindo executar as avaliações que você pedir, mostrar relatórios e gerenciar workspaces.
• Para confirmar que você pode testar um site, aplicar limites e impedir o uso indevido, incluindo investigar denúncias de avaliações que um dono de site não autorizou.
• Para manter as contas e o Lockpick seguros.
• Para enviar e-mails de serviço, como e-mails de login, verificação, convite e relatório, e e-mails sobre o produto se você optou por recebê-los.
• Para responder a pedidos de suporte.
• Para entender como o Lockpick é usado e para melhorá-lo.
• Para lidar com planos e cobrança.
• Para cumprir nossas obrigações legais e proteger nossos direitos.

Não vendemos dados pessoais e não usamos seus relatórios para treinar modelos de IA.

Bases legais para usuários na UE e no Reino Unido#

Se o GDPR ou o GDPR do Reino Unido se aplicar a você, nos apoiamos nestas bases legais.

• Contrato, para fornecer o Lockpick de acordo com nossos Termos de Serviço.
• Interesses legítimos, para proteger o Lockpick, prevenir o uso indevido, confirmar a permissão para testar e melhorar o produto. Ponderamos esses interesses em relação aos seus direitos.
• Consentimento, para e-mails sobre o produto e para análises opcionais quando o consentimento for exigido. Você pode retirar o consentimento a qualquer momento.
• Obrigação legal, quando a lei exigir que mantenhamos ou divulguemos dados.

Cookies e análises#

Usamos um cookie para manter você conectado, e o Lockpick não funciona sem ele. Se você escolher uma configuração, como o idioma, podemos lembrá-la também em um cookie. Também guardamos sua escolha sobre cookies. Se você aceitar os cookies opcionais e seguir um link de convite, guardamos esse convite por 30 dias para que a pessoa que convidou você receba o crédito. Não usamos cookies de publicidade.

As análises de produto são opcionais e ficam desligadas, a menos que as configuremos. Usamos o PostHog para contar como páginas e recursos são usados e, quando ativado, reproduzir interações na página, como cliques e rolagens. A reprodução usa identificadores de sessão anônimos mantidos apenas na memória, oculta textos da página, campos de entrada e atributos de clientes, e exclui imagens, logs do console e conteúdo das requisições de rede. Os endereços das páginas são reduzidos a padrões de rota. Podemos analisar replays de sessão mascarados e relatórios de erro com modelos de IA do Google (Gemini) e da Anthropic (Claude) para encontrar problemas de usabilidade. Os replays chegam a eles mascarados, como descrito acima. Relatórios de erro usam mensagens fixas de diagnóstico, locais do código e detalhes técnicos da requisição, que podem incluir IDs internos da conta e do espaço de trabalho. Mensagens originais de exceções, senhas, chaves e tokens são removidos. O analytics e o replay só funcionam depois que você os aceita no nosso aviso de cookies, e param assim que você muda sua escolha em Configurações de cookies. Não gravamos cookies de análise nem armazenamento persistente no navegador, e tratamos o Do Not Track e o Global Privacy Control como uma recusa.

Com quem compartilhamos dados#

Compartilhamos dados pessoais somente conforme descrito nesta política.

• Provedores de serviços que executam partes do Lockpick para nós, sob contratos que limitam o uso dos dados. Entre eles estão hospedagem (Railway), entrega de e-mails (Resend), login (Google e GitHub, quando você os usa), análise de produto (PostHog, se ativada) e pagamentos (Polar, nosso merchant of record, quando você assina um plano pago). Também estão entre eles provedores de IA, Google (Gemini) e Anthropic (Claude), cujos modelos analisam replays de sessão mascarados e relatórios de erro para nos ajudar a encontrar e corrigir problemas no Lockpick. As perguntas ao Ask Lockpick vão para o Google (Gemini) e, quando a correspondência de respostas está ativada, para a TypeSafe (Jev), como descrito acima. A Anthropic também processa trechos de código com dados ocultados para revisões por IA configuradas de ZIP, repositórios e skills. O OSV recebe nomes e versões de pacotes para verificar dependências.
• Fontes de dados públicas, que recebem apenas o domínio verificado, conforme descrito acima.
• Pessoas do seu workspace, que podem ver seus sites e relatórios de acordo com a função de cada uma.
• Qualquer pessoa com quem você compartilhe um link de relatório.
• Donos de sites, autoridades ou outras partes, quando acreditamos que isso é necessário para prevenir uso indevido ou dano, por exemplo quando o dono de um site denuncia uma avaliação que não autorizou.
• Autoridades ou outras partes, quando a lei exigir.
• Um comprador ou sucessor, se formos parte de uma fusão, aquisição ou venda de ativos, sujeito a esta política.

Não vendemos dados pessoais nem os compartilhamos para publicidade direcionada.

Onde os dados são armazenados#

Nossos servidores ficam nos Estados Unidos. Se você mora em outro país, seus dados são transferidos para os Estados Unidos, e nossos provedores de serviços podem tratá-los em outros países. Quando a lei exigir, usamos salvaguardas adequadas para essas transferências, como cláusulas contratuais padrão.

Por quanto tempo mantemos os dados#

• Dados da conta, enquanto sua conta estiver ativa e por um período razoável após o encerramento, para tratar dúvidas, disputas e obrigações legais.
• Relatórios de sites ficam até a exclusão solicitada ou o encerramento da conta, sujeitos às obrigações de retenção aplicáveis. Verificações rápidas expiram após 7 dias por padrão. Blocos ZIP originais são apagados ao concluir o processamento; revisões completas pausadas os mantêm para continuar até sua remoção. Avaliações ZIP concluídas ou com falha são excluídas após 30 dias.
• Registros de segurança e de auditoria, por um período limitado.
• Registros de cobrança, pelo tempo exigido pela legislação fiscal e contábil.
• Registros de conexão, enquanto a conexão estiver ativa e, depois, como parte dos registros de segurança e de auditoria.

Dados excluídos podem permanecer em backups por um curto período, até que esses backups sejam substituídos.

Segurança#

Usamos medidas técnicas e organizacionais razoáveis para proteger dados pessoais, como conexões criptografadas, controles de acesso e limites sobre quem pode ver dados de clientes. Nenhum sistema é perfeitamente seguro. Se uma violação afetar seus dados pessoais, avisaremos você e as autoridades quando a lei exigir.

Suas escolhas e direitos#

Você pode pedir que acessemos, corrijamos, excluamos ou exportemos seus dados pessoais, e pode retirar qualquer consentimento que tenha dado. Escreva para support@lockpick.app. Podemos precisar confirmar sua identidade antes e responderemos dentro do prazo exigido pela lei.

• Canadá. Pela PIPEDA e pelas leis provinciais de privacidade, você pode acessar e corrigir seus dados pessoais e pode apresentar reclamação ao Office of the Privacy Commissioner of Canada.
• UE e Reino Unido. Pelo GDPR e pelo UK GDPR, você também pode se opor ou restringir algum tratamento, e pode apresentar reclamação à autoridade local de proteção de dados ou, no Reino Unido, ao Information Commissioner's Office.
• Estados Unidos. Dependendo do seu estado, você pode ter o direito de saber quais dados pessoais mantemos sobre você, corrigi-los ou excluí-los, obter uma cópia e optar por não permitir sua venda ou seu uso para publicidade direcionada. Não vendemos dados pessoais nem os usamos para publicidade direcionada. Você pode usar um representante autorizado, e não trataremos você de forma diferente por exercer seus direitos.

Crianças#

O Lockpick é voltado a empresas e profissionais. Não é destinado a menores de 18 anos, e não coletamos dados pessoais de crianças intencionalmente. Se você acredita que uma criança nos forneceu dados pessoais, entre em contato e os excluiremos.

Alterações nesta política#

Podemos atualizar esta política. A data de vigência e a versão no topo desta página indicam qual versão se aplica. Se uma alteração afetar você de forma relevante, avisaremos antes que ela entre em vigor, por e-mail ou no Lockpick.

Contato#

Para dúvidas ou pedidos sobre privacidade, escreva para support@lockpick.app.

O Lockpick é operado por datascience2go Inc., Ontario, Canada.