Política de Privacidade

[REVISAR COM O JURÍDICO] Preencher razão social, CNPJ, endereço e o e-mail do encarregado pelo tratamento de dados. A LGPD exige que o encarregado seja identificado publicamente.

Dados de conta: nome, e-mail, organização, papel de acesso e registro de autenticação.

Dados de vulnerabilidade: relatórios enviados por pesquisadores ou pelo seu time, evidências anexadas, comentários, histórico de status e decisões de severidade.

Dados de cobrança: tratados pelo processador de pagamento. A Haku não armazena número de cartão.

Registros técnicos: data, hora e identificador da ação, necessários para a trilha de auditoria.

Operar a plataforma, autenticar acesso, entregar findings ao time responsável, emitir cobrança e manter a trilha de auditoria exigida para disputa e para due diligence do cliente.

Não vendemos dados pessoais e não usamos conteúdo de vulnerabilidade de um cliente para beneficiar outro.

[REVISAR COM O JURÍDICO] Confirmar o enquadramento de cada finalidade entre execução de contrato, cumprimento de obrigação legal e legítimo interesse. O enquadramento do legítimo interesse precisa de avaliação registrada.

Usamos operadores para prestar o serviço: infraestrutura de banco de dados e autenticação, processamento de pagamento, envio de e-mail transacional e hospedagem da aplicação.

[REVISAR COM O JURÍDICO] Listar nominalmente cada subprocessador, com país de hospedagem e finalidade. Confirmar se haverá transferência internacional e qual salvaguarda será usada.

Dados de vulnerabilidade ficam segregados por organização. O acesso é restrito por papel: um finding é visível para a organização dona do programa e para a equipe da Haku que atua nele.

Registros de auditoria e histórico de status são preservados enquanto durar a relação contratual, porque sustentam a trilha que o cliente apresenta em due diligence.

[REVISAR COM O JURÍDICO] Definir o prazo de retenção após o encerramento do contrato e o procedimento de devolução ou eliminação dos dados.

Você pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade e eliminação dos seus dados pessoais, além de informação sobre compartilhamento.

[REVISAR COM O JURÍDICO] Definir o canal de atendimento ao titular e o prazo de resposta.

Adotamos controle de acesso por papel, segregação por organização, criptografia em trânsito e registro de auditoria das ações sensíveis.

Nenhum controle elimina risco por completo. Em caso de incidente com risco relevante aos titulares, comunicamos os afetados e a autoridade competente.

Mudanças nesta política são publicadas nesta página, com atualização da data no topo.