Aviso de Privacidade
Como a Moatgator trata dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018).
Última atualização:
Rascunho em revisão jurídica. Este texto ainda não vale como contrato e pode mudar.
Este Aviso de Privacidade explica como a GZ Segurança e Defesa Cibernética LTDA ("Moatgator", "nós") trata dados pessoais ao oferecer a plataforma de proteção em runtime para aplicativos móveis disponível em moatgator.com, app.moatgator.com, api.moatgator.com e serviços relacionados. Ele segue a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018).
Em caso de divergência entre versões em idiomas diferentes, prevalece a versão em português.
Quem é o controlador
O controlador dos dados pessoais tratados nesta plataforma é:
- GZ Segurança e Defesa Cibernética LTDA
- CNPJ 40.988.106/0001-60
- ⟦endereço completo da sede⟧, Cascavel, Paraná, Brasil
- Contato de privacidade: privacidade@moatgator.com
Quando um cliente (uma empresa que usa a Moatgator para proteger o próprio aplicativo) nos envia dados de seus usuários finais por meio do SDK, esse cliente é o controlador desses dados e a Moatgator atua como operadora, tratando-os apenas conforme as instruções do cliente e o Acordo de Tratamento de Dados (DPA).
Encarregado (DPO)
O Encarregado pelo Tratamento de Dados Pessoais, nos termos do art. 41 da LGPD, é ⟦nome do encarregado⟧ e pode ser contatado em dpo@moatgator.com. O Encarregado recebe reclamações e comunicações dos titulares e da Autoridade Nacional de Proteção de Dados (ANPD) e orienta sobre as práticas de proteção de dados.
Que dados tratamos
Dados de conta (você, cliente da Moatgator): nome, endereço de e-mail, senha (armazenada apenas como hash), organização, cargo, preferências de idioma e de notificação, e registros de autenticação (inclusive segundo fator). Os logins e as ações administrativas no console ficam na trilha de auditoria da organização com data, hora, endereço IP e navegador, para segurança e para que a organização saiba quem fez o quê. Quando você entra com Google, GitHub ou X, recebemos o identificador da conta e o e-mail verificado desses provedores.
Dados de cobrança: razão social, CNPJ/CPF, endereço, e-mail de cobrança e histórico de faturas. Os dados de cartão são tratados diretamente pelo processador de pagamentos (Stripe) e não trafegam nem são armazenados em nossos servidores.
Telemetria de segurança (dados de usuários finais dos nossos clientes): quando o aplicativo de um cliente envia um evento (por exemplo, "dispositivo com root" ou "framework de instrumentação detectado"), recebemos: um identificador de dispositivo pseudonimizado (um hash que gira periodicamente, nunca o identificador bruto), o tipo de evento e os sinais técnicos que o motivaram, e a versão do sistema operacional, do aplicativo e do SDK. Não coletamos nome, telefone, e-mail, contatos, localização precisa, conteúdo de tela nem dados do aplicativo do cliente. O endereço IP do aparelho não é gravado: ele é removido na entrada, antes de o evento ser tratado.
Dados de uso do site e do console: páginas visitadas, ações na interface e informações técnicas do navegador, usados para operar e melhorar o serviço e para segurança.
Dados do Scan público: quando você envia um APK, AAB ou IPA para a análise gratuita, processamos o pacote para gerar o relatório e o apagamos conforme a seção de retenção.
Investigação com IA (opcional): se a sua organização ligar o recurso, trechos agregados ou pseudonimizados da telemetria (sem hash do aparelho, sem IP e sem e-mail) são enviados à Anthropic para gerar a explicação pedida. Perguntas digitadas no assistente da documentação também vão à Anthropic, sem IP e sem e-mail.
Para que tratamos e com qual base legal
| Finalidade | Base legal (LGPD) |
|---|---|
| Criar e manter sua conta e prestar o serviço contratado | Execução de contrato (art. 7º, V) |
| Cobrança, emissão de nota fiscal e prevenção à fraude | Execução de contrato e cumprimento de obrigação legal (art. 7º, V e II) |
| Processar a telemetria de segurança para proteger o app do cliente | Execução de contrato com o cliente (operadora) |
| Enviar e-mails transacionais (verificação, segurança, cobrança) | Execução de contrato e legítimo interesse (art. 7º, V e IX) |
| Enviar alertas e relatórios de segurança que você pode desativar | Legítimo interesse, com opção de descadastro (art. 7º, IX) |
| Melhorar e dar segurança à plataforma | Legítimo interesse (art. 7º, IX) |
| Cumprir obrigações legais e regulatórias e exercer direitos em processos | Cumprimento de obrigação legal e exercício regular de direitos (art. 7º, II e VI) |
| Comunicações de marketing | Consentimento, revogável a qualquer momento (art. 7º, I) |
Quando tratamos dados com base no legítimo interesse, fazemos o balanceamento com seus direitos e liberdades e limitamos o tratamento ao necessário. Você pode se opor a esse tratamento pelos canais abaixo.
Compartilhamento e operadores
Não vendemos dados pessoais. Compartilhamos dados apenas com operadores que nos ajudam a prestar o serviço, sob contrato e obrigação de confidencialidade, e somente no necessário:
- Railway — hospedagem, banco de dados e armazenamento de arquivos (EUA).
- Resend — envio de e-mail transacional (EUA).
- Amazon Web Services (Route 53) — DNS, sem dados de clientes.
- GitHub — login com GitHub e GitHub App (quando você conecta).
- Google — login com Google (quando você escolhe) e verificação Play Integrity (quando o cliente configura o Attest no Android).
- Stripe — pagamentos e cobrança (quando a cobrança estiver ativa).
- Anthropic — investigação com IA e assistente da documentação (quando ligados).
A lista completa, com finalidade, dados e país, fica em Suboperadores. Avisamos os clientes com pelo menos 30 dias de antecedência antes de incluir ou trocar um operador que trate dados de usuários finais, conforme o DPA.
Também podemos divulgar dados quando exigido por lei, ordem judicial ou autoridade competente, e para proteger direitos, segurança e a integridade da plataforma.
Transferência internacional
Hoje todos os dados da plataforma são tratados nos Estados Unidos (Railway, Califórnia), inclusive os das organizações que escolheram outra região no cadastro: a infraestrutura separada por região ainda não existe. Como os EUA não têm decisão de adequação da ANPD, as transferências usam as cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD nº 19/2024), conforme o art. 33, II, "b", da LGPD. Os detalhes estão no DPA e na lista de Suboperadores.
Por quanto tempo guardamos
- Dados de conta: enquanto a conta existir e pelo prazo necessário após o encerramento para cumprir obrigações legais.
- Telemetria de segurança: pelo período de retenção do plano do cliente (7 a 365 dias), após o qual os eventos são apagados automaticamente.
- Trilha de auditoria do console: pelo prazo do plano da organização (30 dias no gratuito, até 5 anos no Enterprise).
- Registros técnicos dos servidores: poucos dias, pelo prazo do provedor de hospedagem.
- Dados de cobrança e fiscais: pelos prazos exigidos pela legislação tributária brasileira.
- Scan público: o pacote enviado e o relatório vencem em até 24 horas.
Depois dos prazos, os dados são eliminados ou anonimizados, salvo quando a conservação for permitida ou exigida por lei.
Seus direitos
Nos termos do art. 18 da LGPD, você pode, a qualquer momento e gratuitamente:
- confirmar a existência de tratamento e acessar seus dados;
- corrigir dados incompletos, inexatos ou desatualizados;
- solicitar anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
- solicitar a portabilidade dos dados;
- solicitar a eliminação dos dados tratados com base no consentimento;
- obter informação sobre as entidades com as quais compartilhamos dados;
- ser informado sobre a possibilidade de não consentir e as consequências disso;
- revogar o consentimento.
Para exercer esses direitos, escreva para privacidade@moatgator.com. Responderemos nos prazos da LGPD. Parte dos direitos você mesmo exerce no console (exportação e exclusão de dados da organização em Configurações). Se você é usuário final de um aplicativo protegido pela Moatgator, direcione seu pedido ao desenvolvedor do aplicativo (o controlador); nós o apoiamos como operadores.
Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).
Segurança
Adotamos medidas técnicas e administrativas para proteger os dados, incluindo criptografia em trânsito e em repouso, criptografia de campos sensíveis, segregação de acesso por função, verificação em duas etapas para a equipe, trilha de auditoria encadeada e minimização de dados (pseudonimização do identificador de dispositivo e não gravação de IP na telemetria). Nenhum sistema é totalmente imune; mantemos processos de resposta a incidentes e, quando aplicável, comunicamos os titulares e a ANPD conforme a LGPD.
Relato de vulnerabilidades: veja a política de divulgação.
Cookies
Usamos cookies estritamente necessários para autenticação e segurança (por exemplo, o cookie de sessão do console) e, de forma opcional, cookies de preferência (idioma e tema). Não usamos cookies de publicidade de terceiros. Veja mais na nossa Política de Cookies em moatgator.com/cookies.
Crianças e adolescentes
A plataforma é destinada a empresas e profissionais. Não direcionamos os serviços a crianças nem coletamos conscientemente dados de menores de idade.
Alterações
Podemos atualizar este Aviso. Quando a mudança for relevante, avisaremos pelos canais usuais (por e-mail ou no console) antes de a nova versão passar a valer. A data da última atualização está no topo desta página.
Contato
Dúvidas sobre privacidade: privacidade@moatgator.com ou o formulário de contato. Encarregado (DPO): ⟦nome do encarregado⟧, dpo@moatgator.com. GZ Segurança e Defesa Cibernética LTDA, ⟦endereço completo da sede⟧, Cascavel/PR, Brasil.