Política de Privacidade

Tradução fornecida por conveniência. Em caso de divergência, prevalece a versão em inglês, exceto quando a lei aplicável exigir o contrário. No Québec, prevalece a versão em francês. Ler em inglês

1. Introdução

A Cybervision Systems LLC ("nós" ou "nosso") respeita a sua privacidade e tem o compromisso de proteger os seus dados pessoais. Esta Política de Privacidade explica como coletamos, usamos, divulgamos e protegemos as suas informações quando você usa os nossos produtos e os sites, painéis web, extensões de navegador e aplicativos móveis relacionados (em conjunto, os "Serviços"):

CyberVault: gerenciador de senhas, com painel web, extensões para os navegadores Google Chrome, Microsoft Edge e Apple Safari e aplicativos para iOS e Android, nas edições pessoal e corporativa
Tremor (Tremor by CyberVision): plataforma de exercícios de tomada de decisão sob pressão (exercícios tabletop), como crises cibernéticas, com portal web e aplicativo do participante para iOS e Android
CyberKey: gestão de acesso privilegiado, com painel web, extensão para Chrome e componentes instalados no ambiente do cliente

Quando você usa os Serviços por meio de uma organização (por exemplo, a empresa em que trabalha), essa organização é a controladora: ela decide como os Serviços são usados e é responsável pelos dados pessoais que gerencia por meio deles, o que inclui ter uma base legal para incluir você e informar você sobre o tratamento. Nós atuamos como operador dela (prestador de serviço) e tratamos esses dados em nome dela e conforme as suas instruções. Na edição pessoal do CyberVault e nos nossos sites, somos o controlador do tratamento descrito aqui.

Empresa: Cybervision Systems LLC
Endereço: 2122 NW 158th Ln, Pembroke Pines, Flórida 33028, Estados Unidos
E-mail: [email protected]
Telefone: +1 (754) 337-5155
Encarregado pelo tratamento de dados pessoais: veja a Seção 14

2. Informações que coletamos

2.1 Informações fornecidas por você

Dados da conta (nome, endereço de e-mail)
Informações de perfil e da organização (função, grupos, time)
Dados de faturamento dos planos pagos
Comunicações com o atendimento ao cliente
Conteúdo que você cria nos Serviços, como os itens do cofre (veja a Seção 10.1) e as suas respostas, decisões e mensagens na sala de crise nos exercícios do Tremor

2.2 Informações coletadas automaticamente

Informações do dispositivo (modelo, sistema operacional, identificadores únicos)
Dados de uso (recursos usados, interações)
Dados de registro (endereço IP, tipo de navegador, horários de acesso)
Relatórios técnicos de erro gerados pela plataforma (para diagnóstico e suporte)
Cookies e armazenamento local do navegador estritamente necessários para manter você conectado e lembrar preferências, como o idioma. Os painéis web e o portal do Tremor guardam a sua sessão e o seu idioma no seu navegador. Não usamos cookies de publicidade nem de rastreamento entre sites.

2.3 Dados das extensões de navegador

Versão e configurações do navegador
Dados de interação com a extensão
O endereço da página em que você está, usado para sugerir e preencher as credenciais correspondentes

2.4 Dados dos aplicativos móveis

Identificadores do dispositivo móvel e tokens de notificação push
Câmera (CyberVault): usada exclusivamente para ler QR codes de autenticação em dois fatores (2FA) quando você adiciona um autenticador. Não acessamos a sua galeria de fotos, e as imagens da câmera são processadas no dispositivo e nunca são enviadas nem armazenadas.
Biometria (CyberVault e Tremor): o desbloqueio opcional por Face ID, Touch ID ou impressão digital é feito pelo sistema operacional do dispositivo. Nunca recebemos os seus dados biométricos.
Microfone (Tremor): usado apenas durante as ligações do exercício (veja a Seção 2.6).

Os nossos aplicativos móveis não exibem anúncios, não rastreiam você em aplicativos ou sites de outras empresas e não vendem os seus dados. Os dados são criptografados em trânsito.

2.5 Localização (edição corporativa do CyberVault)

Não rastreamos a sua localização. Se a sua organização restringir alguns itens do cofre a locais autorizados, o seu navegador ou dispositivo pedirá a sua localização no momento em que você abrir um desses itens; ela é usada apenas para verificar se você está na área autorizada. Além disso, o registro de auditoria de segurança guarda o endereço IP e a localização aproximada (país e cidade) obtida a partir dele nos eventos de login e de visualização de itens.

2.6 Exercícios, ligações e IA no Tremor

Em um exercício do Tremor, tratamos os seguintes dados em nome da sua organização:

O seu nome, endereço de e-mail, time, nível de comando e papéis na crise (por exemplo, estratégico ou jurídico)
As suas respostas, decisões e mensagens na sala de crise, e a sua atividade no exercício (como o que você leu e quando respondeu)
As transcrições das ligações
As anotações do facilitador
As pontuações e avaliações das suas respostas

As ligações do exercício são conversas por voz com personagens gerados por inteligência artificial. Durante a ligação, o áudio passa pelo nosso próprio servidor de voz e pelo nosso provedor de transcrição para ser convertido em texto; o áudio não é gravado nem armazenado. O que fica guardado é a transcrição em texto. As respostas do personagem são geradas por IA e faladas com uma voz sintética escolhida de um catálogo; não clonamos a voz de pessoas reais. Essas informações ficam disponíveis para a sua organização e para o facilitador do exercício. A IA também é usada para criar cenários, avaliar respostas e redigir relatórios (veja a Seção 3.1).

A sua organização pode optar por enviar o registro de auditoria do Tremor para o seu próprio sistema de monitoramento de segurança (SIEM). Essa escolha e essa cópia ficam sob o controle da sua organização.

2.7 Sessões do CyberKey

O CyberKey roda em uma implantação dedicada para cada cliente, on-premises ou em nuvem, com banco de dados próprio. Ele grava as sessões privilegiadas (atividade de tela, comandos e eventos relacionados), os dados das conexões e os eventos de auditoria. Essas gravações e registros ficam na implantação do cliente, em disco ou em um bucket de armazenamento escolhido por ele, e são mantidos conforme as configurações do cliente.

3. Como usamos as suas informações

Prestar e manter os nossos Serviços
Processar transações e enviar as informações relacionadas
Enviar informações administrativas, atualizações e alertas de segurança
Responder a solicitações de atendimento
Melhorar os Serviços
Monitorar e analisar o uso e as tendências
Detectar, prevenir e tratar problemas técnicos, fraudes e acessos não autorizados
Cumprir obrigações legais

Não usamos os seus dados para publicidade, nem usamos o conteúdo dos itens do seu cofre, das respostas aos exercícios ou das gravações de sessões para treinar modelos de IA.

3.1 Avaliação por IA e decisões automatizadas (Tremor)

O Tremor usa IA para sugerir pontuações e avaliações das respostas dos exercícios e para redigir relatórios. Esses resultados são feedback de treinamento: são revisados por uma pessoa (o facilitador ou a sua organização) e não produzem, por si sós, efeitos jurídicos ou efeitos igualmente significativos sobre você. Você pode pedir a revisão humana de qualquer pontuação ou avaliação e apresentar o seu ponto de vista, como preveem leis como a LGPD (art. 20) e o GDPR (art. 22). Envie o seu pedido à sua organização ou para [email protected].

4. Base legal para o tratamento

Onde se aplicam leis de proteção de dados como o GDPR (Espaço Econômico Europeu) ou a LGPD (Brasil), tratamos dados pessoais com base em:

Consentimento: você deu consentimento claro para o tratamento
Contrato: o tratamento é necessário para a execução de um contrato
Obrigação legal: o tratamento é exigido por lei
Interesses legítimos: o tratamento atende aos nossos interesses legítimos, como manter os Serviços seguros

Quando atuamos como operador de uma organização, a base legal é definida por essa organização.

5. Compartilhamento e divulgação de dados

5.1 Prestadores de serviço: fornecedores terceirizados que prestam serviços em nosso nome, sob contrato e apenas para essa finalidade. A lista atualizada está na Seção 11. Em especial:

Provedores de IA usados pelo Tremor: a OpenAI faz a transcrição de fala em texto e a voz sintética; a Anthropic ou a OpenAI, conforme a configuração da plataforma, gera a conversa do personagem, os cenários, as avaliações e os relatórios. Antes de um relatório ser gerado por IA, os participantes são pseudonimizados (por exemplo, "Time 1" ou "Jurídico 2") e os nomes deles são removidos. Os nossos contratos com esses provedores não permitem que eles usem esses dados para treinar os seus modelos.
Have I Been Pwned, usado nas verificações de vazamento do CyberVault: no caso de senhas, enviamos apenas os primeiros caracteres de um hash da senha (k-anonimato), nunca a própria senha; na verificação de e-mail, enviamos o endereço de e-mail que você escolher verificar.

5.2 Sua organização: se você usa os Serviços por meio de uma organização, os administradores dela podem ver informações sobre o seu uso, conforme descrito nas Seções 2 e 10, como registros de auditoria, respostas aos exercícios e gravações de sessões.

5.3 Operações societárias: em caso de fusões, aquisições ou venda de ativos

5.4 Exigências legais: quando exigido por lei ou para proteger os nossos direitos, bens ou segurança

5.5 Com o seu consentimento: quando você der autorização expressa

NÃO vendemos os seus dados pessoais a terceiros.

6. Transferências internacionais de dados

A Cybervision Systems LLC tem sede nos Estados Unidos. Os dados do Tremor ficam armazenados na região de hospedagem do país do cliente; uma mesma região pode atender a vários países da América Latina, se o cliente concordar. Quando os recursos de IA são usados, os dados necessários para eles são enviados aos nossos provedores de IA (Anthropic e OpenAI) nos Estados Unidos, o que constitui uma transferência internacional. Alguns outros provedores listados na Seção 11 também podem tratar dados fora do seu país.

Fazemos essas transferências com os mecanismos exigidos por cada lei aplicável, incluindo:

Brasil (LGPD, art. 33): cláusulas-padrão contratuais aprovadas pela ANPD
Espaço Econômico Europeu (GDPR): as cláusulas contratuais-padrão da Comissão Europeia
Canadá: pela PIPEDA, proteções contratuais que garantem um nível de proteção comparável; pela Lei 25 do Québec, uma avaliação de impacto à privacidade antes de os dados serem comunicados para fora do Québec
Argentina, Colômbia, Peru, Chile e México: contratos com os destinatários que preveem as salvaguardas exigidas pela lei de cada país e, quando necessário, o aviso ou o consentimento correspondente

Você pode pedir mais informações sobre essas salvaguardas em [email protected].

7. Retenção de dados

Mantemos as suas informações pessoais apenas pelo tempo necessário para as finalidades descritas nesta Política de Privacidade, salvo se a lei exigir um prazo maior.

Contas: os dados da conta são mantidos enquanto a conta estiver ativa.
Registros de segurança do CyberVault: os eventos de login são mantidos por 6 meses.
Exercícios do Tremor: o conteúdo dos exercícios, as respostas individuais, as transcrições das ligações, as anotações do facilitador, as pontuações e o registro de auditoria são mantidos por 24 meses após o fim do exercício, por padrão, ou pelo prazo definido pela sua organização (de 1 a 120 meses). Depois disso, fica apenas um relatório sem nomes.
Áudio das ligações do Tremor: não é gravado nem armazenado.
Tokens de notificação push: excluídos quando você sai do aplicativo ou exclui a sua conta.
Fim do contrato de um cliente: quando uma organização cancela, os dados dela são excluídos em até 30 dias. Durante esse período, a organização pode exportar os seus dados ou desistir do cancelamento.
CyberKey: as gravações e os registros são mantidos conforme as configurações do cliente, na implantação dele.

8. Seus direitos de privacidade

Dependendo de onde você está, você pode ter os seguintes direitos. Para exercê-los, escreva para [email protected]. Se você usa os Serviços por meio de uma organização, podemos encaminhar o seu pedido a ela, que é a controladora, e ajudá-la a responder.

8.1 Direitos gerais

Acesso: pedir cópia dos seus dados pessoais
Correção: pedir a correção de dados incorretos
Exclusão: pedir a exclusão dos seus dados
Portabilidade: receber os seus dados em formato estruturado
Oposição: opor-se ao tratamento dos seus dados
Restrição: pedir a restrição do tratamento
Revisão humana de decisões tomadas unicamente com base em tratamento automatizado (veja a Seção 3.1)

8.2 Estados Unidos

Residentes na Califórnia (CCPA/CPRA): direito de saber quais informações pessoais são coletadas, direito de saber se as informações pessoais são vendidas ou compartilhadas, direito de recusar a venda ou o compartilhamento e direito à não discriminação. Não vendemos nem compartilhamos informações pessoais para publicidade comportamental entre contextos.
Residentes em outros estados com leis abrangentes de privacidade podem ter direitos semelhantes de acessar, corrigir, excluir e obter uma cópia dos seus dados, e de recorrer da nossa decisão sobre um pedido. Fale conosco para exercê-los.

8.3 Espaço Econômico Europeu (GDPR)

Direito de apresentar reclamação a uma autoridade de supervisão
Direito de retirar o consentimento a qualquer momento

8.4 Brasil (LGPD)

Direito à confirmação do tratamento, ao acesso, à correção, à anonimização, à portabilidade e à eliminação dos dados
Direito à informação sobre as entidades com as quais os dados são compartilhados
Direito à revisão de decisões automatizadas (art. 20)
Direito de apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD)

8.5 Canadá (PIPEDA e Lei 25 do Québec)

Direito de acessar e corrigir as suas informações pessoais e de retirar o consentimento, sujeito a restrições legais ou contratuais
Direito de apresentar reclamação ao Office of the Privacy Commissioner of Canada (OPC), o comissário federal de privacidade do Canadá
No Québec: direitos de acesso, retificação, desindexação e portabilidade, direito de ser informado sobre uma decisão baseada exclusivamente em tratamento automatizado e direito de apresentar reclamação à Commission d'accès à l'information du Québec (CAI), a autoridade de proteção de dados do Québec

8.6 México (LFPDPPP)

Direitos ARCO: acesso, retificação, cancelamento e oposição, além do direito de revogar o consentimento e de limitar o uso ou a divulgação
Direito de apresentar reclamação à autoridade de proteção de dados competente

8.7 Colômbia (Lei 1581 de 2012)

Direitos de habeas data: conhecer, atualizar, retificar e pedir a eliminação dos seus dados, pedir prova da autorização e revogar a autorização
Direito de apresentar reclamação à Superintendencia de Industria y Comercio (SIC), a Superintendência de Indústria e Comércio da Colômbia

8.8 Chile (Lei 19.628 e Lei 21.719)

Direitos de acesso, retificação, eliminação e oposição e, a partir de 1º de dezembro de 2026, pela Lei 21.719, de portabilidade e bloqueio
A partir dessa data, direito de apresentar reclamação à Agencia de Protección de Datos Personales, a autoridade chilena de proteção de dados

8.9 Argentina (Lei 25.326)

Direitos de acesso, retificação, atualização e eliminação
O titular dos dados tem o direito de acessar os seus dados pessoais gratuitamente, em intervalos não inferiores a seis meses, salvo se demonstrar interesse legítimo para isso, conforme o artigo 14, inciso 3, da Lei nº 25.326.
A Agencia de Acceso a la Información Pública (AAIP), na qualidade de Órgão de Controle da Lei nº 25.326, tem a atribuição de receber as denúncias e reclamações apresentadas por quem tiver os seus direitos afetados pelo descumprimento das normas vigentes de proteção de dados pessoais.

8.10 Peru (Lei 29733)

Direitos ARCO: acesso, retificação, cancelamento e oposição, nos termos da Lei 29733 e do seu regulamento (Decreto Supremo 016-2024-JUS)
Direito de apresentar reclamação à Autoridad Nacional de Protección de Datos Personales (ANPD) do Peru

9. Como excluir a sua conta

Você pode excluir a sua conta a qualquer momento, inclusive sem o aplicativo, se preferir:

Tremor: no aplicativo, vá em Perfil → Excluir conta; no portal web, vá em Minha conta → Excluir conta.
CyberVault: no painel web, vá em Meu perfil → Excluir conta e confirme com a sua senha mestra. As extensões de navegador e os aplicativos têm um link para essa página.
CyberKey: as contas são gerenciadas pela sua organização; fale com o administrador dela.
Por e-mail (todos os produtos): escreva para [email protected] a partir do endereço de e-mail cadastrado na sua conta, com o assunto "Account Deletion Request". Confirmamos por e-mail quando a exclusão for concluída.

A exclusão pelo painel web, pelo portal ou pelo aplicativo é imediata e não pode ser desfeita. Se você for o único administrador ou o dono de uma organização que ainda tem outros membros, precisa transferir esse papel antes.

9.1 O que é excluído

Tremor: em todas as organizações em que você confirmou o mesmo endereço de e-mail, o seu nome, endereço de e-mail, senha, segundo fator, tokens de notificação push e os textos que você escreveu (respostas e mensagens na sala de crise).
CyberVault: os itens do seu cofre pessoal e o histórico deles, os seus vínculos com organizações e grupos, os convites pendentes, as sessões e os tokens de recuperação. O registro da sua conta é anonimizado: o seu nome, o endereço de e-mail, as chaves, as configurações de dois fatores e a chave de recuperação são removidos.

9.2 O que é mantido

Tremor: pontuações, escolhas e registros de auditoria continuam, sem o seu nome, como parte dos registros de exercícios da sua organização, até o fim do prazo de retenção da Seção 7.
CyberVault: os itens que pertencem a uma organização continuam com essa organização. Os registros de auditoria de segurança dos logins são mantidos por 6 meses e depois eliminados. Esses metadados nunca incluem o conteúdo decifrado dos itens do seu cofre, ao qual não temos nenhuma capacidade técnica de acesso.

10. Segurança dos dados

Adotamos medidas técnicas e organizacionais de segurança adequadas para proteger os seus dados, incluindo:

Criptografia dos dados em trânsito e em repouso
Avaliações periódicas de segurança
Controles de acesso e autenticação, incluindo autenticação multifator
Registros de auditoria dos eventos relevantes para a segurança
Acesso do suporte ao conteúdo dos exercícios do Tremor somente com a autorização do administrador da sua organização, por tempo limitado e com o acesso anotado no registro de auditoria

Ainda assim, nenhum método de transmissão pela internet é 100% seguro.

10.1 CyberVault: conhecimento zero e criptografia de ponta a ponta

O gerenciador de senhas CyberVault foi projetado com uma arquitetura de conhecimento zero. As senhas e os segredos de autenticação em dois fatores guardados no seu cofre são cifrados e decifrados exclusivamente no seu próprio dispositivo, com AES-256-GCM e uma chave única para cada item, protegida por uma chave derivada da sua senha mestra. A sua senha mestra nunca sai do seu dispositivo e nunca é transmitida aos nossos servidores nem armazenada neles. Armazenamos apenas o texto cifrado resultante e não temos nenhuma capacidade técnica de ler ou decifrar as suas senhas ou segredos de 2FA.

Para permitir a busca, o preenchimento automático e as verificações de vazamento, o nome de cada item, o endereço do site e o nome de usuário ficam armazenados nos nossos servidores sem criptografia de ponta a ponta. Eles são protegidos por criptografia em trânsito e em repouso e pelos nossos controles de acesso, mas não fazem parte da criptografia de conhecimento zero descrita acima.

Ao criar a conta, é gerada uma chave de recuperação. Ela é a única forma de recuperar o acesso se você esquecer a sua senha mestra. Se você perder a senha mestra e a chave de recuperação, os itens cifrados do seu cofre não poderão ser recuperados, nem por você nem por nós.

10.2 Registros de auditoria (CyberVault)

Para ajudar você e os administradores da sua organização a detectar acessos não autorizados, o CyberVault mantém um registro de auditoria de segurança dos eventos de login e de visualização de itens (o registro de que um item foi acessado, identificado pelo ID do item, horário, endereço IP, localização aproximada e tipo de dispositivo, e não pelo seu conteúdo decifrado). Esses metadados são mantidos para fins de segurança e conformidade e nunca são usados para reconstruir o conteúdo cifrado dos itens do seu cofre.

11. Suboperadores

Estes são os provedores que tratam dados pessoais em nosso nome. Atualizamos esta lista sempre que ela muda.

Hospedagem: servidores próprios, na região de hospedagem do país do cliente (Tremor), e provedores de infraestrutura para os demais Serviços
Envio de e-mails: Microsoft 365 (Microsoft Corporation)
Notificações push: Google Firebase Cloud Messaging (Google LLC) e Apple Push Notification service (Apple Inc.)
Inteligência artificial (Tremor): Anthropic, PBC e OpenAI, L.L.C., Estados Unidos (veja a Seção 5.1)
Processamento de pagamentos: processadores de pagamento dos planos pagos contratados diretamente conosco

12. Privacidade de crianças

Os nossos Serviços se destinam a adultos e empresas e não são direcionados a menores de 18 anos. Não coletamos intencionalmente informações pessoais de crianças. Se você acredita que coletamos informações de uma criança, entre em contato conosco imediatamente.

13. Alterações nesta Política

Podemos atualizar esta Política de Privacidade. Quando fizermos alterações relevantes, atualizaremos a data no topo e avisaremos você pelos Serviços ou por e-mail. A data no topo é a data em que a versão atual entrou em vigor.

14 de outubro de 2026: descrição do Tremor, dados e retenção do Tremor, transferências internacionais, identificação dos provedores de IA, suboperadores, decisões automatizadas, direitos por país, Encarregado pelo tratamento de dados pessoais e uma seção pública sobre exclusão de conta.
20 de janeiro de 2026: primeira versão.

14. Encarregado pelo tratamento de dados pessoais

O nosso Data Protection Officer é também o nosso Encarregado pelo tratamento de dados pessoais nos termos da LGPD e o responsável pela proteção das informações pessoais nos termos da Lei 25 do Québec. Você pode falar com ele pelo e-mail [email protected].

15. Fale conosco

Para dúvidas, preocupações ou para exercer os seus direitos de privacidade, fale conosco:
Cybervision Systems LLC
2122 NW 158th Ln
Pembroke Pines, Flórida 33028
Estados Unidos
E-mail: [email protected]
Telefone: +1 (754) 337-5155