Política de Privacidade

Esta Política de Privacidade explica como a CosmoSec coleta, usa, guarda e protege seus dados pessoais quando você visita o site www.cosmosec.com.br ou usa a plataforma app.cosmosec.com.br. Seguimos a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018).

A controladora dos dados pessoais tratados pelo site e pela plataforma é:

• CosmoSec Consultoria em Tecnologia da Informação Ltda.
• CNPJ: 66.756.382/0001-96
• Sede: Rio de Janeiro/RJ
• E-mail: contato@cosmosec.com.br

O encarregado, previsto no art. 41 da LGPD e na Resolução CD/ANPD nº 18/2024, é:

• Nome: Eric Araujo Alves
• E-mail: contato@cosmosec.com.br

Fale com o encarregado para tirar dúvidas, fazer pedidos ou registrar reclamações sobre o tratamento dos seus dados pessoais.

Coletamos os seguintes tipos de dados:

4.1 Dados de cadastro na plataforma

• Nome completo
• Endereço de e-mail
• Foto de perfil (opcional)
• Nome da organização

4.2 Dados de uso

• Registros de acesso e de ações na plataforma
• Endereço IP
• Tipo de navegador e dispositivo
• Páginas visitadas e tempo de uso

4.3 Dados de negócio inseridos na plataforma

• Avaliações de conformidade
• Registros de riscos
• Evidências e documentos carregados
• Informações de fornecedores
• Planos de ação
• Conversas com o assistente de IA Sirius

4.4 Dados do site

• Formulário de contato: nome, e-mail corporativo, cargo, empresa e o contexto que você escrever
• Endereço IP, usado para limitar envios repetidos do formulário e na verificação anti-robô (Cloudflare Turnstile)
• Sua escolha no banner de cookies
• Cookies de análise e de marketing, apenas se você aceitar (veja a seção 13)

Cada uso dos seus dados tem uma base legal prevista no art. 7º da LGPD:

• Prestar e manter o serviço da plataforma: execução de contrato (art. 7º, V)
• Gerar relatórios e análises de conformidade dentro da plataforma: execução de contrato (art. 7º, V)
• Enviar comunicações sobre o serviço, como avisos de manutenção, de segurança e de mudanças nos termos: execução de contrato (art. 7º, V)
• Responder ao seu pedido de demonstração ou de contato feito pelo site: procedimentos preliminares a contrato (art. 7º, V)
• Garantir a segurança do site e da plataforma, inclusive limitar envios repetidos e barrar robôs: legítimo interesse (art. 7º, IX)
• Melhorar a experiência de uso e o serviço: legítimo interesse (art. 7º, IX)
• Guardar registros de acesso e cumprir obrigações fiscais: obrigação legal (art. 7º, II)
• Cookies de análise e de marketing: consentimento (art. 7º, I)
• E-mails de marketing: consentimento (art. 7º, I)

Compartilhamos dados apenas com os operadores abaixo, que precisam deles para o serviço funcionar, e com autoridades quando a lei exigir. As certificações foram conferidas em 23 de outubro de 2026.

• Supabase (banco de dados, autenticação e arquivos): Estados Unidos, com redundância em São Paulo, Brasil. SOC 2 Tipo II e ISO 27001.
• Amazon Web Services (infraestrutura do Supabase): SOC 2, ISO 27001, ISO 27017, ISO 27018 e ISO 27701.
• Cloudflare (entrega das páginas, proteção contra ataques e Turnstile): rede global. SOC 2 Tipo II, ISO 27001, ISO 27018 e ISO 27701.
• Vercel (hospedagem das páginas): rede global. SOC 2 Tipo II e ISO 27001.
• Resend (envio de e-mails): Estados Unidos. SOC 2 Tipo II.
• Anthropic (modelo de IA do assistente Sirius): Estados Unidos. SOC 2 Tipo II, ISO 27001 e ISO 42001. Não treina modelos com os dados enviados pela API e os apaga em até 30 dias.
• Google (Gemini, modelo de IA alternativo): Estados Unidos.
• Voyage AI (indexação de documentos para a busca do Sirius): Estados Unidos.
• Stripe (pagamento, quando a contratação é feita pela plataforma).
• Google (Google Analytics 4 e Google Ads), Meta (Meta Pixel) e LinkedIn (LinkedIn Insight): apenas quando você aceita os cookies de análise ou de marketing no banner do site.
• Autoridades públicas: quando a lei exigir.

Não vendemos seus dados pessoais.

Os dados da plataforma ficam no Supabase, sobre a infraestrutura da AWS, na região us-west-2 (Oregon, Estados Unidos), com redundância na região sa-east-1 (São Paulo, Brasil).

Como o armazenamento principal fica fora do Brasil, existe transferência internacional de dados pessoais. Essa transferência é regida pelo art. 33 da LGPD.

Certificações de segurança dos operadores, como SOC 2 e ISO 27001, não substituem o mecanismo legal de transferência. Para saber quais garantias contratuais amparam cada transferência, escreva para contato@cosmosec.com.br.

Resumo público da transferência internacional de dados pessoais, nos termos da Resolução CD/ANPD nº 19/2024:

• Finalidade: hospedar e operar a plataforma, enviar e-mails do serviço e executar o assistente de IA Sirius
• Países de destino: Estados Unidos (Supabase, AWS, Resend, Anthropic, Google e Voyage AI) e rede global (Cloudflare e Vercel)
• Categorias de dados: dados de cadastro, dados de uso, dados de negócio inseridos na plataforma e dados do formulário de contato
• Encarregado: Eric Araujo Alves, contato@cosmosec.com.br

Protegemos seus dados com as seguintes medidas:

• Criptografia em trânsito (TLS 1.3) e em repouso (AES-256)
• Controle de acesso baseado em funções (RBAC)
• Row-Level Security (RLS) para isolar os dados de cada organização
• Registros de auditoria das ações na plataforma
• Cópias de segurança automáticas diárias
• Monitoramento contínuo de segurança

10.1 Plataforma

• Dados da conta: enquanto a conta existir. Excluída a conta, o perfil é apagado na hora.
• Registros de acesso: 1 ano. O Marco Civil da Internet exige guardar por, no mínimo, 6 meses.
• Conversas com o assistente Sirius: 180 dias.
• Avisos da plataforma: 90 dias.
• Pedidos de privacidade: 2 anos depois de atendidos.
• Cópias de segurança: expiram sozinhas em até 30 dias.

10.2 Site

• Formulário de contato: as mensagens chegam por e-mail à equipe da CosmoSec e não ficam gravadas em banco de dados do site.
• Controle de envios repetidos: o endereço IP e o e-mail usados nessa contagem expiram em até 24 horas.
• Sua escolha no banner de cookies: fica no armazenamento local do seu navegador até você limpar os dados do navegador ou mudar a escolha em "Gerenciar cookies", no rodapé.
• Cookies de análise e de marketing: validade indicada na seção 13.

Você tem direito a:

• Confirmação e acesso: saber se tratamos seus dados e acessá-los
• Correção: corrigir dados incompletos ou desatualizados
• Anonimização ou eliminação: de dados desnecessários
• Portabilidade: receber seus dados em formato estruturado
• Informação: sobre compartilhamento com terceiros
• Revogação: do consentimento a qualquer momento
• Oposição: ao tratamento em certas circunstâncias
• Revisão de decisões automatizadas: pedir a revisão de decisões tomadas unicamente por meio automatizado (art. 20)
• Petição à ANPD: apresentar reclamação à Autoridade Nacional de Proteção de Dados em www.gov.br/anpd

Respondemos em até 15 dias, contados do pedido (art. 19 da LGPD). O pedido é gratuito.

Se preferir, envie seu pedido para contato@cosmosec.com.br.

Se um incidente de segurança puder causar risco ou dano relevante a você, comunicamos a ANPD e os titulares afetados em até 3 dias úteis, contados de quando soubemos do incidente, conforme a Resolução CD/ANPD nº 15/2024.

Utilizamos cookies e tecnologias similares (como armazenamento local) organizados por categorias. Ao acessar o site, você escolhe no banner de consentimento quais categorias aceitar. Apenas os itens necessários dispensam consentimento.

13.1 Necessários (sempre ativos)

• cosmosec_cmp_consent: registra sua decisão de consentimento (armazenamento local)
• cosmosec_cmp_vid: identificador anônimo usado como prova do registro de consentimento (armazenamento local)
• Sessão de autenticação, preferências de tema e token de segurança (CSRF) na plataforma
• Cloudflare Turnstile: proteção anti-robô nos formulários do site

13.2 Análise (mediante consentimento)

• _ga e _ga_*: Google Analytics 4, medição de audiência de forma agregada (validade de até 13 meses)

13.3 Marketing (mediante consentimento)

• _gcl_au e cookies do Google Ads: mensuração de campanhas e conversões (validade de até 3 meses)
• _fbp: Meta (Facebook e Instagram), mensuração de campanhas (validade de 3 meses)
• li_gc, lidc e bcookie: LinkedIn Insight, mensuração de campanhas B2B (validade de até 12 meses)

Cookies de análise e de marketing só são criados depois do seu aceite no banner. Recusar não afeta a navegação no site. Você pode rever sua escolha a qualquer momento pelo link "Gerenciar cookies", no rodapé.

Podemos atualizar esta Política periodicamente. Alterações significativas serão comunicadas por e-mail com 30 dias de antecedência. Recomendamos revisar esta página regularmente.

Para dúvidas sobre privacidade ou para falar com o Encarregado pelo Tratamento de Dados Pessoais (DPO):

• Encarregado: Eric Araujo Alves
• E-mail: contato@cosmosec.com.br