Documento legal

Política de Privacidade

Como a FELIPE MASCHIO TECHNOLOGY LTDA trata seus dados ao operar o ThreadMine.

1. Quais dados coletamos

Coletamos apenas dados necessários para autenticar você, operar suas análises e cobrar assinaturas. Especificamente:

• Cadastro: nome, email, senha (armazenada como hash bcrypt, nunca em texto claro), URL de avatar opcional.
• Onboarding opcional: cargo, objetivo de uso, stacks JVM, tamanho da equipe. Você pode pular qualquer campo.
• Autenticação avançada: segredo de MFA (criptografado em repouso), identificador de provedor OAuth (ex: Google) quando integrado.
• Conteúdo enviado: arquivos de thread dump JVM que você envia para análise. Esse conteúdo pode incluir nomes de classes, stack traces e dados técnicos da sua aplicação.
• Metadados de uso: data e hora dos uploads, endereço IP de origem, formato detectado do dump, hostname extraído durante o parsing.
• Resultados de análise: health score, problemas detectados, resumos gerados (incluindo resumos por IA, quando habilitado).
• Workspaces e times: papel atribuído (Admin, Maintainer, Analyst, Viewer), convites enviados e aceitos.
• Audit log: registros de alterações em entidades sensíveis (ex: mudança de papel, revogação de chave de API).

2. Como armazenamos

Todos os dados em trânsito são protegidos por TLS 1.2 ou superior. Senhas são armazenadas como hashes bcrypt. Segredos de MFA são criptografados em repouso usando uma chave gerenciada separadamente das credenciais do banco. Dumps brutos podem ser armazenados temporariamente em storage compatível com S3 enquanto a análise está sendo processada.

O ambiente do ThreadMine é multi-tenant com segregação lógica por workspace: nenhum usuário acessa dados de outro workspace sem convite explícito. O backend rejeita qualquer leitura que não inclua filtro de workspace.

3. Por quanto tempo guardamos

A retenção depende do tipo de dado e do plano contratado:

• Dumps brutos enviados: deletados após o processamento por padrão. No beta, o histórico fica disponível por até 7 dias em todos os planos; você pode deletar a qualquer momento. Retenção estendida por plano está no roadmap.
• Resultados de análise (health score, problemas detectados): guardados enquanto sua conta estiver ativa, sujeitos aos limites do plano.
• Logs de acesso: 30 dias. O log de auditoria de alterações é retido para fins de compliance.
• Dados de cadastro: enquanto sua conta existir. Após exclusão da conta, removemos em até 30 dias, exceto registros que precisamos manter por obrigação legal ou contábil (ex: notas fiscais).

4. Com quem compartilhamos

Não vendemos seus dados. Não compartilhamos com terceiros para fins de marketing. Usamos um conjunto pequeno de subprocessadores estritamente necessários para operar o produto:

Não usamos seus dumps para treinar modelos de IA, e os provedores de IA (Anthropic e Google) têm como política padrão não usar entradas via API para treinamento (ver também nossa Política de IA).

5. Seus direitos como titular

A LGPD (Art. 18) garante a você os direitos abaixo. Você pode exercer qualquer um deles sem custo, a qualquer momento:

• Acesso: baixe uma cópia de todos os seus dados via export self-service (ZIP) em /app/perfil/dados.
• Correção: corrigir nome, email e demais campos pelo seu perfil em /perfil.
• Exclusão: delete sua conta e dados associados self-service em /app/perfil/dados.
• Portabilidade: o export inclui formato JSON aberto para portar para outro provedor.
• Oposição e revogação de consentimento: desative notificações em /app/perfil/dados ou solicite oposição a qualquer tratamento opcional contatando o DPO.
• Informação sobre compartilhamento: a lista de subprocessadores acima é completa.

6. Cookies

Usamos cookies essenciais para autenticação (sessão via cookie httpOnly) e preferências de interface (tema, idioma). Também usamos o Google Analytics 4 (GA4) para entender como o produto é utilizado e mensurar nossas campanhas — ele pode definir cookies de terceiros e coletar dados de uso de forma agregada (páginas visitadas, origem do acesso, tipo de dispositivo). Não usamos seus dados pessoais para publicidade de terceiros além da mensuração das nossas próprias campanhas. O Google Analytics é opt-in: no primeiro acesso você escolhe entre Aceitar ou Recusar no banner de cookies. Enquanto você não aceita — ou se recusa — nenhum cookie de analytics é gravado (Google Consent Mode v2 em modo negado). Cookies essenciais não dependem dessa escolha, pois são necessários para o login funcionar.

7. Segurança

Aplicamos controles técnicos e organizacionais para proteger seus dados: TLS no transporte, hash de senhas, segregação por tenant, princípio do mínimo privilégio, audit log para alterações sensíveis e backups regulares. Apesar dos controles, nenhum sistema é absolutamente imune; em caso de incidente que afete dados pessoais, notificaremos você e a ANPD nos prazos exigidos pela LGPD.

8. Transferência internacional

Alguns subprocessadores podem processar dados fora do Brasil (ex: provedores de LLM nos EUA). Nesses casos, exigimos garantias contratuais compatíveis com a LGPD para tratamento adequado.

9. Como nos contatar

Encarregado de Proteção de Dados (DPO) da FELIPE MASCHIO TECHNOLOGY LTDA: dpo@threadmine.dev

Você também pode registrar reclamação diretamente à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.

10. Alterações nesta política

Se mudarmos materialmente esta política, notificaremos por email com pelo menos 15 dias de antecedência antes da vigência. A versão em vigor sempre estará disponível nesta URL.