Política de Privacidade

Esta política explica quais dados pessoais o Tifon (tifon.dev) trata, para quê, com quem compartilha e como você exerce os direitos garantidos pela Lei Geral de Proteção de Dados (Lei nº 13.709/2018, a LGPD).

1. Quem somos

O Tifon é um serviço de inteligência de ameaças. Ele reúne notícias e avisos publicados por fontes públicas de segurança, resume e classifica esse material com inteligência artificial e, para quem tem conta, envia alertas personalizados.

O Tifon é o controlador dos dados descritos aqui. O canal para qualquer assunto de privacidade, inclusive como canal do encarregado de dados, é [email protected].

2. Quais dados tratamos

Quem só visita o site (sem conta): endereço IP, navegador, páginas acessadas, data e hora, nos registros técnicos do servidor e da Cloudflare. Também guardamos num cookie o idioma escolhido para os relatórios.

Conta: nome, e-mail, senha (guardada só como hash, nunca em texto), o código de convite usado (também só como hash) e a data de criação. De cada sessão aberta guardamos o IP e o navegador.

Login e cadastro: o captcha da Cloudflare (Turnstile) recebe o seu IP e sinais do navegador para confirmar que é uma pessoa. Tentativas recusadas ficam registradas com o IP.

Alertas personalizados: as respostas da entrevista, que são o nome da empresa ou do produto, as marcas, os setores, as regiões, o sistema dos servidores, as tecnologias usadas, os tipos de ataque que interessam, a criticidade mínima e o idioma. Também ficam guardados o que você escrever no campo “Outro”, os alertas gerados para você, as avaliações “relevante” ou “não é relevante” que você der, com o motivo, se você escrever um, e o registro de cada envio.

Domínio monitorado, só se você informar um e autorizar: o domínio, o registro TXT de verificação, a data, a hora, o IP e a versão do termo de aceite, e as tecnologias encontradas, com a evidência de cada uma. São informações sobre a infraestrutura do site, não sobre pessoas.

Slack, Discord e Telegram, só se você conectar:

• no Slack, o endereço do webhook ou o token do app (os dois criptografados) e os nomes do workspace e do canal;
• no Discord, os identificadores e nomes do servidor e do canal escolhidos; na mensagem direta, o seu ID e o seu nome de usuário no Discord; ou o endereço do webhook, se você colar um (criptografado);
• no Telegram, o identificador da conversa, o nome do grupo (quando é um grupo) e o nome de usuário de quem conectou (ou o nome, se a conta não tiver usuário);
• em todos, as suas preferências (tempo real, horário silencioso, resumo diário, fuso horário) e o histórico de envios, com data, resultado e código de resposta.

O bot do Tifon no Discord tem só três permissões: ver canais, enviar mensagens e inserir links. Ele não lê as mensagens do servidor, não acessa a lista de membros e não guarda nada sobre os usuários do servidor. Ao conectar, você autoriza com a sua conta do Discord; usamos essa autorização uma vez, para saber quem conectou e qual servidor escolheu, e a revogamos em seguida. Na mensagem direta, se você não estiver em nenhum servidor com o bot, oferecemos a entrada na comunidade do Tifon no Discord, porque o Discord só permite mensagem direta entre quem está num servidor em comum; só colocamos você lá se aceitar.

No Telegram, você conecta por um link de uso único, que vale 30 minutos. O bot do Tifon não lê as conversas: nos grupos, o Telegram só entrega a ele os comandos com o nome dele, e o Tifon descarta tudo o que não for o comando de conexão. Na conversa privada, o bot responde a qualquer mensagem com a explicação de como conectar, sem guardar o que foi escrito.

3. Para que usamos

• Prestar o serviço que você pediu: criar a conta, montar o perfil e entregar os alertas no canal escolhido. Base legal: execução de contrato (art. 7º, V, da LGPD).
• Consultar o seu domínio para identificar tecnologias. Base legal: consentimento (art. 7º, I), registrado com data, hora e IP e revogável a qualquer momento.
• Proteger o serviço contra robôs, abuso e tentativas de invasão, com captcha, limite de tentativas e registros de acesso. Bases legais: legítimo interesse (art. 7º, IX) e cumprimento de obrigação legal (art. 7º, II), já que o Marco Civil da Internet manda guardar registros de acesso.
• Calibrar os alertas com as avaliações de relevância que você der: a IA as usa para decidir se um alerta sai na hora (seção 4). Base legal: legítimo interesse (art. 7º, IX).

Não vendemos dados, não os usamos para publicidade e não montamos perfis para marketing.

4. Inteligência artificial

As notícias públicas são resumidas e classificadas por um modelo de IA (Claude, da Anthropic). Quando uma notícia cita uma falha com exploit público no Exploit-DB, o mesmo modelo lê o arquivo publicado lá para explicar o exploit. Essas etapas não envolvem dados de clientes.

Se você escrever uma resposta própria no campo “Outro” da entrevista (um setor que não está na lista, por exemplo), só esse texto curto vai para o mesmo modelo, sem nome, e-mail ou empresa, para ser traduzido em termos de busca. A tradução pode ser reaproveitada para outros clientes que escreverem a mesma coisa, sem identificar quem escreveu primeiro. Por isso, não coloque dados pessoais nesse campo.

Antes de um alerta sair na hora, o mesmo modelo avalia se a notícia interessa a você. Para isso ele recebe a notícia, que é pública, as tecnologias, os setores, as regiões e os tipos de ataque das suas respostas, e o título e o motivo dos alertas que você marcou como relevante ou não relevante, com o texto que você escreveu ao avaliar. Não recebe o nome da empresa, as marcas, o domínio, o seu nome nem o seu e-mail: tiramos tudo isso do texto antes, junto com links, endereços de e-mail e números longos. Texto que pareça uma instrução para a IA fica guardado, mas não vai para ela. Alertas que citam a sua empresa não passam por essa avaliação: são enviados sempre. O que a IA segura não é apagado e fica visível em Meus alertas.

5. Com quem compartilhamos

Só com os fornecedores necessários para o Tifon funcionar, cada um limitado ao seu papel:

• Cloudflare: rede de entrega, proteção contra robôs e captcha. Todo acesso ao site passa por ela.
• Provedor de hospedagem do servidor onde ficam a aplicação e o banco de dados.
• Anthropic: o modelo de IA, nos casos descritos acima.
• Slack, Discord e Telegram, só quando você conecta. Eles recebem as mensagens dos alertas que você configurou e as tratam conforme as políticas de cada um.
• Autoridades públicas, quando houver ordem judicial ou obrigação legal.

O resultado da consulta ao seu domínio não é compartilhado com ninguém.

6. Transferência internacional

Cloudflare, Anthropic, Slack, Discord e Telegram processam dados fora do Brasil, principalmente nos Estados Unidos e na Europa. A transferência acontece para executar o serviço que você contratou ou pediu, como a entrega de alertas no seu Slack, Discord ou Telegram, conforme o art. 33, IX, da LGPD. Esses fornecedores adotam proteções contratuais para os dados.

7. Cookies

• tifon-session: mantém você conectado. Essencial; expira depois de 4 horas sem uso.
• XSRF-TOKEN: protege os formulários contra requisições falsificadas. Essencial.
• remember_web_…: só existe se você marcar “lembrar de mim” no login.
• report_lang: lembra o idioma escolhido para os relatórios.
• Cookies técnicos da Cloudflare, como __cf_bm e cf_clearance, usados para separar pessoas de robôs.

Não usamos cookies de análise de audiência nem de anúncios.

8. Por quanto tempo guardamos

• Conta e alertas: enquanto a conta existir. Ao excluir um alerta, apagamos junto as respostas, o domínio, as tecnologias encontradas e o histórico dele.
• Domínio: revogar a autorização apaga as tecnologias encontradas na consulta.
• Slack, Discord e Telegram: desconectar apaga as credenciais, os identificadores e o histórico de envios daquele canal.
• Sessões: expiram depois de 4 horas sem uso.
• Registros de acesso (IP, data, hora e endereço acessado): 6 meses, prazo do Marco Civil da Internet, salvo ordem judicial que exija mais tempo.
• Exclusão da conta: a pedido, pelo contato. Em até 15 dias apagamos tudo o que está ligado a ela, exceto o que a lei obrigar a guardar.

9. Seus direitos

Pela LGPD (art. 18), você pode pedir a qualquer momento:

• a confirmação de que tratamos dados seus e o acesso a eles;
• a correção de dados incompletos ou errados (nome e e-mail você mesmo muda em Conta);
• a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desacordo com a lei;
• a portabilidade dos seus dados;
• a eliminação dos dados tratados com base no seu consentimento;
• a lista de com quem compartilhamos os seus dados;
• a revogação do consentimento.

Para pedir, escreva para [email protected] a partir do e-mail da sua conta. Respondemos em até 15 dias. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

10. Segurança

• Senhas guardadas só como hash; webhooks e tokens do Slack e do Discord criptografados no banco.
• HTTPS em todo o site, com TLS 1.2 ou superior e HSTS.
• Captcha e limite de tentativas no login e no cadastro; área administrativa com entrada separada.

Se acontecer um incidente de segurança que possa trazer risco ou dano relevante, avisamos as pessoas afetadas e a ANPD, como manda o art. 48 da LGPD.

11. Pessoas citadas nas notícias

O feed reúne notícias já publicadas por fontes públicas, e elas podem citar pessoas: pesquisadores, autores, vítimas ou suspeitos. Os exploits públicos mostram o autor registrado no Exploit-DB. Cada caso mantém o link para a fonte original. Se você foi citado e quer uma correção ou a remoção, escreva para o contato.

12. Menores de idade

O Tifon é voltado a profissionais e empresas e não se destina a menores de 18 anos.

13. Mudanças nesta política

Quando esta política mudar, a data no topo da página muda junto. Mudanças que afetem o uso de dados de quem tem conta serão avisadas com antecedência.