O que esta política cobre
Esta política descreve o que acontece com os seus dados quando você navega em dseclabs.io e nas páginas deste site. Ela foi escrita a partir do código que está no ar, não de um modelo: cada cookie, cada formulário e cada serviço citado abaixo foi conferido no repositório antes de entrar aqui.
Ela não cobre o que acontece dentro de serviços de terceiros para os quais o site manda você — o blog e a newsletter no beehiiv, o Discord, o Telegram, o Instagram, o X, o LinkedIn, o alfredp2p.io e o dominipay.com.br. Naqueles endereços vale a política de quem os opera.
Os hubs dos sócios (gui.dseclabs.io e leo.dseclabs.io) são aplicações separadas, da mesma controladora, e compartilham os cookies de atribuição descritos abaixo por serem subdomínios do mesmo domínio. [APURAR — se eles entram nesta política ou terão aviso próprio]
Quem trata os seus dados
O controlador dos dados descritos aqui é a DIY SECURITY LAB LTDA, inscrita no CNPJ sob o nº 57.308.970/0001-76.
- Endereço
- Avenida Paulista, 2202 — Bela Vista, São Paulo/SP — CEP 01310-932
- contato@dseclabs.io
- Telefone
- +55 11 95639-4485
- Encarregado (DPO)
- O encarregado pelo tratamento de dados pode ser contatado pelo e-mail contato@dseclabs.io.
Esse e-mail é o canal para qualquer pedido relativo a dados pessoais, inclusive os dirigidos ao encarregado.
Que dados são tratados, e de onde vêm
O site não pede cadastro, não tem conta de usuário e não processa pagamento. O que existe é isto, e só isto:
Dados de navegação
Páginas visitadas, cliques em botões de destaque, aparelho e navegador, a origem pela qual você chegou e, quando você aceita o aviso de cookies, a gravação da sua navegação pelo Microsoft Clarity. Nada disso identifica você pelo nome: são medidas de comportamento, tratadas em conjunto. A lista de chaves está na política de cookies.
O endereço da página que enviamos ao Google Analytics passa por uma lista fechada de parâmetros: só utm_* e p sobrevivem. Todo o resto da barra de endereço é descartado antes de sair do seu navegador, justamente para que um link publicado com o seu e-mail na URL não empurre isso para dentro de um relatório.
Registros de servidor
O site é hospedado na Vercel, que registra as requisições recebidas — o que inclui endereço IP e identificação do navegador. É o registro técnico que qualquer servidor mantém para entregar a página e conter abuso.
Inscrição no curso
A página /curso traz um formulário incorporado do RD Station. Os campos, a validação e a lista de destino vivem no painel do RD Station, não neste site: o que você digita ali vai direto para eles. [APURAR — os campos exatos daquele formulário]
Formulários de contato
Os formulários de contato — contato geral, DominiPay, revenda — pedem nome, e-mail e a sua mensagem. Ao enviar, o seu e-mail é cadastrado na nossa lista no beehiiv, com a marcação de qual formulário e de qual página você veio, e passa a receber nossos artigos; você pode cancelar a qualquer momento pelo link no rodapé de cada e-mail.
A mensagem que você escreve não é guardada por nós nesse cadastro: o site monta o texto, mostra para você conferir e abre o seu programa de e-mail com ele pronto. Quem envia a mensagem é você, do seu endereço. Quando ela chega até nós, tratamos o que você escreveu para responder — base legal: procedimentos preliminares relacionados a contrato, a seu pedido (art. 7º, V). O cadastro na lista tem base legal no seu consentimento (art. 7º, I), dado ao enviar o formulário depois do aviso que aparece acima do botão.
Newsletter
Os campos de newsletter do site — a faixa no meio das páginas e o do rodapé — pedem apenas o seu e-mail. A inscrição acontece aqui mesmo e o endereço é gravado no beehiiv, que é quem hospeda a nossa lista, sob a política deles. Gravamos junto a marcação de por qual campo e por qual página você entrou. Cancele quando quiser, pelo link no rodapé de cada e-mail.
Hubs dos sócios
Nos hubs, quem pede um dos materiais informa o e-mail. São gravados o e-mail, qual hub, qual material e o caminho da página, em banco próprio e no beehiiv — com a marcação de origem. O objetivo é único: enviar o material pedido e saber por qual porta a pessoa entrou.
Aceitar, recusar ou ignorar o aviso
O aviso de cookies tem três desfechos possíveis, e eles fazem coisas diferentes. Vale a pena ser exato:
- Aceitar
- O Google Analytics passa a gravar cookie e o Microsoft Clarity é carregado, incluindo a gravação da navegação. Publicidade segue desligada: a DSEC não anuncia, então não há por que pedir esse consentimento.
- Recusar
- O Google Analytics fica no estado negado, o Clarity não é carregado e os dois cookies de atribuição são apagados — os que já existiam, nos dois escopos em que podem ter sido gravados — e deixam de ser escritos. Sobra apenas o cookie que registra essa sua recusa.
- Ignorar o aviso
- O aviso não bloqueia a página, e você pode navegar sem responder. Nesse caso o Google Analytics permanece no estado negado e o Clarity não carrega — mas os cookies de atribuição continuam sendo gravados.
Essa última linha é deliberada, e preferimos escrevê-la a deixá-la para você descobrir: não responder não é a mesma coisa que recusar. Os cookies de atribuição são nossos, ficam no seu navegador, não carregam nome, e-mail nem nada que identifique você, não são compartilhados com ninguém e servem para uma pergunta só — por qual canal as pessoas chegam aqui. Se você preferir que nem eles existam, o botão Recusar apaga os dois.
Com quem os dados são compartilhados
A DSEC Labs não vende dados e não os cede para uso publicitário de terceiros. Os dados passam apenas pelos fornecedores necessários para o site funcionar e ser medido:
- Vercel
- Hospedagem do site e registros de requisição.
- Google Analytics 4, medição de audiência.
- Microsoft
- Clarity, mapa de calor e gravação de navegação — só com aceite.
- RD Station
- O formulário de inscrição do curso e a lista que ele alimenta.
- beehiiv
- A nossa lista de e-mails: hospeda os endereços cadastrados pelos formulários deste site e envia os artigos.
- Neon
- Banco de dados onde os hubs dos sócios gravam os pedidos de material.
Além disso, dados podem ser fornecidos a autoridade pública mediante requisição legal, e transferidos no caso de reorganização societária — hipóteses previstas na própria lei.
Transferência internacional
Vercel, Google, Microsoft e beehiiv são empresas sediadas fora do Brasil e processam dados em infraestrutura no exterior. Usar essas ferramentas implica transferência internacional de dados (LGPD, arts. 33 a 36), amparada nas cláusulas contratuais e nos compromissos de proteção que cada fornecedor publica. O RD Station é brasileiro.
O banco de dados dos hubs roda no Neon, e a região dele decide se há transferência a declarar também nesse ponto. [APURAR — região do banco]
Por quanto tempo os dados ficam
Os cookies têm prazo próprio, declarado um a um na política de cookies. O armazenamento local do jogo e o de sessão do curso ficam no seu navegador e somem quando você limpa os dados do site.
Para os dados que saem do navegador — inscrição no curso, newsletter, pedidos de material nos hubs e mensagens de contato — [APURAR — prazos de retenção e descarte]. Não há prazo definido no sistema hoje, e preferimos registrar a lacuna a publicar um número que ninguém se comprometeu a cumprir. Enquanto isso, o pedido de exclusão pelo canal abaixo é atendido.
Os seus direitos
O art. 18 da LGPD garante a você, a qualquer momento e sem custo, o direito de pedir:
- confirmação de que existe tratamento de dados seus;
- acesso aos dados;
- correção de dado incompleto, inexato ou desatualizado;
- anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade com a lei;
- portabilidade a outro fornecedor, mediante requisição expressa;
- eliminação dos dados tratados com base no seu consentimento;
- informação sobre com quem os dados foram compartilhados;
- informação sobre a possibilidade de não consentir, e o que decorre da recusa;
- revogação do consentimento;
- revisão de decisão tomada apenas por tratamento automatizado — algo que este site não faz.
Quando o tratamento se apoia em legítimo interesse, você também pode se opor a ele (art. 18, § 2º).
Como exercer esses direitos
Escreva para contato@dseclabs.io dizendo qual pedido você quer fazer. Pode ser necessário confirmar a sua identidade antes de responder — atender um pedido de acesso sem saber quem está pedindo seria criar um problema em vez de resolver um.
A lei dá dois prazos: resposta imediata em formato simplificado, ou declaração completa em até 15 dias (art. 19). O procedimento interno da DSEC para receber, registrar e responder esses pedidos [APURAR — fluxo de atendimento ao titular].
Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) se entender que os seus direitos não foram respeitados.
Segurança
O site é servido por HTTPS, os cookies próprios são marcados como Secure e SameSite=Lax, e nenhum dos eventos de medição carrega e-mail, telefone, nome ou conteúdo de campo de formulário — essa é uma regra escrita no próprio código, não uma intenção.
Dito isso: nenhuma medida elimina risco por completo. Trabalhamos com autocustódia e não vamos prometer aqui o que a engenharia não entrega. Se identificarmos incidente de segurança com risco relevante a você, comunicaremos você e a ANPD, como manda o art. 48.
Crianças e adolescentes
Este site é dirigido a adultos e não solicita dados de menores de 18 anos. Se você é responsável e identificar que um menor sob sua guarda enviou dados por aqui, escreva para contato@dseclabs.io que eles serão eliminados.
Mudanças nesta política
Quando esta política mudar, a data de última atualização no topo muda junto. Alterações que afetem tratamento apoiado no seu consentimento serão comunicadas antes de valer.
Veja também os termos de uso e a política de cookies.