Política de Privacidad

Vigencia: 15 de octubre de 2026 (versión 2026-10-15.2)

1. Quiénes somos

La plataforma CyberArmor es operada por HEGEON PRIME SERVICES LTDA, CNPJ 28.297.591/0001-20 ("CyberArmor", "nosotros"). CyberArmor es la marca; la empresa responsable de los datos es HEGEON PRIME SERVICES LTDA. Contacto de privacidad: dpo@cyberarmor.com.br.

La plataforma es un servicio de seguridad para empresas (B2B): inventario y postura de máquinas y repositorios, hallazgos de vulnerabilidad, cumplimiento y respuesta. Esta política vale para quien usa la plataforma, quien visita el sitio y quien tiene datos tratados por medio de ella.

2. En qué roles actuamos

La Ley General de Protección de Datos de Brasil (LGPD, Ley 13.709/2018) distingue a quien decide sobre el dato (controlador) de quien lo trata en nombre de otro (operador). Actuamos en ambos roles, según el dato.

Cliente es la empresa que contrató. Usuario es la persona que accede en nombre del Cliente.

3. Cuando somos controladora

Prospección comercial B2B (datos de contacto profesional obtenidos de terceros)

Para ofrecer la plataforma a empresas, CyberArmor investiga profesionales de seguridad de la información y de TI (por ejemplo, CISO, directores, gerentes y encargados de datos) de empresas brasileñas medianas. Los datos provienen de Apollo.io (Apollo.io, Inc., Estados Unidos), proveedor de datos de contacto profesional; no los recopilamos directamente de usted.

• Qué datos: nombre, cargo, nivel jerárquico y departamento, empresa (nombre, dominio, sector y tamaño), ciudad, estado y país, y, cuando se consultan, correo profesional, perfil profesional público (LinkedIn) y teléfono comercial. También registramos el avance del contacto (etapa, notas y próxima acción) y el origen del dato. En esta actividad no recopilamos datos personales sensibles ni de niños.
• Finalidad: contacto comercial B2B para presentar el servicio a quien ocupa un cargo en el que suele ser relevante. No usamos estos datos para otra finalidad.
• Base legal: interés legítimo (LGPD, art. 7, IX). Realizamos y registramos una prueba de ponderación (evaluación del interés legítimo) que considera la finalidad, la necesidad y el impacto sobre usted. Concluye que el tratamiento es compatible con sus expectativas razonables, porque usamos solo datos de contacto profesional, sobre un asunto ligado a su cargo, con pocos campos y una forma sencilla de darse de baja. El registro está disponible a pedido al encargado.
• Fuente informada: en el primer contacto le decimos que obtuvimos sus datos profesionales de Apollo.io y cómo ejercer sus derechos.
• Baja en cada contacto: cada mensaje comercial incluye la forma de pedir no recibir más contacto. Quien lo pide (o se opone por medio del encargado) deja de ser contactado y se incluye en una lista de supresión que guarda solo un identificador protegido por una función hash con secreto (no su correo en claro), para que la búsqueda automática no lo vuelva a traer.
• Retención: guardamos el contacto hasta 24 meses sin ninguna interacción suya (respuesta, reunión o propuesta). Pasado ese plazo, el registro se elimina o se anonimiza. Cuando hay relación comercial, rigen los plazos de la sección 11.
• Transferencia internacional: Apollo.io está en Estados Unidos (sección 10).
• Su derecho de oposición: puede oponerse a este tratamiento en cualquier momento, sin justificar, escribiendo al encargado (sección 14). También puede pedir acceso, corrección y eliminación (sección 12).

Lo que no hacemos

No vendemos datos personales. No usamos el contenido del Cliente para publicidad ni para otra finalidad que no sea prestar el servicio contratado.

4. Cuando somos operadora

Contenido del Cliente es lo que el Cliente coloca en la plataforma o recopila mediante los agentes: hallazgos y evidencias de seguridad, inventario de máquinas y software, telemetría de los agentes, informes, configuraciones, repositorios y metadatos leídos por integración (como autor y correo de commits), información de proveedores del Cliente y registros de actividad de los usuarios del Cliente en la plataforma.

Tratamos ese contenido solo para prestar el servicio, según las instrucciones del Cliente. El Cliente es el controlador: define la base legal, informa a sus empleados y demás titulares y responde a sus solicitudes. La relación está en los Términos y en el Acuerdo de Tratamiento de Datos (DPA).

Algunos datos de la telemetría y de los registros de seguridad también sirven a la seguridad de la propia plataforma (por ejemplo, detectar manipulación del agente). Para esa finalidad actuamos como controladora.

Lo que esperamos del Cliente: tener base legal para los datos que envía; avisar a los usuarios de las máquinas monitoreadas; no enviar datos personales sensibles (salud, biometría, origen racial o étnico, etc.) ni datos de niños; instalar el agente solo en máquinas sobre las que tenga poder.

5. Agentes instalados en las máquinas

El agente CyberArmor es un programa que el Cliente instala en computadoras y servidores (Windows y Linux). Se comunica con la plataforma mediante una conexión segura y autenticada. Las categorías de abajo describen la versión actual y pueden cambiar con las versiones del agente.

• Identificación de la máquina y del agente: nombre de la máquina, sistema operativo y versión, versión del agente, tiempo encendida, dirección IP local, usuario con sesión abierta, estado de integridad del agente.
• Hardware: procesador, núcleos, memoria, tamaño y espacio libre de disco, IP principal y dirección MAC, interfaces de red.
• Software instalado: nombre, fabricante, versión y origen.
• Procesos en ejecución: identificador, nombre, ruta del ejecutable, usuario dueño, uso de memoria y procesador, hora de inicio.
• Conexiones y puertos de red: protocolo, direcciones y puertos local y remoto, estado, proceso asociado, puertos en escucha.
• Eventos de seguridad del sistema: creación de proceso (nombre, ruta, línea de comandos), inicio y fallo de inicio de sesión, instalación de servicio, creación y eliminación de cuenta de usuario, creación de tarea programada.
• Postura de seguridad: administradores locales, elementos de inicio, parches, estado del firewall, cifrado de disco, herramientas de acceso remoto detectadas, medios extraíbles, extensiones de navegador, verificaciones de configuración contra reglas de referencia.
• Descubrimiento de red (cuando el Cliente lo habilita): dispositivos de la subred local (IP, nombre, MAC, puertos comunes abiertos).
• Detección de amenazas: comparación de archivos y procesos con indicadores de compromiso suministrados por la plataforma; el agente envía el resultado (proceso, indicadores encontrados, puntuación de riesgo), no el contenido de la memoria.

El agente no fue diseñado para recopilar contenido de correos o mensajes, historial de navegación, contraseñas, teclas pulsadas, capturas de pantalla, portapapeles, micrófono, cámara ni contenido de documentos. Atención: la línea de comandos de un proceso, el nombre de un archivo o la etiqueta de un disco pueden contener datos personales que el usuario escribió. Eso es incidental al tratamiento, y el Cliente debe considerarlo al informar a sus empleados.

El agente también ejecuta comandos firmados por la plataforma cuando el Cliente (o una política que configuró) lo pide, por ejemplo instalar un parche, iniciar o detener un servicio o recopilar un dato bajo demanda. Verifica la firma antes de ejecutar. Un administrador local aún puede detener o quitar el agente; en ese caso la plataforma avisa al Cliente.

Los datos del agente van al entorno del Cliente en la plataforma, separado de los demás clientes. Los usuarios autorizados por el Cliente los ven. El personal de CyberArmor solo accede con justificación y registro.

6. Datos sensibles y de niños

La plataforma es solo para empresas y no está destinada a menores de 18 años. No pedimos datos personales sensibles (LGPD, art. 5, II). Si el Cliente los envía, lo hace bajo su responsabilidad, y le pediremos que los borre.

7. De dónde vienen los datos

Directamente de los Usuarios; de los agentes e integraciones que el Cliente instala y autoriza (incluido GitHub); del proveedor de pagos (estado de cobro); y, en la prospección B2B, de Apollo.io, proveedor de datos de contacto profesional (sección 3).

8. Cookies y almacenamiento en el navegador

El sitio no usa cookies de publicidad ni de rastreo, y nada que no sea necesario se ejecuta antes de su elección en la franja de cookies. Con su consentimiento (LGPD, art. 7, I), el sitio mide las visitas con Vercel Web Analytics, operada por Vercel Inc. (EE. UU.): no guarda cookies, cuenta visitas y páginas vistas de forma agregada y sirve para saber qué contenidos son útiles. También con consentimiento, el sitio recuerda el tema que eligió y el descarte de la sugerencia de idioma. Su elección queda registrada en su navegador, con la fecha y la versión de la Política de Cookies, y puede cambiarla en cualquier momento en "Preferencias de cookies", en el pie de página. La lista completa, con nombre, finalidad, duración y categoría de cada elemento, del sitio y de la aplicación, está en la Política de Cookies.

9. Con quién compartimos

Compartimos datos solo cuando es necesario para el servicio, con contrato y deber de confidencialidad. No vendemos datos. Proveedores que tratan datos en nuestro nombre:

La lista completa de operadores de la plataforma, con la finalidad y la ubicación de cada uno, consta en el DPA y se entrega al Cliente al contratar; cualquier persona puede pedirla al delegado de protección de datos. Avisamos al Cliente antes de cambios en esa lista. También podemos compartir datos con asesoría contable y jurídica (bajo reserva), con autoridades cuando la ley o una orden judicial lo exija y con un adquirente de la empresa en una operación societaria, con aviso.

10. Transferencia internacional

Parte de los proveedores de arriba puede tratar datos fuera de Brasil, en especial en Estados Unidos. Es el caso de Apollo.io, con sede en Estados Unidos, de quien recibimos datos de contacto profesional. Solo transferimos datos con un mecanismo previsto en la LGPD (art. 33) y en la Resolución CD/ANPD 19/2024, como cláusulas contractuales estándar o decisión de adecuación. Puede pedir al delegado de protección de datos información sobre el mecanismo que usa cada proveedor.

11. Por cuánto tiempo guardamos

Guardamos lo mínimo necesario por el menor tiempo posible. Cuando se cierra la cuenta:

• Solicitud de cierre: la hace el dueño de la cuenta en la plataforma, con autenticación reforzada. No hay eliminación inmediata.
• Plazo de gracia de 30 días: la cuenta queda congelada (accesos, integraciones, webhooks y SSO revocados). Se puede reactivar, y no se borra nada.
• Exportación: antes de borrar, el Cliente puede exportar el contenido completo (JSON o CSV, con verificación de integridad).
• Eliminación: el contenido del Cliente se borra de producción en hasta 30 días después del plazo de gracia.
• Copias de seguridad: expiran en hasta 35 días. Si se restaura alguna copia, la eliminación se rehace.
• Constancia: emitimos constancias de eliminación (fin de la eliminación en producción y fin del ciclo de copias de seguridad), informando qué se retuvo, por qué y hasta cuándo.

Lo que conservamos después, como controladora, separado y sin otro uso: documentos fiscales y de cobro por el plazo de la legislación tributaria y contable (en regla, 5 años); contrato y aceptación por el plazo de prescripción aplicable; registros de acceso a la aplicación por al menos 6 meses (Marco Civil da Internet, art. 15); registros de seguridad y de auditoría de la plataforma por el tiempo necesario para la seguridad y para probar derechos, sin datos personales en claro en el registro de auditoría; constancias de eliminación. Vencido el plazo, eliminamos. La política completa de retención se entrega a quien la pida al delegado de protección de datos.

Máquinas con agente: el Cliente debe desinstalar los agentes antes de cerrar la cuenta. Las máquinas apagadas reciben una constancia de revocación al reconectarse. Los agentes que queden instalados quedan inertes.

Pedidos de contacto hechos en el sitio: guardamos el pedido por hasta 24 meses sin una nueva interacción suya (respuesta, reunión o propuesta). Después, lo eliminamos o anonimizamos. Registramos la fecha del pedido y la versión de este aviso que usted vio.

12. Sus derechos como titular (art. 18 de la LGPD)

Puede pedir: confirmación de que tratamos sus datos; acceso; corrección; anonimización, bloqueo o eliminación de lo innecesario o excesivo; portabilidad; información sobre el intercambio; información sobre la posibilidad de no consentir y sus consecuencias; revocación del consentimiento; oposición a un tratamiento hecho sin consentimiento si se incumple la ley (incluida la prospección comercial B2B, que hacemos por interés legítimo); revisión de decisiones tomadas de forma automatizada.

Cómo pedir: escriba al delegado de protección de datos, dpo@cyberarmor.com.br. Pedimos comprobación de identidad. Respondemos en formato simplificado de inmediato, o con una declaración completa en hasta 15 días, como determina la ley (art. 19).

• Dato del que somos controladora (cuenta, cobro, seguridad de la plataforma, sitio, contacto comercial y prospección B2B): respondemos nosotros.
• Dato del contenido del Cliente (usted es empleado o usuario de una empresa Cliente, o aparece en datos de máquina, hallazgo o repositorio): el responsable es la empresa Cliente. Remitimos su solicitud al Cliente en hasta 5 días hábiles, sin responder sobre el fondo, y ayudamos al Cliente con la búsqueda, exportación y eliminación. Si el Cliente es su empleador, consulte también al área responsable allí.

También puede presentar una queja ante la Autoridad Nacional de Protección de Datos de Brasil (ANPD). Podemos conservar lo que la ley obliga a guardar (sección 11) o lo que necesitamos para defender derechos, informando la base.

13. Seguridad e incidentes

Medidas: aislamiento de datos entre clientes en la base, MFA y reautenticación en acciones sensibles, secretos cifrados, registro de auditoría encadenado, revocación centralizada de credenciales, comandos firmados a los agentes, tokens de desinstalación de un solo uso, detección de manipulación del agente, acceso mínimo y con registro para el equipo. Ningún sistema es invulnerable; no prometemos riesgo cero.

Si un incidente de seguridad puede causar riesgo o daño relevante, avisamos al Cliente por correo, al contacto de seguridad registrado, sin demora injustificada, con la naturaleza del incidente, los datos y titulares afectados, las medidas tomadas y un contacto. El Cliente, como controlador, comunica a la ANPD y a los titulares cuando sea necesario; colaboramos. Para los datos de los que somos controladora, comunicamos nosotros.

14. Delegado de protección de datos (DPO)

Encarregado de dados da Hegeon. Correo: dpo@cyberarmor.com.br. El delegado recibe las solicitudes de titulares y las comunicaciones de la ANPD (LGPD, art. 41).

15. Cambios en esta política

Podemos actualizar esta política. Los cambios relevantes se avisan por correo a los dueños de cuenta y en la aplicación, con antelación razonable. La fecha de vigencia de arriba muestra la versión en vigor. Las versiones anteriores están disponibles a pedido.

16. Ley aplicable y contacto

Esta política se rige por la ley brasileña. Dudas: dpo@cyberarmor.com.br.