DPA e suboperadores

Visão geral

Esta página descreve como a zn ("usezn") trata dados pessoais em nome dos clientes e lista os suboperadores que contratamos. Ela complementa a nossa Política de Privacidade e a nossa Política de Segurança. Os clientes podem firmar conosco um Acordo de Tratamento de Dados (DPA) mediante solicitação: escreva para hello@usezn.com.

Funções

Cliente (controlador): você decide quais entradas envia à API e continua responsável pelos seus próprios usuários e aplicações.

zn (operador): analisamos as entradas e geramos registros de evidência apenas para prestar o serviço descrito nos nossos Termos e na nossa Política de Privacidade.

Polar (controlador independente): como Merchant of Record (vendedor legal), a Polar trata os dados de pagamento e fiscais conforme os seus próprios termos de privacidade. A zn não recebe os dados completos de cartões de pagamento.

Dados que tratamos em seu nome

• Entradas da API: avaliadas em memória volátil e não armazenadas em nenhum plano (Free, Pro, Scale e Team) fora do Contributor Mode. No Contributor Mode (opcional, oferecido com algumas bolsas para startups e pesquisa), um trecho sanitizado de cada entrada analisada (os primeiros 1.000 caracteres, com e-mails, bearer tokens, chaves de API e sequências hexadecimais longas ocultados automaticamente) é armazenado junto com o seu registro de evidência por até 90 dias e usado para melhorar os modelos de detecção da zn.
• Registros de evidência: ID de evidência aleatório mais veredito, confiança, regra, latência, data e hora e metadados da requisição (hash SHA-256 e tamanho da entrada a partir de 12 de outubro de 2026, às 12:24 UTC, prefixo da chave de API, endpoint, host do cabeçalho Origin, família e versão do cliente; nunca o User-Agent bruto nem o endereço IP); nenhuma cópia da entrada fora do Contributor Mode. Os registros de evidência expiram automaticamente após 90 dias, independentemente do endpoint que os criou; podem ser exportados em CSV ou JSON.
• Dados da conta e de uso: endereço de e-mail, nome da empresa (opcional), metadados das chaves de API, contagem de chamadas e métricas de latência.
• Dados de cobrança: gerenciados pela Polar como Merchant of Record.

Suboperadores

Transferências internacionais

Quando dados pessoais originados no EEE (Espaço Econômico Europeu) ou no Reino Unido são transferidos para um suboperador fora dessas regiões, nos baseamos nas Cláusulas Contratuais Padrão do suboperador e/ou em um mecanismo de adequação aplicável, como o EU-US Data Privacy Framework, quando o suboperador for certificado. Os contratos com os suboperadores incluem obrigações de confidencialidade, segurança e proteção de dados.

Medidas de segurança

As medidas técnicas e organizacionais incluem TLS 1.3 em trânsito, criptografia AES-256 em repouso (gerenciada pela AWS), chaves de API armazenadas com hash e criptografadas com KMS, controles de acesso com privilégio mínimo e expiração automática dos registros de evidência após 90 dias. Rodamos na AWS, cujos data centers têm as certificações SOC 2 Type II e ISO 27001. A própria zn ainda não tem certificação SOC 2 nem ISO; o roteiro de conformidade está publicado na nossa página Política de Segurança.

Alterações nos suboperadores

Mantemos esta página atualizada. Se você firmou um DPA conosco e adicionarmos um suboperador que trate dados pessoais, avisaremos você por e-mail para que possa se opor, conforme descrito no acordo.

Solicitações dos titulares dos dados

Ajudamos os clientes a responder às solicitações dos titulares dos dados relativas aos dados que tratamos em nome deles. Envie as solicitações para hello@usezn.com.

Contato

Para firmar um DPA, tirar dúvidas sobre suboperadores ou fazer consultas jurídicas, escreva para hello@usezn.com. Estamos sediados na Europa e respondemos em inglês ou espanhol.