Acordo de Tratamento de Dados

Última atualização: 21 de outubro de 2026

Este acordo faz parte dos Termos de Serviço entre você, o cliente, e LF Consultoria de Desenvolvimento e Operacional Ltda, CNPJ 58.117.575/0001-79, Av. Presidente Getúlio Vargas, 1605, Loja 09, Bairro Novo, Olinda, PE, 53030-010, Brasil ("Korzen"). Ele vale sempre que a Korzen trata dados pessoais por você para prestar o Bot Protection, e é aceito junto com os termos; se precisar de uma via assinada, escreva para contact@korzen.dev. Se ele e os termos divergirem sobre dados pessoais, vale este acordo.

1. Papéis

Você é o controlador dos dados pessoais dos seus visitantes; a Korzen é sua operadora (no GDPR, você é o controller e a Korzen o processor). A Korzen os trata seguindo apenas suas instruções documentadas: estes termos, suas configurações e as chamadas de API que seu servidor faz. Se uma instrução parecer violar a lei, a Korzen avisa você.

2. O que é tratado

Finalidade	distinguir pessoas de bots nos seus sites, e um navegador que volta de um novo no cadastro, e mostrar o porquê, para você proteger cadastros, logins, checkouts e outras ações
Titulares	os visitantes dos seus sites onde você roda a tag ou chama a API
Dados	endereço IP, e a rede, o país e a subnet derivados dele; User-Agent e cabeçalhos da requisição, inclusive fingerprints TLS e HTTP vindos da borda; caminhos, métodos, códigos de status e tempos das requisições que você informa; sinais do navegador que a tag lê, por exemplo tamanho da tela e da janela, renderizador gráfico, um hash de canvas, características do dispositivo (núcleos de CPU, memória, pontos de toque), fuso horário e idiomas, client hints, indicadores de automação, tempos de ida e volta da rede e tipos e contagens de eventos de entrada, nunca o que é digitado; o endereço IP público que o navegador mostra por WebRTC, só onde você o ativa com a configuração data-stun da tag; o token de sessão da tag e um identificador aleatório do navegador; e o que você envia sobre um resultado, como uma conta verificada
Dados sensíveis	nenhum; não envie nenhum
Duração	enquanto sua conta estiver aberta, e depois até a exclusão prevista na seção 9

A página de desafio. Quando o seu servidor marca uma ação com require_token e um visitante não tem token válido, ele é mandado para a página de desafio da Korzen em korzen.dev, que roda a tag da própria Korzen, na conta da própria Korzen, antes de deixá-lo seguir para a sua ação. A Korzen trata o que essa tag lê (os sinais do navegador acima, o token de sessão da tag e o identificador do navegador) como controladora, sob a sua Política de Privacidade, só para saber se a página rodou num navegador real e para impedir que scripts a usem; a passagem e a sua decisão são tratadas para você, sob este acordo. A tag guarda identificadores separados nessa página para cada cliente que manda um visitante para lá, então eles não ligam um mesmo navegador entre clientes.

3. Como é guardado

• Os identificadores (endereços IP, sessões, navegadores) são guardados só como hashes com chave, com chaves exclusivas suas, a maioria trocada todo dia; a Korzen não guarda endereços IP em claro.
• A memória de trabalho sobre um visitante cobre os últimos dez minutos dele: cada registro expira 20 minutos depois do último uso. O desafio de uma verificação expira em 10 minutos e a passagem dele em 30; um token gasto numa ação que exige token fica guardado, como hash com chave, por uma hora.
• Cada decisão, com seu caminho, país e motivos, fica no seu dashboard pelo prazo do histórico de decisões do seu plano: 7 dias no trial grátis, até 90 dias no Scale.
• O que o feedback estabeleceu sobre uma sessão (verificada, revogada) fica até 400 dias depois da última vez em que foi vista. Uma sessão continua enquanto o mesmo navegador guarda o token da tag e volta.
• O identificador de navegador da tag, visto numa ação sobre a qual o seu servidor pergunta (um cadastro, um login, um checkout), fica guardado como hash com chave, sob uma chave sua que não muda, com quando foi visto ali pela primeira e pela última vez e quantas sessões o trouxeram, até 90 dias depois da última vez em que foi visto nessa página, para que um visitante que abre outra conta do mesmo navegador seja reconhecido. A Korzen aprende quais das suas páginas são cadastros só a partir desses hashes.
• Seus dados nunca se misturam aos de outro cliente, nem servem a outra finalidade além da sua proteção. A Korzen pode usar contagens e resultados de regras sem dados pessoais para melhorar as próprias regras.

4. Confidencialidade

Só as pessoas que operam a Korzen acessam dados pessoais, apenas na medida em que o serviço exige, e sob dever de sigilo.

5. Segurança

A Korzen mantém medidas técnicas e administrativas adequadas ao risco (artigo 46 da LGPD, artigo 32 do GDPR), pelo menos:

• TLS em toda conexão; chaves de API e tokens de sessão assinados e conferidos a cada requisição;
• hash com chave dos identificadores, com chaves por cliente, a maioria trocada todo dia;
• servidores na UE atrás de firewall, administrados só por chave SSH; contas do dashboard com hashes de senha com salt e login em dois fatores;
• backups criptografados com recuperação a um ponto no tempo, substituídos em até 35 dias;
• testes automatizados, análise estática e varredura de segredos em toda mudança, e dependências atualizadas.

6. Suboperadores

Você autoriza a Korzen a usar os suboperadores da lista de suboperadores. A Korzen vincula cada um a termos de proteção de dados pelo menos tão protetivos quanto estes, e continua responsável por eles. A Korzen anuncia um novo suboperador nessa página e por email pelo menos 30 dias antes de ele começar; se você se opuser por motivos razoáveis de proteção de dados e não conseguirmos resolver, pode encerrar sua conta e receber o reembolso de um período pré-pago ainda não usado.

7. Transferências

Os dados pessoais são tratados na União Europeia. Quando um suboperador os trata em outro lugar, a transferência se apoia numa decisão de adequação ou nas cláusulas contratuais padrão da ANPD e da Comissão Europeia, incorporadas por referência.

8. Como ajudamos você

• Pedidos de visitantes: a Korzen avisa você de todo pedido que receber sobre seus visitantes e ajuda você a respondê-lo. O seu dashboard encontra as decisões de um visitante pelo endereço IP, pelo User-Agent ou por um request_id, enquanto o seu plano as guardar, e é assim que você responde a um pedido de acesso; sem um desses, decisões de dias diferentes não se ligam, porque a maioria dos hashes muda todo dia. Um proprietário também as exclui ali: busque o visitante na página Decisões e escolha Excluir as decisões deste visitante, que exclui na hora toda decisão guardada que a busca encontra; a pedido seu, por escrito, a Korzen faz isso por você em até 30 dias. A Korzen guarda um registro de cada exclusão, como os hashes com chave pelos quais excluiu, por 35 dias, para que uma restauração a partir de um backup exclua essas decisões de novo.
• Incidentes: a Korzen avisa você sem atraso injustificado, e em até 48 horas depois de tomar conhecimento, de um incidente de segurança que afete seus dados, com o que sabe e o que está fazendo.
• Avaliações: a Korzen dá as informações de que você precisa para um relatório de impacto à proteção de dados ou uma consulta a uma autoridade.
• Auditorias: a Korzen responde por escrito a perguntas razoáveis sobre a conformidade dela e disponibiliza as informações necessárias para demonstrá-la. Uma auditoria presencial, se a lei exigir, é combinada com antecedência, à sua custa, sob sigilo.

9. Fim do contrato

Quando sua conta é encerrada, a Korzen apaga os dados pessoais dos seus visitantes em até 30 dias; eles saem dos backups em até mais 35 dias. A memória de trabalho expira sozinha em minutos.

10. Suas obrigações

Você garante que tem base legal para que os dados sejam tratados: informa seus visitantes no seu aviso de privacidade, decide se o Bot Protection é estritamente necessário para o serviço que eles pediram ou se precisa do consentimento deles pelas regras de ePrivacy, e envia só os dados que a API pede.