Política de Privacidade

Authagonal ("nós", "nos", "nosso") é operado por Sam Critchley (ABN 69 472 204 717), um empresário individual australiano. Esta política descreve como coletamos, usamos, armazenamos e divulgamos informações pessoais em conformidade com os Princípios Australianos de Privacidade (APPs) sob a Privacy Act 1988 (Cth).

1. Informações que coletamos

Coletamos as seguintes categorias de informações pessoais:

• Informações da conta — nome, endereço de e-mail e hash de senha quando você se cadastra como proprietário de tenant ou administrador do portal.
• Dados de autenticação de usuários finais — endereços de e-mail, hashes de senha, credenciais MFA, metadados de sessão e timestamps de login de usuários que se autenticam através do seu tenant. Estes dados são processados em seu nome como processador de dados.
• Informações de faturamento — coletamos seu e-mail e nome do tenant para o checkout do Stripe. Dados de cartão de pagamento são tratados inteiramente pelo Stripe e nunca passam pelos nossos servidores.
• Dados de uso — métricas agregadas (contagens de login, taxas de emissão de tokens, volumes de chamadas de API) coletadas por tenant para análises do painel. Estas não contêm informações pessoais.
• Dados técnicos — endereços IP, strings de user agent e metadados de requisições em logs do servidor. Os logs são retidos por 30 dias.

2. Como usamos suas informações

• Para fornecer e operar o serviço de autenticação Authagonal.
• Para autenticar usuários, emitir tokens e aplicar políticas de segurança configuradas pelos administradores do tenant.
• Para processar pagamentos e gerenciar sua assinatura via Stripe.
• Para enviar e-mails transacionais (confirmação de conta, redefinição de senha). Não enviamos e-mails de marketing.
• Para monitorar a saúde do serviço, detectar abuso e aplicar limites de taxa.
• Para responder a solicitações de suporte.

3. Papel de processador de dados

Quando seus usuários finais se autenticam através do Authagonal, atuamos como processador de dados em seu nome. Você (o tenant) é o controlador de dados e determina quais dados são coletados e como são usados. Processamos dados de usuários finais exclusivamente para fornecer o serviço de autenticação conforme configurado por você.

4. Como armazenamos e protegemos os dados

• Todos os dados são armazenados em data centers Microsoft Azure. Dados de tenant são armazenados no Azure Table Storage com isolamento por tenant (prefixos de tabela separados por shard).
• Todas as conexões usam TLS 1.2 ou superior. Dados em repouso são criptografados pelo Azure Storage Service Encryption.
• Senhas são hasheadas usando bcrypt. Nunca armazenamos senhas em texto puro.
• O acesso à infraestrutura de produção requer autenticação multifator e é restrito a pessoal autorizado.
• Chaves de assinatura são rotacionadas automaticamente e armazenadas criptografadas no Azure Key Vault.

5. Divulgação de informações

Não vendemos informações pessoais. Podemos divulgar informações pessoais para:

• Stripe — para processamento de pagamentos.
• Microsoft Azure — como nosso provedor de infraestrutura.
• Autoridades legais — quando exigido pela lei australiana ou por uma ordem judicial válida.

6. Transferências internacionais de dados

Nossa infraestrutura Azure está hospedada na Austrália (Centro dos EUA durante o beta). Alguns dados podem ser processados em outras jurisdições por nossos subprocessadores (Stripe, Microsoft). Tomamos medidas razoáveis para garantir que essas partes cumpram obrigações de privacidade comparáveis aos APPs.

7. Retenção de dados

• Dados do tenant são retidos pela duração da sua assinatura. Após o cancelamento, os dados são retidos por 30 dias e então permanentemente excluídos.
• Administradores do tenant podem configurar políticas de retenção de usuários (desativação e exclusão automática após um período de inatividade).
• Logs do servidor são retidos por 30 dias.
• Backups são retidos por 90 dias.

8. Seus direitos

Sob os APPs, você tem o direito de:

• Acessar as informações pessoais que mantemos sobre você.
• Solicitar correção de informações imprecisas.
• Solicitar exclusão da sua conta e dados associados.
• Registrar uma reclamação junto ao Office of the Australian Information Commissioner (OAIC) se você acreditar que violamos os APPs.

Administradores do tenant podem acessar, exportar e excluir dados de usuários finais através do portal do tenant ou da API SCIM a qualquer momento.

9. Cookies

Authagonal usa cookies de sessão apenas para fins de autenticação. Não usamos cookies de rastreamento, cookies de análise ou cookies de publicidade de terceiros. O portal do tenant usa sessionStorage para gerenciamento de estado OIDC.

10. Alterações nesta política

Podemos atualizar esta política de tempos em tempos. Alterações materiais serão comunicadas pelo endereço de e-mail associado à sua conta de tenant. A data de "última atualização" no topo desta página indica a revisão mais recente.

11. Contato

Para questões de privacidade ou para exercer seus direitos, entre em contato conosco em privacy@authagonal.io.