Última atualização: 7 de junho de 2026.

Esta política desenvolve o direito fundamental de Habeas Data (artigo 15 da Constituição Política da Colômbia) e a liberdade de informação (artigo 20), a Ley Estatutaria 1581 de 2012 (declarada exequível pela Sentencia C-748 de 2011) e o Decreto 1377 de 2013.

Marco legal: Ley 1581 de 2012, Decreto 1377 de 2013 e normas complementares (Colômbia); GDPR/RGPD (União Europeia), CCPA/CPRA (Califórnia, EUA) e a LGPD — Lei nº 13.709/2018 (Brasil), para os usuários sujeitos a tais normas.

Você pode revogar sua autorização e solicitar a supressão de seus dados quando o tratamento não respeitar os princípios, direitos e garantias constitucionais e legais (art. 8, lit. e, Ley 1581 de 2012), salvo dever legal ou contratual de conservação.

Aviso: este documento é informação geral e não constitui assessoria jurídica.

O controlador do tratamento é a LUXISOFT, operadora do LUXIPANEL, identificada com NIT [____] e domicílio em [endereço], Colômbia. Contato de privacidade: [e-mail de privacidade / canal de suporte]. NOTA: a identificação do controlador (NIT/registro, domicílio e contato) é um marcador de posição que deve ser preenchido antes de publicar em produção; sua ausência descumpre o art. 13, lit. a do Decreto 1377 de 2013 e o art. 17 da Ley 1581 de 2012.

A LUXISOFT atua com um duplo papel conforme o tipo de dado:

• Como Controladora do Tratamento (controller; art. 3, lit. e, Ley 1581 de 2012): em relação aos dados de conta, identidade, autenticação, pagamentos, uso, suporte, blog e marketplace, que tratamos para fins próprios definidos por nós.
• Como Operadora do Tratamento (processor; art. 3, lit. d, Ley 1581 de 2012): em relação às credenciais de servidor (SSH) e aos dados aos quais acessamos na infraestrutura do cliente por instrução sua. Nesta relação, o cliente é o Controlador e a LUXISOFT trata esses dados unicamente conforme suas instruções documentadas, sem determinar finalidades próprias.

Para usuários sujeitos ao RGPD, esta relação de operação rege-se por um Acordo de Tratamento de Dados (DPA) conforme o artigo 28 do RGPD, que faz parte integral destes termos e inclui: objeto, duração, natureza e finalidade do tratamento; tipos de dados e categorias de titulares; o compromisso de tratar os dados apenas sob instruções documentadas do cliente; confidencialidade do pessoal; medidas de segurança do artigo 32 (detalhadas na seção de Segurança); o regime de suboperadores; assistência no exercício de direitos dos titulares e na notificação de violações; e a supressão ou devolução dos dados ao término do serviço. Você pode solicitar a versão completa do DPA pelos canais de suporte.

Ponto de contato e DPO: você pode dirigir qualquer consulta sobre seus dados pelos canais indicados. Se a natureza ou o volume do tratamento o exigir, designaremos um Encarregado de Proteção de Dados (DPO) (RGPD art. 37) e, se for o caso, um representante na União Europeia (RGPD art. 27), publicando seus dados de contato nesta política. Você pode exercer seus direitos pelos canais da seção 9.

Conforme sua interação com a plataforma, podemos tratar:

• Dados de conta e identidade: e-mail, nome, foto, idioma/locale, identificador do Google, empresa, país e telefone/WhatsApp (opcionais).
• Autenticação: tokens de identidade do Google/Firebase e metadados de passkeys (WebAuthn) e códigos de recuperação.
• Metadados de pagamento: referências, status, montantes e datas das transações processadas pela Wompi. Não armazenamos dados de cartões.
• Credenciais de servidor: usuário SSH, porta, IP, chaves privadas e passphrases, armazenadas cifradas com AES-256-GCM e nunca em texto simples.
• Dados de uso técnico: registros de conexão, consumo de saldo, eventos de auditoria, endereços IP e dados do dispositivo.
• Interações com o assistente de IA: o texto das consultas e respostas processadas para prestar suporte.
• Conteúdo do usuário: artigos do blog, módulos do marketplace, tickets de suporte e anexos.

Tratamos cada categoria de dados com uma base de licitude específica (RGPD art. 6.1):

• Execução do contrato [art. 6.1.b]: criar e manter a conta, autenticação, gestão do saldo e compras, conexão SSH a seus servidores, suporte, payouts do marketplace.
• Consentimento [art. 6.1.a]: login com o Google, comunicações comerciais e cookies não essenciais. Revogável a qualquer momento sem efeito retroativo.
• Obrigação legal [art. 6.1.c]: conservação tributária/contábil, atendimento de requerimentos de autoridade, verificações KYC.
• Legítimo interesse [art. 6.1.f]: segurança da plataforma, prevenção da fraude e melhoria do serviço, mediante ponderação documentada frente aos seus direitos. Você pode opor-se a estes tratamentos conforme o art. 21 do RGPD.

A LUXISOFT trata seus dados conforme os princípios do artigo 4 da Ley 1581 de 2012 (legalidade, finalidade, liberdade, veracidade ou qualidade, transparência, acesso e circulação restrita, segurança e confidencialidade) e cumpre os deveres do artigo 17 (como Controladora) e do artigo 18 (como Operadora das credenciais do cliente).

Tratamos os dados para: operar o portal, painéis e aplicativos; autenticar usuários; gerir o saldo de dados, as compras e os comprovantes; conectar de forma segura aos servidores do cliente via SSH; prestar suporte e operar o assistente de IA; gerir o blog e o marketplace (incluídos payouts); reforçar a segurança e prevenir a fraude; cumprir obrigações legais; e enviar comunicações transacionais e, com seu consentimento, comerciais.

Alguns tratamentos podem envolver dados sensíveis nos termos do artigo 5 da Ley 1581 de 2012 e de categorias especiais do artigo 9 do RGPD:

• Dados biométricos (passkeys/WebAuthn): a verificação biométrica (impressão digital ou rosto) é realizada localmente em seu dispositivo; o LUXIPANEL não recebe nem armazena sua biometria, apenas uma chave pública criptográfica que não permite reconstruí-la. Você pode usar métodos de autenticação não biométricos.
• Conteúdo do assistente de IA: se você voluntariamente incluir informação sensível (p. ex. de saúde) no chat, ela será tratada unicamente para responder à sua consulta. Recomendamos não compartilhar dados sensíveis desnecessários.

Conforme o artigo 6 da Ley 1581 de 2012, o Decreto 1377 de 2013 e o artigo 9 do RGPD, o tratamento de dados sensíveis requer sua autorização explícita e você não está obrigado a outorgá-la; nenhum serviço é condicionado a que você forneça dados sensíveis.

Não vendemos seus dados pessoais. Apenas os compartilhamos com operadores/suboperadores estritamente necessários para operar o serviço, ou quando exista obrigação legal ou requerimento de autoridade competente. Suboperadores principais:

• Google / Firebase — autenticação e infraestrutura de identidade.
• Wompi — processamento de pagamentos (dados de cartão tratados em seu próprio ambiente).
• Cloudflare — CDN, armazenamento de objetos (R2) e proteção de rede.
• Fornecedor de IA (modelo compatível com OpenAI) — processamento das consultas do assistente.
• Meta (Facebook/Instagram) — sindicação opcional de publicações do blog.

Cada suboperador trata os dados sob seus próprios termos de processamento e medidas de segurança.

Alguns suboperadores operam fora da Colômbia e do Espaço Econômico Europeu (principalmente nos Estados Unidos e em outras regiões onde operam Google/Firebase, Cloudflare, o fornecedor de IA e Meta). A normativa colombiana distingue:

• Transmissão internacional (art. 25, Decreto 1377 de 2013): envio de dados a um operador que os trata por conta e conforme instruções da LUXISOFT (Google/Firebase, Wompi, Cloudflare, fornecedor de IA). Com cada um subscrevemos um contrato de transmissão com cláusulas de proteção e confidencialidade.
• Transferência internacional (art. 26, Ley 1581 de 2012): só se realiza para países com nível adequado de proteção conforme a Circular Externa 005 de 2017 de la SIC (entre eles os Estados Unidos e os Estados da União Europeia), ou ao amparo de suas exceções, em particular quando a transferência é necessária para a execução do contrato entre o titular e a LUXISOFT (art. 26, lit. e) ou medeie sua autorização expressa e inequívoca (lit. a).

Para usuários sujeitos ao RGPD aplicam-se adicionalmente as garantias do Capítulo V do Regulamento:

• Decisão de adequação — EU-US Data Privacy Framework (DPF): quando o suboperador nos EUA está certificado sob o DPF, a transferência ampara-se na decisão de adequação da Comissão Europeia (RGPD art. 45). Mantemos as Cláusulas Contratuais Padrão como mecanismo de respaldo dada a apelação pendente sobre o DPF.
• Cláusulas Contratuais Padrão (SCC): para destinos sem decisão de adequação, subscrevemos as SCC aprovadas pela Comissão Europeia (RGPD art. 46.2.c), complementadas com medidas técnicas e organizativas adicionais após uma avaliação de impacto da transferência (TIA) quando cabível.

Você pode solicitar informação sobre o mecanismo aplicável a um suboperador específico e cópia das garantias pelos canais de suporte.

Conservamos os dados pelo tempo necessário às finalidades informadas e para cumprir obrigações legais, tributárias, contábeis, contratuais ou de segurança. Os tokens de identidade são processados em trânsito e não são conservados além do necessário para manter a sessão. As solicitações verificadas de exclusão são atendidas no prazo de trinta (30) dias, salvo informações que sejamos obrigados a conservar.

Os tokens são conservados como crédito de consumo e não expiram. Os registros de transação e consumo associados são conservados conforme os prazos legais aplicáveis.

Seus direitos dependem da normativa que lhe seja aplicável:

• Titulares na Colômbia (Ley 1581 de 2012, art. 8): conhecer, acessar, atualizar e retificar seus dados; solicitar a supressão e revogar a autorização quando cabível; apresentar consultas e reclamações ao controlador e, esgotado o trâmite, à SIC.
• Interessados no RGPD (arts. 15-22): acesso, retificação, supressão ("direito ao esquecimento"), limitação do tratamento, portabilidade, oposição (incluída a oposição ao legítimo interesse, art. 21) e a não ser objeto de decisões automatizadas com efeitos jurídicos significativos.
• Residentes da Califórnia (CCPA/CPRA): você tem direito a conhecer, acessar, eliminar e corrigir sua informação; a optar por não "vender" nem "compartilhar" sua informação pessoal; e a limitar o uso de sua Informação Pessoal Sensível (SPI) aos fins permitidos. Não vendemos informação pessoal. A sindicação opcional de conteúdo à Meta (Facebook/Instagram) só se realiza com sua ativação; se isso implicar um "compartilhamento" para publicidade de contexto cruzado, oferecemos o controle "Não vender nem compartilhar minha informação pessoal" na plataforma.
• Titulares no Brasil (LGPD — Lei nº 13.709/2018, arts. 17-22): confirmação, acesso, correção, anonimização, portabilidade, eliminação e revogação do consentimento, com possibilidade de reclamar perante a Autoridade Nacional de Proteção de Dados (ANPD).

Você pode exercer seus direitos enviando uma solicitação pelos canais oficiais de suporte do LUXIPANEL, identificando-se e usando o mesmo e-mail cadastrado.

Consultas (art. 14, Ley 1581 de 2012): atenderemos sua consulta sobre os dados que temos sobre você em um máximo de dez (10) dias úteis. Se não for possível, informaremos os motivos e a nova data, que não superará os cinco (5) dias úteis seguintes ao vencimento do primeiro prazo.

Reclamações (art. 15, Ley 1581 de 2012): as reclamações (correção, atualização, supressão ou revogatória de autorização) serão atendidas em um máximo de quinze (15) dias úteis contados a partir do dia seguinte ao seu recebimento, prorrogáveis por oito (8) dias úteis. Se a reclamação estiver incompleta, pediremos que você a complemente dentro dos cinco (5) dias seguintes; enquanto se resolve, a base de dados levará a inscrição "reclamação em trâmite".

Prazos internacionais: para usuários do RGPD responderemos sem demora indevida e, no máximo, em um (1) mês, prorrogável por mais dois meses em casos complexos, informando-lhe a prorrogação (art. 12.3). Para residentes da Califórnia (CCPA/CPRA) responderemos dentro de 45 dias, prorrogáveis por 45 dias adicionais. Se a solicitação for manifestamente infundada ou excessiva, poderemos cobrar uma taxa razoável ou recusar, motivando-o.

Você pode revogar o acesso do LUXIPANEL à sua Conta Google em myaccount.google.com/permissions.

Conforme o artigo 16 da Ley 1581 de 2012, você só poderá apresentar queixa perante a Superintendencia de Industria y Comercio (SIC) (www.sic.gov.co) uma vez esgotado o trâmite de consulta ou reclamação perante a LUXISOFT. Os usuários do EEE podem recorrer à sua autoridade de proteção de dados.

Quando você usa o assistente de IA, o texto de sua consulta (e o contexto necessário, como o histórico da conversa e metadados de sua conta requeridos para a ferramenta) é enviado a um fornecedor de modelos compatível com OpenAI com a finalidade exclusiva de gerar a resposta e prestar o suporte. Estes dados não são utilizados para publicidade. A LUXISOFT pactuou com o fornecedor de modelos que as interações sejam processadas unicamente para prestar o serviço e não sejam utilizadas para treinar seus modelos nem para publicidade. Evite compartilhar dados sensíveis desnecessários no chat.

Dados de categorias especiais: o assistente de IA e os formulários de suporte/KYC não estão concebidos para tratar dados sensíveis (RGPD art. 9; Ley 1581 de 2012, arts. 5-6). Pedimos que você não insira informação de saúde, biométrica, ideológica, religiosa, de orientação sexual ou outras categorias especiais. Se você decidir fazê-lo, tratamo-la unicamente com base em seu consentimento explícito e apenas na medida necessária para atender sua solicitação, podendo eliminá-la a seu pedido.

A LUXISOFT aplica medidas técnicas, administrativas e organizativas para proteger a confidencialidade, integridade e disponibilidade da informação. Mecanismos principais:

• Cifragem em trânsito: HTTPS/TLS 1.2 ou superior em todas as comunicações.
• Cifragem em repouso: as credenciais SSH (chaves e passphrases) são cifradas com AES-256-GCM antes de serem persistidas; a infraestrutura do Google/Firebase cifra em repouso com AES-256.
• mTLS estrito e allowlist de IP na comunicação serviço a serviço entre o painel e a autoridade de licenças.
• TOFU explícito de impressões digitais de host SSH e bloqueio de SSRF ao resolver destinos.
• Autenticação robusta: OAuth 2.0/OpenID Connect com validação criptográfica de tokens, passkeys (WebAuthn/FIDO2), 2FA e códigos de recuperação.
• Controle de acesso e privilégio mínimo para o pessoal autorizado, com confidencialidade.
• Minimização, registro de auditoria imutável e nunca se registram segredos nos logs.
• Prevenção de fraude e validação de webhooks de pagamento (Wompi).

Nenhum sistema é 100% seguro; se você acredita que sua conta ou seus dados foram comprometidos, contate-nos imediatamente pelos canais oficiais.

Mantemos um procedimento de gestão de incidentes de segurança. Diante de uma violação de segurança de dados pessoais (vazamento) atuamos assim:

• Quando atuamos como Controlador: notificaremos a autoridade de controle competente sem demora indevida e, quando for factível, em um prazo máximo de 72 horas desde que tenhamos conhecimento da violação, salvo que seja improvável que constitua um risco para os direitos dos titulares (RGPD art. 33). Se a violação puder acarretar um alto risco para seus direitos e liberdades, comunicaremos isso diretamente a você e sem demora indevida (RGPD art. 34).
• Quando atuamos como Operador (p. ex. em relação às suas credenciais ou infraestrutura SSH): notificaremos você como cliente-Controlador sem demora indevida após ter conhecimento da violação, fornecendo a informação necessária para que você cumpra suas próprias obrigações de notificação (RGPD art. 33.2).

A notificação descreverá, na medida disponível: a natureza da violação, as categorias e número aproximado de titulares e registros afetados, as consequências prováveis e as medidas adotadas ou propostas. Para usuários na Colômbia aplicar-se-á também o reporte de incidentes perante a Superintendencia de Industria y Comercio conforme a Ley 1581 de 2012.

Usamos cookies técnicos (essenciais para o funcionamento e a sessão) e, quando cabível, de análise para melhorar a experiência. Você pode gerenciar os cookies não essenciais a partir de seu navegador ou dos controles disponíveis na plataforma.

O LUXIPANEL é dirigido exclusivamente a maiores de idade com capacidade legal. Conforme o artigo 7 da Ley 1581 de 2012, o artigo 12 do Decreto 1377 de 2013 e a Sentencia C-748 de 2011, o tratamento de dados de crianças e adolescentes é restrito e só procede atendendo ao seu interesse superior e com autorização do representante legal. Não coletamos cientemente dados de menores; se detectarmos tais dados sem autorização válida, procederemos à sua supressão conforme a normativa.

Podemos atualizar esta política para refletir alterações normativas, operacionais ou técnicas. Publicaremos a versão vigente com sua data de atualização e informaremos as alterações materiais pelos canais disponíveis.

Para consultas sobre dados pessoais use os canais de suporte do LUXIPANEL. Se você não estiver conforme com a resposta, a autoridade de fiscalização na Colômbia é a Superintendencia de Industria y Comercio (SIC) (www.sic.gov.co). Os usuários do EEE podem recorrer à sua autoridade de proteção de dados, e os da Califórnia às vias previstas pela CCPA/CPRA.

O LUXIPANEL oferece a opção “Fazer login com o Google” como método de autenticação para acessar o portal e gerir licenças, assinaturas e pagamentos, implementada mediante Google OAuth 2.0 por meio do Firebase Authentication.

O projeto Google Cloud / Firebase associado é: luxisoft (project ID), número de projeto 456853307907, operado pela LUXISOFT. Os scopes solicitados limitam-se estritamente aos scopes básicos e não sensíveis de identidade: openid, email e profile. NÃO solicitamos scopes restritos ou sensíveis (Gmail, Drive, Calendar, Contacts, YouTube).

Ao fazer login com sua Conta Google, o LUXIPANEL e o Firebase Authentication acessam os seguintes dados específicos de usuário do Google:

• Endereço de e-mail — identificador único de sua conta.
• Status de verificação do e-mail.
• Informação básica de perfil: nome completo e nome público (display name).
• URL da imagem de perfil.
• Idioma e configuração regional (locale), quando o Google os fornece.
• Identificador único da Conta Google (Google sub / user ID).
• Tokens de identidade OAuth/OpenID — de curta duração, processados em trânsito e não conservados além do necessário.

O LUXIPANEL NÃO solicita, acessa nem armazena scopes restritos ou sensíveis do Google por meio do login do usuário final.

Os dados da seção 19 são usados exclusivamente para: criar e autenticar sua conta; gerir licenças, assinaturas, servidores cadastrados e histórico de pagamentos; identificá-lo visualmente no portal; personalizar o idioma; reforçar a segurança e prevenir a fraude; persistir a conta no Firebase e na base de dados do LUXIPANEL; e enviar comunicações transacionais e de suporte.

O LUXIPANEL cumpre a Google API Services User Data Policy, incluído o Uso Limitado: NÃO vendemos os dados, NÃO os usamos com fins publicitários, NÃO os usamos para treinar modelos de IA, e NÃO os transferimos a terceiros para fins alheios à operação do serviço. Só são compartilhados com os subprocessadores estritamente necessários (Google Firebase / Google Cloud).

Conservamos os dados de usuário do Google enquanto sua conta permanecer ativa ou você tiver licenças/assinaturas vigentes, e pelo tempo adicional necessário para cumprir obrigações legais, contábeis ou fiscais. Você pode revogar o acesso em https://myaccount.google.com/permissions. Para solicitar a eliminação de sua conta e dos dados associados, escreva pelos canais de suporte usando o mesmo e-mail cadastrado; eliminaremos os dados pessoais do Firebase e da base de dados em um prazo de trinta (30) dias, salvo a informação que devamos conservar por lei.

De forma opcional e por iniciativa do cliente, o LUXIPANEL oferece uma integração com Google Cloud que permite listar projetos do GCP e descobrir instâncias de Compute Engine (VPS). Esta integração NÃO usa o login do usuário final, mas sim uma conta de serviço que o cliente fornece voluntariamente. O scope é estritamente de somente leitura (https://www.googleapis.com/auth/cloud-platform.read-only) e limita-se à Cloud Resource Manager API e à Compute Engine API. O LUXIPANEL não modifica recursos do cliente com esta credencial; as chaves são armazenadas cifradas e o cliente pode revogá-las a qualquer momento a partir do console do Google Cloud.