Política de privacidade

1. Quem somos

O QA Spider (“nós”) presta serviços automatizados de teste de software para aplicações web. Esta política abrange o site do QA Spider e o painel do QA Spider. Para qualquer dúvida de privacidade, ou para exercer um direito descrito abaixo, escreva para [email protected].

2. O que coletamos

Coletamos apenas o que o serviço precisa para funcionar. Especificamente:

• Dados da conta — seu nome, endereço de e-mail e uma senha com hash (nunca armazenamos sua senha em forma legível). Se você entrar com o Google ou o GitHub, recebemos seu nome, e-mail e avatar desse provedor.
• Dados do workspace — o nome da sua organização, os membros da equipe e seus papéis, e os convites que você envia.
• Configuração do projeto — as URLs das aplicações que você nos pede para testar, os ambientes que você define e quaisquer credenciais de contas de teste que você optar por armazenar para que nossos testes possam fazer login.
• Credenciais de integração — os tokens de API ou URLs de webhook que você fornece para conectar um bug tracker ou uma ferramenta de chat.
• Acesso ao Google Search Console — somente se você optar por conectá-lo: um token de acesso somente leitura da sua conta do Google (armazenado criptografado), o endereço de e-mail dessa conta e a propriedade do Search Console que você escolher. Em seguida, lemos o desempenho de busca dessa propriedade (consultas, páginas, cliques, impressões e posição média), quais de suas páginas o Google indexou e quais sitemaps foram enviados para ela, para mostrá-los a você no seu painel. Também lemos os títulos, cabeçalhos, textos e links de até 30 de suas próprias páginas públicas, para sugerir melhorias e links internos. Na seção “Por que páginas não são indexadas” do Boost SEO, também verificamos até cerca de 100 endereços do seu próprio sitemap e links internos (seu status HTTP, redirecionamentos, tags noindex e tag canonical) e lemos o seu robots.txt; são arquivos e páginas públicos do seu próprio site. Quando você clica em “Verificar com o Google”, consultamos a Inspeção de URL do Google sobre até 25 desses endereços por vez e mostramos as respostas a você. Não guardamos cópia de nada disso: os dados são buscados quando você abre uma página ou clica em um botão e mantidos apenas na memória (por alguns minutos, até uma hora para a verificação das suas próprias páginas e até 24 horas para o status de indexação informado pelo Google), e a reinicialização do servidor os apaga. Os resultados não são repassados a nenhum outro serviço. A única exceção é o Boost SEO: quando você clica em “Eu fiz isso” em uma sugestão, salvamos os cliques, as impressões e a posição média dessa página (e a consulta de busca, se a sugestão for sobre uma), junto com as datas que eles cobrem, para podermos mostrar a você a mudança depois.
• Ideias de temas, briefings e atualizações do Bing e do Yandex do Boost SEO — somente se você os usar. Guardamos as ideias de palavras-chave devolvidas para o seu site, quando cada consulta foi feita (o que também conta para a sua cota mensal) e os briefings de conteúdo que você pede, até que você peça para excluí-los ou encerre sua conta. Nada disso são dados do Search Console: as palavras-chave vêm das palavras das suas próprias páginas públicas e de um serviço de dados de palavras-chave. A chave para as atualizações do Bing e do Yandex não é armazenada; ela é calculada a partir do endereço do seu site sempre que necessária.
• Auditoria semanal e monitoramento diário do site — somente nos planos que os incluem e somente se você os ativar (o monitoramento diário acompanha o site da auditoria semanal ou a sua auditoria mais recente). Guardamos o endereço do site, quando foi verificado pela última vez e o resultado da última verificação (se a página inicial respondeu, se está fechada ao Google, quando o certificado expira), para podermos enviar um e-mail quando algo mudar. Cada verificação diária é um punhado de requisições à sua própria página inicial pública e ao robots.txt.
• Resultados de testes — desfechos das execuções, tempos, resultados por passo, saída de erros e capturas de tela das páginas que testamos, além dos relatos de bug gerados a partir deles.
• Dados de uso e cobrança — seu plano, saldo de tokens e um registro de eventos de consumo (qual execução ou geração usou o quê). Se você paga pelo Solo ou pelo Pro, também guardamos os ids de cliente e de assinatura do Stripe do seu workspace e o status da assinatura (ativa, em atraso ou sendo cancelada em uma data). Nunca vemos nem armazenamos o número do seu cartão: você o digita na página de checkout do próprio Stripe.
• Mensagens de contato — o nome, o e-mail e a mensagem que você envia pelo nosso formulário de contato.
• Pedidos de análise — se você nos pede para analisar o seu próprio site a partir da nossa página inicial, o endereço que você informa e o site sobre o qual perguntou, para podermos enviar o relatório e responder se você escrever de volta. Veja a seção 6.
• Ferramentas grátis — o endereço que você digita em uma das verificações grátis em /tools. Lemos as páginas públicas, o robots.txt, o sitemap, o llms.txt ou os registros DNS desse site para responder e mostramos o resultado a você. Não guardamos nada: o endereço e o resultado não são armazenados, e o seu endereço IP é mantido apenas na memória, por até uma hora, para limitar quantas verificações uma conexão pode executar. A verificação de dados estruturados repassa o endereço da página ao validador público do Schema.org (validator.schema.org), que lê a página por conta própria.
• Logs do servidor — logs técnicos padrão, incluindo endereço IP e user agent, mantidos para segurança e depuração.
• Análise do site — quais páginas são vistas e em quais links se clica, para sabermos o que as pessoas acham útil. Onde a legislação de consentimento se aplica, isso é medido sem cookies e sem qualquer identificador, de modo que cada visita é contada isoladamente; nos demais lugares, um cookie é definido para que uma visita recorrente possa ser reconhecida. Nesses casos, depois que você faz login, o PostHog também vincula esses eventos ao id interno da sua conta (nunca ao seu e-mail ou nome), para vermos quais etapas do produto são usadas. Veja a seção 11.

3. O que não fazemos

• Não vendemos os seus dados pessoais e nunca vendemos.
• Não criamos perfis publicitários seus e não usamos publicidade personalizada nem remarketing. Onde a legislação de consentimento não exigir o contrário, medimos se um clique em um anúncio levou a um cadastro, para sabermos qual publicidade vale a pena pagar.
• Não colocamos nenhum script de análise ou rastreamento nos relatórios de auditoria que enviamos a empresas.
• Não usamos os dados da sua aplicação nem os resultados de testes para treinar modelos de machine learning.
• Não vendemos, não compartilhamos nem usamos para publicidade os dados do Google Search Console que você conecta, e não os enviamos a nenhum modelo de AI, serviço de dados de palavras-chave, mecanismo de busca ou outro terceiro, nem os usamos para treinar um. Eles são mostrados apenas a você e à sua equipe, no seu próprio painel. As consultas de palavras-chave, os briefings de conteúdo e as atualizações do Bing e do Yandex descritos na seção 7 usam apenas o texto público do seu próprio site, uma palavra-chave que você escolhe e endereços de página do seu próprio sitemap ou que você digita; nada disso vem do Search Console. O uso e a transferência, pelo QA Spider, de informações recebidas de APIs do Google respeitam a Política de Dados do Usuário dos Serviços de API do Google, incluindo seus requisitos de Uso Limitado.
• Não lemos o seu código-fonte, a menos que você mesmo conecte um repositório. Se conectar, o acesso é somente leitura, limitado aos repositórios que você selecionar, revogável por você a qualquer momento no GitHub, e nunca armazenamos o seu código — os arquivos são lidos no momento de uma pergunta e descartados.

4. Por que os processamos

Para prestar o serviço para o qual você se cadastrou (executar testes, informar resultados, registrar bugs no seu tracker, enviar alertas) — isso é a execução de um contrato. Para proteger contas, prevenir abusos e depurar falhas — nosso interesse legítimo. Para enviar os e-mails transacionais dos quais o serviço depende, como códigos de acesso e notificações de execuções — execução de um contrato. Quando nos baseamos em consentimento, como em e-mails de marketing opcionais, você pode retirá-lo a qualquer momento.

5. Credenciais de contas de teste — leia com atenção

Se você armazena credenciais para que nossos testes façam login na sua aplicação, use uma conta de teste dedicada, com o mínimo de permissões necessárias, em um ambiente que não seja de produção sempre que possível. Nunca armazene uma conta real de cliente ou de administrador.

Tokens de integração e credenciais de contas de teste são criptografados em repouso com AES-256-GCM. Se o nosso servidor não conseguir criptografá-los, ele se recusa a armazená-los em vez de guardá-los em forma legível. Mesmo assim, trate qualquer credencial que nos der como uma que você aceitaria trocar e troque-a se deixar de usar o QA Spider.

6. Relatórios de auditoria — os que você pede e os que enviamos sem pedido

Há duas maneiras de um dos nossos relatórios passar a existir, e elas não são a mesma coisa.

Se você o pediu: você nos deu uma URL e um endereço de e-mail na nossa página inicial, lemos esse site e enviamos o relatório a você. Guardamos o seu endereço para enviá-lo, para que você possa nos perguntar sobre ele e para excluí-lo a pedido. Não incluímos você em nenhuma lista de e-mails e não enviamos mais nada, a menos que você escreva primeiro. Os relatórios solicitados desta forma são lidos, por padrão, em profundidade rasa; uma passagem mais profunda só é executada se você clicar no botão do relatório que a solicita.

Se você não o pediu: às vezes lemos as páginas publicamente acessíveis de uma empresa com a qual gostaríamos de trabalhar e enviamos a essa empresa um relatório do que encontramos. Fazemos isso antes de existir qualquer relação, então vale dizer com clareza o que isso envolve.

O que lemos é o que qualquer pessoa com um navegador pode ler: páginas ligadas a partir do seu sitemap, buscadas uma vez cada, respeitando o robots.txt, sem colocar carga nos seus sistemas. Não fazemos login, a menos que você nos dê uma conta de teste e, se der, a passagem lê páginas e não envia nenhum formulário além do de login. O relatório é servido a partir de um link não listado, é excluído dos mecanismos de busca e pode ser retirado a pedido.

Cada link de relatório registra quando é aberto, junto com o endereço IP, a cidade e o país derivados dele e o navegador. Em um relatório que enviamos sem pedido, usamos isso para avaliar se ele foi lido e se foi encaminhado, que é a única forma de saber se um novo contato é bem-vindo; esse tratamento se baseia no nosso interesse legítimo em prospecção entre empresas. Em um relatório que você pediu, o mesmo registro existe, mas não nos serve para isso — ele está lá porque o link é público para quem o tiver, e gostaríamos de saber se um estivesse circulando. Endereços e detalhes do navegador são excluídos após 90 dias, e depois disso resta apenas a contagem de aberturas.

Se preferir que não guardemos nada disso, escreva para [email protected] e excluiremos o relatório, o link e os registros de abertura. Também deixaremos de contatar você, e não precisamos de um motivo.

7. Onde seus dados ficam e quem mais tem acesso a eles

A aplicação e seu banco de dados são hospedados na Render, na região da UE (Frankfurt), em um disco persistente criptografado. Usamos um pequeno conjunto de subprocessadores, cada um para uma finalidade claramente delimitada:

• Render — hospedagem da aplicação e armazenamento do banco de dados (UE).
• Anthropic — o modelo de AI que redige casos de teste, documentos de QA e relatos de bug. Recebe o prompt e o contexto do produto necessários para esse artefato. No Boost SEO, quando você clica em “Escrever um briefing”, ele recebe a palavra-chave que você escolheu, seus números de busca e os títulos, cabeçalhos e descrições de até doze de suas páginas públicas, e nada do Search Console.
• OpenAI — um provedor alternativo de modelo de AI, usado no lugar da Anthropic quando o nosso servidor está configurado com ele para um recurso. Recebe o mesmo tipo de prompt que a Anthropic receberia para esse recurso (em um briefing do Boost SEO, apenas o descrito acima) e nunca dados do Search Console.
• DataForSEO — um serviço de dados de palavras-chave, usado somente quando você clica em “Encontrar temas” no Boost SEO. Recebe até dez frases curtas tiradas dos títulos, cabeçalhos e descrições das suas próprias páginas públicas, um código de país e idioma e as credenciais da nossa conta. Não recebe dados pessoais nem nada do Search Console.
• IndexNow (Bing, Yandex, Naver, Seznam, Yep e outros mecanismos de busca participantes) — somente quando você clica em um botão de envio na seção “Bing e Yandex” do Boost SEO. Enviamos o nome de host do seu site, sua chave IndexNow, o endereço do seu arquivo de chave e até 100 endereços de página do seu próprio sitemap público ou digitados por você. Os mecanismos participantes compartilham entre si o que recebem. O Google não participa. Nenhum dado pessoal e nada do Search Console é enviado.
• Stripe — processamento de pagamentos dos planos Solo e Pro. Coleta os dados do seu cartão na própria página de checkout e os mantém; nunca recebemos nem armazenamos números de cartão. Enviamos a ele o seu endereço de e-mail (para preencher o checkout e para os recibos), o id do seu workspace e o plano escolhido, e guardamos apenas os ids de cliente e de assinatura do Stripe e o status da assinatura que ele informa de volta.
• Resend — entrega de e-mails transacionais (códigos de acesso, notificações, respostas de contato).
• GitHub Actions — executa as suas execuções de teste e nos devolve o resultado.
• Firecrawl — busca e mapeia as páginas públicas de um site que você nos pede para analisar.
• Browserbase — fornece o navegador hospedado usado na gravação opcional de testes ao vivo. Usado apenas se esse recurso estiver ativado para o seu workspace.
• Umami — conta as visitas ao nosso site. Não define cookies e não armazena nada no seu dispositivo; a unicidade vem de um hash calculado nos servidores dele a partir de um salt que muda todo dia.
• Google Analytics — mede as visitas ao nosso site e ao painel. Os endereços IP são truncados. O armazenamento é desativado onde a legislação de consentimento se aplica e ativado nos demais lugares.
• PostHog — análise de produto e, somente com a sua concordância, replay de sessão do nosso próprio site. Funciona sem armazenamento até você concordar.
• GitHub — se você conecta um repositório, lemos os arquivos necessários para responder a uma pergunta sobre um teste que falha. Somente leitura, e nada é armazenado por nós.
• Google e GitHub — provedores de identidade, somente se você escolher entrar com eles.
• Google Search Console — somente se você o conectar: chamamos a API do Search Console com a sua permissão somente leitura para ler o desempenho de busca, o status de indexação e os sitemaps enviados da propriedade que você escolher. Nada lido do Search Console é repassado a qualquer outro subprocessador desta lista. Você pode revogar o acesso a qualquer momento (veja a seção 8).

8. Por quanto tempo guardamos

Os dados da conta e do workspace são mantidos enquanto a sua conta existir. Resultados de testes, capturas de tela e relatos de bug gerados são mantidos para que o seu histórico e as suas métricas continuem fazendo sentido; você pode excluir execuções, bugs e projetos individuais a qualquer momento, e a exclusão é imediata. As mensagens do formulário de contato são mantidas enquanto precisarmos delas para responder a você. Os logs do servidor são retidos por um curto período operacional. Quando você encerra sua conta, excluímos os dados do seu workspace, mantendo apenas o que precisamos por razões legais ou contábeis. Se você conectou o Google Search Console, guardamos o token de acesso criptografado, o e-mail da sua conta do Google, a propriedade escolhida e quaisquer registros de antes e depois do Boost SEO que você salvou até que você clique em Desconectar na aba Google do Boost SEO (o que exclui tudo isso imediatamente) ou encerre sua conta. Ideias de palavras-chave, registros de consultas e briefings de conteúdo feitos no Boost SEO são mantidos até que você peça para excluí-los ou encerre sua conta. Você também pode revogar o acesso na sua conta do Google a qualquer momento em Segurança, depois Acesso de terceiros, e qualquer token que ainda tivermos deixa de funcionar.

9. Seus direitos

Você pode acessar, corrigir, exportar ou excluir seus dados. Boa parte disso é autoatendimento no painel: você pode exportar documentos gerados, excluir bugs, execuções e projetos e gerenciar membros da equipe. Para qualquer outra coisa — uma exportação completa, a exclusão da conta, uma oposição ao tratamento ou uma reclamação — escreva para [email protected] e responderemos em até 30 dias. Se você está no EEE ou no Reino Unido, também tem o direito de apresentar uma reclamação à sua autoridade local de proteção de dados.

10. Segurança

O acesso ao ambiente de produção é restrito às pessoas que o operam. O tráfego é servido por HTTPS. Os tokens de integração são criptografados em repouso. Ações voltadas ao exterior — registrar um ticket no seu tracker, postar no seu chat, executar contra um ambiente com cara de produção — exigem aprovação explícita no produto, em vez de acontecerem em silêncio. Nenhum sistema é perfeitamente seguro; se tomarmos conhecimento de uma violação que afete os seus dados, avisaremos você sem demora injustificada.

11. Cookies

O único cookie que definimos é estritamente necessário e existe porque o site não funciona sem ele: um cookie de sessão que mantém você conectado. A sua preferência de tema claro ou escuro é armazenada no armazenamento local do seu navegador, e não em um cookie, então nunca chega até nós.

O que a nossa análise armazena depende de onde você está. Onde a legislação de consentimento se aplica — a UE, o EEE, o Reino Unido e a Suíça — o Google Analytics e o PostHog funcionam com o armazenamento desativado: contamos que uma visita aconteceu e quais páginas foram lidas, nada é gravado no seu dispositivo e nada liga esta visita à seguinte. Nos demais lugares, eles definem um cookie, que nos permite reconhecer uma visita recorrente e saber se um clique em um anúncio levou a um cadastro.

O Umami, que é o nosso contador principal, não define cookie em lugar nenhum e não precisa de permissão. É por isso que o site não coloca um aviso de cookies na sua frente.

O replay de sessão do nosso próprio site — uma gravação de como a página se comportou para você — só é ativado se você concordar quando perguntarmos, e recusar não lhe custa nada: você continua sendo contado.

Não usamos publicidade personalizada nem remarketing, e não criamos perfis de visitantes.

12. Crianças

O QA Spider é uma ferramenta profissional e não é direcionado a menores de 16 anos. Não coletamos conscientemente dados deles.

13. Alterações

Se alterarmos esta política de forma relevante, atualizaremos a data acima e, no caso de mudanças que afetem como tratamos os seus dados, avisaremos os proprietários das contas por e-mail antes de a mudança entrar em vigor.