Responsável pelo tratamento
O responsável pelo tratamento é José Luis Sánchez, com número fiscal 71223690G e endereço em calle Repullete 100, 23300 Villacarrillo (Jaén), Espanha. O Scorpio é um produto da Automaton Colony e é tocado pela mesma pessoa.
Contato para qualquer assunto de privacidade: jls.17@automatoncolony.xyz. Não há encarregado de proteção de dados designado: não é obrigatório num tratamento deste tamanho e natureza, e quem responde é a mesma pessoa que toca o serviço.
Este documento descreve o tratamento que o serviço faz hoje, conferido contra a infraestrutura em funcionamento.
Dados que o Scorpio pode tratar
Dados da análise
- URL pública do repositório, organização, nome do projeto e commit.
- Número de arquivos próprios e de terceiros, informação de compilação e métricas de alcance.
- Resultados, evidências, estados de execução, impressão do motor e somas de integridade.
Dados de pagamento e operação
- Endereço público da carteira, rede, ativo, valor e hash da transação.
- Identificador do pedido, produto, marcas de tempo e estado.
O que não é guardado
O endereço IP não está em nenhum arquivo nem em nenhuma tabela. Ele é usado só na memória, e só nas rotas gratuitas, para contar quantos pedidos chegam do mesmo lugar dentro de uma janela de 60 segundos; passada a janela, some. Nas rotas pagas ele nem faz falta, porque ali a contagem vai pelo endereço que paga, que chega assinado. O serviço também não registra o agente de usuário, e não há cookies, analytics nem rastreamento de nenhum tipo.
O Scorpio não precisa de chaves privadas, frases-semente nem credenciais de repositórios. Nunca as forneça.
De onde vêm os dados
Os dados vêm do que você digita, de repositórios acessíveis publicamente, da interação técnica com o serviço, do facilitador de pagamento quando ele participa e de redes blockchain públicas.
Se você enviar o repositório ou os dados de outra pessoa, precisa ter autorização e evitar incluir informação pessoal desnecessária em nomes de branches, commits, issues ou arquivos.
Para que são usados
- Rodar o preflight e determinar se o repositório entra no alcance.
- Emitir e verificar a oferta x402, confirmar o pagamento e tratar reembolsos.
- Rodar a análise, gerar a entrega e permitir o download.
- Proteger o serviço, limitar abusos, investigar incidentes e manter registros de segurança.
- Atender suporte, reclamações e obrigações legais ou contábeis.
- Medir desempenho e melhorar o motor com dados agregados ou anonimizados.
Base legal
A execução do serviço, o pagamento e a entrega são tratados por serem necessários para cumprir o contrato. A proteção contra fraude, a segurança, o diagnóstico e a melhoria operacional podem se apoiar no interesse legítimo do operador, ponderado frente aos direitos das pessoas.
A conservação exigida por normas fiscais, contábeis, de prevenção ou por uma autoridade apoia-se em obrigações legais. Quando uma finalidade exigir consentimento, ele será pedido em separado e poderá ser retirado.
Dados numa blockchain pública
Os pagamentos x402 podem registrar publicamente o endereço da carteira, o valor, o ativo, a rede, o destinatário, o hash e a hora aproximada. Essa informação é independente do banco de dados do Scorpio e pode ser copiada por nós, exploradores e terceiros.
Uma blockchain não permite ao operador apagar ou alterar transações confirmadas. Use uma carteira que não revele mais informação do que você quer associar publicamente a esta compra.
Fornecedores e destinatários
Esta é a lista de quem participa hoje da prestação do serviço, conferida contra a infraestrutura em funcionamento. Além disso, há comunicação de informação quando uma autoridade competente exige ou quando é necessário para formular, exercer ou defender pretensões.
| Fornecedor | Para quê | Onde |
|---|---|---|
| Hetzner Online GmbH | Hospedagem do serviço e execução da análise em contêineres isolados. | Alemanha (EEE) |
| Cloudflare | DNS e proxy reverso do domínio. Vê o tráfego HTTPS de entrada, incluindo o endereço IP de origem. | EUA e rede global |
| Coinbase Developer Platform | Facilitador x402: verifica a autorização de pagamento e a liquida na rede. | EUA |
| Quem hospeda o repositório | O código é baixado da URL pública indicada. Quem a serve, GitHub ou outro, registra esse download. | Depende do fornecedor escolhido |
O Scorpio não usa fornecedores de analytics, publicidade ou rastreamento, e não compartilha os dados do pedido com terceiros além dos acima.
A rede Base e os seus participantes processam dados públicos de forma descentralizada e fora do controle direto do Scorpio.
Conservação e apagamento
Estes são os prazos que o serviço aplica hoje, tirados da sua configuração real:
| O quê | Quanto tempo fica |
|---|---|
| Código clonado do repositório | Só durante a análise. Fica num volume próprio do trabalho, destruído ao terminar, tanto se dá certo quanto se falha. |
| Entrega da análise o relatório e a revisão analisada | 30 dias corridos a contar do fim do pedido. Uma limpeza automática os apaga: ela roda ao iniciar o serviço e uma vez por dia. A partir daí a consulta do pedido responde EXPIRED, e o relatório não pode mais ser baixado. |
| Ficha do pedido | Um arquivo por pedido, legível apenas pelo serviço. Aos 30 dias, na mesma limpeza, ele é reduzido ao registro do pagamento: somem a URL do repositório analisado, o relatório e a revisão. O que fica — identificador, produto, valor, rede, ativo, hash da transação, endereço pagador, datas e estado — é conservado por seis anos, que é o prazo de conservação da documentação do negócio previsto no artigo 30 do Código Comercial espanhol. |
| Registros técnicos | Inicializações, cobranças, entregas e erros, com o identificador do pedido, o hash da transação e o endereço pagador. Não levam endereço IP nem agente de usuário. Ficam no diário do sistema operacional, que rotaciona por tamanho e não por data. |
| Transação na rede | Permanente e fora do controle do operador. Nenhuma blockchain pública permite apagar uma transação confirmada. |
Os dois primeiros prazos não são uma intenção: quem os aplica é um módulo do próprio serviço, e cada apagamento deixa registro no log técnico. Mudar o número naquele módulo muda o que a máquina faz, e esta página cita esse número em vez de decidi-lo por conta própria.
Medidas de segurança
O Scorpio aplica separação de trabalhos, controle de acesso, criptografia em trânsito, validação do repositório, limites operacionais e mecanismos de integridade para reduzir o risco de acesso, alteração ou perda.
Nenhum sistema é infalível. Se você detectar uma exposição ou comportamento inesperado, evite publicar os detalhes enquanto se investiga e use o contato de segurança indicado no fim.
Os seus direitos
Quando a legislação aplicável reconhecer, você pode pedir acesso, retificação, exclusão, limitação, oposição e portabilidade. Também pode reclamar junto à autoridade de proteção de dados competente.
Para processar o pedido pode ser preciso verificar que você controla o endereço ou o e-mail ligado ao pedido. Os dados gravados numa blockchain pública não podem ser apagados pelo Scorpio.
Transferências internacionais
A hospedagem e a execução da análise acontecem na Alemanha, dentro do Espaço Econômico Europeu. Saem do EEE dois tratamentos, ambos identificados acima: o proxy e o DNS da Cloudflare, e o facilitador de pagamento da Coinbase. Os dois são fornecedores dos Estados Unidos.
Cloudflare. O seu acordo de tratamento de dados incorpora as cláusulas contratuais padrão da União Europeia, as anexas à Decisão de Execução 2021/914 da Comissão, no item 6.2; e no 6.4 declara aderir ao quadro de adequação entre a União Europeia e os Estados Unidos, de modo que uma transferência amparada por esse quadro não conta como transferência restrita. Conferido no seu documento público em 10 de setembro de 2026.
Coinbase. A sua documentação pública indica que se apoia nas cláusulas contratuais padrão e no quadro de adequação entre a União Europeia e os Estados Unidos, mas isso não pôde ser conferido lendo o documento na fonte, então aqui não se afirma como fato.
Menores
O Scorpio é dirigido a profissionais, quem desenvolve, equipes de segurança e sistemas automatizados. Não foi desenhado para menores nem coleta conscientemente os seus dados.
Mudanças nesta política
A política pode ser atualizada por mudanças no produto, nos fornecedores ou na legislação. A página indicará a versão e a data de vigência. Mudanças relevantes serão comunicadas por um meio proporcional ao impacto.
Contato de privacidade e segurança
Para exercer os seus direitos ou perguntar qualquer coisa sobre este documento: jls.17@automatoncolony.xyz. É o único endereço do domínio que recebe e-mail, e quem o toca é a mesma pessoa que responde pelo tratamento.
Se você achar que o tratamento não está de acordo com a norma, pode reclamar junto à Agência Espanhola de Proteção de Dados.