Política de Privacidade

Última atualização: 9 de novembro de 2026

1. Quem é responsável pelos seus dados

A Kourian («nós») é a responsável pelo tratamento dos seus dados. Para qualquer assunto relacionado com privacidade: ola@kourian.io. Não temos encarregado de proteção de dados (DPO), por não sermos obrigados a designá-lo; as questões de privacidade são tratadas diretamente por nós.

2. Que dados tratamos, para quê e com que fundamento

2.1 Formulário de contacto e emails que nos envia

Nome, email, o conteúdo da mensagem e o que decidir incluir. Usamo-los para responder ao seu pedido e, se for o caso, preparar uma proposta. Fundamento: diligências pré-contratuais a seu pedido (art. 6.º, n.º 1, al. b) do RGPD) e o nosso interesse legítimo em responder a quem nos contacta (al. f). Pedimos que não inclua dados sensíveis (saúde, convicções, etc.).

2.2 Verificação externa de segurança a empresas

Para dar a conhecer os nossos serviços, analisamos de forma passiva sites de empresas usando apenas informação pública: o que qualquer visitante recebe ao abrir a página inicial, registos DNS, certificados públicos e bases públicas de vulnerabilidades. Não acedemos a áreas privadas, não testamos credenciais e não recolhemos dados dos visitantes desses sites.

Dados tratados: o nome de domínio, o endereço de email de contacto genérico publicado no site da empresa (por exemplo, geral@…) e os resultados técnicos da verificação. Finalidade: comunicar à empresa, uma única vez, os riscos encontrados e apresentar os nossos serviços. Fundamento: interesse legítimo em promover serviços de cibersegurança e em alertar empresas para riscos (art. 6.º, n.º 1, al. f), ponderado com os direitos dos titulares. Fonte dos dados: o site público da empresa e as fontes públicas acima.

Só contactamos endereços genéricos de pessoas coletivas — nunca endereços pessoais — e respeitamos sempre qualquer pedido de oposição (Lei n.º 41/2004). Cada contacto identifica a Kourian, explica a origem do contacto e permite recusar novos contactos respondendo «REMOVER».

2.3 Lista de supressão

Se pedir para não ser contactado, guardamos apenas o endereço ou domínio e o motivo, para garantir que não voltamos a contactar. Fundamento: cumprimento de obrigação legal (art. 6.º, n.º 1, al. c) e interesse legítimo.

2.4 Clientes

Dados necessários à prestação do serviço e à faturação. Fundamento: execução do contrato e obrigações legais (al. b) e c)).

2.5 Monitorização de exposição de credenciais (Vigil)

A pedido de uma empresa que prove ser titular do seu domínio, procuramos endereços de email desse domínio em fugas de dados públicas e em registos de malware («stealer logs»), através do serviço Have I Been Pwned. Dados tratados: endereços de email do domínio, o nome e a data da fuga, os tipos de dados expostos e, no caso de malware, o site onde a credencial foi capturada. Nunca recebemos nem guardamos passwords.

Neste serviço tratamos os dados por conta da empresa que o pede, que é a responsável pelo tratamento dos dados dos seus colaboradores (art. 28.º). Se o seu endereço profissional constar de um relatório, dirija-se primeiro à sua entidade empregadora; também pode contactar-nos. Os endereços são guardados cifrados, aparecem mascarados nos relatórios (por exemplo, a***@empresa.pt) e não são enviados à inteligência artificial, que recebe apenas contagens.

2.6 Assistente de mensagens (Concierge)

Algumas empresas usam o nosso assistente para responder às mensagens que recebem no WhatsApp ou no Instagram. Se escrever a uma dessas empresas, o assistente identifica-se como assistente automático, responde dentro das indicações da empresa e regista o que procura, o orçamento e a disponibilidade que indicar, para que a empresa lhe possa responder. Tratamos esses dados — o seu identificador no canal (número de telefone ou conta), o nome de perfil, as mensagens e os dados do pedido — por conta da empresa a quem escreveu, que é a responsável pelo tratamento (art. 28.º). As conversas são guardadas cifradas e apagadas ao fim de 180 dias sem atividade. Pode a qualquer momento pedir para falar com uma pessoa, ou escrever «PARAR» para deixar de receber respostas automáticas. Para exercer os seus direitos, dirija-se à empresa; também pode contactar-nos.

2.7 Funcionamento e segurança do site

O alojamento do site processa automaticamente o seu endereço IP e dados técnicos do pedido para entregar as páginas e protegê-las contra ataques. Fundamento: interesse legítimo na segurança. Não fazemos análise de audiência, perfis nem publicidade.

3. Cookies

Este site não usa cookies nem tecnologias de rastreio. Guarda apenas no seu browser (localStorage) a língua que escolher (PT/EN); essa informação não nos é enviada e pode apagá-la quando quiser. As fontes tipográficas são servidas pelo próprio site, sem pedidos a terceiros.

4. Durante quanto tempo guardamos os dados

Pedidos de contacto sem seguimento: até 12 meses após o último contacto.
Verificações de empresas que não são clientes: até 90 dias, com apagamento automático.
Relatório inicial de exposição de credenciais: até 30 dias após a análise, com apagamento automático.
Monitorização contínua de exposição de credenciais: durante o contrato; exposições já resolvidas são apagadas automaticamente ao fim de 180 dias.
Conversas do assistente de mensagens: até 180 dias sem atividade, com apagamento automático (ou antes, no fim do contrato com a empresa).
Lista de supressão: enquanto for necessária para respeitar a oposição (apenas o endereço ou domínio).
Clientes: durante o contrato e, depois, pelos prazos legais (por exemplo, 10 anos para documentos de faturação).
Registos técnicos dos nossos sistemas: até 90 dias.

5. Com quem partilhamos

Não vendemos nem cedemos dados. Recorremos a prestadores que tratam dados apenas por nossa conta e segundo as nossas instruções, com contrato de subcontratação (art. 28.º):

Alojamento do site, DNS e reencaminhamento de email — Cloudflare, Inc. (EUA).
Envio das mensagens do formulário para o nosso email — Web3Forms.
Envio de emails — Resend, Inc. (EUA).
Caixa de correio eletrónico onde recebemos as mensagens — o nosso fornecedor de email.
Inteligência artificial — Anthropic, PBC (EUA): redação dos relatórios internos a partir de resultados técnicos e, no assistente de mensagens, redação das respostas. Não é usada para tomar decisões sobre pessoas.
Servidor onde correm as verificações — Hetzner Online GmbH (Alemanha, UE).
Consulta de fugas de dados — Have I Been Pwned (Austrália). Enviamos apenas o nome de domínio a verificar.
Mensagens do assistente no WhatsApp e no Instagram — Meta Platforms Ireland Ltd. (UE).
Marcações do assistente, quando a empresa o usa — Cal.com, Inc. (EUA).

Podemos ainda ter de comunicar dados a autoridades, quando a lei o exija.

6. Transferências para fora do Espaço Económico Europeu

Alguns prestadores estão nos EUA. Essas transferências baseiam-se na decisão de adequação EU-US Data Privacy Framework, quando o prestador está certificado, ou em cláusulas contratuais-tipo aprovadas pela Comissão Europeia (art. 46.º). Pode pedir-nos informação sobre as garantias aplicáveis.

7. Os seus direitos

Pode pedir acesso, retificação, apagamento, limitação do tratamento e portabilidade dos seus dados, e opor-se ao tratamento baseado em interesse legítimo. Pode opor-se a qualquer momento, sem justificação, a contactos de natureza comercial — basta responder «REMOVER». Se tiver dado consentimento, pode retirá-lo a qualquer momento. Envie o pedido para ola@kourian.io; respondemos no prazo de um mês, gratuitamente.

Tem também o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD) — www.cnpd.pt.

8. Decisões automatizadas

Não tomamos decisões exclusivamente automatizadas com efeitos jurídicos ou significativos sobre pessoas (art. 22.º). As verificações classificam riscos técnicos de sites, e qualquer contacto é revisto e aprovado manualmente.

9. Segurança

Usamos cifra nas comunicações (HTTPS), cifra dos endereços de email expostos guardados, acesso restrito e autenticado aos sistemas, registo das ações e prazos de apagamento automático.

10. Alterações

Esta política pode ser atualizada; a versão em vigor é sempre a publicada nesta página, com a data de atualização no topo.

Voltar ao início

Privacy Policy

Last updated: 9 November 2026

1. Who is responsible for your data

Kourian (“we”) is the controller of your data. For any privacy matter: ola@kourian.io. We have not appointed a data protection officer (DPO), as we are not required to; privacy matters are handled directly by us.

2. What data we process, why, and on what legal basis

2.1 Contact form and emails you send us

Your name, email, the content of your message and anything you choose to include. We use them to answer your request and, where relevant, prepare a proposal. Legal basis: steps taken at your request before entering into a contract (Art. 6(1)(b) GDPR) and our legitimate interest in replying to people who contact us (Art. 6(1)(f)). Please do not include sensitive data (health, beliefs, etc.).

2.2 External security checks of companies

To introduce our services, we passively check company websites using public information only: what any visitor receives when opening the home page, DNS records, public certificates and public vulnerability databases. We do not access private areas, test credentials or collect data about those websites' visitors.

Data processed: the domain name, the generic contact email published on the company's website (for example, info@…) and the technical results of the check. Purpose: to inform the company, once, of the risks found and to present our services. Legal basis: legitimate interest in promoting cybersecurity services and alerting companies to risks (Art. 6(1)(f)), balanced against the rights of the people concerned. Source of the data: the company's public website and the public sources above.

We only contact generic addresses of legal entities — never personal addresses — and we always respect any request to opt out (Portuguese Law 41/2004). Each message identifies Kourian, explains where the contact came from and lets you refuse further contact by replying “REMOVE”.

2.3 Suppression list

If you ask not to be contacted, we keep only the address or domain and the reason, to make sure we never contact you again. Legal basis: compliance with a legal obligation (Art. 6(1)(c)) and legitimate interest.

2.4 Clients

Data needed to provide the service and to invoice. Legal basis: performance of a contract and legal obligations (Art. 6(1)(b) and (c)).

2.5 Credential exposure monitoring (Vigil)

At the request of a company that proves it owns its domain, we look for email addresses on that domain in public data breaches and in malware logs (“stealer logs”), using the Have I Been Pwned service. Data processed: email addresses on the domain, the name and date of the breach, the types of data exposed and, for malware, the website where the credential was captured. We never receive or store passwords.

For this service we process data on behalf of the company that requests it, which is the controller of its staff's data (Art. 28). If your work address appears in a report, please contact your employer first; you can also contact us. Addresses are stored encrypted, appear masked in reports (for example, a***@company.com) and are never sent to the AI, which only receives counts.

2.6 Messaging assistant (Concierge)

Some businesses use our assistant to reply to the messages they receive on WhatsApp or Instagram. If you write to one of these businesses, the assistant identifies itself as an automated assistant, replies within the business's instructions and records what you are looking for, your budget and your availability, so that the business can get back to you. We process this data — your identifier on the channel (phone number or account), your profile name, the messages and the request details — on behalf of the business you wrote to, which is the controller (Art. 28). Conversations are stored encrypted and deleted after 180 days without activity. You can ask to talk to a person at any time, or write “STOP” to no longer receive automated replies. To exercise your rights, please contact the business; you can also contact us.

2.7 Website operation and security

Our hosting provider automatically processes your IP address and technical request data to deliver the pages and protect them against attacks. Legal basis: legitimate interest in security. We do no audience analytics, profiling or advertising.

3. Cookies

This website uses no cookies or tracking technologies. It only stores in your browser (localStorage) the language you choose (PT/EN); this is never sent to us and you can delete it at any time. Fonts are served by this website, with no requests to third parties.

4. How long we keep data

Contact requests with no follow-up: up to 12 months after the last contact.
Checks of companies that are not clients: up to 90 days, deleted automatically.
Initial credential exposure report: up to 30 days after the check, deleted automatically.
Ongoing credential exposure monitoring: for the duration of the contract; resolved exposures are deleted automatically after 180 days.
Messaging assistant conversations: up to 180 days without activity, deleted automatically (or earlier, when the contract with the business ends).
Suppression list: for as long as needed to respect the objection (address or domain only).
Clients: for the duration of the contract and then for the legal retention periods (for example, 10 years for invoicing records).
Technical logs of our systems: up to 90 days.

5. Who we share data with

We do not sell or hand over data. We use providers that process data only on our behalf and under our instructions, under a data processing agreement (Art. 28):

Website hosting, DNS and email forwarding — Cloudflare, Inc. (USA).
Forwarding contact-form messages to our inbox — Web3Forms.
Email delivery — Resend, Inc. (USA).
The mailbox where we receive messages — our email provider.
Artificial intelligence — Anthropic, PBC (USA): drafting internal reports from technical results and, in the messaging assistant, drafting replies. It is not used to make decisions about people.
Server running the checks — Hetzner Online GmbH (Germany, EU).
Data breach lookups — Have I Been Pwned (Australia). We only send the domain name to be checked.
Assistant messages on WhatsApp and Instagram — Meta Platforms Ireland Ltd. (EU).
Assistant bookings, when the business uses them — Cal.com, Inc. (USA).

We may also have to disclose data to authorities where required by law.

6. Transfers outside the European Economic Area

Some providers are in the USA. These transfers rely on the EU-US Data Privacy Framework adequacy decision, where the provider is certified, or on standard contractual clauses approved by the European Commission (Art. 46). You can ask us for information about the safeguards in place.

7. Your rights

You can request access to, rectification, erasure, restriction and portability of your data, and object to processing based on legitimate interest. You can object at any time, without giving a reason, to commercial contact — just reply “REMOVE”. Where you have given consent, you can withdraw it at any time. Send your request to ola@kourian.io; we reply within one month, free of charge.

You also have the right to lodge a complaint with the Portuguese data protection authority (CNPD) — www.cnpd.pt.

8. Automated decisions

We make no solely automated decisions with legal or similarly significant effects on people (Art. 22). Our checks classify technical risks of websites, and every contact is reviewed and approved manually.

9. Security

We use encryption in transit (HTTPS), encryption of stored exposed email addresses, restricted and authenticated access to our systems, action logs and automatic deletion periods.

10. Changes

This policy may be updated; the version in force is always the one published on this page, with the date at the top.

Back to home