Política de privacidade
Última atualização: 18 de outubro de 2026
Esta política explica quais dados pessoais o mxproxy (encaminhador de e-mail operado pela Leettech — CASP SOLUÇÕES INFORMÁTICA LTDA, CNPJ 16.694.290/0001-50, “nós”) trata, para quê, por quanto tempo, com quem compartilha e como você exerce os seus direitos. Ela vale para o site mxproxy.dev, o painel app.mxproxy.dev, a API e os servidores de e-mail (mx.mxproxy.dev e smtp.mxproxy.dev).
1. Quem decide sobre os dados
- Dados da sua conta (nome, e-mail, time, cobrança): somos o controlador.
- E-mails que passam pelo serviço (os que chegam aos seus endereços e os que você envia pelo nosso SMTP): o controlador é você, cliente, e nós somos o operador (processador, no GDPR). Tratamos esse conteúdo só para entregá-lo conforme a configuração do seu domínio.
2. O que guardamos e por quanto tempo
| Dado | Para quê | Por quanto tempo |
|---|---|---|
| Mensagem completa (cabeçalhos, corpo e anexos) na fila de entrega | Entregar ao destino e tentar de novo se o destino recusar temporariamente | Até a entrega (ou a desistência, após no máximo 5 dias de tentativas) e mais 30 dias; depois é apagada automaticamente |
| Log de mensagens: remetente, destinatário, destino, assunto, tamanho, situação (aceita, entregue, recusada, spam...) e o detalhe técnico (ex.: a pontuação de spam ou a resposta do servidor de destino) | Mostrar a você o que aconteceu com cada e-mail, diagnosticar falhas e investigar abuso | 30 dias; depois é apagado automaticamente |
| Contadores diários de mensagens encaminhadas e enviadas (só números) | Aplicar os limites do plano e mostrar o uso | Enquanto o time existir |
| Configuração: domínios, encaminhadores e destinos, catch-all, nível do filtro de spam, chaves DKIM (a privada cifrada), credenciais SMTP (só o hash da senha), canais (URL e segredo cifrado do webhook, chat do Telegram, número de WhatsApp) | Prestar o serviço | Até você apagar o item ou a conta |
| Conta: nome, e-mail, hash da senha, segredo de dois fatores (se ativado), times, convites enviados, tokens de API (só o hash) | Login, times e convites | Até a exclusão da conta |
| Sessão do painel: endereço IP e navegador | Manter você conectado e listar as sessões abertas no seu perfil | Até a sessão expirar ou você sair |
| Cobrança: identificador de cliente e situação da assinatura na Stripe | Cobrar o plano | Enquanto o time existir e, para registros fiscais, pelo prazo que a lei exigir |
| Registros técnicos dos servidores (erros, tentativas de login recusadas no SMTP com o IP de origem) | Segurança e diagnóstico | Por tempo limitado (no painel, 14 dias de log) |
Não lemos o conteúdo dos seus e-mails para nenhum outro fim, não fazemos publicidade e não vendemos dados. O painel não usa cookies de rastreamento nem ferramentas de analytics: só o cookie de sessão e o de proteção contra CSRF. O site guarda no seu navegador (localStorage) apenas a escolha de tema e se você dispensou a sugestão de idioma.
3. Verificação e filtro de spam
Ao receber um e-mail, conferimos SPF, DKIM e DMARC e, se o domínio usa o filtro de spam, analisamos a mensagem com o rspamd, que roda nos nossos próprios servidores. Para isso, o rspamd consulta por DNS listas públicas de bloqueio (como a Spamhaus) com o IP e os domínios do remetente e os domínios dos links da mensagem. O conteúdo da mensagem não é enviado a essas listas.
4. Resumos enviados a canais de terceiros
Se você liga um canal a um encaminhador ou ao catch-all, cada e-mail recebido gera um resumo: remetente, destinatários, assunto, data, o começo do texto (até 3.500 caracteres), o nome, o tipo e o tamanho dos anexos (nunca o conteúdo deles) e a pontuação de spam. O resumo vai para onde você escolheu:
- Webhook: a URL que você informou, assinada com o segredo do canal. O que acontece com os dados depois disso é responsabilidade de quem opera essa URL.
- Telegram: o chat ou grupo vinculado, pelo bot do mxproxy. O resumo passa pelos servidores do Telegram e fica sujeito à política de privacidade dele.
- WhatsApp (beta): o número confirmado, enviado pela Zapmizer a partir de um número compartilhado da plataforma; a mensagem trafega pelo WhatsApp, da Meta, e fica sujeita às políticas dessas empresas.
Não guardamos o resumo para consulta posterior: a cópia da mensagem na fila do canal segue a mesma retenção da fila (até a entrega e mais 30 dias). Desligar ou apagar o canal interrompe os envios.
5. Subprocessadores
| Empresa | O que faz | Onde |
|---|---|---|
| Hetzner Online | Servidor onde ficam o banco de dados, a fila e o log, e por onde passam todos os e-mails | Finlândia (UE) |
| Cloudflare | DNS dos nossos domínios | Global |
| Amazon Web Services (SES) | Envio dos e-mails do próprio painel (verificação de conta, convites, redefinição de senha) | EUA |
| Stripe | Cobrança e dados de pagamento (o número do cartão vai direto para a Stripe e nunca passa por nós) | EUA e Irlanda |
| Telegram | Entrega dos resumos dos canais Telegram, só se você criar um | Global |
| Zapmizer | Entrega dos resumos dos canais WhatsApp (beta), só se você criar um, via WhatsApp (Meta) | Brasil; WhatsApp: global |
Os e-mails encaminhados são entregues aos servidores de destino que você configurou (Gmail, Outlook etc.), que tratam a mensagem conforme as políticas deles.
6. Bases legais e transferência internacional
Tratamos os dados para executar o contrato com você (LGPD, art. 7º, V; GDPR, art. 6(1)(b)), para cumprir obrigações legais, como as fiscais (LGPD, art. 7º, II; GDPR, art. 6(1)(c)), e por legítimo interesse em manter o serviço seguro e livre de abuso, como no filtro de spam e nos registros técnicos (LGPD, art. 7º, IX; GDPR, art. 6(1)(f)). Parte dos subprocessadores fica fora do Brasil e da União Europeia; nessas transferências usamos os mecanismos previstos na LGPD (art. 33) e no GDPR (capítulo V), como as cláusulas contratuais padrão desses fornecedores, ou a transferência é necessária para executar o que você pediu (por exemplo, um canal Telegram).
7. Seus direitos
Pela LGPD (art. 18) e pelo GDPR (arts. 15 a 22), você pode pedir: confirmação de que tratamos seus dados e acesso a eles; correção; anonimização, bloqueio ou eliminação do que for desnecessário; portabilidade; informação sobre com quem compartilhamos; revisão de decisões automatizadas; e se opor a um tratamento ou revogar um consentimento. Você também pode reclamar à ANPD ou à autoridade de proteção de dados do seu país na UE.
Boa parte disso você faz no próprio painel: editar perfil, apagar domínios, encaminhadores, credenciais e canais. Para o resto, inclusive excluir a conta, escreva para contato@mxproxy.dev, que é também o contato do encarregado de dados. Respondemos em até 15 dias. Se o pedido envolve e-mails de terceiros que passaram pelo seu domínio, nós o atendemos junto com você, que é o controlador desses dados.
8. Segurança
O tráfego do painel e da API usa HTTPS; o SMTP de envio exige STARTTLS e autenticação; a entrada aceita STARTTLS. Senhas são guardadas só como hash (argon2 no SMTP, bcrypt no painel); chaves DKIM e segredos de webhook ficam cifrados no banco. O acesso aos servidores é restrito à equipe que opera o serviço. Se houver um incidente que afete seus dados, avisamos você e as autoridades nos prazos da lei.
9. Mudanças nesta política
Quando esta política mudar, atualizamos a data no topo e, se a mudança for relevante, avisamos o dono de cada time por e-mail antes de ela valer.
10. Contato
Privacidade e direitos: contato@mxproxy.dev. Abuso e spam vindos de um domínio que usa o mxproxy: abuse@mxproxy.dev.