Política de Privacidade

Phishfy LLC

Política de Privacidade

Phishfy LLC

Data de vigência: 14 de maio de 2025

Última atualização: 07 de junho de 2026

Este documento rege como Phishfy LLC coleta, usa e protege dados pessoais em conexão com sua simulação de phishing, treinamento de conscientização de segurança e serviços de segurança cibernética relacionados. Por favor, leia-o com atenção antes de usar nossa plataforma.

1. Quem somos

Phishfy LLC ("Phishfy," "nós", "nosso" ou "nos") é uma sociedade de responsabilidade limitada constituída no Estado de Delaware, Estados Unidos, com sede principal localizada em Orlando, Flórida.

Desenvolvemos e operamos uma plataforma de simulação de phishing e treinamento de conscientização em segurança projetada para ajudar as organizações a reduzir o risco cibernético humano. Nossos serviços são fornecidos a empresas, entidades governamentais, provedores de serviços de segurança gerenciados (MSSPs) e outras organizações ("Clientes") e seus funcionários ("Usuários Finais").

Contate-nos em:

Nome legal: Phishfy LLC
Estado de constituição: Delaware, EUA
Escritório principal: Orlando, Flórida, EUA
E-mail: support@phishfy.com
Site: https://www.phishfy.com

2. Escopo desta Política

Esta Política de Privacidade aplica-se a:

Nosso site (www.phishfy.com) e quaisquer subdomínios relacionados
A plataforma Phishfy e todos os produtos e serviços associados
Comunicações entre Phishfy e clientes, parceiros, clientes potenciais ou usuários finais
Quaisquer interações off-line onde fizermos referência a esta Política

Esta Política não se aplica a sites, aplicativos ou serviços de terceiros vinculados à nossa plataforma. Encorajamo-lo a rever as políticas de privacidade desses terceiros de forma independente.

3. Informações que coletamos

3.1 Informações que você fornece diretamente

Quando você se registra para uma conta, compra serviços ou entra em contato conosco, podemos coletar:

Nome completo e título profissional
Endereço de e-mail comercial e número de telefone
Nome da empresa, tamanho e setor
Endereço de cobrança e informações de pagamento (processadas por meio de processadores de terceiros compatíveis com PCI)
Credenciais de login (as senhas são armazenadas em formato hash e nunca em texto simples)
Solicitações de suporte, respostas de pesquisas e outras comunicações

3.2 Informações coletadas automaticamente

Quando você usa nossa plataforma, coletamos automaticamente determinados dados técnicos e de uso, incluindo:

Endereço IP e geolocalização aproximada (nível de país/cidade)
Tipo de navegador, versão e sistema operacional
Páginas visitadas, recursos acessados e ações realizadas na plataforma
Duração da sessão e padrões de navegação
Identificadores de dispositivos e URLs de referência
Logs de erros e dados de desempenho

Coletamos esses dados usando cookies, web beacons, logs de servidor e tecnologias de rastreamento semelhantes. Consulte a Seção 9 (Cookies e Rastreamento) para obter mais informações.

3.3 Dados de Simulação e Treinamento

Como parte dos nossos serviços principais, processamos dados relacionados com simulações de phishing e formação de sensibilização realizadas em nome dos nossos Clientes. Isso pode incluir:

Endereços de e-mail de funcionários e nomes de exibição usados em simulações
Taxas de cliques, interações de links e aberturas de anexos
Pontuações de questionários, taxas de conclusão de treinamento e métricas comportamentais
Dados de segmentação de departamento, função ou grupo fornecidos pelo Cliente

Esses dados são coletados e processados sob as instruções da organização Cliente, que atua como controladora dos dados. Phishfy atua como processador de dados neste contexto e processa esses dados exclusivamente para entregar os serviços contratados.

3.4 Informações de Terceiros

Podemos receber informações sobre você de:

Nosso ecossistema de parceiros (revendedores, MSSPs e revendedores de valor agregado)
Plataformas de integração conectadas à sua conta (por exemplo, Azure AD, Okta, Google Workspace)
Fontes publicamente disponíveis para enriquecimento de contatos comerciais
Provedores de marketing e análise

4. Como usamos suas informações

Phishfy usa informações pessoais para os seguintes fins:

4.1 Prestação de Serviços

Fornecimento, configuração e manutenção da plataforma Phishfy
Execução de campanhas de simulação de phishing por conta dos Clientes
Entrega de conteúdo e avaliações de treinamento de conscientização de segurança
Gerenciamento de contas, faturamento e suporte ao cliente
Solução de problemas técnicos e melhorias de plataforma

4.2 Comunicações

Envio de notificações transacionais (alertas de conta, relatórios, recibos)
Fornecimento de atualizações de produtos, avisos de segurança e anúncios de serviços
Envio de comunicações de marketing, quando permitido pela lei aplicável e pelas suas preferências
Respondendo a dúvidas e solicitações de suporte

4.3 Análise e Desenvolvimento de Produto

Analisando o uso da plataforma e métricas de desempenho
Realização de pesquisas para melhorar nossos serviços e desenvolver novos recursos
Geração de benchmarks agregados e anônimos do setor e relatórios de inteligência sobre ameaças

4.4 Jurídico e Conformidade

Cumprir as leis, regulamentos e processos legais aplicáveis
Aplicar nossos Termos de Serviço e outros acordos
Detectar, prevenir e investigar fraudes, abusos ou incidentes de segurança
Protegendo os direitos, propriedade e segurança de Phishfy, nossos clientes e terceiros

5. Base Legal para Processamento (GDPR / LGPD)

Se você estiver localizado no Espaço Econômico Europeu (EEA), no Reino Unido ou no Brasil, processamos seus dados pessoais com base em uma ou mais das seguintes bases legais:

Execução do contrato: Processamento necessário para fornecer os serviços que você contratou conosco ou que seu empregador contratou em seu nome
Interesses legítimos: Tratamento para os nossos interesses comerciais legítimos, como melhorar os nossos serviços, prevenir fraudes e comunicar com clientes existentes, desde que esses interesses não sejam anulados pelos seus direitos fundamentais
Obrigação legal: Processamento necessário para cumprir a lei aplicável
Consentimento: Processamento baseado no seu consentimento dado livremente, específico, informado e inequívoco, que você pode retirar a qualquer momento sem afetar o processamento prévio

Quando Phishfy atua como processador de dados em nome de um Cliente, a base legal para o processamento é determinada pelo Cliente como controlador de dados.

6. Como compartilhamos suas informações

Não vendemos suas informações pessoais. Podemos compartilhá-lo apenas nas seguintes circunstâncias:

6.1 Com Clientes e Administradores Autorizados

Se você for um usuário final participando de uma simulação de phishing ou de um programa de treinamento, seus dados comportamentais e de treinamento ficarão visíveis para os administradores designados por seu empregador (o Cliente). Phishfy não controla como os Clientes usam essas informações e incentiva os Usuários Finais a revisarem as políticas internas de privacidade de seus empregadores.

6.2 Com Prestadores de Serviços

Compartilhamos informações com fornecedores terceirizados de confiança que nos auxiliam na operação de nossa plataforma, sujeitos a obrigações de confidencialidade e acordos de processamento de dados. Estes incluem:

Provedores de infraestrutura e hospedagem em nuvem (por exemplo, AWS, Google Cloud)
Processadores de pagamento (por exemplo, Stripe)
Serviços de entrega de e-mail
Suporte ao cliente e plataformas de CRM
Ferramentas de análise e monitoramento de produtos
Provedores de gerenciamento de identidade e acesso

6.3 Com Parceiros

Com o seu consentimento ou de acordo com um contrato de parceria, podemos compartilhar informações com nossos revendedores, MSSPs, e parceiros de canal para facilitar a prestação de serviços, cobrança e suporte.

6.4 Por Razões Legais

Poderemos divulgar suas informações quando exigido por lei, ordem judicial ou autoridade governamental, ou quando acreditarmos que a divulgação é necessária para proteger os direitos, a segurança ou a propriedade de Phishfy, de nossos usuários ou do público.

6.5 Transferências Empresariais

No caso de uma fusão, aquisição, financiamento, reorganização ou venda de todos ou substancialmente todos os nossos ativos, as suas informações poderão ser transferidas como parte dessa transação. Notificaremos você por e-mail e/ou um aviso em destaque em nosso site antes de tal transferência e de qualquer alteração na Política de Privacidade aplicável.

7. Retenção de dados

Retemos informações pessoais pelo tempo necessário para cumprir os propósitos descritos nesta Política, a menos que um período de retenção mais longo seja exigido ou permitido por lei. Nossas práticas gerais de retenção são as seguintes:

Dados de conta e contrato: Conservados durante a duração da relação contratual mais cinco (5) anos, para efeitos legais e contabilísticos
Dados de simulação e treinamento: Retidos conforme configurado pelo Cliente, com período de retenção padrão de 24 (vinte e quatro) meses a partir da data de coleta
Dados analíticos do site: retidos por treze (13) meses
Dados de comunicações de marketing: retidos até que você cancele a assinatura ou solicite a exclusão
Dados de retenção legal: retidos conforme exigido pelas obrigações legais ou regulamentares aplicáveis

Após a expiração do período de retenção aplicável, excluímos ou anonimizamos com segurança as informações pessoais.

8. Transferências Internacionais de Dados

Phishfy está sediada nos Estados Unidos. Se você estiver acessando nossos serviços de fora dos Estados Unidos — inclusive do Espaço Econômico Europeu, do Reino Unido ou do Brasil — suas informações pessoais serão transferidas, armazenadas e processadas nos Estados Unidos.

Tomamos as salvaguardas adequadas para garantir que tais transferências cumpram as leis de proteção de dados aplicáveis, incluindo:

Cláusulas Contratuais Padrão (SCCs) aprovadas pela Comissão Europeia para transferências do EEA
Acordos Internacionais de Transferência de Dados (IDTAs) do Reino Unido para transferências do Reino Unido
Salvaguardas contratuais alinhadas com os requisitos da Lei Geral de Proteção de Dados do Brasil (LGPD)

9. Cookies e tecnologias de rastreamento

Utilizamos cookies e tecnologias semelhantes em nosso site e plataforma. Os tipos de cookies que utilizamos incluem:

Cookies estritamente necessários: essenciais para a funcionalidade e segurança da plataforma principal (por exemplo, gerenciamento de sessão, autenticação)
Cookies de desempenho: Usados para medir e analisar o tráfego do site e padrões de uso
Cookies funcionais: Usados para lembrar suas preferências e personalizar sua experiência
Cookies de marketing: utilizados para fornecer publicidade relevante e medir a eficácia da campanha (sujeito ao seu consentimento, quando necessário)

Você pode gerenciar suas preferências de cookies através do nosso banner de consentimento de cookies ou através das configurações do seu navegador. Observe que a desativação de determinados cookies pode afetar a funcionalidade da plataforma.

10. Seus direitos de privacidade

Dependendo da sua localização e da lei aplicável, você poderá ter os seguintes direitos com relação às suas informações pessoais:

Direito de acesso: Solicitar uma cópia das informações pessoais que mantemos sobre você
Direito à retificação: Solicitar correção de dados imprecisos ou incompletos
Direito ao apagamento: Solicitar a eliminação dos seus dados pessoais, sujeito aos requisitos legais de retenção
Direito à restrição: Solicitar que limitemos o processamento dos seus dados em determinadas circunstâncias
Direito à portabilidade dos dados: Receba os seus dados num formato estruturado e legível por máquina
Direito de oposição: Opor-se ao processamento com base em interesses legítimos ou para fins de marketing direto
Direito de retirar o consentimento: Retirar o consentimento previamente dado a qualquer momento sem afetar o processamento prévio
Direito à não discriminação: Exercer os seus direitos de privacidade sem ser sujeito a tratamento discriminatório

Para Usuários Finais que são funcionários de uma organização Cliente, observe que seu principal ponto de contato para exercer direitos de dados pode ser seu empregador, que atua como controlador de dados para dados de simulação e treinamento.

Para exercer seus direitos, envie uma solicitação para support@phishfy.com. Responderemos dentro de trinta (30) dias ou no prazo exigido pela lei aplicável. Poderemos solicitar a verificação da sua identidade antes de atender à sua solicitação.

11. Segurança

Phishfy implementa medidas de segurança técnicas e organizacionais padrão do setor para proteger suas informações pessoais contra acesso, divulgação, alteração ou destruição não autorizados. Nossas práticas de segurança incluem:

Criptografia de dados em repouso e em trânsito (TLS 1.2 e superior)
Controles de acesso baseados em funções e princípio de privilégio mínimo
Autenticação multifator (MFA) para acesso à plataforma
Testes regulares de penetração e avaliações de vulnerabilidade
Procedimentos de resposta a incidentes de segurança
Treinamento de segurança de funcionários e verificações de antecedentes

Nenhum método de transmissão pela Internet ou método de armazenamento eletrônico é 100% seguro. Embora nos esforcemos para utilizar meios comercialmente aceitáveis para proteger os seus dados, não podemos garantir segurança absoluta. No caso de uma violação de dados que afete os seus direitos e liberdades, iremos notificá-lo conforme exigido pela lei aplicável.

12. Privacidade das Crianças

Nossa plataforma e serviços são direcionados exclusivamente a organizações empresariais e seus funcionários. Não coletamos intencionalmente informações pessoais de indivíduos com idade inferior a 16 anos (ou a idade mínima aplicável em sua jurisdição).

Se você acredita que coletamos inadvertidamente informações de um menor, entre em contato conosco imediatamente em support@phishfy.com e tomaremos medidas imediatas para excluir tais informações.

13. Links e integrações de terceiros

Nossa plataforma pode conter links para sites de terceiros ou integrar-se a serviços de terceiros (como provedores de identidade, plataformas SIEM ou sistemas de tickets). Esta Política de Privacidade não se aplica a esses serviços de terceiros.

Encorajamos você a revisar as políticas de privacidade de qualquer serviço de terceiros que você acesse através ou em conexão com nossa plataforma. Phishfy não é responsável pelas práticas de privacidade de terceiros.

14. Direitos de privacidade da Califórnia (CCPA / CPRA)

Se você reside na Califórnia, a Lei de Privacidade do Consumidor da Califórnia (CCPA), conforme alterada pela Lei de Direitos de Privacidade da Califórnia (CPRA), fornece direitos adicionais.

Nos doze (12) meses anteriores, Phishfy não vendeu ou compartilhou informações pessoais para publicidade comportamental em vários contextos. Não vendemos informações pessoais.

Os residentes da Califórnia têm o direito de:

Saiba quais informações pessoais coletamos, usamos, divulgamos e vendemos
Excluir informações pessoais, sujeito a certas exceções
Corrigir informações pessoais imprecisas
Cancelar a venda ou compartilhamento de informações pessoais
Limite o uso e a divulgação de informações pessoais confidenciais
Não discriminação no exercício destes direitos

Para enviar uma solicitação verificável do consumidor, entre em contato conosco pelo telefone support@phishfy.com ou envie uma solicitação por escrito para nosso escritório em Orlando, Flórida. Responderemos dentro de quarenta e cinco (45) dias.

15. Direitos de privacidade brasileiros (LGPD)

Se você estiver localizado no Brasil, a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD) se aplica ao processamento de seus dados pessoais.

De acordo com LGPD, você tem o direito de:

Confirmação da existência de processamento
Acesso aos seus dados pessoais
Correção de dados incompletos, imprecisos ou desatualizados
Anonimização, bloqueio ou exclusão de dados desnecessários ou excessivos
Portabilidade dos seus dados para outro prestador de serviços
Eliminação de dados pessoais processados com o seu consentimento
Informações sobre entidades com as quais partilhamos os seus dados
Informações sobre a possibilidade de negar o consentimento e as consequências disso
Revogação do consentimento

As solicitações podem ser enviadas ao nosso Diretor de Proteção de Dados (DPO) em support@phishfy.com. Phishfy responderá dentro dos prazos estabelecidos pelo LGPD e regulamentos emitidos pela Autoridade Nacional de Proteção de Dados (ANPD).

16. Não rastreie

Alguns navegadores oferecem um recurso 'Do Not Track' (DNT) que sinaliza sua preferência de não ser rastreado em sites. Atualmente, nossa plataforma não responde a sinais DNT, pois não existe um padrão do setor sobre como o DNT deve ser interpretado. Revisitaremos esta posição à medida que os padrões evoluem.

17. Mudanças nesta Política

Poderemos atualizar esta Política de Privacidade periodicamente para refletir alterações em nossas práticas, requisitos legais ou ofertas de serviços. Quando fizermos alterações materiais, iremos:

Publicar a Política revisada em nosso site com uma data de vigência atualizada
Notificar os titulares de contas registradas por e-mail pelo menos trinta (30) dias antes das alterações entrarem em vigor
Exibir um aviso de destaque na plataforma

O uso continuado de nossos serviços após a data efetiva de quaisquer alterações constitui sua aceitação da Política revisada. Se você não concordar com a Política atualizada, deverá interromper o uso de nossos serviços.

18. Contate-nos

Se você tiver dúvidas, preocupações ou solicitações em relação a esta Política de Privacidade ou às nossas práticas de dados, entre em contato conosco:

Phishfy LLC

Aos cuidados de: Responsável pela Privacidade/Proteção de Dados

Orlando, Flórida, EUA

E-mail: support@phishfy.com

Site: https://www.phishfy.com

Se você estiver localizado em EEA ou no Reino Unido e acreditar que não atendemos adequadamente às suas preocupações, você tem o direito de apresentar uma reclamação à autoridade supervisora de proteção de dados local.

Se você estiver no Brasil, também poderá entrar em contato com a Autoridade Nacional de Proteção de Dados (ANPD) em www.gov.br/anpd.

Phishfy LLC — Uma empresa de responsabilidade limitada de Delaware

Privacy Policy

Phishfy LLC

Effective Date: May 14, 2025

Last Updated: Jun 07, 2026

This document governs how Phishfy LLC collects, uses, and protects personal data in connection with its phishing simulation, security awareness training, and related cybersecurity services. Please read it carefully before using our platform.

1. Who We Are

Phishfy LLC ("Phishfy," "we," "our," or "us") is a limited liability company incorporated in the State of Delaware, United States, with principal offices located in Orlando, Florida.

We develop and operate a phishing simulation and security awareness training platform designed to help organizations reduce human cyber risk. Our services are provided to businesses, government entities, managed security service providers (MSSPs), and other organizations ("Clients") and their employees ("End Users").

Legal name: Phishfy LLC
State of incorporation: Delaware, USA
Principal office: Orlando, Florida, USA
Email: support@phishfy.com
Website: https://www.phishfy.com

2. Scope of This Policy

This Privacy Policy applies to:

Our website (www.phishfy.com) and any related subdomains
The Phishfy platform and all associated products and services
Communications between Phishfy and Clients, partners, prospects, or End Users
Any offline interactions where we reference this Policy

This Policy does not apply to third-party websites, applications, or services linked from our platform. We encourage you to review the privacy policies of those third parties independently.

3. Information We Collect

3.1 Information You Provide Directly

When you register for an account, purchase services, or contact us, we may collect:

Full name and professional title
Work email address and phone number
Company name, size, and industry
Billing address and payment information (processed via PCI-compliant third-party processors)
Login credentials (passwords are stored in hashed form and never in plain text)
Support requests, survey responses, and other communications

3.2 Information Collected Automatically

When you use our platform, we automatically collect certain technical and usage data, including:

IP address and approximate geolocation (country/city level)
Browser type, version, and operating system
Pages visited, features accessed, and actions taken within the platform
Session duration and navigation patterns
Device identifiers and referring URLs
Error logs and performance data

We collect this data using cookies, web beacons, server logs, and similar tracking technologies. Please see Section 9 (Cookies and Tracking) for more information.

3.3 Simulation and Training Data

As part of our core services, we process data related to phishing simulations and awareness training conducted on behalf of our Clients. This may include:

Employee email addresses and display names used in simulations
Click-through rates, link interactions, and attachment opens
Quiz scores, training completion rates, and behavioral metrics
Department, role, or group segmentation data provided by the Client

This data is collected and processed under the instructions of the Client organization, which acts as the data controller. Phishfy acts as a data processor in this context and processes such data solely to deliver the contracted services.

3.4 Information from Third Parties

We may receive information about you from:

Our partner ecosystem (resellers, MSSPs, and value-added resellers)
Integration platforms connected to your account (e.g., Azure AD, Okta, Google Workspace)
Publicly available sources for business contact enrichment
Marketing and analytics providers

4. How We Use Your Information

Phishfy uses personal information for the following purposes:

4.1 Service Delivery

Provision, configuration, and maintenance of the Phishfy platform
Execution of phishing simulation campaigns on behalf of Clients
Delivery of security awareness training content and assessments
Account management, billing, and customer support
Technical troubleshooting and platform improvements

4.2 Communications

Sending transactional notifications (account alerts, reports, receipts)
Providing product updates, security advisories, and service announcements
Sending marketing communications, where permitted by applicable law and your preferences
Responding to inquiries and support requests

4.3 Analytics and Product Development

Analyzing platform usage and performance metrics
Conducting research to improve our services and develop new features
Generating aggregated and anonymized industry benchmarks and threat intelligence reports

4.4 Legal and Compliance

Complying with applicable laws, regulations, and legal processes
Enforcing our Terms of Service and other agreements
Detecting, preventing, and investigating fraud, abuse, or security incidents
Protecting the rights, property, and safety of Phishfy, our Clients, and third parties

5. Legal Basis for Processing (GDPR / LGPD)

If you are located in the European Economic Area (EEA), the United Kingdom, or Brazil, we process your personal data based on one or more of the following legal bases:

Contract performance: Processing necessary to provide the services you have contracted with us or your employer has contracted on your behalf
Legitimate interests: Processing for our legitimate business interests, such as improving our services, preventing fraud, and communicating with existing customers, provided these interests are not overridden by your fundamental rights
Legal obligation: Processing required to comply with applicable law
Consent: Processing based on your freely given, specific, informed, and unambiguous consent, which you may withdraw at any time without affecting prior processing

Where Phishfy acts as a data processor on behalf of a Client, the legal basis for processing is determined by the Client as the data controller.

6. How We Share Your Information

We do not sell your personal information. We may share it only in the following circumstances:

6.1 With Clients and Authorized Administrators

If you are an End User participating in a phishing simulation or training program, your behavioral and training data is visible to the administrators designated by your employer (the Client). Phishfy does not control how Clients use this information and encourages End Users to review their employer's internal privacy policies.

6.2 With Service Providers

We share information with trusted third-party vendors who assist us in operating our platform, subject to confidentiality obligations and data processing agreements. These include:

Cloud hosting and infrastructure providers (e.g., AWS, Google Cloud)
Payment processors (e.g., Stripe)
Email delivery services
Customer support and CRM platforms
Analytics and product monitoring tools
Identity and access management providers

6.3 With Partners

With your consent or pursuant to a partner agreement, we may share information with our resellers, MSSPs, and channel partners to facilitate service delivery, billing, and support.

6.4 For Legal Reasons

We may disclose your information when required by law, court order, or government authority, or when we believe disclosure is necessary to protect the rights, safety, or property of Phishfy, our users, or the public.

6.5 Business Transfers

In the event of a merger, acquisition, financing, reorganization, or sale of all or substantially all of our assets, your information may be transferred as part of that transaction. We will notify you via email and/or a prominent notice on our website prior to such transfer and any change in the applicable Privacy Policy.

7. Data Retention

We retain personal information for as long as necessary to fulfill the purposes described in this Policy, unless a longer retention period is required or permitted by law. Our general retention practices are as follows:

Account and contract data: Retained for the duration of the contractual relationship plus five (5) years, for legal and accounting purposes
Simulation and training data: Retained as configured by the Client, with a default retention period of twenty-four (24) months from the date of collection
Website analytics data: Retained for thirteen (13) months
Marketing communications data: Retained until you unsubscribe or request deletion
Legal hold data: Retained as required by applicable legal or regulatory obligations

Upon expiration of the applicable retention period, we securely delete or anonymize personal information.

8. International Data Transfers

Phishfy is headquartered in the United States. If you are accessing our services from outside the United States — including from the European Economic Area, the United Kingdom, or Brazil — your personal information will be transferred to, stored, and processed in the United States.

We take appropriate safeguards to ensure that such transfers comply with applicable data protection laws, including:

Standard Contractual Clauses (SCCs) approved by the European Commission for transfers from the EEA
UK International Data Transfer Agreements (IDTAs) for transfers from the United Kingdom
Contractual safeguards aligned with the requirements of Brazil's Lei Geral de Proteção de Dados (LGPD)

9. Cookies and Tracking Technologies

We use cookies and similar technologies on our website and platform. The types of cookies we use include:

Strictly necessary cookies: Essential for core platform functionality and security (e.g., session management, authentication)
Performance cookies: Used to measure and analyze website traffic and usage patterns
Functional cookies: Used to remember your preferences and personalize your experience
Marketing cookies: Used to deliver relevant advertising and measure campaign effectiveness (subject to your consent where required)

You may manage your cookie preferences through our cookie consent banner or through your browser settings. Note that disabling certain cookies may affect platform functionality.

10. Your Privacy Rights

Depending on your location and applicable law, you may have the following rights with respect to your personal information:

Right of access: Request a copy of the personal information we hold about you
Right to rectification: Request correction of inaccurate or incomplete data
Right to erasure: Request deletion of your personal data, subject to legal retention requirements
Right to restriction: Request that we limit processing of your data under certain circumstances
Right to data portability: Receive your data in a structured, machine-readable format
Right to object: Object to processing based on legitimate interests or for direct marketing purposes
Right to withdraw consent: Withdraw previously given consent at any time without affecting prior processing
Right to non-discrimination: Exercise your privacy rights without being subjected to discriminatory treatment

For End Users who are employees of a Client organization, please note that your primary point of contact for exercising data rights may be your employer, who acts as the data controller for simulation and training data.

To exercise your rights, please submit a request to support@phishfy.com. We will respond within thirty (30) days, or the timeframe required by applicable law. We may request verification of your identity before fulfilling your request.

11. Security

Phishfy implements industry-standard technical and organizational security measures to protect your personal information against unauthorized access, disclosure, alteration, or destruction. Our security practices include:

Data encryption at rest and in transit (TLS 1.2 and above)
Role-based access controls and principle of least privilege
Multi-factor authentication (MFA) for platform access
Regular penetration testing and vulnerability assessments
Security incident response procedures
Employee security training and background checks

No method of transmission over the Internet or method of electronic storage is 100% secure. While we strive to use commercially acceptable means to protect your data, we cannot guarantee absolute security. In the event of a data breach affecting your rights and freedoms, we will notify you as required by applicable law.

12. Children's Privacy

Our platform and services are directed exclusively to business organizations and their employees. We do not knowingly collect personal information from individuals under the age of 16 (or the applicable minimum age in your jurisdiction).

If you believe we have inadvertently collected information from a minor, please contact us immediately at support@phishfy.com and we will take prompt steps to delete such information.

13. Third-Party Links and Integrations

Our platform may contain links to third-party websites or integrate with third-party services (such as identity providers, SIEM platforms, or ticketing systems). This Privacy Policy does not apply to those third-party services.

We encourage you to review the privacy policies of any third-party service you access through or in connection with our platform. Phishfy is not responsible for the privacy practices of third parties.

14. California Privacy Rights (CCPA / CPRA)

If you are a California resident, the California Consumer Privacy Act (CCPA), as amended by the California Privacy Rights Act (CPRA), provides you with additional rights.

In the preceding twelve (12) months, Phishfy has not sold or shared personal information for cross-context behavioral advertising. We do not sell personal information.

California residents have the right to:

Know what personal information we collect, use, disclose, and sell
Delete personal information, subject to certain exceptions
Correct inaccurate personal information
Opt out of the sale or sharing of personal information
Limit the use and disclosure of sensitive personal information
Non-discrimination for exercising these rights

To submit a verifiable consumer request, contact us at support@phishfy.com or mail a written request to our Orlando, Florida office. We will respond within forty-five (45) days.

15. Brazilian Privacy Rights (LGPD)

If you are located in Brazil, the Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD) applies to the processing of your personal data.

In accordance with the LGPD, you have the right to:

Confirmation of the existence of processing
Access to your personal data
Correction of incomplete, inaccurate, or outdated data
Anonymization, blocking, or deletion of unnecessary or excessive data
Portability of your data to another service provider
Deletion of personal data processed with your consent
Information about entities with which we have shared your data
Information about the possibility of denying consent and the consequences thereof
Revocation of consent

Requests may be submitted to our Data Protection Officer (DPO) at support@phishfy.com. Phishfy will respond within the timeframes established by the LGPD and regulations issued by the Autoridade Nacional de Proteção de Dados (ANPD).

16. Do Not Track

Some browsers offer a 'Do Not Track' (DNT) feature that signals your preference not to be tracked across websites. Our platform does not currently respond to DNT signals, as there is no industry-standard for how DNT should be interpreted. We will revisit this position as standards evolve.

17. Changes to This Policy

We may update this Privacy Policy from time to time to reflect changes in our practices, legal requirements, or service offerings. When we make material changes, we will:

Post the revised Policy on our website with an updated effective date
Notify registered account holders via email at least thirty (30) days before the changes take effect
Display a prominent notice on the platform

Your continued use of our services after the effective date of any changes constitutes your acceptance of the revised Policy. If you do not agree with the updated Policy, you must discontinue using our services.

18. Contact Us

If you have questions, concerns, or requests regarding this Privacy Policy or our data practices, please reach out to us:

Phishfy LLC

Attn: Privacy / Data Protection Officer

Orlando, Florida, USA

Email: support@phishfy.com

Website: https://www.phishfy.com

If you are located in the EEA or UK and believe we have not adequately addressed your concerns, you have the right to lodge a complaint with your local data protection supervisory authority.

If you are located in Brazil, you may also contact the Autoridade Nacional de Proteção de Dados (ANPD) at www.gov.br/anpd.

Phishfy LLC — A Delaware Limited Liability Company

Política de Privacidad

Phishfy LLC

Fecha de vigencia: 14 de mayo de 2025

Última actualización: 07 de junio de 2026

Este documento regula cómo Phishfy LLC recopila, utiliza y protege datos personales en relación con su simulación de phishing, capacitación en concientización sobre seguridad y servicios de ciberseguridad relacionados. Por favor léelo atentamente antes de utilizar nuestra plataforma.

1. Quiénes somos

Phishfy LLC ("Phishfy", "nosotros", "nuestro" o "nos") es una sociedad de responsabilidad limitada constituida en el estado de Delaware, Estados Unidos, con oficinas principales ubicadas en Orlando, Florida.

Desarrollamos y operamos una plataforma de capacitación en simulación de phishing y concientización sobre seguridad diseñada para ayudar a las organizaciones a reducir el riesgo cibernético humano. Nuestros servicios se brindan a empresas, entidades gubernamentales, proveedores de servicios de seguridad administrados (MSSPs) y otras organizaciones ("Clientes") y sus empleados ("Usuarios finales").

Contáctenos en:

Nombre legal: Phishfy LLC
Estado de constitución: Delaware, EE. UU.
Oficina principal: Orlando, Florida, EE. UU.
Correo electrónico: support@phishfy.com
Sitio web: https://www.phishfy.com

2. Alcance de esta política

Esta Política de Privacidad se aplica a:

Nuestro sitio web (www.phishfy.com) y cualquier subdominio relacionado
La plataforma Phishfy y todos los productos y servicios asociados
Comunicaciones entre Phishfy y Clientes, socios, prospectos o Usuarios finales
Cualquier interacción fuera de línea en la que hagamos referencia a esta Política

Esta Política no se aplica a sitios web, aplicaciones o servicios de terceros vinculados desde nuestra plataforma. Le recomendamos que revise las políticas de privacidad de esos terceros de forma independiente.

3. Información que recopilamos

3.1 Información que usted proporciona directamente

Cuando se registra para obtener una cuenta, compra servicios o se comunica con nosotros, podemos recopilar:

Nombre completo y título profesional
Dirección de correo electrónico y número de teléfono del trabajo.
Nombre de la empresa, tamaño e industria.
Dirección de facturación e información de pago (procesadas a través de procesadores de terceros compatibles con PCI)
Credenciales de inicio de sesión (las contraseñas se almacenan en formato hash y nunca en texto sin formato)
Solicitudes de soporte, respuestas a encuestas y otras comunicaciones

3.2 Información recopilada automáticamente

Cuando utiliza nuestra plataforma, recopilamos automáticamente ciertos datos técnicos y de uso, que incluyen:

Dirección IP y geolocalización aproximada (a nivel de país/ciudad)
Tipo de navegador, versión y sistema operativo
Páginas visitadas, funciones a las que se accedió y acciones realizadas dentro de la plataforma
Duración de la sesión y patrones de navegación.
Identificadores de dispositivos y URL de referencia
Registros de errores y datos de rendimiento

Recopilamos estos datos mediante cookies, balizas web, registros del servidor y tecnologías de seguimiento similares. Consulte la Sección 9 (Cookies y seguimiento) para obtener más información.

3.3 Datos de simulación y entrenamiento

Como parte de nuestros servicios principales, procesamos datos relacionados con simulaciones de phishing y capacitaciones de concientización realizadas en nombre de nuestros Clientes. Esto puede incluir:

Direcciones de correo electrónico de los empleados y nombres para mostrar utilizados en simulaciones
Tasas de clics, interacciones de enlaces y apertura de archivos adjuntos
Puntajes de exámenes, tasas de finalización de capacitación y métricas de comportamiento
Datos de segmentación de departamento, rol o grupo proporcionados por el Cliente

Estos datos se recopilan y procesan bajo las instrucciones de la organización del Cliente, que actúa como controlador de datos. Phishfy actúa como encargado del tratamiento de datos en este contexto y trata dichos datos únicamente para la prestación de los servicios contratados.

3.4 Información de Terceros

Podemos recibir información sobre usted de:

Nuestro ecosistema de socios (revendedores, MSSPs y revendedores de valor agregado)
Plataformas de integración conectadas a su cuenta (por ejemplo, Azure AD, Okta, Google Workspace)
Fuentes disponibles públicamente para enriquecimiento de contactos comerciales
Proveedores de marketing y análisis

4. Cómo utilizamos su información

Phishfy utiliza información personal para los siguientes fines:

4.1 Prestación de servicios

Provisión, configuración y mantenimiento de la plataforma Phishfy
Ejecución de campañas de simulación de phishing por cuenta de Clientes
Entrega de contenidos y evaluaciones de capacitación en concientización sobre seguridad.
Gestión de cuentas, facturación y atención al cliente.
Solución de problemas técnicos y mejoras de la plataforma.

4.2 Comunicaciones

Envío de notificaciones transaccionales (alertas de cuenta, informes, recibos)
Proporcionar actualizaciones de productos, avisos de seguridad y anuncios de servicios.
Envío de comunicaciones de marketing, cuando lo permita la ley aplicable y sus preferencias.
Responder a consultas y solicitudes de soporte.

4.3 Análisis y desarrollo de productos

Análisis de métricas de rendimiento y uso de la plataforma
Realizar investigaciones para mejorar nuestros servicios y desarrollar nuevas funciones.
Generar puntos de referencia de la industria agregados y anónimos e informes de inteligencia de amenazas

4.4 Legal y Cumplimiento

Cumplir con las leyes, regulaciones y procesos legales aplicables.
Hacer cumplir nuestros Términos de servicio y otros acuerdos
Detectar, prevenir e investigar fraudes, abusos o incidentes de seguridad
Proteger los derechos, la propiedad y la seguridad de Phishfy, nuestros Clientes y terceros

5. Base Legal para el Procesamiento (GDPR / LGPD)

Si se encuentra en el Espacio Económico Europeo (EEA), el Reino Unido o Brasil, procesamos sus datos personales con base en una o más de las siguientes bases legales:

Ejecución del contrato: Procesamiento necesario para proporcionar los servicios que usted ha contratado con nosotros o su empleador ha contratado en su nombre.
Intereses legítimos: procesamiento para nuestros intereses comerciales legítimos, como mejorar nuestros servicios, prevenir el fraude y comunicarnos con clientes existentes, siempre que estos intereses no sean anulados por sus derechos fundamentales.
Obligación legal: Tratamiento necesario para cumplir con la legislación aplicable
Consentimiento: Tratamiento basado en su consentimiento libre, específico, informado e inequívoco, que podrá retirar en cualquier momento sin que ello afecte al tratamiento previo.

Cuando Phishfy actúa como procesador de datos en nombre de un Cliente, la base legal para el procesamiento la determina el Cliente como controlador de datos.

6. Cómo compartimos su información

No vendemos su información personal. Podremos compartirlo sólo en las siguientes circunstancias:

6.1 Con Clientes y Administradores Autorizados

Si usted es un Usuario final que participa en un programa de capacitación o simulación de phishing, sus datos de comportamiento y capacitación son visibles para los administradores designados por su empleador (el Cliente). Phishfy no controla cómo los Clientes usan esta información y alienta a los Usuarios finales a revisar las políticas de privacidad internas de su empleador.

6.2 Con proveedores de servicios

Compartimos información con proveedores externos confiables que nos ayudan a operar nuestra plataforma, sujeto a obligaciones de confidencialidad y acuerdos de procesamiento de datos. Estos incluyen:

Proveedores de infraestructura y alojamiento en la nube (por ejemplo, AWS, Google Cloud)
Procesadores de pagos (por ejemplo, Stripe)
Servicios de entrega de correo electrónico
Plataformas de atención al cliente y CRM
Herramientas de análisis y seguimiento de productos.
Proveedores de gestión de identidades y accesos

6.3 Con socios

Con su consentimiento o de conformidad con un acuerdo de socio, podemos compartir información con nuestros revendedores, MSSPs y socios de canal para facilitar la prestación de servicios, la facturación y el soporte.

6.4 Por razones legales

Podemos divulgar su información cuando lo exija la ley, una orden judicial o una autoridad gubernamental, o cuando creamos que la divulgación es necesaria para proteger los derechos, la seguridad o la propiedad de Phishfy, nuestros usuarios o el público.

6.5 Transferencias de Negocios

En caso de una fusión, adquisición, financiación, reorganización o venta de todos o sustancialmente todos nuestros activos, su información puede transferirse como parte de esa transacción. Le notificaremos por correo electrónico y/o un aviso destacado en nuestro sitio web antes de dicha transferencia y de cualquier cambio en la Política de Privacidad aplicable.

7. Retención de datos

Conservamos información personal durante el tiempo necesario para cumplir los fines descritos en esta Política, a menos que la ley requiera o permita un período de retención más largo. Nuestras prácticas generales de retención son las siguientes:

Datos de cuenta y contrato: Conservados mientras dure la relación contractual más cinco (5) años, para fines legales y contables.
Datos de simulación y capacitación: conservados según la configuración del Cliente, con un período de retención predeterminado de veinticuatro (24) meses a partir de la fecha de recopilación.
Datos analíticos del sitio web: conservados durante trece (13) meses
Datos de comunicaciones de marketing: se conservan hasta que usted cancele la suscripción o solicite su eliminación.
Datos de retención legal: conservados según lo requieran las obligaciones legales o reglamentarias aplicables.

Al vencimiento del período de retención aplicable, eliminamos o anonimizamos de forma segura la información personal.

8. Transferencias Internacionales de Datos

Phishfy tiene su sede en los Estados Unidos. Si accede a nuestros servicios desde fuera de los Estados Unidos, incluido el Espacio Económico Europeo, el Reino Unido o Brasil, su información personal se transferirá, almacenará y procesará en los Estados Unidos.

Tomamos las medidas de seguridad adecuadas para garantizar que dichas transferencias cumplan con las leyes de protección de datos aplicables, que incluyen:

Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea para transferencias desde el EEA
Acuerdos internacionales de transferencia de datos del Reino Unido (IDTA) para transferencias desde el Reino Unido
Salvaguardias contractuales alineadas con los requisitos de la Lei Geral de Proteção de Dados de Brasil (LGPD)

9. Cookies y tecnologías de seguimiento

Utilizamos cookies y tecnologías similares en nuestro sitio web y plataforma. Los tipos de cookies que utilizamos incluyen:

Cookies estrictamente necesarias: esenciales para la funcionalidad y seguridad de la plataforma central (por ejemplo, gestión de sesiones, autenticación)
Cookies de rendimiento: se utilizan para medir y analizar el tráfico del sitio web y los patrones de uso.
Cookies funcionales: Se utilizan para recordar sus preferencias y personalizar su experiencia.
Cookies de marketing: se utilizan para ofrecer publicidad relevante y medir la eficacia de la campaña (sujeto a su consentimiento cuando sea necesario)

Puede administrar sus preferencias de cookies a través de nuestro banner de consentimiento de cookies o mediante la configuración de su navegador. Tenga en cuenta que deshabilitar ciertas cookies puede afectar la funcionalidad de la plataforma.

10. Sus derechos de privacidad

Dependiendo de su ubicación y la ley aplicable, puede tener los siguientes derechos con respecto a su información personal:

Derecho de acceso: Solicitar una copia de la información personal que tenemos sobre usted
Derecho de rectificación: Solicitar la corrección de datos inexactos o incompletos
Derecho de supresión: Solicitar la eliminación de sus datos personales, sujeto a los requisitos legales de conservación.
Derecho de limitación: Solicitar que limitemos el tratamiento de tus datos en determinadas circunstancias
Derecho a la portabilidad de los datos: Recibir tus datos en un formato estructurado y legible por máquina
Derecho de oposición: Oponerse al procesamiento basado en intereses legítimos o con fines de marketing directo.
Derecho a retirar el consentimiento: Retirar el consentimiento previamente otorgado en cualquier momento sin que ello afecte al tratamiento previo
Derecho a la no discriminación: Ejerza sus derechos de privacidad sin ser sometido a un trato discriminatorio

Para los Usuarios finales que son empleados de una organización de Cliente, tenga en cuenta que su principal punto de contacto para ejercer los derechos de datos puede ser su empleador, quien actúa como controlador de datos para los datos de simulación y capacitación.

Para ejercer sus derechos, envíe una solicitud a support@phishfy.com. Responderemos dentro de los treinta (30) días, o el plazo requerido por la ley aplicable. Podemos solicitar la verificación de su identidad antes de cumplir con su solicitud.

11. Seguridad

Phishfy implementa medidas de seguridad técnicas y organizativas estándar de la industria para proteger su información personal contra el acceso no autorizado, la divulgación, la alteración o la destrucción. Nuestras prácticas de seguridad incluyen:

Cifrado de datos en reposo y en tránsito (TLS 1.2 y superior)
Controles de acceso basados en roles y principio de privilegio mínimo
Autenticación multifactor (MFA) para acceso a la plataforma
Pruebas de penetración periódicas y evaluaciones de vulnerabilidad
Procedimientos de respuesta a incidentes de seguridad
Capacitación en seguridad de los empleados y verificación de antecedentes.

Ningún método de transmisión a través de Internet o método de almacenamiento electrónico es 100% seguro. Si bien nos esforzamos por utilizar medios comercialmente aceptables para proteger sus datos, no podemos garantizar una seguridad absoluta. En caso de una violación de datos que afecte sus derechos y libertades, se lo notificaremos según lo exige la ley aplicable.

12. Privacidad de los niños

Nuestra plataforma y servicios están dirigidos exclusivamente a organizaciones empresariales y sus empleados. No recopilamos intencionalmente información personal de personas menores de 16 años (o la edad mínima aplicable en su jurisdicción).

Si cree que hemos recopilado información de un menor sin darnos cuenta, comuníquese con nosotros de inmediato al support@phishfy.com y tomaremos medidas inmediatas para eliminar dicha información.

13. Enlaces e integraciones de terceros

Nuestra plataforma puede contener enlaces a sitios web de terceros o integrarse con servicios de terceros (como proveedores de identidad, plataformas SIEM o sistemas de emisión de boletos). Esta Política de Privacidad no se aplica a esos servicios de terceros.

Le recomendamos que revise las políticas de privacidad de cualquier servicio de terceros al que acceda a través de nuestra plataforma o en conexión con ella. Phishfy no es responsable de las prácticas de privacidad de terceros.

14. Derechos de privacidad de California (CCPA / CPRA)

Si es residente de California, la Ley de Privacidad del Consumidor de California (CCPA), modificada por la Ley de Derechos de Privacidad de California (CPRA), le otorga derechos adicionales.

En los doce (12) meses anteriores, Phishfy no ha vendido ni compartido información personal para publicidad conductual multicontexto. No vendemos información personal.

Los residentes de California tienen derecho a:

Sepa qué información personal recopilamos, usamos, divulgamos y vendemos
Eliminar información personal, sujeto a ciertas excepciones
Corregir información personal inexacta
Optar por no vender o compartir información personal
Limitar el uso y divulgación de información personal sensible
No discriminación por el ejercicio de estos derechos

Para enviar una solicitud de consumidor verificable, contáctenos al support@phishfy.com o envíe una solicitud por escrito a nuestra oficina de Orlando, Florida. Le responderemos dentro de los cuarenta y cinco (45) días.

15. Derechos de privacidad brasileños (LGPD)

Si se encuentra en Brasil, la Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD) se aplica al procesamiento de sus datos personales.

De acuerdo con el LGPD, tienes derecho a:

Confirmación de la existencia del tratamiento
Acceso a sus datos personales
Corrección de datos incompletos, inexactos o desactualizados
Anonimización, bloqueo o eliminación de datos innecesarios o excesivos
Portabilidad de sus datos a otro proveedor de servicios
Eliminación de datos personales tratados con su consentimiento
Información sobre entidades con las que hemos compartido tus datos
Información sobre la posibilidad de negar el consentimiento y las consecuencias del mismo
Revocación del consentimiento

Las solicitudes pueden enviarse a nuestro Delegado de Protección de Datos (DPO) en support@phishfy.com. Phishfy responderá dentro de los plazos establecidos por el LGPD y las normas emitidas por la Autoridade Nacional de Proteção de Dados (ANPD).

16. No realizar seguimiento

Algunos navegadores ofrecen una función 'No rastrear' (DNT) que indica su preferencia de no ser rastreado en los sitios web. Actualmente, nuestra plataforma no responde a señales DNT, ya que no existe un estándar industrial sobre cómo se debe interpretar DNT. Revisaremos esta posición a medida que evolucionen los estándares.

17. Cambios a esta política

Podemos actualizar esta Política de Privacidad de vez en cuando para reflejar cambios en nuestras prácticas, requisitos legales u ofertas de servicios. Cuando hagamos cambios materiales, haremos lo siguiente:

Publicar la Política revisada en nuestro sitio web con una fecha de vigencia actualizada
Notificar a los titulares de cuentas registradas por correo electrónico al menos treinta (30) días antes de que los cambios entren en vigor.
Mostrar un aviso destacado en la plataforma.

Su uso continuado de nuestros servicios después de la fecha de entrada en vigor de cualquier cambio constituye su aceptación de la Política revisada. Si no está de acuerdo con la Política actualizada, debe dejar de utilizar nuestros servicios.

18. Contáctenos

Si tiene preguntas, inquietudes o solicitudes con respecto a esta Política de privacidad o nuestras prácticas de datos, comuníquese con nosotros:

Phishfy LLC

A la atención de: Delegado de Privacidad/Protección de Datos

Orlando, Florida, Estados Unidos

Correo electrónico: support@phishfy.com

Sitio web: https://www.phishfy.com

Si se encuentra en EEA o el Reino Unido y cree que no hemos abordado adecuadamente sus inquietudes, tiene derecho a presentar una queja ante la autoridad supervisora de protección de datos local.

Si se encuentra en Brasil, también puede comunicarse con la Autoridade Nacional de Proteção de Dados (ANPD) al www.gov.br/anpd.

Phishfy LLC — Una sociedad de responsabilidad limitada de Delaware