Em linguagem simples
- Tratamos metadados e permissões das fontes que a sua organização liga, através dos âmbitos de leitura (read-only) que aprovou — nunca o conteúdo dos seus ficheiros. Não alteramos nada nessas fontes salvo se ativar a Remediação Automática. Não vendemos dados nem treinamos modelos de IA com eles.
- Os dados da conta são conservados até eliminar a sua conta; os resultados (findings) e os instantâneos de permissões são conservados por 24 meses por predefinição (a sua organização pode configurá-lo); os registos operacionais são conservados por 90 dias.
- O Cliente pode exportar ou eliminar os seus dados autonomamente a partir das Definições — sem necessidade de ticket de suporte.
- Cinco subcontratantes: Anthropic (assistente de IA e resumos), Resend (email), PayPal (faturação), RunPod (alojamento), Cloudflare (edge de rede).
- Os direitos ao abrigo do GDPR e do CCPA aplicam-se; contacte [email protected].
1. Quem somos e o que isto abrange
Esta política explica como a Enterprise.Systems («nós») trata dados pessoais na 8200.dev. Relativamente aos dados da conta e do sítio web, somos o responsável pelo tratamento. Relativamente aos dados existentes nas fontes que a sua organização liga («Dados de Fonte do Cliente»), a sua organização é o responsável pelo tratamento e nós somos o seu subcontratante ao abrigo do Data Processing Agreement — os avisos de privacidade da própria organização regem esses dados.
2. Dados que tratamos
Tratamos as seguintes categorias:
- Dados da conta — endereço de email, nome, hash da palavra-passe (scrypt; nunca armazenamos a própria palavra-passe), nome da organização, função e definições regionais (locale); se os utilizar, o seu segredo de segundo fator (TOTP), armazenado cifrado, e um registo das suas sessões de início de sessão (hora, endereço IP e navegador).
- Dados de Origem do Cliente — metadados e informações de permissões provenientes das origens ligadas, obtidos apenas em modo de leitura através dos âmbitos OAuth que aprova: nomes e identificadores de recursos, definições de partilha, concessões de permissões e as identidades dos principais que detêm acesso (pessoas, contas de serviço e agentes de IA). Não lemos nem armazenamos o conteúdo dos seus ficheiros.
- Deteções — as deteções de segurança, explicações e evidências que a plataforma gera para a sua organização.
- Dados de utilização e de registo — endereço IP, agente de utilizador, marcas temporais e um registo de auditoria apenas de adição das ações realizadas na plataforma.
- Cookies — um pequeno conjunto de cookies próprios para início de sessão, segurança e as suas preferências, e ainda — apenas se concordar — um cookie de referência de parceiro; a lista completa consta da secção 15. Não utilizamos cookies de publicidade, de análise ou de rastreio entre sítios.
3. Como utilizamos os dados
Utilizamos os dados para prestar e proteger o serviço: enumeração de permissões, geração de deteções e explicações em linguagem simples, execução das ações de remediação que ativou caso tenha ligado a Remediação Automática, autenticação da sua identidade, envio de correio eletrónico transacional, prestação de apoio e cumprimento de obrigações legais. Não vendemos dados pessoais, não apresentamos publicidade e não utilizamos os Dados de Origem do Cliente para treinar modelos de IA.
4. Fundamentos legais (GDPR)
Nos casos em que o GDPR se aplica, baseamo-nos em:
- Execução de um contrato (Art. 6.º, n.º 1, alínea b)) — operação da sua conta e produção de deteções.
- Interesses legítimos (Art. 6.º, n.º 1, alínea f)) — proteção da plataforma, prevenção de abusos e melhoria da qualidade de deteção.
- Consentimento (Art. 6.º, n.º 1, alínea a)) — comunicações opcionais; revogável a qualquer momento.
- Obrigação legal (Art. 6.º, n.º 1, alínea c)) — contabilidade, fiscalidade e pedidos legais.
5. Processamento por IA
Utilizamos grandes modelos de linguagem através da API da Anthropic para três finalidades: (a) o assistente de apoio integrado no produto, que recebe as mensagens que digita, exatamente como as digita, e, quando tem sessão iniciada, um breve resumo de conta composto apenas por factos agregados (o seu plano, quantas origens estão ligadas e se estão saudáveis, a sua pontuação e classificação de postura, quantas deteções estão abertas e quantas são críticas, e a dimensão da sua equipa); (b) narrativas de resumo executivo que solicite, que recebem apenas valores agregados: a sua pontuação e classificação de postura, a sua tendência ao longo do período, contagens de deteções por gravidade, o seu percentil face aos pares, nomes de planos e as suas categorias de risco mais comuns como rótulos de categoria genéricos com uma contagem (por exemplo, «Partilha de ligação pública (apenas ligação): 3»); e (c) tradução da interface para idiomas adicionais, que envia apenas texto da interface. Nenhum destes pedidos contém um identificador das suas origens ligadas: nenhum nome de ficheiro, pasta ou unidade, nenhum nome de utilizador ou de conta, nenhum endereço de correio eletrónico, nenhum caminho, nenhum ID de conta, nem o nome da sua organização. Nunca enviamos conteúdos de ficheiros nem credenciais. Ao abrigo dos termos comerciais da Anthropic, os dados submetidos através da API não são utilizados para treinar os modelos da Anthropic.
6. Subcontratantes e partilha
Partilhamos dados pessoais apenas com os subcontratantes abaixo indicados, com consultores profissionais sujeitos a confidencialidade, ou quando a lei o exija:
- Anthropic (EUA) — o assistente de apoio por IA, as narrativas de resumo executivo e a tradução da interface.
- Cloudflare (global) — CDN, terminação TLS e proteção contra DDoS.
- RunPod (EUA/UE) — infraestrutura de cloud que aloja a plataforma.
- Resend (EUA) — entrega de correio eletrónico transacional.
- PayPal (EUA) — faturação de subscrições e processamento de pagamentos.
Atualizamos esta lista aqui; as organizações com um DPA recebem aviso prévio de adições nos termos do DPA.
7. Conservação
Conservamos os dados apenas pelo tempo necessário:
- Dados da conta — durante o tempo de vida da sua conta. A eliminação da conta tem um período de tolerância de 7 dias, após o qual os dados são permanentemente eliminados.
- Deteções e capturas de permissões — 24 meses por predefinição, ou o período configurado pela sua organização.
- Registos operacionais e de auditoria — 90 dias.
- A eliminação da sua conta elimina igualmente as organizações de que é o único titular, incluindo os respetivos conectores (as credenciais armazenadas são destruídas imediatamente), capturas e deteções.
8. Os seus direitos
Ao abrigo do GDPR e de leis semelhantes, dispõe do direito de acesso, retificação, apagamento, portabilidade, limitação do tratamento e oposição, bem como do direito de não ficar sujeito a decisões exclusivamente automatizadas com efeitos jurídicos (a plataforma não toma nenhuma a seu respeito). A exportação e o apagamento são de autoatendimento: Definições → Exportar os meus dados / Eliminar a minha conta. Para qualquer outro assunto, escreva para [email protected] — respondemos no prazo de 30 dias. Pode igualmente apresentar uma reclamação junto da sua autoridade de controlo.
9. Transferências internacionais
Estamos sediados em Israel, que dispõe de uma decisão de adequação da UE; a infraestrutura funciona nas regiões indicadas em Subcontratantes. Quando os dados pessoais são transferidos do EEE/Reino Unido para países sem adequação, recorremos às Cláusulas Contratuais-Tipo (SCC) da Comissão Europeia e a salvaguardas equivalentes do Reino Unido, acrescidas de medidas técnicas suplementares (encriptação em trânsito e em repouso).
10. Califórnia (CCPA/CPRA)
Não vendemos nem partilhamos informações pessoais conforme definido pela CCPA/CPRA, e não o fizemos nos 12 meses anteriores. Os residentes na Califórnia têm o direito de saber, corrigir, eliminar e não ser discriminados por exercerem esses direitos — utilize as ferramentas de autoatendimento nas Definições ou [email protected].
11. Segurança
Os dados são encriptados em trânsito (TLS) e as credenciais armazenadas são encriptadas em repouso (AES-256-GCM). O acesso de monitorização às suas fontes é apenas de leitura e de privilégio mínimo; o acesso de escrita só existe se ativar a Correção automática e o conceder separadamente, podendo revogá-lo a qualquer momento. As palavras-passe são armazenadas apenas como hashes scrypt com salt. Todas as ações na plataforma são registadas num registo de auditoria apenas de acréscimo. Notificamos as organizações afetadas de violações de dados pessoais sem demora injustificada, em conformidade com os artigos 33.º a 34.º do GDPR.
12. Menores
A plataforma é um serviço B2B e não se destina a menores. Não tratamos conscientemente dados de qualquer pessoa com menos de 16 anos enquanto titular de conta.
13. Alterações a esta política
Publicamos as alterações aqui e atualizamos a data de entrada em vigor no topo desta página; uma alteração produz efeitos nessa data.
14. Serviços de API da Google
A utilização e transferência, por parte da 8200.dev, de informações recebidas das APIs da Google para qualquer outra aplicação cumpre a Google API Services User Data Policy, incluindo os requisitos de Utilização Limitada.
A utilização de dados de utilizador em bruto ou derivados recebidos das APIs do Workspace cumprirá a Google User Data Policy, incluindo os requisitos de Utilização Limitada.
Não utilizamos quaisquer dados de utilizador do Google Workspace, em bruto ou derivados, para desenvolver, melhorar ou treinar modelos generalizados de inteligência artificial ou de aprendizagem automática, e não transferimos tais dados para ferramentas ou serviços de IA ou ML de terceiros para fins de treino. A análise por modelos de linguagem de grande dimensão na plataforma (através da API da Anthropic) destina-se exclusivamente a inferência e, ao abrigo dos termos comerciais da Anthropic, os dados submetidos através da API nunca são utilizados para treinar os modelos da Anthropic.
16. Contacto e encarregado da proteção de dados
Para apoio ao produto e questões gerais, contacte [email protected]. Contacto de privacidade e proteção de dados (incluindo para a função de DPO): [email protected].