Adendo de tratamento de dados

1. Quando se aplica e quem é quem

Este adendo faz parte dos Termos e condições. Aceitá-los implica aceitar este adendo. Quando os dois divergirem quanto ao tratamento de dados pessoais, prevalece este adendo.

Ele se aplica quando você coloca no Theruka Decision Memory dados pessoais de outras pessoas: um colega indicado como responsável por um marco, uma parte interessada na lista de um projeto, alguém que você convida, alguém a quem envia um link de compartilhamento. Em relação a esses dados, você é o controlador e a TECNOLOGIAS DE LA INFORMACION THERUKA SPA é a sua operadora.

Ele não se aplica aos dados da sua própria conta: o seu endereço de login e os seus registros de cobrança. Desses nós somos o controlador, e eles são regidos pela política de privacidade.

Se você é uma pessoa que usa o produto para si mesma e não mantém nele dados pessoais de mais ninguém, nada do que está aqui se aplica.

2. O que tratamos e por quanto tempo

Objeto: a operação do produto para você. Duração: enquanto a sua conta existir, e não mais; veja a cláusula 9.

Natureza e finalidade: armazenar, exibir, organizar e exportar o conteúdo de programa que você insere, compartilhá-lo com as pessoas que você indicar, gerar relatórios e rascunhos de IA quando uma pessoa da sua conta pedir, e manter cópias de segurança.

Tipos de dados pessoais: nomes, endereços de e-mail, papéis e cargos, e qualquer outra coisa que você decida digitar em um projeto, marco, risco, decisão, comentário ou arquivo enviado. Não exigimos nenhum deles e não temos nenhum campo que os solicite.

Categorias de titulares dos dados: os membros da sua equipe e qualquer terceiro que você mencione no conteúdo dos seus programas (partes interessadas, fornecedores, clientes seus).

3. Agimos apenas conforme as suas instruções

Tratamos esses dados pessoais apenas conforme as suas instruções documentadas, que são: estes termos, este adendo e o seu uso dos recursos do produto.

Não os usamos para finalidades próprias. Não os vendemos, não os usamos para treinar nem fazer ajuste fino (fine-tuning) de modelos de IA, não construímos perfis a partir deles e não os combinamos com dados pessoais de outro cliente.

A biblioteca de padrões descrita na política de privacidade não é uma exceção a essa frase, porque nada nela é dado pessoal: ela guarda quatro valores por mitigação avaliada (duas classificações, um veredito e um mês), todos extraídos de listas fixas, sem texto livre, sem identificador e sem nenhum campo que descreva o programa. Se isso deixasse de ser verdade, esta cláusula teria de mudar, e ela não mudou.

Se a lei algum dia nos exigir tratá-los de outra forma, avisaremos você antes de fazê-lo, a menos que a lei nos proíba de avisar.

4. Confidencialidade

Todas as pessoas que podem acessar os seus dados estão sujeitas a obrigações de confidencialidade, e o acesso é limitado a quem precisa dele para operar ou dar suporte ao serviço.

O acesso é controlado no servidor em cada requisição, não no navegador, e é limitado à conta à qual o registro pertence.

5. Segurança

Todo registro pertence a uma conta e é lido e gravado pelo identificador dessa conta, com escopo limitado no servidor em cada requisição. Os dados de uma conta nunca são mesclados com os de outra, nunca são agrupados para produzir um resultado compartilhado e nunca são usados para responder à solicitação de outra conta.

Os dados são criptografados em trânsito. As credenciais que mantemos em seu nome (um token da API do Jira, por exemplo) são criptografadas em repouso com AES-256-GCM e nunca são devolvidas a um navegador; apenas os últimos quatro caracteres desse token podem ser exibidos.

Não há senhas para roubar: o login é feito pelo Google ou por um link de uso único enviado por e-mail, e uma sessão é um cookie assinado, não um registro no servidor.

Veja a cláusula 11 para saber o que não oferecemos.

6. Suboperadores

Você autoriza os suboperadores listados na política de privacidade, que indica cada um deles, o que trata e onde está. Essa lista é pública e mantida atualizada.

Daremos a você um aviso com pelo menos 60 dias de antecedência antes de incluir ou substituir um suboperador que trate dados pessoais em seu nome. Se você se opuser por motivos razoáveis de proteção de dados dentro desse prazo, trabalharemos com você para encontrar uma solução; se nenhuma for encontrada, você poderá encerrar a parte afetada do serviço e receber um reembolso proporcional de qualquer período pago e não utilizado.

Cada suboperador está vinculado a termos não menos protetivos do que estes, e continuamos responsáveis perante você pelo desempenho deles.

7. Violação de dados pessoais: 72 horas

Se tomarmos conhecimento de uma violação de dados pessoais que afete dados pessoais que tratamos em seu nome, notificaremos você sem atraso injustificado e, em qualquer caso, em até 72 horas após tomarmos conhecimento dela.

A notificação descreverá o que soubermos: a natureza da violação, as categorias e o número aproximado de registros envolvidos, as consequências prováveis e o que estamos fazendo a respeito. Se ainda não tivermos todas essas informações, enviaremos o que tivermos em vez de esperar, e daremos seguimento.

As 72 horas contam a partir do NOSSO conhecimento, e são deliberadamente o mesmo prazo que a regulamentação dá a você para a sua própria notificação, para que você não descubra uma violação com o seu prazo já esgotado.

Não notificaremos a sua autoridade de controle nem os titulares dos dados em seu nome. Essa decisão cabe a você, e daremos o que você precisar para tomá-la.

8. Ajudar você a responder às pessoas

A maior parte disso você pode fazer sozinho, imediatamente, sem nos pedir: o produto permite encontrar, corrigir e excluir qualquer registro do seu espaço de trabalho, e baixar os relatórios dele em PDF. Uma cópia completa e legível por máquina do espaço de trabalho não é autoatendimento: nós a produzimos mediante solicitação, sem custo, em até 30 dias.

Quando alguém exercer um direito e o produto não permitir atendê-lo, ajudaremos você, sem custo para um volume razoável de solicitações.

Se um titular dos dados entrar em contato diretamente conosco sobre dados que mantemos em seu nome, não responderemos quanto ao mérito: diremos a ele que entre em contato com você, e avisaremos você de que ele perguntou.

Também forneceremos as informações de que você razoavelmente precisar para uma avaliação de impacto sobre a proteção de dados ou para uma consulta prévia a uma autoridade de controle, no que diz respeito ao nosso tratamento.

9. Exclusão ao final

Você pode excluir tudo sozinho, a qualquer momento, de dentro do produto. Quando o proprietário de uma conta a exclui, o espaço de trabalho e tudo o que ele contém são apagados permanentemente: projetos, portfólios, marcos, riscos, mitigações, decisões, relatórios, integrações e links de compartilhamento. É imediato e não pode ser desfeito, nem por você nem por nós.

Não há período de retenção nem arquivo. Não mantemos uma cópia oculta.

O que permanece é o seu registro de cobrança e o registro de que você aceitou estes documentos, porque somos obrigados a manter o primeiro e porque o segundo é a prova deste acordo. Nenhum dos dois contém o conteúdo dos seus programas.

As cópias de segurança são sobrescritas no seu ciclo normal.

10. Transferências internacionais

Todo o tratamento ocorre nos Estados Unidos. Quando dados pessoais são transferidos para fora do Espaço Econômico Europeu, do Reino Unido ou da Suíça, a transferência é coberta pelas Cláusulas Contratuais-Tipo da Comissão Europeia, com o Adendo do Reino Unido e as alterações suíças, conforme aplicável.

A política de privacidade expõe isso em detalhe, incluindo como obter uma cópia das salvaguardas.

11. O que não oferecemos, dito com clareza

Não temos relatório SOC 2, nem certificado ISO 27001, nem nenhuma auditoria de terceiros equivalente. Se o seu processo de compras exigir um, hoje não atendemos a esse requisito, e preferimos que você saiba disso agora, e não depois de um questionário.

Não oferecemos auditorias presenciais nem auditorias físicas por terceiros. Responderemos a um questionário de segurança por escrito e forneceremos as informações razoavelmente necessárias para demonstrar o cumprimento deste adendo, uma vez em qualquer período de doze meses, e com mais frequência se uma autoridade de controle exigir.

Não oferecemos um índice de disponibilidade garantido nem um compromisso de nível de serviço, em linha com os termos.

Não assinaremos um Business Associate Agreement, e o produto não é adequado para dados abrangidos pela HIPAA. Nunca armazenamos dados de titulares de cartão, de modo que nenhuma parte do produto está no escopo do PCI DSS.

Estes são limites, não aspirações. Se algum deles mudar, este adendo muda junto e recebe uma nova versão.

12. Responsabilidade, alterações e precedência

As disposições sobre responsabilidade dos Termos e condições se aplicam a este adendo, e os dois constituem um único acordo para essa finalidade.

Podemos atualizar este adendo. Cada versão tem uma data, e a versão em vigor quando você aceitou os termos fica registrada na sua conta. Quando uma alteração reduzir a sua proteção, pediremos que você a aceite antes que ela se aplique a você.

Dúvidas, ou uma cópia assinada por ambas as partes para os seus registros: support@theruka.com.