Política de Privacidade

01Quem somos e o que esta política cobre

O anonimiza.ai é uma plataforma corporativa de proteção de documentos, disponível em https://shinra.anonimiza.ai. Empresas nos contratam para cifrar, anonimizar e rastrear os documentos do próprio acervo, que continua morando onde sempre esteve: Google Drive, SharePoint, OneDrive ou servidor de arquivos.

Esta política vale para este site, para a aplicação web e para as integrações com provedores de acervo, entre elas o Google Workspace e o Google Drive.

Há dois papéis diferentes aqui, e a distinção decide a quem você dirige um pedido:

• Sobre o CONTEÚDO dos documentos da empresa cliente, somos operador. Quem decide o que é tratado e para quê é a empresa contratante, que é a controladora. Nós agimos por instrução dela.
• Sobre os dados de quem usa a plataforma (nome, e-mail corporativo, registros de acesso) e sobre os dados desta página, somos controladores.

02Quais dados do Google o aplicativo acessa, e por quê

O acesso só existe depois que o administrador do Google Workspace da empresa autoriza, na tela de consentimento do Google. Pedimos estes escopos, e nenhum outro:

Quem lê um documento entra com a própria conta Google e concede só openid, email e drive.install. Nenhum deles dá acesso a arquivo: servem para confirmar quem está lendo e para pôr o anonimiza.ai no menu "Abrir com" do Drive dessa pessoa.

Não pedimos escopo que o produto não use. Se um recurso novo exigir outro escopo, ele só passa a valer depois de um consentimento novo do administrador.

Quando alguém clica em "Abrir com anonimiza.ai" dentro do Drive, o Google nos envia apenas o identificador do arquivo, a ação e o identificador do usuário. Lemos aquele arquivo. Fora dele, a plataforma lista as pastas que o administrador marcou como vigiadas, para reconhecer documento novo que precisa de proteção. Nenhuma outra parte do acervo é lida.

03Como usamos esses dados

As informações recebidas das APIs do Google servem apenas para entregar as funções que a empresa contratou:

• Cifrar o documento em repouso, no acervo do próprio cliente.
• Anonimizar: tarjar os campos sensíveis que o grupo de quem está lendo não pode ver.
• Aplicar a marca de rastreabilidade, que permite atribuir a origem de um vazamento ao leitor e ao momento em que ele abriu o documento.
• Registrar as operações de tratamento, que é o que sustenta o relatório de conformidade da empresa perante a LGPD.

E para mais nada. Em particular:

• Não vendemos dados pessoais e não os cedemos a corretores de dados.
• Não usamos esses dados para publicidade, remarketing ou perfilamento.
• Não usamos o conteúdo dos documentos, nem os dados do Workspace, para desenvolver, treinar ou aprimorar modelos de inteligência artificial generalizados.
• Ninguém da nossa equipe lê o conteúdo dos documentos, salvo nas exceções descritas na seção seguinte.

04Uso Limitado dos dados das APIs do Google

Em português: o uso e a transferência, pelo anonimiza.ai, de informações recebidas das APIs do Google para qualquer outro aplicativo obedecem à Política de Dados do Usuário dos Serviços de API do Google, inclusive aos requisitos de Uso Limitado. O que isso quer dizer na prática:

• Usamos as informações recebidas das APIs do Google apenas para fornecer e aprimorar as funções visíveis ao usuário dentro do anonimiza.ai.
• Não transferimos essas informações, exceto quando necessário para fornecer ou aprimorar essas funções, para cumprir a lei, ou no âmbito de fusão ou aquisição, e neste caso com aviso prévio e consentimento.
• Não usamos essas informações para publicidade, de nenhuma forma.
• Não permitimos que pessoas leiam essas informações, salvo com o consentimento expresso do usuário, por motivo de segurança (investigação de abuso ou de incidente, por exemplo), para cumprir a lei, ou quando os dados estiverem agregados e anonimizados para operações internas.

05Por onde o documento passa

O documento em claro não fica conosco. A leitura acontece na memória do servidor, nesta ordem, e nada do original é gravado em disco nosso:

1. A plataforma baixa o arquivo do Drive, usando o token da conexão que o administrador autorizou.
2. Decifra o arquivo, se ele já estiver protegido no cofre.
3. Classifica os campos sensíveis e aplica a tarja conforme o grupo de quem está lendo.
4. Aplica a marca de rastreabilidade.
5. Entrega o documento alterado ao leitor.

Quando a visualização nativa do Drive precisa de um arquivo para abrir, a plataforma cria uma cópia temporária, já tarjada e marcada para quem abriu, com o prefixo ~anon-. Ela nasce numa área da conta da conexão da empresa (o Meu Drive dessa conta, no Google; uma pasta própria no OneDrive dela, na Microsoft), fora de qualquer pasta compartilhada, e é compartilhada somente com o e-mail verificado de quem abriu. Qualquer outra permissão é removida; se alguma não puder ser removida, a cópia é apagada e a abertura é recusada. Ela é apagada quando a aba fecha, e um recolhedor varre essa área periodicamente para remover o que tenha sobrado de uma sessão interrompida.

A classificação dos campos sensíveis acontece de um de dois modos, conforme o plano contratado pela empresa:

• Modo nuvem: o conteúdo é enviado ao nosso motor de classificação e, dentro dele, ao Google Cloud Vertex AI, em região dos Estados Unidos. Pelos termos do Google Cloud, o conteúdo enviado ao Vertex AI não é usado pelo Google para treinar modelos.
• Modo on-premise: a classificação roda inteiramente dentro do perímetro do cliente, em modelos servidos na infraestrutura dele. O conteúdo não sai da rede da empresa.

06Extensão do Chrome para o Google Drive

A extensão "anonimiza.ai para Google Drive" é instalada pelo administrador do Google Workspace da empresa. Ela faz o duplo clique (ou a tecla Enter) num arquivo .senv da lista do Google Drive abrir o documento no anonimiza.ai, inclusive em drives compartilhados.

Ela não coleta, não guarda e não envia dados. Na página do Drive, lê apenas o nome e o identificador do item que a pessoa acionou, e só para saber se é um .senv; quando é, abre uma aba do anonimiza.ai com esse identificador, e daí em diante valem o login e as regras desta política. Ela não lê o conteúdo de arquivos, não age em outros sites e não carrega código de fora do pacote publicado.

A única configuração que ela lê é o endereço da plataforma, quando o administrador da empresa o define por política gerenciada do Chrome.

07O que fica guardado, e por quanto tempo

Guardamos o mínimo para o produto funcionar e para a empresa conseguir prestar contas. Em concreto:

08Com quem compartilhamos

Não vendemos dados pessoais. O compartilhamento acontece em três situações, e em nenhuma delas o destinatário recebe o dado para finalidade própria:

• Com a própria empresa cliente, dona do acervo e controladora do conteúdo.
• Com fornecedores de infraestrutura estritamente necessários para operar o serviço: Amazon Web Services, onde a aplicação e o banco de dados rodam, e Google Cloud, quando a classificação em modo nuvem é usada. Eles tratam os dados apenas sob nossas instruções.
• Com autoridades públicas, quando houver obrigação legal ou ordem judicial. Nesse caso comunicamos a empresa cliente, salvo quando a própria lei proibir o aviso.

09Segurança

• Tráfego cifrado em trânsito, com TLS.
• Tokens e segredos cifrados em repouso, com as chaves guardadas fora do banco de dados.
• Acesso à produção restrito à equipe responsável e registrado.
• Comportamento à prova de falha: quando a plataforma não consegue determinar com certeza o grupo de quem está lendo, ela tarja tudo, em vez de arriscar mostrar demais.
• Segregação por cliente: cada conexão responde por um único Workspace, e um clique que não case com um domínio conhecido é recusado com uma mensagem clara, em vez de cair no cliente errado.

Nenhum sistema é infalível. Havendo incidente de segurança com risco relevante, comunicamos a empresa cliente e a autoridade competente nos prazos da lei.

10Como revogar o acesso e pedir a eliminação

A empresa pode encerrar o nosso acesso quando quiser, por qualquer destes caminhos:

• Desconectar o Google Drive na própria plataforma, em Integrações.
• Remover o aplicativo em myaccount.google.com/permissions.
• Remover a instalação no Admin Console do Google Workspace, o que vale para o domínio inteiro.

Revogar interrompe o acesso na hora: os tokens deixam de funcionar e nenhuma operação nova acontece. Para apagar também o que já está guardado, escreva para [email protected]. A eliminação é concluída em até 30 dias, ressalvado o que a lei obrigue a manter.

11Direitos do titular

A LGPD garante ao titular a confirmação da existência de tratamento, o acesso, a correção, a anonimização, o bloqueio, a eliminação, a portabilidade, a informação sobre compartilhamento e a revogação do consentimento. Quem estiver na União Europeia tem direitos equivalentes pelo GDPR.

Quando o pedido é sobre o conteúdo de um documento da empresa cliente, a controladora é ela, e é a ela que o pedido deve ser dirigido: nós apoiamos o atendimento, e a plataforma tem um fluxo próprio para receber e responder esses pedidos. Quando o pedido é sobre os seus dados de uso da plataforma, fale direto conosco por [email protected].

12Transferência internacional

A plataforma roda em infraestrutura no Brasil. Há duas exceções, as duas já descritas acima: a classificação em modo nuvem usa o Google Cloud Vertex AI em região dos Estados Unidos, e as próprias APIs do Google são serviços globais. Essas transferências se apoiam nas cláusulas contratuais dos fornecedores e nas hipóteses do artigo 33 da LGPD.

13Menores de idade

O anonimiza.ai é um produto corporativo, contratado por empresas e usado por seus funcionários. Não é dirigido a menores de 18 anos e não coletamos dados de crianças e adolescentes de forma consciente.

14Mudanças nesta política

Quando esta política mudar, a data de vigência no topo muda junto. Mudança material é comunicada às empresas clientes antes de passar a valer, e qualquer mudança que amplie o uso dos dados recebidos das APIs do Google depende de um consentimento novo do administrador, não basta reescrever esta página.

15Contato

Para qualquer assunto desta política, inclusive pedidos de titular e comunicação de incidente: [email protected].