Segurança e LGPD

Em regra, a sua empresa é a controladora: é ela quem decide as finalidades e a forma do tratamento. A Athom8 atua como operadora e trata os dados em nome da sua empresa, segundo as instruções dela (art. 5º, VI e VII, e art. 39 da LGPD).

Esses papéis ficam definidos no contrato de cada projeto, antes do início do trabalho.

Um NDA (acordo de confidencialidade) e um acordo de tratamento de dados. Nenhum acesso a dados da empresa acontece antes dessas assinaturas.

Os contratos do projeto registram o papel de cada parte, as instruções da sua empresa para o tratamento, os suboperadores, o local dos dados e os prazos de retenção.

Não. Os fornecedores de IA usados nos projetos são configurados com vedação de uso dos dados para treinamento.

Quando o projeto usa um modelo open-source self-hosted, o modelo roda na infraestrutura definida em contrato. Assim, nenhum fornecedor de modelo recebe os dados.

Claude (Anthropic), Gemini (Google), GPT (OpenAI) ou modelos open-source self-hosted. A escolha é feita em cada projeto, conforme a política de dados da sua empresa.

Se a sua política não permitir o envio de dados a fornecedores externos de IA, o projeto pode usar um modelo open-source self-hosted.

Os suboperadores e o local de armazenamento e de processamento dos dados são definidos em contrato para cada projeto, conforme a política de dados do cliente. Em geral, a lista inclui o fornecedor do modelo de IA e o provedor de infraestrutura escolhidos.

Se o projeto envolver transferência internacional de dados, ela segue as hipóteses e as salvaguardas do art. 33 da LGPD.

Com minimização e pseudonimização. Cada automação recebe apenas os dados necessários para a sua finalidade. Na pseudonimização, identificadores diretos, como nome e CPF, são trocados por códigos. A informação que permite desfazer a troca fica guardada em separado, em ambiente controlado e seguro (art. 13, § 4º, da LGPD).

Dados pessoais sensíveis (art. 5º, II) só são tratados com base em uma das hipóteses do art. 11 da LGPD. Essa hipótese é definida pela sua empresa, como controladora, e registrada em contrato. Os fornecedores de IA ficam configurados com vedação de uso dos dados para treinamento.

O prazo de retenção é definido em contrato para cada projeto, conforme a política de dados do cliente e as obrigações legais aplicáveis. Ao fim do tratamento, os dados são devolvidos à sua empresa ou eliminados, conforme o contrato e os arts. 15 e 16 da LGPD.

Os prazos para os dados de quem entra em contato pelo site estão na Política de Privacidade.

Cada automação tem registro de acessos, documentação técnica e trilha de auditoria. Esses registros permitem verificar quem acessou os dados, quando e o que a automação executou.

O formato dos registros, o tempo de guarda e a forma como a sua empresa verifica o cumprimento das instruções dela (art. 39 da LGPD) são definidos em contrato.

Não. Pelo princípio que orienta todos os projetos, nenhuma automação pratica ato privativo ou torna uma operação oficial sem aprovação humana. Essa aprovação cabe a uma pessoa autorizada pela sua empresa.

O princípio está alinhado ao art. 20 da LGPD, que garante ao titular a revisão de decisões tomadas unicamente com base em tratamento automatizado.

Com a sua empresa. A propriedade intelectual das entregas, incluindo o código e a documentação técnica, é transferida ao cliente. Há também a opção de escrow do código-fonte, nas condições do contrato.

Os dados continuam sob o controle da sua empresa, como controladora. A Athom8 trata os dados somente para executar o contrato. Ao fim dele, os dados são devolvidos ou eliminados, como o contrato definir.

Esse é o objetivo do bloco Fim do shadow AI. O uso de IA na empresa passa para contas corporativas, com política de uso institucional e regras operacionais escritas.

Assim, a sua empresa sabe quais ferramentas de IA estão em uso, em quais contas e sob quais regras.

Por homologação formal. Cada módulo tem especificação própria, com o escopo e os critérios de aceite. A sua equipe valida o módulo com base nessa especificação e registra o aceite.

Depois do aceite, o módulo entra em garantia de estabilização, pelo período e nas condições definidos em contrato.

A Athom8 comunica a sua empresa sem demora, em até [prazo de aviso ao cliente]. O aviso traz as informações disponíveis: o que aconteceu, quais dados e titulares podem ter sido afetados e as medidas já adotadas.

A Athom8 também apoia a sua empresa, como controladora, na avaliação do incidente e na comunicação à ANPD e aos titulares, nos termos do art. 48 da LGPD e da regulamentação da ANPD.

Sim. O encarregado pelo tratamento de dados pessoais da Athom8 (art. 41 da LGPD) é [Nome do encarregado]. O contato é contato@athom8.com.br.