O dado do cliente fica com o cliente.

1.1 Quando o ambiente do cliente não for possível

Se o cliente não tiver nuvem própria ou pedir que a START hospede a solução, criamos um ambiente exclusivo para ele, separado dos demais clientes e dos sistemas internos da START, com o mesmo conjunto de controles da seção 5. Esse arranjo fica descrito no contrato.

1.2 Treinamentos in company

Nos treinamentos, usamos casos fictícios construídos para a turma. Dos participantes, tratamos só o necessário para inscrição, presença e certificado: nome, e-mail corporativo, cargo e frequência.

2.1 Instruções do cliente

Como operadora, a START não usa dados do cliente para outra finalidade, não os compartilha fora da lista de fornecedores da seção 6 e avisa o cliente se entender que uma instrução contraria a lei.

2.2 Registro das operações

Mantemos, por projeto, o mapa de dados definido na fase de desenho: categorias de dados, finalidade, local de armazenamento, quem acessa e prazo de guarda.

3.1 Só por contrato corporativo

Usamos modelos de IA exclusivamente por interfaces corporativas (API) contratadas, cujos termos proíbem o uso dos dados enviados para treinar modelos. Nunca usamos contas de uso pessoal ou gratuitas para dados de cliente.

3.2 Ferramentas que o cliente homologou

Quando o cliente tiver política própria de IA ou lista de ferramentas autorizadas, a solução é construída sobre elas. A política do cliente prevalece sobre a nossa preferência técnica.

3.3 Pessoa no comando

A IA prepara, resume, classifica e sugere. Decisões que afetem pessoas, como contratação, crédito, avaliação ou sanção, passam sempre por revisão humana. O titular pode pedir a revisão de uma decisão tomada com apoio automatizado.

3.4 Rastreabilidade

As soluções que entregamos indicam a fonte do que a IA apresenta e registram quem usou, quando e com que finalidade, para que o cliente possa auditar o uso.

3.5 Dados sensíveis

Dados de saúde, biometria, origem racial ou étnica, opinião política, religião ou vida sexual só entram numa solução com pedido expresso do cliente, base legal identificada e avaliação de impacto antes de começar.

4.1 O que coletamos

Coletamos apenas o que a pessoa nos envia para iniciar uma conversa: nome, empresa, cargo, e-mail, telefone e a mensagem. Usamos esses dados para responder, preparar proposta e acompanhar a negociação.

4.2 Cookies e rastreamento

O site da START não usa cookies de publicidade nem ferramentas de rastreamento de terceiros. Se isso mudar, esta política será atualizada antes, e o site passará a pedir consentimento.

4.3 Comunicações

Só enviamos conteúdo e novidades para quem pediu. Toda mensagem traz a forma de sair da lista, atendida sem burocracia.

4.4 Por quanto tempo guardamos

Contatos que não viraram contrato são eliminados em até 24 meses sem interação. Dados de clientes e de contratos seguem os prazos legais e fiscais aplicáveis.

5.1 Acesso

• Contas nominais, nunca compartilhadas, com verificação em duas etapas nos sistemas administrativos.
• Menor privilégio: cada pessoa acessa só a área e a empresa de que precisa.
• Revisão de acessos a cada trimestre e retirada em até 24 horas após desligamento ou fim de projeto.
• Sessões expiram após 1 hora sem uso e exigem novo login a cada 24 horas.

5.2 Criptografia

Toda comunicação trafega criptografada (HTTPS/TLS). Bancos de dados e arquivos ficam criptografados em repouso pelos provedores de nuvem.

5.3 Separação entre clientes

Cada cliente tem ambiente próprio, com contas, chaves e domínios próprios. Nenhum ativo de um cliente ou da START é reaproveitado no ambiente de outro.

5.4 Senhas e chaves

Chaves de acesso ficam em cofre, fora do código e de pastas sincronizadas. Uma chave exposta é trocada imediatamente e o episódio segue o fluxo de incidentes da seção 7.

5.5 Desenvolvimento seguro

Toda alteração de software passa por revisão e por verificações automáticas antes de ir para produção. O código fica em repositórios privados, sem dados de cliente.

5.6 Cópias de segurança e continuidade

Cópias diárias automáticas, com uma cópia guardada fora do ambiente principal. Testamos a restauração a cada semestre e registramos o resultado.

5.7 Monitoramento e registros

Monitoramos continuamente disponibilidade, falhas e cópias de segurança, com alerta à equipe. Ações administrativas ficam registradas com autor e data.

6.1 Transferência internacional

Quando um dado sai do Brasil, a transferência se apoia nas cláusulas-padrão aprovadas pela ANPD ou em garantia equivalente prevista na lei. Clientes que exigem dados só no Brasil recebem um projeto desenhado para isso.

6.2 Mudanças na lista

Avisamos os clientes com contrato ativo antes de incluir um novo fornecedor que trate dados deles.

7.1 Quem conduz

O encarregado de dados da START coordena a resposta, com a área de operações e a diretoria jurídica. Todo incidente fica registrado, mesmo os que não exigem comunicação à ANPD.

8.1 Termo de confidencialidade

Toda pessoa que trabalha em projeto da START, da equipe ou prestadora de serviço, assina termo de confidencialidade antes de acessar informação de cliente. Quando o cliente exige termo individual próprio, ele também é assinado.

8.2 Capacitação

A equipe passa por capacitação em proteção de dados e segurança ao entrar e uma vez por ano.

8.3 O que é do cliente continua do cliente

A START reaproveita o próprio conhecimento e métodos, mas nunca dados, documentos ou informação estratégica de um cliente em outro projeto.

8.4 Devolução e eliminação

Em até 30 dias após o fim do contrato, devolvemos ao cliente o que estiver conosco e eliminamos as cópias, salvo o que a lei obrigue a guardar. Enviamos ao cliente um termo de encerramento com o que foi devolvido, eliminado e retirado de acesso.

9.1 Direitos do titular

Qualquer pessoa pode pedir confirmação de que tratamos seus dados, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revogação do consentimento. Respondemos em até 15 dias. Se a START for operadora, encaminhamos o pedido ao cliente controlador e apoiamos a resposta.

9.2 Revisão

Esta política é revista pelo menos uma vez por ano, e sempre que mudar a lei, a forma como entregamos ou a lista de fornecedores. Cada versão fica publicada com data.