Acordo de Tratamento de Dados (DPA)

1. Objeto e partes

Este DPA aplica-se sempre que a AAA Sentinel trate dados pessoais por conta do cliente no âmbito da prestação do serviço (por exemplo, dados dos usuários que o cliente cadastra em sua conta, ou metadados de suas contas cloud). O cliente atua como controlador dos dados e a AAA Sentinel como operadora, no sentido do artigo 4º do Regulamento (UE) 2016/679 (RGPD).

2. Objeto, natureza e finalidade do tratamento

A AAA Sentinel trata dados pessoais por conta do cliente para prestar a Plataforma de FinOps, postura de contas e governação do gasto de IA:

• Natureza: hospedagem, processamento automatizado, análise e geração de relatórios e tickets.
• Finalidade: autenticar os usuários do cliente, analisar custo e configuração das contas ligadas, ler gasto de APIs de IA ligadas, gerar recomendações, alertas e tickets, executar ações de agente aprovadas e faturar o serviço.
• Duração: enquanto vigorar o contrato de serviço, mais o período de retenção descrito na seção 3.

3. Duração

Este DPA entra em vigor quando o cliente começa a usar a Plataforma e permanece em vigor enquanto a AAA Sentinel tratar dados pessoais por conta do cliente, incluindo o período posterior ao cancelamento descrito na Política de Privacidade (retenção de até 3 meses para exportação ou reativação, ou de 14 dias se o cliente solicitar a exclusão pelo seu perfil, seguida de revogação dos acessos e eliminação completa).

4. Categorias de titulares e de dados

O tratamento pode envolver as seguintes categorias:

• Titulares: funcionários e colaboradores do cliente com acesso à Plataforma e, com o módulo de segurança, as pessoas que operam as suas contas cloud.
• Dados: nome, email, função, registros de atividade e, das pessoas que operam as contas cloud, a identidade (ARN) e o IP de origem de cada alteração crítica, guardados durante 90 dias.
• Metadados técnicos: ARN de funções IAM, IDs de Service Principal, chaves de Service Account cifradas, identificadores de recursos (que podem incluir nomes de utilizadores IAM) nos achados e na cobertura da análise, chaves de API de IA cifradas.
• A AAA Sentinel não acede ao conteúdo de aplicação (código, dados de negócio nas bases do cliente) além dos metadados de custo, configuração e postura necessários, dos ficheiros da sua exportação FOCUS e, se ativar os fluxos de monitorização, da busca de um trace nos seus logs e da verificação de uma chave no DynamoDB ou no S3 (a configuração das funções, como Lambda, Cloud Functions ou Cloud Run, inclui os valores das suas variáveis de ambiente, que não são guardados), e não usa as chaves de IA para fins distintos do serviço contratado.

5. Instruções do controlador

A AAA Sentinel trata os dados pessoais somente conforme instruções documentadas do cliente, entendidas como fornecidas pela contratação do serviço, sua configuração na Plataforma e este DPA. Se a AAA Sentinel considerar que uma instrução infringe o RGPD ou outra legislação de proteção de dados aplicável, comunicará o cliente antes de executá-la.

6. Confidencialidade da equipe

A AAA Sentinel garante que as pessoas autorizadas a tratar os dados pessoais se comprometeram com a confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade, e receberam treinamento adequado em proteção de dados.

7. Medidas de segurança

A AAA Sentinel aplica as medidas técnicas e organizacionais descritas na seção 7 da Política de Privacidade, que incluem:

• Criptografia em trânsito (TLS 1.2+) e em repouso (AES-256).
• Credenciais de acesso cloud criptografadas com AWS KMS por meio de uma chave gerida pela AAA Sentinel.
• Isolamento multi-tenant verificado em cada endpoint da API.
• Registro de auditoria das ações realizadas sobre os dados, ao qual a aplicação apenas acrescenta entradas.
• Autenticação multifator obrigatória para a equipe com acesso a dados da plataforma.

8. Subprocessadores

O cliente autoriza, em caráter geral, que a AAA Sentinel recorra aos seguintes subprocessadores para prestar o serviço:

• Amazon Web Services (AWS): infraestrutura, região EU-West-1 (Irlanda), e EU-Central-1 (Frankfurt) para confirmar as quedas do monitoramento. Cognito, DynamoDB, Lambda, S3 e KMS.
• Stripe: pagamentos, PCI DSS Nível 1.
• Google Cloud (Vertex AI, Gemini): assistência de IA principal, multirregião UE, sem treino de modelos.
• Amazon Bedrock (AWS): contingência da assistência de IA quando o Gemini falha, região us-east-1 (EUA), sem treino de modelos.
• Slack, Jira ou Linear só quando o cliente os liga como destino de alertas ou tickets (tratamento por instrução do controlador).

A AAA Sentinel informará o cliente sobre qualquer mudança prevista nesta lista com antecedência razoável, para que o cliente possa se opor por motivos justificados relacionados à proteção de dados.

9. Transferências internacionais

Quando um subprocessador tratar dados fora do Espaço Econômico Europeu, a AAA Sentinel garante que a transferência esteja amparada pelas Cláusulas Contratuais Padrão da Comissão Europeia, por uma decisão de adequação, ou pelo EU-US Data Privacy Framework, conforme aplicável.

10. Acesso interno da equipe de plataforma

Uma pequena equipe interna da AAA Sentinel acessa métricas agregadas para operar a Plataforma, faturar corretamente e prestar suporte, sob as seguintes garantias (detalhadas na seção 12 da Política de Privacidade):

• Princípio de agregação: sem acesso ao conteúdo de achados, identificadores de recursos cloud, credenciais ou relatórios do cliente.
• Autenticação reforçada (MFA) em um diretório de identidade separado do de clientes.
• Registro de auditoria de cada acesso.
• Segregação de funções: o acesso a dados econômicos é restrito a papéis específicos.
• Sem acesso por representação no produto atual.

11. Assistência ao controlador

A AAA Sentinel auxiliará o cliente, na medida do razoável e considerando a natureza do tratamento, no cumprimento de suas obrigações de responder a solicitações de exercício de direitos dos titulares e, quando aplicável, de realizar avaliações de impacto e consultas prévias à autoridade de controle.

12. Notificação de violações de segurança

A AAA Sentinel notificará o cliente sem demora indevida, e em qualquer caso dentro de 72 horas após tomar conhecimento, sobre qualquer violação de dados pessoais que o afete, com as informações necessárias para que o cliente cumpra suas próprias obrigações de notificação.

13. Auditorias

A AAA Sentinel disponibilizará ao cliente as informações necessárias para demonstrar o cumprimento das obrigações estabelecidas neste DPA e permitirá auditorias razoáveis, incluindo inspeções, realizadas pelo cliente ou por um auditor por ele autorizado, mediante aviso prévio razoável e sujeitas aos compromissos habituais de confidencialidade.

14. Devolução e eliminação de dados

Ao término da prestação do serviço, e salvo obrigação legal de retenção em contrário, a AAA Sentinel eliminará ou devolverá ao cliente os dados pessoais tratados, conforme os prazos descritos na seção 8 da Política de Privacidade. O cliente pode ainda baixar seus dados a qualquer momento pelo seu perfil e solicitar a exclusão, que é executada após 14 dias, salvo se for cancelada antes.

15. Legislação aplicável e contato

Este DPA é regido pela mesma legislação e jurisdição dos Termos e Condições. Para qualquer dúvida relacionada a este acordo: compliance@aaa-sentinel.com.