LGPD: Lei Geral de Proteção de Dados

1. Dados pessoais tratados pela plataforma

A Tangerin AI trata a menor quantidade possível de dados pessoais: apenas o estritamente necessário para a prestação do serviço (princípio da minimização). Os dados pessoais processados são:

1.1 Dados coletados pelo agente de endpoint, pela extensão de navegador e pelas integrações

1.2 Dados dos administradores da plataforma

1.3 O que NÃO é coletado

• Dados sensíveis (saúde, biometria, origem racial, convicções religiosas, etc.).
• Conteúdo de conversas com ferramentas de IA.
• Conteúdo de arquivos, documentos ou e-mails.
• Teclas digitadas ou capturas de tela.
• Dados pessoais de clientes finais da organização contratante.

2. Finalidades do tratamento

Os dados pessoais tratados pela Tangerin AI têm as seguintes finalidades, todas vinculadas ao serviço contratado:

• Identificar quais ferramentas de IA são usadas por quais estações de trabalho e usuários.
• Gerar relatórios de risco, scores de governança e evidências de conformidade regulatória.
• Emitir alertas configurados pela organização (ex: detecção de ferramenta proibida).
• Analisar padrões individuais de uso (horário, jornada e volume de acesso) para fins de segurança da informação e detecção de uso anômalo de ferramentas de IA.
• Autenticar administradores e manter a segurança da plataforma.
• Cumprir obrigações legais e atender autoridades competentes.

Os dados não são usados para fins de publicidade, análise comportamental de consumidores ou tomada de decisões automatizadas com efeito jurídico sobre os funcionários monitorados.

3. Obrigações da organização contratante (Controladora)

A organização que contrata a Tangerin AI é a controladora dos dados dos seus funcionários. Para uso em conformidade com a LGPD, recomendamos que a organização:

• Informe os funcionários sobre a instalação do agente, sua finalidade, os tipos de dados coletados e os direitos que possuem, preferencialmente por meio de uma Política de Uso de IA Corporativa (a plataforma Tangerin AI oferece um editor e módulo de assinatura digital para essa política).
• Identifique a base legal adequada para o tratamento no contexto da relação de trabalho: habitualmente, o legítimo interesse do empregador em proteger seus ativos de informação (art. 7º, IX) ou a execução do contrato de trabalho (art. 7º, V).
• Atualize seu RIPD (Relatório de Impacto à Proteção de Dados) para incluir o tratamento realizado por meio da Tangerin AI.
• Atenda as requisições de direitos dos titulares (funcionários) que solicitarem informações sobre os dados coletados. A Tangerin AI fornece suporte operacional para exportação e exclusão de dados mediante solicitação da organização.
• Assine um Contrato de Operação de Dados (Data Processing Agreement, DPA) com a Tangerin AI, disponível mediante solicitação para privacidade@tangerinai.com.

4. Direitos dos titulares

Os funcionários cujos dados são tratados por meio da Tangerin AI (titulares) têm os seguintes direitos garantidos pela LGPD (arts. 17 a 22):

As requisições dos titulares devem ser encaminhadas à organização empregadora (controladora), que pode acionar a Tangerin AI (operadora) pelo e-mail privacidade@tangerinai.com para obter as informações ou realizar as operações necessárias. A Tangerin AI responde à organização em até 5 dias corridos, contados do pedido da organização, para que ela cumpra o prazo de 15 dias corridos do art. 19, II, da LGPD, que conta do requerimento do titular.

Nos dados que a Tangerin AI trata como controladora (seção 3 da Política de Privacidade), o titular faz o pedido diretamente à Tangerin AI, pelo e-mail privacidade@tangerinai.com.

5. Armazenamento e transferência internacional de dados

O banco de dados principal (Supabase, Inc.) está hospedado na região São Paulo (sa-east-1), e a aplicação web roda na região São Paulo da Vercel (gru1): os dados da plataforma são armazenados no Brasil.

Há transferência internacional quando um subprocessador guarda ou trata o dado fora do Brasil (seção 8): os e-mails enviados pela plataforma, que saem por São Paulo e ficam guardados pela Resend, Inc. nos Estados Unidos; a entrega das páginas pela rede global da Vercel, Inc.; os pagamentos feitos fora do Brasil, pela Stripe, Inc.; a medição de audiência do site institucional, pelo Google Analytics (Google LLC); e as mensagens enviadas às caixas de e-mail de contato da Tangerin AI, guardadas no iCloud da Apple Inc. Os pagamentos feitos no Brasil são processados pelo Asaas Gestão Financeira S.A., empresa brasileira. Essa transferência ocorre com base em:

• Cláusulas contratuais padrão compatíveis com o art. 33 da LGPD.
• Certificações de segurança equivalentes exigidas contratualmente dos subprocessadores.

A ANPD publicou regulamentação sobre transferência internacional (Resolução CD/ANPD n.º 19/2024), que orienta a prática adotada pela Tangerin AI.

6. Segurança dos dados

A Tangerin AI adota as seguintes medidas técnicas e organizacionais de segurança:

• Criptografia em repouso e em trânsito (TLS 1.2+) em toda a infraestrutura.
• Isolamento multi-tenant por Row Level Security no banco de dados.
• Autenticação do agente por chave de API única por organização, rotacionável a qualquer momento.
• Log de auditoria de todas as ações administrativas na plataforma.
• Acesso interno aos dados de clientes restrito a colaboradores autorizados.
• Política de revisão de segurança periódica da infraestrutura.

O detalhamento completo das medidas técnicas e organizacionais está disponível na página Segurança da Informação, incluindo nosso processo de divulgação responsável de vulnerabilidades.

7. Incidentes de segurança

• Como operadora (dados tratados pela plataforma em nome da organização contratante): ao tomar ciência de um incidente de segurança que afete dados pessoais da organização, a Tangerin AI avisa a organização contratante, que é a controladora, em até 72 horas, com as informações disponíveis sobre a natureza dos dados afetados, os titulares envolvidos e as medidas adotadas; adota medidas de contenção e remediação; e apoia a organização na avaliação do risco e nas comunicações à ANPD e aos titulares, que cabem a ela como controladora.
• Como controladora (dados de quem visita o site, faz o diagnóstico gratuito, se cadastra, contrata e usa a conta ou pede acesso a um Trust Center): quando o incidente puder acarretar risco ou dano relevante aos titulares, a Tangerin AI comunica a ANPD e os titulares afetados em até 3 dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, conforme o art. 48 da LGPD e a Resolução CD/ANPD n.º 15/2024.

Incidentes devem ser reportados à Tangerin AI pelo e-mail seguranca@tangerinai.com.

8. Subprocessadores

n/d: informação não publicada pelo fornecedor ou ainda não conferida pela Tangerin AI. As certificações são do fornecedor e cobrem a infraestrutura dele, não a operação da Tangerin AI.

O site institucional também exibe selos de avaliação carregados dos sites SourceForge e SaaSHub, que recebem o endereço IP de quem visita (Política de Privacidade, seção 11). Eles não recebem dados da plataforma.

A exclusão dos dados da organização na Tangerin AI (a pedido ou automática) não apaga o cadastro dela no Asaas ou na Stripe, que o mantêm conforme as próprias obrigações legais; os titulares e a organização podem exercer os seus direitos diretamente com eles.

9. Encarregado de Proteção de Dados (DPO)

Nos termos do art. 41 da LGPD, a Tangerin AI indica o seguinte canal para comunicações relacionadas à proteção de dados:

10. Recursos para conformidade da organização contratante

A plataforma Tangerin AI oferece ferramentas nativas que auxiliam a organização contratante a cumprir a LGPD internamente: