Aviso de Privacidade e Uso de Dados do Lupa CuboPlus

Este Aviso explica como os dados pessoais dos usuários finais são tratados no Lupa CuboPlus ("Lupa"), conforme a Lei nº 13.709/2018 (LGPD). O papel de cada um depende da finalidade: quanto ao conteúdo das consultas, a sua Organização é a controladora e a Cubotimize é a operadora; quanto aos registros de uso, faturamento e segurança da plataforma, a Cubotimize é a controladora. A seção 1 detalha os dois.

1. Papéis (controladora e operadora)

O papel depende da finalidade, e são duas.

Quanto ao conteúdo das consultas e ao acesso aos dados das aplicações Qlik:

• Controladora: a sua Organização decide por que e como os dados são tratados no Lupa: quais aplicações Qlik são liberadas, quem recebe assento, quais campos ficam bloqueados e quais limites se aplicam.
• Operadora: a Cubotimize Soluções em Inteligência Tecnológica LTDA (“Cubotimize”) trata esses dados apenas conforme as instruções da Organização, não os usa para finalidade própria, não os comercializa e não os usa para treinar modelos.

Quanto aos registros de uso, faturamento e segurança da própria plataforma:

• Controladora: a Cubotimize. São dados que ela decide coletar para apurar consumo, controlar licenças e proteger o serviço, com os prazos de retenção da seção 9.

Declarar os dois papéis é mais honesto do que declarar só o primeiro: quem define prazo de retenção e usa o registro de consumo para faturar está decidindo finalidade, e isso é papel de controlador, qualquer que seja o rótulo no contrato.

2. A arquitetura já limita o que pode ser tratado

Antes da lista de dados, o desenho do produto, porque ele responde metade das perguntas de privacidade:

• O Lupa não abre conexão de fora para dentro da rede da sua Organização. Quem conversa com o servidor Qlik é o navegador do próprio usuário, de dentro da rede.
• O modelo de linguagem recebe apenas metadados e resultados agregados. Metadados da aplicação (nomes de campos, medidas, dimensões, expressões) e resultados já agregados pela Qlik Engine, limitados a no máximo 200 linhas por consulta. O Lupa não envia tabelas nem extratos da base de origem, e não existe ferramenta que leia linha de tabela.
• A escolha das dimensões da consulta é de quem pergunta, e por isso há uma trava. Agregar por um campo que identifica pessoa devolveria uma linha por pessoa, ainda que a consulta seja agregada. Para impedir isso, a sua Organização define quais campos identificam pessoa (matrícula, CPF, nome) e a Cubotimize os cadastra no painel de operação, por aplicação ou para todas, como campos bloqueados. A partir daí o serviço recusa qualquer cálculo que os use como dimensão ou dentro de uma expressão, antes de a consulta sair. É recusa de código, não orientação ao modelo. A lista vigente pode ser conferida mediante solicitação.
• O Lupa herda o Section Access do usuário: ele não alcança dado que o usuário já não alcançasse sozinho.
• Por construção, não há dado de paciente, cliente ou indivíduo identificável nos registros do Lupa.

3. Dados pessoais tratados

O único dado pessoal tratado pelo Lupa é a identificação do usuário no Qlik, mais os dados técnicos necessários ao funcionamento e à auditoria:

O que explicitamente não é tratado

• Não gravamos o texto das perguntas nem das respostas nos nossos servidores. O registro de uso é quantitativo.
• A conversa fica só na memória do navegador do usuário, na área privativa da extensão, sem ser gravada em disco, para que recarregar a página do Qlik não perca o contexto. Ela não sobe para os nossos servidores em momento algum e é apagada ao fechar o navegador, 10 horas depois da última mensagem (uma jornada de trabalho), quando outro usuário entra no Qlik no mesmo navegador ou, na hora, pelo botão de limpar a conversa. Ver a Política de Cookies.
• Não gravamos os dados retornados pela Qlik Engine. Eles trafegam pelo navegador do usuário e pelo gateway durante a resposta e não são persistidos.
• Não usamos cookies de publicidade nem rastreadores de marketing.
• Não há dado pessoal em query string: tudo trafega em corpo de requisição.

A gravação do conteúdo de perguntas e respostas é uma opção contratável à parte, que exige aditivo contratual com a Organização, definição de prazo de retenção e este Aviso atualizado. Não está implementada.

4. Finalidades

• Viabilizar a resposta às perguntas do usuário sobre as aplicações Qlik autorizadas.
• Controlar licença, assentos e limites de consumo contratados pela Organização.
• Apurar consumo para gestão de custo pela Organização.
• Avisar por e-mail os gestores da Organização quando as perguntas contratadas para o mês estão acabando ou acabaram: no máximo três avisos por mês. O aviso traz só as quantidades (contratadas, consumidas e restantes), e nunca quem perguntou nem o que foi perguntado.
• Segurança, detecção de uso não autorizado e bom funcionamento do serviço.

5. Base legal

A base legal acompanha o papel da seção 1.

Conteúdo das consultas e dados das aplicações Qlik: a base legal é definida pela sua Organização, que é a controladora desse tratamento.

Registros de uso, faturamento e segurança da plataforma, dos quais a Cubotimize é controladora:

• Execução de contrato entre a Cubotimize e a sua Organização (art. 7º, V), para apurar o consumo cobrado, aplicar a cota contratada e avisar os gestores quando ela está acabando; e
• Legítimo interesse da Cubotimize em proteger o serviço contra uso não autorizado (art. 7º, IX, e art. 10), com avaliação de legítimo interesse documentada e disponível à sua Organização mediante solicitação.

O Lupa não se destina a tratar dado pessoal sensível (art. 11 da LGPD). Isso se apoia em controle técnico, e não só nesta frase: o resultado é sempre agregado, e os campos que a sua Organização define como bloqueados são recusados antes de a consulta sair (seção 2). O único ponto que depende de orientação é o texto da pergunta: não escreva dado pessoal nele.

6. Compartilhamento

• Sua Organização (gestores autorizados) acessa os registros de uso e eventos pelo portal.
• Provedores de modelo de linguagem recebem a pergunta do usuário, os metadados da aplicação e os resultados agregados, nunca linhas de dados de origem. O provedor em uso é configurável e informado à Organização.
• Infraestrutura estritamente necessária (hospedagem, banco de dados, rede).
• Não vendemos dados e não os usamos para publicidade ou treinamento de modelos.

7. Transferência internacional

Provedor de modelo de linguagem. O Lupa utiliza atualmente o Google Gemini, da Google. O provedor em uso é informado à Organização, aparece no painel de administração e pode ser alterado mediante aviso. Os termos comerciais do provedor vão anexos ao contrato, com o compromisso de não utilizar o conteúdo das requisições para treinar ou ajustar modelos.

⚠️ Esse compromisso é do provedor, e não da Cubotimize: é ele que processa a requisição, e é a obrigação dele que importa para a sua Organização avaliar.

Onde os dados ficam. O banco de dados do Lupa (licenças, assentos e os registros de uso, eventos e instalação) e os servidores de aplicação (o serviço que fala com o modelo e o portal de gestão) ficam no Brasil. Duas etapas não ficam restritas ao Brasil:

• o processamento pelo modelo de linguagem, feito na infraestrutura do provedor, em região global: a pergunta, os metadados da aplicação e os resultados agregados podem ser processados fora do Brasil;
• a rede de proteção do tráfego (Cloudflare), que é global por construção e atende cada acesso a partir do ponto mais próximo.

Transferência internacional. Pelo processamento do modelo, há transferência para fora do Brasil. Ela se dá com fundamento no art. 33, II, "b", da Lei 13.709/2018: as cláusulas-padrão contratuais aprovadas pela ANPD, que integram o adendo de tratamento de dados do Google para os serviços pagos da API Gemini (Apêndice 3C, dedicado à LGPD).

O que o provedor guarda, e por quanto tempo. O Lupa usa a API Gemini paga. Nela, o Google não usa perguntas nem respostas para melhorar os produtos dele. Ele guarda pergunta e resposta por 55 dias, só para detectar e impedir violação da política de uso, e nesse controle pessoas autorizadas do Google podem revisar conteúdo sinalizado. O contexto fixo que o Lupa mantém em cache no provedor (instruções e metadados da aplicação, sem pergunta de usuário) expira em 15 minutos sem uso. Todo o caminho, do navegador ao serviço e do serviço ao provedor, é cifrado em trânsito (TLS).

Os documentos do provedor, na versão vigente, direto na fonte:

• Termos Adicionais de Serviço da API Gemini, na parte de serviços pagos;
• Adendo de Tratamento de Dados do Google como operador, com o Apêndice 3C (LGPD) e as cláusulas-padrão contratuais brasileiras;
• Serviços cobertos pelo adendo, onde consta "Gemini API Paid Services";
• Monitoramento de abuso da API Gemini, com o prazo de 55 dias.

Como o que é enviado ao modelo se restringe a metadados e agregados, a exposição está limitada ao texto que o usuário escreve na pergunta. A Organização deve orientar seus usuários a não escrever dados pessoais no texto da pergunta.

8. Direitos do titular (art. 18 da LGPD)

Você pode solicitar confirmação, acesso, correção, eliminação, portabilidade, informação sobre compartilhamento e revisão de decisões automatizadas. Como a controladora é a sua Organização, exerça esses direitos preferencialmente com ela (gestor, RH ou o encarregado/DPO da Organização). A Cubotimize apoia a Organização no atendimento.

9. Retenção

Os três prazos abaixo têm rotina diária de expurgo automático.

• Registros de eventos (recusas de acesso, com origem): 12 meses.
• Registros de uso (consumo, custo e latência, sem pergunta nem resposta): 24 meses.
• Registros de instalação não atribuídos a uma licença: 30 dias contados do último contato daquela instalação com o serviço.
• Cadastro de assentos: enquanto durar o assento; a desativação preserva o histórico de consumo já registrado.
• Prazos maiores só mediante instrução da Organização ou obrigação legal.

A Organização pode solicitar a eliminação antes do prazo pelo canal da seção 12.

10. Segurança

• TLS em todo o transporte; conexão ao banco com TLS.
• Chave de licença gravada apenas como hash SHA-256: a chave crua nunca é persistida nem registrada em log.
• Isolamento por inquilino no banco (RLS), e não apenas na aplicação.
• Autenticação por token de curta duração, revalidado a cada requisição e renovado a cada 7 dias.
• Trilha de auditoria de acessos e de eventos de segurança.
• Acesso de suporte a dados é restrito e registrado.

11. Decisões automatizadas

O Lupa não toma decisões automatizadas com efeito jurídico ou impacto sobre pessoas. Ele apresenta números e explicações; a decisão é sempre humana.

12. Contato

• Para exercer direitos sobre o conteúdo das consultas e os dados das aplicações Qlik, contate primeiro a sua Organização, que é a controladora desse tratamento.
• Para exercer direitos sobre os registros de uso, eventos e instalação, dos quais a Cubotimize é controladora, escreva ao encarregado no endereço abaixo. Respondemos de forma clara e completa em até 15 dias, prazo do art. 19, II da LGPD.
• Questões sobre a operação do Lupa: [email protected], ou o canal do produto, [email protected].
• Encarregado pelo tratamento de dados (DPO) da Cubotimize: Renato Freitas, [email protected].

Histórico de versões

Um aviso de privacidade vale na versão vigente à época do tratamento. Por isso cada mudança de texto muda a versão e a data, e as versões anteriores continuam publicadas.

Quem opera o Lupa