Esta Política descreve como a Infra 360 (operada pela 2MTI) trata dados pessoais, em conformidade com a LGPD (Lei 13.709/2018). A 2MTI atua como operadora dos dados tratados em nome de cada organização (controladora), exclusivamente para prestar o serviço de service desk e análise de incidentes.
1. Princípios
Isolamento por organização (organization_id com RLS fail-closed); offboarding não apaga (suspender preserva dados para auditoria); nenhum segredo em claro (credenciais e tokens cifrados ou em hash); sanitização do payload bruto de alertas na ingestão.
2. Bases legais e finalidade
Tratamos dados para operação do service desk, análise de incidentes por IA, notificações e relatórios, com base na execução de contrato e no legítimo interesse do controlador.
3. Retenção por entidade
Prazos vigentes (resumo da política de retenção):
- Incidentes: 24 meses após resolução, então anonimizados (PII removida, métricas mantidas).
- Payload bruto de alertas: 90 dias após resolução, então removido.
- Análises e uso de IA: 24–36 meses, então excluídos/agregados.
- Chat operacional: 12 meses.
- Entregas de notificação: 12 meses.
- Logs de auditoria: 60 meses (compliance), nunca contêm segredo.
- Tokens (refresh/recuperação): até expirar/revogar.
4. Dados sensíveis e PII
Segredos (hash de senha, tokens, segredos de integração) nunca são exportados nem decifrados fora de memória. PII de alto risco (mensagem do alerta, e-mails de contato) é mascarada em exportações. O e-mail do titular é mantido apenas para identificá-lo no export.
5. Direitos do titular
Exportação (portabilidade) e exclusão/anonimização são oferecidas por organização. A exclusão física é bloqueada quando há restrição legal ou contratual (ex.: SLA ativo), sendo então oferecida a anonimização. Solicitações são feitas pelo administrador da organização nas configurações de compliance.
6. Subprocessadores e localização
Dados primários são hospedados preferencialmente em região Brasil. Transferências internacionais inevitáveis (ex.: provedor de LLM) seguem cláusulas-padrão. Subprocessadores:
- PostgreSQL gerenciado — armazenamento primário (Brasil).
- Redis gerenciado — filas e tempo real, estado efêmero (Brasil).
- Provedor SMTP — envio de e-mails (a definir por contrato).
- Hermes Agent / LLM — análise de incidentes por IA (a definir por contrato).
A lista vigente é revisada a cada 6 meses; mudanças materiais são comunicadas com 30 dias de antecedência aos administradores, com direito a objeção.
7. Contato
Para exercer direitos ou tirar dúvidas sobre privacidade, o administrador da organização pode acionar o suporte pela plataforma.