Politique de Confidentialité

Cette Politique de Confidentialité décrit comment OORT Labs ("OORT", "nous") collecte, utilise, stocke, partage et protège les données personnelles dans le cadre du produit OORT Flows ("Service", "Plateforme").

Cette Politique doit être lue conjointement avec les Conditions d'Utilisation et avec la Politique de Confidentialité d'OORT Hub, responsable de l'identité et de l'authentification des utilisateurs.

• Responsable du traitement : OORT Labs, [CNPJ 00.000.000/0001-00], dont le siège est à [adresse complète].
• Délégué à la Protection des Données (DPO) : [Nom] — [dpo@oortlabs.com].

Pour les utilisateurs européens, le représentant dans l'Union européenne est : [nom et adresse du représentant, le cas échéant].

OORT Flows agit dans des rôles distincts selon la nature de la donnée :

Lorsqu'OORT agit comme Sous-traitant, le traitement est effectué strictement selon les instructions de l'Organisation, enregistrées via la configuration des flux.

Le traitement a lieu pour les finalités et bases légales suivantes (LGPD art. 7 / RGPD art. 6) :

OORT Flows n'utilise pas le Contenu de l'Utilisateur pour entraîner ses propres modèles d'IA.

Les données peuvent être partagées avec les catégories de tiers suivantes, strictement pour les finalités ci-dessus :

OORT Flows peut transférer des données en dehors du Brésil et de l'Espace Économique Européen, notamment pour :

• L'exécution auprès de fournisseurs IA basés aux États-Unis et dans d'autres pays ;
• Le stockage sur une infrastructure cloud mondiale.

Les transferts suivent les garanties prévues par la LGPD (art. 33) et le RGPD (Chapitre V), y compris les Clauses Contractuelles Types (CCT), les pays avec décision d'adéquation ou les garanties spécifiques convenues avec le sous-sous-traitant.

L'Utilisateur peut demander une suppression anticipée, sous réserve des bases légales exigeant une conservation.

OORT Flows adopte des contrôles techniques et organisationnels compatibles avec CASA Tier 2 / OWASP ASVS Niveau 2, y compris :

• Chiffrement en transit : TLS 1.2+ sur toute la communication ;
• Chiffrement au repos : identifiants d'intégration chiffrés avec Fernet (AES-128-CBC + HMAC-SHA256), avec clés gérées via TOKEN_ENCRYPTION_KEYS et rotation prise en charge ;
• Cookies : HttpOnly, Secure, SameSite=Lax ;
• Validation JWT locale via oort-shared (HS256), sans dépendance d'appel distant au Hub par requête ;
• Isolation multi-tenant : chaque requête inclut WHERE tenant_id = :tid, avec tests automatisés de tenant_isolation comme garde de déploiement ;
• Contrôle d'accès basé sur les rôles (ex. : tenant_admin pour les changements de configuration) ;
• Protection brute-force (5 échecs → verrouillage de 15 minutes), atténuation des timing attacks via dummy password hash ;
• Validation des uploads par magic bytes (via python-magic), pas uniquement le Content-Type ;
• En-têtes de sécurité : HSTS, X-Content-Type-Options, X-Frame-Options, CSP, Referrer-Policy, Permissions-Policy, Cache-Control no-store sur les routes sensibles ;
• Masquage des données personnelles dans les journaux ;
• Analyse statique avec Bandit et Ruff à chaque commit ;
• Rate limiting par tenant/utilisateur, gradué par type d'opération ;
• Audit des événements sensibles dans MongoDB (audit_events).

Aucun système n'est 100% immunisé. En cas d'incident de sécurité avec risque ou dommage pertinent pour les personnes concernées, OORT notifiera l'ANPD et, lorsque requis, les personnes concernées, conformément à la LGPD art. 48 et au RGPD arts. 33–34.

OORT Flows utilise des cookies strictement nécessaires au fonctionnement :

Nous n'utilisons pas de cookies de suivi publicitaire dans le produit.

Selon la LGPD (art. 18) et le RGPD (arts. 15 à 22), vous pouvez exercer :

• Confirmation de l'existence du traitement ;
• Accès à vos données ;
• Rectification de données incomplètes, inexactes ou obsolètes ;
• Anonymisation, blocage ou suppression de données inutiles ou traitées en non-conformité ;
• Portabilité des données ;
• Suppression des données traitées sur la base du consentement ;
• Information sur les entités publiques et privées avec lesquelles nous partageons les données ;
• Information sur la possibilité de ne pas fournir le consentement et ses conséquences ;
• Retrait du consentement ;
• Opposition au traitement effectué sur la base d'un intérêt légitime ;
• Révision de décisions automatisées qui affectent vos intérêts (LGPD art. 20 / RGPD art. 22).

OORT Flows ne s'adresse pas aux mineurs de moins de 18 ans et n'est pas conçu pour traiter les données des enfants et adolescents. Si nous identifions un traitement involontaire de données de mineurs, nous procéderons à leur suppression, sauf obligation légale contraire.

Les fonctionnalités IA peuvent suggérer ou exécuter des actions automatiquement. Nous recommandons vivement de maintenir une supervision humaine sur les décisions qui produisent des effets juridiques ou pertinents sur des tiers.

Les personnes concernées ont le droit de demander une révision humaine des décisions automatisées, conformément à la LGPD art. 20 et au RGPD art. 22.

Nous pourrons mettre à jour cette Politique périodiquement. Les changements matériels seront communiqués via la Plateforme, par e-mail ou via OORT Hub. La date de la dernière mise à jour figure en haut de ce document.

L'historique des versions peut être consulté à [adresse du référentiel / lien].

Pour les questions relatives à la confidentialité et à la protection des données :

• Délégué (DPO) : [Nom] — [dpo@oortlabs.com]
• E-mail général : [privacy@oortlabs.com]
• Adresse : [adresse complète d'OORT Labs]