Informativa sulla Privacy

Questa Informativa sulla Privacy descrive come OORT Labs ("OORT", "noi") raccoglie, utilizza, conserva, condivide e protegge i dati personali nel contesto del prodotto OORT Flows ("Servizio", "Piattaforma").

Questa Informativa deve essere letta insieme ai Termini d'Uso e all'Informativa sulla Privacy di OORT Hub, responsabile dell'identità e dell'autenticazione degli utenti.

• Titolare: OORT Labs, [CNPJ 00.000.000/0001-00], con sede in [indirizzo completo].
• Responsabile della Protezione dei Dati (DPO): [Nome] — [dpo@oortlabs.com].

Per gli utenti europei, il rappresentante nell'Unione Europea è: [nome e indirizzo del rappresentante, se applicabile].

OORT Flows agisce in ruoli distinti a seconda della natura del dato:

Quando OORT agisce come Responsabile del trattamento, il trattamento avviene rigorosamente secondo le istruzioni dell'Organizzazione, registrate tramite la configurazione dei flussi.

Il trattamento avviene per le seguenti finalità e basi giuridiche (LGPD art. 7 / GDPR art. 6):

OORT Flows non utilizza i Contenuti dell'Utente per addestrare i propri modelli di IA.

I dati possono essere condivisi con le seguenti categorie di terze parti, rigorosamente per le finalità sopra indicate:

OORT Flows può trasferire dati al di fuori del Brasile e dello Spazio Economico Europeo, in particolare per:

• Esecuzione presso fornitori IA con sede negli USA e in altri paesi;
• Archiviazione su infrastruttura cloud globale.

I trasferimenti seguono le garanzie previste dalla LGPD (art. 33) e dal GDPR (Capitolo V), incluse le Clausole Contrattuali Standard (SCC), paesi con decisione di adeguatezza o garanzie specifiche concordate con il sub-responsabile.

L'Utente può richiedere la cancellazione anticipata, fatte salve le basi giuridiche che impongono conservazione.

OORT Flows adotta controlli tecnici e organizzativi compatibili con CASA Tier 2 / OWASP ASVS Livello 2, inclusi:

• Cifratura in transito: TLS 1.2+ su tutta la comunicazione;
• Cifratura a riposo: credenziali di integrazione cifrate con Fernet (AES-128-CBC + HMAC-SHA256), con chiavi gestite tramite TOKEN_ENCRYPTION_KEYS e rotazione supportata;
• Cookie: HttpOnly, Secure, SameSite=Lax;
• Validazione JWT locale via oort-shared (HS256), senza dipendenza da chiamate remote all'Hub per ogni richiesta;
• Isolamento multi-tenant: ogni query include WHERE tenant_id = :tid, con test automatizzati di tenant_isolation come gate di deploy;
• Controllo di accesso basato su ruoli (es.: tenant_admin per modifiche di configurazione);
• Protezione contro brute-force (5 fallimenti → blocco di 15 minuti), mitigazione di timing attack con dummy password hash;
• Validazione degli upload tramite magic bytes (via python-magic), non solo Content-Type;
• Header di sicurezza: HSTS, X-Content-Type-Options, X-Frame-Options, CSP, Referrer-Policy, Permissions-Policy, Cache-Control no-store sulle rotte sensibili;
• Mascheramento dei PII nei log;
• Analisi statica con Bandit e Ruff ad ogni commit;
• Rate limiting per tenant/utente, graduato per tipo di operazione;
• Audit di eventi sensibili in MongoDB (audit_events).

Nessun sistema è immune al 100%. In caso di incidente di sicurezza con rischio o danno rilevante per gli interessati, OORT notificherà l'ANPD e, quando richiesto, gli interessati coinvolti, ai sensi della LGPD art. 48 e del GDPR artt. 33–34.

OORT Flows utilizza cookie strettamente necessari al funzionamento:

Non utilizziamo cookie di tracciamento pubblicitario nel prodotto.

Ai sensi della LGPD (art. 18) e del GDPR (artt. 15 a 22), è possibile esercitare:

• Conferma dell'esistenza del trattamento;
• Accesso ai propri dati;
• Rettifica di dati incompleti, inesatti o non aggiornati;
• Anonimizzazione, blocco o cancellazione di dati non necessari o trattati in difformità;
• Portabilità dei dati;
• Cancellazione dei dati trattati sulla base del consenso;
• Informazione su entità pubbliche e private con cui condividiamo i dati;
• Informazione sulla possibilità di non fornire il consenso e sulle relative conseguenze;
• Revoca del consenso;
• Opposizione al trattamento effettuato sulla base di un legittimo interesse;
• Revisione di decisioni automatizzate che incidono sui propri interessi (LGPD art. 20 / GDPR art. 22).

OORT Flows non è destinato a minori di 18 anni e non è progettato per trattare dati di bambini e adolescenti. Qualora venga rilevato un trattamento involontario di dati di minori, procederemo alla cancellazione, salvo obblighi di legge contrari.

Le funzionalità di IA possono suggerire o eseguire azioni in modo automatizzato. Raccomandiamo vivamente di mantenere una supervisione umana sulle decisioni che producono effetti giuridici o rilevanti su terzi.

Gli interessati hanno il diritto di richiedere una revisione umana delle decisioni automatizzate, ai sensi della LGPD art. 20 e del GDPR art. 22.

Potremo aggiornare questa Informativa periodicamente. Le modifiche sostanziali saranno comunicate tramite la Piattaforma, e-mail o OORT Hub. La data dell'ultimo aggiornamento è indicata in cima al documento.

La cronologia delle versioni è consultabile all'indirizzo [indirizzo del repository / link].

Per domande su privacy e protezione dei dati:

• Responsabile (DPO): [Nome] — [dpo@oortlabs.com]
• E-mail generale: [privacy@oortlabs.com]
• Indirizzo: [indirizzo completo di OORT Labs]