Política de Privacidade

Esta Política de Privacidade descreve como a OORT Labs ("OORT", "nós") coleta, utiliza, armazena, compartilha e protege dados pessoais no âmbito do produto OORT Flows ("Serviço", "Plataforma").

Esta Política deve ser lida em conjunto com os Termos de Uso e com a Política de Privacidade do OORT Hub, responsável pela identidade e autenticação dos usuários.

• Controlador: OORT Labs, [CNPJ 00.000.000/0001-00], com sede em [endereço completo].
• Encarregado de Proteção de Dados (DPO): [Nome] — [dpo@oortlabs.com].

Para usuários europeus, o representante na União Europeia é: [nome e endereço do representante, se aplicável].

O OORT Flows atua em papéis distintos conforme a natureza do dado:

Quando a OORT atua como Operador, o tratamento é realizado estritamente conforme as instruções da Organização, registradas por meio da configuração dos fluxos.

O tratamento ocorre nas seguintes finalidades e bases legais (LGPD art. 7º / GDPR art. 6º):

O OORT Flows não utiliza o Conteúdo do Usuário para treinar seus próprios modelos de IA.

Os dados podem ser compartilhados com as seguintes categorias de terceiros, estritamente para as finalidades acima:

O OORT Flows pode transferir dados para fora do Brasil e do Espaço Econômico Europeu, especialmente para fins de:

• Execução em provedores de IA sediados nos EUA e em outros países;
• Armazenamento em infraestrutura de nuvem global.

As transferências seguem salvaguardas previstas pela LGPD (art. 33) e pelo GDPR (Capítulo V), incluindo Cláusulas Contratuais Padrão (SCC), países com decisão de adequação ou garantias específicas acordadas com o sub-operador.

O Usuário pode solicitar exclusão antecipada, observadas as bases legais que exijam retenção.

O OORT Flows adota controles técnicos e organizacionais compatíveis com CASA Tier 2 / OWASP ASVS Nível 2, incluindo:

• Criptografia em trânsito: TLS 1.2+ em toda comunicação;
• Criptografia em repouso: credenciais de integração cifradas com Fernet (AES-128-CBC + HMAC-SHA256), com chaves gerenciadas via TOKEN_ENCRYPTION_KEYS e rotação suportada;
• Cookies: HttpOnly, Secure, SameSite=Lax;
• Validação de JWT local via oort-shared (HS256), sem dependência de chamada remota ao Hub a cada requisição;
• Isolamento multi-tenant: toda query inclui WHERE tenant_id = :tid, com testes automatizados de tenant_isolation como gate de deploy;
• Controle de acesso baseado em papéis (ex.: tenant_admin para alterações de configuração);
• Proteção contra brute-force (5 falhas → lockout de 15 minutos), mitigação de timing attacks via dummy password hash;
• Validação de uploads por magic bytes (via python-magic), não apenas Content-Type;
• Cabeçalhos de segurança: HSTS, X-Content-Type-Options, X-Frame-Options, CSP, Referrer-Policy, Permissions-Policy, Cache-Control no-store em rotas sensíveis;
• Mascaramento de PII em logs;
• Análise estática com Bandit e Ruff em todo commit;
• Rate limiting por tenant/usuário, escalonado por tipo de operação;
• Auditoria de eventos sensíveis em MongoDB (audit_events).

Nenhum sistema é 100% imune. Em caso de incidente de segurança com risco ou dano relevante a titulares, a OORT comunicará a ANPD e, quando exigido, os titulares afetados, nos termos da LGPD art. 48 e do GDPR arts. 33–34.

O OORT Flows utiliza cookies estritamente necessários à operação:

Não utilizamos cookies de rastreamento publicitário no produto.

Nos termos da LGPD (art. 18) e do GDPR (arts. 15 a 22), você pode exercer:

• Confirmação da existência de tratamento;
• Acesso aos seus dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• Portabilidade dos dados;
• Eliminação dos dados tratados com base no consentimento;
• Informação sobre entidades públicas e privadas com as quais compartilhamos dados;
• Informação sobre a possibilidade de não fornecer consentimento e suas consequências;
• Revogação do consentimento;
• Oposição a tratamento realizado com fundamento em legítimo interesse;
• Revisão de decisões automatizadas que afetem seus interesses (LGPD art. 20 / GDPR art. 22).

O OORT Flows não se destina a menores de 18 anos e não é projetado para tratar dados de crianças e adolescentes. Caso identifiquemos tratamento inadvertido de dados de menores, procederemos à eliminação, salvo obrigação legal em contrário.

Funcionalidades de IA podem sugerir ou executar ações de forma automatizada. Recomendamos fortemente manter supervisão humana em decisões que produzam efeitos jurídicos ou relevantes sobre terceiros.

Titulares têm direito de solicitar revisão humana de decisões automatizadas, conforme LGPD art. 20 e GDPR art. 22.

Poderemos atualizar esta Política periodicamente. Alterações materiais serão comunicadas via Plataforma, e-mail ou OORT Hub. A data da última atualização consta no topo deste documento.

O histórico de versões pode ser consultado em [endereço do repositório / link].

Para questões sobre privacidade e proteção de dados:

• Encarregado (DPO): [Nome] — [dpo@oortlabs.com]
• E-mail geral: [privacy@oortlabs.com]
• Endereço: [endereço completo da OORT Labs]