Política de Privacidade

A organização que contrata e configura o Acessium Guard (o seu empregador) é a controladora dos dados. A Acessium atua como operadora, tratando os dados exclusivamente sob instrução e política dessa organização.

Se você é um colaborador, dúvidas sobre finalidade, retenção e seus direitos devem ser dirigidas primeiro à sua organização (a controladora).

A extensão inspeciona, no seu próprio navegador (localmente), o texto que você está prestes a enviar a aplicativos de IA (por exemplo ChatGPT, Gemini, Claude) para aplicar a política da sua organização — permitir, avisar ou bloquear — antes do envio, e para registrar eventos de uso.

• A detecção de dados sensíveis roda localmente, no navegador. Nenhuma chamada por prompt é feita a servidores para “decidir”.
• O texto que você digita (o “prompt bruto”) nunca é persistido nem transmitido aos nossos servidores.
• Quando um evento é registrado, ele carrega somente: o texto já mascarado (ex.: [[CARTAO]], [[CPF]] no lugar do dado), um hash (HMAC) do conteúdo por fonte — que não permite recuperar o texto —, o tipo de dado detectado e contagens, o app/domínio, a ação aplicada (permitido/avisado/bloqueado) e, quando a organização habilita identificação, o e-mail corporativo do colaborador.

Tratamos:

• Metadados de uso: domínio/app de IA acessado, data e hora, ação da política, tipo e contagem de detecções.
• Conteúdo mascarado do prompt (nunca o bruto) e um hash irreversível por fonte.
• Identificação, quando a organização habilita: e-mail corporativo do colaborador e um identificador aleatório do dispositivo/navegador (fingerprint do coletor).

Não tratamos:

• O conteúdo bruto do prompt.
• A resposta bruta da IA.
• Sua navegação fora dos aplicativos de IA cobertos pela política.
• Senhas ou credenciais.

Tratamos os dados para segurança da informação e governança do uso de IA corporativa, conforme a política da sua organização (controladora). A base legal (LGPD) é definida por ela — tipicamente o legítimo interesse em proteger dados e cumprir obrigações, no contexto do uso de recursos corporativos e da relação de trabalho.

• Não vendemos dados e não os usamos para publicidade.
• Os dados de uso são enviados apenas ao ambiente (control plane) da sua organização, isolado dos demais clientes.
• Podemos usar subprocessadores de infraestrutura (hospedagem) sob contrato, exclusivamente para operar o serviço.

• Isolamento multi-tenant com Row-Level Security (RLS): os dados de uma organização não são acessíveis por outra.
• Transporte por TLS. Tokens de coleta são guardados apenas como hash e podem ser revogados pela organização a qualquer momento.
• Os eventos são append-only (trilha de auditoria imutável).

Os dados de uso são retidos pelo período definido pela sua organização para fins de auditoria e conformidade. A organização pode revogar coletores e encerrar a coleta a qualquer momento.

A classificação de dados sensíveis e de intenção é feita por regras heurísticas no cliente (padrões e listas de termos configuradas pela organização). Não empregamos modelos de IA/ML para essa decisão, e rotulamos honestamente o que é heurística.

Como os dados são tratados sob controle da sua organização, exerça seus direitos (acesso, correção, eliminação, entre outros) primeiro junto a ela. A Acessium apoia a organização a atender esses pedidos.

Podemos atualizar esta política. A data de “última atualização” no topo reflete sempre a versão vigente.

Dúvidas sobre privacidade: privacidade@acessiumguard.com — ou o canal de privacidade da sua organização.