LGPD — Lei Geral de Proteção de Dados

1. Dados pessoais tratados pela plataforma

A Tangerin AI trata a menor quantidade possível de dados pessoais — apenas o estritamente necessário para a prestação do serviço (princípio da minimização). Os dados pessoais processados são:

1.1 Dados coletados pelo agente de endpoint

1.2 Dados dos administradores da plataforma

1.3 O que NÃO é coletado

• Dados sensíveis (saúde, biometria, origem racial, convicções religiosas, etc.).
• Conteúdo de conversas com ferramentas de IA.
• Conteúdo de arquivos, documentos ou e-mails.
• Teclas digitadas ou capturas de tela.
• Dados pessoais de clientes finais da organização contratante.

2. Finalidades do tratamento

Os dados pessoais tratados pela Tangerin AI têm as seguintes finalidades, todas vinculadas ao serviço contratado:

• Identificar quais ferramentas de IA são usadas por quais estações de trabalho e usuários.
• Gerar relatórios de risco, scores de governança e evidências de conformidade regulatória.
• Emitir alertas configurados pela organização (ex: detecção de ferramenta proibida).
• Autenticar administradores e manter a segurança da plataforma.
• Cumprir obrigações legais e atender autoridades competentes.

Os dados não são usados para fins de publicidade, análise comportamental de consumidores ou tomada de decisões automatizadas com efeito jurídico sobre os funcionários monitorados.

3. Obrigações da organização contratante (Controladora)

A organização que contrata a Tangerin AI é a controladora dos dados dos seus funcionários. Para uso em conformidade com a LGPD, recomendamos que a organização:

• Informe os funcionários sobre a instalação do agente, sua finalidade, os tipos de dados coletados e os direitos que possuem — preferencialmente por meio de uma Política de Uso de IA Corporativa (a plataforma Tangerin AI oferece um editor e módulo de assinatura digital para essa política).
• Identifique a base legal adequada para o tratamento no contexto da relação de trabalho: habitualmente, o legítimo interesse do empregador em proteger seus ativos de informação (art. 7º, IX) ou a execução do contrato de trabalho (art. 7º, V).
• Atualize seu RIPD (Relatório de Impacto à Proteção de Dados) para incluir o tratamento realizado por meio da Tangerin AI.
• Atenda as requisições de direitos dos titulares (funcionários) que solicitarem informações sobre os dados coletados. A Tangerin AI fornece suporte operacional para exportação e exclusão de dados mediante solicitação da organização.
• Assine um Contrato de Operação de Dados (Data Processing Agreement — DPA) com a Tangerin AI, disponível mediante solicitação para privacidade@tangerinai.com.br.

4. Direitos dos titulares

Os funcionários cujos dados são tratados por meio da Tangerin AI (titulares) têm os seguintes direitos garantidos pela LGPD (arts. 17 a 22):

As requisições dos titulares devem ser encaminhadas à organização empregadora (controladora), que pode acionar a Tangerin AI (operadora) para obter as informações ou realizar as operações necessárias. O prazo de resposta da Tangerin AI à organização é de 10 dias úteis.

5. Transferência internacional de dados

Os dados são armazenados e processados por subprocessadores localizados nos Estados Unidos (Supabase, Inc. e Vercel, Inc.). A transferência ocorre com base em:

• Cláusulas contratuais padrão compatíveis com o art. 33 da LGPD.
• Certificações de segurança equivalentes exigidas contratualmente dos subprocessadores.

A ANPD publicou regulamentação sobre transferência internacional (Resolução CD/ANPD n.º 19/2024), que orienta a prática adotada pela Tangerin AI.

6. Segurança dos dados

A Tangerin AI adota as seguintes medidas técnicas e organizacionais de segurança:

• Criptografia em repouso e em trânsito (TLS 1.2+) em toda a infraestrutura.
• Isolamento multi-tenant por Row Level Security no banco de dados.
• Autenticação do agente por chave de API única por organização, rotacionável a qualquer momento.
• Log de auditoria de todas as ações administrativas na plataforma.
• Acesso interno aos dados de clientes restrito a colaboradores autorizados.
• Política de revisão de segurança periódica da infraestrutura.

7. Incidentes de segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Tangerin AI se compromete a:

• Notificar a organização contratante (controladora) em até 72 horas após a ciência do incidente.
• Fornecer informações sobre a natureza dos dados afetados, titulares envolvidos e medidas adotadas.
• Apoiar a organização na elaboração da notificação à ANPD, quando exigida.
• Adotar medidas imediatas de contenção e remediação.

Incidentes devem ser reportados à Tangerin AI pelo e-mail seguranca@tangerinai.com.br.

8. Subprocessadores

9. Encarregado de Proteção de Dados (DPO)

Nos termos do art. 41 da LGPD, a Tangerin AI indica o seguinte canal para comunicações relacionadas à proteção de dados:

10. Recursos para conformidade da organização contratante

A plataforma Tangerin AI oferece ferramentas nativas que auxiliam a organização contratante a cumprir a LGPD internamente: