Segurança e conformidade

Quem decide sobre os dados

A empresa cliente é a controladora dos dados dos seus trabalhadores: decide o que carrega e para quê. Pedro Jeremías Salvadeo os trata em nome dela, só para prestar o serviço (operador).

O Transita não vende dados, não os usa para publicidade e não os usa para treinar modelos de inteligência artificial.

Onde ficam os dados

Os dados ficam em servidores da Railway nos Estados Unidos (Califórnia), com conexão criptografada. Hoje não há hospedagem separada por região: a região escolhida no cadastro fica registrada para quando houver.

As transferências internacionais são regidas pelo acordo de tratamento de dados, que prevê cláusulas contratuais padrão quando a lei da empresa cliente exigir.

Medidas de segurança

Conexão criptografada (HTTPS) em todo o serviço. Acesso sem senhas, com links de uso único que vencem em 15 minutos, ou com Google ou Microsoft.

As sessões e as chaves de API são guardadas só como hash criptográfico: quem lesse o banco não conseguiria usá-las. As chaves de API podem ser revogadas a qualquer momento.

Acesso conforme o papel (administração, RH, liderança de área, pessoa) e separação dos dados de cada empresa. Cada mudança fica num registro de auditoria com quem, quando e o que mudou.

No painel e nos relatórios, grupos com menos de 5 pessoas aparecem como «<5», para que ninguém seja identificado.

Limites de uso contra abusos, testes automáticos antes de cada implantação e alertas de erros.

A empresa pode exportar todos os seus dados num arquivo e excluir a empresa com todos os dados em «Configurações».

IA responsável

A IA do Transita sugere tarefas e sua exposição à automação por função, não por pessoa. Não avalia, não pontua nem toma decisões sobre trabalhadores.

Cada sugestão é revisada e validada por uma pessoa, e cada plano de transição é aceito pela pessoa envolvida e assinado pela liderança e pelo RH. Nenhum dado de pessoas é enviado à IA.

Esse desenho busca que o Transita não funcione como um sistema de decisão automatizada sobre o emprego, em linha com a Lei de IA da União Europeia, que trata esses sistemas como de alto risco.

Referências

Seguimos como referência o Regulamento Geral de Proteção de Dados da União Europeia (RGPD) e a Lei de IA europeia, que também inspiram novas leis de vários países da região, como a Lei 21.719 do Chile. Também consideramos a LGPD do Brasil e a Lei 25.326 da Argentina.

No desenvolvimento e na gestão seguimos como guia as normas ISO/IEC/IEEE 12207 (ciclo de vida do software), ISO/IEC 25010 (qualidade do produto), ISO/IEC 27001 (segurança da informação) e ISO/IEC 42001 (gestão da IA).

Hoje o Transita não tem certificações dessas normas. Se a sua empresa precisar delas para contratar, vamos conversar sobre o escopo.

Se ocorrer um incidente

Se detectarmos um incidente que afete dados pessoais, avisamos as empresas afetadas sem demora e no máximo em 48 horas, com o que sabemos e as medidas tomadas, para que possam cumprir suas próprias obrigações.

Para dúvidas sobre privacidade ou para exercer direitos, escreva para hola@usetransita.app.

Fornecedores que tratam dados (suboperadores)

Se incluirmos ou trocarmos um fornecedor, avisamos com antecedência nesta página e por email às empresas clientes.