Tratamento delimitado, rastreável e eliminável.

Como os dados circulam

O SEVE usa dados para autenticar pessoas autorizadas, executar casos decisórios, produzir seus artefatos e medir a confiabilidade operacional. Não há publicidade comportamental nem venda de dados pessoais no produto.

Retenção operacional

• Autenticação temporária e prevenção de abuso: expurgo 30 dias após expires_at.
• Convite temporário e prova de autorização: expurgo 90 dias após expires_at.
• Confiabilidade operacional sem conteúdo documental: expurgo 90 dias após COALESCE(completed_at, started_at).
• Provar atendimento ao titular sem retenção indefinida: expurgo 365 dias após resolved_at.

Registros e objetos de um caso permanecem enquanto necessários à execução e à reconstrução contratada. A eliminação organizacional possui prévia de alcance, confirmação forte e remoção coordenada do banco D1 e do cofre R2.

Infraestrutura e transferências

Cloudflare sustenta a execução, o banco D1 e o cofre R2. A OpenAI recebe arquivos ou instruções somente nos fluxos de OCR, pesquisa ou inteligência semântica que utilizam esses recursos. Os demais conectores externos são acionados conforme a função solicitada e mantêm proveniência na saída.

Quando um fluxo configurar transferência internacional, sua liberação operacional exige inventário do destinatário e do destino, minimização, mecanismo aplicável, salvaguardas e proveniência. A ausência da prova requerida mantém o fluxo suspenso; configuração técnica isolada não é tratada como instrumento jurídico.

1. Identificar destinatário, papel, país ou região, categorias de dados, finalidade, duração e subprocessadores do fluxo externo. Inventário do fluxo ligado ao recurso e à versão que efetivamente o executam.
2. Demonstrar necessidade do egress e limitar campos, conteúdo, frequência e retenção ao mínimo funcional. Carga de dados reduzida ao que a finalidade comprovada exige.
3. Vincular ao fluxo a hipótese e o mecanismo aplicáveis, com instrumento ou prova correspondente quando exigidos. Mecanismo verificável registrado; texto de interface ou configuração técnica isolada não substitui o instrumento exigido.
4. Verificar segurança, direitos do titular, eliminação, incidente, subcontratação e reversibilidade do destinatário. Salvaguardas e limites reconciliados com o fluxo corrente.
5. Preservar proveniência do egress e suspender o fluxo quando o inventário, o mecanismo ou as salvaguardas requeridas não estiverem demonstrados. Fluxo autorizado por prova rastreável ou mantido inativo.

Resposta a incidente de segurança

Um evento confirmado percorre contenção, avaliação de risco, comunicação quando aplicável, correção e reteste no mesmo objeto. O registro técnico preserva somente o necessário à apuração e não amplia acesso ao conteúdo tratado.

1. Confirmar o evento, preservar horário, escopo, correlação, hashes e evidências sem ampliar o acesso ao conteúdo. Evento classificado e cadeia técnica preservada com confidencialidade, integridade, disponibilidade e autenticidade avaliadas.
2. Revogar credenciais ou sessões afetadas, isolar o recurso e interromper o egress estritamente necessário. Vetor contido sem apagar a prova necessária à apuração.
3. Avaliar natureza e categorias dos dados, titulares, extensão, consequências e salvaguardas existentes. Decisão rastreável sobre risco ou dano relevante e sobre incidência do rito de comunicação.
4. Quando aplicável, preparar comunicação factual à ANPD e aos titulares com escopo, efeitos, medidas e contato verificáveis. Comunicação registrada ou decisão motivada de não incidência, sem afirmação além da prova preservada.
5. Corrigir a causa, repetir os testes afetados e reconciliar risco residual, versão, commit e ambiente. Achado corrigido e retestado no mesmo objeto operacional.