LGPD e direitos do titular

A Jack Experts (razão social: [A PREENCHER]; CNPJ: 33.571.517/0001-90; endereço: SCRS 516, Bloco B, nº 69, Asa Sul, Brasília/DF, CEP 70.381-525) é controladora dos dados comerciais, contratuais, de faturamento e licença, dos contatos recebidos e dos registros de acesso aos seus sites. Em uma instalação Gita Cloud, a organização cliente é controladora dos dados de contas de seus membros, clusters, auditoria, incidentes, Timeline e ACKs; a Jack Experts atua como operadora, segundo as instruções do cliente e o contrato. No Gita Self-hosted, o cliente controla e opera esses dados em sua própria infraestrutura; a Jack Experts não recebe cópia da instalação.

Esses papéis seguem a LGPD, especialmente os arts. 37 a 40, sobre agentes de tratamento, registros e responsabilidades. O Gita v5 segue em avaliação e não foi aprovado para produção.

O art. 18 da Lei nº 13.709/2018 (LGPD) permite solicitar ao controlador confirmação da existência de tratamento, acesso, correção de dados incompletos ou desatualizados, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, portabilidade quando aplicável, informação sobre compartilhamento e sobre a possibilidade de não consentir quando houver tratamento baseado em consentimento. Também prevê eliminação de dados tratados com consentimento, ressalvadas as hipóteses do art. 16, e revogação do consentimento quando essa for a base usada.

Você pode se opor ao tratamento em desacordo com a lei e pedir revisão de decisões unicamente automatizadas que afetem seus interesses (art. 20). O Gita não toma esse tipo de decisão. A aplicação de cada direito depende da base legal, do papel do controlador e das obrigações de conservação aplicáveis. O exercício é gratuito.

Para dados que a Jack Experts controla, envie um e-mail a contato@jackexperts.com.br com o direito que deseja exercer e dados suficientes para localizar o registro. Podemos pedir comprovação de identidade proporcional ao risco, sem solicitar informações excessivas. O encarregado indicado é [A PREENCHER]; o canal segue o art. 41 da LGPD e a Resolução CD/ANPD nº 18/2024.

Para dados de uma instalação Gita Cloud, procure primeiro a organização cliente, que é a controladora. Apoiamos a resposta como operadora. Você também pode escrever ao nosso encarregado; encaminharemos o pedido à organização responsável. Para uma instalação Self-hosted, contate a organização que a administra: ela mantém os dados na infraestrutura dela.

O titular pode excluir sua conta Gita em Profile → Delete account, confirmando a senha. O administrador da instalação não pode excluir a própria conta pelo painel: deve encerrar a instalação ou pedir suporte. O dono de organização com clusters ou outros membros precisa removê-los antes ou pedir suporte.

Para confirmação ou acesso, o art. 19 da LGPD prevê resposta em formato simplificado imediatamente, quando possível, ou declaração clara e completa em até 15 dias da solicitação. Para os demais pedidos dirigidos à Jack Experts como controladora, responderemos em até 15 dias, inclusive para explicar eventual impossibilidade jurídica ou técnica. Quando o cliente for controlador, encaminharemos o pedido e apoiaremos sua resposta; o prazo aplicável é contado e cumprido pelo controlador responsável.

A resposta poderá informar dados conservados por obrigação legal ou regulatória ou em uso anonimizado nas hipóteses do art. 16, além de eventual conservação com base própria para exercício regular de direitos. A verificação de identidade visa evitar que dados sejam entregues ou apagados a pedido de outra pessoa.

O tratamento observa os princípios do art. 6º e o dever de informação do art. 9º da LGPD. Para os dados que controlamos, aplicamos, conforme a finalidade, o art. 7º, II (obrigação legal ou regulatória), V (contrato ou procedimentos preliminares solicitados pelo titular), VI (exercício regular de direitos) e IX (legítimo interesse, quando cabível e avaliado). O cliente controlador define as bases legais dos dados de suas contas, equipes e workloads na instalação.

O Gita não pede dados pessoais sensíveis para cadastro (art. 11). O cliente deve avaliar eventual dado sensível que inserir em conteúdo próprio. Por ser serviço empresarial, o Gita não se destina a menores de 18 anos (art. 14). Não usamos consentimento como condição genérica para os cookies necessários ao funcionamento do painel.

O término do tratamento e as hipóteses de conservação seguem os arts. 15 e 16 da LGPD. Os prazos abaixo distinguem dados da conta, dados da organização e registros de relacionamento comercial.

O art. 16 da LGPD permite conservação para cumprimento de obrigação legal ou regulatória e, nas condições legais, uso anonimizado. Dados necessários ao exercício regular de direitos podem ter base própria no art. 7º, VI. No Self-hosted, apenas o cliente pode executar exclusão de dados e backups na infraestrutura dele.

O provedor de hospedagem do Gita Cloud é [A PREENCHER] (país e provedor). Também podem participar o provedor de e-mail da Jack Experts e o GitLab, que distribui imagens e chart pelo registro público e pode envolver transferência aos Estados Unidos. No Self-hosted, a validação online da licença envia apenas licença, Installation ID, contagem de nodes com indicação de completude e versão; a verificação de atualização (tags públicas do chart no GitLab ou o manifesto em gita.cloud) não envia dados da instalação, embora o servidor consultado veja IP e horário.

Transferências internacionais, quando ocorrerem, exigem hipótese do art. 33 da LGPD e cumprimento dos arts. 33 a 36 e da Resolução CD/ANPD nº 19/2024, inclusive cláusulas-padrão contratuais da ANPD quando aplicáveis. Não vendemos dados nem os compartilhamos para publicidade.

Os arts. 46 a 49 da LGPD exigem medidas de segurança adequadas e tratam de incidentes. No protótipo Gita, senhas de contas usam PBKDF2-SHA256 com 310 mil iterações, cookies de sessão são HttpOnly, o Ingress do chart exige TLS e o armazenamento de identidade é criptografado com AES-GCM, com chave guardada em Secret separado. Ações de usuário no Kubernetes usam impersonação individual e aparecem na auditoria; diffs mascaram Secrets, ConfigMaps, variáveis, comandos, argumentos e anotações. Comandos e saída dos terminais não são gravados.

Em incidente que possa acarretar risco ou dano relevante aos titulares, o controlador deve comunicar a ANPD e os titulares no prazo de 3 dias úteis, conforme o art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024, ressalvado prazo específico previsto em lei. No Cloud, a Jack Experts, como operadora dos dados da instalação, apoiará e informará o cliente controlador para que este avalie e cumpra sua obrigação de comunicação. Quando controlarmos os dados afetados, caberá a nós essa avaliação e comunicação.

Esses controles não representam aprovação do Gita v5 para produção, certificação, backup garantido ou promessa de ausência de incidentes.

Se seu pedido ao controlador não for resolvido, você pode apresentar petição à Autoridade Nacional de Proteção de Dados, com comprovante do pedido prévio, pelo canal oficial da ANPD. Também há canal para denúncias de possível infração.

Referências: LGPD; Marco Civil da Internet; Código Civil; regra de incidentes da ANPD; Resolução nº 18/2024; Resolução nº 19/2024.