proteção de dados
Os documentos de auditoria ficam na União Europeia.
A foraudits aloja a base de dados, o armazenamento, o alojamento da aplicação, a computação de extração e a revisão por IA na União Europeia. Os modelos correm no Google Vertex AI Model Garden em Frankfurt (europe-west3), ao abrigo de um acordo de tratamento de dados, e nesses termos o conteúdo não é usado para treinar modelos. A única transferência para fora da UE é o envio de email transacional, através do Resend, com garantias adequadas — o EU US Data Privacy Framework ou as cláusulas contratuais tipo da Comissão Europeia.
Porque é que isto importa numa auditoria
Os documentos que um auditor recolhe ao cliente auditado não são dados banais: são faturas, plantas, contratos, organigramas e, com frequência, dados pessoais de trabalhadores. Quem audita responde perante o cliente auditado por onde esses documentos foram parar. Uma resposta útil a essa pergunta tem de nomear o local de tratamento e o subcontratante, não limitar-se a dizer que existe conformidade com o RGPD.
Sem treino de modelos
A foraudits não usa os dados pessoais do cliente para treinar os seus modelos de IA nem os de terceiros. O tratamento é feito através do Google Vertex AI Model Garden ao abrigo de um acordo de tratamento de dados e, nesses termos, o conteúdo não é usado para treinar modelos. A foraudits não autoriza esse uso.
A exceção, dita por extenso
O envio de email transacional é feito pelo Resend, nos Estados Unidos. É a única transferência de dados para fora da União Europeia em todo o produto. Aplicam-se garantias adequadas, por exemplo o EU US Data Privacy Framework ou as cláusulas contratuais tipo. Preferimos escrever isto do que publicar uma página que diga que está tudo na UE e deixe o leitor descobrir a exceção no anexo do contrato.
O que a foraudits não é
A foraudits não é um organismo de certificação, não emite certificados, não assina auditorias e não garante um resultado. Também não é um selo de conformidade com o RGPD: a plataforma trata dados em conformidade e documenta-o, mas a responsabilidade do responsável pelo tratamento continua a ser de quem audita.
Subcontratantes e local de tratamento.
Extraído da página de subcontratantes, que é a versão contratual e prevalece sobre esta.
| Subcontratante | Serviço | Local de tratamento |
|---|---|---|
| Supabase | Base de dados, autenticação e armazenamento | União Europeia |
| Vercel | Alojamento do site e entrega de conteúdo | União Europeia |
| Alphabet | Alojamento de modelos via Google Vertex AI Model Garden, com DPA | União Europeia, Frankfurt (europe-west3) |
| Resend | Envio de email transacional | Estados Unidos |
O que costumam perguntar.
- As ferramentas de IA da foraudits são compatíveis com o RGPD?
- O tratamento é feito na União Europeia, ao abrigo de um acordo de tratamento de dados com o fornecedor dos modelos, e o conteúdo não é usado para treinar modelos. A foraudits atua como subcontratante do auditor, que continua a ser o responsável pelo tratamento. A página de tratamento de dados descreve as finalidades, as categorias de dados e os prazos de conservação.
- Onde é que os documentos carregados pelo cliente auditado ficam guardados?
- Na União Europeia. Base de dados, armazenamento e computação de extração ficam na UE, e a revisão por IA corre em Frankfurt (europe-west3).
- Os nossos documentos são usados para treinar modelos de IA?
- Não. O tratamento corre através do Google Vertex AI Model Garden ao abrigo de um acordo de tratamento de dados e, nesses termos, o conteúdo não é usado para treinar modelos. A foraudits não autoriza esse uso, nem para os seus modelos nem para os de terceiros.
- Há alguma transferência de dados para fora da União Europeia?
- Uma: o envio de email transacional, através do Resend, nos Estados Unidos, com garantias adequadas como o EU US Data Privacy Framework ou as cláusulas contratuais tipo. Nenhum documento de auditoria, extração ou revisão sai da UE.
- A foraudits assina ou emite a certificação?
- Não. A foraudits não é um organismo de certificação nem está acreditada para certificar. Revê o relatório face à norma e devolve a análise; a decisão e a assinatura ficam com a entidade competente.
Precisa do DPA antes de decidir?
O acordo de tratamento de dados e a lista de subcontratantes estão públicos e não dependem de uma conversa comercial. Se precisar de os rever com o seu DPO, estão ali.