RegulatoryBridge Global Ltd. (77 Lower Camden Street, Saint Kevin's, D02 XE80 Dublin 2, Ireland; número de registro da empresa Pending - see CRO filing) ("RegulatoryBridge", "nós", "nós", "nosso") é o controlador dos dados pessoais tratados em conexão com este site (regulatorybridge.com) e com os serviços que prestamos.

Encarregado de Proteção de Dados (DPO): Nosso DPO pode ser contatado em dpo@regulatorybridge.com ou por correspondência postal endereçada à sede registrada acima (identifique a correspondência com "A/C: Encarregado de Proteção de Dados").

Representante na UE (Artigo 27 do GDPR): RegulatoryBridge EU Representative (to be appointed), Pending - to be designated under Article 27 GDPR — eu-rep@regulatorybridge.com.
Representante no Reino Unido (Artigo 27 do UK GDPR): RegulatoryBridge UK Representative (to be appointed), Pending - to be designated under Article 27 UK GDPR — uk-rep@regulatorybridge.com.

Consulte nosso Aviso Legal / Identificação Legal para as divulgações completas da entidade.

Esta política descreve como tratamos dados pessoais quando você (i) visita este site, (ii) solicita informações, uma demonstração ou uma conversa comercial, (iii) contrata nossos serviços, (iv) assina nossas comunicações ou (v) interage conosco como parceiro de negócios, fornecedor ou candidato a emprego.

Quando prestamos serviços de representação em privacidade ou de encarregado de proteção de dados aos nossos clientes, nosso cliente é o controlador dos dados pessoais de seus usuários finais e a RegulatoryBridge atua como operadora sob um Acordo de Tratamento de Dados separado. Esse tratamento é regido pelo Acordo de Tratamento de Dados (DPA) vigente com o cliente, e não por esta política.

• Dados de identificação e contato — nome, e-mail corporativo, telefone corporativo, cargo, empregador, país.
• Dados de conta — nome de usuário, senha com hash, preferências da conta, cadastro de MFA.
• Dados de serviço — solicitações de DSAR, detalhes de incidentes, avaliações de conformidade, registros de ROPA e outros dados que você carrega para operar seu programa de conformidade.
• Dados de cobrança — contato de faturamento, identificação fiscal, endereço de cobrança, histórico de faturas. Os dados de cartão de pagamento são tratados pelo nosso processador de pagamentos em conformidade com o PCI-DSS e não são armazenados por nós.
• Dados de uso e dispositivo — endereço IP (truncado quando possível), navegador, tipo de dispositivo, URL de referência, páginas visualizadas, registros de data e hora, eventos de sessão.
• Comunicações — e-mails, tíquetes de suporte e anotações de chamadas comerciais ou de integração.
• Preferências de marketing — status de assinatura, registros de consentimento, registros de data e hora de descadastramento.
• Dados de recrutamento (apenas se você se candidatar a uma vaga) — currículo, histórico profissional, referências, indicadores de direito ao trabalho.

Nós não coletamos intencionalmente dados de categorias especiais (Artigo 9 do GDPR) ou informações pessoais sensíveis (CPRA, DPDPA) sobre potenciais clientes ou visitantes do site. Se você carregar tais dados em nossos serviços para casos de uso de conformidade, aplicam-se nossas obrigações de operadora previstas no DPA.

• Diretamente de você — formulários, cadastro de conta, solicitações de suporte, chamadas, e-mails.
• Automaticamente — por meio do nosso site, da análise do produto e do registro de segurança.
• De terceiros — seu empregador (caso você seja indicado como contato dele), diretórios empresariais disponíveis publicamente, patrocinadores de conferências, parceiros de indicação.

As bases legais abaixo fazem referência ao Artigo 6 do GDPR (e às finalidades comerciais da CCPA/CPRA, quando aplicável):

Compartilhamos dados pessoais apenas com partes que tenham uma necessidade legítima de recebê-los:

• Infraestrutura em nuvem — AWS, Vercel, Cloudflare (CDN, edge compute, DDoS, WAF).
• E-mail e comunicações — provedores de e-mail transacional e de marketing.
• Análise e telemetria de produto — provedor de análise (somente com seu consentimento).
• CRM e automação de vendas — para gerenciar relacionamentos comerciais.
• Processamento de pagamentos — processador certificado em PCI-DSS.
• Consultores profissionais — auditores, contadores, advogados, seguradoras sob obrigações de confidencialidade.
• Reguladores ou tribunais — somente quando exigido por lei ou com seu consentimento.

Uma lista atualizada de suboperadores está disponível mediante solicitação por meio de dpo@regulatorybridge.com. Notificamos os clientes sobre alterações relevantes de suboperadores de acordo com o DPA aplicável.

Podemos transferir dados pessoais para fora do seu país de residência. Quando o destino não estiver coberto por uma decisão de adequação da UE/Reino Unido/Suíça, recorremos a garantias adequadas previstas no Art. 46 do GDPR:

• Cláusulas Contratuais Padrão (SCCs) aprovadas pela Comissão Europeia, complementadas pelo UK Addendum ou pelo IDTA para transferências ao Reino Unido.
• Regras Corporativas Vinculantes (BCRs) com destinatários do mesmo grupo, quando vigentes.
• Avaliações de Impacto de Transferência sob o Schrems II para destinos de risco.

Para titulares de dados na Índia sob a DPDPA, as transferências internacionais são feitas apenas para jurisdições não restringidas pelo Governo Central. No caso do Brasil (LGPD), as transferências baseiam-se em mecanismos aprovados pela ANPD (Resolução 19/2024). No caso do Japão (APPI), as transferências ocorrem mediante consentimento ou acordos de proteção equivalente. Uma cópia do mecanismo de transferência vigente para os seus dados está disponível mediante solicitação.

• Dados de conta — duração do contrato mais 90 dias para exportação.
• Registros de cobrança — retenção mínima exigida por lei (normalmente de 6 a 10 anos para fins fiscais/contábeis na maioria das jurisdições).
• Tíquetes de suporte — 3 anos após a resolução.
• Dados da lista de marketing — até que você retire o consentimento e, em seguida, 30 dias para propagação no sistema.
• Logs de segurança e auditoria — 12 meses por padrão (mais tempo quando a lei exigir).
• Dados de recrutamento — 12 meses após o preenchimento da vaga (mais tempo com seu consentimento).

Implementamos medidas técnicas e organizacionais adequadas ao risco, incluindo:

• Criptografia em trânsito (TLS 1.2+) e em repouso (AES-256 ou equivalente).
• Acesso baseado em funções com privilégio mínimo, MFA no acesso administrativo, exigência de chave de hardware para acesso ao ambiente de produção.
• Registro contínuo, detecção de anomalias e resposta a incidentes 24×7.
• Testes de intrusão anuais e varreduras de vulnerabilidade trimestrais.
• Mapeamento de controles SOC 2 Type II e ISO 27001 (certificações em andamento quando aplicável).
• Avaliações de risco de fornecedores antes de contratar qualquer suboperador.

Apesar de todos os controles, nenhum sistema é perfeitamente seguro. Se uma violação afetar seus dados pessoais, notificaremos você e/ou a autoridade supervisora competente de acordo com a legislação aplicável.

• Acesso — confirmação do tratamento e uma cópia dos seus dados.
• Retificação — correção de dados inexatos ou incompletos.
• Eliminação — exclusão em circunstâncias definidas.
• Restrição — suspensão do tratamento enquanto uma disputa é resolvida.
• Portabilidade — receber seus dados em um formato estruturado e de uso comum.
• Oposição — ao tratamento baseado em interesses legítimos ou em marketing direto.
• Retirada do consentimento — a qualquer momento, com a mesma facilidade com que o concedeu.
• Não ser submetido a uma decisão exclusivamente automatizada que produza efeitos jurídicos ou que o afete de forma similarmente significativa.

Para exercer qualquer um desses direitos, entre em contato pelo e-mail dpo@regulatorybridge.com. Respondemos no prazo de um mês (prorrogável por dois meses em solicitações complexas). Quando não pudermos verificar sua identidade, solicitaremos informações adicionais.

Califórnia (CCPA / CPRA). Os consumidores da Califórnia também têm o direito de saber, excluir, corrigir, recusar a venda ou o compartilhamento de informações pessoais, limitar o uso de informações pessoais sensíveis e não sofrer discriminação por exercerem seus direitos. Honramos os sinais de Global Privacy Control. Não vendemos informações pessoais nos 12 meses anteriores. Para exercer os direitos da CCPA, envie um e-mail para privacy@regulatorybridge.com.

Índia (DPDPA). Os titulares de dados têm os direitos de acesso, correção/complementação/atualização, eliminação, reparação de queixas e indicação, e podem retirar o consentimento a qualquer momento. Entre em contato pelo e-mail dpo-india@regulatorybridge.com.

Reino Unido (UK GDPR). Você pode apresentar uma reclamação ao Information Commissioner's Office (ico.org.uk).

Brasil (LGPD). Você pode exercer os direitos previstos no Artigo 18 da LGPD escrevendo ao nosso Encarregado em encarregado@regulatorybridge.com; você também pode recorrer à ANPD.

Singapura (PDPA). Nosso DPO é o ponto de contato para acesso, correção e retirada de consentimento sob a PDPA.

Japão (APPI). Você pode solicitar divulgação, correção, cessação ou exclusão sob os Artigos 28 a 35 da APPI entrando em contato com nosso Gestor de Informações Pessoais em appi@regulatorybridge.com.

Suíça (revFADP). Aplicam-se direitos equivalentes; reclamações podem ser apresentadas ao FDPIC.

Nossos serviços não são direcionados a crianças menores de 16 anos, e não coletamos intencionalmente dados pessoais de quem acreditamos ter menos de 16 anos. Se você acredita que uma criança nos forneceu dados pessoais, entre em contato pelo e-mail dpo@regulatorybridge.com e os excluiremos prontamente. Quando os clientes tratam dados de crianças usando nossos serviços, cabe ao cliente obter o consentimento parental exigido.

Não utilizamos tomada de decisão exclusivamente automatizada que produza efeitos jurídicos ou que o afete de forma similarmente significativa. Alguns sistemas operacionais (por exemplo, filtragem de spam, detecção de anomalias) aplicam lógica automatizada com supervisão humana. Caso isso mude, atualizaremos esta política e obteremos consentimento ou outra base legal, conforme apropriado.

Usamos cookies para: (i) funções necessárias, como roteamento, segurança e continuidade de sessão; (ii) análises opcionais — somente com seu consentimento; (iii) marketing opcional — somente com seu consentimento. Você gerencia sua escolha por meio do banner de cookies exibido na primeira visita e a qualquer momento por meio de "Configurações de Cookies" em nosso rodapé (link em breve). Para detalhes sobre cookies específicos, durações e provedores, consulte nosso futuro Aviso de Cookies.

Gostaríamos de ter a oportunidade de resolver sua preocupação primeiro — escreva para dpo@regulatorybridge.com. Você também tem o direito de apresentar uma reclamação à sua autoridade supervisora local. A Autoridade de Proteção de Dados do nosso estabelecimento principal é a Data Protection Commission (Ireland).

Podemos atualizar esta política periodicamente. Alterações relevantes serão anunciadas nesta página e, quando apropriado, por e-mail ou por notificação no produto, com pelo menos 14 dias de antecedência da data em que entrarem em vigor. A versão e a data no topo desta página indicam a iteração atual.

E-mail: privacy@regulatorybridge.com
Encarregado de Proteção de Dados (DPO): dpo@regulatorybridge.com
Correspondência postal: RegulatoryBridge Global Ltd., A/C: Encarregado de Proteção de Dados, 77 Lower Camden Street, Saint Kevin's, D02 XE80 Dublin 2, Ireland.