Avaliação de Impacto de Transferência - Adicionar Anthropic em todo o sistema

O ISMS Copilot conduziu uma Avaliação de Impacto de Transferência (TIA) para transferências internacionais de dados para os Estados Unidos sob os requisitos do Capítulo V do GDPR. Este artigo explica os resultados da avaliação, as medidas suplementares implementadas e como o Modo de Proteção Avançada de Dados afeta suas obrigações de transferência.

O Que É uma Avaliação de Impacto de Transferência

Sob o GDPR e a decisão Schrems II, as organizações que transferem dados pessoais para países fora da UE/EEE devem avaliar se as leis do país de destino oferecem proteção adequada. As Cláusulas Contratuais Padrão (SCCs) por si só podem não ser suficientes — você deve avaliar se são necessárias salvaguardas adicionais.

Uma TIA avalia:

• Leis no país de destino que possam permitir o acesso governamental aos dados
• Se o seu importador de dados (subprocessador) poderia estar sujeito a essas leis
• Medidas técnicas e organizacionais que mitiguem os riscos identificados
• Se a combinação de SCCs + medidas suplementares oferece proteção adequada

TIA do ISMS Copilot: Transferências para Provedores de IA

O ISMS Copilot mantém uma Avaliação de Impacto de Transferência para transferências internacionais de dados. O roteamento atual do provedor de IA está documentado nos documentos legais canônicos em nosso Trust Center:

Para a lista completa de subprocessadores com detalhes de localização e retenção, consulte:

• Data Processing Agreement (Trust Center)
• Register of Processing Activities (Trust Center)

Esses documentos canônicos são atualizados sempre que os acordos com provedores de IA mudam.

Como o Modo de Proteção Avançada de Dados Altera as Obrigações da TIA

Modo Padrão (Proteção Avançada de Dados DESLIGADA)

Quando a Proteção Avançada de Dados está desativada:

• Local de processamento de IA: Estados Unidos (xAI, OpenAI, Anthropic)
• Mecanismo de transferência: Cláusulas Contratuais Padrão + medidas suplementares
• Requisito de TIA: Organizações sujeitas ao GDPR devem conduzir ou confiar na TIA do ISMS Copilot
• Retenção pelos provedores de IA: 30 dias (cache temporário para monitoramento de abuso)
• Transferências de e-mail: Ainda ocorrem para provedores nos EUA (SendGrid/Kit) independentemente da configuração de IA

Proteção Avançada de Dados LIGADA (Modo Apenas UE)

Quando a Proteção Avançada de Dados está ativada:

• Local de processamento de IA: União Europeia (Mistral AI, Frankfurt)
• Mecanismo de transferência: Sem transferência internacional para processamento de IA (UE-para-UE)
• Requisito de TIA: Não é necessário para processamento de IA (sem transferência fora da UE/EEE)
• Retenção pelo provedor de IA: Retenção zero — dados processados em tempo real e descartados
• Transferências de e-mail: Ainda ocorrem para provedores nos EUA (SendGrid/Kit); TIA ainda é necessária para e-mails

Transferências de E-mail Permanecem Independentemente do Modo

Mesmo com a Proteção Avançada de Dados ativada, as comunicações por e-mail envolvem transferências para os EUA:

• SendGrid (Twilio): E-mails transacionais (verificação de conta, redefinição de senha, alertas de segurança)
• Kit (ConvertKit): Sequências de integração e atualizações de produto (opcional, o usuário pode cancelar a inscrição)
• Dados transferidos: Endereços de e-mail, dados de engajamento (aberturas, cliques), metadados de mensagens
• Salvaguardas: Cláusulas Contratuais Padrão, criptografia em trânsito, DPAs compatíveis com GDPR

Para minimizar as transferências de e-mail, os usuários podem cancelar a inscrição de comunicações não essenciais.

Conduzindo Sua Própria TIA

Quando Você Precisa de Sua Própria Avaliação

As organizações devem conduzir sua própria TIA se:

• Você processa dados de categoria especial (Artigo 9 do GDPR) através do ISMS Copilot
• Sua tolerância ao risco difere da avaliação do ISMS Copilot
• Sua autoridade de proteção de dados exige TIAs específicas da organização
• Contratos com clientes exigem avaliações independentes de transferência
• Você processa grandes volumes de dados pessoais de residentes da UE

Perguntas-Chave para Sua TIA

Ao conduzir sua própria avaliação, considere:

Sensibilidade dos Dados

• Que tipos de dados pessoais você está enviando?
• Inclui dados de categoria especial (saúde, biométricos, opiniões políticas)?
• Como o acesso governamental não autorizado prejudicaria os titulares dos dados?

Probabilidade de Acesso

• Seus dados de conformidade poderiam atender ao limiar de "inteligência estrangeira" sob a FISA 702?
• Você ou seus clientes são alvos potenciais de vigilância governamental?
• Você lida com dados relacionados à segurança nacional, terrorismo ou crime organizado?

Medidas Suplementares

• As medidas técnicas do ISMS Copilot (criptografia, retenção limitada) são suficientes para o seu caso de uso?
• Você deve ativar o Modo de Proteção Avançada de Dados para processamento apenas na UE?
• Você deve ativar o Modo de Redução de PII para redactar dados pessoais antes do processamento de IA?
• Você precisa de anonimização adicional antes de enviar documentos?

Soluções Alternativas

• Se os riscos não puderem ser mitigados, você pode evitar a transferência ativando o Modo de Proteção Avançada de Dados?
• Você pode anonimizar os dados antes de usar o ISMS Copilot?
• Você deve restringir o uso do ISMS Copilot apenas a dados não pessoais?

Recursos para Sua TIA

• UK ICO: Transfer Risk Assessments
• EDPB Recommendations 01/2020 sobre medidas suplementares
• CNIL: Como realizar uma Avaliação de Impacto de Transferência
• ISMS Copilot Data Processing Agreement (Seção 3: Transferências Internacionais de Dados)
• Register of Processing Activities para informações detalhadas sobre subprocessadores

Guia de Decisão: Qual Modo Você Deve Usar

Use o Modo de Proteção Avançada de Dados (Apenas UE) Quando:

• Sua organização tem requisitos obrigatórios de residência de dados na UE
• Você lida com dados pessoais de residentes da UE e deseja simplificar a conformidade com a TIA
• Contratos com clientes proíbem o processamento de dados com base nos EUA
• Você processa dados de categoria especial (Artigo 9 do GDPR)
• Sua autoridade de proteção de dados exige processamento apenas na UE
• Sua avaliação de risco conclui que transferências para os EUA apresentam riscos inaceitáveis
• Você deseja retenção zero pelo provedor de IA para máxima privacidade

O Modo Padrão Pode Ser Aceitável Quando:

• Você processa apenas documentação de conformidade sem dados pessoais
• Sua TIA conclui que medidas suplementares oferecem proteção adequada
• Você não está sujeito ao GDPR (organização não pertencente à UE, sem titulares de dados na UE)
• Você lida apenas com conteúdo de conformidade não sensível (políticas genéricas, frameworks)
• A retenção de 30 dias pelo provedor de IA é aceitável sob suas políticas

Documentando Transferências no Seu ROPA

Se você usar o ISMS Copilot para processar dados pessoais, documente-o no seu Registro de Atividades de Processamento:

Modo Padrão (Proteção Avançada de Dados DESLIGADA)

• Subprocessadores: ISMS Copilot (UE), xAI (EUA), OpenAI (EUA), SendGrid (EUA), Kit (EUA)
• Destinos de transferência: Estados Unidos
• Mecanismos de transferência: Cláusulas Contratuais Padrão, criptografia, retenção limitada
• Referência da TIA: "Confiamos na Avaliação de Impacto de Transferência do ISMS Copilot datada de [data]" ou "Conduzimos TIA interna em [data]"

Modo de Proteção Avançada de Dados (LIGADA)

• Subprocessadores: ISMS Copilot (UE), Mistral AI (UE), SendGrid (EUA), Kit (EUA)
• Destinos de transferência: Estados Unidos (apenas e-mail)
• Mecanismos de transferência: Cláusulas Contratuais Padrão para provedores de e-mail
• Referência da TIA: "O processamento de IA ocorre na UE (sem transferência); transferências de e-mail cobertas por SCCs"

Consulte o Registro de Atividades de Processamento do ISMS Copilot para um modelo que você pode referenciar.

Melhores Práticas

Para Organizações da UE

• Ative o Modo de Proteção Avançada de Dados por padrão para evitar a complexidade da TIA
• Documente o ISMS Copilot no seu ROPA com detalhes apropriados de subprocessadores
• Informe os titulares dos dados que você usa ferramentas de IA para processamento de conformidade (aviso de privacidade)
• Anonimize dados pessoais antes de enviar, quando possível
• Conduza uma AIPD se processar dados de categoria especial ou dados pessoais em larga escala

Para Consultores de Conformidade

• Avalie os requisitos de residência de dados de cada cliente antes de escolher um modo
• Crie espaços de trabalho separados por cliente para isolar dados
• Inclua o ISMS Copilot como subprocessador nos seus DPAs com clientes
• Informe os clientes sobre o modo que você está usando e por quê
• Ative o Modo de Redução de PII para proteção extra ao lidar com relatórios de auditoria com nomes de funcionários

Minimizando Riscos de Transferência

• Ative o Modo de Proteção Avançada de Dados: Elimina completamente as transferências de processamento de IA
• Ative o Modo de Redução de PII: Redige dados pessoais antes que cheguem aos provedores de IA
• Cancele a inscrição de e-mails não essenciais: Reduz transferências para provedores de e-mail
• Defina períodos curtos de retenção: Limita por quanto tempo os dados são armazenados
• Anonimize antes de enviar: Remova ou pseudonimize identificadores pessoais

Perguntas Frequentes

Preciso conduzir minha própria TIA se usar o ISMS Copilot?

Depende. Se você usar o modo padrão e processar dados pessoais de residentes da UE, deve conduzir sua própria TIA ou documentar sua confiança na avaliação do ISMS Copilot. Se ativar o Modo de Proteção Avançada de Dados, o processamento de IA permanece na UE e não requer uma TIA (embora as transferências de e-mail ainda requeiram).

O Modo de Proteção Avançada de Dados elimina completamente as obrigações de transferência?

Não. Ele elimina as transferências para processamento de IA, mas as comunicações por e-mail ainda envolvem provedores baseados nos EUA (SendGrid, Kit). Essas transferências de e-mail permanecem sujeitas aos requisitos do Capítulo V do GDPR e devem ser documentadas no seu ROPA.

E se minha autoridade de proteção de dados rejeitar a TIA do ISMS Copilot?

Se sua APD concluir que as transferências para os EUA apresentam riscos inaceitáveis, ative o Modo de Proteção Avançada de Dados para processar cargas de trabalho de IA exclusivamente na UE. Isso remove a necessidade de TIA no processamento de IA.

Posso usar o ISMS Copilot para dados de categoria especial?

Sim, mas com precauções. Ative o Modo de Proteção Avançada de Dados para processamento apenas na UE, ative o Modo de Redução de PII, defina períodos curtos de retenção e conduza uma Avaliação de Impacto na Proteção de Dados (AIPD) conforme exigido pelo Artigo 35 do GDPR. Certifique-se de ter uma base legal sob o Artigo 9.

Com que frequência devo revisar minha TIA?

Revise sua TIA sempre que:

• O ISMS Copilot alterar subprocessadores ou fluxos de dados
• As leis de vigilância dos EUA mudarem
• Sua autoridade de proteção de dados emitir novas orientações
• A natureza ou volume dos dados que você processa mudar significativamente

Onde posso encontrar as Cláusulas Contratuais Padrão do ISMS Copilot?

As SCCs estão incorporadas nos acordos com subprocessadores. Entre em contato com o suporte através do Help Center para solicitar cópias das SCCs para sua avaliação de fornecedor ou fins de auditoria.

Recursos Relacionados

• Data Processing Agreement (DPA) — Estrutura legal completa para o processamento de dados do ISMS Copilot
• Modo de Proteção Avançada de Dados — Como ativar o processamento apenas na UE
• Visão Geral dos Controles de Dados — Retenção, redução de PII e configurações de privacidade
• Privacidade de Dados e Conformidade com o GDPR — Seus direitos e implementação do GDPR
• Registro de Atividades de Processamento (ROPA) — Lista de subprocessadores e detalhes de processamento

Obtendo Ajuda

Para dúvidas sobre avaliações de impacto de transferência ou transferências internacionais de dados:

• Revise o Data Processing Agreement para mecanismos legais de transferência
• Entre em contato com o suporte através do Help Center para documentação da TIA ou cópias de SCCs
• Inclua "Solicitação de TIA" ou "Avaliação de Impacto de Transferência" na linha de assunto
• Visite a Coleção de Segurança para documentação abrangente de conformidade