1 Quem responde pelos dados
O Titan DLP só funciona dentro de uma organização que o implanta na própria frota. Sem a configuração que o administrador entrega, os componentes permanecem inertes e não analisam nada.
A organização empregadora é a controladora dos dados. É ela quem define quais políticas se aplicam, o que é considerado sensível e quem, dentro dela, pode consultar os registros. A GRC1 atua como operadora, fornecendo a tecnologia e processando dados segundo as instruções dessa organização.
A implantação ocorre em parque corporativo — equipamentos e contas de trabalho fornecidos pela organização — e sempre mediante autorização e decisão dela. Não se destina a uso pessoal. O tratamento apoia-se no interesse legítimo do empregador em proteger informação corporativa e no cumprimento de obrigações regulatórias e contratuais; informar seus colaboradores é dever dele, como a lei exige.
Se você é colaborador de uma empresa que usa o Titan DLP, dirija as perguntas sobre o tratamento dos seus dados ao encarregado de dados da sua própria empresa.
2 Onde o Titan DLP atua
O produto tem duas frentes independentes, e a organização escolhe quais adota:
No equipamento (agente). Acompanha a saída de informação pelos canais que a organização habilitar — arquivos, área de transferência, impressão, aplicativos de mensageria e clientes de inteligência artificial instalados na máquina.
No navegador (extensão Web Upload Guard). Acompanha o que é enviado pela web: anexos em aplicações, uploads para nuvem, webmail e serviços de IA acessados pelo navegador.
Uma não depende da outra. A organização pode usar só o agente, só a extensão, ou ambos — e cada canal é ligado ou desligado por decisão dela.
3 O que é analisado
Em ambas as frentes, a análise recai sobre o conteúdo que o usuário envia ou movimenta deliberadamente, no momento em que isso acontece — e não sobre o que ele apenas lê ou consulta.
A verificação ocorre antes de o conteúdo sair, e serve a um único propósito: apurar se ele viola as regras de prevenção de perda de dados definidas pela organização.
4 O que é transmitido, e para onde
Os componentes comunicam-se exclusivamente com o servidor da própria organização, cujo endereço é entregue pela configuração. Não há transmissão a terceiros, nem à GRC1, nem a qualquer serviço externo de análise.
Quando uma política é violada, registra-se o que foi detectado (o tipo de dado sensível e, conforme a configuração da organização, um trecho do conteúdo como evidência), o contexto (data e hora, canal, destino, nome da estação e identificação do usuário) e o desfecho (se a ação foi permitida, advertida ou bloqueada).
Ações que não violam política nenhuma não geram registro de conteúdo. Há ainda um sinal periódico de presença — apenas para que o administrador saiba quais estações estão protegidas.
5 O que o Titan DLP NÃO coleta
Histórico de navegação — páginas visitadas não são registradas nem transmitidas. Conteúdo que você apenas lê — a inspeção é do que sai, não do que entra. Credenciais — campos de senha não são lidos. Comportamento — não há registro de cliques, movimentos do mouse ou rolagem, nem captura indiscriminada do que é digitado. Dados para publicidade — nada é vendido, cedido ou usado para perfilamento comercial.
6 Processamento local
A leitura de texto em imagens e PDFs acontece integralmente na máquina do usuário, por um motor incluído no próprio pacote. O arquivo não é enviado a nenhum serviço externo para ser analisado.
A extensão de navegador não carrega código remoto: todo o programa que ela executa está contido no pacote publicado e revisado pela Chrome Web Store.
7 O que fica guardado no equipamento
Apenas a configuração entregue pelo administrador: endereço do servidor da organização, identificador do ambiente, nome da estação e identificação do usuário. Nenhum conteúdo analisado é mantido no equipamento após a verificação.
8 Permissões da extensão de navegador
Acesso a todos os sites — a política se aplica a qualquer destino de envio; proteger só uma lista fixa deixaria o restante descoberto. storage — guardar a configuração gerenciada. offscreen — executar a leitura de texto em imagens e PDFs localmente; sem isso, a análise exigiria enviar o arquivo para fora. alarms — reenviar o sinal periódico de presença ao servidor da organização.
9 Retenção e quem pode consultar
Os registros ficam na infraestrutura da organização que implantou o produto, pelo prazo que ela definir. O acesso ao conteúdo retido de uma violação é restrito e auditado: cada consulta fica registrada, com autor, data e justificativa.
A GRC1 não acessa esses registros, salvo quando expressamente acionada pela organização para suporte, e nos limites do contrato firmado com ela.
10 Direitos do titular
A Lei nº 13.709/2018 assegura confirmação de tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamentos e revisão de decisões automatizadas.
Como a controladora é a sua organização empregadora, exerça esses direitos junto ao encarregado de dados dela. A GRC1, como operadora, atende às solicitações que a controladora encaminhar.