A Asana tem como compromisso proteger e honrar os direitos de privacidade dos seus clientes e usuários. Em decorrência da promulgação de leis que afetam a maneira como as empresas processam informações pessoais em determinadas jurisdições, consideramos importante destacar algumas das medidas que a Asana pôs em vigor para atender às leis e regulamentos globais de privacidade em constante mudança e enfatizar o compromisso contínuo da Asana com a privacidade.

Comunicação e Conformidade Contínuas

À medida que as leis, regulamentos e diretrizes das autoridades e reguladores de proteção de dados continuam a evoluir e que mais países aprovem novas leis e regulamentos de proteção de dados, continuaremos a acompanhar atentamente esses desenvolvimentos e a avaliar o nosso programa, realizando quaisquer alterações ou aprimoramentos conforme necessário.

Valorizamos a comunicação com os nossos clientes. Se tiver qualquer dúvida sobre as nossas práticas de proteção de dados, entre em contato conosco escrevendo para privacy@asana.com.

Regulamento Geral de Proteção dos Dados

Em vigor desde 25 de maio de 2018, o Regulamento Geral de Proteção dos Dados (RGPD) é uma lei europeia que estabelece proteções aos dados pessoais dos residentes da União Europeia. De acordo com os termos do RGPD, as organizações que coletarem, armazenarem, utilizarem ou, de outra forma, processarem dados pessoais de residentes da União Europeia (independentemente da localização da organização) deverão implementar determinadas garantias de privacidade e segurança em relação a esses dados. A Asana não só estabeleceu um abrangente programa de conformidade com as disposições do RGPD, como também assumiu o compromisso de trabalhar em parceria com clientes e fornecedores para envidar esforços no sentido de atender a tais disposições. Alguns dos importantes passos que a Asana vem tomando para alinhar as suas práticas ao RGPD são:

• Revisão das nossas políticas e contratos com parceiros, fornecedores e usuários, conforme necessário, à medida que os requisitos mudam.

• Aprimoramento dos nossos procedimentos e práticas de segurança.

• Profunda análise e mapeamento dos dados que coletamos, usamos e compartilhamos.

• Criação de uma documentação interna mais robusta sobre privacidade e segurança.

• Treinamento dos funcionários sobre os requisitos globais de privacidade e as boas práticas gerais de privacidade e segurança.

• Avaliação e elaboração minuciosas de um processo de resposta e de uma política dos direitos dos titulares dos dados.

Fornecemos a seguir outras informações sobre os aspectos centrais do programa da Asana para conformidade com o RGPD e como os nossos clientes podem usar a Asana para atender às suas próprias iniciativas de conformidade com o RGPD.

Acordos de Processamento de Dados

De acordo com o RGPD, os “controladores de dados” (ou seja, as entidades que determinam as finalidades e os meios do processamento de dados) devem celebrar um acordo com as entidades que processam os dados em seu nome (denominadas “processadores de dados”). A Asana oferece aos clientes que atuam como controladores de dados pessoais na UE a opção de celebrar um Adendo de Processamento de Dados sob o qual a Asana se compromete a processar e a resguardar os dados pessoais de acordo com os requisitos estipulados no RGPD. Isso inclui o compromisso da Asana de processar dados pessoais em concordância com as instruções do controlador de dados.

Transferências Internacionais de Dados

Programa Estrutura de Privacidade de Dados da UE-EUA, a Extensão do Reino Unido à DPF da UE-EUA e a Estrutura de Privacidade de Dados da Suíça-EUA.

A Asana está em conformidade com o programa Estrutura de Privacidade de Dados da UE-EUA (DPF UE-EUA), a extensão do Reino Unido à DPF da UE-EUA e o programa Estrutura de Privacidade de Dados da Suíça-EUA (DPF da Suíça-EUA), conforme estabelecido pelo Departamento de Comércio dos EUA. A Asana fez uma declaração ao Departamento de Comércio dos EUA em que afirma que os Princípios da Estrutura de Privacidade de Dados da UE-EUA (Princípios da DPF da UE-EUA), com relação ao processamento de dados pessoais recebidos da União Europeia com base na DPF da UE-EUA e do Reino Unido (e Gibraltar) com base na Extensão do Reino Unido à DPF da UE-EUA. A Asana fez uma declaração ao Departamento de Comércio dos EUA em que afirma que cumpre os Princípios do programa Estrutura de Privacidade de Dados da Suíça-EUA (Princípios da DPF da Suíça-EUA), com relação ao processamento de dados pessoais recebidos da Suíça com base na DPF da Suíça-EUA.

Em conformidade com a DPF da UE-EUA, a extensão do Reino Unido à DPF da UE-EUA e a DPF da Suíça-EUA, a Asana compromete-se a encaminhar reclamações não resolvidas relativas ao tratamento de dados pessoais recebidos com base na DPF da UE-EUA, na Extensão do Reino Unido à DPF da UE-EUA, e na DPF da Suíça-EUA aos Programas Nacionais BBB, um outro fornecedor de resolução de litígios com sede nos EUA. Se você não receber em tempo hábil a nossa confirmação da sua reclamação relacionada aos Princípios da DPF, ou se não tivermos atendido satisfatoriamente à sua reclamação relacionada aos Princípios da DPF, acesse o site do Processo de Resolução de Disputas de Programas Nacionais BBB em https://bbbprograms.org/programs/all-programs/dpf-consumers/ProcessForConsumers para obter mais informações ou para apresentar uma reclamação. Os serviços dos Programas Nacionais BBB são fornecidos sem nenhum custo para você.

Observe que se a sua reclamação não for resolvida por meio destes canais, em circunstâncias limitadas, poderá estar disponível uma opção de arbitragem vinculativa, conforme disposto no Anexo I dos Princípios da DPF. A Asana está sujeita aos poderes de investigação e enforcement da Comissão Federal de Comércio dos EUA (Federal Trade Commission, FTC) em relação à sua conformidade com as disposições da DPF da UE-EUA, da extensão do Reino Unido à DPF da UE-EUA e da DPF da Suíça-EUA.

A Asana tomará todas as medidas adequadas e necessárias possíveis para assegurar que o terceiro que estiver atuando como “processador de dados” nos termos da terminologia da UE, do Reino Unido e da Suíça processe os dados pessoais que lhe confiamos de acordo com os Princípios da DPF. A Asana é potencialmente responsável em casos de transferência posterior a terceiros de dados de pessoas da UE, do Reino Unido e da Suíça recebidos nos termos da DPF da UE-EUA, da extensão do Reino Unido à DPF da UE-EUA e da DPF da Suíça-EUA, respectivamente.

Em caso de conflito entre os termos desta política de privacidade e os Princípios da DPF da UE-EUA e/ou os Princípios da DPF da Suíça-EUA, os Princípios regerão.

Para saber mais sobre o programa Estrutura de Privacidade de Dados (DPF) e visualizar a nossa declaração, visite https://www.dataprivacyframework.gov/.

Nos casos em que a DPF da UE-EUA, a Extensão do Reino Unido à DPF da UE-EUA e a DPF da Suíça-EUA não se apliquem, a Asana se baseia em outros mecanismos de transferência de dados para transferir dados pessoais para fora do EEE, do Reino Unido e da Suíça, como as Cláusulas Contratuais Padrão.

Ferramentas de Acesso, Gestão e Portabilidade de Dados

Em determinadas circunstâncias, o RGPD confere aos titulares dos dados o direito de, entre outras coisas, acessar, apagar e corrigir os próprios dados pessoais. A Asana assume o compromisso de facilitar as solicitações feitas pelos titulares dos dados nos termos do RGPD, tal como descrito na nossa Declaração de Privacidade.

Documentação de Privacidade

Na sua essência, o foco do RGPD se concentra na promoção de transparência, imparcialidade e responsabilização. Assim, essa lei determina que as organizações documentem as respectivas práticas de privacidade e as decisões quanto à forma como processam dados pessoais de pessoas físicas. Assumindo um compromisso com esses princípios, a Asana documenta no seu programa contínuo de conformidade com o RGPD todas as suas atividades de coleta e processamento de dados e as diversas políticas e diretrizes seguidas para atender ao RGPD. Para saber como a Asana coleta, utiliza e divulga dados pessoais, leia a Declaração de Privacidade da Asana.

Segurança dos Dados

O RGPD exige que as organizações utilizem medidas técnicas e organizacionais adequadas para proteger a segurança, a confidencialidade e a integridade dos dados pessoais. A segurança é uma prioridade constante para a Asana e as certificações ISO 27018 (Proteção de Dados Pessoais na Nuvem), ISO 27701 (Gestão de Informações de Privacidade), entre outras, demonstram o nosso compromisso com os padrões globais de privacidade. Além disso, concluímos com sucesso nossas auditorias SOC 2 (Tipo I e Tipo II), relacionadas aos controles aplicáveis à segurança, à disponibilidade e à confidencialidade. Isto significa que nossos processos e práticas foram validados por uma entidade independente quanto a esses critérios de serviços de confiança, a qual confirmou ainda a nossa capacidade de manter a conformidade com os controles que implementamos. Implementamos também uma gama de medidas cautelares para resguardar a segurança da nossa plataforma, incluindo a criptografia de conexões Web para proteger as transmissões de dados, a duplicação dos nossos bancos de dados de forma a respaldar a confiabilidade da nossa plataforma e o uso de controles de acesso às nossas instalações e à nossa rede de escritórios. A Asana também possibilita aos seus clientes a utilização de controles adicionais para reforçar a segurança dos dados das suas equipes. Para mais informações, consulte a nossa Página de Segurança.

Exercício dos Seus Direitos nos Termos do RGPD

Se deseja exercer os seus direitos estabelecidos pelo RGPD, preencha o nosso formulário global para solicitações de direitos de proteção de dados. Para mais informações sobre como a Asana oferece aos consumidores individuais a possibilidade, prevista especificamente pela CCPA, de acessar e solicitar a exclusão de suas informações pessoais, consulte a Seção “Informações de Privacidade para os Residentes da Califórnia” da nossa Política de Privacidade.

Lei de Privacidade do Consumidor da Califórnia

A Lei de Privacidade do Consumidor da Califórnia (CCPA, na sigla inglesa), conforme alterada pela Lei de Direito à Privacidade da Califórnia (CPRA), confere aos consumidores da Califórnia determinados direitos relativamente às suas informações pessoais. Mais especificamente, a lei determina que as empresas sujeitas a ela concedam aos seus clientes a possibilidade de solicitar o acesso e a exclusão dos seus dados, assim como de optar por não permitir determinados tipos de divulgação das suas informações pessoais. A lei também restringe a forma como os prestadores de serviços que processam informações pessoais em nome de uma empresa podem usar tais informações.

Quando uma empresa sujeita à CCPA celebrar um contrato de prestação de serviços ou de assinatura com a Asana, esta também se comportará como um prestador de serviços a essa empresa. De maneira específica, a Asana processará as informações pessoais desses clientes somente para os fins estabelecidos no respectivo contrato e cooperará com os clientes para o cumprimento por parte destes das obrigações relacionadas a solicitações de acesso ou de exclusão.

Adendo de Processamento de Dados nos Termos da CCPA

A Asana atualizou o seu Adendo de Processamento de Dados para incluir, especificamente, referências às nossas obrigações sob os termos da CCPA (conforme alterada pela CPRA). Se a sua organização for cliente da Asana e exigir a inclusão de um adendo, entre em contato com dpa@asana.com.

Lei Gramm-Leach-Bliley

A Lei Gramm-Leach-Bliley (GLBA) exige que instituições financeiras — empresas que oferecem produtos ou serviços financeiros como empréstimos, seguros, consultoria financeira ou de investimentos — expliquem as suas práticas de compartilhamento de informações aos seus clientes e salvaguardem dados sensíveis. Os prestadores de serviços que tenham permissão das instituições financeiras para acessar as informações pessoais confidenciais (NPI, Nonpublic Personal Information, em inglês) dos clientes também devem obedecer à GLBA. A Asana cumpre a Regra da Privacidade e a Regra de Salvaguardas da GLBA. Além de implementar salvaguardas de segurança, usamos os conteúdos de trabalho dos clientes exclusivamente para prestar os nossos serviços. Os clientes não devem armazenar informações pessoais confidenciais (inclusive números de contas financeiras e de segurança ou previdência social) na Asana.

Lei de Privacidade e Direitos Educacionais da Família

A Lei de Privacidade e Direitos Educacionais da Família (FERPA) é uma lei federal que exige que instituições acadêmicas como faculdades e universidades preservem a privacidade dos registros acadêmicos dos alunos. Possibilitamos que os nossos clientes estejam em conformidade com a FERPA garantindo que os seus dados pessoais sejam mantidos em segurança e utilizados apenas para a prestação dos nossos serviços de acordo com os nossos Termos de serviço e Declaração de privacidade. A Asana compromete-se contratualmente a não divulgar os dados dos clientes, exceto quando ordenada pela instituição acadêmica contratante, conforme permitido pelos nossos termos ou exigido por lei.

HIPAA

A Lei de Portabilidade e Responsabilização de Seguros de Saúde (Health Insurance Portability and Accountability Act, HIPAA) de 1996 é uma lei federal dos Estados Unidos que exige a criação de padrões nacionais para evitar a divulgação de informações confidenciais dos pacientes sem o consentimento ou conhecimento destes. As empresas sujeitas ao Health Insurance Portability and Accountability Act de 1996 (“HIPAA”) podem usar a Asana para gerir o trabalho em conformidade com a HIPAA.

A conformidade da Asana com a HIPAA é regida pelo Adendo de empresa associada (BAA) da Asana. Para mais detalhes sobre a HIPAA e a Asana, consulte a Ficha de Dados da HIPAA.

Lei de Proteção das Informações Pessoais

A Lei de Proteção das Informações Pessoais (Act on the Protection of Personal Information, APPI) é a principal lei de proteção de dados do Japão que regula a proteção das informações pessoais. Aplica-se aos operadores comerciais que processam informações pessoais de indivíduos no Japão. A APPI recebeu emendas desde a sua promulgação em 2003, com as mais recentes entrando em vigência no dia 1 de abril de 2022.

Da mesma forma que “controladores de dados” e “processadores de dados” são diferenciados nos termos do RGPD, a APPI faz uma distinção entre “operadores de negócios”, que são entidades com autoridade para controlar e tomar decisões sobre informações pessoais retidas (ou seja, clientes da Asana) e prestadores de serviços terceirizados que lidam com informações pessoais em nome de um operador de negócios (ou seja, a Asana).

A APPI também restringe a transferência internacional de informações pessoais originárias do Japão. As informações pessoais podem ser transferidas para destinatários no exterior quando existirem acordos vigentes que assegurem a conformidade com os padrões de proteção de dados do Japão.

A Asana compromete-se a processar e a proteger as informações pessoais conforme exigido pela APPI e suas emendas. O Adendo de Processamento de Dados da Asana abrange (1) os nossos compromissos quanto à proteção de dados para assegurar a nossa conformidade com a APPI; (2) como forneceremos assistência aos nossos clientes em relação às suas obrigações sob a APPI; e (3) as medidas técnicas e organizacionais implementadas para proteger as informações pessoais. Para mais informações sobre as práticas de segurança e de proteção de dados da Asana, consulte a nossa Página de Confiança.

Recursos relacionados

• Declaração de Privacidade da Asana

• Adendo sobre Processamento de Dados da Asana

• Página de Confiança da Asana

• Certificação da Asana no âmbito do Escudo de Proteção da Privacidade entre UE-EUA e Suíça-EUA

• Texto completo do RGPD

• Texto integral da CCPA (conforme alterado pela CPRA)