Quando somos o responsável pelo tratamento
Somos o responsável pelo tratamento relativamente à informação sobre visitantes do website, titulares de contas, contactos de clientes e potenciais clientes, quando determinamos a finalidade do tratamento.
Centro de segurança e confiança
Como protegemos os seus dados
Protegemos o conteúdo e as informações empresariais que introduz na Native de três formas: controlos incorporados no produto, aquilo a que nos comprometemos no seu contrato e integrações que pode desligar por si a qualquer momento.
Fontes revistas pela última vez a 10 de agosto de 2026
Segurança em resumo
As nossas políticas públicas comprometem-se com TLS 1.2 ou superior em trânsito, encriptação em repouso quando tecnicamente apropriado, acesso com privilégios mínimos, controlos baseados em funções, MFA dos colaboradores para acesso à produção, registos, revisões de segurança e um processo de resposta a incidentes. Não utilizamos dados de clientes para treinar modelos de IA e os dados pessoais são armazenados principalmente na UE/EEE.
Baseado em políticas, não numa alegação de certificação
Esta página resume os nossos compromissos contratuais e de privacidade atuais. O DPA é a fonte determinante para os termos de tratamento quando os documentos divergem. Nada nesta página afirma que detemos certificação SOC 2 ou ISO 27001.
Quem é responsável pelos dados?
A função depende dos dados e da finalidade. A nossa Política de Privacidade e o DPA distinguem entre os nossos próprios dados empresariais e o conteúdo que trata através do serviço.
Quando somos o subcontratante
Relativamente ao seu conteúdo, aos dados de canais ligados e a outros dados pessoais tratados segundo as suas instruções, o cliente é o responsável pelo tratamento e nós atuamos como subcontratante ao abrigo do DPA.
Subcontratantes
Recorremos a subcontratantes para alojamento, inferência de IA, publicação, análise, suporte e integrações. Outros fornecedores podem ter um papel jurídico diferente; por exemplo, o DPA identifica a Stripe como responsável independente pelo tratamento dos dados de pagamento.
Compromissos de controlo publicados
A tabela resume declarações da nossa Política de Privacidade e dos nossos Termos públicos atuais. "Comprometido" significa que o controlo está escrito nesses documentos. Não significa que um auditor externo o tenha certificado de forma independente.
| Área de controlo | Compromisso publicado | Estado da evidência | Fonte |
|---|---|---|---|
| Dados em trânsito | TLS 1.2 ou superior para os dados transmitidos de e para o serviço. | Comprometido nos controlos da política e do DPA | Privacidade §10; Termos §18.2 |
| Dados em repouso | Encriptação AES-256 ou equivalente quando tecnicamente apropriado. | Comprometido nos controlos da política e do DPA | Privacidade §10; Termos §18.2 |
| Acesso | Privilégios mínimos, acesso baseado em funções e MFA dos colaboradores para acesso a dados de produção. | Comprometido nos controlos da política e do DPA | Privacidade §10; Termos §18.1 |
| Monitorização | Registo e monitorização de acessos, eventos e incidentes de segurança. | Comprometido nos controlos da política e do DPA | Privacidade §10; Termos §18.3 |
| Entrega segura | Separação de ambientes, aplicação de correções, gestão de vulnerabilidades e revisões de segurança regulares. | Comprometido nos controlos da política e do DPA | Privacidade §10; Termos §18.3 e §18.5 |
| Cópias de segurança e continuidade | Cópias de segurança automáticas diárias e encriptadas, e procedimentos documentados de incidentes e continuidade. | Comprometido; o DPA define o prazo máximo de retenção determinante | Termos §18.4; DPA §16.10 |
| DPA e apoio a auditorias | Um DPA vinculativo nos Termos, cópia autónoma a pedido e informação de auditoria em condições definidas. | Compromisso contratual | Termos §16 e §16.9 |
Como os dados dos clientes são utilizados com IA
Recorremos a fornecedores de IA para gerar texto e imagens para o serviço que solicita. A Política de Privacidade afirma que não utilizamos dados de clientes, dados de utilizadores ou conteúdo para treinar ou ajustar modelos de IA e que temos termos contratuais que impedem os fornecedores de usar as entradas e saídas do serviço para treino de modelos.
- A inferência de IA é utilizada para fornecer as funcionalidades de produto solicitadas.
- O conteúdo dos clientes não é vendido nem fornecido como conjunto de dados de treino.
- A política atual indica OpenAI, Anthropic, Google e xAI como subcontratantes de IA.
- As transferências para fora do EEE utilizam um mecanismo aplicável, como o Quadro de Privacidade de Dados UE-EUA ou as Cláusulas Contratuais-Tipo.
Alojamento e transferências internacionais
O nosso DPA indica que os dados pessoais são armazenados principalmente na UE/EEE, sobretudo em regiões do Google Cloud na Irlanda. O inventário de subcontratantes inclui também a AWS para armazenamento e operações na nuvem.
- O armazenamento principal é descrito como sediado na UE/EEE.
- Alguns subcontratantes tratam dados nos Estados Unidos ou noutros países.
- Documentamos o DPF, as CCT e as salvaguardas de avaliação do impacto das transferências para as transferências aplicáveis.
- As certificações dos fornecedores aplicam-se aos centros de dados dos fornecedores. Não são certificações nossas.
Retenção e eliminação
O DPA estabelece que a eliminação ocorre normalmente no prazo de 30 dias após a cessação e, o mais tardar, em 90 dias. As cópias de segurança são eliminadas segundo rotinas padrão e, o mais tardar, em 180 dias. As obrigações legais de conservação, como os registos contabilísticos, continuam a ser exceções. Os tokens de serviços ligados são eliminados após a desconexão ou o encerramento da conta, nos termos da Política de Privacidade.
Fonte contratual: a secção 16.10 do DPA é o anexo prevalecente para os dados pessoais dos clientes sempre que um resumo mais curto noutro local divirja.
Resposta a incidentes e notificação
O nosso DPA e os nossos compromissos de privacidade descrevem um processo definido para identificar, classificar, escalar e tratar incidentes de segurança. As obrigações de notificação dependem do nosso papel e da lei aplicável.
- É notificado sem demora injustificada quando uma violação de dados pessoais afeta dados de clientes.
- Documentamos a natureza, as prováveis consequências e as medidas de mitigação à medida que a informação fica disponível.
- Mantemos registos dos incidentes e damos seguimento com ações corretivas.
- A notificação às autoridades e aos particulares segue o RGPD e os demais requisitos legais aplicáveis.
Controlos que os clientes devem utilizar
- Utilize uma palavra-passe única e forte e os controlos de segurança da conta disponíveis.
- Limite o acesso da equipa a quem dele precisa e remova o acesso de imediato.
- Reveja as permissões pedidas pelas contas de redes sociais e de integrações ligadas.
- Desligue as integrações que já não utiliza.
- Contacte-nos de imediato se suspeitar de atividade não autorizada na conta.
Estado das certificações
Nesta página, não afirmamos possuir SOC 2, ISO 27001 ou outra certificação de segurança independente. Os Termos identificam certificações de infraestrutura detidas pela Google Cloud, não por nós. Pode pedir-nos a documentação de segurança atual e as evidências de auditoria disponíveis.
Testado de forma independente em segurança
A Native é testada em termos de segurança pela Heist, uma empresa de segurança externa. O selo remete para a página de verificação da empresa, pelo que mostra o resultado atual e não o do dia em que o adicionámos. Testar não é certificar, e o que esta página diz sobre certificação mantém-se.
Precisa de um DPA ou de uma avaliação de segurança?
Peça o DPA atual, informações sobre subcontratantes ou respostas a um questionário de segurança. Indique a sua organização, o prazo e as áreas que a sua avaliação precisa de abranger.
Pedir informações de segurançaPerguntas frequentes
Não. A nossa Política de Privacidade indica que os dados dos clientes, dos utilizadores e os conteúdos não são usados para treinar ou ajustar modelos de IA e que os fornecedores de IA estão contratualmente impedidos de usar as entradas e saídas do serviço para treino.