Análise de leis extraterritoriais

Registro de alterações

1. Entidade e estrutura societária

1.1. A Xeneural Technologies E.I.R.L. é uma empresa individual de responsabilidade limitada constituída no Peru (RUC 20606521261), com domicílio fiscal e escritório em Arequipa. O seu titular é uma pessoa física. Não possui sociedade controladora.

1.2. A Xeneural não possui filiais, sucursais nem estabelecimentos nos Estados Unidos, na China nem na Rússia.

1.3. A lei que rege o tratamento de dados pessoais pela Xeneural é a peruana: Lei 29733 de Proteção de Dados Pessoais e o seu Regulamento, aprovado pelo D.S. 016-2024-JUS. Para clientes do Espaço Econômico Europeu aplicam-se, além disso, as cláusulas contratuais-tipo do Acordo de Tratamento de Dados.

2. Leis analisadas

3. Exposição por meio dos suboperadores

3.1. Os suboperadores que hospedam o conteúdo dos clientes são empresas estadunidenses e, como tais, estão sujeitas ao CLOUD Act e à seção 702 da FISA. Esta é a única via pela qual essas leis podem alcançar os dados de um cliente da Xeneural.

3.2. Cada suboperador assume por contrato os seguintes compromissos diante de uma solicitação de uma autoridade:

4. Medidas da Xeneural

4.1. Criptografia. Os dados são criptografados em trânsito com TLS 1.2 ou superior e em repouso com AES-256 no banco de dados, no armazenamento de arquivos e nas cópias. Os segredos de integração do cliente são criptografados, além disso, com AES-256-GCM e chaves dedicadas.

4.2. Segregação e acesso mínimo. Os dados de cada cliente estão segregados logicamente e cada operação é limitada no servidor à organização do usuário autenticado.

4.3. Transferências. Para clientes do Espaço Econômico Europeu, do Reino Unido ou da Suíça, o Acordo de Tratamento de Dados incorpora as cláusulas contratuais-tipo da Comissão Europeia (Decisão 2021/914), incluídas a avaliação das leis do país de destino (cláusula 14) e as obrigações diante de solicitações de autoridades (cláusula 15). Para clientes no Peru, o fluxo transfronteiriço rege-se pelo artigo 15 da Lei 29733 e pelos artigos 18 a 21 do seu Regulamento.

4.4. Compromisso próprio diante de uma solicitação. Se a Xeneural receber uma solicitação de uma autoridade, peruana ou estrangeira, verifica a sua competência e a sua base legal, encaminha-a ao cliente quando a lei o permite, notifica o cliente antes de entregar dados salvo proibição legal, entrega somente o estritamente exigido e impugna as solicitações excessivas. Cada solicitação é registrada e publicada no Relatório de transparência.

4.5. Histórico. A Xeneural não recebeu nenhuma solicitação de uma autoridade, peruana ou estrangeira, para acessar dados dos seus clientes (Relatório de transparência).

4.6. Revisão. Esta análise é revisada a cada ano e sempre que se incorpora um suboperador ou muda a normativa analisada.

5. Conclusão

A Xeneural é uma empresa peruana sem sociedade controladora nem presença nos Estados Unidos, na China ou na Rússia, e não está sujeita diretamente a leis estrangeiras de acesso a dados. A exposição indireta, por meio dos seus suboperadores estadunidenses, é mitigada com os compromissos contratuais destes, com a criptografia e a segregação dos dados, com as cláusulas contratuais-tipo para clientes europeus e com o compromisso próprio da Xeneural de notificar o cliente e impugnar as solicitações excessivas.

6. Fontes