Política de privacidade da extensão Lustena AI DLP

2. Quem decide sobre os dados

• Configurada por uma organização: a organização empregadora é a controladora dos dados dos seus colaboradores. Ela decide instalar a extensão, quais dispositivos participam, se a captura de conteúdo fica ligada, a base legal e por quanto tempo os dados são guardados. A Lustena é a operadora: trata os dados em nome da organização e segundo as instruções dela, para prestar o serviço contratado.
• Conectada pela própria pessoa: a pessoa decide conectar, desconectar e qual rótulo informar. Os administradores do workspace escolhido decidem se a captura de conteúdo fica ligada, com qual base legal e por quanto tempo os dados são guardados.
• Modo local: nenhum dado chega à Lustena. Os achados ficam só no navegador da pessoa.
• Em todos os casos, a Lustena não vende esses dados, não os usa para publicidade e não os usa para treinar modelos de IA.

3. O que a extensão faz no dispositivo

Quando a pessoa digita, cola, anexa ou arrasta conteúdo para um dos aplicativos de IA acima, a extensão classifica esse conteúdo no próprio dispositivo, procurando dados como documentos de identificação brasileiros, e-mails, telefones, números de cartão e credenciais como chaves de API. Cada ocorrência vira um “achado”, que registra só o tipo do dado, nunca o dado.

A extensão apenas observa: não bloqueia, não alerta e não altera o que é enviado ao aplicativo de IA. Os achados ficam no armazenamento local da extensão (no máximo 500), e a pessoa pode vê-los clicando no ícone da extensão.

4. O que sai do dispositivo por padrão

Enquanto o navegador está conectado a um workspace, a extensão envia ao servidor da Lustena (api.lustena.ai), para esse workspace, apenas metadados, sem nenhum texto:

• Achados: o tipo de dado encontrado, a severidade e a confiança, quantas vezes apareceu, o detector e a sua versão, e uma impressão digital de cada valor. A impressão é um HMAC-SHA256 com uma chave secreta sorteada na instalação: o mesmo valor visto duas vezes no mesmo dispositivo gera a mesma impressão, mas o valor não pode ser recuperado a partir dela.
• Destino e canal: qual aplicativo de IA e o seu domínio, se o conteúdo foi digitado, colado ou anexado, e a data e a hora.
• Arquivos anexados: o tipo do arquivo, o tamanho e uma impressão digital do nome. Nunca o nome nem o conteúdo.
• Conversas e turnos: quando cada conversa começa e termina, o número de cada mensagem enviada e qual achado ela gerou. Uma conversa é identificada por um código derivado de forma irreversível do seu id (um HMAC com a chave da instalação), do qual não é possível recuperar o id original.
• O GPT personalizado ou o projeto em que a conversa roda, se houver: se é um GPT ou um projeto, e um código derivado de forma irreversível do seu id com uma chave compartilhada pelos dispositivos do workspace, para que o mesmo GPT conte uma vez só na equipe. O nome nunca é lido, e o id nunca é enviado.
• Dispositivo e sensor: um identificador aleatório da instalação, as versões da extensão e do catálogo de detecção, o sistema operacional e o navegador, o estado da extensão em cada aplicativo e contagens de mensagens e conversas desde o último relato.
• Rótulo da pessoa (opcional): o rótulo definido na conexão, pela organização na sua configuração (em geral o e-mail corporativo) ou pela pessoa no painel Conexão. A extensão nunca o lê do navegador.

5. O que nunca sai do dispositivo

• O texto bruto dos prompts, do que foi colado e das respostas da IA. Só o texto mascarado da seção 6 pode sair, e só se a captura de conteúdo estiver ligada.
• Arquivos e nomes de arquivos.
• Ids de conversa, ids e nomes de GPTs e projetos, endereços (URLs) e títulos de páginas.
• Nada digitado ou lido em sites que não sejam os aplicativos de IA acima. A extensão não funciona em outros sites.

6. Captura de conteúdo mascarado (opcional)

A captura de conteúdo vem desligada. Só um administrador do workspace ao qual o navegador está conectado pode ligá-la, na plataforma da Lustena, e para isso precisa registrar a base legal e um prazo de retenção de 1 a 365 dias (30 por padrão). Toda mudança fica registrada: quem mudou, quando e o quê.

• Para cada mensagem enviada, a extensão guarda o texto que a pessoa enviou e a resposta da IA a ele, até 8.000 caracteres de entrada e 16.000 de resposta.
• Antes de guardar ou enviar qualquer coisa, a extensão troca no próprio dispositivo cada valor reconhecido por um marcador, por exemplo “meu e-mail é [pii.email]”. Texto bruto nunca é guardado nem enviado. Só os tipos de dado que a extensão reconhece são trocados: nomes, endereços e outros dados pessoais que ela não reconhece ficam no texto como foram escritos.
• O texto mascarado é guardado criptografado (AES-256-GCM) no servidor da Lustena e só pode ser lido pelos administradores do workspace, autenticados na plataforma. Cada leitura fica registrada em um log de auditoria.
• Ele é apagado automaticamente ao fim do prazo de retenção definido no workspace, e o administrador pode apagar todo o conteúdo capturado a qualquer momento.
• Enquanto a captura está ligada, a página da extensão mostra à pessoa o aviso “Captura de conteúdo: ATIVA (texto redigido)”, e o painel Conexão também. Quando a captura é desligada, a extensão para de capturar e descarta o que ainda não tinha enviado.

7. Bases legais

Quando uma organização configura a extensão, cabe a ela, como controladora, definir a base legal e informá-la aos seus colaboradores, segundo a Lei Geral de Proteção de Dados (LGPD) e, quando aplicável, o GDPR. Em geral, as organizações se apoiam no legítimo interesse em proteger as próprias informações e as dos seus clientes (LGPD art. 7º, IX; GDPR art. 6(1)(f)) ou no cumprimento de obrigação legal ou regulatória (LGPD art. 7º, II; GDPR art. 6(1)(c)). A Lustena trata os dados como operadora, dentro das instruções da organização (LGPD art. 39; GDPR art. 28).

Para ligar a captura de conteúdo, a plataforma exige que o administrador do workspace registre a base legal escolhida, também quando foi a própria pessoa que conectou o navegador.

8. Retenção

• No dispositivo: até 500 achados na lista local e, enquanto o servidor não responde, uma fila de envio. O conteúdo mascarado fica no dispositivo só até ser enviado e é apagado quando a captura é desligada. Desconectar apaga o token de inscrição, o token do dispositivo e a fila do que não foi enviado; a lista local de achados fica. Desinstalar a extensão apaga tudo o que ela guardou no navegador.
• Conteúdo mascarado no servidor: pelo prazo definido no workspace (1 a 365 dias), depois é apagado automaticamente.
• Achados e metadados de conversas no servidor: seguem as configurações de retenção do workspace. Depois do fim da conta da empresa cliente, os dados do workspace podem ser exportados por trinta dias; depois são apagados.
• Depois de desconectar: o que já foi enviado fica no workspace que o recebeu, sob a retenção desse workspace, e o dispositivo continua listado ali até um administrador revogá-lo.

9. Segurança e onde os dados são tratados

• A extensão fala só com https://api.lustena.ai, por HTTPS. Qualquer outro endereço configurado é recusado antes de qualquer envio.
• Cada dispositivo recebe o seu próprio token, que só serve para enviar dados, não dá acesso a dados já enviados e expira em 90 dias. Os administradores do workspace podem revogar um dispositivo a qualquer momento.
• No servidor, os dados de cada workspace ficam logicamente separados dos demais, e o acesso na plataforma é restrito por papel.
• Os dados podem ser tratados fora do Brasil e do Espaço Econômico Europeu, com as salvaguardas adequadas (LGPD arts. 33 a 36). Nossos suboperadores estão listados no Trust Center.

10. Os seus direitos

Segundo a LGPD e o GDPR, você pode pedir a confirmação de que há tratamento, o acesso, a correção, a anonimização, o bloqueio ou a eliminação dos seus dados, saber com quem eles são compartilhados e se opor ao tratamento. Você também pode reclamar à ANPD ou, na União Europeia, à autoridade de proteção de dados do seu país.

Se a extensão foi configurada pela organização em que você trabalha, ela é a controladora: exerça esses direitos primeiro com ela, pelo encarregado (DPO) ou pela equipe responsável, e a Lustena ajuda a responder. Se você mesmo conectou o navegador, fale com os administradores desse workspace; o painel Conexão mostra qual é. No modo local nada é enviado, e desinstalar a extensão apaga os dados.

Para falar com a Lustena sobre esta política, ou se não souber a quem pedir: contato@lustena.ai, com o assunto Privacy. Respondemos em até quinze dias e encaminhamos o pedido aos responsáveis pelo workspace.

11. Mudanças nesta política

Quando a extensão muda a forma de tratar dados, esta página é atualizada antes da publicação da nova versão, e a data no topo muda. Mudanças relevantes são comunicadas às organizações clientes, que informam os seus colaboradores.

12. Chrome Web Store: uso limitado

O uso das informações recebidas das APIs do Google seguirá a Política de Dados do Usuário da Chrome Web Store, incluindo os requisitos de Uso Limitado (https://developer.chrome.com/docs/webstore/program-policies/limited-use). Isso vale para tudo o que a extensão recebe pelas APIs do Chrome. Na prática:

• Os dados são usados só para a finalidade única da extensão: detectar dados sensíveis enviados a aplicativos de IA e relatar esses achados ao workspace ao qual o navegador está conectado.
• Os dados nunca são vendidos, nunca são usados nem transferidos para publicidade e nunca são usados para avaliar crédito ou para empréstimos.
• Os dados são transferidos só ao workspace ao qual o navegador está conectado, por meio da Lustena, e aos provedores de infraestrutura necessários para o serviço. No modo local nada é transferido.
• Pessoas não leem os dados, exceto os administradores do workspace, que podem ler o conteúdo mascarado só se eles mesmos ligaram a captura de conteúdo (seção 6), com o aviso mostrado à pessoa, e quando necessário para segurança ou para cumprir a lei. Os metadados da seção 4 não contêm texto.